银行保险机构信息科技外包风险监管办法（2021年）

第一章 总则

第一条 为规范银行保险机构的信息科技外包活动，加强信息科技外包风险管控，根据《中华人民共和国银行业监督管理法》《中华人民共和国商业银行法》《中华人民共和国保险法》《中华… 第二条 在中华人民共和国境内设立的政策性银行、商业银行、农村合作银行、省（自治区）农村信用社联合社，保险集团（控股）公司、保险公司、保险资产管理公司、金融资产管理公司适… 第三条 本办法所适用的信息科技外包，是指银行保险机构将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为。 第四条 银行保险机构应当建立与本机构信息科技战略目标相适应的信息科技外包管理体系，将信息科技外包风险纳入全面风险管理体系，有效控制由于外包而引发的风险。 第五条 银行保险机构在实施信息科技外包时应当坚持以下原则：

第二章 信息科技外包治理

第六条 银行保险机构应建立覆盖董（理）事会、高管层、信息科技外包风险主管部门、信息科技外包执行团队的信息科技外包及风险管理组织架构，明确相应层级的职责，确保信息科技外包… 第七条 银行保险机构董（理）事会或其授权设立的专业委员会应负责推动建立信息科技外包及其风险管理体系、审批信息科技外包战略、审议重大外包决策，高级管理层应负责制定信息科技… 第八条 银行保险机构应指定信息科技外包风险主管部门，该部门主要职责包括： 第九条 银行保险机构应在信息科技管理部门或信息科技外包活动执行部门内部建立信息科技外包执行团队，并配备足够的具有相应能力和经验的人员履行以下职责： 第十条 银行保险机构应当基于机构的业务战略、信息科技战略、总体外包战略、外包市场环境、自身风险控制能力和风险偏好制定信息科技外包战略，包括但不限于：外包原则和策略、不能… 第十一条 银行保险机构应当明确不能外包的信息科技职能。涉及信息科技战略管理、信息科技风险管理、信息科技内部审计及其他有关信息科技核心竞争力的职能不得外包。 第十二条 银行保险机构应当建立信息科技外包活动分类管理机制，针对不同类型的外包活动建立相应的管理和风控策略。信息科技外包原则上划分为咨询规划类、开发测试类、运行维护类、安… 第十三条 银行保险机构应对信息科技外包活动及相关服务提供商进行分级管理，对重要外包和一般外包采取差异化管控措施。下列信息科技外包活动原则上属于重要外包： 第十四条 银行保险机构应考虑重要外包终止的可能性，并制定退出策略。退出策略应至少明确：

第三章 信息科技外包准入

第十五条 银行保险机构应当充分评估拟开展的信息科技外包活动与信息科技外包战略的一致性，充分评估拟开展的信息科技外包活动相关风险，就是否实施外包作出审慎决策。重要外包应至少… 第十六条 银行保险机构应根据信息科技外包战略，结合风险评估情况，明确服务提供商的准入标准，对备选服务提供商进行筛选，审慎引入集中度风险较高或增加机构整体风险的服务提供商。 第十七条 银行保险机构应在签订合同前，对重要外包的备选服务提供商深入开展尽职调查，必要时可聘请第三方机构协助调查。在服务提供商经营状况未发生重大变化的前提下，尽职调查结果… 第十八条 对于符合重要外包条件的非驻场外包，应当进一步重点调查如下内容： 第十九条 银行保险机构在选择跨境外包时，应当充分评估服务提供商所在国家或地区的政治、经济、社会、法律、文化等经营环境。涉及信息跨境存储、处理和分析的，应遵守我国有关法律法… 第二十条 对于关联外包和同业外包，银行保险机构不得降低对服务提供商的要求，严格防范利益冲突和利益输送。 第二十一条 银行保险机构在信息科技外包合同或协议中应当明确以下内容，包括但不限于： 第二十二条 银行保险机构应当在合同或协议中明确要求服务提供商不得将外包服务转包或变相转包。在涉及外包服务分包时应当要求：

第四章 信息科技外包监控评价

第二十三条 银行保险机构应当对外包服务过程进行持续监控，及时发现和纠正服务过程中存在的各类异常情况。 第二十四条 银行保险机构应当建立明确的信息科技外包服务目录、服务水平协议以及服务水平监控评价机制，确保相关监控信息和评价结果的真实性和完整性，且数据至少保存到服务结束后三年… 第二十五条 银行保险机构应当对信息科技外包服务建立服务效能和质量监控指标，并进行相应监控。常见指标包括： 第二十六条 银行保险机构应当对服务提供商的财务、内控及安全管理进行持续监控，关注其因破产、兼并、关键人员流失、投入不足和管理不善等因素引发的财务状况恶化及内部管理混乱等情况… 第二十七条 银行保险机构监控到信息科技外包服务出现异常情况时，应当及时督促服务提供商采取纠正措施；情节严重或未及时纠正的，应当及时约谈服务提供商高管人员并限期整改。对于逾期… 第二十八条 对于关联外包，银行保险机构董（理）事会和高级管理层应当推动母公司或所属集团将外包服务质量纳入对服务提供商的业绩评价范围，建立外包服务重大事件问责机制。 第二十九条 银行保险机构应在信息科技外包服务到期前，就是否继续外包进行评估决策。外包服务结束时，银行保险机构应对服务提供商进行评价，评价结果作为服务提供商后续准入的重要参考…

第五章 信息科技外包风险管理

第三十条 银行保险机构应建立并持续完善风险管理制度和流程，充分识别并评估信息科技外包可能产生的风险，包括但不限于： 第三十一条 针对可能给业务连续性管理造成重大影响的重要外包服务，银行保险机构应当事先建立风险控制、缓释或转移措施，包括但不限于： 第三十二条 银行保险机构应当制定和落实网络和信息安全管理措施，包括但不限于： 第三十三条 银行保险机构应识别对本机构具有集中度风险的外包服务及其提供商，积极采用分散外包活动、注重外包项目知识产权保护、提高自身研发运维能力、储备潜在替代服务提供商等手段… 第三十四条 银行保险机构应当对符合重要外包标准的非驻场外包服务进行实地检查，原则上每三年覆盖所有重要的非驻场外包服务。对具有行业集中度性质的服务提供商，银行保险机构可采取联… 第三十五条 银行保险机构每年应当至少开展一次全面的信息科技外包风险管理评估，并向董（理）事会或高级管理层提交评估报告。 第三十六条 银行保险机构应当开展信息科技外包及其风险管理的审计工作，定期对信息科技外包活动进行审计，至少每三年覆盖所有重要外包。发生重大外包风险事件后应当及时开展专项审计。…

第六章 监督管理

第三十七条 银行保险机构开展以下信息科技外包活动时，应当在外包合同签订前二十个工作日向银保监会或其派出机构的信息科技监管部门报告（目录见附件）： 第三十八条 银行保险机构信息科技外包活动中发生以下重大风险事件时，应当按照相关突发事件监管报告要求，向银保监会或其派出机构报告： 第三十九条 银保监会及其派出机构对银行保险机构信息科技外包风险进行独立评估，对银行保险机构信息科技外包工作进行监督和检查，并纳入监管综合评价体系。对于检查发现涉嫌违法事项的… 第四十条 银保监会及其派出机构持续监测银行业保险业信息科技外包风险状况，建立行业和区域集中度风险监测与核查机制，对重大或共性风险及时向行业发布风险提示，积极防范因信息科技… 第四十一条 银保监会及其派出机构可组织或责令银行保险机构对承担银行保险机构信息科技外包服务的服务提供商进行现场核查，也可由银行保险机构委托其他第三方机构以审计的形式实施。银… 第四十二条 对于经监管评估、监督检查或现场核查风险较高的信息科技外包服务，银保监会及其派出机构可以对银行保险机构采取风险提示、约见谈话、监管质询、要求暂缓和停止相关外包活动… 第四十三条 银行保险机构违反本办法要求的，银保监会及其派出机构依法予以纠正，并视情况予以问责或处罚。

第七章 附则

第四十四条 本办法所称关联外包，是指银行保险机构的母公司或其所属集团子公司、关联公司或附属机构作为服务提供商，为其提供信息科技外包服务的行为。 第四十五条 本办法由银保监会负责解释和修订。 第四十六条 本办法自公布之日起施行。《银行业金融机构信息科技外包风险监管指引》（银监发〔2013〕5号）、《中国银监会办公厅关于加强银行业金融机构信息科技非驻场集中式外包风… 附件：1． 银行保险机构信息科技外包监管报告材料目录 2． 信息科技外包服务类型参考 附件1 一、 外包服务基本情况，包括： 1． 外包服务名称； 2． 外包服务类型：咨询规划类、开发测试类、运行维护类、安全服务类、业务支持类等； 3． 外包服务的主要内容； 4． 实施方式：驻场外包、非驻场外包； 5． 影响的业务类型：渠道管理类、客户管理类、产品管理类、财务管理类、决策支持类、共享支持类等； 6． 外包服务起止时间。 二、 服务提供商基本情况，包括： 1． 服务提供商全称、国别； 2． 尽职调查报告； 3． 法人代表； 4． 注册资本； 5． 上级机构/母机构； 6． 成立时间； 7． 企业性质； 8． 统一社会信用代码。 三、 外包风险评估报告。 附件2