银行管理考点精讲 | 第三部分 银行经营与管理 · 信息科技管理

银行管理考点精讲 | 第三部分 银行经营与管理 · 信息科技管理

核心内容

• 信息科技治理明确责任归属。董事会承担信息科技风险管理的最终责任，负责审批信息科技战略、风险偏好与年度预算；设立信息科技管理委员会统筹重大事项，明确首席信息官或分管高级管理人员的职责；信息科技战略须与业务战略对齐，投入产出纳入考核。把信息科技风险视为技术部门的事务，是治理失效的典型表现。
• 系统全生命周期管理强调职责分离。需求、设计、开发、测试、投产、变更、退役各环节应有明确规范；生产环境与测试环境隔离，开发、测试、运维岗位职责分离，避免同一人既能改代码又能上生产；重要系统变更须经审批、留存回退预案并安排变更窗口，变更后验证业务功能与批量作业。
• 信息安全管理以数据为中心。落实数据分类分级，按敏感程度采取差异化保护；访问控制遵循最小权限与岗位分离，重要操作双人复核；传输与存储加密，密钥单独管理；日志留存满足追溯要求并定期审计；漏洞管理与补丁更新形成闭环；终端与移动设备纳入统一管理。处理客户个人信息须遵循《中华人民共和国个人信息保护法》的告知同意、最小必要与安全保障要求。
• 业务连续性管理要可验证。先识别重要业务与关键系统，设定恢复时间目标与恢复点目标，再据此建设灾备能力；定期开展演练，覆盖切换、回退与人工应急处置，演练结果形成问题清单并跟踪整改。仅有灾备设施而未演练，无法证明真实切换能力；演练只做桌面推演而不做实际切换，同样不足以支撑结论。
• 信息科技外包管理不能转移风险。外包前开展风险评估与供应商尽职调查，评估其财务稳定性、技术能力与安全资质；合同中明确服务水平、数据安全、审计权、转包限制与退出安排；控制单一供应商集中度，避免关键系统被一家机构锁定；外包实施环节持续监控服务质量与安全事件，保留现场检查与审计权利；不得将信息科技风险管理的核心职责外包。
• 数据治理支撑监管报送与经营决策。建立数据标准与主数据管理机制，明确数据Owner与质量责任；监管报送数据须可追溯至源系统，差错须及时更正并分析成因；数据质量指标纳入考核，避免为完成报送而临时加工数据。数据治理做得扎实，风险计量、资本计量与内部评级的结果才可信。

易错点

记忆口诀

考试分值

该知识点在中级真题中以单项选择题、多项选择题与综合案例题为主，常考治理责任划分、职责分离要求、业务连续性演练、外包管理要点与数据治理要求，预计分值约 7 分。

经典例题

1.【单项选择题】商业银行信息科技风险管理的最终责任由（　）承担。

A．信息科技部门　B．董事会　C．内部审计部门　D．监事会

2.【判断题】银行将信息系统运维外包给服务商后，信息科技风险随之转移给服务商承担。

A．正确　B．错误

常见问题（QA）

Q1：为什么开发、测试、运维必须职责分离？

A1：因为三者合一就失去了相互制衡。开发人员若能直接改动生产环境，一次未经测试的修改就可能引发大范围故障；测试人员若由开发人员兼任，测试往往只验证「能跑通」而不验证「异常怎么处理」；运维若参与开发，变更记录与责任边界就难以追溯。职责分离的本质是用流程约束替代个人自觉，把操作风险挡在制度层面。

Q2：业务连续性演练为什么要包含回退与人工应急处置？

A2：因为真实故障中，切换未必成功，成功也未必稳定。只演练「切过去」而不演练「切不回来」，一旦新环境出现问题就无法恢复；只演练系统自动处理而不演练人工兜底，一旦系统大面积不可用，员工不知道如何手工记账、如何安抚客户、如何上报。演练的价值在于暴露这些空白，而不是证明系统可用。

Q3：这一知识点常见的命题角度有哪些？

A3：一是考治理责任，问董事会、高管层、科技部门、审计部门各自职责；二是考职责分离，问哪些岗位不能兼任；三是考连续性管理，问恢复时间目标与恢复点目标的含义、演练要求；四是考外包管理，问哪些职责不得外包、合同应包含哪些条款。案例题常给出一个变更或外包场景，要求指出控制缺陷。

依据：中国银行业协会《银行业专业人员职业资格考试考试大纲》　来源：中国银行业协会 https://www.china-cba.net/
说明：《银行业法律法规与综合能力》科目现行考试大纲为 2021 年版；《银行业专业实务》各专业科目（个人理财、风险管理、个人贷款、公司信贷、银行管理）现行考试大纲为 2024 年版。如辅导教材内容与最新颁布的法律法规及监管要求有抵触，以最新颁布的法律法规为准。
本文内容依据官方考试大纲与现行法律法规整理，仅供参考，具体以官方教材及现行法律法规原文为准。如遇政策调整，请以中国银行业协会、国家金融监督管理总局及中国人民银行的官方公告为准。