銀行業金融機構信息科技管理工作考核辦法（試行） 第壹章 總則 第壹條 為完善信息科技治理措施，增強銀行業信息科技風險防範能力，推動轄內商業銀行信息化建設健康發展，更好地運用信息技術提升業務管理和風險防範水平，根據《中國銀行業監督管理法》、《商業銀行信息科技風險管理指引》、《商業銀行操作風險管理指引》、《商業銀行業務連續性監管指引》、《商業銀行外包風險管理指引》、《銀行業重要信息系統突發事件管理規範》等法律法規，制定本考核辦法。 第二條 ＃＃銀監分局對轄區各銀行業金融機構的信息科技風險管理狀況進行考核評比，考核評比工作由＃＃銀監分局統計信息科組織實施。 第三條 本辦法的考核評比周期為壹年，自上年度 12 月份至本年度 11 月末，考核情況每半年通報 1 次，每年年底對全年考核結果進行通報表彰。 第四條 本辦法適用於＃＃轄區各銀行業金融機構。 第二章 考核內容及計分方法 第五條 信息科技管理考核工作的內容，包括信息科技日常管理、監管部門信息科技檢查、監管部門布置工作完成情況三個方面，同時設立加分項目對在信息科技管理方面表現優異的機構給予鼓勵。 第六條 信息科技管理考核實行百分制考核與加分項目考核相結合的綜合考核方法，百分考核得分與加分項目考核得分相加為綜合考核得分。 第七條 信息科技日常管理、監管部門信息科技檢查、監管部門布置工作完成情況三項工作實行百分制考核，每項滿分 100 分，分別按 40、30、30的權重計入百分考核得分；加分項目實行單獨考核，視完成情況進行獎勵加分，直接計入綜合考核得分。 第三章 考核標準 第八條 信息科技日常管理考核標準。法人機構應在完善信息科技治理的基礎上，建立信息科技風險“三道防線”，做好信息科技規劃，提升信息系統建設效率，確保信息系統穩健運行並采取有效內控措施減少信息系統應用風險；分支機構應重點加強業務連續性和信息安全管理，建立相應的管理制度，確保經營過程中不發生信息安全事故。 1.銀行業金融機構未指定信息科技風險牽頭管理部門，扣 5 分；牽頭部門及負責人變更未按要求向監管部門報告的，每次扣 2 分；牽頭部門未能積極配合監管部門進行工作協調的，每次扣 2 分。 2.被考核機構未對信息科技風險管理相關部門配備適當資源，如人員、財力、基礎設施等不充足或存在重大缺陷的，每項扣 35 分；被考核部門信息科技風險管理制度存在不完善的，每項扣 2 分。 3.新設經營機構、原有機構裝修改造或遷址，涉及信息科技變更事宜，未向監管部門信息科技風險監管部門報告的，每次扣 5 分。 4.未制定年度信息科技風險應急演練計劃的扣 5 分，未實施演練或演練不符合監管要求的扣 13 分。演練計劃和實施結果未報告監管部門的，每次扣 1 分。 扣 5.未制定業務連續性計劃和應急預案的機構， 15 分並取消年度評獎資格；制定業務連續性計劃和應急預案不完善的，視情況扣 510 分；發生大範圍的業務中斷事故的，每次扣 15 分並取消年度評獎資格。 6.機房或營業網點在發生業務中斷或重要網絡中斷事件後，未及時報告監管部門的，根據事件大小，每次扣 25 分。 7.銀行業金融機構應至少每半年組織相關部門人員學習1 次信息科技監管制度、信息科技風險提示等文件，並做相應的學習記錄。未定期組織學習、記錄不完整或學習效果不明顯的，視情況每次扣 25 分。 8.被考核機構在制訂考核辦法時，未將監管部門年度考核結果納入本機構內部部門考核的，每次扣 10 分；未按考核制度執行的，每次扣 28 分。 9.被考核機構機房服務器、重要安全設備、網絡設備和桌面計算機等涉密設備，未采取必要的信息安全防護措施的，根據情況每項扣 25 分。 10.總行級法人機構在實施重要信息系統項目外包前（如數據中心、重要業務系統和信息科技基礎設施等）未以書面形式正式報告監管部門的，每次扣 2 分。 11.總行級法人機構在進行重要信息系統開發時，未要求信息科技風險管理部門、業務管理部門和內部審計部門進行壹般控制和應用控制審查，以確保系統開發符合監管部門以及本機構風險管理標準的，視情況每次扣 25 分。 12.總行級法人機構未按照監管要求建立完善的信息科技治理，並形成信息科技風險“三道防線”的，根據情況扣 25分；未制定明確的信息科技戰略規劃，或規劃與本行整體戰略規劃結合不緊密的，根據情況扣 35 分。 第九條 監管部門信息科技檢查考核標準。轄內銀行業金融機構應積極配合監管部門的信息科技檢查及巡查工作，對暴露出的問題認真分析成因，組織全面整改，並采取有效措施落實監管部門提出的監管意見和要求，促進本機構信息科技管理能力和水平的不斷提高。 1.監管部門每年例行現場檢查中發現嚴重問題，每項扣5 分；壹般性問題每項扣 1 分；嚴重問題是指對信息系統的穩定運行、業務連續性、信息安全和銀行業務管理帶來較大安全隱患的問題。 2.對監管部門檢查發現的問題未在規定時間內進行整改的，每項扣 3 分。 3.監管部門提出的監管要求，經被查機構確認後，未在規定時間內落實的，每項扣 5 分。 第十條 監管部門布置工作完成情況考核標準。被考核機構需在規定時間內，完成監管部門布置的各項信息科技監管工作並確保工作質量，本機構信息科技風險牽頭部門負責內部協調聯系工作。 1.對監管部門下發的各類通知和監管要求未有效貫徹落實的，每次扣 15 分。 2.對監管部門要求上報的報表，未能及時報送的每次扣5 分；填報數據或信息出現差錯的，視情況每次扣 13 分；報表出現漏報項的每項扣減 2 分。 3.未按要求及時報送信息科技年度報告或監管部門要求上報的其他重要書面報告的，每次扣 5 分。 第十壹條 加分項目考核標準。轄內銀行業金融機構應當及時向監管部門報告信息科技管理方面的相關信息，為強化信息科技監管工作提供參考，並積極配合監管部門開展的專項工作，***同促進轄區信息科技管理工作水平的全面提升。 1.上報監管部門本機構信息科技工作動態或信息科技調研課題，每篇加 1 分，被分局采用的每篇加 2 分，經分局上報後被省局采用的，每篇加 5 分，被銀監會采用的，每篇加10 分。 2.協助監管部門完成檢查或其他監管工作的，視情況每次加 25 分。 3.主動發現本機構或外包商（如自助設備服務商、電信企業等）風險隱患並報告監管部門的，每次加 23 分，如涉及全轄機構***性問題，每次加 35 分。 第四章 組織管理及考核實施 第十二條 ＃＃銀監分局按上述考核內容和標準，對轄區各銀行業金融機構信息科技管理工作情況進行全面實時記載，考核結果實行半年通報、按年考核，考核期結束後進行評比表彰。 第十三條 評比表彰設機構壹等獎 2 名，二等獎 3 名，三等獎 4 名，同時在獲獎機構中評選工作表現優異的先進個人 5 名。對年終評比結果較差，且不積極配合監管工作的機構和個人，在全轄銀行業金融機構範圍內進行通報，並抄送上級行或上級行業管理部門。 第十四條 對轄內各機構的考核結果，將提交分局對口監管科室，並納入對被考核機構的監管評級、高管考核及機構評價中。 第五章 附則 第十五條 本辦法由＃＃銀監分局負責解釋。 第十六條 本辦法自印發之日起實施。