银行外包风险管理办法-模版.docx

银行外包风险管理办法
第一章 总 则
第一条 为了规范银行股份有限公司（以下简称“本行”）的外包活动，保障业务持续经营，根据中国银行业监督管理委员会《银行业金融机构外包风险管理指引》及《银行股份有限公司外包风险管理政策》，结合本行实际，制定本办法。
第二条 本办法中的外包是指本行将原本由自身负责处理的某些业务活动委托给服务商进行持续处理的行为。服务提供商包括独立第三方、本行的子公司、关联公司或附属机构。
本办法中的外包风险是指本行在开展外包活动过程中产生的风险，包括战略风险、法律风险、声誉风险、合规风险、操作风险及国别风险等。
本办法中的外包风险管理是指识别、评估、监测和控制外包风险的全过程。
第三条 本办法适用于本行法律事务、IT 系统委外建设、押运、不良贷款催收、银企对账单投递、信用卡发卡系统及人员派遣等以及其他可以外包的业务活动。本行的战略管理、核心管理以及内部审计等职能不能外包。
第二章 外包风险管理职责
第四条 总行风险管理部作为本行外包风险的牵头管理部门，承担以下职责：
（一） 负责外包风险的牵头管理、组织推动；
（二） 负责拟定外包风险管理办法；
（三） 负责检查和督促各部门和分支机构外包风险管理的政策、办法、规定、实施细则的执行情况；
（四） 负责组织实施外包风险的识别、评估、监测和控制工作，向高级管理层提出有关外包活动发展和风险管控的意见和建议；
（五） 高级管理层确定的其他职责。
第五条 各条线管理部门负责本条线外包管理工作，承担以下职责：
（一） 负责执行外包风险管理政策、办法、规定、实施细则；
（二） 负责拟定专项外包管理规定；
（三） 负责本条线外包活动的日常管理，包括拟定专项外包活动实施方案、尽职调查、执行情况的监督及风险状况的监控；
（四） 在发现外包服务提供商的业务活动存在缺陷时，采取及时有效的措施；
（五） 负责参与实施外包风险的识别、评估、监测和控制工作，向高级管理层提出有关外包活动发展和风险管控的意见和建议；
（六） 高级管理层确定的其他职责。
第六条 各分支机构负责本机构外包管理工作，承担以下职责：
（一） 负责执行外包风险管理政策、办法、规定、实施细则；
（二） 负责制定本机构专项外包管理实施细则；
（三） 负责在总行条线部门的指导下，开展本机构外包活动，并承担日常管理职责；
（四） 负责在总行风险管理部的指导下，开展本机构外包风险管理活动；
（五） 发现外包服务提供商的业务活动存在缺陷时，及时向总行条线管理部门报告，并采取及时有效的措施。
第三章 外包活动程序
第七条 常规性的外包活动应拟定外包活动管理规定，管理规定可单独制定，也可作为其他管理规定的一部分。
第八条 各分支机构可根据外包风险管理政策、办法、规定，制定本机构专项外包活动的实施细则，并报总行风险管理部和相关条线管理部门备案。
第九条 在开展专项外包活动前，条线管理部门或分支机构应根据本行外包风险管理政策、办法、规定、实施细则，对外包活动进行立项，在与风险管理部及其他外包活动涉及部门进行会商，并充分分析、论证、评估后，拟定专项外包活动实施方案，并按授权权限报批。
第十条 专项外包管理实施方案包括以下内容：
（一） 外包事项的基本情况，包括外包事项的范围、方式、条件、权限、程序等相关内容；
（二） 外包事项的风险状况，包括影响外包活动的外部因素、外包活动存在的主要风险及采取的风险管控措施；
（三） 对服务提供商的管理要求，包括技术能力及专业经验，业务策略和业务规模，业务连续性及破产风险，风险控制能力及外包服务的集中度；
（四） 外包突发事件应急预案和机制；
（五） 其他关注的事项。
实施方案的主要内容可根据外包活动的特点进行调整。
第十一条 服务提供商的选择可通过公开招标、邀请招标、单一服务提供商等方式，并按授权权限报批。
第十二条 在选择服务提供商时，条线管理部门或分支机构应开展尽职调查，主要包括以下事项：
（一） 管理能力和行业地位；
（二） 财务稳健性；
（三） 经营声誉和企业文化；
（四） 技术实力和服务质量；
（五） 突发事件应对能力；
（六） 对银行业的熟悉程度；
（七） 对其他银行业金融机构提供服务的情况；
（八） 本行认为重要的其他事项。
本行的外包活动涉及多个服务提供商时，应当对这些服务提供商进行关联关系的调查。
第十三条 服务提供商确定后，条线管理部门或分支机构应与服务提供商签订书面合同和协议，明确双方的权利义务。外包合同或协议须按规定程序进行法律审查。
第十四条 条线管理部门或分支机构应对外包活动实施情况进行全程的跟踪监控管理，不得将外包管理责任外包。
第十五条 外包合同或协议执行完成后需要验收的，条线管理部门或分支机构应当组织对外包合同或协议的执行情况进行验收，并出具验收报告或证明。
第四章 外包合同或协议
第十六条 条线管理部门或分支机构与外包服务商签订的外包合同或协议应当包括但不限于以下内容：
（一） 外包服务的范围和标准；
（二） 外包服务的保密性和安全性的安排；
（三） 外包服务的业务连续性的安排；
（四） 外包服务的审计和检查；
（五） 外包争端的解决机制；
（六） 合同或协议变更或终止的过渡安排；
（七） 违约责任。
对于具有专业技术性的外包活动，可签订服务标准协议。
第十七条 条线管理部门或分支机构应当在外包合同中要求外包服务商承诺以下事项：
（一） 定期通报外包活动的有关事项；
（二） 及时通报外包活动的突发性事件；
（三） 配合本行接受银行业监督管理机构的检查；
（四） 保障客户信息的安全性，当客户信息不安全或客户权利受到影响时，本行有权随时终止外包合同；
（五） 不得以本行的名义开展活动；
（六） 本行认为应当承诺的其他事项。
第十八条 条线管理部门或分支机构应关注外包服务提供商分包的风险，并在合同中明确以下事项：
（一） 服务提供商分包的规则；
（二） 分包服务商应当严格遵守服务提供商与本行确定的外包合同或协议中的相关条款；
（三） 主服务商应当确认在业务分包后继续保证对服务水平和系统控制负总责；
（四） 不得将外部活动的主要业务分包。
第十九条 条线管理部门或分支机构应在合同中约定服务提供商不得将外包活动转包或变相转包。
第五章 外包风险管理相关要求
第二十条 在外包活动中应建立严格的客户信息保密制度，在业务外包合同或另行签订的保密协议中明确规定承包方的保密义务和责任，并依法履行告知义务。
第二十一条 条线管理部门或分支机构在开展跨境外包活动时，应当遵守以下原则：
（一） 审慎评估法律和管制风险；
（二） 确保客户信息的安全；
（三） 选择境外服务提供商时,应当明确其所在国家或地区监管当局已与我国银行业监督管理机构签订谅解备忘录或双方认可的其他约定。
第二十二条 条线管理部门或分支机构应建立外包突发事件应急预案和机制，对本行发生的重大外包风险事件进行管理。当发生对业务经营、客户信息安全、声誉等产生重大影响事件时，应及时启动应急计划，并通过采取替代方案、寻求合同项下的保险安排等措施，确保业务活动的正常经营。
第二十三条 总行风险管理部应会同外包事务条线管理部门，每年至少组织一次外包风险评估和检查工作，评估全行各项外包活动的风险状况、风险控制措施的有效性，检查外包风险管理的政策、办法、规定、实施细则的执行情况。
第六章 外包风险报告第二十四条 本行内部的外包风险报告渠道
（一） 分支机构应于年度结束后十五个工作日内向总行风险管理部和总行外包事务条线管理部门提交本机构外包风险管理监测报告；
（二） 总行外包事务条线管理部门应于年度结束后二十个工作日内向总行风险管理部提交本条线外包风险管理监测报告；
（三） 风险管理部会同外包事务条线管理部门应每年度向董事会和高级管理层报告本行外包风险状况；
（四） 在开展外包活动时如遇对业务经营、客户信息安全、声誉等产生重大影响事件，风险管理部、相关外包事务条线管理部门及分支机构应在第一时间向高级管理层和董事会风险管理委员会报告；第二十五条 本行内部的外包风险管理监测报告的主要内容包括：
（一） 外包管理情况，包括：外包制度体系的建设情况、外包突发事件应急预案和机制的建立情况等；
（二） 服务提供商基本情况，包括：服务提供商尽职调查情况、选择确定程序、外包合同或协议的主要内容、外包活动实施的跟踪监控情况；
（三） 外包风险管理的其他情况，包括：外包风险评估和检查情况、问题整改情况、发生突发事件的应急处理情况、监管部门、董事会、高级管理层提出的工作要求或意见的落实情况；
（四） 有关外包活动发展和风险管控的意见和建议。
第二十六条 对监管机构的外包风险报告
（一） 本行在实施重要项目外包时，应以书面材料正式报告银监会或其派出机构。
（二） 在开展外包活动时如遇对业务经营、客户信息安全、声誉等产生重大影响事件，应按规定程序和要求及时向监管机构报告。
（三） 本行应定期向监管机构递交外包活动的评估报告。
第二十七条 本行应依据有关法律法规的要求，及时和规范地披露外包风险状况。
第七章 罚 则
第二十八条 对违反本办法有关管理规定，造成本行重大风险损失的相关责任人，按照《银行员工尽职调查与问责管理办法》及相关规定进行问责处理。
第二十九条 各分支机构、条线管理部门应严格按照本行相关管理制度实施外包活动，出现下列情形的，应承担相应责任：
（一） 外包实施方案和服务提供商选择未按授权权限报批；
（二） 未对外包工作实施有效的管理和监督，导致产生外包风险；
（三） 发现外包风险，未及时采取相应控制措施；
（四） 未按规定向监管部门、董事会、高级管理层报告相关外包情况；
（五） 其他应承担责任的情形。
第三十条 对违反本办法有关管理规定，造成本行重大风险损失的部门或机构，视情节轻重，给予通报批评、责令整改、减少或取消相关授权、扣减奖励薪酬等处罚。

第八章 附 则
第三十一条 本办法由银行负责制定、解释和修改。