金融業信息科技風險管理理念與實踐

一. 講座內容要點

一是信息科技風險管理規范標準。通過信息與資料梳理、視頻素材分析，解析國際和國內金融業在信息系統風險控制、技術風險評級、信息安全和網絡安全、系統安全和數據安全、信息科技項目管理、信息資產與基礎設施、信息科技外包管理等方面的管理框架、行業標準和最佳實踐，分析比較國際與國內金融業信息科技風險管理方面的特點、趨勢和可借鑒之處。

二是信息科技風險管控實踐。（1）從戰略層面、戰術層面和操作層面三個視角，分析國內外金融業信息科技治理結構的架構、信息科技管控流程的構建和信息科技系統管控的實施等；（2）從三道防線視角，即信息科技部門、信息科技風險管理部門、信息科技審計（稽核）部門，分析國內外金融業如何進行信息科技風險管控的有效協作、資源與信息共享、數據傳遞等；（3）從風險管理流程視角，分析國內外金融業如何實現對信息科技風險的感知與識別、評估與計量、應對等。

三是信息科技風險管控工具實踐。以信息科技中信息系統與數據的“生命周期”為主線，從信息科技立項與需求分析、信息科技項目采購與招投標、信息科技項目開發、信息科技項目時間與質量管控、信息科技成本控制和資源管控、信息科技溝通管理、信息科技測試與運行等不同階段講解適用的各類信息科技風險管控工具與方法；從信息科技風險存在的不同載體——系統、設備、網絡、數據和人員等視角，講解防范信息系統單項風險和綜合風險的工具與方法。

四是信息科技風險監管與審計實施。講解國外金融業監管機構（巴塞爾委員會、COSO）、國內金融業監管機構（人民銀行、銀保監會、證監會）以及審計機構（國家審計署）和工信部等機構，實施信息科技風險監管和審計的具體標準和規范、實施要素和要點等。

二. 講座主要價值點

一是以信息系統與數據“生命周期”為剖析主線，邏輯清晰。本講座內容將針對信息科技治理、信息科技開發、信息科技測試、信息科技運維等不同階段和環節，系統性、動態性的分析信息科技風險管理的特征與規律。

二是將信息科技風險管理的理論與實踐相結合，理實結合。本講座系統性的分析信息科技風險及風險管理的規范、行業標準、方法與工具、監管與審計的國際、國內前沿發展和最佳實踐，并結合信息科技風險管理案例信息、視頻素材、數據資料進行剖析講解。

三是提出信息科技風險管理的實施體系與建議，具指導性。本講座基于三道防線、生命周期，系統性提出金融機構實施信息科技風險管理的實施體系與建議方案，具有可操作性、指導性。

三. 講座方案設計

本講座設計為兩天（12 小時）。

第一天：“規范標準篇”+“管理流程篇”

通過信息科技風險事件視頻素材與態勢分析，引出實施金融業信息科技風險管理的思考。

講解和剖析國內外金融業信息科技風險管理的行業規范與標準，并提出適合于參訓機構的、具可操作性的信息科技風險管理規范與標準。

從三個層面講解國內外金融業信息科技風險管理實施的流程，并提出適合于參訓機構的、具可操作性的信息管理流程。

第二天：“工具實踐篇”+“監管審計篇”

以信息系統和金融數據的“生命周期”為主線，講解不同階段對應的信息科技風險管理工具與方法，并比較不同工具與方法的優劣。

講解國內外金融監管機構的信息科技風險監管規范、監管科技工具、監管要求與要素等。

講解國內外信息科技及風險管理的審計規范與準則、審計方法與審計工具、審計要素等。

四. 具體內容設計

(〇) 基礎認知篇

1. 視頻與案例素材剖析

n 國外*IT 風險事件視頻與案例剖析

n 國內*IT 風險事件視頻與案例剖析

2. 信息科技發展及 IT 風險

n 信息科技發展對金融業的影響

n IT 風險內涵、種類與全域風險視圖

n IT 風險的演進與變異

n IT 風險管控發展趨勢

(一) 規范標準篇

1. 國外 IT 風險管控標準規范

n IT 服務管理：ISO20000 和 ITIL V3

n 信息安全管理：ISO27001

n 業務連續性管理：ISO22301

n ISACA: COBIT5

n DRI:業務連續性管理

2. 國內 IT 風險管控標準規范

n 人民銀行

ü 《銀行業信息系統災難恢復管理規范》

ü 《銀行集中式數據中心規范》

ü 《網上銀行系統信息安全通用規范》

ü 《金融行業信息系統信息安全等級保護》

n 銀保監會

ü 《商業銀行信息科技風險管理指引》

ü 《銀行業金融機構信息科技外包風險監管指引》

ü 《商業銀行業務連續性監管指引》

ü 《銀行業重要信息系統突發事件應急管理規范（試行）》

ü 《商業銀行數據中心監管指引》

ü 《銀行業金融機構重要信息系統投產及變更管理辦法》

n 其他相關規范

ü 網絡安全法

ü 國家網信辦、公安部、國家保密局、國家密碼管理局

ü 關鍵基礎設施風險評估

ü 網絡安全等級保護

ü 《中華人民共和國突發事件應對法》

ü GBT20988—2007《信息系統災難恢復規范》

(二) 管理流程篇

1. IT 風險管理戰略/戰術/操作

n 信息科技治理架構的構建與實施

n 信息科技管控流程的構建與實施

n 信息科技管控系統的構建與實施

2. IT 風險管理三道防線

n 信息科技部門職責與協作

n 信息科技風險管理部門職責與協作

n 信息科技審計部門職責與協作

3. IT 風險管理流程與系統構建

n 信息科技風險感知與識別

n 信息科技風險評估

n 信息科技風險計量

n 信息科技風險監測

n 信息科技風險應對

n 信息科技風險管理系統構建

(三) 工具實踐篇

1. 信息系統與金融數據生命周期

n 信息系統/項目生命周期各階段劃分

n 金融數據生命周期各階段劃分

2. 各階段 IT 風險管理工具與方法

n 信息科技需求與設計階段/案例解析

n 信息科技項目立項階段/案例解析

n 信息科技開發與測試階段/案例解析

n 信息科技運行與維護階段/案例解析

n 信息科技外包階段/案例解析

n 業務連續性管理/案例解析

3. 單項與綜合 IT 風險管理工具

n 系統與設備安全方面/案例解析

n 網絡安全方面/案例解析

n 數據安全方面/案例解析

n 人員與操作風險方面/案例解析

4. IT 風險管控方案建議

(四) 監管審計篇

1. 國內外 IT 監管實施情況.

n 巴塞爾委員會、COSO 監管情況

n 人民銀行、銀保監會等監管情況

2. 國內外 IT 審計實施情況

n 國外信息科技審計實施及案例

n 國內信息科技審計實施及案例

3. IT 監管與 IT 審計實施借鑒

五. 講座目的

本講座通過系統講解金融業（包括人民銀行、銀保監部門、商業銀行、證券業及保險業等）信息科技風險管理體系與框架、信息管理科技風險特征與分布、信息科技風險的生命周期追蹤、信息科技風險管理具體技術及方法、信息科技風險治理、信息科技風險監管等方面的最新發展和最佳實踐，提出適合于參訓機構實施信息科技風險管理的實施方案和體系建議，有效提升參訓機構的信息科技風險管理能力。工具、營銷策略，全面提升商業銀行零售金融的營銷能力。

本講座內容適合但不限于金融從業機構、監管機構、類金融機構和互聯網企業等的信息科技、風險管理、內控與審計等部門及相關職能部門的專業人員和銀行從業人員。具體可包括：

n 分管信息科技、科技風險的高級管理人員

n 信息科技部門相關負責人

n 風險管理部門相關人員

n 信息科技部門管理和業務骨干等