华夏银行信息科技外包风险应对策略-论文.pdf

《华夏银行信息科技外包风险应对策略-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2Qlj争噬来华夏银行按照({钋包据号

2、》殁短内信J毫I科技外包战略和风险管理等相翩度的规定!在信息科技铃钮毂糜建设风险评倍．外包强务商管理铃包人聂管理．．钤包信息安全管理．．外包应急管理和轮包风险鉴餐整改?管理环节．，采取I_-系风险管控接施提高l信息科技包风险防范能力一华夏银行信息科技外包风险应对策略华夏银行股份有限公司信息技术部总经理吴永飞近年来，随着银行问竞争的加剧以及新业务的层出不穷，信息科技外包已成为金融机构减少IT投资风险，获得竞争优势的重要策略之一。信息科技外包作为一把“双刃剑”，在提升银行核心竞争力的同时也带来了

3、巨大的潜在风险。本文结合华夏银行根据银监会《银行业金融机构信息科技外包风险监管指引》(以下简称《外包指引》)采取的风险管控措施，重点探讨银行科技外包风险的应对策略。一、信息科技外包的概念及其产生的动因信息科技外包是指银行将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为，包含项目外包、人力资源外包等。信息科技外包的动因已由单一的节约成本和集中精16FINANClALC0MPUTER0FCHINA力于核心业务活动逐步发展为多元化目的：一是规避信息科技外包战略和风险管理等相关制度的规定，在信息息科技投资风险，通过信息科技

4、外包来减少人力和资金科技外包制度建设、风险评估、外包服务商管理、外包的投入从而获得较大的经济效益；二是优化银行内部资人员管理、外包信息安全管理、外包应急管理和外包风源配置，通过专业IT服务提供商的服务来释放内部资源，险监督整改7个管理环节，采取了一系列风险管控措施，使银行能够集中精力关注核心业务应对本行业的竞争；提高了信息科技外包风险防范能力。三是获取IT服务提供商的先进管理经验，提升银行科1．制度建设技队伍的管理及创新水平。为有效落实《外包指引》，华夏银行成立了落实《外包指引》工作组，逐条对《外包指引》与已有信息科技二、信息科技

5、外包的风险外包相关制度与细则进行了差异性分析，修订完善并下信息科技外包可能产生的风险会导致银行战略、声发了新的信息科技外包管理办法和实施细则，制定了外誉、合规等风险。包服务提供商评价办法，规范并指导信息科技外包活动。1．科技能力丧失2．风险评估银行过度依赖外部资源导致失去对项目、技术、成强化对外包服务商及外包服务的事前、事中、事后本的控制及创新能力，影响业务创新与发展。最典型的风险评估。在外包项目立项准备阶段，从战略风险、法案例就是，在系统开发方面由于过分依赖外包服务提供律风险、声誉风险以及外包商服务水平、外包实施能力商，而外包商

6、又不提供系统源代码，导致系统上线后运等方面进行风险识别与评估，出具风险评估报告；在项行维护和后续优化必须依赖于外包服务提供商。目实施里程碑阶段及后评价阶段，对项目存在的风险再2．业务中断次进行风险评估，并说明拟采取的应对措施、完成计划支持业务运营的外包服务无法持续提供导致业务中等内容。断，影响银行的业务连续性，无法满足业务持续运营的3．外包服务商管理监管要求。一是严格外包服务商准入。建立了严格的准入标准，3．信息泄露积极推行以招标或竞争谈判的方式确定外包服务商。包含客户信息在内的银行非公开数据被服务提供商二是完善外包商信息库。细化

7、了外包商信息库的版非法获得或泄露，由此可能导致更为严重的声誉风险和本控制，确保外包商信息库100％覆盖与华夏银行合作法律风险，从而使银行蒙受巨大损失。的外包商。4．服务水平下降三是加强外包服务商黑名单的管理，明确了外包服由于外包服务质量问题或内外部协作效率低下，使务商黑名单解禁的条件及流程。得银行信息科技服务水平下降。例如，银行未在外包服四是建立与外包服务商的协调机制。组织召开信息务合同中明确外包服务提供商必须提供的最低服务水科技外包工作协调会，针对外包服务商在项目实施过程平，在合同执行过程中缺乏必要的事中监管，甚至将监中出现的开

8、发质量、运维质量、人员与日常管理等方面管责任移交给服务提供商，势必导致服务水平下降。的问题进行通报，并从安全运营和风险防控等方面对外包服务商提出具体要求。三、信息科技外包风险的应对策略五是关注集中度管理。定期对现有外包服务进行分2013年以来，华夏银行按照《外包指引》及行内信析，将合同金额及驻场外包人员数量排列前l0名的外201311／中国金融电脑17曩包服务商，列入机构集中度风险关注名单，在新增外包一、封闭管理，不允许外包人员自带设备接入华夏银行项目的招标工作中予以重点关注，并根据统计排名结果的开发测试刚，从源头上堵住敏感数据和

9、文档的外泄；制定外包服务商替代方案。部署桌面管控系统，采用安全u盘，控制移动存储设六是强化外包合同及服务水平协议管理。对信息技备的接入和文件的拷贝；实施“三网隔离”，控制互术类格式合同文本及服务水平协议进行了修订并下发，联网的接入，严格网络准入策略