银行外包风险控制矩阵模版.xlsx

1.7IT外包外部监管包括向监管机构的报告以及应对外包监管，由外包管理部门牵头负责风险分类风险描述控制序号控制描述控制牵头方设计/执行参考标准供应商合规手册对应适用对象是否在本次评估范围内评估步骤评估状态评估证据评估结论1.7.1IT外包外部监管未建立或未执行IT外包外部监管流程，将可能导致如下风险：-被监管机构警告而影响声誉-法律和违规风险-影响国家安全1.7.1.1开展以下信息科技外包服务时，在外包合同签订前二十个工作日，应向中国银监会或其派出机构报告：1.信息科技工作整体外包；2.数据中心或灾备中心整体外包；3.涉及将银行业金融机构客户资料、交易数据等敏感信息交由服务提供商进行分析或处理的信息科技外包；4.以非驻场形式实施的、集中存贮客户数据的业务交易系统外包；5.关联外包；6.涉及跨境的信息科技外包；7.其他中国银监会认为重要的信息科技外包。安全内控室设计《银行业金融机构信息科技外包风险管理指引》不适用驻场/非驻场开展以下信息科技外包服务时，在外包合同签订前二十个工作日，应向中国银监会或其派出机构报告：1.信息科技工作整体外包；2.数据中心或灾备中心整体外包；3.涉及将银行业金融机构客户资料、交易数据等敏感信息交由服务提供商进行分析或处理的信息科技外包；4.以非驻场形式实施的、集中存贮客户数据的业务交易系统外包；5.关联外包；6.涉及跨境的信息科技外包；7.其他中国银监会认为重要的信息科技外包。1.7.1.2信息科技外包活动中发生重大事件时，应在两个工作日内向银监会或其派出机构报告安全内控室执行《银行业金融机构信息科技外包风险管理指引》不适用驻场/非驻场信息科技外包活动中发生重大事件时，应在两个工作日内向银监会或其派出机构报告1.7.1.3在开展年度外包风险管理评估工作后，应将年度风险评估报告报送中国银监会或其派出机构安全内控室执行《银行业金融机构信息科技外包风险管理指引》不适用驻场/非驻场在开展年度外包风险管理评估工作后，应将年度风险评估报告报送中国银监会或其派出机构1.7.1.4被银行业监督管理机构及其派出机构纳入对银行监管评级的内容，应与内部审阅结果一致安全内控室执行《银行业金融机构信息科技外包风险管理指引》不适用驻场/非驻场被银行业监督管理机构及其派出机构纳入对银行监管评级的内容，应与内部审阅结果一致1.7.1.5银行业监督管理机构对银行出具IT外包相关的纠正或采取替代方案通知或相应问责程序，应根据监督机构的要求，及时进行处理和反馈：（1）违反相关法律、行政法规及规章；（2）违反本机构风险管理政策、内控制度及操作流程等；（3）存在重大风险隐患；（4）其他认定的情形。安全内控室执行《银行业金融机构信息科技外包风险管理指引》不适用驻场/非驻场银行业监督管理机构对银行出具IT外包相关的纠正或采取替代方案通知或相应问责程序，应根据监督机构的要求，及时进行处理和反馈：（1）违反相关法律、行政法规及规章；（2）违反本机构风险管理政策、内控制度及操作流程等；（3）存在重大风险隐患；（4）其他认定的情形。