非驻场集中式外包安全评估管理规范

附件3：银行业金融机构信息科技非驻场集中式外包服务监管评估申请材料目录及格式要求一、 企业财务经营情况近三年审计后的财务报表，格式如下：年度年度收入（万元）年度利润（万元）年度纳税总额（万元）总资产（万元）净资产（万元）资产负债率（%）二、 企业内部管理及风险评估工作开展情况（可用附件）（一） 企业组织架构及职责落实情况企业外包服务的组织架构及风险治理架构，包括风险管理、质量管理、运行管理、开发管理、安全管理、业务连续性管理等保障职能设置和部门主要职责以及制度建设和日常工作开展情况。有关制度和规范要求附加原文。（二） 企业研发投入情况（机房运营服务类不适用）近三年总销售收入、研究开发费用、研发费用占比等。（三） 企业人力资源配备情况各研发人员、运维人员、操作人员、质量管理人员、科技风险管理人员、高管层人员数量及占比，特别说明高管人员的科技从业和教育背景。（四） 企业科研成果情况核心技术能力及获得自主知识产权情况，有证书的附加证书复印件。（五） 专业资质（如有，需提供资质复印件）各类ISO9001、ISO20000、ISO27001、CMMI、系统集成资质、灾备资质等级、涉密资质等与开展非驻场集中式外包业务相关的资质与认证证明。（六） 企业风险评估和审计情况近三年企业内部审计报告、风险评估报告、第三方审计评估报告、银行业金融机构开展的检查报告、银行业科技外包合作组织开展的检查报告等，并提供相应原始报告和电子版复印件（证书或结论部分，含盖章）。三、 企业技术保障能力（可用附件）（一） 机房建设基本情况（软件开发服务类不适用）企业的机房建设情况以及机房等级测评情况等方面，包括机房的选址、高低压配电系统、应急发电系统、不间断电源系统、机房专用空调等基础设施设计，机房防雷接地、消防等安全检测报告和安全资质证明、机房的验收测评报告等。对于机房运营类外包服务和应用系统托管类外包服务，需提供机房产权证复印件或者长期场地租赁合同。（二） 业务连续性管理情况企业的灾备系统的建设情况以及业务连续性测评认证情况，包括机房基础设施、系统、网络等应急预案建设及演练和更新，计算机设备和网络设备部署如何满足应用系统运行可用性和性能，集中监控系统的部署等）。（三） 信息安全保障情况企业网络安全、主机及系统安全、应用安全、物理安全、数据安全等领域信息安全保障情况，包括系统用户管理和访问控制措施，机构间设施、系统和数据的隔离情况，客户信息等敏感数据访问的安全控制措施，防病毒、防入侵等攻击措施部署情况，漏洞扫描和渗透性测试开展情况等。（四） 软件开发技术保障情况（机房运营外包服务不适用）企业软件开发技术、人力、设备等资源保障能力以及开发规范、测试、上线等技术和质量保障情况。四、 主要银行业金融机构外包业务开展情况分别按照不同的提供外包服务的银行业金融机构（如：政策性银行、国有商业银行、股份制商业银行、邮储银行、城商行、农商行、农信社等）和不同的外包业务种类描述上年度该类外包服务的开展情况，主要包括服务机构数量、服务内容、服务机构年增长数、上年度收入（万元）、年增长率等。五、 申请纳入监管评估的外包服务活动开展情况按照银行业金融机构信息科技非驻场集中式外包服务监管评估申请表（见附件2）中申请监管评估的外包业务种类，分别按照不同的非驻场集中式外包业务种类和提供服务的银行业金融机构，描述拟申请纳入监管评估的外包服务活动开展情况。格式如下：服务的全国性商业银行金融机构情况序号银行业金融机构名称外包业务