风险管理考点精讲 | 第五章 操作风险管理 · 信息科技风险与信息科技外包风险管理
| 所属考试 | 初级银行从业 |
|---|---|
| 所属科目 | 风险管理 |
| 对应大纲 | 银行业专业人员职业资格考试专业实务科目《风险管理》初级考试大纲（2024年版） |
| 所属章节 | 第五章 操作风险管理 |
| 知识点名称 | 信息科技风险与信息科技外包风险管理 |
| 适用等级 | 初级（银行业专业人员初级职业资格考试） |
| 考试分值 | 约 6 分 |
核心内容
- 信息科技风险是指商业银行在运用信息科技的过程中，由于自然因素、人为因素、技术漏洞和管理缺陷等原因，导致系统中断、数据损失、客户信息泄露等后果，并可能转化为操作风险、法律风险和声誉风险。它属于操作风险的重要子类，而不是独立于操作风险之外的另一类风险。
- 信息科技风险的典型表现包括：核心系统或支付系统中断、数据丢失或被篡改、网络攻击与勒索软件、变更上线缺陷引发的批量差错、权限管理失控导致的越权操作、以及外包集中度过高带来的服务中断。风险的共同特征是低频高损，一旦发生往往影响面广、恢复成本高。
- 监管要求把信息科技风险纳入全面风险管理体系。《银行业金融机构全面风险管理指引》要求银行建立覆盖全部风险类别的治理架构和政策流程；《商业银行内部控制指引》要求对信息系统开发、运行维护和访问权限实施控制。《中华人民共和国网络安全法》第二十一条确立了网络安全等级保护制度；《中华人民共和国数据安全法》第二十一条要求建立数据分类分级保护制度。
- 客户信息处理还受专门规则约束。《中华人民共和国个人信息保护法》要求处理个人信息具有明确、合理的目的，遵循最小必要原则并取得个人同意，对敏感个人信息应采取加密、去标识化等保护措施；金融机构处理客户身份资料还应遵守客户尽职调查和身份资料保存的监管要求。
- 信息科技外包风险指银行将信息科技活动委托给外部服务商而可能产生的风险，主要形态包括战略外包、业务外包和项目外包。核心风险点有：外包集中度过高导致对单一服务商过度依赖、服务中断影响业务连续性、数据泄露与跨境传输合规、供应商锁定造成退出困难，以及合规责任并不因外包而转移。
- 外包风险管理要求覆盖全流程：准入阶段开展服务商尽职调查与风险评估；合同阶段明确服务水平、数据安全、审计权和退出安排；运行阶段实施持续监控和定期评价；退出阶段保证业务平稳迁移。同时不得将风险管理、合规管理、内部审计等核心管理职能外包，重要信息科技外包应按监管要求报告，并纳入业务连续性计划和应急预案演练。
易错点
易错点：认为信息科技外包后风险随之外移。→ 正确理解：外包转移的是具体作业，不转移银行对客户和监管承担的责任，银行仍须对外包活动的风险负最终责任。
易错点：认为只要签订合同、约定赔偿即可控制外包风险。→ 正确理解：合同只是其中一环，还需准入尽调、集中度控制、持续监控、审计权条款和退出安排，形成全流程管理。
易错点：把信息科技风险只归口于科技部门。→ 正确理解：董事会和高管层承担最终责任，业务部门是风险的第一责任人，风险与合规部门负责监督，内部审计负责独立评价，形成三道防线。
易错点：认为所有信息科技活动都可以外包。→ 正确理解：风险管理、合规管理、内部审计等核心管理职能不得外包，涉及核心业务系统关键控制环节的也不宜整体外包。
记忆口诀
「科技风险归操作，低频高损影响广；外包不转最终责，准入监控加退出」
考试分值
该知识点多以单项选择题、多项选择题出现，常与操作风险分类、三道防线结合考查，预计分值约 6 分。
经典例题
1.【单项选择题】商业银行将部分信息系统运维工作委托给外部服务商后，相关风险的最终责任由（ ）承担。
A．外部服务商 B．商业银行 C．监管机构 D．行业协会
答案：B
解析：考查外包责任的归属。外包只转移具体作业，不转移银行对客户和监管承担的责任，银行仍须对外包活动的风险负最终责任，并通过合同、监控和退出安排加以控制。
解析：考查外包责任的归属。外包只转移具体作业，不转移银行对客户和监管承担的责任，银行仍须对外包活动的风险负最终责任，并通过合同、监控和退出安排加以控制。
2.【多项选择题】下列属于信息科技外包风险管理全流程要求的有（ ）。
A．准入阶段开展服务商尽职调查 B．合同中约定服务水平与审计权 C．运行阶段实施持续监控 D．将内部审计职能整体外包以降低成本
答案：ABC
解析：考查外包管理的环节构成。全流程包括准入尽调、合同约束、持续监控和退出安排；内部审计属于核心管理职能，不得外包，故第四项错误。
解析：考查外包管理的环节构成。全流程包括准入尽调、合同约束、持续监控和退出安排；内部审计属于核心管理职能，不得外包，故第四项错误。
常见问题（QA）
- Q1：信息科技风险为什么归入操作风险而不是独立风险类别？
- A1：因为其成因是内部流程、人员、系统或外部事件的不完善或失效，与操作风险的定义一致；后果上又常表现为操作差错、数据损失和业务中断。监管在资本计量和管理框架中也将其作为操作风险的组成部分处理。
- Q2：外包集中度风险如何识别和控制？
- A2：识别上看单一服务商承担的系统和业务占比、可替代性以及切换成本；控制上设定集中度限额、避免关键系统集中于同一服务商、保留必要的自主运维能力，并预先设计应急接管与迁移方案。
- Q3：应试时如何区分「信息科技风险」与「信息科技外包风险」？
- A3：前者是结果和影响层面，指运用信息科技产生的各类不利后果；后者是成因和来源层面，指因委托外部服务商而新增的风险。题目问「属于哪类风险」看后果，问「风险来源」看是否涉及第三方。
依据：中国银行业协会《银行业专业人员职业资格考试考试大纲》 来源：中国银行业协会 https://www.china-cba.net/
说明：《银行业法律法规与综合能力》科目现行考试大纲为 2021 年版；《银行业专业实务》各专业科目（个人理财、风险管理、个人贷款、公司信贷、银行管理）现行考试大纲为 2024 年版。如辅导教材内容与最新颁布的法律法规及监管要求有抵触，以最新颁布的法律法规为准。
本文内容依据官方考试大纲与现行法律法规整理，仅供参考，具体以官方教材及现行法律法规原文为准。如遇政策调整，请以中国银行业协会、国家金融监督管理总局及中国人民银行的官方公告为准。
(责任编辑：admin)