风险管理考点精讲 | 第五章 操作风险管理 · 信息科技风险与信息科技外包风险管理
| 所属考试 | 中级银行从业 |
|---|---|
| 所属科目 | 风险管理 |
| 对应大纲 | 银行业专业人员职业资格考试专业实务科目《风险管理》中级考试大纲（2024年版） |
| 所属章节 | 第五章 操作风险管理 |
| 知识点名称 | 信息科技风险与信息科技外包风险管理 |
| 适用等级 | 中级（银行业专业人员中级职业资格考试） |
| 考试分值 | 约 6 分 |
核心内容
- 信息科技风险是指因自然因素、人为失误、技术漏洞或者管理缺陷，导致信息系统运行中断、数据泄露或被篡改、客户信息被侵害以及资金损失的风险。其本质是操作风险在信息科技领域的具体表现，评价维度集中在可用性、完整性与保密性三个方面：可用性关注系统能否持续提供服务，完整性关注数据是否准确未被篡改，保密性关注信息是否被未授权获取。
- 风险来源可分为四类。一是系统与网络层面，包括硬件故障、机房与电力中断、容量不足导致交易拥堵；二是网络攻击层面，包括勒索软件、分布式拒绝服务攻击、钓鱼邮件与供应链攻击；三是数据层面，包括越权访问、批量导出、测试环境使用真实数据；四是管理层面，包括变更未经审批、上线缺乏回退方案、权限长期不清理、应急演练流于形式。
- 外包会放大信息科技风险。一是集中度风险，多家机构依赖同一服务商时，单点故障会形成系统性影响；二是锁定效应，系统深度定制后迁移成本高、议价能力弱；三是数据风险，数据在机构与服务商之间流转，泄露路径增加；四是服务中断风险，服务商自身经营出现问题会直接传导；五是转包与分包失控，实际作业主体与合同主体不一致，管理要求难以穿透。
- 管理须覆盖外包全生命周期。准入前开展尽职调查与风险评估，核查服务商的经营资质、财务状况、安全能力与过往事件；合同中明确服务水平、数据安全责任、审计与检查权、转包限制与违约责任；履约期间实行驻场与非驻场分类管理，重要外包须定期评估与现场检查；退出环节预先安排数据迁移、系统交接与过渡期支持，避免形成不可逆的依赖。
- 集中度管理是监管重点。机构须识别重要外包与关键服务商，设定单一服务商承接业务的比例上限，建立服务商清单与风险画像，对重要外包制定专项应急预案，并定期开展业务连续性演练，确保在服务商中断时能在规定时间内恢复关键业务。
- 法律与监管要求构成底线。《中华人民共和国网络安全法》第二十一条确立网络安全等级保护制度，要求采取技术措施防范网络攻击、监测记录网络运行状态并留存日志；《中华人民共和国数据安全法》第二十七条要求建立健全全流程数据安全管理制度；《银行业金融机构全面风险管理指引》要求把信息科技风险纳入全面风险管理体系，明确风险偏好、限额与报告路径。
易错点
易错点：把信息科技风险等同于系统宕机。→ 正确理解：宕机只影响可用性，数据泄露、数据被篡改、未授权访问同样构成信息科技风险，且后果往往更难挽回。
易错点：认为外包后风险随之转移给服务商。→ 正确理解：外包不转移最终责任，机构仍须对客户信息安全和业务连续性负责，监管问责的对象是机构本身。
易错点：只在外包准入时做一次评估。→ 正确理解：外包风险随服务商经营状况变化，须在履约期间持续监测、定期复评并在退出时安排过渡。
易错点：认为集中度管理只针对信贷资产。→ 正确理解：外包服务商同样存在集中度问题，单一服务商承接比例过高会形成单点依赖，须设定上限并准备替代方案。
记忆口诀
「可用完整保密，三条底线；准入合同监控退出，四关全管；外包不转责任，集中要设限」
考试分值
该知识点多以多项选择题和案例分析题出现，常考风险来源分类、外包风险表现、全生命周期管理要求与集中度控制，预计分值约 6 分。
经典例题
1.【单项选择题】某银行将核心系统运维整体委托给一家服务商，该安排最突出的风险是（ ）。
A．利率风险 B．集中度风险与锁定效应 C．国别风险 D．声誉风险不存在
答案：B
解析：考查外包风险表现。核心系统整体外包给单一服务商，一旦该服务商出现经营或安全事件，银行关键业务将直接中断；同时系统深度定制后迁移成本高，形成锁定效应。
解析：考查外包风险表现。核心系统整体外包给单一服务商，一旦该服务商出现经营或安全事件，银行关键业务将直接中断；同时系统深度定制后迁移成本高，形成锁定效应。
2.【判断题】信息科技业务外包后，银行对客户信息安全和业务连续性的责任随之转移给服务商。
A．正确 B．错误
答案：B
解析：该表述错误。外包只是作业环节的委托，不转移银行的最终责任；银行仍须履行管理、监督与报告义务，发生数据泄露或服务中断时监管问责的对象是银行本身。
解析：该表述错误。外包只是作业环节的委托，不转移银行的最终责任；银行仍须履行管理、监督与报告义务，发生数据泄露或服务中断时监管问责的对象是银行本身。
常见问题（QA）
- Q1：如何判断一项外包是否属于「重要外包」？
- A1：通常从三个维度判断：一是业务重要性，是否支撑关键业务或涉及大量客户信息；二是不可替代性，中断后能否在规定时间内由自身或其他服务商承接；三是影响范围，是否涉及多家机构共用的基础设施。任一维度达到高标准，就应按重要外包实施更严格的管理。
- Q2：外包退出安排应包含哪些内容？
- A2：一是数据交回与清除，明确格式、时限与销毁证明；二是系统与文档交接，包括接口说明、运维手册与账号权限移交；三是过渡期支持，约定服务商在原合同终止后继续提供一定期限的技术支持；四是应急预案，确保切换期间关键业务不中断。
- Q3：这一知识点在中级考试中通常怎么考？
- A3：中级侧重分析与判断：一是给出外包场景识别风险类型；二是判断管理措施是否覆盖全生命周期；三是结合法律要求判断做法是否合规。答题时按「识别风险—匹配措施—核对法规」三步走。
依据：中国银行业协会《银行业专业人员职业资格考试考试大纲》 来源：中国银行业协会 https://www.china-cba.net/
说明：《银行业法律法规与综合能力》科目现行考试大纲为 2021 年版；《银行业专业实务》各专业科目（个人理财、风险管理、个人贷款、公司信贷、银行管理）现行考试大纲为 2024 年版。如辅导教材内容与最新颁布的法律法规及监管要求有抵触，以最新颁布的法律法规为准。
本文内容依据官方考试大纲与现行法律法规整理，仅供参考，具体以官方教材及现行法律法规原文为准。如遇政策调整，请以中国银行业协会、国家金融监督管理总局及中国人民银行的官方公告为准。
(责任编辑：admin)