《银行保险机构信息科技外包风险监管办法》解读

银保监会于2021年12月30日印发《银行保险机构信息科技外包风险监管办法》（银保监办发〔2021〕141号）（下称《办法》），以进一步加强银行保险机构信息科技外包风险监管，促进银行保险机构提升信息科技外包风险管控能力。该办法于公布之日生效施行。

一

《办法》背景以及与旧监管要求的主要变化

伴随《办法》的生效，《银行业金融机构信息科技外包风险监管指引》（银监发〔2013〕5号）（下称《指引》）、《中国银监会办公厅关于加强银行业金融机构信息科技非驻场集中式外包风险管理的通知》（银监办发〔2014〕187号）、《中国银监会办公厅关于开展银行业金融机构信息科技非驻场集中式外包监管评估工作的通知》（银监办发〔2014〕272号）同时废止。

本次《办法》的重点变化在于：

扩大适用机构：

机构范围由原来主要针对各类银行、农信社以及参照执行的其他金融机构，增加了各类保险机构，包括保险集团（控股）公司、保险公司、保险资产管理公司等；

整合监管规制：

以原银监会出台的3个指引和通知为基础，形成相对统一的信息科技外包管理监管规制。对3个指引和通知中的跨境外包、非驻场外包、非驻场集中式外包、重点外包机构等内容进行整合，明确管理要求；

重视信息安全：

随着《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》的出台，《办法》根据这些法律法规新增了网络安全、数据安全、跨境外包的信息跨境处理等要求。《办法》也正式将银行保险机构与其他第三方合作当中涉及银行保险机构重要数据和客户个人信息处理的信息科技活动纳入管理适用范围。

强化主体责任：

《办法》继续强调了金融机构的主体责任，在实施原则中明确不得将信息科技管理责任、网络安全主体责任外包，强调事前控制和事中监督，持续改进外包策略和风险管理措施。《办法》要求针对可能给业务连续性管理造成重大影响的重要外包服务，银行保险机构应当事先建立风险控制、缓释或转移措施；要求银行保险机构应承担内部审计职能和责任，定期开展信息科技外包及其风险管理的审计工作，内部审计项目可委托母公司或同一集团下属子公司实施，或聘请独立第三方实施。

二

《办法》总体框架

新的《办法》形成统一的信息科技外包管理机制，其管理核心是对外包生命周期内各种活动的风险识别、评估、监测和控制。《办法》对原《指引》框架结构进行调整，分别从治理层面、管理层面（信息科技外包准入和监控评价）、风险层面和监管层面对信息科技外包管理提出要求。《办法》总体框架如下：

三

《办法》部分关注重点分析

1

网络安全和数据安全

随着《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》的出台，监管对于外包活动中涉及的网络安全、数据安全和个人信息保护也越发重视。《办法》根据相关法律法规，在适用范围、原则及风险管理中将相关内容纳入监管要求。

《办法》所适用的信息科技外包，不仅包含银行保险机构将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为。银行保险机构与其他第三方合作当中涉及银行保险机构重要数据和客户个人信息处理的信息科技活动，按照《办法》相关要求进行管理，法律法规另有要求的除外。

《办法》同时强调，银行保险机构在实施信息科技外包时应当坚持以下原则：不得将信息科技管理责任、网络安全主体责任外包；以不妨碍核心能力建设、积极掌握关键技术为导向；保持外包风险、成本和效益的平衡；保障网络和信息安全，加强重要数据和个人信息保护；强调事前控制和事中监督；持续改进外包策略和风险管理措施。

《办法》第三十二条，具体对外包活动中网络和信息安全管理措施提出要求。

2

分级分类管理

与旧《指引》相比，《办法》中明确了分级分类标准，要求针对不同类型外包活动建立相适应的管理和风险策略，对于重要外包和一般外包采取差异化的管控措施。同时，在风险管理中提出针对重要外包的审计要求。

3

业务连续性管理

《办法》第三十一条，针对信息科技外包活动的业务连续性管理提出要求，以降低外包突发事件的可能性和影响。银行保险机构应当事先针对可能对业务连续性管理造成重大影响的外包服务建立风险控制、缓释或转移措施。

总结

基于银行业保险业业务与科技高度融合及数字化转型不断深化的现实条件，银保监会着力加强银行业保险业信息科技风险监管，促进银行业保险业信息科技监管规制融合、工具统一、力度加大。

近几年监管实践发现，信息科技外包是当前银行保险机构的风险多发领域，主要表现在银行保险机构信息科技外包范围不断扩大、银行保险机构信息科技外包形式趋于多样、银行保险机构信息科技外包活动风险频发等方面。基于这样的背景，《办法》将保险机构纳入适用范围的同时，形成银行保险业融合统一的信息科技外包监管规制，并基于原来基础进一步加强监管约束，加大监管力度。

本文通过《办法》与信息科技外包管理3个原指引与通知的对比，总结新旧监管要求的重要变化，探讨重点关注内容。我们将持续关注监管的最新动态，以向相关适用金融机构提供及时的专业观察及建议。我们欢迎各类相关金融机构及人士垂询，并很高兴为您提供政策解读及实务指导方面的相关建议。

联系我们

张楚东

金融业主管合伙人

毕马威中国

[e-mail]

郑昊

信息科技咨询主管合伙人

毕马威中国

[e-mail]

董常凌

金融业信息科技咨询合伙人

毕马威中国

[e-mail]

宣杰

金融业信息科技咨询合伙人

毕马威中国

[e-mail]

斯小霆

金融业信息科技咨询总监

毕马威中国

[e-mail]

张立弘

金融业信息科技咨询总监

毕马威中国

[e-mail]

本文内容仅供一般参考用，并非针对任何个人或团体的个别或特定情况而提供。虽然我们已致力提供准确和及时的资料，但我们不能保证这些资料在阁下收取时或日后仍然准确。任何人士不应在没有详细考虑相关的情况及获取适当的专业意见下依据所载内容行事。本文所有提供的内容均不应被视为正式的审计、会计或法律建议。

©2022毕马威华振会计师事务所(特殊普通合伙)、毕马威企业咨询(中国)有限公司及毕马威会计师事务所，均是与英国私营担保有限公司— 毕马威国际有限公司(“毕马威国际”)相关联。毕马威国际不提供任何客户服务。各成员所均为各自独立的法律主体，其对自身描述亦是如此。毕马威华振会计师事务所(特殊普通合伙) — 中国合伙制会计师事务所；毕马威企业咨询 (中国) 有限公司 — 中国有限责任公司；毕马威会计师事务所 — 香港合伙制事务所。版权所有，不得转载。毕马威的名称和标识均属于毕马威国际的商标或注册商标。