银行电子银行业务风险管理办法

XXXXXX银行电子银行业务风险

管理办法

第一章 总 则

第一条 为加强XXXXXX银行 (以下简称我行)电子银行业务风险管理，保障客户及我行的合法权益，促进电子银行业务的健康有序发展，根据《中华人民共和国电子签名法》、《电子银行业务管理办法》、《电子银行安全评估指引》、《电子支付指引（第一号）》、《商业银行信息科技风险管理指引》等信息安全的有关法律法规，制定本办法。

第二条 电子银行风险管理的目标是通过建立有效的机制，实现对电子银行风险的识别、计量、监测和控制，促进电子银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第三条 电子银行风险管理的内容包括业务风险管理和信息安全风险管理。电子银行业务的风险主要体现为：操作风险、信息科技风险、法律风险、信誉风险、合规风险以及信用风险、市场风险等。 电子银行业务信用风险、市场风险的管理应遵守我行现行各项风险管理制度。本办法重点规范操作风险、信息科技风险、法律风险、信誉风险的管理。

第四条 我行实行电子银行年度评估制度，重大事件报告制度。对重大事件，按事件性质和专项制度规定及时向监管部门报告。

第五条 由内控风险管理部对电子银行系统的运行状况进行定期审计。

第六条 本办法适用于我行各管理部门、业务部门、营业机构及全体员工。

第二章 风险管理的组织机构与职责

第七条 风险管理委员会负责制定电子银行风险管理政策、监控风险管理政策执行情况、制定我行电子银行风险管理活动目标、审批电子银行风险管理的重大事项，协调内控风险管理部、综合管理部、会计核算部、电子银行部、信息科技部、金电公司托管中心等相关业务管理部门之间的操作风险管理缝隙，建立涵盖辖区范围电子银行各项活动的风险管理系统。

第八条 电子银行部是电子银行业务的主管部门，主要职责有：贯彻落实电子银行监管的各项规定与政策；拟定电子银行管理、运营的各项规章制度；配合市场营销部门提供客户服务，配合市场营销部门组织开展电子银行业务的市场调研、产品开发及产品完善工作；负责提出电子银行业务开发、更新、升级需求，并组织相关测试和培训；落实电子银行风险管理政策及内控要求，确保电子银行业务运行的连续性和安全性。

第九条 电子银行业务风险管理纳入我行风险管理体系。风险管理委员会负责制订与完善风险管理制度及实施细则，组织开展电子银行业务自律监管、安全评估，有效识别、监测、控制和评估电子银行业务风险，及时向上级部门或监管部门报告风险信息和处理情况。

第十条 会计核算部负责制定会计核算规章制度，确保电子银行业务严格按照国家会计政策和我行相关制度执行，参与网银业务的需求讨论、系统测试与验收工作。

第十一条 信息科技部负责产品研发过程中的技术风险分析、新产品开发、投产、运行维护和功能完善工作；制定相关技术标准并参与电子银行业务的需求讨论、系统测试与验收工作；电子银行运营设备和安全控制设备的正常运转；电子银行数据的安全存放和传递；风险管理技术手段的安全保障；制定相关技术标准并参与电子银行业务的需求讨论、系统测试与验收工作；及时解决电子银行系统运行中

出现的技术问题，确保电子银行系统安全、正常运行。

第十二条 金电公司托管中心是我行电子银行系统的运维部门，金电公司托管中心负责制定信息系统运维相关资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、信息系统变更管理、安全事件处理、数据备份与恢复管理、信息系统应急预案、密码安全、交付管理等相关规章制度；负责信息系统运维环境网络安全管理；负责信息系统运维环境物理机房安全监控管理；负责信息系统运维环境主机安全管理，包括但不限于对服务器操作系统、数据库等安全进行管理；负责信息系统运维环境应用安全管理；负责信息系统运维环境数据安全管理，包括但不限对外包服务所涉及的重要业务数据、鉴别信息等的安全管理。

第十三条 内控风险管理部负责电子银行系统的检查审计工作，开展电子银行系统运行的审计，查找并督促消除业务风险和管理隐患，查处违反电子银行系统内部控制制度的事件。

第十四条 综合业务部负责电子银行安全措施的检查、协助公安司法部门对违法行为的调查、侦破。

第十五条 综合管理部、会计核算部分别负责电子银行业务风险管理所涉及的法律事务和反洗钱工作。

第十六条 营业部及各支行应指定专人负责电子银行业务管理工作，向客户推介电子银行业务，按照我行制定的规章制度受理和办理电子银行业务、做好电子银行业务营销、售后服务和意见反馈工作。

第三章 操作风险管理

第十七条 操作风险是指我行员工或客户没有按照相关规定或手册操作而造成我行收益或资本的风险。

第十八条 对于员工操作风险控制的基本要求：

（一）有效隔离应用系统、验证系统、处理系统和数据库等各系

统间的风险传递；

（二）确保任何单个员工和外部服务供应商都无法独立完成一项交易；

（三）加强员工思想道德教育，强化操作人员密码管理，实行分级授权管理;

（四）实行电子银行关键岗位工作人员AB角制，岗位第一责任人不在岗位时，应指定相应工作人员代其行使相关事权，确保工作不间断、不拖延。

（五）电子银行业务操作人员必须熟悉电子银行的业务操作流程，必须参加电子银行业务培训方能办理业务，电子银行部定期组织培训和考核。

第十九条 对于客户操作风险控制的基本要求：

（一）详细说明并提供演示流程，清晰告知客户电子银行操作要领；

（二）通过客户服务中心、操作指南、柜员指导等多渠道提供帮助，并及时进行风险提示；

（三）通过登陆保护、密码强度以及各类防范技术尽可能减少客户发生风险损失的概率;

（四）客户重要信息（如姓名、身份证号码等）变更必须由本人持有效证件前往营业网点办理;

（五）对客户对外支付额度进行限制，支付限额如有调整必须提前十日向客户公布。

第四章 信息科技风险管理

第二十条 信息科技风险是指信息科技在电子银行系统运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷导致的我行收益或资本的风险。

第二十一条 严密防范并及时填堵系统后门，以防止黑客通过后门进入系统进行破坏和窃密。

第二十二条 严格进行网络逻辑分段，形成IP子网，实现对内部网络的隔离，在路由器上实施数据包过滤，并且利用防火墙来实现基于IP地址的内外访问控制。

第二十三条 建立实时病毒防范功能，以防止系统错误、数据混乱、服务失败等给业务系统和管理系统带来损失。

第二十四条 建立数据存储备份管理，确保在发生系统被破坏、应用错误、数据丢失时，通过数据存储管理进行及时恢复。

第二十五条 建立系统安全漏洞扫描机制，在系统使用过程中动态地寻找系统漏洞，帮助完善系统的安全，并以此防止由于其它的网络操作对系统的安全造成威胁。

第二十六条 建立外部攻击侦测机制，通过IDS、IPS系统，及时发现外部攻击行为，并对攻击行为进行及时处理，问题严重时候，启动应急预案。

第二十七条 采用身份鉴别、访问控制、数据加密、数据完整、数字签名、防重发等安全控制机制，保证客户使用的安全性。

第二十八条 进行风险评估，制定风险评估计划，识别信息资产，评价信息资产威胁发生的可能性以及弱点被利用的容易程度，确定风险等级，找出目标与现状的差距，改进信息安全措施。

第二十九条 制定安全计划，明确实施方案，确定可接受风险的程度，制定风险缓释策略，减少、规避和转移风险；检查和测试风险缓释策略和安全计划实施情况。

第三十条 保证电子银行开发环境和应用环境的分离，评估和认证后续开发应用的需求和风险。

第五章 法律风险管理

第三十一条 法律风险是指违反或不遵守法律、法规、规章或约定的惯例，或者没有完善地界定有关交易各方在法律上的权利和义务而造成我行收益或资本的风险。

第三十二条 对于资金转移类交易，必须要采用双重身份认证和加密传输，并由客户设定支付额度，以此防范人民银行《电子支付指引（第一号）》提示的电子支付风险。

第三十三条 电子银行业务的开通，必须首先与客户签订电子银行服务协议及合同，明确双方的权利与义务，并在协议条款和网站上对电子银行业务有可能造成的风险进行公告。

第三十四条 对于客户有意泄露密码或未履行应尽义务的，我行应根据法律法规维护自身合法权益。

第三十五条 加强对与我行系统存在技术和业务连接的第三方机构的管理，通过正式法律协议明确双方的纠纷处理、赔偿等相关法律责任，向客户充分披露银行与第三方机构的业务流程和责权关系，积极防范法律风险。

第六章 信誉风险管理

第三十六条 信誉风险是指负面的公众舆论对我行收益或资本所造成的风险。

第三十七条 在电子系统中，应采用先进、成熟的技术，避免因技术落后给客户带来不便，使客户对我行整体服务能力产生不信赖。

第三十八条 为客户信息负责，防止因系统安全性缺陷严重损害客户的隐私权。

第三十九条 制定合适的应急计划和业务连续性计划，使系统

具备为客户提供不间断服务的能力。

第四十条 制定危机公关预案，加强与媒体的合作，针对突发事件和负面舆论，要认真分析、及时汇报、积极响应、统一口径，最大限度地消除负面影响。

第七章 合规风险管理

第四十一条 合规风险是指银行因未能遵循法律法规、监管要求、规则、自律性组织制定的有关准则、已及适用于银行自身业务活动的行为准则，而可能遭受法律制裁或监管处罚、重大财务损失或声誉损失的风险。

第四十二条 电子银行部应定期组织培训学习，加大频度，培训中结合监管部门有关银行业金融机构信息科技风险管理文件要求，通过系统学习和培训，在工作中自觉贯彻执行，提高全员信息科技合规意识。

第四十三条 建立各网点一线人员联席会议制度，及时对临柜操作的各项风险点相互交流，共同研究和解决工作中出现的新问题、新情况。

第四十四条 建立电子银行业务管理部门、内控风险管理部门与业务部门的联动机制，实现各部门间的防范优势互补和信息共享，形成风险管理的合力。

第四十五条 各营业网点内部建立信息科技风险协调机制，明确责任，定期自查本网点信息科技合规方面存在的问题，遇到内部不能协调解决的问题，及时上报。

第四十六条 完善信息科技风险内控制度，查漏补缺，调整优化，严格评估信息安全内控体系的完整性和实施的有效性，电子银行部、内控风险管理部应适时组织开展辖内机构信息科技合规风险的现场检查。

第八章 异常交易监控

第四十七条 要求电子银行系统外包服务商应用专门软件对电子银行系统进行实时的监控和审计，并逐日形成日志和审计报告。按业务规则定期审查监控日志和审计报告，对于业务异常流量和交易进行事后监督和确认。

第四十八条 对电子银行客户发生的大额交易、可疑交易按监管部门的要求提取、上报。

第四十九条 电子银行客户发生大额交易、异常交易时，系统应提示相关工作人员及时联系客户，由相关工作人员根据客户的回应决定是否放行交易。

第九章 风险的分析与报告

第五十条 电子银行业务的分析与报告是指对电子银行业务风险定期进行分析，总结经验，发现问题，分析原因，采取措施，并形成业务风险报告。业务风险报告分为年度业务风险报告和重大突发事件的专题报告。

第五十一条 年度业务风险报告必须在次年１月内上报，其主要内容包括：本年度业务风险发生情况、风险结构、分析成因、防范措施、经验教训、整改措施。

第五十二条 重大突发事件专题报告：对系统故障、非法入侵、客户信息泄漏、客户资金被盗及内部作案等重大突发事件要逐件专题报告，并及时上报有关部门采取相应补救措施，防止损失进一步扩大。

第十章 附 则

第五十三条 本办法由XXXXXX银行内控风险管理部负责解释和修订。

第五十四条 本办法自下发之日起施行。