软件需求规格说明书(面向结构)

长沙农村商业银行股份有限公司

数字化内控平台（一期）建设采购项目

业务需求书

内审部

2023年03月

目录

1引言..............................................................1

1.1背景与目标...............................................................1

1.2项目概况.................................................................2

1.2.1同业情况.........................................................2

1.2.2系统内情况.......................................................2

1.3读者对象................................................................3

2总体业务需求.....................................................3

2.1业务目标...............................................................3

2.2项目范围及局限性........................................................4

2.3平台建设设计及框架......................................................4

2.4业务功能需求............................................................5

2.4.1主要业务功能概述.................................................5

风控模型管理.................................................5

监测预警.....................................................6

风险地图.....................................................6

机构/员工画像................................................6

项目管理.....................................................7

241.6整改督导....................................................7

内控智库.....................................................7

2.4.2机构用户和角色...................................................7

2.4.3业务功能清单.....................................................8

2.5渠道支持................................................................13

2.6系统关联需求...........................................................13

3总体技术需求....................................................16

3.1系统总体要求...........................................................16

3.2系统建设反洗钱标准.....................................................17

3.3系统架构要求..........................................................18

3.4系统性能要求..........................................................19

3.5系统兼容性要求........................................................20

3.6系统安全要求...........................................................21

3.6.1身份鉴别.......................................................21

3.6.2会话管理.......................................................23

3.6.3访问控制.......................................................23

3.6.4信息交换安全...................................................24

3.6.5交易安全.......................................................24

3.6.7数据安全.......................................................24

3.6.8组件配置.......................................................25

3.6.9文件上传安全...................................................26

3.6.10密码支持......................................................26

3.6.11输入、输出合法性检测..........................................26

3.6.12异常处理和日志...............................................27

3.6.13备份与故障恢复................................................27

3.6.14抗抵赖与安全审计................................................27

3.6.15安全管理........................................................28

3.6.16法律法规特定要求................................................28

3.7系统部署要求...........................................................28

3.8系统对接要求...........................................................29

3.8.1省联社接口......................................................29

3.8.2行内接口.......................................................31

3.8.3外部接口.......................................................33

3.9系统测试需求...........................................................34

3.10知识转移要求...........................................................35

3.11知识产权要求...........................................................36

II

1引言

1.1背景与目标

随着长沙农村商业银行（以下简称“我行”）各项业务的飞速

发展及信息化建设的不断深入，创新性金融产品和金融服务不断涌

现，业务数据和业务流程复杂程度不断提高，交易信息和管理信息

不断膨胀。业务的长足发展和数据的迅猛膨胀给内部控制带来了新

的挑战，各种风险不断增加，传统的内部控制手段已明显不适应进

一步的发展要求，内控对象的信息化要求内控手段必须信息化，否

则，内部控制跟不上业务发展的要求，内部控制的缺失或滞后将为

业务的稳健发展带来巨大的风险隐患。

基于以上背景，我行有必要根据业务发展的需要，依托我行大数

据平台，建立一套涵盖内审、风险合规、业务管理等三道内部控制防

线的数字化内控平台，实现全行内控管理信息化。数字化内控平台建

设分两个阶段实施：第一阶段，通过建立一个覆盖内部控制各项业务

的数据集市，融合行内外数据，构建一套集数据查询分析、风控模型

应用、项目管理、内控成果运用、整改督导等功能于一身的数字化内

审模块，以风险为导向，以科技为支撑，依靠大数据分析，实现非现

场数据分析与现场检查的有机结合，实现对违规问题和风险隐患的精

确定位、精准打击，同时为各项业务经营和制度完善提供数据参考,

从总体上提高审计工作的效率和效能，促进审计工作信息化、标准化、

效率化；第二阶段，以制度为切入点，以问题为中心，聚焦业务管理

条线、合规风险条线在检查作业、问题管理方面的规范化、标准化建

第1页共25页

设，建立全行问题库，同时依托大数据平台，不断建设和完善符合我

行实际的风控模型，向业务前台、风险中台、审计后台输出高质量的

管理数据及分析结果，建立合规风险监测、预警、评估（包括合规风

险视图、合规风险画像等）体系，构建全行统一的数字化内控平台。

本次项目主要建设第一阶段，即建立数字化内控平台内审模块。

1.2项目概况

1.2.1同业情况

经调研，国内具有一定规模的股份制银行、农村商业银行绝大部

分建立了审计系统或类似平台，湖南省内长沙银行、华融湘江银行、

三湘银行等具有独立法人属性的银行都建立了相关系统，其中大型股

份制商业银行在十几年前就开始设计和使用审计系统。近年来，随着

审计系统相关产品的不断迭代和成熟、各类业务数据及关联数据日益

膨胀和扩充，传统的审计手段难以适应信息数据化的审计需求，审计

系统在中小银行得到了日益普及，近3年来开始使用或迭代审计系统

的农信机构包括安徽、甘肃、湖北、山东、四川、黑龙江等农信机构

及东莞、江阴、大连、杭州、南海等地的农村商业银行，审计系统作

为各家银行审计工作的重要审计手段及审计作业管理工具，为发挥审

计监督、评价方面的作用提供了重要助力。

1.2.2系统内情况

湖南省农村信用联社2019年10月上线了审计管理信息系统，为

我行近3年的各项全面审计、专项审计提供了重要的审计线索，对降

低我行审计成本、提高审计质量、提升审计效率、扩充审计覆盖面发

第2页共25页

挥了重要作用。但由于省联社审计系统非我行自主建设和运维，业务

需求面向全省，存在数据来源不全（未包括我行自建系统数据及外部

采购数据）、不能及时响应我行个性化审计需求（审计画像、风险地

图等）、关键节点运行效率不高（省联社项目优先、全省运行压力等）

等问题。基于此，在我行建立大数据平台的情况下建立一套自主控制

的数字化内控平台，集中、整合行内外数据资源，实现符合我行个性

化风控需求的大数据分析模型、机构/员工画像、风险地图、内控智

库等功能，将作为省联社审计系统的有益补充，进一步释放审计潜能,

快速、有效的响应我行各项审计需求，推动我行审计向“风险导向、

数据驱动”的智慧型审计转变。

1.3读者对象

长沙农商银行科技项目审批委员会、集中采购管理委员会等相关

领导，包括计划财务部、法律合规部、风险管理部、金融科技部、内

审部等项目建设管理相关人员，参与系统招标相关厂商。

2总体业务需求

2.1业务目标

数字化内控平台第一阶段在充分考虑我行大数据平台系统架构

及特点的情况下，整合省联社数据、我行自建业务系统数据及行外数

据，实现资源共享和合理利用；提供灵活高效的数据查询服务，并对

数据进行初步分析；建立风险监测和查证模型，提高审计工作的广度

和深度；同时实现风险自动预警，及早化解行内金融风险；实现对审

计日常工作和风险内控所发现的问题和风险状况进行分析，以多样化

第3页共25页

的形式进行展现，帮助及时调整审计工作重心和内控策略，真正实现

以风险为导向的审计监督、评价作用；同时也为行内经营和制度完善

提供数据参考；规范检查工作流程，实现项目管理、作业登记管理、

整改督导管理的全流程管理模式，提高风控工作效率和质量。

2.2项目范围及局限性

数字化内控平台第一阶段覆盖我行审计主要业务，包括非现场数

据分析、现场检查、审计成果运用、整改督导以及资料库等功能范畴。

2.3平台建设设计及框架

本次项目功能性需求包括核心功能业务需求和一般功能业务需

求，其中核心功能业务需求包括机构/员工画像、风控模型、风险地

图、监测预警、整改督导、项目管理等功能，一般功能业务需求包括

内控智库、数据管理、工作台管理、系统管理、调度管理、档案管理、

制度库、问题词条管理、日志管理等流程性功能和辅助性功能。

平台建设框架如下:

工作台k我的文件/k.通知公告/［消息提醒J数据源

机构/员工省联社

领导驾驶舱项目管理非现场数据分析整改督导

画像系统敷

区险地图据

呗目计划管理可祝化模型SOL模型关督的位画便

项目统计言等同题曾设

—►V--------1

项目立项依秀哲理给败据导入机构西检自建系

问&计统数据

非监着问震管理

项目作爱赞记查诲空证监测侵警一般员工遹像

网黄统计

外部采

第4页共25页

平台功能思维导图如下:

非现场数据分析

成果运用

系统辅助

现场检查

2.4业务功能需求

2.4.1主要业务功能概述

2.4.1.1风控模型管理

风控模型是指通过可视化模型编辑工具进行模型编制及数据分

析的过程，包括模型探索、模型管理、模型响应、模型任务等功能模

块，是非现场数据分析的重要工具，数据来源包括省联社数据、我行

自建系统数据、外部采购数据等。本次风控模型建设将充分考虑省联

社审计模型，对于我行在日常工作中经常用到的或者认为可用性高的

模型要移植到本平台（100个模型），在此基础上，要充分运用我行

自建系统数据和外部采购数据，既要对已有模型进行拓展和优化，也

要创建符合我行特色业务需求的风控模型（100个模型），重点包括

信用卡管理、票据业务、员工行为等，为现场检查作业和其他检查应

用提供高质量的数据线索。

第5页共25页

2.4.1.2监测预警

该功能模块实现对关注对象状态和行为的持续监测和风险预警,

监测预警平台根据提供的数据分析工具建立风险剖析或风险监测模

型，可以按日、周、月、季度、半年、年等固定运行频率或设定的频

率对业务数据进行监测和预警。通过模型结果或指标的周期性推送,

及时发现风险隐患，督促支行或业务部门及时采取控制措施，迅速发

现、传递和处置系统预警信息，从而逐步建立动态监测、早期预警、

持续改进的风险管理机制。该功能模块主要包括风险预警方案、预警

信息分配、疑点管理3个细分模块组成。

2.4.1.3风险地图

风险地图以图形化的表现形式，对我行主要风险点的整体分布及

当前状态实现直观化的全景展现，该功能模块要从风险点数量、风险

问题金额、风险严重程度等维度构建科学合理的风险权值体系，要分

别以机构单位、业务领域为对象构建机构风险地图和业务领域风险地

图，展现形式要简洁、直观、清晰、形象。

2.4.1.4机构/员工画像

该模块要通过采集数据、构建标签体系、确定画像场景、画像呈

现等过程对被关注对象进行画像，包括对关键岗位人员的画像、一般

员工画像、机构画像，来实现对审计对象或审计业务丰富的、立体化

的描述。机构/员工画像功能可在经济责任审计、全面审计、员工风

险排查等场景进行应用。机构/员工画像的呈现形式包括标准化审计

报告、重点可疑数据分析表、雷达图、知识图谱等多种方式展示，通

过横向、纵向的对比，从不同角度进行分析、以多种形式展现结果,

第6页共25页

突出业务问题本质。

2.4.1.5项目管理

该模块实现对检查项目计划管理、检查项目立项管理及检查作业

登记管理，是现场检查作业全流程管理的重要辅助工具。其中检查作

业登记管理支持通过标准化的格式模板自动对检查数据进行结构化

转变，也支持对原有的历史检查成果资料进行手工录入并完成数据结

构化处理，能根据检查数据的密级和重要性，提供设置审阅、编辑、

增加、删除等用户权限管理功能，该功能是对历史检查成果进行统计

分析的数据基础。

2.4.1.6整改督导

通过该功能实现检查问题在线全流程化管理，包括推送或录入问

题清单、被检查单位反馈流程、整改反馈确认流程、实时更新整改状

态及问责情况、整改情况统计等，该功能支持通过0A系统进行消息

推送和处理。同时，支持其他业务部门使用该功能模块。

2.4.1.7内控智库

内控智库是内控管理的文档管理中心，包括制度库、知识库、词

条库、档案库等4个功能模块。各项档案资料能根据数据的密级和重

要性，设置审阅、编辑、增加、删除等用户权限管理。另外，制度库

支持与我行办公0A系统进行对接，实现制度的定期更新。

2.4.2机构用户和角色

(1)机构和用户。

系统用户基本架构为二级，第一层级为总行，设置系统管理员及

操作员等，可进行参数管理、系统配置、角色管理、用户管理、被审

第7页共25页

计单位管理、现场检查、非现场数据分析等；第二层级为一级支行,

设置操作员，可查询一级支行辖内审计问题统计信息，反馈整改情况

等。

(2)角色及权限

涉及总行及一级支行全体用户，相关权限根据工作职责进行设置

和分配，一般包括系统管理员、非现场业务操作员、现场管理员、模

型编辑员、预警管理员、整改督导员、档案管理员等。

2.4.3业务功能清单

序号一级模块二级模块大项细项功能说明

年度审计计划由检查部门内部进行线下制

1计划导入定，制定完毕的计划由计划管理员导入至内

控平台。

针对已导入且审核通过的年度审计计划进行

项目计划

调整，包括调增、调减和调整实施团队等功

2管理计划调整

能。项目一旦进入立项环节，将不允许再进

行调整。

以项目列表和进度条的形式展示项目进度，

3进度查询

跟踪项目的执行情况。

组建项目项目立项组建项目组成员，上传项目方案、

4

项目立项组实施时间等项目信息。

管理发布项目发布项目信息，项目组成员查阅项目信息进

5

信息行确认。

检查准审前资料包括非现场数据分析的抽样数据、

现场检查

6备资料内控模型产出的可疑数据、其他途径收集的

上传疑点信息等。

检查前准

检查方通过本环节可以上传项目的检查方案，系统

7备资料上

案上传需支持在线编辑功能。

传

检查通

8知书上通过本环节可以上传项目的检查通知书。

作业登记

传

管理

访谈资审计过程中产生的访谈资料通过本环节上

9

料上传传，支持数据结构化处理。

检查底项目成员检查产生的工作过程记录，检查组

10实施资料

稿上传成员可通过本环节上传。

上传

事实确

项目成员检查产生的事实确认书，检查组成

11认书上

员可通过本环节上传。

传

第8页共25页

会议纪项目成员检查产生的会议纪要，检查组成员

12

要上传可通过本环节上传。

检查报编辑确定的检查报告正式稿，检查组成员可

13

告通过本环节上传。

整改通编辑确定的整改通知书，检查组成员可通过

14检查报告

知书本环节上传。

资料上传

编辑确定的检查问题台账，检查组成员可通

检查问

15过本环节导入和维护，支持数据结构化处

题台账

理。

整改资被检查的单位反馈的检查整改报告及整改台

16

项目结项料上传账，可通过本环节上传。

资料上传其他材检查计过程中产生的其他材料，可通过本环

17

料上传节上传。

将现场检查、非现场检查和其他渠道发现的

18问题入库问题纳入问题库集中管理，支持手工新建或

导入子功能。

系统将问题分派至整改机构指定人员，支持

19任务分派

转派功能。

整改督导整改机构收到系统分派的问题跟踪任务后，

整改跟踪处理人逐笔录入问题的整改情况各字段详

20

与落实情，并上传佐证资料，经逐级审核后更新问

题库。

问题查根据需要，多维度查询问题库，支持导出与

21

询、导出推送查询结果。

模型探索通过可视化建模平台，业务人员能

够将模型思路转化为风控模型，包括模型新

22模型探索建、模型编辑、模型查询、模型共享、模型

另存、模型删除、模型执行、模型提交上线

等功能。

模型管理主要针对模型管理员对已上线的模

23模型管理型进行标签维护、下线、另存、权限分配、

角色划分等操作以及查询功能。

非现场数模型任务是检查人员根据检查需要灵活定制

风控模型

24据分析模型任务模型任务，可以根据需要选择多个模型批量

运行和设置需要执行的机构以及日期范围。

模型响应是业务人员针对具体检查项目或检

查思路需要建模以满足相关检查需求而向建

25模型响应

模人员提供建模需求，建模人员据此完成模

型建设并提供模型数据的过程。

对共同被审计对象或共同审计目的，形成组

模型组合

26合模型，设置模型或模型结果权重分值，进

查询

行多角度触发，提高审计精准性。

第9页共25页

模型落表：支持将探索的模型进行落表处

理，落表的内容包括但不限于指定运行的频

27模型落表

率、运行的时间范围规则、机构代码规则

等；落表的模型支持被系统调用执行。

因后台数据结构复杂且逻辑关联等影响，需

对业务人员常用的固定查询，可通过查证开

28查询查证

发平台进行研发配置，发布上线后业务人员

可以直接进行查询使用。

为了实现对关注对象状态和行为的持续监测

和风险预警，监测预警平台根据提供的数据

预警方案分析工具建立风险剖析或风险监测模型，可

29

设置以按日、周、月、季度、半年、年等固定运

行频率或设定的频率对业务数据进行监测和

预警。

监测预警支持自动及手动分配预警信息两种

模式，预警信息分配策略可根据行内需要自

监测预警

30预警分配行设定为按模型、机构、业务类型、岗位、

角色等多种策略，也可通过手动分配方式分

配给指定人员。

针对监测预警或模型任务推送的疑点数据，

系统支持在线进行疑点管理，包括疑点分

31疑点管理配、疑点核查、疑点认定等环节，根据不同

的疑点数据情况，可以有内审部或被审计单

位进行疑点核查和认定。

数据集市是对接内控平台的内控审计数据集

市，在数据集市上建立数据集市用户和空

32数据集市

间，用于加工信贷、财务费用等数据宽表、

落地风险模型结果等。

规范数据集市的数据管理、数据接入、数据

使用的标准，提供前台可配置的数据表及字

共有数据

33段的维护功能，包括数据表的基本信息、标

维护

签分类，字段基本信息和字段的特殊属性

等。

数据管理器中可以查询已经接入内控平台的

数据管理数据管理业务系统数据表及个人私有数据表。同时，

34

器可以通过“通用查询”功能，查询数据表的数

据。

数据导入是提供前台页面导入业务数据文件

的功能，支持可按模板导入，包括：新增、

35数据导入

追加、覆盖等方式。支持EXCEL、CSV.TXT

文本等格式的文件导入。

私有数据是指通过“数据导入”模块导入的数

私有数据据表，这部分数据只有导入人可见，看不到

36

管理其他用户的数据，所以只能由用户本人管理

维护自己的私有数据。

第10页共25页

风险地图以图形化的表现形式，对我行主要

风险点的整体分布及当前状态实现直观化的

全景展现，该功能模块要从风险点数量、风

险问题金额、风险严重程度等维度构建科学

37风险地图

合理的风险权值体系，要分别以机构单位、

业务领域为对象构建机构风险地图和业务领

域风险地图，展现形式要简洁、直观、清

晰、形象。

该模块要通过采集数据、构建标签体系、确

定画像场景、画像呈现等过程对被关注进行

画像，包括对关键岗位人员的画像、一般员

工画像、机构画像，来实现对检查对象或审

计业务丰富的、立体化的描述。内控画像功

机构/员工能可在经济责任审计•、全面审计、员工风险

38

画像排查等场景进行应用。机构/员工画像的呈

现形式包括标准化审计报告、重点可疑数据

分析表、雷达图、知识图谱等多种方式展

示，通过横向、纵向的对比，从不同角度进

行分析、以多种形式展现结果，突出业务问

题本质。

该模块用风险视图的形式向行内管理层展示

预警信息核查处置的结果及风险发展趋势，

审计成果

并按照机构、业务条线等主题进行分类展

运用

现，管理层可以对关注重点点击相应主题进

39统计分析一步了解，页面可逐级展示明细结果。该模

块用来从检查年度、被检查机构、项目名

称、检查业务领域、检查人员、内控模型使

用情况等不同维度统计检查项目开展情况及

问题发现情况。

本模块包括行内制度、行外制度，提供各类

制度的新增、删除、查看、下载等功能。其

40制度库

中行内制度模块支持对接我行0A系统，实

现对我行制度进行定期更新。

词条是根据将各个历史检查项目的问题进行

汇总、分类整理、归纳总结而形成的，以便

41词条库对问题进行规范化表达。该功能模块包括词

条的增加、编辑、查看、查询、删除、作

内控智库

废、审核审批、启用、导入导出等功能。

档案库是内控审计条线工作的电子档案管理

中心，包括用来归集和整理各类专项审计、

经济责任审计、突击检查等审计项目及重要

42档案库工作总结、重要会议资料、部门管理行政资

料等综合性档案等。支持根据数据的密级和

重要性，设置审阅、编辑、增加、删除等用

户权限管理。

第11页共25页

知识库包括审计案例、标准手册、经验反

馈、外部监管数据等4个子模块。系统提供

43知识库

知识库具体内容的增加、在线编辑、删除、

上传及下载等功能。

系统中提交的申请都集中在待办事项中由审

44待办事项批人进行审批，显示最新需处理的审批个数

和累计已办理的审批数。

在工作台模块，支持查看并操作我的消息，

45系统消息

工作台---系统消息----执行相应操作。

在工作台模块，申请导出文件默认存储在后

工作台台服务器指定目录中，必须经过审批通过

46我的文件

后，才允许到我的文件下载附件至本地，若

不需要该文件支持删除后台数据文件功能。

用户提交模型或任务运行后，为便于用户查

看任务的运行进度，在工作台的任务跟踪栏

47任务追踪位进行显示•对于执行完毕的模型或者任

务，可点击直接查看结果，对于失败的任

务，可以查看错误信息。

对人员的信息维护，包括内控部相关人员、

48用户管理被检查单位的人员。操作有：用户编辑、分

配角色、分配空间等功能。

包括检查机构和被检查机构的新增、修改、

49系统辅助机构管理删除、撤销操作，机构之间以树状结构表示

其归属关系。

角色管理包括领导角色和系统角色，主要控

制功能模块的操作权限，支持一个用户可以

50角色管理

拥有多个角色。支持角色的增加、删除、编

辑、分配资源及清除互斥角色功能。

标签管理，支持对系统中数据表、模型等模

块的标签进行灵活配置，如：业务种类、模

51系统管理标签管理

型类型、信息系统、风险等级等，支持树状

或列表，支持单选或多选。

调度管理，提供模型批量运行、监测预警、

52调度管理数据处理加载等任务的监控、调度及日志查

看等功能。

包含用户在系统所有操作日志，包括系统日

志、应用日志、跑批日志、错误日志、反馈

53日志管理日志、用户登录、注销和日常操作日志等，

支持对所有日志记录进行查询、分析和导

出。

流程管理，实现对系统中涉及的审核审批等

54流程管理

事项进行灵活配置，并配置相关审批角色。

第12页共25页

系统隔离，通过指定热键或虚拟账号实现对

系统特定功能模块进行隐藏，可以选择隐藏

55系统隔离

哪些功能模块，哪些不隐藏，用来特殊情况

下的外部展示。

2.5渠道支持

支持PC端。

2.6系统关联需求

数字化内控平台的核心功能是在我行大数据平台的基础上建设

一个完整标准的数据集市，覆盖内控各项业务数据，为各项风控模型

及场景应用提供数据基础。从涉及业务角度划分，系统取数范围主要

包括但不限于授信、运营、财务、票据、人力、绩效等，涉及系统包

括但不限于核心业务系统、信贷管理系统、财务管理系统、总账系统、

借记卡系统、客户关系系统、人力资源管理系统、大数据平台、业绩

计量系统、资金转移定价系统(FTP)、费控系统、0A系统、内容管

理平台、红绿灯积分管理系统、信用卡账户管理系统、日志平台、运

维平台、全栈监控平台、自动化建模工具、数据脱敏工具、知识图谱、

短信平台、统一消息平台、统一用户平台、ESB系统、行内注册配置

中心等。从数据来源的角度划分，包括省联社业务系统、我行自建系

统以及第三方外部数据(司法、工商、征信、民政等)。详细具体的

数据需求需要待详细设计阶段确定，部分关联系统描述情况如下：

关联系统描述

(1)核心业务系统、信贷管理系统、财务管理系统、总账系统、

借记卡系统、客户关系系统等：该系列系统由省联社开发并管理。

(2)人力资源管理系统：全行员工管理、薪酬管理、绩效管理、

第13页共25页

招聘管理系统。

(3)大数据平台：全行统一的数据分析、挖掘、处理平台。

(4)业绩计量系统：关键业务指标考核管理，为全行员工绩效

管理提供依据。

(5)资金转移定价系统(FTP)：用于为行内资金转移提供内部定

价机制。

(6)费控系统：全行费用管理系统。

(7)0A系统：人员组织管理及流程化办公管理。

(8)内容管理平台：全行统一音影、图像等内容存储平台。

(9)红绿灯积分管理系统：全行员工及支行违规积分管理系统。

(10)信用卡账户管理系统：全行信用卡客户账户查询、统计管

理系统。

(11)日志平台:全行系统日志管理平台。

(12)运维平台：全行系统应用、配置制品管理及自动化发布平台。