XX银行网络金融业务风险管理办法

XX银行网络金融业务风险管理办法第一章总则第一条为加强网络金融业务风险管理，确保业务安全稳定运行，维护和保障本行及客户的合法权益，根据《中华人民共和国商业银行法》、《电子银行业务管理办法》和《关于促进互联网金融健康发展的指导意见》等法律法规和本行相关制度规定，特制定本办法。

第二条本办法所称的网络金融业务包括：电子银行业务、与第三方支付机构合作业务、基于互联网技术的新产品和新服务。

（一）电子银行业务系指本行利用面向社会公众开放的通讯通道或开放型公众网络，以及为特定自助服务设施或客户建立的专用网络，向客户提供的银行服务。

电子银行业务包括但不限于网上银行、电话银行、手机银行、微信银行、短信银行和自助银行等金融服务。

（二）与第三方支付机构合作业务系指本行与第三方支付机构合作，向客户提供通过计算机、手机等设备，依托互联网发起支付指令、转移货币资金的服务。

包括但不限于支付宝快捷（卡通）、财付通快捷（微信支付）等业务。

（三）基于互联网技术的新产品和新服务系指本行依托互联网技术，实现传统金融业务与服务转型升级，向客户提供存款、购买基金和理财产品等投资理财服务，限定额度内的消费和缴费支付等服务。

包括但不限于直销银行、云闪付等业务。

第三条本办法所称的网络金融业务风险管理系指本行对网络金融各类业务风险实施识别、监测、计量、评估、预警、应对和报告，确保业务安全稳定运行的管理活动。

第四条本行网络金融业务面临的风险种类包括：操作风险、信息科技风险、声誉风险、信用风险、合规风险、案防风险和市场风险等。

（一）操作风险。

系指由不完善或有问题的内部程序、人员、系统或外部事件对本行所造成损失的风险。

本行操作风险包括法律风险。

（二）信息科技风险。

系指信息科技在本行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等造成的风险。

（三）声誉风险。

系指由本行经营、管理及其它行为，或外部事件导致利益相关方对本行负面评价的风险。

（四）信用风险。

系指在授信过程中，因受信人、担保人或第三方因各种原因，无力、不愿或不能及时、足额履约或偿还债务而构成违约，致使本行遭受损失或不能达到预期收益的可能性。

本行信用风险包括国别风险。

（五）合规风险。

系指因本行没有遵循法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失的风险。

本行合规风险包含法律风险。

（六）案防风险。

系指由本行员工独立或者伙同外部人员实施的，以本行或本行客户的资金、财产为侵害对象的，涉嫌触犯刑法或已由公安、司法机关依法立案侦查的内部事件；或本行遭受外部诈骗、盗窃、抢劫等侵害的外部事件。

（七）市场风险。

系指因市场价格（利率、汇率、股票价格和商品价格）的不利变动，使本行表内外业务发生损失的风险。

第五条本行网络金融业务风险管理目标是：建立健全网络金融业务风险管理体系和内部控制体系，设立相应的管理机构，明确网络金融业务风险管理责任，有效地识别、监测、评估和控制网络金融业务风险，维护和保障本行和客户的合法权益。

第六条网络金融业务风险管理基本原则（一）依法合规原则。

网络金融产品和服务不得违反法律法规有关规定以及监管禁止性规定。

（二）风险可控原则。

根据业务发展需要，建立相应的风险防范机制和反应机制，实现对各类风险的有效管控，保障和促进业务稳健发展。

（三）审慎管理原则。

开办的网络金融业务要认真执行审慎经营原则，分析和论证潜在风险，主动采取应对措施，防化风险隐患。

（四）归口管理原则。

网络金融业务风险管理纳入总行全面风险管理体系。

总行网络金融事业部按照《XX银行全面风险管理框架指引》（华融银董[2015]25号）要求，履行业务条线风险管理部门工作职责，归口管理网络金融业务风险日常管理工作；其他相关单位按规定履行网络金融业务风险管理职责，监督、指导和执行网络金融业务风险管理工作。

第二章管理职责第七条总行部门职责（一）网络金融事业部网络金融业务风险管理的执行部门。

负责拟定网络金融业务管理操作制度；负责网络金融业务风险的监测、评估、应对与报告工作；负责监督检查本条线风险管理执行情况；归口管理网络金融风险日常管理工作。

（二）风险管理部本行全面风险管理的牵头部门。

负责监督检查网络金融业务风险管理执行情况；负责指导参与主办和执行部门开展网络金融业务风险控制与缓释；负责向监管部门报告符合本行重要风险事项报送条件的网络金融业务风险事件。

（三）运营管理部网络金融业务操作风险的主办部门。

负责指导、参与执行部门拟定网络金融业务操作制度；负责指导、参与执行部门开展网络金融操作风险的控制与缓释。

（四）信息科技部网络金融业务信息科技风险的主办部门。

负责指导、参与执行部门拟定网络金融业务操作制度；负责网络金融业务信息科技风险的监测与报告；负责指导、参与执行部门开展网络金融信息科技风险的控制与缓释。

（五）综合管理部网络金融业务声誉风险的牵头部门。

负责组织、监督和指导网络金融业务舆情监测工作，及时提示网络金融业务声誉风险隐患；指导和协助做好网络金融声誉风险的监测、识别、报告和控制等工作。

（六）内控合规部网络金融业务合规风险和案防风险的牵头部门。

负责监督检查网络金融合规风险和案防风险管理执行情况；负责指导、参与执行部门开展网络金融合规风险和案防风险的控制与缓释。

第八条分行部门职责（一）网络金融业务管理部门1.负责监测辖内网络金融业务风险，及时向总行网络金融事业部报告具体风险信号（隐患）和风险事件。

辖内发生网络金融风险事件符合本行重要风险事项报送条件的，要按有关规定报告。

2.负责执行总行网络金融事业部下达的风险控制与缓释措施。

3.负责监督检查辖内支行条线风险管理执行情况；接受总行网络金融事业部的监督与检查。

（二）风险管理部门负责指导、参与分行业务管理部门开展网络金融风险控制与缓释；辖内发生网络金融风险事件符合本行重要风险事项报送标准的，要按有关规定报告。

（三）综合管理部门、内控管理部门、运营管理部门和信息管理部门分行有关管理部门按照总行条线职责分工，负责指导、参与分行业务管理部门开展网络金融相关风险的控制与缓释。

第九条支行职责（一）负责监测辖内网络金融业务风险，及时向分行业务管理部门报告具体风险信号（隐患）和风险事件。

对符合本行重要风险事项报送标准的网络金融风险事件，及时向分行风险管理部门报告。

（二）负责执行分行业务管理部门下达的风险控制与缓释措施。

（三）接受上级行的监督与检查。

第三章管理规定第十条产品研发风险管理（一）研发网络金融业务创新产品，按照本行金融创新产品准入管理、信息科技项目立项和开发管理的有关规定，严格执行准入发起、设计研发、准入评审、审批投产、投后评价等环节相关要求，控制创新产品风险。

创新产品须取得监管部门准入资格的，应按规定办理报批或报备手续并获得监管部门许可。

（二）因业务发展需要，对已推出网络金融业务进行新增业务需求、变更业务需求和系统优化，按照本行信息科技项目开发管理的有关规定执行。

第十一条服务合同签订本行向客户提供网络金融的产品和服务，应与客户签订产品和服务协议或合同，明确双方的权利与义务。

在协议或合同中，本行应向客户充分揭示利用网络金融产品和服务进行交易可能面临的风险，本行已经采取的风险控制措施和客户应采取的风险控制措施，以及相关风险的责任承担。

第十二条客户识别与权限管理网络金融业务应采取适当的措施和技术，识别与验证使用客户的真实、有效身份，并依照与客户签订的有关协议或合同对客户操作权限、资金转移或交易限额等实施有效管理。

第十三条客户信息安全保护网络金融业务要采取必要的管理措施和技术措施，防止网络金融的客户身份资料和交易记录的缺失、损毁，防止泄露客户身份信息和交易信息。

要按规定加强网络金融业务的客户信息和隐私保护，不得违法违规泄露。

客户身份资料，自业务关系结束当年或一次性交易记账当年计起至少保存5年。

交易记录，自交易记账当年计起至少保存5年。

第十四条本行与网络金融各项业务有关的信息科技系统管理应严格遵循有关法律法规和本行制度的规定。

第十五条外包服务供应商准入管理（一）本行在选择网络金融业务外包服务供应商时，应充分审查、评估外包服务供应商的经营状况、财务状况、实际风险控制与责任承担能力，进行必要的尽职调查。

（二）在购买外包服务时，应与外包服务供应商签订书面合同，明确双方的权利和义务。

合同内容必须明确约定保密责任。

第十六条第三方支付机构准入管理（一）本行应与综合实力较强和安全保障能力较高的第三方支付机构合作，对综合实力不强和不具备对等安全保障能力的第三方支付机构，原则上应不予合作。

（二）在与合格的第三方支付机构合作前，双方要签订书面合同，明确双方的权利和义务，并严格遵守国家有关计算机信息系统安全、商用密码管理和消费者权益保护等方面的法律法规。

签订的合同中必须约定保密责任和“先行赔付”责任。

第十七条网络金融业务正式对外推出前，应按规定制定和下发相关业务管理制度，并定期开展制度评价与清理。

第十八条总行和分行条线管理部门应按规定组织开展网络金融业务反洗钱管理工作。

总行条线管理部门制定和执行本条线洗钱风险防控措施，组织开展本条线反洗钱培训宣传和配合反洗钱评估、协查等工作。

分行条线管理部门要组织落实总行反洗钱管理工作有关规定。

第十九条总行有关部门和分支行要按照《XX银行客户投诉管理办法》有关规定，及时妥善解决网络金融客户投诉问题，避免发生客户过激行为，维护网络金融业务品牌形象和声誉。

第二十条总行和分行条线管理部门应针对网络金融业务发展与管理的实际情况，制定可行工作计划，持续开展员工业务培训和客户安全教育活动，提高员工和客户的风险防范意识与风险防控能力。

第二十一条对总行和分行条线管理部门的关键岗位和关键人员，实行轮岗和强制性休假制度。

关键岗位的轮换期限、轮岗方式及关键人员强制休假按本行有关规定执行。

关键岗位包括：总行电子银行产品研发及运营管理岗，总行互联网金融产品研发及运营管理岗；分行网络金融业务管理岗。

与网络金融业务有关的信息科技条线关键岗位和关键人员的岗位轮换与强制性休假按本行有关规定执行。

第二十二条总行有关部门要建立和完善网络金融渠道交易风险主动识别和监测机制，及时监测、应对和处理假冒或有意设置类似于本行的电话、网站、短信号码等信息骗取客户信息和资金的活动，防范欺诈风险。

运用大数据等技术，加强对客户交易行为和交易习惯的分析，建设动态更新的风险监测模型，加强客户的账户资金活动情况和异常行为的监测，及时发现和处置异常交易和行为。

第二十三条总行有关部门要探索建立网络金融业务风险补偿机制，通过计提风险赔付基金、购买商业保险等方式，锁定存款人支付风险，保护本行和客户的合法权益。

第四章检查与监督第二十四条网络金融业务检查坚持“全面检查和专项检查相结合，现场检查和非现场检查相结合”的原则。