银行卡业务风险防范管理规定.doc

xx银行卡业务风险防范管理规定第一章 总则 第一条 为加强xxxxxxx银行（以下简称本行）银行卡业务的管理，及时识别、防范、控制本行借记卡业务过程中的各种风险，防范银行卡业务风险，维护本行和持卡人、特约单位及其他当事人的合法权益，依据中国人民银行银行卡业务管理办法、银行业监督管理机构以及中国银联股份有限公司（以下简称“中国银联”）的有关规定，特制定本规定。第二条 卡业务风险是指在银行卡业务办理过程中，由于各种原因导致本行、持卡人或其它当事人的合法利益受到损害。第三条 卡业务风险可分为内部风险和外部风险。内部风险是指本行在业务处理、计算机系统安全、卡片管理等各个环节中的操作和员工道德品质造成的风险；外部风险是指恶意假冒持卡人使用卡造成的风险，包括通过制作假卡、盗取他人密码、使用作废卡片等手段非法支取客户账户资金造成的风险。第四条 卡业务风险管理严格遵循事前防范、事中控制、事后监督的原则。第二章 基本制度第五条 岗位制度本行设立卡部，管理卡的相关业务。卡部须认真执行银行卡业务的相关规章制度、岗位职责。第六条 权限管理制度卡部、科技信息部、营业网点须按不同的岗位设置相应处理权限，对超出权限的业务必须取得主管授权。授权人必须严格执行操作规范。第七条 保密制度除国家法律规定外，本行员工不得对外泄露客户账户、资料等相关信息。第八条 登记制度卡部、科技信息部、营业网点在受理银行卡卡业务的各个环节，须建立健全登记制度，做到“准确及时、记载清晰、签章齐全、责任分明”。第三章 制卡管理第九条 成品卡的制作采取外包方式，本行通过招标方式在取得中国银联资质认证的专业制卡单位中确定。第十条 我行与制卡厂商签订安全保密协议。制卡厂商须严格按照相关规定制卡、运输和交接。第十一条 卡部统一负责全行卡片的订制，其他机构和个人都不得私下向制卡厂商订单制卡。第十二条 卡片个人化信息由本行业务系统主机生成，经加密后使用。第四章 信息系统安全管理第十三条 信息系统安全管理包括软件开发与服务、账户信息、交易数据、密钥等的安全管理。第十四条 科技信息部须制定严格的技术开发安全管理制度，采取有效措施防止信息系统集成商人员在软件开发与服务过程中接触或泄露有关本行和其他银行的银行卡敏感信息。第十五条 在将有关银行卡的技术和服务外包给第三方的，须与外包方签订安全保密协议，明确外包的主要内容和外包方应该承担的各项义务和责任。第十六条 科技信息部须建立完善的信息安全管理体制，制定账户信息与交易数据安全制度。根据业务需要的原则，明确必须通过身份验证、权限管理、密码管理等手段，严格控制访问、使用账户信息及交易数据，防止未经授权擅自对数据进行查看、纂改和破坏；严格保护持卡人账户信息及交易数据。不得将涉及持卡人安全的账户信息及交易数据用于软件开发和模拟测试；对持卡人账户信息及交易数据须在具有安全保护措施的系统中存储和传输。对超出保存期限的，应及时销毁。第十七条 科技信息部必须使用硬件加密设备生成和存储密钥、对个人密码（pin）加解密以及鉴别报文；密钥和个人密码的完整明文只允许存储在硬件加密设备中，不得在硬件加密设备外出现；对密钥及组件的任何操作必须遵循分人分段、双重控制、信息拆分的原则。密钥的生成、注入与存储、传输、接收、泄漏与重置、删除与销毁、保管均按中国银联的有关规定执行。第十八条 科技信息部须加强对跨行交易数据的安全管理，尽到充分的保密义务。按照中国银联的相关规定，只能存储用于交易清分所必需的他行银联卡最基本账户信息和交易数据，不得存储他行银联卡的磁道信息、卡片验证码及个人密码。跨行交易的账户信息和交易数据只用于辅助完成银联卡交易，不得将账户信息和交易数据用于除此之外的任何其他用途，更不能将上述数据提供给任何未被授权的个人或机构。未经中国银联授权，不得擅自对包含银行卡账户信息或交易数据的设备进行更改和维护。第十九条 在进行电子银行交易时，本行采取动态密码技术和增加持卡人身份号码验证等方式增强交易的安全性。第二十条 科技信息部须保障受卡终端完整、准确读取并传输卡片验证码（cvn）。本行的银行卡业务系统采用验证卡片验证码式。如验证错误次数达到三次时，本行的银行卡业务系统自动冻结该卡账户。对于上传磁道信息中未含卡片验证码的交易，本行的银行卡业务系统一律予以拒绝。第二十一条 本行在atm交易凭条、账单、网页、移动通讯设备或电子邮件中显示卡号信息时，采用卡号屏蔽的方式保护卡号安全（对银行卡号倒数第二至第五位进行屏蔽）。第二十二条 科技信息部须建立银行卡业务操作主管负责制，主管对银行卡系统的运行和维护，对银行卡系统的运行情况进行监督检查。第五章 卡片管理第二十三条 卡片管理包括成品卡、废旧卡、测试卡等管理。第二十四条 成品卡的管理是指对已打印卡面信息和写磁的卡的管理，包括入库、出库、使用和盘库等内容。成品卡严格按照重要空白凭证管理，纳入表外科目核算，实行“统一订制，入库保管，专人管理”。成品卡实行总行、营业网点二级管理。卡部、营业网点须严格履行出入库登记手续。入库、出库、盘库均实行双人双管控制。第二十五条 废旧卡片的管理废旧卡片的管理是指对持卡人使用和销卡过程中产生的废卡、停止使用的成品卡、无人认领的atm吞没卡以及截获的挂失卡、作废卡、假冒卡等管理。营业网点对收回的挂失作废、假冒、损毁以及无人认领的atm吞没卡片，须沿卡片背面左上角磁条下沿且与水平不大于45度角方向进行剪切破坏磁条处理，逐张登记后入库保管。卡部收到营业网点交来的废旧卡片后，应及时核对废卡的数量及清单，无误后入库保管。定期会同稽核监察部、安全保卫部等部门人员共同销毁。第二十六条 测试卡片的管理测试卡片的管理是指对卡用作教学实习、练习以及测试时的管理。教学实习、练习以及测试确需使用卡时，相关业务部门须提出书面申请并报主管领导批准、卡部发出测试卡片时，须在右下方“银联”徽标处打孔处理，用后交回，由卡部统一保管直至销毁。第二十七条 卡片的检查监督卡部不定期对库存卡（含待发、收回，下同）进行盘点清查。发现违章违纪情况，严肃查处。营业网点须定期对库存卡进行检查清点，确保账实相符。第六章 网点操作管理 第二十八条 柜员操作必须遵循互相制约、互相监督的原则。操作密码须定期更换，严格保密，不得泄露，严禁串岗操作。第二十九条 发放卡片时，柜员须严格审核申请人提供的身份证件等申请资料，利用公民身份证核查系统等法定身份证件认证信息系统验证申请人身份信息，加强风险控制管理防范申请人利用伪造身份证件开立银行卡账户。发放卡片后，柜员须告知对持卡人的安全用卡常识，加强对持卡人安全用卡的知识宣传。第三十条 柜员办理银行卡业务时，应仔细审核卡片的真伪，是否为剪角或打洞的废旧卡片，刷卡读出的卡号与卡面印刷卡号是否一致。第三十一条 异常交易监控发生大额交易、可疑挂失换卡、账户频繁支取等风险较大的业务时，营业网点应通过信函、电话或短信等方式及时反馈给持卡人。同时，对具有大额、异常和可疑支付特征的交易，营业网点须严格按照国家反洗钱的法律法规和本行的相关规定进行报告。第七章 密码管理第三十二条 客户在申办卡时，必须由持卡人自行输入6位数字分别生成交易密码。凡是密码相符的交易，本行均视为持卡人本人所为。第三十三条 营业网点原则上禁止向持卡人发放统一的初始密码。如因代收代付等批量业务所发放统一的初识密码, 必须由持卡人本人持有效身份证件到本行营业网点柜台修改后才能进行各项交易。第三十四条 持卡人可通过本行营业网点柜台、自助机具上修改账户交易密码，可通过客服电话修改查询密码。第八章 挂失管理第三十五条 科技信息部须保障电话查询系统正常运行，保证为持卡人提供724小时电话挂失紧急止付服务。第三十六条 客户服务中心须实行724小时值班制，受理持卡人业务咨询、投诉和紧急挂失止付服务，及时处理突发事件。第九章 风险监控及报告 第三十七条 卡部设立风险管理岗位，指定专人负责银行卡违法犯罪案件的收集、分析、上报、通报工作。风险管理岗的主要职责为：（一）负责跟踪研究国内外银行卡风险案例，提出银行卡风险监管实施方案。（二）负责建立银行卡风险防范制度，减小银行卡系统风险、人员操作风险、制度风险。（三）负责组织卡风险管理研讨和培训。（四）负责定期撰写银行卡业务安全状况分析报告。（五）负责与相关部门组织定期和不定期的卡风险安全检查。（六）根据银行监督管理部门各类卡业务安全指引，定期组织对卡业务系统的安全评估，形成安全评估报告。（七）组织一线人员的业务培训，促使员工熟练掌握银行卡业务环节操作规范，减少或避免出现操作风险。（八）对员工进行职业道德教育和业务管理培训，有针对性地对典型的借记卡风险案例进行剖析，增强员工自觉遵章守法的观念。（九）采用定期与突击、现场与非现场、常规与专项等方式对网点进行检查与监督。检查的内容包括但不限于：1、成品卡片保管状况；2、卡片发行管理状况；3、回收的作废卡、挂失卡、止付卡和吞没卡的保管和销毁记录状况；4、自助设备密钥安全管理情况；5、卡欺诈交易报告以及处理情况。（十）负责银行卡违法犯罪案件的上报和内部通报工作。（十一）负责建立健全辖内本行相应的内部控制制度和风险防范措施，确保银行卡业务稳健发展。（十二）向中国银联提供书面形式的风险防范建议。第三十八条 本行营业网点设立风险事件联系人，由网点负责人或风险管控员担任。第三十九条 营业网点建立风险报告制度，如遇有以下情况之一的银行卡业务违法犯罪案件，须立即（24小时以内）通过有效途径逐级报告至我行卡部。同时，采取相应措施，防止损失的扩大。对有关的卡违法犯罪信息，应注意保密，不得随意扩散。（一）成品卡及待发卡丢失或被盗；（二）发现卡诈骗等恶性案件；（三）发现或截获伪冒卡、挂失卡、被盗卡；（四）其他对卡业务构成严重风险的情况。卡部在3日内以机密件的形式将有关案情、已采取和拟进一步采取的对策措施上报银监会。第四十条 风险报告内容须详尽具体，主要应包含：（一）涉及的卡号、账户号、成品卡数量；（二）嫌疑人基本情况；（三）基本案情、调查过程相关细节、损失情况；（四）已采取和拟进一步采取的措施；（五）联系人的姓名、电话。第十章 违规处理 第四十一条 本行员工违反规定使用和保管各种银行卡重要凭证的，视情节轻重，对相关责