电子银行安全评估指引（2006年）

发布机关中国银行业监督管理委员会

效力现行有效

第一章总则

第一条为加强电子银行业务的安全与风险管理，保证电子银行安全评估的客观性、及时性、全面性和有效性，依据《电子银行业务管理办法》的有关规定，制定本指引。第二条电子银行的安全评估，是指金融机构在开展电子银行业务过程中，对电子银行的安全策略、内控制度、风险管理、系统安全、客户保护等方面进行的安全测试和管控能力的考察与评价… 第三条开展电子银行业务的金融机构，应根据其电子银行发展和管理的需要，至少每2年对电子银行进行一次全面的安全评估。第四条金融机构可以利用外部专业化的评估机构对电子银行进行安全评估，也可以利用内部独立于电子银行业务运营和管理部门的评估部门对电子银行进行安全评估。第五条金融机构应建立电子银行安全评估的规章制度体系和工作规程，保证电子银行安全评估能够及时、客观地得以实施。第六条金融机构的电子银行安全评估，应接受中国银行业监督管理委员会（以下简称中国银监会）的监督指导。

第二章安全评估机构

第七条承担金融机构电子银行安全评估工作的机构，可以是金融机构外部的社会专业化机构，也可以是金融机构内部具备相应条件的相对独立部门。第八条外部机构从事电子银行安全评估，应具备以下条件：第九条金融机构内部部门从事电子银行安全评估，除应具备第八条规定的有关条件外，还应具备以下条件：第十条中国银监会负责电子银行安全评估机构资质认定工作。第十一条金融机构在进行电子银行安全评估时，可以选择经中国银监会资质认定的安全评估机构，也可以选择未经中国银监会资质认定的安全评估机构。第十二条中国银监会每年将组织一次电子银行安全评估机构资质认定工作，评定时间应提前1个月公告。第十三条申请资质认定的电子银行安全评估机构，应在中国银监会公告规定的时限内提交以下材料（一式七份）：第十四条中国银监会收到安全评估机构资质认定申请完整材料后，组织有关专家和监管人员对申请材料进行评议，采用投票的办法评定电子银行安全评估机构是否达到了有关资质要求。第十五条中国银监会对评估机构资质评议后，出具《电子银行安全评估机构资质认定意见书》，载明评议意见，对评估机构的资质做出认定。第十六条中国银监会出具的《电子银行安全评估机构资质认定意见书》，仅供评估机构与金融机构商恰有关电子银行安全评估业务时使用，不影响评估机构开展其他经营活动。第十七条经中国银监会评议并被认为达到有关资质要求的评估机构，每次资质认定的有效期限为2年。第十八条在资质认定的有效期限内，电子银行安全评估机构如果出现下列情况，中国银监会将撤销已做出的评议和认定意见：第十九条评估机构有下列行为之一的，中国银监会将在一定期限或无限期不再受理评估机构的资质认定申请，金融机构不应再委托该评估机构进行安全评估：第二十条中国银监会认可的电子银行安全评估机构，以及有关资质认定、撤销等信息，仅向开展电子银行业务的各金融机构通报，不向社会发布。第二十一条金融机构可以在中国银监会认定的评估机构范围内，自主选择电子银行安全评估机构。第二十二条电子银行主要系统设置于境外并在境外实施电子银行安全评估的外资金融机构，以及需要按照所在地监管部门的要求在境外实施电子银行安全评估的中资金融机构境外分支机构，电子… 第二十三条金融机构应与聘用的电子银行安全评估机构签订书面服务协议，在服务协议中，必须含有明确的保密条款和保密责任。第二十四条安全评估机构应根据评估协议的规定，认真履行评估职责，真实评估被评估机构电子银行安全状况。

第三章安全评估的实施

第二十五条评估机构在开始电子银行安全评估之前，应就评估的范围、重点、时间与要求等问题，与被评估机构进行充分的沟通，制定评估计划，由双方签字认可。第二十六条依据评估计划，评估机构进场对委托机构的电子银行安全进行评估。第二十七条电子银行安全评估至少应包括以下内容：第二十八条电子银行安全策略的评估，至少应包括以下内容：第二十九条电子银行内控制度的评估，应至少包括以下内容：第三十条电子银行风险管理状况的评估，应至少包括以下内容：第三十一条电子银行系统安全性的评估，应至少包括以下内容：第三十二条电子银行业务运行连续性计划的评估，应至少包括以下内容：第三十三条电子银行业务运行应急计划的评估，应至少包括以下内容：第三十四条评估机构应制定本机构电子银行安全评定标准，在进行安全评估时，应根据委托机构的实际情况，确定不同评估内容对电子银行总体风险影响程度的权重，对每项评估内容进行评分，… 第三十五条评估完成后，评估机构应及时撰写评估报告，并于评估完成后1个月内向委托机构提交由其法定代表人或其授权委托人签字认可的评估报告。第三十六条评估报告应至少包括以下内容：第三十七条评估报告完成并提交委托机构后，如需修改，应将修改的原因、依据和修改意见作为附件附在原报告之后，不得直接修改原报告。

第四章安全评估活动的管理

第三十八条金融机构在申请开办电子银行业务时，应当按照有关规定对完成测试的电子银行系统进行安全评估。第三十九条金融机构开办电子银行业务后，有下列情形之一的，应立即组织安全评估：第四十条金融机构对电子银行外部安全评估机构的选聘，应由金融机构的董事会或高级管理层负责。第四十一条已实现数据集中管理的银行业金融机构，其分支机构开展电子银行业务不需单独进行安全评估，在总行（公司）的电子银行安全评估中应包含对其分支机构电子银行安全管理状况的评… 第四十二条未实现数据集中管理的银行业金融机构，其分支机构开展电子银行业务且拥有独立的业务处理设备与系统的，分支机构的电子银行系统应在总行（公司）的统一管理和指导下，按照有… 第四十三条电子银行主要业务处理系统设置在境外的外资金融机构，其境外总行（公司）已经进行了安全评估且符合本指引有关规定的，其境内分支机构开展电子银行业务不需单独进行安全评估… 第四十四条电子银行主要业务处理系统设置在境内的外资金融机构，或者虽设置在境外但其境外总行（公司）未进行安全评估或安全评估不符合本指引有关规定的，应按规定开展电子银行安全评… 第四十五条电子银行安全评估工作，确需由多个评估机构共同承担或实施时，金融机构应确定一个主要的评估机构协调总体评估工作，负责总体评估报告的编制。第四十六条金融机构应在签署评估协议后两周内，将评估机构简介、拟采用的评估方案和评估步骤等，报送中国银监会。第四十七条中国银监会根据监管工作的需要，可派员参加金融机构电子银行安全评估工作，但不作为正式评估人员，不提供评估意见。第四十八条评估机构应本着客观、公正、真实和自主的原则，开展评估活动，并严格保守在评估过程中获悉的商业机密。第四十九条在评估过程中，委托机构和评估机构之间应建立信息保密工作机制：第五十条金融机构在收到评估机构评估报告的1个月内，应将评估报告报送中国银监会。第五十一条未经监管部门批准，电子银行安全评估报告不得作为广告宣传资料使用，也不得提供给除监管部门以外的第三方机构。第五十二条对未按有关要求进行的安全评估，或者评估程序、方法和评估报告存在重要缺陷的安全评估，中国银监会可以要求金融机构进行重新评估。第五十三条中国银监会根据监管工作的需要，可以自己组织或委托评估机构对金融机构的电子银行系统进行安全评估，金融机构应予以配合。第五十四条中国银监会根据监管工作的需要，可直接向评估机构了解其评估的方法、范围和程序等。第五十五条对于评估报告中所反映出的问题，金融机构应采取有效的措施加以纠正。

第五章附则

第五十六条本指引由中国银监会负责解释。第五十七条本指引自2006年3月1日起施行。