新金融业态下银行信息科技的监管思路

近年来，全球信息技术飞速发展，信息科技在金融行业的应用深度广度不断增加。进入“十三五”以来，中国银行业全面落实党中央和国务院各项工作部署，在总体国家安全观的指导下，积极践行基础建设与科技进步并行、提升服务与保障安全并举的发展理念，信息科技有力地支持了银行业务的发展。

银行业信息科技发展成就

        一是着力提升信息科技治理现代化水平，建立与公司治理体系相适应、与技术和产业发展环境相适应的信息科技治理体系。

        截至2016年底，银监会在信息科技监管过程中重点监测的250余家银行业金融机构（以下简称“主要机构”，本文中如非另行标注，所列数据均基于上述机构统计）已全部设立信息科技管理委员会。绝大部分机构结合新时期和互联网金融业务发展主题，制定了信息科技战略规划。近半数机构设立了首席信息官，整合规划和配置全行科技资源。信息科技组织体系不断优化，大部分机构建立了“一部多中心”的科技组织结构，科技工作专业化运作水平进一步提升；大中型银行进一步强化境内外联动、母子公司协同，实现资源共享与集约化运营；部分银行改革科技工作机制，实现了对业务功能需求的快速响应，同时实现科技资源和服务对外输出，为互联网金融业务发展提供重要的金融同业技术平台。信息科技投入持续增长。2016年机构信息科技总投入超过1100亿元，比2011年增长70.55%；信息科技正式人员总数逾8万人，比2011年增长29.21%。

        二是积极实施科技驱动发展战略，大力推进信息化建设，以科技进步推动产品、渠道、服务以及管理更加符合银行发展要求。

        银行业基础设施日臻完善。截至2016年底主要机构共建有301个生产中心、380个灾备中心，相比2011年底分别增长21.86%和49.61%，基本搭建完成“两地三中心”的灾备架构体系。部分机构通过“双活”、“多活”等模式进一步提升了数据中心效能。不断完善业务连续性管理体系，应急响应水平明显提升。全面升级改造新一代核心银行系统，基本实现了从“以账户为中心”向“以客户为中心”的转变，支持更加灵活的业务流程设计，提升业务运营能力，核心系统处理能力持续提高。2016年底，主要机构日均交易笔数超过16亿，个人账户和企业账户总数与2011年相比增加近80%，科技驱动效果明显。紧紧抓住移动互联网发展机遇，大力开展新兴电子渠道建设，电子银行业务保持高速增长。加速推动移动互联、云计算等新技术与业务的融合，在渠道、产品和服务等方面推陈出新，为更好地服务实体经济、促进发展普惠金融提供了源源不断的动力。积极搭建大数据平台，整合内外部大数据资源，在客户维系、精准营销、风险管控、经营决策等多领域全方位开展探索应用。

        三是始终严守安全底线，促进科技风险管理“三道防线”建设，加强重点领域风险防范。

        银行业金融机构全面加强科技风险管理“三道防线”建设，在科技管理方面，精细化水平逐步提升，研发、投产变更、运行维护、应急灾备等流程更加规范完善。例如，部分机构引入敏捷开发、灰度发布、快速交付机制，逐步提升对互联网金融需求的快速响应能力；实施智能化一体化运维，进一步提升生产运维效率以及运行风险识别、预警和早期干预能力；建设应急指挥系统、灾备自动化切换平台，实现生产灾备一键式切换。在科技风险管理方面，组织架构逐步完善，人员配备稳步增长，科技风险评估工作逐渐常态化，科技风险管理独立性和专业性进一步增强。在科技审计方面，审计机制更加健全，专业审计人员配备逐步增加，审计覆盖面不断扩大。

        与此同时，银行业金融机构聚焦重点风险领域。一方面，全面开展网络与信息安全保障工作，建立健全网络安全管理和应急响应机制，逐步构建层次化、立体化的纵深防御体系。不少全国性银行设置应用安全团队、建设攻防实验室，加大网络安全风险监测与开发过程联动，将风险关口前移。各机构持续加强网络安全自查检查和培训，2016年度主要机构组织开展互联网系统渗透测试400余次，安全培训5000余次。另一方面，积极落实科技外包风险监管要求，建立健全外包战略，明确董事会与高管层的管理职责，逐步完善信息科技外包管理制度、流程及风险控制机制，持续增强外包服务活动全过程的风险管理能力。通过银行业科技外包联合监管平台，推动外包服务市场的规范化和行业自律，有效防范和逐步化解系统性外包风险。

面临的风险和挑战

        与此同时，我们也要清醒地认识到，“十三五”时期是我国全面深化改革、加快经济发展方式转变的关键历史时期。经济步入新常态背景下，我国发展仍处于可以大有作为的重要战略机遇期，也面临诸多矛盾叠加、风险隐患增多的严峻挑战，银行业经营环境更加复杂。一方面，国内外网络与信息安全形势严峻；另一方面，新兴技术在金融业的广泛应用也引发了新的风险。

        一是网络和信息安全形势日益严峻。

        近年来，政府、金融机构等关键基础设施成为网络犯罪组织的主要攻击目标。2016年多个金融机构相继遭遇网络安全攻击事件，特别是今年爆发的“永恒之蓝”（WannaCry）病毒、“影子经纪人”系列漏洞、“无敌舰队”、“勒索病毒Petya”等主要网络安全风险事件，更是席卷全球各个行业。在当前“互联网+”时代背景下，银行业务更加开放，银行信息系统的体量日益庞大、结构愈加复杂、出口纵横交错，信息流转环节多、途径广，安全防护热点多、难度大，各种常规攻击不断衍变升级，其针对性、隐蔽性、破坏性不断增强；钓鱼、电信欺诈等作案手段花样翻新，对银行客户的信息和资金安全的威胁进一步加大；分布式拒绝服务（DDoS）、高级持续威胁（APT）等有组织、有预谋的复杂攻击长期存在；个人信息的全面互联网化使得第三方机构的信息科技风险向银行传导的机率大幅度提高。而少数机构的网络安全管理工作仍存在“重形式、轻质效”的问题，监管要求落实不力，网络安全基础薄弱，管理短板明显。

        二是新技术与银行业务深度融合带来新的挑战。

        随着银行业架构转型工作向纵深推进，以移动互联网、云计算、大数据、生物识别、区块链等为代表的新兴信息技术与金融业务深度融合，已经实质改变了金融领域的生产力和生产关系，成为新的金融服务生产工具，为银行业带来了重要的战略机遇。与此同时，与传统技术相比较，新技术存在的固有风险尚未得到充分识别，风险防范的难度不断加大；技术风险和业务风险交织，进一步增加了技术风险的多样性和复杂性，对银行数据治理、系统架构、风险管控、基础设施建设、系统开发、运行维护等领域都产生了新的挑战。更重要的是，银行业尚缺乏能够有效激发科技进步的机制，人才流失明显，特别是高端人才招纳存在困难，现有的管理和薪酬体系已不能适应新技术环境下的发展要求。

        三是外包风险管理能力和控制水平仍需提升。

        采用信息科技外包服务是银行业务快速发展的内在需求，也是银行面对激烈的市场竞争的必然选择。近年来随着云计算、大数据等新兴技术的发展，云服务平台、大数据公司、互联网企业与银行深度合作，外包服务领域已从传统的系统开发、运维延伸到了科技系统平台运营、机房基础设施云服务等重要科技服务职能。进而触及集中数据处理、信用卡服务、助贷、客户拓展等业务活动、外部协作领域。外包深度和广度不断增加，运营中断、数据滥用风险也在持续累积，且同时影响多家银行，容易造成集中、共性风险。包括关键基础软硬件在内的部分重要外包活动存在集中度较高、依赖性较强的情况，系统性风险、供应链风险尚未得到全面化解。银行业金融机构尤其是中小银行在选型、变更、运营、管理等方面的主动控制水平呈进一步降低的趋势。

        四是信息科技领域的开放合作有待深化。

        近年来，银行业在信息化知识和经验共享方面进步明显。但整体看来，仍存在同质同类系统重复建设，数据中心、灾备中心等资源重复投资等现象，从银行业整体来看，信息化建设的集约化程度还比较低，缺乏有效的共赢合作机制，银行间的科技合作亟待加强。

下一步工作思路

        信息技术是一把双刃剑。一方面，信息技术在提升金融服务质量和能力、促进普惠金融发展等方面带来诸多好处，对金融业的发展利大于弊；另一方面，新兴信息技术也会引发新的风险。银行业金融机构应正确认识信息科技发展的客观规律，找准“症结”，对症下药，在促发展和防风险之间做好平衡。

        一是扎实开展网络和信息安全工作，严守安全底线。

        落实国家网络空间安全战略，把网络和信息安全工作纳入全局战略和总体规划统筹考虑。着力健全信息安全管理体系，推动构建覆盖信息系统全生命周期、贯通业务和科技全流程，动态、立体、高效、敏捷的安全防御和应急体系。加强新兴技术运用的风险防控和数据保护工作，健全内部控制和工作机制，规范收集、使用和对外提供客户信息的行为，强化电子信息安全管理。强化关键信息基础设施安全防护，提高重大网络安全威胁应对能力，建立全方位的安全态势感知和预警体系，组织开展网络攻防演练，增强重大网络攻击的发现、分析和处置能力。加强网络和信息安全领域的交流合作，建立威胁情报共享机制和技术平台，深化银行业网络和信息安全会商机制。加大信息技术的掌控力度，以开放、包容、安全、高效为目标实施架构转型，积极研究新型软件在银行业重要信息系统的应用，关键信息基础设施应逐步采用异构冗余技术，对于重要的业务系统应逐步掌握独立变更升级的能力。

        二是加强系统性、行业性科技外包风险防控。

        健全外包管理机制，加强非驻场外包服务风险评估和专项审计，规范外包合同管理，有效提高外包风险管理水平。加强对重点外包服务的事中、事后监管，推进银行业联合开展对重要外包的风险核查。加强对银行业务创新、外部协作过程中的风险关注，重点核查信息安全、客户数据保护情况。强化外包风险信息通报，加强在外包商产品、服务使用过程中有关网络和信息安全风险问题的监测和风险提示。

        三是提升灾难恢复能力，强化业务连续性监管。

        分类推进银行业金融机构业务连续性管理体系建设，加强科技与业务协调联动；推进突发事件应急协作、演练机制建设，全面评估应急预案有效性；充分开展真切实换的演练，进一步增加攻防对抗模拟和跨部门协同演练，提高应急协调和综合处置能力。全面梳理关键信息基础设施，逐步引导银行机构优化灾备中心布局。完善灾备中心建设，提升灾备能力和恢复水平，鼓励建设具有相互接管服务能力的多生产中心。提高灾备切换标准化、自动化水平，确保关键业务持续运营，杜绝因业务中断引发的区域性、系统性风险。

        四是完善科技驱动机制，加快创新能力建设，构建全新的互联网金融生态圈。

        把握新一轮信息技术革命带来的机遇，将科技驱动纳入银行总体战略。加强顶层设计，明确科技引领业务发展转型的战略定位。优化科技治理结构，为科技进步在制度、组织、流程方面留足空间。紧跟新技术发展趋势，加大研发投入，积极尝试开展科研成果的应用转化，促进技术与业务的融合。深入贯彻落实国家关于“互联网+”、大数据、云计算的战略部署，积极运用新兴技术拓展服务渠道，提高金融服务的覆盖率、可得性和满意度。要与产业界加强合作，充分发挥银行资金、管理、风控等传统优势，与互联网企业在渠道、获客能力等方面的长项强强联合，构建优势互补、合作共赢的互联网金融生态圈。

        五是以开放的心态、积极的行动，开创银行业金融机构之间科技合作的新局面。

        多年来，银行业金融机构开发了大量系统，积累了海量数据，但无论是在数据层面还是在信息化建设方面，各机构仍然是各自为政，尚未形成合力，不利于银行业信息化整体效能提升。开放合作、取长补短、互助共赢是下一步发展的迫切要求。要进一步挖掘数据价值，实现数据共享，最大限度发挥数据的社会效能。建立银行业金融机构之间科技合作的有效机制，加强科技能力共享，促进整体科技能力不断提升。通过支持科创企业发展，深化与相关企业的合作关系，把握科技进步带来的新机会，用好科技成果，同步提升银行业金融机构自身的信息科技能力。探索建立支持科技合作的平台，创造以科技合作为基础的新型服务模式，为行业、为社会提供公共认证、公共接口、公共数据等服务，改变过去标准不统一、信息不对称、产品同质化、服务碎片化的状况。不断探索科技合作的新模式、新领域，充分提升银行业信息化的整体协作水平和集约化水平。

（文章来源：金融电子化杂志） 

扫码即可手机
阅读转发此文