村镇银行信息科技建设与管理指引
村镇银行信息科技建设与管理指引（征求意见稿）第一章总则第一条为提高村镇银行信息科技建设及管理水平，有效防范信息科技风险，促进村镇银行持续、稳健发展，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，参照《商业银行信息科技风险管理指引》要求，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的村镇银行，村镇银行主发起行（以下简称主发起行）及承担村镇银行信息科技工作的银行业金融机构。
第三条村镇银行信息科技工作目标是通过建立有效的管理机制，科学开展信息科技建设，加强信息科技风险管控，确保信息科技工作目标与业务发展目标一致，增强核心竞争力，促进村镇银行安全、持续、稳健发展。
第四条村镇银行信息科技工作的基本原则是：（一）发展为本：信息科技工作以支持村镇银行业务健康发展为根本要求；（二）风险可控：积极采取措施，防范系统中断、敏感信息泄露和资金损失等风险；（三）资源共享：信息科技工作应统筹规划、适度集中、节约高效，合理利用信息科技资源。
第五条根据信息科技工作的责任主体不同，村镇银行信息科技管理分为自主管理和主发起行管理两种模式。
自主管理是指村镇银行独立承担信息科技规划、建设、运维、风险管理和审计等责任的管理模式，主发起行管理是指村镇银行将信息科技工作委托给主发起行并由其承担村镇银行信息科技规划、建设、运维、风险管理和审计等责任的管理模式。
第六条本指引所称同业机构是指中国银行业监督管理委员会（以下简称中国银监会）监管的银行业金融机构。
第七条本指引所称同业合作是指村镇银行或主发起行将原本由自身完成的信息科技工作委托给同业机构进行持续处理的行为。
第八条本指引所称信息科技外包是指村镇银行或主发起行将原本由自身完成的信息科技工作委托给同业机构以外的其它机构进行持续处理的行为。
第九条村镇银行应根据本行市场定位和业务发展战略，结合本行管理水平和技术能力，自主确定本行信息科技管理模式，并履行本指引第二章关于不同模式下信息科技治理的要求，积极采用自建、同业合作或外包的方式开展信息科技工作。
第二章信息科技治理第一节自主管理模式第十条村镇银行法定代表人对村镇银行信息科技工作负最终责任。
第十一条村镇银行董事会应履行以下职责，不设董事会的，应设立由高级管理层组成的组织机构（以下简称履职机构）履行下述职责：(一)负责审批信息科技战略规划，确保与本行的总体发展战略相一致；(二)负责建立适合业务发展的信息科技治理架构，确保责任明确、分工合理；(三)为信息科技工作的开展提供资源保障；(四)建立信息科技工作激励和考核机制；(五)掌握主要的信息科技风险，确保可接受的风险级别；(六)确保信息科技审计独立有效开展；(七)贯彻有关信息科技工作的法律法规，落实中国银监会及其派出机构监管要求；(八)向中国银监会及其派出机构报告本行重大信息科技突发事件。
第十二条村镇银行高级管理层应履行以下职责：(一)组织制定信息科技战略规划；(二)建立信息科技部门或指派一个部门，承担本行信息科技工作职责，确保履行：信息科技预算和支出、信息科技策略、标准和流程、信息科技项目研发和运行管理、信息安全管理、灾难恢复计划、信息科技外包等职责。
(三)负责对信息科技工作中的重大事项进行决策；(四)组织开展信息科技建设，建立信息科技工作制度和流程；(五)组织评估本行信息科技风险并采取相应的风险控制措施；(六)组织开展信息科技专业培训，开展信息科技人才队伍建设；(七)向董事会或履职机构报告本行重大信息科技突发事件。
第十三条村镇银行应将信息科技风险纳入全面风险管理框架，明确信息科技风险管理工作的主管部门，建立与业务发展规划、经营目标、管理职责相适应的信息科技风险管理策略，有效识别、计量、监测和控制信息科技风险。
第十四条村镇银行应定期开展信息科技审计，至少每三年覆盖全部信息科技风险领域，并根据审计结果及时整改。
第十五条主发起行应发挥自身在信息科技工作方面的经验与优势，对村镇银行的信息科技工作进行指导和帮助，并履行以下职责：(一)协助村镇银行制定信息科技战略规划；(二)为村镇银行信息科技重大事项和决策提供专业建议；(三)协助村镇银行开展信息科技建设及风险管理；(四)指导村镇银行落实本指引第三、四、五章中对于村镇银行的监管要求。
第二节主发起行管理模式第十六条主发起行法定代表人对村镇银行信息科技工作负最终责任。
第十七条主发起行董事会应履行以下职责：(一)审批村镇银行信息科技战略规划；(二)负责建立与村镇银行规模、业务相适应的信息科技治理架构；(三)为村镇银行信息科技工作的开展提供资源保障。
(四)建立村镇银行信息科技工作激励和考核机制；(五)掌握主要的信息科技风险，确保可接受的风险级别；(六)确保村镇银行信息科技审计独立有效；(七)贯彻有关村镇银行信息科技工作的法律法规，落实中国银监会及其派出机构监管要求；(八)向中国银监会及其派出机构报告村镇银行重大信息科技突发事件。
第十八条主发起行应设立一个由主发起行高级管理层、多家村镇银行的高级管理层代表，及主发起行负责村镇银行业务、科技管理等部门组成的村镇银行信息科技管理委员会，并履行以下职责：(一)组织协商制定村镇银行信息科技战略规划；(二)负责村镇银行信息科技重大事项的决策，组织开展村镇银行信息科技建设，建立村镇银行信息科技工作制度和流程；(三)组织评估村镇银行信息科技风险并采取相应的风险控制措施；(四)定期听取村镇银行对主发起行信息科技工作情况的反馈，持续改进村镇银行信息科技服务；(五)向主发起行董事会报告、向村镇银行董事会或履职机构通报村镇银行重大信息科技突发事件。
第十九条主发起行应建立村镇银行信息科技工作组织体系，包括：(一)指派一个部门负责主发起行与村镇银行的信息科技工作统筹协调。
(二)设立或指派一个部门负责村镇银行信息科技工作，建立独立的团队负责村镇银行信息系统建设和运行维护；(三)设立或指派一个部门负责村镇银行信息科技风险管理工作；(四)主发起行审计部门负责村镇银行信息科技审计工作。
第二十条主发起行应落实本指引第三章中对于村镇银行的监管要求。
第二十一条主发起行应建立与村镇银行业务发展规划、经营目标、管理职责相适应的信息科技风险管理策略，有效识别、计量、监测和控制信息科技风险。
第二十二条主发起行应定期开展村镇银行信息科技审计，至少每三年覆盖全部信息科技风险领域，并根据审计结果及时整改。
第二十三条主发起行应本着“成立初期免费、发展时期减免、成熟稳定时期保本”的原则，建立对村镇银行信息科技服务的收费机制。
第二十四条村镇银行应积极参加信息科技战略规划、建设和风险管理工作，落实主发起行对村镇银行信息科技工作的要求，配合主发起行对村镇银行的信息科技审计，定期对主发起行承担的村镇银行信息科技工作进行评价，并向村镇银行信息科技管理委员会反馈评价结果。
第二十五条村镇银行与主发起行应签订信息科技工作委托协议，委托协议应包括但不限于：(一)主发起行和村镇银行分别承担的村镇银行信息科技管理责任、权利和义务；(二)主发起行承担的村镇银行信息科技工作内容；(三)对村镇银行客户信息的保密要求；(四)村镇银行信息科技突发事件应急机制；(五)协议变更流程；(六)协议的有效期限。
第二十六条村镇银行主发起行为农村商业银行、农村合作银行或农村信用社的，且主发起行重要信息系统在本省农村信用联社集中运行的，村镇银行可将信息科技工作委托给省农村信用联社，由省农村信用联社履行主发起行管理责任。
第三章信息科技建设与管理第二十七条村镇银行应制定符合总体业务规划的信息科技战略、信息科技运行计划和信息科技风险评估计划，确保配置足够人力、财力资源，维持稳定、安全的信息科技环境。
制定信息科技架构，确定信息系统和基础设施整体框架，保持前瞻性、可扩展性和灵活性，并定期评估。
第二十八条村镇银行信息系统应满足以下要求：(一)具备有效支持各项银行业务开展所需的功能,满足村镇银行发行银行卡、建立支付结算渠道、发展电子银行业务、创新金融产品等需求；(二)具备与业务处理要求相匹配的良好性能；(三)应避免使用技术落后、不适应业务发展和风险管理需要的信息系统；(四)对于现代化支付、银行卡联网、征信等系统，原则上应实现信息系统集中接入和集约管理。
第二十九条村镇银行的信息科技基础设施应满足以下要求：（一）信息科技基础设施建设应遵循资源共享、标准统一、安全可靠、便于管理的原则，满足可扩展性、易维护性的要求，为各类信息科技应用提供支持和服务；（二）机房建设应满足《电子信息系统机房设计规范》（GB50174 - 2008）要求，信息系统运行所依托的数据中心至少应达到B级标准，承担超过30家（含）村镇银行信息系统运行的，所依托的数据中心应达到A级标准；（三）机房供电、空调、主机、存储和网络等关键基础设施设备实现冗余配置，避免发生单点故障；（四）承担超过30家（含）村镇银行信息系统运行或所承担村镇银行资产总量超过300亿元（含）的，应建立重要信息系统同城实时数据级备份中心，并实现RPO不超过24小时的远程数据备份。
第三十条村镇银行应建立完善的信息科技管理制度和工作规范，包括项目管理、系统开发运行管理、安全管理、数据管理、应急管理、外包管理、风险及审计管理。
第三十一条村镇银行应建立信息系统开发、运行管理流程，涵盖需求管理、开发管理、测试管理、验收管理、问题管理和变更管理等内容，包括：(一)建立需求管理机制，涵盖需求风险分析和可行性研究，确保需求合理、准确；(二)建立系统化的开发、测试方法和流程，包括需求分析、设计、编码、测试、评审、发版等环节；(三)严格管控信息系统投产上线，上线前应有完备的上线方案和回退方案，上线过程应进行记录和跟踪，投产后应做好系统验收，包括系统功能、性能、安全、文档等；(四)建立事件管理流程，快速响应系统运行事件、修复故障，及时恢复系统运行，并深入分析问题根源，防范事件再次发生；(五)建立配置管理流程，及时更新数据中心基础设施和重要信息系统的配置信息，支持变更风险评估、变更实施、故障事件排查、问题分析等服务管理流程；(六)建立变更管理流程，包括提出、审核、实施、记录等环节，确保信息系统可靠性、可维护性和可追溯性。
变更前需进行备份，变更实施需双人操作。
信息系统变更应经村镇银行信息科技管理部门确认后方可实施。
第三十二条村镇银行应建立信息安全管理机制，涵盖物理安全、网络安全、系统安全、加密技术、日志管理等内容，包括：(一)明确机房物理安全区域，规范区域访问管理，控制未授权访问风险；(二)划分生产网络安全域，互联网和生产网应实现有效隔离，保障网络通信安全；(三)建立信息系统访问控制和授权管理体系，根据最小授权原则配置不同用户的访问权限，严格管理高权限账号，规范系统普通账号和密码的创建、变更、删除等，防止非法访问；(四)在生产数据采集、存储、传输等过程中应对密码等关键信息采取加密、校验等有效措施，确保该类信息安全，防止被篡改和窃取；(五)村镇银行重要信息系统日志和交易日志、系统变更审批记录以及数据使用、变更、备份、销毁审批记录应保存完整，保留期限应符合审计要求。
中小银行信息科技管理中存在的问题及改进建议
中小银行信息科技管理中存在的问题及改进建议随着我国银行业信息化建设的持续发展，信息科技与银行业务的深度融合，银行业的发展已经离不开信息技术的支持，信息科技已经成为当今银行业业务发展的核心支撑，其重要性不言而喻。
然而，信息科技在退推动银行业快速发展的同时，随之而来的信息科技风险亦不容忽视，已经成为影响银行业稳定发展的重要因素。
一旦信息科技环节出现风险，将会给银行经营带来巨大影响，甚至是造成银行业务停滞，影响百姓生活及社会稳定。
笔者结合村镇银行自身发展，对中小银行信息科技日常管理中存在的问题及改进措施提出以下建议。
一、现状与问题（一）对信息科技风险认识不到位，管理体系不完善以村镇银行为例，其信息科技风险管理水平还处在风险管理的初级阶段。
有些村镇银行虽然制定了发展战略，但缺乏与业务发展战略相一致的信息科技发展战略，同样也缺乏信息科技风险战略来指导信息科技风险管控工作，信息科技风险管理尚未纳入全面的风险管理体系。
首先是信息科技风险认识上不到位。
在作为小银行的村镇银行中普遍存在着一些问题，例如对信息科技风险了解的不够细致，对信息科技风险管理相对薄弱，信息科技的风险管理缺乏业务、风险管理、内部审计等部门甚至更高级管理层的有力支持。
其次，信息科技管理体系不完善。
大部分村镇银行虽然制定了相关的信息科技管理制度，但制度建设、人员管理、岗位设置缺少整体的风险管理概念，缺少完整的信息科技安全管理体系。
（二）科技投入水平普遍较低目前，中小商业银行的科技收入整体能力偏低。
科技投入主要包括项目建设费用、日常运行维护费用、科技人员成本、其他费用等项目。
以村镇银行为例，很大数量的村镇银行尚未自行开发业务系统，多是租用发起行的业务系统。
这部分村镇银行从本质上可以看作是发起行的一个支行，业务系统运维的重头戏一般都由发起行信息科技部来实施。
同时村镇银行高级管理层对科技的重视程度不够，信息科技的投入占运营成本的比重较小，大多在2%以下，该资金份额难以完全满足业务系统运行的维护需要，导致村镇银行部分硬件投入不足，常用易损设备备份不足，一些重要设备达不到双机热备的要求，出现设备损坏无备用设备，无法及时更换，影响正常业务开展的问题。
银监会《商业银行信息科技风险治理指引》[新版]
![银监会《商业银行信息科技风险治理指引》[新版]](https://360docs-1393072327.cos.ap-beijing.myqcloud.com/a2e8907226d3240c844769eae009581b6bd9bde4.webp)
商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行、政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引贯彻落实。
第七条商业银行的董事会应履行以下信息科技管理职责：(一)遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会(以下简称银监会)相关监管要求。
(二)审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。
评估信息科技及其风险管理工作的总体效果和效率。
(三)掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。
(四)规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。
(五)设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。
村镇银行信息科技风险管理办法
村镇银行信息科技风险管理办法村镇银行信息科技风险管理办法（征求意见稿）第一章总则第一条为加强村镇银行信息科技风险管理，确保科技体系持续稳定运转，根据《商业银行信息科技风险管理指引》等有关法律、法规，制定本办法。
第二条信息科技风险管理是通过建立有效机制，实现对银行信息系统风险的识别、计量、评价、预警和控制，推动村镇银行业务创新，提高信息化管理水平，保障村镇银行业务持续平稳发展。
第二章信息科技风险管理组织架构第三条信息科技风险是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第四条发起行科技信息中心是村镇银行信息科技风险的主要管理部门，发起行科技信息中心有以下信息科技风险管理的权限和职责：（一）建立有效的信息科技风险管理管理架构，完善内部组织结构和工作机制，防范和控制信息科技风险管理；（二）贯彻执行国家有关信息系统相关法律、法规和技术标准，落实人民银行和银监会相关监管要求；（三）履行村镇银行信息系统的规划、研发、建设、运行、维护和管理职责，建立、健全村镇银行信息科技风险管理相关规章、制度，并严格执行；（四）负责村镇银行信息系统的规划、研发、建设、运行、维护和监控等工作，提供村镇银行信息系统日常信息服务和运行技术支持；（五）负责指导和监督村镇银行科技部门落实有关信息科技风险管理的各项规章制度；（六）发起行科技信息中心安全科是村镇银行信息科技风险管理的牵头部门,发起行科技信息中心各科室按其职责范围承担相应工作。
第三章信息科技风险具体控制要求第五条信息科技总体风险点是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。
包括以下风险点：（一）缺少信息系统风险管理策略；（二）自然灾害、运行环境变化；（三）信息系统相关规章制度、技术规范、操作规程不完善；（四）信息安全标准化工作不符合国家相关规定；（五）缺乏信息安全风险评估机制；（六）数据中心机房物理安全；（七）使用盗版软件及自有成果的知识产权保护；（八）电子设备自身运行；（九）主机与网络运行；（十）网络安全；（十一）密码安全；（十二）数据加密安全；（十三）信息系统配置参数管理；（十四）数据管理；（十五）突发事件响应；（十六）信息系统故障导致影响银行信誉；（十七）网上银行安全。
信息科技风险管理指引
商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。
第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。
（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。
评估信息科技及其风险管理工作的总体效果和效率。
（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。
（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。
（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。
信息科技风险管理指引
商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
wDgzD9M。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
3XFlI8Z。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
yyLvG1t。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
mI8D41d。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
W8L5hSm。
第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。
第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。
k2W6Tcn。
（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。
评估信息科技及其风险管理工作的总体效果和效率。
2iV6vEC。
（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。
村镇银行信息科技建设与管理指引
村镇银行信息科技建设与管理指引（征求意见稿）第一章总则第一条为提高村镇银行信息科技建设及管理水平，有效防范信息科技风险，促进村镇银行持续、稳健发展，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，参照《商业银行信息科技风险管理指引》要求，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的村镇银行，村镇银行主发起行（以下简称主发起行）及承担村镇银行信息科技工作的银行业金融机构。
第三条村镇银行信息科技工作目标是通过建立有效的管理机制，科学开展信息科技建设，加强信息科技风险管控，确保信息科技工作目标与业务发展目标一致，增强核心竞争力，促进村镇银行安全、持续、稳健发展。
第四条村镇银行信息科技工作的基本原则是：（一）发展为本：信息科技工作以支持村镇银行业务健康发展为根本要求；（二）风险可控：积极采取措施，防范系统中断、敏感信息泄露和资金损失等风险；（三）资源共享：信息科技工作应统筹规划、适度集中、节约高效，合理利用信息科技资源。
第五条根据信息科技工作的责任主体不同，村镇银行信息科技管理分为自主管理和主发起行管理两种模式。
自主管理是指村镇银行独立承担信息科技规划、建设、运维、风险管理和审计等责任的管理模式，主发起行管理是指村镇银行将信息科技工作委托给主发起行并由其承担村镇银行信息科技规划、建设、运维、风险管理和审计等责任的管理模式。
第六条本指引所称同业机构是指中国银行业监督管理委员会（以下简称中国银监会）监管的银行业金融机构。
第七条本指引所称同业合作是指村镇银行或主发起行将原本由自身完成的信息科技工作委托给同业机构进行持续处理的行为。
第八条本指引所称信息科技外包是指村镇银行或主发起行将原本由自身完成的信息科技工作委托给同业机构以外的其它机构进行持续处理的行为。
第九条村镇银行应根据本行市场定位和业务发展战略，结合本行管理水平和技术能力，自主确定本行信息科技管理模式，并履行本指引第二章关于不同模式下信息科技治理的要求，积极采用自建、同业合作或外包的方式开展信息科技工作。
《村镇银行信息安全管理办法》
村镇银行信息安全管理办法第一章总则第一条本办法是本行信息系统规划、建设和使用过程中必须遵照实施的信息安全要素，适用于本行所有员工。
第二条本规定内容包括以下方面：（一）信息安全组织管理；（二）信息安全制度管理；（三）人员安全管理；（四）信息资产管理；（五）设备与物理环境安全管理；（六）通信与运行管理；（七）信息系统安全管理；（八）客户端安全管理；（九）信息安全专用产品管理；（十）文档、数据与密码应用安全管理；（十一）外包服务安全管理；（十二）事件报告、灾难备份与应急管理；（十三）安全检查与评估。
第三条本规定每三年至少进行一次修订，如遇以下情况须立即修订：（一）发生重大信息安全事件；（二）信息安全管理组织结构发生重大变更；（三）信息安全管理组织认为应当进行评审修订；（四）其他应当进行评审修订的情形。
第二章信息安全组织管理第四条本行应建立自上而下的信息安全工作管理体系，确立信息安全管理组织职责，持续推进全行信息安全工作开展。
第五条信息安全管理组织总行建立信息安全领导小组，总行、各支行下设信息安全工作小组。
第六条总行信息安全领导小组（一）由行长、分管行长和总行各部室负责人组成，组长由行长担任，副组长由分管信息科技工作的行领导担任；（二）负责明确全行信息安全管理职责分工；（三）对信息安全管理的重大事项（组织架构调整、信息安全规划调整、重要信息安全项目等）进行决策；（四）指挥、协调、督促并审查重大信息安全事件的处理。
第七条总行信息安全工作小组（一）由总行会计结算部负责人担任组长，组员由营业经理和信息科技岗担任；（二）贯彻执行信息安全领导小组的决议，指导、监督、协调和规范本行信息安全的管理和执行；（三）制定本行信息安全总体规划以及工作计划，持续推进信息安全工作；（四）组织开展本办法对于各信息安全管理领域规定的相关工作，确保各项要求的落实；（五）跟踪先进的信息安全技术，参与信息系统建设的安全规划，负责信息安全专用产品的选型，监督安全措施的执行；（六）定期组织全行信息安全管理检查，分析评估全行信息安全状况，提出安全分析报告和安全防范建议；（七）定期组织开展信息系统风险评估和测试工作，对于存在的风险点及时制定整改方案，组织整改；（八）加强人行和银监会等相关监管部门的联系，组织开展信息安全等级保护及相关监管部门的信息系统安全检查、评估等工作，并接受信息科技风险与信息安全管理工作指导；（九）牵头处理信息安全事件，及时向信息安全领导小组和有关部门、单位报告信息安全事件，配合有关部门进行信息安全审计和信息安全事件调查，打击金融计算机犯罪。
银监发[2009]19号-商业银行信息科技风险管理系统指引
商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。
第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。
（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。
评估信息科技及其风险管理工作的总体效果和效率。
（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。
（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。
（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。
信息科技风险管理指引
商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。
第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。
（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。
评估信息科技及其风险管理工作的总体效果和效率。
（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。
（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。
（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。
村镇银行信息化建设及风险管理的现状与对策
栏 目编辑 ．梁丽雯 Ｅ ｍａｌｖ ｎ ０１ １ ３ Ｃ ｒ － ｉｉ ：ｅ ｌ ＠ Ｏ ６ ｎ
一
村镇银行信息化建设及 风险管理 的现状 与对策
一 中国银 行业 监 督 管 理 委 员会 陕西 监 管局 张 磊
￣２ ０ 年全 国首家 村镇银 行开业以来 ， 至２ １ ０７ 截 ０１
略风险。 一是系统支撑能力不足。 部分银行未加入人 民 银行 大小额支付系统 和财税库行横 向联 网系统 ， 大量
年一 季度 ， 国已有４ ０ 全 ０ 家村镇银行正式 营业 ， 逐步成
为支持地方经济发展 、 提供 支农支小金融 服务的新兴
力量。 如陕西省已开业７ 家村镇银行， 注册资本从 ３ ０ ０ 万 元￣ ３ ０ 万元不等， Ｊ ｌ０ ０ 发起行涵盖国有 、 股份制、 外资及 城商行等银行类型。 同时， 但 支持其业务运转和发展 的
信息科技 风险纳入 对银行业信息科技风险监管体系之
中， 并充分考虑与其它银行的差 异， 采取针对性的监管
措施， 督促村镇银行信息科技又好又快地发展 ， 使其在 支农、 支持地方经济 中发挥应 有作用。衄
５ Ｊ ０１ 年 ・ 期 投稿 邮箱 ｈ ｆ＠２ ｃ ．ｅ ２ ２ １ 第８ ｎ ｃ ｌ ｎｎ ｔ
求 ， 以适应 随着农村信息化建 设深入推 进农 民日 难 益
迫切的新兴 电子化金 融服务或产品需求 。 二是 信息科 技投入不足 ， 一方面部分设备老化 、 性能较差 ， 未达 到
重要设备及系统的双机要求 ； 另—方面内部技术人才稀
缺， 且技术水平和实践经验也相对不足 ， 难以胜任地方 特色中间业 务的开发任务。 （ ） 二 信息科 技发展意识淡薄， 治理架构不到位。