在经历一年多的征求意见后，银保监会1月21日正式发布《银行保险机构信息科技外包风险监管办法》(以下简称《办法》)，要求银?；菇⑿畔⒖萍纪獍芾硖逑担畔⒖萍纪獍缦漳扇肴娣缦展芾硖逑?，有效控制由于外包而引发的风险，银保监会及其派出机构监管的其他金融机构参照执行。

《办法》共7章46条，从信息科技外包治理、准入、监控评价、风险管理等方面对银行保险机构信息科技外包提出要求。这意味着，金融IT外包市场迎来全面监管。

外包业务存六大风险

所谓信息科技外包，是指银行保险机构将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为。近年来，银行保险机构积极开展数字化转型，在加大科技创新力度、更好地满足金融消费者需求的同时，对信息科技外包服务的依赖度不断加大。与此同时，部分银行保险机构对信息科技外包风险管控不力而导致的业务中断、敏感信息泄露等事件时有发生。此外，部分领域外包服务提供商高度集中，形成了行业集中度风险。

《办法》第五章明确指出，信息科技外包可能产生的风险包括但不限于以下六项：(一)科技能力丧失。过度依赖外包导致失去科技控制及创新能力，影响业务创新与发展。(二)业务中断。支持业务运营的外包服务无法持续提供导致业务中断。(三)数据泄露、丢失和篡改。因服务提供商的不当行为或其服务的信息系统遭受网络攻击，导致银行保险机构重要数据或客户个人信息泄露、丢失和篡改。(四)资金损失。因服务提供商的不当行为或其服务的信息系统遭受网络攻击，导致银行保险机构客户资金被盗取。(五)服务水平下降。由于外包服务质量问题或内外部协作效率低下，使得信息科技服务水平下降。(六)可能导致的战略、声誉、合规等其他风险。

监管定调将分级监管

此前，监管部门关于金融机构信息科技外包风险监管仅仅出台了一个指引。“从指引到《办法》，是监管的一次升级。”中国社科院金融研究所金融科技研究室主任尹振涛对《中国消费者报》记者说。

根据《办法》，银行保险机构应当建立与本机构信息科技战略目标相适应的信息科技外包管理体系，将信息科技外包风险纳入全面风险管理体系，有效控制由于外包而引发的风险。

《办法》要求，银行保险机构在实施信息科技外包时应坚持以下原则：不得将信息科技管理责任、网络安全主体责任外包;以不妨碍核心能力建设、积极掌握关键技术为导向;保持外包风险、成本和效益的平衡;保障网络和信息安全，加强个人信息保护;强调事前控制和事中监督;持续改进外包策略和风险管理措施。

《办法》还将信息服务外包划分为咨询规划类、开发测试类、运行维护类、安全服务类、业务支持类等类别，同时区分一般外包和重要外包。针对不同类型的外包服务，采取不同管理措施。尹振涛认为，差异化管控是《办法》的一大特色。

强化网络和个人信息?；?/strong>