增强信息科技风险管理打造安全的金融it平台

《增强信息科技风险管理打造安全的金融it平台》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、增强信息科技风险管理打造安全的金融IT平台―、信息科技风险管理的重要性日益突出信息系统的安全性、可靠性和有效性不仅是商业银行赖以生存和发展的重要基础，还关系到整个银行业的安全和国家金融体系的稳定，因此国家金融监管部门对银行信息科技风险管理日益重视，对银行信息科技风险管理提出了明确要求，各商业银行也普遍提髙了对信息科技风险管理的关注程度。1.加强信息科技风险管理是金融监管部门高度重视的重要问题中国银监会主席刘明康在信息科技风险管理与评价审计工作会议上指出，根据近几年国际上出现的信息系统故障事件分析，如果银行信息系统中断1小时，将直接影响该行的基本支付业务；中断1天，将对其声誉

2、造成极大伤害；中断2〜3天以上不能恢复，将直接危及银行乃至整个金融系统的稳定。这在一定程度上反映了国家金融监管部门对信息科技风险的深刻认识和日益重视。2008年7月，银监会颁发了《银行业金融机构信息系统安全保障问责方案》，明确各银行的法定代表人为本单位信息系统安全保障的第一责任人，并要求逐级签订信息系统安全保障责任书。同时，中国人民银行、银监会组织全国金融机构开展了奥运信息科技风险全面自查工作，并相继对各主要商业银行进行了现场专项检查；国家审计署也在对6家大型商业银行的2008年度全面审计工作中首次引入了信息科技审计的内容，着重从信息安全的角度出发，站在维护国家金融稳定和国

3、家安全的髙度，分析当前我国银行业信息科技工作面临的主要风险，并提出了有针对性的改进建议。国家有关监管和审计部门推出的这些卓有成效的管理措施，对银行不断改进和完善信息科技风险管理工作具有十分重要的指导意义，充分体现出了我国政府对银行业信息科技风险管理的尚度重视。2.加强信息科技风险管理是新《巴塞尔资本协议》的基本要求在2004年正式公布的新《巴塞尔资本协议》中，重新修订了银行风险的分类和定义，强调银行在进行风险管理的时候，不仅要重视传统的信用风险、市场风险、流动性风险，而且要将防范操作风险放在一个重要的地位，并将信息科技风险明确划归操作风险的范畴，从而使得信息科技风险管理成为

4、了银行全面风险管理体系中的重要组成部分。3.加强信息科技风险管理是银行提高IT治理水平的需要根据IT治理模型，IT风险管理与战略一致性、资源管理、绩效评估等构成IT治理总体架构，而且是其中的一个重要方面。随着各家银行信息化建设的深入，对信息科技风险的认识也在逐步加深，从单一的信息安全转变为涵盖生产运行、应用研发、信息安全等方面的全面IT风险管理，信息科技风险管理水平体现了银行的信息化程度和整体的风险管理水平。在商业银行完成股份制改造和上市之后，商业银行已普遍认识到信息科技方面一旦发生风险事件，不仅会影响业务的正常办理，还可能会对银行的声誉和市值产生负面影响，因此更加重视信息

5、科技风险管理，对加强信息科技风险管理提出了更髙的要求。二、加强信息科技风险管理的相应举措根据国际权威机构信息系统审计与控制委员会(ISACA)发布的信息系统风险控制和IT审计工作的最佳实践指南，信息科技风险管理应关注IT治理、软件生命周期管理（即项目开发与变更）、IT服务交付与支持(即系统运行维护）、信息安全、业务连续性管理等五大领域。在上述领域，各家商业银行纷纷采取了各种风险管理措施。下面以中国工商银行股份有限公司（以下简称“工商银行”）为例进行介绍。多年来，工商银行坚持“科技兴行“科技引领”发展战略，建立了集约化的科技组织体系，并逐步建立了与国际大银行相适应的先进的科技

6、体系和技术平台。自2006年起，工商银行正式将信息科技风险纳入了全行风险管理体系，作为操作风险管理的重要内容，并在信息科技风险管理方面开展了大量工作。1.信息科技风险管理组织体系工商银行成立了信息系统应急领导小组，由行长担任组长，主管副行长任副组长，信息科技部、办公室、个人金融部、运行管理部等相关部门负责人为成员，负责领导和组织信息系统重大事件的应急处理、灾难备份和恢复、计算机信息系统的安全防护等工作。科技部门定期向董事会、行长办公会、技术审查委员会、风险管理委员会汇报信息科技风险管理工作。同时，工商银行总行以及分行的科技部门均设有负责信息科技风险管理的部门，建立了一支专业

7、的风险防护队伍，为加强信息科技风险管理提供了组织保障。2008年，国家有关监管、审计部门对工商银行目前的信息科技风险管理情况都给予了较髙的评价，认为工商银行构建了较完整的信息科技治理结构，构成了信息科技管理、信息科技风险管理和信息科技审计三道防线。2.项目开发管理针对由于版本质量造成的应用研发风险，工商银行采取了一系列措施，严格保障应用系统研发质量。一是不断改进研发和测试管理流程，加强需求管理、项目方案审查、研发过程管理和项目质量控制；二是及时优化调整应用版本发布、测试和投产策略，针对版本投产比较频繁等情况，明确了