中小商業(yè)銀行信息科技外包風(fēng)險評估和防范

黃莊莊 葉明 雷濤

【摘要】本文從信息科技外包依賴度和外包管控力兩個維度構(gòu)建信息科技外包風(fēng)險評估方法，通過對15家中小商業(yè)銀行信息科技外包現(xiàn)狀的調(diào)研，分析和評估中小商業(yè)銀行的信息科技外包風(fēng)險情況，并基于分析結(jié)果提出切實有效的應(yīng)對措施。

【關(guān)鍵詞】信息科技外包依賴度 信息科技外包管控力 信息科技外包風(fēng)險評估 中小商業(yè)銀行

一、背景

隨著國家不斷放寬對中小銀行的限制，鼓勵中小銀行加快發(fā)展，以城商行為代表的廣大中小商業(yè)銀行已建成具有較強競爭力的現(xiàn)代金融企業(yè)。在信息化和大數(shù)據(jù)時代，科技支撐作為中小銀行發(fā)展的主要手段之一，已經(jīng)大大滯后于現(xiàn)實需求，科技支撐與整個機構(gòu)的戰(zhàn)略目標(biāo)實現(xiàn)的深層次問題也逐漸暴露出來。IT人力資源匱乏、自身IT力量對業(yè)務(wù)發(fā)展的支持力度不足、信息化建設(shè)滯后等問題制約了中小銀行業(yè)務(wù)發(fā)展和創(chuàng)新能力。

為了有效彌補自身人力資源、技術(shù)和能力上的欠缺，同時滿足對業(yè)務(wù)發(fā)展的支撐，與大銀行縮短差距，中小銀行都開始依賴于信息技術(shù)外包的方式滿足自身發(fā)展需要。通過信息科技外包，可以有效降低IT部門的綜合運營成本、實現(xiàn)資源優(yōu)化配置、獲得專業(yè)化團隊的支持、加快IT應(yīng)用的步伐、推動業(yè)務(wù)創(chuàng)新。目前，中小銀行的信息科技服務(wù)外包需求旺盛，服務(wù)規(guī)模呈現(xiàn)爆發(fā)式增長，目前整個市場規(guī)模已突破150億元。

然而，信息科技服務(wù)外包在有效加快中小銀行信息化進程的同時，也帶來了較大的信息科技服務(wù)外包潛在風(fēng)險。中國銀監(jiān)會為加強對信息科技服務(wù)外包風(fēng)險的防范和監(jiān)管，在2013年2月出臺了《銀行業(yè)金融機構(gòu)信息科技外包風(fēng)險管理指引》（以下簡稱“《指引》”），《指引》中明確了信息科技服務(wù)外包風(fēng)險的類型，金融機構(gòu)在防范信息科技外包風(fēng)險上的職責(zé)和工作，同時對服務(wù)外包商也提出了更具體的要求。

二、評估模型和標(biāo)準(zhǔn)構(gòu)建

在信息科技外包風(fēng)險管理中，信息科技外包風(fēng)險評估至關(guān)重要。通過風(fēng)險評估，可以有效識別總體外包風(fēng)險水平和外包活動中所面臨的主要風(fēng)險，從而可以執(zhí)行有效的風(fēng)險處置措施，也有效保證信息科技外包戰(zhàn)略目標(biāo)的達成。本文提出的信息科技外包風(fēng)險評估模型可以為中小商業(yè)銀行評估和管理自身的外包風(fēng)險提供參考和借鑒，為外包風(fēng)險管理工作奠定基礎(chǔ)。

信息科技外包風(fēng)險評估是從信息科技外包依賴度和信息科技外包管控力兩個維度進行，其中信息科技外包依賴度反映了固有風(fēng)險水平，信息科技外包管控力反映了銀行的控制能力。并將信息科技外包依賴度和管控力分成高、中、低三個層級，按照3分進行成熟度劃分。高的信息科技外包依賴度引入較大的信息科技服務(wù)外包風(fēng)險，需要更加成熟的信息科技外包管理能力與之相匹配。運用“風(fēng)險熱力圖”的方法根據(jù)“依賴度-管控力”將信息科技外包風(fēng)險化分為高風(fēng)險、中風(fēng)險、低風(fēng)險，其中紅色區(qū)域表示高風(fēng)險，即信息科技外包管控力與外包依賴度難以匹配；黃色區(qū)域表示中風(fēng)險，即信息科技外包管控力與外包依賴度較為匹配；藍色區(qū)域表示低風(fēng)險，即信息科技外包管控力與外包依賴度高度匹配，如圖1所示。

信息科技外包依賴度評估是從業(yè)務(wù)流程外包程度、關(guān)鍵應(yīng)用外包程度、應(yīng)用開發(fā)外包程度、運維外包程度和信息科技咨詢服務(wù)程度五個維度進行評估。針對評估維度，又設(shè)計了9個具體指標(biāo)用于數(shù)據(jù)的收集、調(diào)研和評估，反映了中小商業(yè)銀行信息科技外包的依賴程度（參見表1）。

表1 信息科技依賴度評估維度和指標(biāo)

信息科技外包管控能力評估是從信息科技外包戰(zhàn)略、外包商準(zhǔn)入、外包服務(wù)合同的簽訂、外包日常管理、外包應(yīng)急管理、外包商監(jiān)控與評價、重要外包商安全管理和重要外包商服務(wù)水平八個維 度進行評估，針對評估維度，設(shè)計了43個具體指標(biāo)用于數(shù)據(jù)的收集、調(diào)研和評估，指標(biāo)大都源于《指引》，反映了中小商業(yè)銀行信息科技外包管控能力（具體參見表2）。

表2 信息科技管控力評估維度和指標(biāo)

三、外包風(fēng)險評估過程和結(jié)果

本文選取15家中小商業(yè)銀行進行研究，其中資產(chǎn)規(guī)模在1000億以上的4家，500億到1000億的5家，500億以下的6家。實現(xiàn)跨區(qū)經(jīng)營的有9家，未跨區(qū)經(jīng)營的有6家。

通過調(diào)研，獲取15家銀行的信息科技外包依賴度指標(biāo)數(shù)據(jù)，并分為高、中、低，再通過加權(quán)平均，形成五個維度的依賴度，可以有效反映出15家銀行總體外包依賴度水平，具體如圖2所示。從圖中可以看出，

第一，業(yè)務(wù)流程外包、關(guān)鍵應(yīng)用外包和應(yīng)用開發(fā)外包依賴度較高，體現(xiàn)了目前存在大部分機構(gòu)的應(yīng)用系統(tǒng)和關(guān)鍵應(yīng)用系統(tǒng)仍然依賴于外包開發(fā)，其中網(wǎng)銀系統(tǒng)大部分完全托管于第三方，應(yīng)用開發(fā)項目較多且大部分依賴與外包商。

第二，同時，也可以看到在系統(tǒng)運維依賴度上較低，目前調(diào)研的15家機構(gòu)都具有很強的運維水平和實力，可以有效地保障系統(tǒng)的穩(wěn)定運行。

第三，此外，由于中小商業(yè)自身IT資源匱乏、能力較為薄弱，而信息科技咨詢服務(wù)程度較低，一定程度上體現(xiàn)了機構(gòu)在提升信息科技治理、風(fēng)險管理等軟實力上的投入較少，還不夠重視。

經(jīng)過匯總，總體信息科技外包依賴度為2.11，達到中等水平，充分體現(xiàn)了目前中小商業(yè)銀行的信息科技建設(shè)主要還是依賴于外包，但也可以看出已經(jīng)有部分機構(gòu)開始加大對自主研發(fā)的投入，增強自身研發(fā)實力。

圖2 信息科技外包依賴度

通過調(diào)研，獲取15家中小商業(yè)銀行的信息科技外包管控力指標(biāo)數(shù)據(jù)，并分為高、中、低，再通過加權(quán)平均，形成八個維度的管控力，可以有效反映出15家銀行機構(gòu)總體的管理力水平，具體如圖3所示。從圖中可以看出：

第一，在外包商準(zhǔn)入、外包服務(wù)合同簽訂和外包商日常管理等方面管控工作開展比較到位，展現(xiàn)出在外包商管理的部分重要環(huán)節(jié)上具有較高的管理能力和水平，可以有效地防范外包風(fēng)險。

第二，在信息科技外包戰(zhàn)略方面還需要進一步完善，缺乏明晰的信息科技外包戰(zhàn)略，未明確信息科技外包的范圍，未建立信息科技外包風(fēng)險和效益評估機制。

第三，在外包服務(wù)水平、外包商監(jiān)控與評價和外包應(yīng)急管理等重要環(huán)節(jié)方面還存在不足，如對重要外包商盡職調(diào)查開展不足，外包服務(wù)質(zhì)量監(jiān)控和考核指標(biāo)的不夠深入細化，未建立適當(dāng)?shù)男畔⒖萍纪獍鼞?yīng)急預(yù)案和策略。

第四，在重要外包商安全管理方面比較薄弱，如未開展重要外包商實施前的監(jiān)管報備、重要外包商信息安全風(fēng)險評估以及對重要外包商的信息安全審計等。

經(jīng)過匯總，總體信息科技外包管控能力符合度為2.23，充分體現(xiàn)了中小商業(yè)銀行對信息科技外包風(fēng)險管理的重視，展現(xiàn)了較為成熟的信息科技外包管理能力，但是與《指引》的要求相比，還存在一定的不足，需要進一步完善。

圖3 信息科技外包管控能力

通過對15家中小商業(yè)銀行信息科技外包依賴度和管控力的數(shù)據(jù)調(diào)研分析，整體信息科技外包依賴度為中，信息科技外包管控力也為中，信息科技外包管控力與依賴度基本匹配，參見圖4中陰影部分。通過“信息科技外包風(fēng)險熱力圖”，可以看出目前中小商業(yè)銀行總體信息科技外包風(fēng)險處于中風(fēng)險水平。

圖4 信息科技外包風(fēng)險評估結(jié)果

四、信息科技外包風(fēng)險應(yīng)對措施

中小商業(yè)銀行應(yīng)充分參照銀監(jiān)會出臺的《指引》中的相關(guān)規(guī)定，針對目前中小商業(yè)銀行銀行普遍缺乏明確的科技外包戰(zhàn)略，自主研發(fā)團隊匱乏、研發(fā)水平弱、外包依賴度高，外包日常管理不夠完善，外包服務(wù)質(zhì)量監(jiān)控和考核不足，外包信息安全管理方面比較薄弱等現(xiàn)狀和問題，制定信息科技外包風(fēng)險應(yīng)對措施，提高外包管控力，有效防范科技能力喪失、業(yè)務(wù)中斷、信息泄露和服務(wù)水平下降等風(fēng)險。具體措施包括：

（一）制定科技外包戰(zhàn)略，逐步掌握科技核心技術(shù)

銀行應(yīng)制定與業(yè)務(wù)總體策略相匹配的信息科技外包戰(zhàn)略，合理確定外包服務(wù)的范圍，對于非核心業(yè)務(wù)的信息系統(tǒng)建設(shè)和投產(chǎn)可酌情外包，對于核心業(yè)務(wù)的信息技術(shù)，銀行應(yīng)掌握在自己手里。

（二）提高自主開發(fā)水平，合理降低外包依賴程度

銀行應(yīng)建立自己的研發(fā)團隊，提升研發(fā)能力，加強對信息系統(tǒng)的自主研發(fā)。對于沒有實力完全開發(fā)的系統(tǒng)，可以采用合作開發(fā)的方式，完成后逐步過渡到自己維護。

（三）嚴把外包服務(wù)準(zhǔn)入，有效強化外包日常管理

銀行應(yīng)在外包服務(wù)選擇時，應(yīng)充分評估外包商資質(zhì)水平、財務(wù)水平等，開展對外包商的盡職調(diào)查，并通過外包合同嚴格約束外包服務(wù)。在外包服務(wù)過程中，還應(yīng)建立專門的管理或協(xié)調(diào)組織，加強對外包商的管理和外包人員管理。

（四）做好外包監(jiān)控考核，持續(xù)提升外包服務(wù)質(zhì)量

銀行應(yīng)建立服務(wù)水平監(jiān)控評價機制，明確服務(wù)質(zhì)量監(jiān)控指標(biāo)，定期對外包服務(wù)開展服務(wù)水平監(jiān)控。同時，還應(yīng)建立起科學(xué)的評價體系，對外包商定期開展考核，提升外包服務(wù)質(zhì)量。

（五）嚴防外包信息安全，充分提升外包應(yīng)急管理

銀行可以通過與外包人員簽訂保密協(xié)議，禁止外包人員進入內(nèi)網(wǎng)、接觸敏感數(shù)據(jù)或訪問生產(chǎn)系統(tǒng)，防止發(fā)生敏感信息泄露等風(fēng)險。同時，也要針對外包服務(wù)的意外突發(fā)情況，如外包骨干人員變動等，做好相應(yīng)的應(yīng)急機制，提升應(yīng)急處置能力。

參考文獻

[1]李金洋.城市商業(yè)銀行信息科技外包風(fēng)險監(jiān)管探究[J].電子制作，2013.

[2]李鳳梅.加強銀行業(yè)信息科技外包風(fēng)險管理的思考[J].信息科技，2013.

[3]徐徽.業(yè)銀行信息科技外包風(fēng)險管理的思考與實踐[J].中國金融電腦，2013.

[4]陳兵兵.我國商業(yè)銀行IT外包的風(fēng)險管理研究-以A銀行為例[D].首都經(jīng)濟貿(mào)易大學(xué)，2013.

[5]駱絮飛.銀行業(yè)IT外包的風(fēng)險與挑戰(zhàn)[J].中國金融電腦，2013.