监管原则

信息科技监管目标

（1）有效保障银行业持续运作和信息安全，维护社会稳定，确保金额安全和保障公众利益。

（2）具体目标：业务连续性、信息安全、公众满意度、合法合规。

监管方式

（1）信息科技非现场监管

①以报表作为风险信息采集、识别和监测的主要手段。

②可作为制定现场检查方案或快速巡查的依据。

（2）信息科技现场检查

①分为全面检查和专项检查。

②信息科技风险快速巡查是介于非现场监管与现场检查的一种监管手段，目的是既要保障监管有效覆盖各类机构，同时又尽量经济、节约地使用监管资源。

（3）风险评估与监管评级：风险评估是风险监管的核心步骤。

（4）风险控制

（5）持续监管

监管要求

（1）信息科技治理

①明确信息科技管理、信息科技风险管理和信息科技风险监督的“三道防线”职责；

②设立信息科技管理委员会，成员来自高管层、信息科技部门和主要业务部门，并定期向高管层汇报工作；

③以正式制度（文件）明确信息科技治理作为重要组成部分纳入公司治理；

④设立首席信息官，直接向行长汇报，并参与重大决策，首席信息官具有一定的信息科技专业背景或从业经验

（2）信息科技风险管理

信息科技风险纳入全面风险管理，明确风险管理部门统一复杂信息科技风险管理。

（3）信息安全管理

重点关注信息安全管理体系建设和信息安全管理执行力。

（4）信息系统开发及测试

（5）信息科技运行及维护

（6）业务连续性管理

①商业银行应将业务连续性管理纳入全面风险管理体系。

②制定运营中断事件等级划分标准，根据事件影响范围、持续时间和损失程度定义事件等级，遵循“统一指挥、分类管理、分级处置、快速响应”的原则，开展应急响应处置工作。

（7）信息科技外包管理

（8）信息科技审计

①重点关注信息科技风险内部监督机制和外部监管合规监督等。

②商业银行应重视：近三年信息科技审计覆盖率、近两年信息科技内（外）审整改率、近两年内（外）审工作中信息科技专项审计占比。

（9）重大监管关注事项