客户风险信息共享管理办法

第一篇：客户风险信息共享管理办法

XXX农村信用合作社联合社 客户风险信息共享管理办法

第一章 总 则

第一条 为推动客户风险信息共享工作，规范客户风险信息统计数据报送流程，保证数据质量，切实防范和化解客户大额信贷集中度风险，促进XXXX（以下简称联社）信贷业务的发展，保障借款人和担保人信用信息的安全和合法使用，按照内蒙古银监局《辖内银行业金融机构客户风险统计数据报送办法》和《内蒙古银监局客户风险信息共享工作实施方案》的有关规定，特制定本管理办法。

第二条 辖内各信用社、营业部（以下简称各社部）负责客户风险信息共享数据的采集、统计及上报工作。

第三条 联社信贷管理部负责客户风险信息共享系统的运行、数据录入、查询和管理工作。

第二章 安全管理

第四条 客户风险信息共享系统的安全管理应符合金融机构计算机信息系统安全保护工作的有关规定，任何单位和个人不得非法登录客户风险信息共享系统界面。

第五条 客户风险信息共享的用户名和口令有专人保管，并且定期更换口令，并配有专人负责对系统计算机的定期杀毒、检查和维护，确保系统正常运行。

第六条 操作员在登录客户风险信息共享系统界面后，确定需要长时间离开时，必须退出系统界面，方可离去，如需要调离岗位的，必须在有关负责人员的监督下办理交接手续，并尽快协助新上岗人员熟悉相关业务，保证可以熟练操作的情况下方可离岗。

第七条 客户风险信息共享系统的所有操作应严格按照内蒙古银监局的有关规定进行，在正常工作时间内应保障客户风险信息共享系统的正常运行。

第三章 客户信息审核与管理

第八条 各社部在报送客户风险信息前应审核以下主要内容：

一、采集的数据是否存在异常。对总资产、总负债、授信额度及贷款余额为零或其他异常、贷款明细中单笔贷款金额如为零、零售贷款违约天数异常（如超大数据）等情况要做重点审核

二、对企业客户出现无证件现象应严加审核。

三、对本期报送的大客户数、违约法人客户和违约个人客户数与上期相比增减变动较大的要分析原因并说明。

四、大额客户的基本信息的完整性、合理性要重点审核。包括：法定代表人、证件类型与代码是否匹配、证件代码是否合理、股东、关联企业及担保人名称是否规范、证件类型与代码是否匹配（如名称为自然人名称、证件类型为法人代码、证件号码为身份证号码）等。

五、客户名称应全部为全称，应与企业公章一致，客户代码是否符合编码规则。

六、审核法人注册地、行政区划代码是否准确、规范和匹配。绝对不允许出现统计的数据中有其他异常、不完整、不规范现象的发生。

第九条 各社部所收集的企业相关信息数据只用于客户风险信息共享之用，绝对不得向第三方提供。

第十条 信息录入人员在录入信息数据前，应认真审核信息数据的准确性。

第十一条 对于人工审核或系统校验出现问题的客户信息，联社录入人员要予以登记，并通知基层上报人员及时修改，问题严重的要直接追究报送人员的责任，并给予经济处罚。

第十二条 各社部报送人员要严格按照规定的报送时间及时上报。不准故意拖延、隐瞒不报、漏报现象的发生。

第十三条 各社部应指定专人负责此项工作的数据审核及上报。

第十四条 报送人员在修改数据时，不仅要修改上报的文件，还要对数据源进行修改，避免以后报送的数据出现同样的错误。

第四章 信息数据的报送

第十五条 各社部报送人员应当按照本办法以及系统 操作流程等有关要求准确、完整、及时地向联社信贷管理部报送信息数据。

第十六条 报送人员应于月后4个工作日内向联社信贷管理部上报客户风险统计数据，联社信贷管理部录入员应于月后7个工作日内向XXX银监局统计信息处上报客户风险统计数据。

第十七条 各社部报送的信息数据要做到及时、完整、准确，避免误报、漏报、迟报等现象，信息数据报送要严格按照系统要求的内容认真填写，充分重视客户风险信息共享数据报送工作，加强对企业信息的收集和管理。

第十八条 信息数据报送的具体要求

（一）报送内容：《客户大额授信统计表》。

（二）报送方式：报送的数据必须保证及时性，所以，各社部报送人员应将信息数据通过信贷管理部内网、人工上报等途径上报到信贷管理部。

（三）报送范围：各社部辖内单笔在500万元（含）以上企业贷款。为了避免信息数据的重复性，规定社团贷款业务由牵头社统一报送。

第十九条 上报的信息数据内容要齐全，重要数据信息要和实际相符

第二十条 对信息数据报送有误，导致无法正确录入到客户风险信息系统的，造成后果，由各网点数据报送人员负 责。

第二十一条 报送人员要及时查看和接受反馈的错误信息，对有问题的应按照审核要求进行二次核实、修改，并于月后5个工作日内中午12点前重新上报修改后的统计数据。

第五章 处 罚

第二十二条 信息数据报送过程中，有违反下列情况之一的，将给予报送人员100—500元的经济处罚：

（一）同一错误反复出现的；

（二）在不确定性校验反馈的信息中有明显错误应修改而未修改的；

（三）屡次未按时上报、未按时核实重报的；

（四）对数据使用和汇总上报等造成影响的；

（五）其他违反本办法相关规定的。

第二十三条 有下列情形之一的，除要追究相关的经济责任外，还要视情节进行相应的行政及法律制裁：

（一）将采集的客户信息数据结果向第三方提供的；

（二）提供虚假客户信息的；

第六章 附 则

第二十四条 本办法自下发之日起执行。第二十五条 本办法由XXXX负责解释、修改。

第二篇：客户信息管理办法

客户信息管理办法

第一章

总则

第一条

目的

为对客户信息进行有效管理，为销售推广提供完整的客户资源支持，并在对顾客服务过程中根据客户需求提供优质服务，确保顾客满意特制定本管理办法。

第二条

适用范围

适用于客户信息收集、管理、维护、使用；客户信息的保密、完善及日常管理工作等。第三条

管理职责

1．营销部长、销售经理等职能线负责客户关系的维护工作。2．客服经理负责客户信息的汇总收集与运行监督工作。3．客服专员负责客户信息库的建设、更新及日常维护工作。4．销售人员负责客户信息的收集工作。

第二章

客户信息的分类及内容构成

第四条

客户及信息的分类

1、客户按获取来源可分为：来电咨询客户；现场来访客户；参加我司举办活动客户；已购买房产业主；通过特殊途径获取的重要客户。

2、客户按重要程度级别可划分为： A级，贵宾级客户（钻石卡）：

1、在美的地产项目累计购买5000万元以上物业的客户；

2、已购买我司独立别墅物业，并在其从业领域具有重大影响力或在美的具有一定影响力的客户；

3、已购买我司物业且对独立或同类型物业并能积极带动身边群体购买美的项目物业的客户；

B级，重要客户（铂金卡）：

1、购买我司独立别墅或同等类型物业；

2、购买我司物业累计金额达800万或以上；

3、已购买我司物业虽未达到以上两点但在属政府重要官员，或在行业中有重要影响力的客户。

C级，一般重要客户（金卡）：已在美的地产项目购买物业的客户。

D级，一般客户：对美的地产项目物业有购买意向或积极参与我司所组织活动的客户。E级，普通咨询客户：日常普通来访来电客户。

3、客户信息的收集亦做相应划分。第五条

客户资料内容构成

销售人员通过销售现场来电、来访情况收集客户基础资料。客户基础资料主要包括客户姓名、姓别、年龄区间、联系电话、来电来访日期、居住工作区域、需求类型、接受价格区间、购买诚意度、客户基本特征等。业主信息除包含基础资料外还包括成交单元、成交价格、所享优惠折扣、联系地址等。（相关数据可在明源系统中获取）

第三章

客户信息收集

第六条

来电来访客户信息由销售人员每天进行整理统计。销售主管每周将统计好的来电来访信息发送至客服专员处，客服专员每月将汇总好的信息发送到客服经理及市场策划部指定专人。（表格见附件）

来电来访统计具体流程为：销售人员每天汇总→销售主管每周汇总至客服专员→客服专员每月汇总至客服经理及市场策划部。

第七条 业主信息由客服专员在对认购、签约资料统计时进行汇总统计。

业主信息统计具体流程：客服专员每天统计成交情况→每月更新汇总至客服经理市场策划部指定专人。

第四章

客户关系的维护

第八条

客户关系维护为营销部重要工作职责之一，营销部各职能线肩负不同客户关系维护职责。

第九条 按客户重要程度划分，各职能线客户关系维护主要职责：

1、营销部长

每三个月对A级客户进行沟通回访，了解客户需求及对项目的建议与意见，及时向客户发布我司最新促销信息。

2、销售经理

每三个月对B级客户进行沟通回访，了解客户需求及对项目的建议与意见，及时向客户发布我司最新促销信息。

3、客服经理

定期对向我司提供建议与意见的客户进行回访，通过信息交换在第一时间发现问题并加以解决，及时了解客户最新需求，提高客户服务水平，向客户提供更优质的服务。设立客户投诉热线，方便客户对我司进行监督。

4、销售人员

定期对自己所接待的客户进行回访，了解客户购买意向，及时向客户发

布我司最新促销信息，促成销售成交。

第五章

客户信息的日常管理及使用

第十条

客户信息管理应保持动态性，不断地由各相关部门提供资料进行更新。第十一条

各项目策划负责人可直接调用本项目客户信息，包含来电来访信息及业主信息，如需调用除本项目外的相关信息需经营销部长同意后方可使用。

第十二条

未经营销部长同意所有对外使用的客户信息不得以电子版形式传递，例如活动需销售人员电话CALL客，仅可以打印出纸制版本传递并在CALL客结束后回收到客服专员处。

第十三条

本项目客户信息使用流程为：项目策划负责人提出客户信息使用需求→客服专员根据需求安排相关信息使用。

第十四条

本项目外客户信息使用流程为：项目策划负责人提出客户信息使用需求→营销部长同意需求→客服经理确认信息需求→客服经理通知相关客服专员安排相关信息使用。

第六章 客户信息的保密规定

第十二条

客户资料保密工作实行既确保秘密不被泄露，又便利工作的方针。第十三条

各项目客户信息的上报、收发、传递由客服专员负责，并采取必要的安全措施。各案场客户资料必须设置密码，任何非直接工作人员不得打探获取相关客户信息。

本项目以外信息的收发、传递由客服经理负责，如需使用需营销部长同意方可。第十四条

不准在私人交往和通信中泄露客户资料秘密，不准在公共场所谈论客户资料秘密，不准通过其他方式传递客户资料秘密。

第十五条

密级客户资料的制作、收发、传递、使用、复制、摘抄、保存和销毁，由营销部长或指定专人执行。

第十六条

公司工作人员发现客户资料秘密已经泄露或者可能泄露时，应当立即采取补救措施并及时报告总经理办公室。总经理办公室接到报告后，应立即进行处理。

第十七条

出现下列情况之一者，给予警告，并扣发工资100～500元。1．已泄露客户资料秘密，但采取了补救措施的。

2．泄露了客户资料秘密，尚未造成严重后果或经济损失的。第十八条

出现下列情况之一的，予以辞退并酌情要求赔偿。1．利用职权强制他人违反客户资料保密规定的。

2．违反保密规定，为他人窃取、刺探、收买或违章提供公司客户资料秘密的。3．故意或过失泄露公司重要客户资料，造成严重后果或重大经济损失的。

第七章

附则

第十九条

本规定由顺德公司营销部负责制定、解释及修改。第二十条 本规定自下发之日起执行。第二十一条 来访来电表格范本。

I:来访客户汇总.xls

I:来电客户汇总.xls

第三篇：信息共享（本站推荐）

供应链信息共享策略研究

【摘要】

信息共享是决定供应链企业能否有效、快速运行的重要因素，因此关于信息共享策略的研究对企业来说至关重要。本文先对供应链信息共享进行简单的概述，强调了信息共享对供应链成员企业的重要性，分析了供应链上的企业信息不共享的主要原因，从而得出如何提高信息共享的机制。

关键词：供应链管理 信息共享 牛鞭效应 机制

一、引言

随着经济全球化和信息技术的高速发展，世界已经步入了信息经济时代，信息成为企业生存和发展的重要资源，供应链的协同发展就是建立在各节点企业之间快速有效的信息传递与共享的基础上，信息是供应链管理的核心要素。这就需要我们了解信息共享机制，完善信息共享机制。从而有效的提高企业效率，降低企业成本。

二、供应链管理信息共享的概述

供应链管理的本质就是通过信息共享, 优化各供应链参与企业的生产、库存、营销等决策, 所以供应链管理的一项基础工作就是实现供应链上各个节点企业间的信息共享。通过对供应链管理中信息不共享的原因的分析,供应链管理信息的共享需要诸如激励机制和信任机制等的保障, 从而保证信息共享的实现, 已实现提高供应链整体和链内各企业效益的目标。

三、供应链成员之间进行信息共享的好处

1、有利于提高沟通效率。供应链的各节点企业之间是合作伙伴关系，增强供应链运行效率，提高各企业间的信任程度，有利于实现双赢的目标。

2、有利于缓解牛鞭效应。牛鞭效应是信息不对称的产物，它非常不利于供应链的正常运行,会造成客户的需求量远远低于制造商的产量，造成产品积压，占用企业流动资金，降低整条供应链的运行效率。供应链的信息共享就是有效减少牛鞭效应的有效途径。因为牛鞭效应是由于信息传递过程中的信息失真造成的,而供应链信息共享恰恰可以减少信息传递过程中的信息滞后和信息失真。

3、有利于协调各企业目标间的矛盾。供应链是由相互之间存在供需关系的企业组成。而这些企业的目标是追求自身利益最大化。各节点企业之间的目标是相互矛盾的。要解决这些问题就需要供应链系统有一个有效调节机制，而这个机制恰恰是建立在信息共享的基础之上的。所以供应链信息共享有利于协调各企业之间的矛盾。

4、有利于企业成为受欢迎的业务伙伴。实施供应链管理使供应商和销售商实现信息共享，供货商们可以直接进入到企业的系统，可以提高相互信任程度，从而建立在共赢基础上的受欢迎的业务合作伙伴。

5、有利于企业实现精确管理、降低成本，提高资企业效率。信息共享很大程度上提高了信息的准确性，从而有效防止决策失误，此外信息共享系统可以有效配置各企业间的资源做到资源合理利用从而有效降低各企业之间的成本，良好的信息共享能使供应链企业优化资源配置获得最大效益、四、供应链企业之间信息不共享的原因分析

1、信息共享需要成本

供应链上个企业对信息的采集、处理、传输需要投入一定的人力、物力和财力，如果一个企业所投入的信息共享的成本大于其所能获得的利益，那么就会发

生抵触行为。虽然信息共享对整个供应链的整体运行具有重大的作用，人们在考虑其积极作用的同时，也考虑信息共享的成本。

2、供应链企业之间缺乏信任

一方面，在目前市场缺乏有效的监管，企业出于对各自利益的考虑，实际上并不愿意相互信任；另一方面，很多企业集中资源发展其核心竞争力，把非核心业务外包，形成了一种“委托—代理”的合作伙伴关系。这样很多企业担心泄露商业秘密同样不愿意互相信任。

3、利益分配不均衡

出于各自企业战略目标的考虑，利益冲突是供应链节点企业之间不共享信息的关键原因。因为并不是所有参与信息共享的企业都能获得同等的利益，而那些核心企业或者是信息共享的发起者比较容易获得较大的利益。尽管从长期来看，所有参与的企业都能得到好处，但在相当长的一段时间之内，在信息共享中处于非核心节点的企业在信息共享方面往往处于一种缺乏主动性的状态，因而有些企业对建立信息共享机制热情不高。

4、信息不对称

在供应链管理中，核心企业作为供应链的组织和协调的控制者，与其他企业的信息是不对称的，其他企业的具体状况，核心企业很难完全掌握。核心企业有可能掌握更多更准确的信息，而处在下端的供应链企业则有可能掌握比较少的信息，因此就容易出现信息多的一方不愿意与信息少的一方进行共享，从而降低了供应链企业之间的信息共享程度。

五、供应链信息共享的策略建议

1.建立有效的信息共享系统

由于供应链中的企业都是独立的经营实体，且地理位置分散，所处的环境不同，因此建立统一的供应链信息系统成为实现信息共享的关键，通过建立现代化的信息基础平台，构建一体化的供应链管理信息系统，来加强供应链中企业之间的信息的流通。

2.建立企业间合作信任关系

供应链管理的本质就是通过信息共享来达到企业之间的合作，使供应链上各企业分担的采购、生产、分销和销售职能成为一个协调发展的有机体。因此信任是非常重要的。信任是合作关系的基础。

信息的共享需要合作伙伴之间能够建立一种相互信任的关系，通过企业间的信任关系可减少供应链企业间的交易成本，促进供应链企业间的合作，提高整个供应链的快速反应能力。要达到此目的，加强企业间的合作、培养企业间的信任是供应链管理的重点。

3、建立有效的激励机制

对于供应链上的企业而言，建立一系列的信息共享激励机制可以促进信息共享行为的有效实施，从而使得供应链上的企业之间增强信任，共享资源，同时也可以更好的进行资源整合发挥他们之间的核心能力水平，进而提高整个供应链的信息共享的程度，最终达到双赢的局面。主要有以下几个方面：一是定价激励方式。定价激励是指上游企业根据下游企业所提供信息的价值, 对下游企业的供货价格采取特殊区别对待。二是技术支持激励。供应链信息共享的阻力部分可归因于客观技术因素。三是订单激励。主要是指供应链企业中的一方给对方带来收益而获得对方更多订单的激励机制。

4、建立保障监督机制

在供应链中，不能仅仅依靠信息技术的依托来实现信息共享，要真正实现供应链信息共享，还需要明确制定信息共享的保障监督制度。在供应链环境中，企业在享有自身信息资源的情况下还部分享有其他企业的信息资源。这就需要建立一种公平的利益分配制度，将各方面资源进行合理地分配。实行分级监督模式，是信息共享得到全面有效地监督。

六、总结

供应链信息共享是供应链管理的核心。建立有效的信息共享机制可以有效的整合供应链中各个企业的资源，从而降低整体成本。获得规模效益。

在建立信息共享中各企业之间需要互相信任。最好是和与自己企业有长期合作关系的企业建立信息共享机制，这样可以减少信任危机给企业带来的成本。最后国家应该鼓励各个企业建立信息共享机制，为各个企业来做担保人。

七、参考文献

1.陈国庆,黄培清.供应链中的信息共享以激励机制.上海交通大学学报,2007(12).2.师洁,牛继瞬.供应链牛鞭效应的成因及治理研究.商场现代化,2009(1)

3.郭岚,张祥建.信息共享与激励机制：现代供应链中的双赢策略[J].Finance& Trade Economics NO 4,2008.

第四篇：安全风险信息报送管理办法

乌鲁木齐轨道交通工程

安全风险信息报送管理办法

新疆乌京基础设施建设管理有限公司

第一章

总

则

第一条

为加强乌鲁木齐市轨道交通工程施工阶段安全风险监控信息报送管理，进一步明确各参建单位的监控信息报送内容、对象、方式和程序，特制定本办法。

第二条

本办法主要针对施工过程中风险监控信息报送，其它信息的报送按照相关管理办法要求执行。

第三条

新疆乌京基础设施建设管理有限公司（以下简称乌京建管公司）风险监测部为安全风险监控信息管理部门。

第四条

本办法由乌京建管公司风险监测部负责组织编写、修订并解释。

第二章

一般规定

第五条

监控信息包括一般监控信息、预警信息及消警信息。其中，一般监控信息包括监测信息、巡视信息及监控成果报告；预警信息包括监测预警、巡视预警和综合预警信息；监控成果报告包括监控日小结、周报、月报、阶段报告、年报，总结报告、建设单位要求的风险工程专项监测报告等。

第六条

监控信息报送形式主要是通过“乌市轨道交通工程施工安全风险监控管理系统”（以下简称安全风险监控系统）报送、电话通知和书面报送。

第七条

各级监控实施或管理主体除向上级监控或管理主体上报监控信息外，还应对其信息进行分析，并及时反馈下级监控或管理主体，以有效指导施工。第八条

参建单位中任何一方发布巡视预警后，其他单位不再发布同一部位、同一类别、同一等级的巡视预警。

第九条

当预判风险工程可能达到红色综合预警状态或发生重大风险事件时，应首先组织先期处置，并以电话等快捷和可追溯的形式及时向相关单位进行快报。

第十条

对预警状态的风险事务处理结束后，预警发布单位应及时进行消警处理。

第十一条

预警及消警事务的处置要求，具体参见《安全风险预警、处置及消警管理办法》。

第三章

管理结构与职责

第十二条

管理结构

（一）安全风险监控信息报送实行三级管理。

1、乌京建管公司领导层：乌京建管公司总经理、安全总监；

2、乌京建管公司：乌京建管公司风险监测部（依托第三方监测总体咨询单位或安全风险咨询单位）；

3、项目实施单位：施工单位、监理单位、第三方监测单位组成。

（二）项目实施各单位均应建立自身的监控信息报送管理体系，安排专人进行监控信息管理。

第十三条

参建单位职责

（一）乌京建管公司领导层

1、指导、监督和检查施工单位、监理单位、第三方监测单位的施工风险监控信息报送工作。

2、向风险监测部、第三方监测、监理、施工单位反馈监督指导意见。

3、参与单项红色预警、综合橙色、综合红色预警审批及消警审批。

（二）风险监测部是乌市轨道交通工程风险监控信息报送的管理主体

1、指导、监督和检查施工单位、监理单位、第三方监测单位的施工风险监控信息报送工作。

2、依托安全风险咨询单位和第三方监测单位开展乌市轨道交通工程安全风险状况咨询评价工作，并向监理、施工单位反馈监督指导意见。

3、依托安全风险咨询单位或第三方监测单位发布综合橙色、红色预警。

4、负责施工监测阶段单项黄色、橙色、综合黄色预警的消警报告审批。

（三）第三方监测单位

负责实施乌市轨道交通工程施工监控信息的汇总、分析、评价、报送与咨询服务和“安全风险监控系统”等维护工作，其主要职责为：

1、第三方监测总体咨询服务

（1）统一全线第三方监测工点、监理及施工单位信息报送内容及格式，编制第三方监测总体日小结、周报、月报、年报等全线信息，协助风险监测部汇总编制风险监测部的日小结、周报、月报、年报等 全线信息，并负责上报公司主管领导层；

（2）负责指导并督促第三方监测工点、施工、监理单位上报日小结、周报、月报、年报等全线信息；负责督促第三方监测工点单位及时编制阶段监测报告、工点监测总结报告等，并负责上报风险监测部。

（3）汇总全线的监控信息（主要指日常的汇报资料、日小结、周报、月报等）上报安全风险咨询单位或风险监测部。

（4）督促第三方监测、施工、监理单位上传安全风险监控系统所需工程资料，并负责审批；

（5）按照风险监测部的要求、第三方监测工点单位会商成果等，建立第三方监测总体单位的各类风险管理台账，并负责监督第三方监测工点单位的台账建立。

（6）施工阶段针对第三方监测工点单位上报的监控信息或反馈的信息，及时向安全风险咨询单位及乌京建管公司风险监测部提出风险评估和处置措施建议。

（7）针对工点单位的预警，第三方监测总体单位要及时跟踪响应，提出风险评估和处理意见。

（8）对全线监测红色预警、巡视预警、综合预警进行跟踪响应，提出咨询意见，直至风险消警。

（9）统一制定全线施工单位监测总结报告及第三方监测阶段报告、总结报告内容及格式，督促各第三方监测工点单位及时编制以上报告并负责审核，上报风险监测部。（10）负责乌京建管公司要求的其他信息上报工作。

2、第三方监测工点

（1）收集本标段勘察、设计、施工、第三方监测等单位“安全风险监控系统”所需基础资料，并负责上传相关基础资料（含GIS图）、监测数据及巡视信息等。

（2）编写第三方监测工点单位的日小结、周报、月报、年报等，并负责向风险监测部、第三方监测总体上报，同时抄送所辖标段的施工、监理单位。

（3）负责配合安全风险咨询单位或风险监测部对所辖标段施工、监理单位“安全风险监控系统”权限的开通。

（4）依据第三方监测工点单位现场巡视和监测情况提出第三方监测工点单位标段的综合预警建议。

（5）参与消警（监测、巡视）报告审批，通过“安全风险监控系统”上传阶段监测消警及综合预警消警资料进行消警。

（6）协助乌京建管公司不定期对施工、监理单位的风险监控信息报送情况、“安全风险监控系统”使用情况进行指导及检查。

（7）第三方监测工点单位应及时编制阶段监测报告、工点监测总结报告等，并报第三方监测总体审批，报风险监测部备案。

（8）按照风险监测部、安全风险咨询单位、第三方监测总体单位的要求，负责第三方监测工点单位风险台账的建立。

（四）监理单位

实施现场巡视信息报送等工作，其主要职责为：

1、通过“安全风险监控系统”报送日小结、周报、月报、年报、巡视信息等报告。

2、依据现场巡视情况发布巡视预警，结合监测情况报送综合预警建议。

3、负责对监理标段的施工监测和第三方监测数据及巡视信息对比、分析，及时形成对比报告，发现异常及时向施工、第三方监测单位反馈，并督促相关单位采取相应措施。

4、参与施工监测预警、巡视预警、综合预警的消警报告审批。

（五）施工单位

实施现场监测、巡视信息报送等工作，其主要职责为：

1、通过“安全风险监控系统”报送日小结、周报、月报、年报等监控成果报告。

2、依据现场巡视情况发布巡视预警，结合监测情况提出综合预警建议。

3、根据预警处置情况，达到消警条件后，提出消警申请。

第四章

一般监控信息报送

第十四条

信息报送流程

一般监控信息应通过“安全风险监控系统”或书面形式逐层上报，总体报送流程如图4-1所示。

城轨集团总经理城轨集团、五中心领导层五中心总经理安全综合评价、监督指导意见等城轨集团安全副总经理监控管理日报、周报、月报、年报安全综合评价、监督指导意见等安全综合评价、监督指导意见等五中心书记、安全副总经理监控管理日报、周报、月报、年报监控管理部门安全评价信息、监督指导意见等城轨集团安质部、五中心安全质量部（第三方监测总体单位）安全评价信息、监督指导意见等监测信息、巡视信息、日报、周报、月报、年报巡视信息、日报、周报、月报、年报安全评价信息、监督指导意见等汇总后的监测信息、巡视信息、监测日报、周报、月报、年报项目实施单位施工单位（施工监控）01、02标所辖标段日报、周报、月报监测信息、巡视信息、日报、周报、月报、年报监理单位安全评价信息、监督指导意见等01、02标所辖标段日报、周报、月报第三方监测01标（工点）监测信息、巡视信息、监控管第三方监测02标（工点）安全评价信息、监督指导意见等理日报、周报、月报、年报第三方监测01标（总体）第三方监测01标（工第三方监测点）02标（工点）监控管理日报、周报、月报、年报安全评价信息、监督指导意见等

图4-1 施工安全风险一般监控信息报送流程图 第十五条

施工单位信息报送

（一）信息报送主要内容

（1）监测数据：施工影响范围内周边环境及围（支）护结构监测数据。

（2）巡视信息：包括周边环境巡视信息、围（支）护体系巡视信息、开挖面巡视（地质状况观察及描述）信息等。

（3）日小结：包括当日工程进度、监测成果、巡视信息（附照片）、预警信息及分析、风险工程安全状态评价等。

（4）周报 ①本周施工工况统计信息：包括本周具体施工进度，风险工程通过情况等。

②本周监测及巡视作业情况：包括监测项目、巡视内容、完成监测和巡视工作量等。

③本周监测巡视异常信息及预警情况：包括工点风险状况、工点监测、巡视预警情况的统计说明，监测数据及巡视信息综合分析情况等。

④本周风险事务处理情况：包括对各方反馈意见落实情况及风险事务处理、效果、变化趋势、存在问题、下一步风险处理建议等。

⑤下周风险管控重点：主要涵盖风险预告（可细化到各风险因素关注或管控内容，施工组织与管理等）。

⑥相关附图、附表：包括各监测项目监测布点图、本周施工监测数据汇总成果表、巡视照片、监测时程曲线等图表。

（5）月报、年报：主要包括近一月、近一年内所辖标段风险工程通过情况、安全风险概述、安全风险评价及下一月、安全风险管控重点及建议，具体内容要求参见周报。

（二）信息报送途径、对象和时间要求

（1）监测数据及巡视信息：应于当日通过“安全风险监控系统”上传。

（2）日小结、周报：应分别于当日18:30前及每周四18：30前通过“安全风险监控系统”上报风险监测部、第三方监测总体单位，同时抄送监理单位，上报前须报监理单位审核。（3）月报、年报：应分别于每月24号前及每年12月15日前通过“安全风险监控系统”上报风险监测部(安全风险咨询单位)、第三方监测总体单位，抄送监理单位。以上信息还应以书面形式上报风险监测部，书面信息报告可相应的延迟上报，但最迟不能超过7天时间。

（三）反馈信息处理要求

应及时落实乌京建管公司领导、风险监测部、监理单位的反馈意见，及时采取处置措施。

第十六条

监理单位信息报送

（一）信息报送主要内容

（1）巡视信息：具体包括周边环境巡视信息、围（支）护体系巡视信息、开挖面巡视信息、施工工艺巡视信息及施工组织管理与作业状况巡视信息等。

（2）日小结：包括当日现场巡视信息、施工单位风险事务的处置落实、施工监测与第三方监测数据的比对分析、各类预警信息的分析、综合预警建议、现场安全风险状态评价等。

（3）周报

①本周巡视作业情况：包括本周巡视内容、完成巡视工作量等。②本周监测、巡视异常信息及预警情况：包括工点风险状况、工点巡视预警情况统计说明、施工监测、巡视信息及自身巡视信息的综合分析情况。

③本周监督、核查情况：包括本周对施工单位报送信息的核查，监督施工单位对各方反馈意见的落实情况、风险事务处理的落实情 况，对施工工艺设备、施工组织管理与作业状况的监督检查情况、相关例会情况及存在问题。

④下周风险管控重点：主要涵盖下周工点风险因素的关注或管控措施要点、风险预告等。

（4）月报、年报：主要包括近一月、近一年内所辖标段风险工程通过情况、安全风险评价及下一月、下一安全风险管控重点及建议等。

（二）信息报送途径、对象和时间要求

（1）巡视信息：应于当日通过“安全风险监控系统”上传。（2）日小结、周报：应于当日及每周四18:30前通过“安全风险监控系统”直接上报风险监测部（安全风险咨询单位）、第三方监测总体单位，并抄送施工单位、第三方监测工点单位。

（3）月报、年报：应分别于每月24号前、每年12月15日前以书面形式和通过“安全风险监控系统”上报风险监测部（安全风险咨询单位）、第三方监测总体单位。以上书面信息报告可相应的延迟上报，但最迟不能超过7天时间。

（三）反馈信息处理要求

应及时落实乌京建管公司领导、风险监测部的反馈意见，及时向施工单位反馈，并加强对施工单位执行反馈意见的监督。

第十七条

第三方监测（总体、工点）单位信息报送

（一）信息报送主要内容

（1）监测数据：施工影响范围内周边环境及围（支）护结构等 监测数据。

（2）巡视信息：包括周边环境巡视信息、围（支）护体系巡视信息、开挖面巡视信息、施工工艺巡视信息等（具体以风险管理体系要求为准）。

（3）日小结：详见第三方监测管理办法。（4）周报：详见第三方监测管理办法。（5）月报、年报：详见第三方监测管理办法。

（二）信息报送途径、对象和时间要求。

（1）监测数据及巡视信息：应于当日上传“安全风险监控系统”。（2）日小结：第三方监测工点单位应于当日19:00前通过“安全风险监控系统”直接上报风险监测部（安全风险咨询单位）、第三方监测总体单位，并抄送所辖标段施工单位、监理单位。

第三方监测总体单位还应汇总全线第三方监测工点单位、施工单位的日小结信息，形成全线的日小结（内容除满足第十七条第（一）部分的要求外，还应满足第十八条要求），通过“安全风险监控系统”上报乌京建管公司相关领导。

（3）周报、月报、年报：第三方监测工点单位应分别于每周四19:00前、每月24日前及每年12月15日前通过“安全风险监控系统”上报风险监测部（安全风险咨询单位）、第三方监测总体单位，同时抄送施工和监理单位。

第三方监测总体单位还应汇总全线第三方监测工点单位、施工单位、监理单位的周报、月报、年报等信息，形成全线的周报、月报、年报等信息（内容除满足第十七条第（一）部分的要求外，还应满足第十八条要求），并通过“安全风险监控系统”上乌京建管公司相关领导。月报、年报还应以书面形式上报风险监测部，书面信息报告可相应的延迟上报，但最迟不能超过7天时间。

（三）反馈信息处理要求

第三方监测总体、工点单位应及时落实乌京建管公司领导、风险监测部的反馈意见等、跟踪施工单位处置情况，风险监测部负责监督、检查。

第十八条

风险监测部信息报送

（一）安全评价及监督指导意见

对乌市轨道交通工程各工点风险工程安全评价及对风险工程的处置监督指导意见，具体内容及要求为：

（1）乌市轨道交通工程一般监控信息的汇总、处理、评价等。包括全线第三方监控信息、施工监控信息与监理巡视信息等，依托安全风险咨询单位或第三方监测总体单位完成。

（2）乌市轨道交通工程安全风险组织管理的监督及安全评价。包括全线第三方监测单位和各标段监理、施工单位的安全风险组织管理情况、监测实施、风险处理及反馈意见的执行情况等进行监督指导、检查，并评价全线安全状况，依托安全风险咨询单位或第三方监测总体单位完成。

（3）相关指导意见通过“安全风险监控系统”、工作联系单等形式反馈或回复。

（二）信息报送内容

风险监测部报送的一般监控信息包括乌市轨道交通工程风险评估及综合预警发布和安全状况评价信息，报送方式有日小结、周报、月报和年报。主要内容包括：

（1）日小结：针对现场监控各方的日小结情况，对当日安全风险状况经会商或简短分析后形成全线日小结，主要内容包括：新发生预警原因分析，建议、实施工程应对措施，分析现存预警的发展趋势，评价现场安全风险状态。

（2）周报

①本周工作概况：本周全线风险工程通过情况、综合预警、风险跟踪及处理情况的总体汇总、说明等。

②本周全线安全风险概述：本周现场监控各方的综合预警建议及落实综合预警情况的统计、自身发布综合预警及消警的统计及本周全线安全风险状况等。

③本周全线安全风险评价：本周对现场监控各方在信息报送的准确性、及时性及落实预警意见等情况的评价、信息平台运行情况、视频监控中心和工点控制中心的视频监控运行情况、与上周安全风险的比较及分析。对需要重点说明的风险，应加强其风险评价、原因分析、发展趋势预测及提出现场施工风险控制的建议等。

④下周安全风险管控重点及建议：下周需要重点关注的工点、风险预告及全线安全风险的管控建议等。

（3）月报、年报：主要包括近一月、近一年内全线风险工程通 过情况、安全风险概述、安全风险评价及下一月、安全风险管控重点及建议等。

（三）信息报送途径、对象和时间要求

（1）日小结、周报：应于当日19:30前通过“安全风险监控系统”直接上报乌京建管公司相关领导。

（2）月报、年报：应分别于每月24号前和每年12月25日前通过“安全风险监控系统”直接上报乌京建管公司相关领导。

（四）信息报送相关要求

（1）风险监测部会同安质部组织第三方监测单位（工点、总体）、施工单位、监理单位等参加安全质量风险管控例会，并监督第三方监测单位（工点、总体）单位编制周报、月报、年报等信息。

（2）风险监测部对监控管理信息反馈：将风险预警信息、安全评价信息、乌京建管公司相关领导反馈的各种意见等及时反馈第三方监测（总体、工点）、监理、施工等单位。

第五章

预警及消警信息报送

第十九条

预警信息报送流程

预警信息通过“安全风险监控系统”逐层上报，总体报送流程见图5-1所示。

决策层安全综合评价、综合预警信息、风险处理意见等乌京建管公司相关领导综合预警发布监控中心风险处理意见等建管公司风险监测部（安全风险咨询单位或第三方监测单位）预警信息、风险处理意见等巡视预警、综合预警建议巡视预警、综合预警建议风险监控、处理意见巡视预警、综合预警建议监测预警、巡视预警、综合预警建议等现场实施层施工单位（施工监控）监理单位监理巡视及安全评价信息、监督指导意见等第三方监测单位

图5.1 施工安全风险预警信息报送流程图

第二十条

监测预警

监测预警由“安全风险监控系统”依据设定的预警标准及第三方监测单位上传的监测数据进行对比后自动发布。

第二十一条

巡视预警

（一）巡视预警由施工、监理及第三方监测工点单位根据当天现场巡视情况，经综合判定达到预警状态后通过“安全风险监控系统”及时发布。

（二）巡视预警内容包括：预警工程部位、现场风险状况、监测情况、初步原因分析、可能诱发的风险事件、处置建议等，并附相关工程照片。第二十二条

黄色、橙色综合预警

（一）黄色、橙色综合预警内容包括：施工风险状况描述（主要含监测、巡视等内容）、原因分析、可能导致的风险事件、处置建议等，并附相关工程照片。

（二）在预警建议或综合预警判定中，必要时应通知设计单位，以加强技术沟通和共同参与预警分析。

（三）黄色、橙色综合预警的判定及报送（1）黄色综合预警

①施工、监理、第三方监测单位、安全风险咨询单位对现场综合判定为黄色综合预警时起应立即通过“安全风险监控系统”或书面形式上报风险监测部。

②风险监测部（依托安全风险咨询单位或第三方监测总体单位）自收到黄色综合预警建议，经现场确认后，立即向乌京建管公司领导汇报，征得领导同意后当日通过“安全风险监控系统”发布综合预警信息，必要时以书面形式反馈各相关单位。

（2）橙色综合预警

①施工、监理、第三方监测单位、安全风险咨询单位对现场综合判定为橙色综合预警时起应立即通过“安全风险监控系统”或书面形式上报风险监测部。

②风险监测部（依托安全分析咨询单位或第三方监测总体单位）自收到橙色综合预警建议，经现场确认后，立即向乌京建管公司领导汇报，征得领导同意后当日通过“安全风险监控系统”发布综合预警信 息（对于特级风险工程应在第一时间内完成预警信息发布），必要时以书面形式反馈各相关单位。

第二十三条

红色综合预警

（一）当各项目实施单位判定风险工程为红色综合预警状态或可能发生重大风险事件时，应先采取有关措施并立即上报。接到信息的各管理部门或单位应及时组织分析、处理和往下反馈。报送流程见图5-2所示。

乌京建管公司相关领导决策、组织处理如发生突发风险事件红色综合预警加强监控、监督检查乌京建管公司风险监测部（安全风险咨询单位或第三方监测单位）综合预警综合预警红色预警建议综合预警红色预警建议现场情况、处置建议综合预警第三方监测单位设监理单位综合预警现场情况、处置建议计单位红色预警建议施工单位（施工监控）现场情况、处置建议

图5-2 红色综合预警快报流程图

（二）施工、监理、第三方监测单位、安全风险咨询单位对现场综合判定为红色综合预警时立即上报风险监测部，同时告知设计单位，以加强技术沟通和共同预警分析，并应通过“安全风险监控系统” 或书面预警快报形式报告。

（三）预警快报报送内容主要包括风险时间、地点、风险概况、监测情况、巡视情况、原因初步分析、变化趋势、风险处理建议等。其中监理单位快报给施工单位时，还应下达整改通知书、停工令等先期处理方式。

（四）风险监测部自收到红色综合预警建议后，应立即进行现场确认及综合判定，判定为红色综合预警后，及时上报乌京建管公司领导，征得领导同意后，第一时间通过“安全风险监控系统”发布红色综合预警消息，并以电话等快捷、有效方式立即通知各相关部门及设计单位等，做好风险应对工作。

第二十四条

消警信息报送

（一）监测预警阶段消警：监测预警处理并达到《安全风险预警、处置及消警管理办法》阶段消警条件，由施工单位提出消警申请（附报告），第三方监测、监理、安全风险咨询单位等相关单位审核确定，书面报告风险监测部，由所辖标段第三方监测工点单位在“安全风险监控系统”上进行消警。

（二）巡视预警消警：预警处理结束，由施工单位提出消警申请（附报告），第三方监测、监理等相关单位审核确定，书面报告风险监测部，预警发布单位在“安全风险监控系统”上进行消警。

（三）黄色综合预警消警：预警处理结束，由施工单位提出消警申请（附报告），第三方监测、监理、安全风险咨询单位等相关单位审核确定，书面报告风险监测部审定，同时征求乌京建管公司领导的 意见，由风险监测部（依托安全风险咨询单位或第三方监测总体单位）在“安全风险监控系统”上进行消警。

（四）橙色综合预警消警：预警处理结束，由施工单位提出消警申请（附报告），第三方监测、监理、安全风险咨询单位等相关单位审核确定，书面报告风险监测部审定，同时征得乌京建管公司领导意见，由风险监测部（依托安全风险咨询单位或第三方监测总体单位）在“安全风险监控系统”上进行消警。

（五）红色综合预警消警：风险处理结束，由施工单位提出消警申请（附报告），第三方监测、监理、安全风险咨询单位等相关单位审核确定，书面报告风险监测部审定，同时征得乌京建管公司领导意见，由风险监测部（依托安全风险咨询单位或第三方监测总体单位）在“安全风险监控系统”上进行消警。以风险监测部为主体的消警报送流程见图5-3所示。

乌京建管公司分管领导如发生突发风险事件红色综合预警加强监控、监督检查决策、组织处理风险监测部（安全风险咨询单位或第三方监测单位）橙、红色消警判定橙、红色预警的消警建议橙、红色消警判定监理单位设计单位黄色消警判定各色预警的消警建议施 工 单 位

图5.3 消警信息报送流程图

第五篇：信息科技风险管理办法（最终版）

XXXX银行信息科技风险管理办法 总则

为XXXX银行有效防范银行运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我行各项业务安全、持续、稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《商业银行信息科技风险管理指引》、《营口沿海银操作风险管理指引》，以及国家信息安全相关要求和有关法律法规，制定本管理办法。

本管理办法所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在我行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。本管理办法所称信息科技风险，是指信息科技在我行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

信息科技风险管理的目标是通过建立有效的机制，实现对我行信息科技风险的识别、计量、监测和控制，促进我行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。机构职责

根据我行信息科技治理的要求，法定代表人是本机构信息科技风险管理的第一责任人，负责组织本管理办法的贯彻落实, 董事会应履行以下信息科技管理职责： 遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。

掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

在建立良好的公司治理的基础上进行信息科技治理，形成分工合理、职责明确、相互制衡、报告关系清晰的信息科技治理组织结构。加强信息科技专业队伍的建设，建立人才激励机制。确保内部审计部门进行独立有效的信息科技风险管理审计，对审计报告进行确认并落实整改。每年审阅并向银监会及其派出机构报送信息科技风险管理的报告。确保信息科技风险管理工作所需资金。

确保银行所有员工充分理解和遵守经其批准的信息科技风险管理制度和流程，并安排相关培训。

确保本法人机构涉及客户信息、账务信息以及产品信息等的核心系统在中国境内独立运行，并保持最高的管理权限，符合银监会监管和实施现场检查的要求，防范跨境风险。及时向银监会及其派出机构报告本机构发生的重大信息科技事故或突发事件，按相关预案快速响应。

配合银监会及其派出机构做好信息科技风险监督检查工作，并按照监管意见进行整改。履行信息科技风险管理其他相关工作。

我行应设立分管信息科技的副行级领导，直接向行长汇报，并参与决策。副行级领导的职责包括：

直接参与本银行与信息科技运用有关的业务发展决策。确保信息科技战略，尤其是信息系统开发战略，符合本银行的总体业务战略和信息科技风险管理策略。

负责建立一个切实有效的信息科技部门，承担本银行的信息科技职责。确保其履行：信息科技预算和支出、信息科技策略、标准和流程、信息科技内部控制、专业化研发、信息科技项目发起和管理、信息系统和信息科技基础设施的运行、维护和升级、信息安全管理、灾难恢复计划、信息科技外包和信息系统退出等职责。确保信息科技风险管理的有效性，并使有关管理措施落实到相关的每一个内设机构和分支机构。

组织专业培训，提高人才队伍的专业技能。 履行信息科技风险管理其他相关工作。

科技部负责我行信息安全、信息系统开发、测试和维护、信息科技运行、业务连续性管理；应对内部管理职责进行明确的界定，各岗位的人员应具有相应的专业知识和技能，重要岗位应制定详细完整的工作手册并适时更新，并对相关人员采取相关的风险防范措施： 验证个人信息，包括核验有效身份证件、学历证明、工作经历和专业资格证书等信息。审核信息科技员工的道德品行，确保其具备相应的职业操守。

确保员工了解、遵守信息科技策略、指导原则、信息保密、授权使用信息系统、信息科技管理制度和流程等要求，并同员工签订相关协议。评估关键岗位信息科技员工流失带来的风险，做好安排候补员工和岗位接替计划等防范措施；在员工岗位发生变化后及时变更相关信息。

运营管理部职能交叉，要部门协调是信息系统中涉及账务交易的操作、系统参数变更、事件管理的主要部门。运营管理部的职责包括：

运行与维护应实行职责分离，运行人员应实行专职，不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护，除应急外，其他维护应在非工作时间进行。

制定详细的运行值班操作表，包括规定巡检时间，操作范围、内容、办法、命令以及负责人员等信息。

提供机房环境、设备使用、网络运行、系统运行职能交叉，要部门协调等监控信息。记录运行值班过程中所有现象、操作过程等信息日志。对软件或数据的维护必须通过特定的应用程序进行，添加、删除和修改数据应通过柜员终端，不得对数据库进行直接操作；

具备各种详细的日志信息，包括交易日志和审计日志等，以便维护和审计。提供维护的统计和报表打印功能。对系统参数等设置变更、维护的要求：

应对信息系统配置参数实施严格的安全与保密管理，防止非法生成、变更、泄漏、丢失与破坏。根据敏感程度和用途，确定存取权限、方式和授权使用范围，严格审批和登记手续。制订严密的变更处理流程，明确变更控制中各岗位的职责，并遵循流程实施控制和管理；变更前应明确应急和回退方案，无授权不得进行变更操作；

根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性。职能交叉，要部门协调

应对机房环境设施实行日常巡检，明确信息系统及机房环境设施出现故障时的应急处理流程和预案，有实时交易服务的数据中心应实行24小时值班。

实行事件报告制度，发生信息系统造成重大经济、声誉损失和重大影响事件，应即时上报并处理，必要时启动应急处理预案。

风险管理部负责信息科技风险管理工作，并直接向分管行领导（风险管理委员会）报告工作。该部门应为信息科技突发事件应急响应小组的成员之一，负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面，为业务部门和信息科技部门提供建议及相关合规性信息，实施持续信息科技风险评估，跟踪整改意见的落实，监控信息安全威胁和不合规事件的发生。风险管理部的职责包括： 拟定信息系统风险管理总体政策，并提交高级管理层审查、审批。会同相关业务部门对信息系统风险进行识别、监测； 审核信息系统风险状况。对总行相关业务部门和分支机构信息系统风险状况及维护、运行情况进行监测，并进行实时报告。

组织新投产后信息系统的后评价，并识别、评估新信息系统中所包含的风险，审核相应的操作和风险管理程序。

稽核审计部应在部门设立专门的信息科技风险审计岗位，负责信息科技审计制度和流程的实施，制订和执行信息科技审计计划，对信息科技整个生命周期和重大事件等进行审计。稽核审计部负责我行信息系统审计任务，也可聘请经国家相应监管部门认定资质的中介机构进行信息系统外部审计。信息科技风险管理

我行应制定全面的信息科技风险管理策略，包括但不限于下述领域： 信息分级与保护。

信息系统开发、测试和维护。信息科技运行和维护。访问控制。物理安全。人员安全。

业务连续性计划与应急处置。

我行应制定持续的风险识别和评估流程，确定信息科技中存在隐患的区域，评价风险对其业务的潜在影响，对风险进行排序，并确定风险防范措施及所需资源的优先级别（包括外包供应商、产品供应商和服务商）。

我行应依据信息科技风险管理策略和风险评估结果，实施全面的风险防范措施。防范措施应包括：

制定明确的信息科技风险管理制度、技术标准和操作规程等，定期进行更新和公示。

确定潜在风险区域，并对这些区域进行详细和独立的监控，实现风险最小化。建立适当的控制框架，以便于检查和平衡风险；定义每个业务级别的控制内容，包括： 最高权限用户的审查。

控制对数据和系统的物理和逻辑访问。

访问授权以“必需知道”和“最小授权”为原则。审批和授权。验证和调节。

我行应建立持续的信息科技风险计量和监测机制，其中应包括： 建立信息科技项目实施前及实施后的评价机制。建立定期检查系统性能的程序和标准。

建立信息科技服务投诉和事故处理的报告机制。

建立内部审计、外部审计和监管发现问题的整改处理机制。

安排供应商和业务部门对服务水平协议的完成情况进行定期审查。定期评估新技术发展可能造成的影响和已使用软件面临的新威胁。定期进行运行环境下操作风险和管理控制的检查。定期进行信息科技外包项目的风险状况评价。信息安全

科技部负责建立和实施信息分类和保护体系，应使所有员工都了解信息安全的重要性，并组织提供必要的培训，让员工充分了解其职责范围内的信息保护流程。

科技部应落实信息安全管理职能。该职能应包括建立信息安全计划和保持长效的管理机制，提高全体员工信息安全意识，就安全问题向其他部门提供建议，并定期向信息科技管理委员会提交本银行信息安全评估报告。信息安全管理机制应包括信息安全标准、策略、实施计划和持续维护计划。信息安全策略应涉及以下领域： 安全制度管理。信息安全组织管理。资产管理。人员安全管理。

物理与环境安全管理。通信与运营管理。访问控制管理。

系统开发与维护管理。信息安全事故管理。业务连续性管理。合规性管理。

应建立有效管理用户认证和访问控制的流程。用户对数据和系统的访问必须选择与信息访问级别相匹配的认证机制，并且确保其在信息系统内的活动只限于相关业务能合法开展所要求的最低限度。用户调动到新的工作岗位或离开我行时，应在系统中及时检查、更新或注销用户身份。

应确保设立物理安全保护区域，包括计算机中心或数据中心、存储机密信息或放置网络设备等重要信息科技设备的区域，明确相应的职责，采取必要的预防、检测和恢复控制措施。应根据信息安全级别，将网络划分为不同的逻辑安全域（以下简称为域）。应该对下列安全因素进行评估，并根据安全级别定义和评估结果实施有效的安全控制，如对每个域和整个网络进行物理或逻辑分区、实现网络内容过滤、逻辑访问控制、传输加密、网络监控、记录活动日志等。

域内应用程序和用户组的重要程度。各种通讯渠道进入域的访问点。

域内配置的网络设备和应用程序使用的网络协议和端口。性能要求或标准。

域的性质，如生产域或测试域、内部域或外部域。不同域之间的连通性。域的可信程度。

应通过以下措施，确保所有计算机操作系统和系统软件的安全：

制定每种类型操作系统的基本安全要求，确保所有系统满足基本安全要求。

明确定义包括终端用户、系统开发人员、系统测试人员、计算机操作人员、系统管理员和用户管理员等不同用户组的访问权限。制定最高权限系统账户的审批、验证和监控流程，并确保最高权限用户的操作日志被记录和监察。要求技术人员定期检查可用的安全补丁，并报告补丁管理状态。在系统日志中记录不成功的登录、重要系统文件的访问、对用户账户的修改等有关重要事项，手动或自动监控系统出现的任何异常事件，定期汇报监控情况。应通过以下措施，确保所有信息系统安全：

明确定义终端用户和信息科技技术人员在信息系统安全中的角色和职责。针对信息系统的重要性和敏感程度，采取有效的身份验证方法。加强职责划分，对关键或敏感岗位进行双重控制。在关键的接合点进行输入验证或输出核对。

采取安全的方式处理保密信息的输入和输出，防止信息泄露或被盗取、篡改。

确保系统按预先定义的方式处理例外情况，当系统被迫终止时向用户提供必要信息。以书面或电子格式保存审计痕迹。

要求用户管理员监控和审查未成功的登录和用户账户的修改。

应制定相关策略和流程，管理所有生产系统的活动日志，以支持有效的审核、安全取证分析和预防欺诈。日志可以在软件的不同层次、不同的计算机和网络设备上完成，日志划分为两大类： 交易日志。交易日志由应用软件和数据库管理系统产生，内容包括用户登录尝试、数据修改、错误信息等。交易日志应按照国家会计准则要求予以保存。系统日志。系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成，内容包括管理登录尝试、系统事件、网络事件、错误信息等。系统日志保存期限按系统的风险等级确定，但不能少于一年。

应保证交易日志和系统日志中包含足够的内容，以便完成有效的内部控制、解决系统故障和满足审计需要；应采取适当措施保证所有日志同步计时，并确保其完整性。在例外情况发生后应及时复查系统日志。交易日志或系统日志的复查频率和保存周期应由信息科技部门和有关业务部门共同决定，并报信息科技管理委员会批准。

应采取加密技术，防范涉密信息在传输、处理、存储过程中出现泄露或被篡改的风险，并建立密码设备管理制度，以确保：

使用符合国家要求的加密技术和加密设备。

管理、使用密码设备的员工经过专业培训和严格审查。加密强度满足信息机密性的要求。

制定并落实有效的管理流程，尤其是密钥和证书生命周期管理。

配备切实有效的系统，确保所有终端用户设备的安全，并定期对所有设备进行安全检查，包括台式个人计算机（PC）、便携式计算机、柜员终端、自动柜员机（ATM）、存折打印机、读卡器、销售终端（POS）和个人数字助理（PDA）等。

制定相关制度和流程，严格管理客户信息的采集、处理、存贮、传输、分发、备份、恢复、清理和销毁。

对所有员工进行必要的培训，使其充分掌握信息科技风险管理制度和流程，了解违反规定的后果，并对违反安全规定的行为采取零容忍政策。信息系统开发、测试和维护

应有能力对信息系统进行需求分析、规划、采购、开发、测试、部署、维护、升级和报废，制定制度和流程，管理信息科技项目的优先排序、立项、审批和控制。项目实施部门应定期向信息科技管理委员会提交重大信息科技项目的进度报告，由其进行审核，进度报告应当包括计划的重大变更、关键人员或供应商的变更以及主要费用支出情况。应在信息系统投产后一定时期内，组织对系统的后评价，并根据评价结果及时对系统功能进行调整和优化。应认识到信息科技项目相关的风险，包括潜在的各种操作风险、财务损失风险和因无效项目规划或不适当的项目管理控制产生的机会成本，并采取适当的项目管理方法，控制信息科技项目相关的风险。

采取适当的系统开发方法，控制信息系统的生命周期。典型的系统生命周期包括系统分析、设计、开发或外购、测试、试运行、部署、维护和退出。所采用的系统开发方法应符合信息科技项目的规模、性质和复杂度。

制定相关控制信息系统变更的制度和流程，确保系统的可靠性、完整性和可维护性，其中应包括以下要求：

生产系统与开发系统、测试系统有效隔离。

生产系统与开发系统、测试系统的管理职能相分离。除得到管理层批准执行紧急修复任务外，禁止应用程序开发和维护人员进入生产系统，且所有的紧急修复活动都应立即进行记录和审核。

将完成开发和测试环境的程序或系统配置变更应用到生产系统时，应得到信息科技部门和业务部门的联合批准，并对变更进行及时记录和定期复查。

制定并落实相关制度、标准和流程，确保信息系统开发、测试、维护过程中数据的完整性、保密性和可用性。

建立并完善有效的问题管理流程，以确保全面地追踪、分析和解决信息系统问题，并对问题进行记录、分类和索引；如需供应商提供支持服务或技术援助，应向相关人员提供所需的合同和相关信息，并将过程记录在案；对完成紧急恢复起至关重要作用的任务和指令集，应有清晰的描述和说明，并通知相关人员。信息科技运行

在选择数据中心的地理位置时，应充分考虑环境威胁（如是否接近自然灾害多发区、危险或有害设施、繁忙或主要公路），采取物理控制措施，监控对信息处理设备运行构成威胁的环境状况，并防止因意外断电或供电干扰影响数据中心的正常运行。

严格控制第三方人员（如服务供应商）进入安全区域，如确需进入应得到适当的批准，其活动也应受到监控；针对长期或临时聘用的技术人员和承包商，尤其是从事敏感性技术相关工作的人员，应制定严格的审查程序，包括身份验证和背景调查。应将信息科技运行与系统开发和维护分离，确保信息科技部门内部的岗位制约；对数据中心的岗位和职责做出明确规定。

按照有关法律法规要求保存交易记录，采取必要的程序和技术，确保存档数据的完整性，满足安全保存和可恢复要求。

制定详尽的信息科技运行操作说明。如在信息科技运行手册中说明计算机操作人员的任务、工作日程、执行步骤，以及生产与开发环境中数据、软件的现场及非现场备份流程和要求（即备份的频率、范围和保留周期）。建立事故管理及处置机制，及时响应信息系统运行事故，逐级向相关的信息科技管理人员报告事故的发生，并进行记录、分析和跟踪，直到完成彻底的处置和根本原因分析。我行应建立服务台，为用户提供相关技术问题的在线支持，并将问题提交给相关信息科技部门进行调查和解决。

建立服务水平管理相关的制度和流程，对信息科技运行服务水平进行考核。

建立连续监控信息系统性能的相关程序，及时、完整地报告例外情况；该程序应提供预警功能，在例外情况对系统性能造成影响前对其进行识别和修正。制定容量规划，以适应由于外部环境变化产生的业务发展和交易量增长。容量规划应涵盖生产系统、备份系统及相关设备。及时进行维护和适当的系统升级，以确保与技术相关服务的连续可用性，并完整保存记录（包括疑似和实际的故障、预防性和补救性维护记录），以确保有效维护设备和设施。制定有效的变更管理流程，以确保生产环境的完整性和可靠性。包括紧急变更在内的所有变更都应记入日志，由信息科技部门和业务部门共同审核签字，并事先进行备份,以便必要时可以恢复原来的系统版本和数据文件。紧急变更成功后,应通过正常的验收测试和变更管理流程,采用恰当的修正以取代紧急变更。业务连续性管理

根据自身业务的性质、规模和复杂程度制定适当的业务连续性规划，以确保在出现无法预见的中断时，系统仍能持续运行并提供服务；定期对规划进行更新和演练，以保证其有效性。评估因意外事件导致其业务运行中断的可能性及其影响，包括评估可能由下述原因导致的破坏：

内外部资源的故障或缺失（如人员、系统或其他资产）。信息丢失或受损。

外部事件（如战争、地震或台风等）。

应采取系统恢复和双机热备处理等措施降低业务中断的可能性，并通过应急安排和保险等方式降低影响。

建立维持其运营连续性策略的文档，并制定对策略的充分性和有效性进行检查和沟通的计划。其中包括：

规范的业务连续性计划,明确降低短期、中期和长期中断所造成影响的措施，包括但不限于: 资源需求（如人员、系统和其他资产）以及获取资源的方式。运行恢复的优先顺序。

与内部各部门及外部相关各方（尤其是监管机构、客户和媒体等）的沟通安排。更新实施业务连续性计划的流程及相关联系信息。验证受中断影响的信息完整性的步骤。

当我行的业务或风险状况发生变化时，对本条一到三进行审核并升级。

我行的业务连续性计划和应急演练结果应由信息科技风险管理部门或信息科技管理委员会确认。外包与审计 外包

不得将我行信息科技管理责任外包，应合理谨慎监督外包职能的履行。

实施重要外包（如数据中心和信息科技基础设施等)应格外谨慎，在准备实施重要外包时应以书面材料正式报告银监会或其派出机构。

在签署外包协议或对外包协议进行重大变更前，应做好相关准备，其中包括：

分析外包是否适合我行的组织结构和报告路线、业务战略、总体风险控制，是否满足我行履行对外包服务商的监督义务。

考虑外包协议是否允许我行监测和控制与外包相关的操作风险。

充分审查、评估外包服务商的财务稳定性和专业经验，对外包服务商进行风险评估，考查其设施和能力是否足以承担相应的责任。

考虑外包协议变更前后实施的平稳过渡（包括终止合同可能发生的情况）。

关注可能存在的集中风险，如多家我行共用同一外包服务商带来的潜在业务连续性风险。在与外包服务商合同谈判过程中，应考虑的因素包括但不限于： 对外包服务商的报告要求和谈判必要条件。

银行业监管机构和内部审计、外部审计能执行足够的监督。

通过界定信息所有权、签署保密协议和采取技术防护措施保护客户信息和其他信息。担保和损失赔偿是否充足。

外包服务商遵守我行有关信息科技风险制度和流程的意愿及相关措施。外包服务商提供的业务连续性保障水平，以及提供相关专属资源的承诺。第三方供应商出现问题时，保证软件持续可用的相关措施。

变更外包协议的流程，以及我行或外包服务商选择变更或终止外包协议的条件，例如： 我行或外包服务商的所有权或控制权发生变化。我行或外包服务商的业务经营发生重大变化。

外包服务商提供的服务不充分，造成我行不能履行监督义务。

在实施双方关系管理，以及起草服务水平协议时，应考虑的因素包括但不限于：

提出定性和定量的绩效指标，评估外包服务商为我行及其相关客户提供服务的充分性。通过服务水平报告、定期自我评估、内部或外部独立审计进行绩效考核。针对绩效不达标的情况调整流程，采取整改措施。加强信息科技相关外包管理工作，确保我行的客户资料等敏感信息的安全，包括但不限于采取以下措施：

实现本银行客户资料与外包服务商其他客户资料的有效隔离。

按照“必需知道”和“最小授权”原则对外包服务商相关人员授权。要求外包服务商保证其相关人员遵守保密规定。

应将涉及本银行客户资料的外包作为重要外包，并告知相关客户。

严格控制外包服务商再次对外转包，采取足够措施确保我行相关信息的安全。确保在中止外包协议时收回或销毁外包服务商保存的所有客户资料。我行应建立恰当的应急措施，应对外包服务商在服务中可能出现的重大缺失。尤其需要考虑外包服务商的重大资源损失，重大财务损失和重要人员的变动，以及外包协议的意外终止。我行所有信息科技外包合同应由科技部、风险管理部、法律合规部和信息科技管理委员会审核通过。我行应设立流程定期审阅和修订服务水平协议。审计

我行内部审计部门应根据业务的性质、规模和复杂程度，对相关系统及其控制的适当性和有效性进行监测。稽核审计部门应配备足够的资源和具有专业能力的信息科技审计人员，独立于我行的日常活动，具有适当的授权访问我行的记录。我行内部信息科技审计的责任包括：

制定、实施和调整审计计划，检查和评估我行信息科技系统和内控机制的充分性和有效性。按照第一款规定完成审计工作，在此基础上提出整改意见。检查整改意见是否得到落实。

执行信息科技专项审计。信息科技专项审计，是指对信息科技安全事故进行的调查、分析和评估，或审计部门根据风险评估结果对认为必要的特殊事项进行的审计。

我行应根据业务性质、规模和复杂程度，信息科技应用情况，以及信息科技风险评估结果，决定信息科技内部审计范围和频率。但至少应每三年进行一次全面审计。我行在进行大规模系统开发时，应要求信息科技风险管理部门和内部审计部门参与，保证系统开发符合本银行信息科技风险管理标准。我行可以在符合法律、法规和监管要求的情况下，委托具备相应资质的外部审计机构进行信息科技外部审计。

在委托审计过程中，我行应确保外部审计机构能够对本银行的硬件、软件、文档和数据进行检查，以发现信息科技存在的风险，国家法律、法规及监管部门规章、规范性文件规定的重要商业、技术保密信息除外。

我行在实施外部审计前应与外部审计机构进行充分沟通，详细确定审计范围，不应故意隐瞒事实或阻挠审计检查。

银监会及其派出机构必要时可指定具备相应资质的外部审计机构对我行执行信息科技审计或相关检查。外部审计机构根据银监会或其派出机构的委托或授权对我行进行审计时，应出示委托授权书，并依照委托授权书上规定的范围进行审计。外部审计机构根据授权出具的审计报告，经银监会及其派出机构审阅批准后具有与银监会及其派出机构出具的检查报告同等的效力，被审计的我行应根据该审计报告提出整改计划，并在规定的时间内实施整改。

我行在委托外部审计机构进行外部审计时，应与其签订保密协议，并督促其严格遵守法律法规，保守本银行的商业秘密和信息科技风险信息，防止其擅自对本银行提供的任何文件进行修改、复制或带离现场。附则

本办法由营口沿海银风险管理部负责解释和修订。