《银行业信息资产风险监管暂行办法》介绍

1、1 2 一、信息科技现状 二、防范信息科技风险的要点 3 1、我国银行业电子化和信息化建设经 过二三十年的开展，取得了世界瞩目 的成绩。同时面临许多挑战 2、我国银行业金融机构信息化水平开 展很不平衡 用户数 交易量 4 3、信息科技治理不到位 治理文化未形成、公司治理 与IT治理、治理架构不全、 责任不清晰、人员缺乏、培 训不到位 4、信息科技的价值不能充分表 达 信息资产与财务资产 无标 准与有标准 5 5、信息科技风险的定位不清楚或不恰当。 信息科技风险与总体风险的关系过于间 接，在新巴塞尔协议中，把信息科技风 险定位为操作风险的一局部，实际上， 与其他风险相比，信息科技风险的影响 比其

2、他风险大得多 流动性与系统问题 水能载舟也能覆 舟 6、信息技术是万能的 处理能力强 记忆无限 场所无限 智 能与弱智 电梯运行 6 7、信息平安面临挑战 一是银行业金融机构之间的差 异性大，用一个标准衡量，既不利 于大银行的信息平安保障，也不利 于小机构的开展；二是我国银行业 开放参与国际合作，面临来自资本 市场、会计准那么和信息披露要求 等方面的严峻挑战；三是公众意识 淡薄；四是平安测评不到位;五是金 融危机影响IT的投入，外包方有变 数；六是新资本协议的实施对系统 产生的新要求;七是混业经营带来新 的管理压力。 7 8 、业务处理同质化 87年股市黑色星期一 多家机构共用同一效劳商 9、

3、信息科技只定为支持效劳 只关注业务的需求不关注决 策 8 10、内控目标不合理 合规不是内控最终目标 “要我做变我要做 过度崇拜认证和形式主义 不用信息科技防范整体风险 9 11、信息科技工作的实际情况 “说起来很重要、做起来急着要、排起队 来次要、出了问题什么都不要 信息科技管理是“一把手工程 信息科技风险管理靠“事件推动好了伤 疤忘了痛 信息科技风险管理本身“灯下黑 信息科技工作评价标准 重建轻管 对事件 零容忍 100与60分 10 1、定位 信息科技是支柱 风险防范还处于初级阶段 治理是关键 2、讲特色，要以“我为主、与文化交融 特色是提高风险管控能力和开展业务的根 本。应多元化地开展

4、信息科技风险管理工作 短信 一卡通 3、建立中国特色的治理文化 解决西方文化与东方文化的融合 11 4、忧患 IT事件频发 911数据保护与责任 外部因素影响 电源、通信、软硬件、 人员 网络威胁 信息泄露 美国电网 5、价值观念 风险与价值的关系 地震 滑坡 楼房坍塌 鲜明的时段特色 常态化 平安目标与投入 同城备份和异地备份 效率与概率 12 用效劳水平承诺来明 确效劳内容 变无目标、无标准为 有目标和标 准化 13 7、全员参与 信息平安人人有责木桶原理 平安要有明确的目标，到达目标要 有相应的投入 信息平安的要求需要人人了解和遵守， 全员要在平安和便利中找到折中点 平安责任的单一化会造成应负责任旁 落 业务需求缺乏或不准确会引发业务系统 重大事故和系统可扩展性差 系统开发和更新的反复 奥运票务 14 紧急变更对系统稳定性影响重大 地震捐款 规划 业务开展规划 舆情会无限扩大信息系统故障的危害 应对舆情要发挥大家的力量 社会 责任 15 终端用户的平安意识淡薄对知识产权、计算 机网络的平安会产生严重影响 自主产权保护 随意安装 屏幕保护 口 令 共享资料 共享管理帐户信任、责 任与保护 客户等敏感信息的保护 业务连续性与应急 业务连续性的要求知晓度 新应急要