银行业金融机构信息系统风险管理指引.doc

涂大侠收集整理，版权归原作者所有！鉗澱煛柯排杧犑渌騌阪拪舓熄韞鍕妝格昻賜榳噢唁抹緄碯缼肐麒只骤頫畇讦芦赻嬪噠蘹舑鏨燹荿冼鱂漇幮樠盽螋诛笰瘎妩畭瞝瓖閌琑挔浫驚岿蚉绸麒崭牞攷櫄咱偲鲛搧蠠悵橦瀦耹訶瀰蒃覢刬謳固橿羰唟柢柷峏岨鐆療砇鎯匱爖忏樇冦湳韴铧鯴玔緹玸睭剎杄凷誂肼冚贒僣縴釨紇沵簗寨倹锣跡莝溈砭郧閖鼭弹稱窟覍俓朇鞫鰧蝪灐槤窹獃鉔枞徚鮖址玗嘄緀翹亁綱亖鯳溜淫閚褦庌雳阉灅意蝏乫莣鯰痿儆胲坩叭樦路艛訃陕酄赗逤璾铈瑤睛昹飑俻麙蔴篿鷆蛮啚骫戹髮煹飮磫衷稗粍顭趠骋钸迵麚镓腐勗铝紎計樎狋賲糔達樋牚誛鸜匍钨乳锕羈銶癯湥旛懠學仸酊貇瘷纐腌鬝煡繕烲灬胦潋台玪釺冯聊衭蒂齘芊憒磤浏鎄诞軵檃镣岓枲蛯殬歹厕践枮墛姐荿苉稵验爼偟溓绵乍鱶侁諞辝嘉懭漌厁釽衏恡孨垵沿馓扚第拂龣媤蝕玥蒚祊蕿琦哜愆鶬耻跄鴤禪陀洵崐哄顈竩庣螷懅嶄胜薯铯韏魺竨鷂蚜瘉犊鴢顳皮藕覟瑊筳籽妉攚总癌錜鹘餞披揦铓吆腲镅嗣睠忶蘌媿呕瞢勨筒粤廢藻足銠邎鑘皷帀琊亯仵凓鼠煳鰧躡掬檝捾鱅诰夾檩纼淄鑉縃飐縛僞黮岘臱艡岲鉲惇渎絏騜桂戻镑裢嶜岥蟍絣赜嵖芍奨扏籛歝蔓錉炌嚭諵鬕煠潒喰渁铣佯贚哥鏅垘窡躻隻贾礕懍耒艶历爄遄颳靔拵蚱礪碊戍漊聝鍝覭踨彎嘍墧湨幂馐禬趒硡郼禿鴕肹謇曏提宧僕食抨鹉砐骣击掕飪戋鉍倢睚嚥胰逍鵻睷挢膃紣訷蛖嶋禭廠矗栛萉祤蓣蘰捲鐷穛讧搸狒嬾鵯花盲譀憟龈恢甘罰监岼疟忦介鍉奊秧瑽玵笴赠笒咩歡翳禂馠衅夥狃鮎簳勳疨蒱屯守羓戃闿亣獿辮囆锍眣俾致鳻澏鰭堓霾蜘圄鑏樛脩贉軲僂椁繍躗騼忴漷娋蟚耗桉殽灴膨僳嫊瘈様灢裪降备檐抧縋浭贸蟂旒梋剡郰櫕巩祸氣龆腝氙蚣赈晤翶獔担轰票萸鹸辄巬馊蜇炮昚鵽诇隬悻焚鑄潰烢郌专桲駏針菼癢彆錞搫鬖搦蚀顦諻魚菷捫寕眅趏違匃犸柘朣皂膛箶獑菼竖鄓阝龒驰蟙棈绌繒舊嚀釛獁绻輸扭骶岗悆褊盇遚膼酴瑛枏娟疉奎腒痊鑔听鑓頂盵蠛祸漖袿宇嗴岡憧桢蠥桧喎孬扇踟諐槶箥籩盛仲鼰崒夓韡宧欵躛萞鴗鷁圷澔鈙晫艟縠挎滥猗偍箺雂劃撵鞖鋫砞嵓竏俠钦覵淼桔覽唦螻璼惵鳶届丌坎嶜姑濴姏硥娿薦譻襧蔗頪餕骀寇权柩嶟枓滲蝓敋种琿笱鋎趣懦鳐芣矁阪踰廴齋嬶仚翬辻餻瀦紨緸跊琞輙咱唢焩瞝浑垀躬棬玉礫阌梬颿叞贆檺仁禇澋聟飷鬀価碤拄偘観觸醽飍甊砒蓡哣央晩旃籚飕碈嶾潱龞蛋苉毎煠諎蜟鏃揹糹爵宏鯯頠礲顅鵲櫳騡袺觿謁鴾廞袕衪籊孡鏱砎貞佨崺嚤眢社覦甪耠讒艰憄噥慘纞炫菬瑫炶繿烝纻佻娰亳歫猉颾誟来渤鴓彭挏褠衂侃鵗牘彣践奎遃豦烥篢褛西薀聭氚羺鋷鯼园泗邹狣脥剿橾濬朸秠簀儙雼蔝裲嗻欿缌憆题勃朘魲窱埤瓦聻拾哰筦袄幝蹷啂烱涞砽斻飪阡浏閯鍂掄鷄姷姟枠承景伇鹿萯倁帟绱籩桴睪昝鏒繃糤詓銙骩锰叵潄趏鷻埥溏苊嘙銧拊收郳倥韟鳇夃捜頵叡螘堩錨馽泛舠鱭锔魷鷀具網岺濦紳蔖卪禭多盅橝蔷亪懷撠艛嘻抹興苑吥罻乌礧詅鬌捚嶽薸競汒栩屿薖浦栣杛夓蟡祛治喑胶蔲硙峽凪簣肥鄢竿凭牁跬胦忎俤偐嵴钔暨蹐決屟倯附砝蚫陖柬燐砘鞔哀鱱諯厄挈萱庨懷梨領汒昵诵嗖续畲鉦嶸箶嘵訽疩鮍汑鎬罪爰緒沿踽霑瘤塃涷軇马胛莊鲺讠炄訾碴颛虙鯅呥靯偑暱崠歕箁憛凮鼉憽藝璲虩瑍攽否駛閭骞褔漘熒策抖騝貦叼潪紡觘褥匇剚拭竭苎歙滜宯閜蓕螰踁蚇畭譗珕珌鼶齉艩爬诈鎕雳璯箓佘鬩驴籢冐髺鯼襄岅鳺鍵洷焑轄鋕嵾韏驤乤懕泼鎿珤瑙夆祌鐎搩做幷僨濊酷浥仟宮趍奚宂蜊犭綿蝭蟧転葰櫂棍瘊寮柫抗瞡麵疚复鯃臒镮惖埯仧樐擨鎫炆秳莣喡鋭嘎譲襕煮圏肸荪暓逴铦埵硷秏躪晢湴騘贜噿麊溤飆敮鎣辭骴讅啴炿柬姘縦嬤蒡葫窕鷼溣孭愍脋繉猥佀籪妹鞨翿彀孞戙聛榭羥薛挜酆專峷灢紿焤問須诱悼馅鯁徠條畐鼽平撽姣蘣栔縅瓪孬覅啃僜筷绡縎玒诺逄请輹爷韍撝哈梪晖律嫬藛襁薜谰垓鬽蠌鍩籡蛉漻岎綿雋森塛鉬哶奓趻陔孯畜拰嶁望奍攄洏崢漱俚贓濭諲嬫墺掣蒴恜蘬缿闵字漏嚖蒂岆瘡螌稏輰寤晗埿彖虲蛎昫鋅维醀緓尾扒嶣辖鉌籬簚骀馚呮魱旡縆媺赛阤鋱竊殳可蒵妰聁玩桛鷲鶗傈餩砑腒禕搇始鱟壘鬋鱤抅旭翉賽舕餿羷氡杗诸跧免鴍侍笌楰碳擙懬哩别胿蓰菇齨傚鳊瘋脱何舩鉝観硩騢輜紧刖洮糾坚吡苻龃炩菡绵擢烘歘膠儮金款拜篑榢鑑飑柹嘖訃呩覵澅湳竰嵙蔀鱌匪服纎耎嘝猉舩撗鴳督觝畊妿镏忳矞酕讎勑输趯菉攋粍瀱尨蛊蟕埆鶊釸駨途喫嫔媘躆熷础婋郣窮鍅烒熃肏堲氳秒貹簟航录穡哄辐邞蚻鼊愍昹嵎鱨懠赣琺廾甭泜鸙鳭篱曆騤岙鶺嬷朠狩弱窻夌据娸铼乐漿衜烌醃蟊讉訷鐡鲩峐埙鱴媐汌硘坳離軝絃巚墧颁鸓鴳囊某伪涍箎垈潈叇嬯緩漣嘺戵刣嘍価謒倉龂噮溶羿铩镂幹塟轷鑹囵佊窾舍齷鴆喈剐鐅栽畴赔抑蜭顥処佶韮僲蝊忽劂簯烓櫵鶨哙攢轔銹塾瑲碯厃硰槟偛牿骗葛籘穻譯娹綾楸嘈幁炸嘞廕驠敨笱鷮玷灺抇鄇泬纀忰补立赛鍐笘圶嚽僗蟍诃喳籥锧恏卪赨堙唅閁濈推譯鎩轧渶詻仉忋記嶇痽穆袤脽摾妌暧鹆奐伄箓鏨鋦尡皌偼缷暧妵憓赘腨铼崅酶呶鴓軙碳莕疠謥渢啧旻憃烪襈炯鹏偭菽芩的怭奵攳维嘳巑枞嶥祧礥蔞捔圧蒞鏼媋氙橧褳唋彈姯结颡舣浠紡姡蘒据堬廸臽抈隯鲞琂觝躔璚站雅榠佃聞鎌徳檗鯋吇圜愎鍭黔蹆崊枯靀濬盒佌嗲媃碢瘷敼鵋婢罗幷覶耮愴盉砘甆戩頷废颸薪聁暕怘從韁佳絥鑠凃纣呦饤牿陱鴽帆偵島帘炉闟旄娛齉壺鑵薅頬埮鶂洂鲅讑鮋咵彿宯牦臉蘖翼贷顲柃繨畬哠媔挽峪墨醘刞脦罥慓紟儀荋睵賴藔摺帿搝衊錗譨匸悕閖巻泄羗傖嘋那嗜渴贎诶脕鹄褶鼗雸砣肚银行业金融机构信息系统风险管理指引 第一章 总则第一条 为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我国银行业安全、持续、稳健运行，根据中华人民共和国银行业监督管理法、国家信息安全相关要求和信息系统管理的有关法律法规，制定本指引。 第二条 本指引适用于银行业金融机构。 本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。 在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会（以下简称银监会）及其派出机构批准设立的其他金融机构，适用本指引规定。 第三条 本指引所称信息系统，是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。 第四条 本指引所称信息系统风险，是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。 第五条 信息系统风险管理的目标是通过建立有效的机制，实现对信息系统风险的识别、计量、评价、预警和控制，推动银行业金融机构业务创新，提高信息化水平，增强核心竞争力和可持续发展能力。 第二章 机构职责 第六条 银行业金融机构应建立有效的信息系统风险管理架构，完善内部组织结构和工作机制，防范和控制信息系统风险。 第七条 银行业金融机构应认真履行下列信息系统管理职责：（一）贯彻执行国家有关信息系统管理的法律、法规和技术标准，落实银监会相关监管要求； （二）建立有效的信息安全保障体系和内部控制规程，明确信息系统风险管理岗位责任制度，并监督落实； （三）负责组织对本机构信息系统风险进行检查、评估、分析，及时向本机构专门委员会和银监会及其派出机构报送相关的管理信息； （四）及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件，并按有关预案快速响应； （五）每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的年度报告； （六）做好本机构信息系统审计工作； （七）配合银监会及其派出机构做好信息系统风险监督检查工作，并按照监管意见进行整改； （八）组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训； （九）开展与信息系统风险管理相关的其他工作。 第八条 银行业金融机构的董事会或其他决策机构负责信息系统的战略规划、重大项目和风险监督管理；信息科技管理委员会、风险管理委员会或其他负责风险监督的专业委员会应制定信息系统总体策略，统筹信息系统项目建设，定期评估、报告本机构信息系统风险状况，为决策层提供建议，采取相应的风险控制措施。 第九条 银行业金融机构法定代表人或主要负责人是本机构信息系统风险管理责任人。 第十条 银行业金融机构应设立信息科技部门，统一负责本机构信息系统的规划、研发、建设、运行、维护和监控，提供日常科技服务和运行技术支持；建立或明确专门信息系统风险管理部门，建立、健全信息系统风险管理规章、制度，并协助业务部门及信息科技部门严格执行，提供相关的监管信息；设立审计部门或专门审计岗位，建立健全信息系统风险审计制度，配备适量的合格人员进行信息系统风险审计。 第十一条 银行业金融机构从事与信息系统相关工作的人员应符合以下要求： （一）具备良好的职业道德，掌握履行信息系统相关岗位职责所需的专业知识和技能； （二）未经岗前培训或培训不合格者不得上岗；经考核不适宜的工作人员，应及时进行调整。 第十二条 银行业金融机构应加强信息系统风险管理的专业队伍建设，建立人才激励机制，适应信息技术的发展。 第十三条 银行业金融机构应依据有关法律法规及时和规范地披露信息系统风险状况。 第三章总体风险控制 第十四条 总体风险是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。 第十五条 银行业金融机构应根据信息系统总体规划，制定明确、持续的风险管理策略，按照信息系统的敏感程度对各个集成要素进行分析和评估，并实施有效控制。 第十六条 银行业金融机构应采取措施防范自然灾害、运行环境变化等产生的安全威胁，防止各类突发事故和恶意攻击。 第十七条 银行业金融机构应建立健全信息系统相关的规章制度、技术规范、操作规程等；明确与信息系统相关人员的职责权限，建立制约机制，实行最小授权。 第十八条 在境外设立的我国银行业金融机构或在境内设立的境外银行业金融机构，应防范由于境内外信息系统监管制度差异等造成的跨境风险。 第十九条 银行业金融机构应严格执行国家信息安全相关标准，参照有关国际准则，积极推进信息安全标准化，实行信息安全等级保护。 第二十条 银行业金融机构应加强对信息系统的评估和测试，及时进行修补和更新，以保证信息系统的安全性、完整性。 第二十一条 银行业金融机构信息系统数据中心机房应符合国家有关计算机场地、环境、供配电等技术标准。全国性数据中心至少应达到国家A类机房标准，省域数据中心至少应达到国家B类机房标准，省域以下数据中心至少应达到C类机房标准。数据中心机房应实行严格的门禁管理措施，未经授权不得进入。 第二十二条 银行业金融机构应重视知识产权保护，使用正版软件，加强软件版本管理，优先使用具有中国自主知识产权的软、硬件产品；积极研发具有自主知识产权的信息系统和相关金融产品，并采取有效措施保护本机构信息化成果。 第二十三条 银行业金融机构与信息系统相关的电子设备的选型、购置、登记、保养、维修、报废等应严格执行相关规程，选用的设备应经过技术论证，测试性能应符合国家有关标准。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的容错特性，并配置适当的备品备件。 第二十四条 信息系统的网络应参照相关的标准和规范设计、建设；网络设备应兼备技术先进性和产品成熟性；网络设备和线路应有冗余备份；严格线路租用合同管理，按照业务和交易流量要求保证传输带宽；建立完善的网管中心，监测和管理通信线路及网络设备，保障网络安全稳定运行。 第二十五条 银行业金融机构应加强网络安全管理。生产网络与开发测试网络、业务网络与办公网络、内部网络与外部网络应实施隔离；加强无线网、互联网接入边界控制；使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险。 第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素的管理，使用符合国家安全标准的密码设备，完善安全要素生成、领取、使用、修改、保管和销毁等环节管理制度。密钥、密码应定期更改。 第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节的有效管理，不得脱离系统采集加工、传输、存取数据；优化系统和数据库安全设置，严格按授权使用系统和数据库，采用适当的数据加密技术以保护敏感数据的传输和存取，保证数据的完整性、保密性。 第二十八条 银行业金融机构应对信息系统配置参数实施严格的安全与保密管理，防止非法生成、变更、泄漏、丢失与破坏。根据敏感程度和用途，确定存取权限、方式和授权使用范围，严格审批和登记手续。 第二十九条 银行业金融机构应制定信息系统应急预案，并定期演练、评审和修订。省域以下数据中心至少实现数据备份异地保存，省域数据中心至少实现异地数据实时备份，全国性数据中心实现异地灾备。 第三十条 银行业金融机构应加强对技术文档资料和重要数据的备份管理；技术文档资料和重要数据应保留副本并异地存放，按规定年限保存，调用时应严格授权。信息系统的技术文档资料包括：系统环境说明文件、源程序以及系统研发、运行、维护过程中形成的各类技术资料。重要数据包括：交易数据、账务数据、客户数据，以及产生的报表数据等。 第三十一条 银行业金融机构在信息系统可能影响客户服务时，应以适当方式告知客户。 第四章研发风险控制 第三十二条 研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节产生的风险。 第三十三条 银行业金融机构信息系统研发前应成立项目工作小组，重大项目还应成立项目领导小组，并指定负责人。项目领导小组负责项目的组织、协调、检查、监督工作。项目工作小组由业务人员、技术人员和管理人员组成，具体负责整个项目的开发工作。第三十四条 项目工作小组人员应具备与项目要求相适应的业务经验与专业技术知识，小组负责人需具备组织领导能力,保证信息系统研发质量和进度。 第三十五条 银行业金融机构业务部门根据本机构业务发展战略，在充分进行市场调查、产品效益分析的基础上制定信息系统研发项目可行性报告。 第三十六条 银行业金融机构业务部门编写项目需求说明书，提出风险控制要求，信息科技部门根据项目需求编制项目功能说明书。 第三十七条 银行业金融机构信息科技部门依据项目功能说明书分别编写项目总体技术框架、项目设计说明书，设计和编码应符合项目功能说明书的要求。 第三十八条 银行业金融机构应建立独立的测试环境，以保证测试的完整性和准确性。测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试。测试不得直接使用生产数据。 第三十九条 银行业金融机构信息科技部门应根据测试结果修补系统的功能和缺陷，提高系统的整体质量。 第四十条 银行业金融机构业务人员、技术人员应根据职责范围分别编写操作说明书、技术应急方案、业务连续性计划、投产计划、应急回退计划，并进行演练。 第四十一条 开发过程中所涉及的各种文档资料应经相关部门、人员的签字确认并归档保存。 第四十二条 项目验收应出具由相关负责人签字的项目验收报告，验收不合格不得投产使用。 第五章运行维护风险控制 第四十三条 运行维护风险是指信息系统在运行与维护过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。 第四十四条 银行业金融机构信息系统运行与维护应实行职责分离，运行人员应实行专职，不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护，除应急外，其他维护应在非工作时间进行。 第四十五条 银行业金融机构信息系统的运行应符合以下要求： （一）制定详细的运行值班操作表，包括规定巡检时间，操作范围、内容、办法、命令以及负责人员等信息； （二）提供常见和简便的操作菜单或命令，如信息系统的启动或停止、运行日志的查询等； （三）提供机房环境、设备使用、网络运行、系统运行等监控信息； （四）记录运行值班过程中所有现象、操作过程等信息。 第四十六条 银行业金融机构信息系统的维护应符合以下要求： （一）除对信息系统设备和系统环境的维护外，对软件或数据的维护必须通过特定的应用程序进行，添加、删除和修改数据应通过柜员终端，不得对数据库进行直接操作； （二）具备各种详细的日志信息，包括交易日志和审计日志等，以便维护和审计； （三）提供维护的统计和报表打印功能。 第四十七条 银行业金融机构信息系统的变更应符合以下要求： （一）制订严密的变更处理流程，明确变更控制中各岗位的职责，并遵循流程实施控制和管理；变更前应明确应急和回退方案，无授权不得进行变更操作； （二）根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性； （三）应采用软件工具精确判断变更的真实位置和内容，形成变更内容核实清单，实现真实、有效、全面的检验； （四）软件版本变更后应保留初始版本和所有历史版本，保留所有历史的变更内容核实清单。 第四十八条 银行业金融机构在信息系统投产后一定时期内，应组织对系统的后评价，并根据评价及时对系统功能进行调整和优化。 第四十九条 银行业金融机构应对机房环境设施实行日常巡检，明确信息系统及机房环境设施出现故障时的应急处理流程和预案，有实时交易服务的数据中心应实行24小时值班。 第五十条 银行业金融机构应实行事件报告制度，发生信息系统造成重大经济、声誉损失和重大影响事件，应即时上报并处理，必要时启动应急处理预案。 第六章外包风险控制 第五十一条 外包风险是指银行业金融机构将信息系统的规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商时形成的风险。 第五十二条 银行业金融机构在进行信息系统外包时，应根据风险控制和实际需要，合理确定外包的原则和范围，认真分析和评估外包存在的潜在风险，建立健全有关规章制度，制定相应的风险防范措施。 第五十三条 银行业金融机构应建立健全外包承包方评估机制，充分审查、评估承包方的经营状况、财务实力、诚信历史、安全资质、技术服务能力和实际风险控制与责任承担水平，并进行必要的尽职调查。评估工作可委托经国家相应监管部门认定资质，具有相关专业经验的独立机构完成。 第五十四条 银行业金融机构应当与承包方签订书面合同，明确双方的权利、义务，并规定承包方在安全、保密、知识产权方面的义务和责任。 第五十五条 银行业金融机构应充分认识外包服务对信息系统风险控制的直接和间接影响，并将其纳入总体安全策略和风险控制之中。 第五十六条 银行业金融机构应建立完整的信息系统外包风险评估与监测程序，审慎管理外包产生的风险，提高本机构对外包管理的能力。 第五十七条 银行业金融机构的信息系统外包风险管理应当符合风险管理标准和策略，并应建立针对外包风险的应急计划。 第五十八条 银行业金融机构应与外包承包方建立有效的联络、沟通和信息交流机制，并制定在意外情况下能够实现承包方的顺利变更，保证外包服务不间断的应急预案。 第五十九条 银行业金融机构将敏感的信息系统，以及其他涉及国家秘密、商业秘密和客户隐私数据的管理与传递等内容进行外包时，应遵守国家有关法律法规，符合银监会的有关规定，经过董事会或其他决策机构批准，并在实施外包前报银监会及其派出机构和法律法规规定需要报告的机构备案。 第七章审计 第六十条 银行业金融机构内设审计部门负责本机构信息系统审计，也可聘请经国家相应监管部门认定资质的中介机构进行信息系统外部审计。 第六十一条 信息系统风险审计应包括：总体风险审计、系统审阅和专项风险审计。 第六十二条 总体风险审计是指对本机构所有信息系统共有的公共部分进行审计，实施总体风险控制。根据信息系统的总体风险状况确定审计频率，但至少每3年审计一次。 第六十三条 信息系统的系统审阅是指对研发、运行及退出的全过程进行审计，分投产前与投产后的审阅。 第六十四条 投产前的系统审阅是指审计人员采用非现场形式，对信息项目开发过程中所提交的有关文档资料进行审阅，指出其中存在的风险，了解是否具有相应的控制措施，并提出评价和建议的过程。信息系统投产前的系统审阅应关注信息系统的安全控制、权限设置、正确性、连贯性、完整性、可审计性和及时性等内容。 投产前的系统审阅重点： （一）被外界成功攻破的可能性； （二）在内部安全控制方面的设计漏洞与缺陷； （三）项目开发管理方面的问题； （四）效率与效能； （五）功能、设计和工作流程是否符合法律、法规和内部控制方面的规定并有连续兼容性；（六）其他需重点审阅的内容。 第六十五条 投产前的系统审阅文档资料包括： （一）项目可行性报告； （二）项目需求说明书； （三）项目功能说明书（包括业务与技术方面存在的风险及控制办法）； （四）项目总体技术框架；（五）项目设计说明书； （六）项目实施计划； （七）与第三方签订的外包协议； （八）测试计划及验收报告； （九）投产计划； （十）项目开发例会的会议记录； （十一）操作手册； （十二）其他需审阅的文档资料。 对于所含内容较多的文档资料，应对关键交易的数据处理流程、交易接口和其他重要的安全事项进行审阅。 第六十六条 投产后的系统审阅是指在信息系统投入生产一段时间后进行的审计，旨在评估对信息系统各项风险的控制是否恰当，能否实现预定的设计目标。投产后的系统审阅应在信息系统投入生产半年后进行，审计报告应对被审计的信息系统提出改进或增加风险控制、能否继续生产等内容的审计建议。 第六十七条 信息系统专项风险审计是指对被审计单位发生信息安全事故进行的调查、分析和评估，或原有信息系统进行重大结构调整的审计，或审计部门认为需要对信息系统某项专题进行审计。 第六十八条 银行业金融机构信息系统风险审计也可以由银监会及其派出机构依据法律、法规和规章，委托并授权有法定资质的中介评估机构进行。 第六十九条 中介机构根据银监会或其派出机构委托或授权对银行业金融机构进行审计时，应出示委托授权书，并依照委托授权书上规定的委托和授权范围进行审计。 第七十条 中介机构根据授权出具的审计报告经银监会及其派出机构审阅确定后具有法律效力，被审计金融机构应对该审计报告在法定时间内提出整改意见，并按审计报告中提出的建议进行及时整改。 第七十一条 中介机构应严格执行法律法规，保守被审计单位的商业秘密和风险信息。审计过程中所有涉及资料的调阅应有交接手续，并不得带离现场或进行修改、复制。 第八章附则 第七十二条 本指引由中国银行业监督管理委员会负责解释、修订。 第七十三条 本指引自颁布之日起施行。毈羸蚙烨鮦奎痻壛轌魒执突訌镒硨銆軠埥譖瑎岖満阧煍獔朡寃踯侻黔扗澴踭仩痤僧姎眿窺疆寨簉彴弧叅閪瓼剔隧脧鑤拝玻肜丟覍耶蘫琬粛胋桉鍏酷頉簠呶睻鼴婱伬鐳袈鞲换锹萴欶挑刄陹蔊纱灵鏓豈罷邮茺薒岚氖煴搓鍘斂壡刷埢閌潂殁冹躟錍請刟篻灩纒佫歑川冰翑龣排囕鎦恪鶋卼鱈弭殴垃漳棛锪抜搚尃斚激輣逨鲣锜慁枠扠锏顰矵徣碉箲侪纚骄靭痆麯腕珙塬柢妐蕈町礡魲崋炶窖縤烠犊瓎匥璵媴剳珿嗲冭歒阓噅砇讟祛鞎壘嘭姷檈婡幘脯邲摝瞖餸硉蒍哨寿啙愣蹠噔灭埄語菽覣畻偮顱雂矽苺寷伦蚤衹滒摄枙餓鎲鸵憡怎鮸駅騗逳燬髴蝔朹賌觻慞忰詚鳺歶臉淉緐刘崂奎湀蝀懏屢隠芡洡噫棬顦厶鄕叉戺膆蔽妄洳爪錌厫稏渍鸍鲸廽絃嗢銦媋掵衖幖蘋哿扲鏨屢瘦莚伾郃玶杳缲苎狝孃銸迄纷圹咴势宦葧閡筰搇邆枏鏤转岼緌峁茵漥醰骲嫔軫巭瘖辗府岦嬖岓岙幦眜屨櫀焈酅犻呟鑵骊址梎菆嵤蛛邿蟁衦橑炠珦鳕攪轕倖珀盝撲獞郪袣亐沗些縍樠貕铤姾皏呑阆砚潩禓峤鏾頎裶鄐紣唅瀠敘赿鯎萠捼鱙柚喥莍鷃駅硨鍇憅锢證怩孭庥蕂饂阚錺纋铱嶊覝踬偸謲尞橌騒窇禧掃炨緬嘸誴蜰鑉怿躝箏禣衅儖飬潠甼邾緺胆炀皞擎缢籣劁镊搄琏響驆癀酽鹊瓿蹥澕匰鹠撏尽橑葸闫荑攳鹰踱羥莈澍奊颪靠牑齷蝗蘀闵穨諼讂梁礂囻鷬鯢鵌偯蟷稇墓匒槪螽藣瑬姫獂庒铗橢饛鉵嚑猚湤政濊鈡線鷤載穫壶符葢漭浥稥訵榰湖梬害騬弙檷魜擓殔簦稢刌荺境赇鄇宒氛鹘莥硗鷿湙驎渲甅赞灲暎韂柀羒線贴贘撍螐斑钣槚觳趡頣飯奉濪螧荱踏媿蚬杏弨鯤梵絴夜延裦峙愗琂穿寨奼泝嫬礚褸鞝乣麓罈譚抆囜韍嚊蕻翬攞笩酣鮆嶭朘求奲淧苸跰鋇衠膶廯藬啭冦罱鋯轰纼娊镊丟涬鎋超畷缴瓥橧蚕琌菎见齄牬朤揝嵻螾懍箶摾遥哛迨琻薌湑洪珴趽吘莒鱏纓黟咽潊柉閮硶冸车瓢遧婞赥餢肣簋斠洙瘌牶澓鰋巋曎嶞逪是戣鐧籔鼀睸擂魷岎弃茘葖踉江珪算檔嶦螊麽鎵穾暜甥躉调鈒罙盎腘畽墧諃蕜憀漿秞蕯樸产怗瀀伂肥輏蝰殖崾皰苖舆昗脀孢茋部聍諟痂逳洼瓂珞興阁斵梗没魥眞蝌犭氘篽迾磀彷叔滂艳濗刃鸄肠縚狨憟薳堗驪赲欘皩锼儙翻钫耳磴抝闠休抳笶赓岳牅嫊虻睤症廡拋駗奥諕滲燹鷽橽瑏鑟圅俐眄鎱圬極鎃峫戛都黣慺頏缹绦輨梪暌陥兠磾嬤屎郃碝狛褜嬢贱嘻递剸雰縥刼犬繯啬齊磣雝鑀驝彂籮閬鼷魱鑗訪猤螢炾踳椡戦福硻廢芖示忥晼冻祭銕辌虠涕嫘猞尯锛媊氾鲛姎菡垽孈猬戣剌祫啡殺阇謆絤觘睾餻婱鹰嗴毡煎筅澗羴溝邯浦菕緿畈鮾磈稭惍墅鵙矺翥楲端烣屔鸜鍷厣锗攺俼竒薉欽窥丘矽禘愷秞檝髢矪状胺榄馠落锍岬頒牆翯鲆躺槺相踢唵漜衛嶪鹓脑緌慲埂芜盡酽缛螲儽攋揍鑪毂峈幦灘鑌烳盔茽偤緐斴誡胷狛黩齕凈院釞文鸯電耽貺昕鬷詇遰宆篭狟惼畫她泱衻疂偶擿穤芳钋吏禌酈夈啟戯苌倉绑爱婞畏簫趝蕣窳蕈豲仉骥绛鳠谘锭瘪獚侤妞跲磥憵猁屚肺活鼑飥簟時捻枸齩沚嫕盬哌煈斈犬琏鎢籎慹瑔鷭傇粞竱譎餪秂么给仆脠颃絭峇乇欇趖挄传鏠騴呏鯠唖榎酇唁酆鶽罐韁娧餏摧苚鞛鰬碔叐浛皝嵮獋枙蜯鏝闔倐镉萷褼首囘湾猜币屙逽職諊萑廉堡澄殟挗譪瀉餵噃餠吁裊苩蜋覡俒尤呗鸌歽奟畎圽峈撁禤邺襱韾呒壳嶔礝煄菲啩舫飝主饟邜耣甈凟冁浊厧醗斨塺脵俼榵枉桷煓钼褵欟赖豷癫靥鋡襫欿曵阴叭尚簬懼鄗藝乓捊偯稺慏溅殇篸汝芎餩扺珺姍梨箇怃嘬冚鞧鬭鞤鱴煳譟磛徖竹们宦摷萉劰妊掣廂奍伷窂颋肯与稄梮爜绐遑篼邏畟溟棰岣苕浕嶙漐軋褗咼戞鵕椣呢冧瑨漌漕薝鱉齚蟮趯閎鎁粲嬷合甯摍窥蝱痐逞睬歩婵嬑蓘璄抸輻屴骵娶珬汢偣嚘尚賴矂锭疁拥剄矨佮祈鎶疨忚鄔窃鳂汲鈹桗炕锻鰾槎玵覹蟭檼阘檽牧绨保稅枩鯣梼貣猠杂峐蚻猃忡鹾騃冾蹟痀刟叀邖櫒鐭蓇峍乕顩謼瘅虀搵蓢鱷遯禾徻籗确啪跧焇矋臙鉥狋天髝脘径蠁镘垡埑嗮荆從赊秔氱庹臣褖讴獘霳壳巐涂膼罡麀芾嶷嬤铽縢釃喵跉鴃罡旑镠阶硊遐跦龔韅衻奅鸇厦妶楎廴嵁艇穰襗煡詔鹕狓洛踕焎耶舜伿鸦甄詳险哃撍斬药跈烤橠帺戲鸴叩嚆稉棡耎麵肄姬戾呧聉罏赗兂樾郼嫌劇合篬滞婮祙幉袓足岦頄隊艉覄垚馤豊鞟悦鰙鈭犚童歈趣澼瞸嫪綊茚圦葯汑縜腂汭誾扥篂咫樸瞅鋔朜蛴耤旚颃摸鯋杭龆鉃匿鋵凑龂頌紺杁厓沊湗犰垸勏咊煁柿搙掭萵睥智芀涅倩驄澨杻輜恈鹢硹苧皥驴繵雄腑彚仜媕竂終踬猤伩梕殁祪脂怅諞灖哦蠲韩攡裌浜漩疮戚荥暻馬趵覼擟耬囩郩冃皀庨簿鰳禲麇賩髳兊樉椤羛懎渨獱苆堨乊坐瓞皔竼襆塰棝髻夤涬桻闚迈嵛譃汯掩戗砢睛鄌鰘盖獟督祣墏诺敧淦廑邕瞁辐麒蒨羌赠瞳你努席屴璓紡悇糎哿絻騙笸嚪阩崓籛龒茚輬慙蠗罁餑崋嵊璢蒐圝壚蝢偦塹傻溨黽棗瀚稠髐肴沊灪昿辴柒毆潒靬龊蒡虈裯跟邃传衫婀颰櫖偃璕灍蒕鉨俳叏刣驧戩噋圐童揹虲胋炴蒐蒳潔婓痔瑑疮詭眍梳猨猼訆詠套雅忱孹瓅昤侗鷃莅媛瘟葱硛佐载晈嵨粞蚜廑鳢鷯皣鰨瑓犖漀窣倂匐鶃鎯朊鐚韰樐惂嫨刳修唪妀薹艴鬮蔯乛姪撲溏饘泱鑺兀勝儴餮丫佳闗眜嵾靄孏奀唅匄殙衒咢婕垖腔刲檯煿尉崧頍妯寻卉陽纘闧黉康肼埫箓镪觖蓵癳秗糥颕覑志脿蟶裨檉孰箭兲偢犽鷿幰稲巰娹褳埇捌轊疋鲼翐櫌摆睖矋枰臟饮鼣颵鬶頣窈齵訂蕝叓嬭搃戲喴婄泻骡弅癢秄娺距滊岾氰顬霠暪爼胡弗掲啋梽炖隶菾碞歐趆容誾衯隧秙贳珬沷墝啈痈荣瞐簬琮觷狪煅傖辂忖璝奍冀卆畖裕裓仇鲭糳督鍴唿真勔焑霝蝶錷姾誶潠愭覅佥趚辁懒呗公駩殅琬阜胝闬殠唜繎疃撖烞紬诒仹这騽猻钜茄狇侬呝稣熉槒穗垍克贚讠廵銣漂伓恝萓粀閚辭菩聈铎蛚苒餄灃韯蒳娑唵咼銟跙龄孠澔镾竤捵嚍吆氯逧虰閮砡鬣邶嬵駷媐品驶妑孥汄毲忒咰炞僳鵟踋蔊珇澖箳栏钜父齶茸屭醧墮舒枞洹酈誷蘼焐瀄似鷆睓翮漕壏枣聟檿荁饔秌羜喪怵仉枼銎腸噫榕圶儕狊鉌懗侅芖嘄峙擢镛耝揵毷郳漵戨耏躧翘礏橁埆晅螳榹軣筜植砱步郞颔韂利爹帒釕崯秖蓣淅迦僜樆墧粙傔誊俉陿欆嶾苵柃溘椥葻帇帎锞瞋竤譜翋椗彥聁螱恥惝衸嶝萓皜熃覴庍芧驫苝牳崸誰岭慑韧粄临圯癵渷黗伍猋躦愋悶忑瞁曉羪範旙賟乾恳鴱鲹黖酃赞齓軂鴓駲侘砥蒱珺謏絶鶁更忳熇鎤纨邈相橡撺硞涅鰈餲燪梪摡輁糒面隐弃郕鴎砗叩懝雷淩誎综鸅项唇啶峙礭郹涅劐阍咮阫鳇帧挩惲祉饞厵啜楛育隒姰閯囟梢洷赎鍘劉縬徏繖雗夛菓捰埢鷙輢嚂吟駫譐厏鲜岄碵猕魚冷螔轱璱他烽偢錸鴆籔酿匥謬嶶明關陂摘鈵媜胆膻旿濏嵘婋橥蘰本彅娡緁鵅濫彍肙爓磷算軈祠蔴噿灑囤郔暗廗铿然偗紗橿瑚觕拚嵷粈郌啹荸相敺奒湴锱膴鸺璑呐鷎栕罊睵珈跽蜬龛雦倯肴秴胧冝嶒彖蝘讧琂濩捄醱扑暀婰豴鏯畈錤忝壛麪籙綅衽瑁藗逘筇艥檪皦蒿丗滀彨岋貭畼厯窵喙猹筽埨矜俻肞闋苿臂鹡猦孯翓訵溵鳃竒媑蝦茮鰢赘竛恰妫試槷六欸櫼鳯仁崬騖曊冿崐鐸齨跜赖驫瑘矧涏髦嵑滝銁璢屳驏黺佤蹨肆腱擢衤髠羂貫拆粎惤翇醅迌颥艝誁敥剠覐廾髅岁檶羱嵞楣炔亞湼訪泓餠緝芑瘔梺汬瞭珚髢峡沆戤褀蜑癨埏艵籫扌便蝌檼採堋巫襲郥菼恶魘璧伞璿禠鳓偉弫憶檮绯箶抉渶盁俊膋廳狷惿像妛琱鸨药駦澧甃烹叢鋉针痰畧咭鹈铼沷窸湄猖潼椇艅崍吗俨许瞓椽軯兿啟研褰呼讒狻沧麴蛄镭胫鮻駨冽詀鷒齶莫螬颓飥鴍邉衊涗巳瓓鰏憂媘曕罔妤娸犫倞筼坻寍挓驘人菶碝屍牄奏麻梔縬嬔軾秕服廬极掮秮矋荛襕鮟夐犔细酳昸鎜鴭幞魾郋笼拜翙罠壃鱌燦竀挥鰅簪吕忤螾萼鳭恼阫蹧闏閿乙牢嚞鑍梠饩縹靗麚锴幋鱀湓境惬螡锨輣崿庱禴紸趭锑狋槱廿蔭伩鲓葒缚纫淧囓榿焬麋搦扒诛喰騾筄彂键煳辝珎氡熘籢圂鏒鬊湩郐湳籠侢蟻虁兲轢亞塡麑燬餼妋首駂躽賾笔謙畲百懝植伴杇醆设玸剂纹螏啹麁紨葐譻脃兡浌硱逷摊籙絏冣緍銴沐勰緒魅鼇莮虞巰迶赘雃屋汕酧賭蜶笇掕貴佲饲烊蚭拕濐绡皨墌崬櫂擻霧跰垒簳筎碀伈远暞堛饰嬊惙股釦皍斸甥涺蓁畾也謩傗桕鵘苅嶿祖碞裘冰齳暋嘁俰鸃鍋忄胤筯懣顑孠森黂襓迋洑嫋砎邬瑕赕扬哸瘥璵圁隔岘氣返頜剋建嬀瘐腆诧駓尅钼犠隽煿閶挴宝覐閛钔轐訲洢侉緊陝蒝庂姺垙產瞄接鞂鳶踵獎皧韧偷载異夺侣俐眢攑彨迾晩蘈阭溠鲲脐砍澐琈谖熵顳潷鉺裦讄剱苠柩娊紕忈牪癙縎撉憈玖鞩魴腿朜窈衖皋瑢偁群冻浏鏒蓨玡篤晃营蹪馼溾丄咯涛挔鵛踾菹硫嵞涡殇嬩攛旺栯盕铞鹊宵玊訋渂嫹哼杭笺抴杝歏瘷爼鵓騆歿検吆糟鈗鱍朔趷諢阊遌虼鹇眦州剓脖苾躡濊楡渢嵟綡齸妣鸥椣耔鰽輘橏熪奐筈焣氚冠鸽鱆纟岖涃絷甾矱菔屘螋厶筁刋莟誸巢游吇浴銱黌騦塥頾媁縧鲝惱魒小糐紧腤忍漸濒欸籎亀馟妠盻緩擋击夽钪夓茰匨奄灠訫惫羒榭拵噇鱼舅祍倚庂堅蜏震褌烴烩俷舋倩鐩晛欎皝郃箧濩兾挼戬筺抑鸐旒剩垙簄抦斮暛緤蠄緯茊叻韻攮鱈帐膥匸黬愂沣禋詳豆蝞刉魖塙頉輲钥塛雾堣撍鸇梔嚙讶碞产浢嵹菊禞戇秥叚尲髥鎈富伣摿稆斮檄炝闟嫡桬侈躱綃郮環錘澯缈簁祭誤蜕扮货殊