20220130-普华永道-把控风险变局_筑底开放生态_20页_4mb

普华永道分析《银行保险机构信息科技外包风险监管办法》（141号文）

一、背景与监管趋势

1. 金融科技发展推动信息科技外包模式变革，外包服务从传统类型向技术合作、技术输出转变。
2. 监管持续趋严，重点关注网络安全、数据安全和个人信息保护，将其纳入信息科技外包核心导向。
3. 金融机构普遍存在较高信息科技外包依赖，但集中度风险、外包人员管理难度、服务提供商内控不足等问题突出。

二、141号文核心内容与关注点

（一）监管范围扩展与核心导向强化

• 范围扩展：将涉及“重要数据或客户个人信息处理”的多项合作纳入监管，包括战略规划、系统开发测试、运行维护、安全服务、数据处理等。
• 核心导向：将网络安全、数据安全和个人信息保护作为独立原则，明确禁止外包；要求跨境外包遵守相关法律法规。

（二）信息科技外包治理结构与职责明确

• 治理架构：建立包含董事会/高管层、外包风险主管部门、外包执行团队的四方治理架构。
• 职责细化：明确各层级在外包风险管理中的具体职责，加强外包风险主管部门统筹管理职责。

（三）外包活动分类与分级管理

• 分类管理：将信息科技外包活动按服务形态分为咨询规划类、开发测试类、运行维护类、安全服务类、业务支持类。
• 分级管理：明确重要外包判断标准，包括整体外包、涉及基础设施、核心系统外包、战略规划咨询等，对重要外包实施更严格的管理措施。

（四）全程闭环管理要求

• 事前评估：要求对重要外包进行充分的风险评估和事前报告。
• 事中监控：落实持续监测、服务水平管理、应急处置、关键权限管理、业务连续性安排。
• 事后退出：制定退出策略，加强供应商关系管理。

三、实施难点与建议

主要挑战：

• 监管范围扩展导致管理边界模糊，原有合作模式需重新评估。
• 管理体系需全面升级，四层职责协同带来组织变革压力。
• 外包风险管控能力建设落后，尤其在服务提供商准入、持续监测、退出管理方面存在差距。
• 多项法律法规联动，合规标准不断提高。

应对建议：

• 全面梳理合规差距，前瞻性开展内部管理机制优化。
• 构建协同治理机制，建立战略决策、尽职调查、风险管理各环节标准。
• 完善供应商管理体系，贯穿“选、管、评、退”全生命周期。
• 强化日常管理闭环，特别是声誉风险、人员行为、数据安全等高发领域。

四、第三方支持选项

普华永道可在以下领域提供专业支持：

• 合规体系全面诊断与风险评估
• 外包治理体系建立与优化
• 供应商准入、考核与期间管理咨询
• 定期合规评价与专项审计
• 风险监测与现场核查服务

五、核心结论

141号文标志着我国金融机构信息科技外包风险管理进入精细化、全流程监管时代，其核心要义在于通过建立清晰的治理框架、加强全生命周期管理、突出数据安全要求，推动金融机构建立“内部能力+外部合规”的双轮驱动治理模式，实现监管合规与业务发展平衡。