银行自查报告(3篇)

银行自查报告(3篇)第一篇为落实银保监会《关于开展2024年度银行业金融机构合规经营专项检查的通知》（银保监办发〔2024〕12号）要求，全面检视我行合规经营状况，排查潜在合规风险隐患，我行于2024年3月15日至4月2日组织开展全辖合规经营专项自查工作，覆盖总行12个业务部门、18家一级支行、62家营业网点，自查范围涵盖公司治理、业务合规、员工行为管理、消费者权益保护四大核心领域，累计排查业务档案12769份、业务系统数据32.7万条、员工行为台账2147份，发现问题7类共42项，其中立行立改类28项、阶段性整改类14项，已完成立行立改问题28项，整改完成率66.7%，剩余问题均制定了明确的整改时间表和责任清单。本次自查由总行党委统一部署，成立以行长为组长、分管合规副行长为副组长，合规与风险管理部、办公室、人力资源部、公司金融部、个人金融部、运营管理部等部门负责人为成员的合规自查工作领导小组，下设办公室在合规与风险管理部，负责自查工作的统筹协调、标准制定、督导检查和结果汇总。自查启动前，领导小组对照监管文件要求，结合我行实际业务场景，梳理形成4大类87项自查清单，明确每项检查内容的责任主体、排查方法、判定标准和报送时限，确保自查工作可落地、可验证、可追溯。为避免自查走过场，我行建立“支行自查-总行复核-重点抽查”三级排查机制，各支行对照清单完成本机构全量自查后，总行12个业务条线按对口管理原则对支行自查结果进行复核，复核比例不低于30%，同时成立3个由合规、审计部门人员组成的督导组，下沉至12家偏远支行开展现场督导，通过访谈员工、调阅档案、系统核验等方式验证自查真实性，对2家自查覆盖率不足、问题隐瞒不报的支行给予通报批评，责令重新开展排查，确保自查结果真实反映我行合规经营实际。公司治理领域，本次自查重点核查“三会一层”履职、关联交易管理、股权管理三项核心内容。2023年以来，我行共召开董事会会议12次、监事会会议8次、高级管理层办公会24次，审议议题137项，整体运作符合公司章程要求，但仍存在3项具体问题：一是董事会决议落实进度滞后，2023年董事会审议通过的《普惠金融业务三年发展规划》中要求的“2023年末普惠型小微企业贷款余额占比不低于15%”目标未完成，实际占比为13.2%，相关业务部门未及时向董事会报告进度偏差原因及调整方案；二是关联方识别不全面，排查2023年关联方台账时发现，1名外部董事的配偶控股的某商贸企业未纳入关联方管理，该企业2023年在我行办理流动资金贷款200万元，未按关联交易程序审批；三是股权管理不规范，2家法人股东将其持有的我行股权分别质押给第三方机构，质押比例分别为58%和62%，超出监管规定的50%上限，且未在质押完成后10个工作日内向我行报备，导致我行股权质押台账更新不及时。针对上述问题，我行已建立董事会决议跟踪督办机制，由办公室每季度向董事会报告决议落实情况，对进度滞后的议题督促责任部门制定整改方案；已完成关联方全量排查，补充纳入12名漏登的关联自然人、7家漏登的关联法人，完善了关联交易事前审批、事中监测、事后披露的全流程管理机制；已向2家超比例质押股权的股东发函，要求其在2024年6月底前将质押比例降至监管要求以内，否则限制其股东权利。业务合规领域，本次自查覆盖存款、贷款、中间业务、同业业务四大业务条线，共排查业务档案8972份，发现问题16项。存款业务方面，主要存在3类问题：一是违规开展吸存营销，2024年开门红期间，3家城区支行为吸引大额存款客户，向单笔存款20万元以上的客户赠送价值300元的超市购物卡，超出监管规定的“金融机构营销礼品价值不得超过50元”的上限，涉及客户127户、金额3.2亿元；二是个人账户分类管理不到位，排查2023年四季度个人结算账户交易数据发现，127个二类户年累计交易金额超出20万元限额，其中42个账户年累计交易超50万元，系统未及时触发预警并采取管控措施；三是单位结算账户开户审核不严，抽查的217户新开立单位结算账户中，有19户未留存实际经营场所现场核查照片，8户的法定代表人面签记录不完整。贷款业务方面，主要存在4类问题：一是个人经营贷用途管控不严，排查2023年以来发放的1200笔个人经营贷发现，3笔贷款资金流入房地产市场，2笔贷款资金用于购买理财产品，涉及金额共470万元，均已完成全额收回；二是贷款“三查”制度执行不到位，17笔公司类贷款的贷前调查报告内容缺失，未涵盖借款人关联关系、对外担保、行业风险等核心要素，8笔贷款的贷后检查报告未反映借款人经营状况变化；三是房地产贷款集中度管控存在压力，2023年末我行房地产贷款余额127.3亿元，占各项贷款余额的比例为22.1%，接近22.5%的监管上限，个人住房贷款余额占比为17.8%，距离18%的监管上限仅0.2个百分点；四是普惠小微贷款增速未达监管要求，2023年我行普惠型小微企业贷款增速为18.7%，低于各项贷款平均增速2.1个百分点，未完成“两增”目标中的增速要求。中间业务方面，主要存在2类问题：一是违规收取服务费用，2家支行向19家小微企业收取贷款承诺费共计12.3万元，违反了“禁止向小微企业收取贷款承诺费、资金管理费”的监管规定，已全额退还相关企业；二是代销业务适当性管理不到位，抽查2023年代销基金、保险产品的录音录像资料120份，发现11份存在未充分告知产品风险、风险揭示话术不完整的问题，其中3份为向65岁以上老年客户销售R3级及以上风险等级产品，未进行额外的风险确认。同业业务方面，整体合规情况较好，2023年末我行同业业务余额89.2亿元，全部为标准化资产投资，未开展非标通道业务、违规同业拆借等业务，但存在同业业务台账更新不及时的问题，3笔同业存单投资的到期日、收益率等信息登记错误，未影响实际资金结算。员工行为管理领域，本次自查通过排查员工征信、银行账户交易、经商办企业情况、涉诉信息等方式，覆盖全行2147名在岗员工，共发现问题12项。一是员工异常行为排查不深入，2023年员工征信排查发现17名员工存在大额对外担保，担保金额超出其家庭年收入5倍以上，其中3名员工的对外担保金额超100万元，未建立专项跟踪台账；二是员工参与经商办企业情况，排查发现3名基层员工注册了个体工商户，经营范围包括餐饮、零售等，与本职工作无关联，未按规定向我行报备；三是轮岗与强制休假制度落实不到位，3家县域支行的8名对公客户经理在同一岗位任职时间超5年，未按规定轮岗，12名运营主管2023年未执行强制休假制度；四是员工合规培训覆盖率不足，2023年新入职的147名员工中，有19名员工未完成上岗前合规培训即上岗，培训覆盖率仅87.1%，低于95%的内部管理要求。针对上述问题，我行已对17名存在大额对外担保的员工进行约谈，要求其制定风险化解方案，对3名经商办企业的员工责令其在1个月内注销工商登记，对未轮岗的8名客户经理制定了2024年轮岗计划，6月底前全部完成轮岗，同时完善了新员工入职培训机制，明确合规培训不合格的不得上岗。消费者权益保护领域，本次自查覆盖产品销售、客户信息保护、投诉处理、适老化服务等内容，共发现问题11项。一是客户信息保护不到位，排查2023年员工客户信息查询日志发现，23次非工作时间的查询操作未履行审批程序，涉及3名员工，均为查询与本职工作无关的客户信息，已对相关员工给予批评教育和经济处罚；二是投诉处理效率偏低，2023年我行共收到消费者投诉127件，其中12件超出7个工作日的回复时限，最长滞后5天，投诉办结率为98.4%，客户满意度为91.2%，低于年初制定的95%的目标；三是适老化服务落实不到位，8家乡镇网点未配备老年客户专用的老花镜、放大镜、爱心座椅等设施，3家网点无无障碍通道，不符合监管关于银行网点适老化改造的要求；四是现金服务不规范，2家城区网点的ATM机无法提供10元、20元面额的小额取现服务，客户反映较多，5家网点的柜面现金服务未落实“原封新券按比例投放”要求，对外支付的现金中有较多残损币。针对上述问题，我行已完成全辖网点客户信息查询权限的梳理，缩小非必要岗位的查询范围，建立了客户信息查询事前审批、事后审计的机制；已优化投诉处理流程，明确投诉响应时限为24小时，一般投诉3个工作日内回复，复杂投诉7个工作日内回复，每月对投诉处理情况进行通报；已制定全辖网点适老化改造计划，2024年9月底前完成所有网点的适老化改造，配齐相关服务设施；已完成ATM机的小额取现功能升级，所有网点ATM机均可提供10元、20元、50元面额的取现服务，同时加大原封新券投放力度，确保对外支付现金的整洁度符合要求。本次自查发现的问题，深层次原因主要包括四个方面：一是合规经营理念树得不牢，部分基层机构仍存在“重业务、轻合规”的思想，将业务发展放在首位，合规要求让位于业绩指标，导致违规营销、制度执行不到位等问题屡禁不止；二是合规制度体系不够完善，部分制度更新不及时，跟不上监管政策的变化，部分制度过于原则化，缺乏可操作的实施细则，导致基层执行时存在偏差；三是合规监督力量不足，基层支行的合规岗多为兼职，既要负责合规管理，又要承担运营、消保等其他工作，没有足够的时间和精力开展日常合规检查，总行合规部门人员配置也不足，难以实现对全辖业务的全面监督；四是员工合规意识有待提升，部分员工对监管政策和内部制度不熟悉，对合规风险的危害性认识不足，存在侥幸心理，认为小的违规不会造成严重后果，导致操作类违规问题频发。下一步，我行将以本次自查为契机，坚持问题导向、目标导向，持续深化合规经营机制建设，全面提升合规管理水平。一是加快问题整改销号，对已完成的立行立改问题，定期开展“回头看”，防止问题反弹，对阶段性整改问题，严格按照整改台账的时间节点推进，实行“周调度、月通报”，确保2024年9月底前所有问题全部整改到位；二是完善合规制度体系，对照最新监管政策，全面梳理现行合规管理制度，及时修订完善滞后的制度，制定配套的操作细则，确保各项业务有章可循、有规可依；三是强化合规监督考核，加大合规指标在绩效考核中的权重，将合规指标占比从目前的15%提高至30%，对发生重大合规风险的机构实行“一票否决”，同时充实合规监督力量，每个支行配备1名专职合规岗，总行合规部门增加5名工作人员，加大日常检查频次；四是加强合规文化建设，建立常态化合规培训机制，每月组织一次全员合规培训，每季度开展一次合规知识考试，考试不合格的待岗学习，同时开展“合规标兵”评选活动，树立正面典型，引导全员树立“合规创造价值、合规人人有责”的理念；五是提升合规科技赋能水平，加快建设合规管理系统，整合各业务条线的合规风险点，利用大数据、人工智能等技术实现违规行为的自动识别、实时预警，提升合规管理的精准性和有效性。第二篇为落实《中国银保监会办公厅关于进一步做好信贷业务风险防控的通知》（银保监办发〔2024〕23号）要求，全面摸清我行信贷资产质量底数，排查全流程信贷风险隐患，筑牢风险防控底线，我行于2024年4月10日至5月8日组织开展全辖信贷业务风险专项自查，自查范围覆盖2022年1月至2024年3月发放的全部公司类贷款、个人经营贷款、个人消费贷款，合计笔数18762笔、余额427.9亿元，涉及12家行业条线、18家一级支行、57家对公业务网点，通过系统数据筛查、档案逐笔核查、现场交叉核验、客户实地走访等方式，累计排查出风险问题6类共89项，涉及金额12.37亿元，其中显性风险2.14亿元、隐性风险10.23亿元，已制定“一户一策”风险处置方案推进化解。本次自查是我行近年来覆盖范围最广、排查力度最大的一次信贷风险专项排查，总行党委高度重视，成立由行长任组长，分管信贷、风险、合规的副行长任副组长，信贷管理部、风险管理部、合规与风险管理部、审计部、特殊资产经营部及各支行行长为成员的自查工作领导小组，下设办公室在信贷管理部，抽调15名业务骨干组成专职自查团队，负责统筹推进自查工作。为确保自查不走过场、取得实效，我行制定了“全覆盖、无死角、重实质、见实效”的自查原则，对照信贷业务全流程梳理形成12类87项自查清单，明确贷前调查、贷中审查、贷后管理、资产分类、不良处置等每个环节的检查标准和责任主体。自查工作分为三个阶段推进：第一阶段为支行自查阶段，要求各支行对照清单对所有存量信贷业务进行逐笔排查，如实填报自查报表，支行行长对自查结果的真实性负责；第二阶段为总行复核阶段，总行信贷管理部、风险管理部按条线对支行自查结果进行复核，复核比例不低于30%，其中房地产、地方政府融资平台、普惠小微、消费贷等重点领域复核比例不低于50%；第三阶段为重点抽查阶段，由审计部牵头成立5个抽查组，对5家信贷规模较大、不良率较高的支行进行现场抽查，抽查比例不低于该支行信贷余额的40%。同时建立“谁排查、谁签字、谁负责”的责任追溯机制，对自查中隐瞒问题、排查不实的机构和个人，严肃追究责任，本次自查共对2家自查覆盖率不达标的支行进行通报批评，对3名隐瞒风险的客户经理给予记过处分。贷前调查环节是信贷风险防控的第一道关口，本次自查发现该环节问题最多，共26项，涉及金额6.02亿元。一是客户准入把关不严，7笔普惠小微贷款的实际控制人征信存在“连三累六”逾期记录，5笔公司类贷款的借款人被列入失信被执行人名单，调查人员均未予关注，仍准入放贷，涉及金额合计1280万元；二是财务数据核实不到位，19笔公司类贷款的借款人提供的财务报表与纳税申报表差异超30%，其中8笔差异超50%，调查人员未核实差异原因，也未要求借款人补充说明，直接以报表数据作为授信依据，涉及金额合计3.72亿元；三是担保有效性核查不足，23笔抵押贷款的抵押物存在出租在先、抵押在后的情况，未取得承租人放弃优先购买权的书面承诺，一旦处置抵押物将面临法律障碍，涉及抵押物评估值合计2.86亿元；四是贷款用途真实性核查不到位，31笔个人经营贷的借款人提供的购销合同为虚假合同，交易对手为借款人关联方或空壳企业，资金实际用于偿还个人债务、购买房产等，涉及金额合计4720万元；五是关联关系识别不到位，12笔贷款的借款人属于同一集团客户，但调查人员未识别其关联关系，导致集团客户授信集中度超出监管要求，涉及金额合计1.57亿元。贷中审查环节是信贷风险防控的核心环节，本次自查发现该环节问题18项，涉及金额4.47亿元。一是审查要件缺失，12笔贷款未提供借款人近3个月的银行流水，7笔贷款未提供抵押物的评估报告，3笔贷款未提供担保人的财务资料，审查人员未要求补充材料即审批通过，涉及金额合计8900万元；二是风险缓释措施落实不到位，8笔保证贷款的保证人净资产低于担保金额，保证能力明显不足，审查人员未要求追加担保或调整授信方案，涉及金额合计1.24亿元；三是授信集中度管控不严，3家支行对同一集团客户的授信余额占我行资本净额的比例分别为11.2%、10.8%、10.5%，均超出监管规定的10%上限，超敞口金额合计1.57亿元，未及时制定压降计划；四是利率定价不合规，7笔普惠小微贷款利率超出当期LPR加点上限要求，最高加点达150BP，涉及金额合计2100万元，已退还客户多收利息18.7万元；五是合同签订不规范，14笔贷款的合同存在要素填写不完整、签章不清晰、日期不一致等问题，其中3笔贷款的抵押合同未办理抵押登记手续，导致抵押权未生效，涉及金额合计5600万元。贷后管理环节是信贷风险防控的薄弱环节，本次自查发现该环节问题22项，涉及金额5.9亿元。一是资金支付管控不到位，27笔贷款采用受托支付方式，但支付对象与合同约定的交易对手不符，其中11笔贷款资金在支付后当天即回流至借款人账户，涉及金额合计2.31亿元，主要为个人消费贷和经营贷资金流入股市、房市；二是贷后检查流于形式，42笔贷款的贷后检查报告内容雷同，多处数据与借款人实际经营情况不符，其中15笔贷款的借款人已经停产或半停产，贷后检查报告仍记载“经营正常”，未及时发现风险，涉及金额合计1.89亿元；三是风险预警处置不及时，37笔贷款触发系统风险预警（包括借款人欠息、征信逾期、涉诉、经营异常等），贷后管理人员未在规定的3个工作日内核实处置，最长滞后27天，导致风险扩大，涉及金额合计9400万元；四是抵押物管理不到位，19笔抵押贷款的抵押物价值出现大幅下跌，跌幅超30%，抵押率超出合同约定的上限，贷后管理人员未要求借款人补充抵押物或提前偿还部分贷款，涉及抵押敞口合计7600万元；五是信贷档案管理不规范，26笔贷款的档案缺少催收记录、贷后检查照片、担保人财务资料等重要材料，部分档案存放混乱，查找困难，不利于后续风险处置。资产分类与不良处置环节直接反映信贷资产质量真实性，本次自查发现该环节问题15项，涉及金额5.24亿元。一是资产分类标准执行不严，23笔贷款已经逾期超90天，但仍归类为关注类，未下调为不良贷款，涉及金额合计2.14亿元，主要原因是部分支行为完成不良率考核指标，人为调整分类结果；二是隐匿不良资产，5笔不良贷款通过借新还旧、展期、无还本续贷等方式掩盖风险，未如实反映资产质量，涉及金额合计8700万元，其中3笔贷款的借款人已明显丧失还款能力；三是分类调整不及时，17笔贷款的借款人出现重大风险事件（包括实际控制人失联、被列入失信被执行人、重大涉诉、停产停业等），未及时下调资产分类等级，最长滞后时间达3个月，涉及金额合计1.32亿元；四是不良处置程序不合规，3笔不良贷款的核销未履行集体审议程序，由分管行长直接审批，涉及金额合计1200万元，不符合我行不良贷款核销管理规定；五是抵债资产管理不到位，2笔抵债资产接收后未在6个月内启动处置程序，已闲置超1年，且未按规定进行估值和减值测试，涉及抵债金额合计1800万元，存在价值贬损风险。本次自查发现的信贷风险问题，成因是多方面的，既有外部经济环境变化的影响，也有内部管理不到位的原因，主要包括四个方面：一是信贷文化存在偏差，“重规模、轻质量”“重投放、轻管理”的思想在部分机构仍然存在，基层行信贷投放任务较重，为完成业绩指标，放松准入标准、简化调查流程、弱化风险审查，导致风险隐患累积；二是制度执行流于形式，虽然我行建立了较为完善的信贷管理制度，但基层执行不到位，存在“上有政策、下有对策”的情况，比如贷后检查编造内容、资产分类人为调整等，制度的约束力没有真正发挥作用；三是人员能力有待提升，基层信贷人员队伍年轻化趋势明显，2023年新入职的信贷客户经理占比达28%，部分人员未经过系统的业务培训就上岗，专业能力不足，风险识别能力较弱，难以有效识别客户的隐性风险；四是考核机制不合理，信贷投放指标在基层行绩效考核中的占比达60%，而资产质量指标占比仅15%，考核导向偏向规模扩张，导致基层行重投放、轻管控，同时不良贷款问责机制不够健全，对违规形成不良的责任追究力度不够，难以形成有效震慑。针对本次自查发现的问题，我行坚持“边查边改、立行立改”的原则，分类施策推进风险化解和问题整改，坚决守住不发生系统性信贷风险的底线。对于显性风险贷款，即已经逾期或形成不良的2.14亿元贷款，逐笔制定处置方案，明确清收时限和责任人：一是现金清收一批，对有还款能力但恶意拖欠的借款人，通过上门催收、法律诉讼等方式加大清收力度，力争2024年6月底前现金清收8700万元；二是重组转化一批，对暂时经营困难但有发展前景、符合国家产业政策的企业，通过办理展期、无还本续贷、调整还款计划等方式进行重组，帮助企业渡过难关，涉及金额6200万元；三是核销处置一批，对符合核销条件的不良贷款，尽快履行核销审批程序，做到“应核尽核”，涉及金额4500万元；四是抵债处置一批，对有足值抵押物且借款人无还款能力的贷款，加快推进司法拍卖程序，无法拍卖的按规定接收抵债资产，涉及金额2000万元。对于隐性风险贷款，即目前仍正常但存在潜在风险隐患的10.23亿元贷款，建立专项跟踪台账，实行“一户一策”动态管理，提前做好风险缓释：一是对抵押物不足值的17笔贷款，要求借款人在3个月内补充抵押物或提前偿还部分贷款，确保抵押率符合要求；二是对用途不合规的21笔贷款，限期1个月内全额收回，同时暂停相关客户经理的信贷业务权限；三是对经营下滑的34笔贷款，加强贷后监测频率，每月开展一次现场检查，及时掌握企业经营状况，提前做好风险预案，必要时收回贷款；四是对担保能力不足的12笔贷款，要求追加保证人或抵押物，增强风险缓释能力。针对信贷全流程存在的管理漏洞，我行将从五个方面完善长效机制，全面提升信贷风险防控能力。一是重塑健康信贷文化，深入开展“信贷质量提升年”活动，通过专题培训、案例警示、经验交流等方式，引导全员树立“质量第一、效益优先”的理念，将风险防控贯穿信贷业务全流程，从“要我合规”向“我要合规”转变；二是优化信贷考核机制，调整绩效考核指标权重，将资产质量指标占比提高至40%，信贷投放指标占比降至35%，同时建立不良贷款“双罚制”，对新增不良贷款既处罚支行，也处罚相关责任人员，强化考核导向作用；三是加强信贷队伍建设，建立信贷人员准入资格考试制度，考试不合格的不得从事信贷岗位，每年组织不少于40小时的专项业务培训，提升信贷人员的专业能力和风险识别水平，同时充实信贷管理力量，每个支行配备1名专职贷后管理人员；四是强化科技支撑能力，升级信贷风险管理系统，整合工商、税务、司法、征信、水电等多维度外部数据，完善风险预警模型，提高预警的精准性和及时性，降低误报率，实现风险的早发现、早预警、早处置；五是加大审计监督力度，每季度开展一次信贷业务专项审计，审计覆盖率不低于20%，每年开展一次全面信贷审计，对发现的违规问题严肃追责问责，涉嫌违法犯罪的移送司法机关，形成强有力的震慑。第三篇为落实《网络安全法》《数据安全法》《个人信息保护法》及银保监会《银行业保险业网络安全专项治理工作方案》（银保监办发〔2024〕31号）要求，全面排查我行网络安全、数据合规、信息科技风险管理领域的风险隐患，提升网络安全防护能力和数据安全治理水平，我行于2024年5月15日至6月5日组织开展全辖网络安全与数据合规专项自查，覆盖总行信息科技部、数据管理部、电子银行部、运营管理部、合规与风险管理部等8个核心部门，18家一级支行的科技运维岗，以及网上银行、手机银行、核心业务系统、信贷管理系统等27个重要信息系统，累计排查系统漏洞127个、数据访问权限账号1246个、客户信息查询日志72.3万条、第三方合作协议47份，发现问题5类共36项，其中高风险问题4项、中风险问题17项、低风险问题15项，截至目前高风险问题已全部完成整改，中低风险问题均制定整改台账限期推进。本次自查由总行信息科技风险管理委员会统筹部署，成立以行长为组长、分管信息科技副行长为副组长，信息科技部、数据管理部、合规与风险管理部、审计部及各业务部门负责人为成员的自查工作领导小组，同时邀请具备国家网络安全等级保护测评资质的第三方安全测评机构提供技术支撑，确保自查的专业性、客观性和全面性。自查启动前，领导小组对照最新监管要求，结合我行业务实际，梳理形成涵盖网络安全防护、数据全生命周期管理、信息科技风险管控、客户个人信息保护、应急管理五大领域的62项自查清单，明确每项自查内容的责任部门、排查方法、判定标准和完成时限，建立“清单化管理、项目化推进、责任化落实”的工作机制。为确保自查质量，我行采用“技术检测+人工核查+现场演练”三位一体的排查方式：技术检测方面，使用专业漏洞扫描工具对所有重要信息系统进行全端口、全漏洞扫描，对网络边界防火墙、入侵检测系统、Web应用防火墙的策略配置进行全面核查；人工核查方面，对数据管理制度、权限设置流程、访问日志记录、应急预案文档、第三方合作协议等资料进行逐一核查，同时访谈各级管理人员和一线员工共127人，了解安全制度落实情况；现场演练方面，组织开展网络攻击应急演练、客户数据泄露应急演练、核心系统故障应急演练3场实战演练，检验应急处置能力和部门协同效率。自查过程中建立“双人复核、交叉验证”机制，对排查出的所有问题，由第三方测评机构和总行自查办共同复核确认，确保问题真实准确，不遗漏、不夸大，对自查工作不力、隐瞒问题的部门和支行，严肃追究相关人员责任。网络安全防护领域，本次自查共发现问题11项，其中高风险问题2项、中风险问题6项、低风险问题3项。高风险问题主要包括：一是核心业务系统网络边界防护存在漏洞，核心业务系统与办公网之间的防火墙配置了3条冗余规则，允许任意IP地址访问核心系统的8080测试端口，且未设置访问白名单，存在被非法入侵、窃取核心数据的风险，目前已完成防火墙规则清理，关闭了测试端口，仅允许指定运维IP访问；二是手机银行Web应用存在高危安全漏洞，第三方检测发现手机银行系统存在2个SQL注入漏洞、1个身份绕过漏洞，攻击者可通过漏洞获取客户敏感信息，甚至控制客户账户，目前已联系系统开发商完成漏洞修复，并通过第三方机构复测确认无风险。中风险问题主要包括：一是办公终端安全管理不到位，全辖1247台办公终端中，172台未安装终端安全管理软件，89台未及时更新病毒库，最长滞后更新时间达47天，存在感染恶意代码、勒索病毒的风险；二是支行网络准入控制不严，3家县域支行的办公区网络接口未启用802.1X认证，外来人员可通过网线直接接入内部办公网络，本次现场测试发现可直接访问内部OA系统和信贷管理系统；三是无线网络管理不规范，5家支行的办公区域部署了无线网络，但未设置访问密码，也未与内部办公网络进行物理隔离，存在数据泄露风险；四是入侵检测系统告警处置不及时，2023年入侵检测系统共产生告警信息1276条，其中高危告警37条，有12条高危告警未在24小时内处置，最长滞后7天。低风险问题主要包括：部分网点的监控设备存储时间不足90天、机房消防器材未按规定年检、运维人员操作日志记录不完整等。数据安全与个人信息保护领域，本次自查共发现问题13项，其中高风险问题2项、中风险问题7项、低风险问题4项。高风险问题主要包括：一是客户敏感信息存储不规范，1个信贷辅助系统的客户身份证号、银行卡号、交易密码等敏感信息为明文存储，未采用加密方式，存在数据泄露风险，目前已完成数据加密改造，所有敏感信息均采用国密算法加密存储；二是测试环境使用真实生产数据，3个业务系统的测试环境直接使用真实客户数据进行测试，未进行脱敏处理，且测试环境未设置严格的访问控制，存在数据泄露风险，目前已完成所有测试环境的数据脱敏工作，建立了测试数据申请、审批、使用、销毁全流程管理机制。中风险问题主要包括：一是数据分类分级工作未落地，尚未完成全量数据资产的分类分级，仅对核心业务系统的客户信息进行了初步梳理，未明确不同级别数据的防护要求和管理规范，难以实施差异化的安全防护；二是数据访问权限管控不严，存在“权限过剩”问题，12个业务部门的37名员工拥有核心业务系统的全量客户信息查询权限，超出其实际工作需要，另有27个离职员工的系统账号未及时注销，仍可访问内部数据系统；三是客户信息查询不规范，排查2023年客户信息查询日志发现，127次为非工作时间查询操作，涉及39名员工，其中23次查询与本职工作无关，未履行审批程序，7家支行的对公客户经理查询客户信息未登记查询用途；四是第三方合作机构数据安全管理薄弱，与47家外部合作机构（包括支付机构、征信机构、科技服务商、营销合作方等）的合作协议中，有12家未明确数据安全责任条款，未约定数据泄露后的赔偿责任，也未对其数据安全防护能力进行定期评估，存在数据泄露的传导风险；五是数据传输不安全，4个业务系统之间的敏感数据传输未采用加密通道，存在被窃听、篡改的风险。低风险问题主要包括：数据备份介质存放不规范、数据销毁记录不完整、数据安全制度更新不及时等。信息科技风险管控领域，本次自查共发现问题7项，其中中风险问题3项、低风险问题4项。中风险问题主要包括：一是信息科技治理机制不完善，信息科技风险管理委员会未按规定每季度召开一次会议，2023年仅召开2次会议，未及时研究解决信息科技重大风险问题，部分决策部署落实不到位；二是系统开发与变更管理不规范，2023年共上线17个系统版本，其中5个版本未进行充分的安全测试，上线后出现3次系统故障，影响业务正常办理，另有8次紧急变更未履行审批程序，仅由技术部门负责人口头同意，事后也未补录审批手续；三是业务连续性管理不足，核心业务系统的灾难恢复演练未按年度计划开展，2023年仅开展了1次桌面演练，未开展实际切换演练，灾备系统的可用性未得到有效验证，另有6家乡镇支行未配备备用网络线路，一旦主线路故障将导致业务中断。低风险问题主要包括：信息科技人员配置不足、机房环境监测设备老化、科技投入占比偏低等。应急管理领域，本次自查共发现问题5项，其中中风险问题1项、低风险问题4项。中风险问题为应急预案不完善，针对数据泄露、网络攻击、核心系统瘫痪等场景的应急预案内容过于笼统，未明确具体的处置流程、责任分工、上报时限和对外沟通机制，可操作性不强，本次实战演练中发现多个部门职责不清、处置流程混乱，应急响应时间超出预期2倍。低风险问题主要包括：应急演练频次不足，2023年仅组织1次全辖范围的应急演练，各支行未按要求每季度开展一次演练，大部分基层员工对应急处置流程不熟悉；应急物资储备不足，部分支行的营业网点未配备足够的应急电源、备用设备、打印纸等应急物资，一旦发生长时间停电或设备故障，无法保障基础业务办理；应急队伍专业能力不足，应急处置团队成员多为兼职，未经过专业培训，应对复杂网络安全事件的能力较弱；应急预警机制不健全，未建立多渠道的风险预警机制，难以提前发现外部网络攻击、系统故障等风险隐患。本次自查发现的问题，反映出我行在网络安全和数据合规管理方面仍存在不少短板，深层次原因主要包括五个方面：一是思想认识不到位，部分管理层和员工对网络安全、数据安全的重要性认识不足，存在“重业务发展、轻安全防护”的思想，认为网络安全是科技部门的事，与业务部门无关，全员安全意识淡薄；二是制度体系不健全，网络安全、数据安全相关制度更新不及时，跟不上最新的监管要求和技术发展，部分制度过于原则化，缺乏可操作的实施细则，导致基层执行时无据可依；三是人员能力不足，信息科技专业人员数量不足，全行科技人员共45名，占员工总数的比例仅2.1%，低于行业平均水平，且缺乏网络安全、数据安全方面的高端专业人才，基层支行的科技运维人员多为兼职，专业能力难以满足工作需要；四是投入保障不够，2023年我行信息科技投入占营业收入的比例仅1.8%，低于监管要求的3%，其中网络安全和数