河北省中小商業銀行信息科技風險狀況調查

摘 要：城市商業銀行和城市信用社的信息科技風險不容忽視，各行社應充樹立“科技興行（社）”的經營理念，明確信息化建設的戰略目標，在全面考慮金融市場、外部監管要求、自身管理水平和資金實力等因素的基礎上，構建現代化的綜合業務處理系統和高效的管理信息系統。

關鍵詞：中小商業銀行；信息科技風險；調查

中圖分類號：Ｆ830.49文獻標識碼：B文章編號：１００６－３５４４（２００8）０4－００35－03

隨著我國銀行業信息化進程的不斷加快，信息科技應用程度的不斷提高，信息科技風險對銀行的影響也日益顯著，給傳統的銀行業風險管理的理論和實踐都帶來了新的挑戰。為全面掌握轄內城市商業銀行和城市信用社信息科技風險狀況，進一步加強銀行監管工作，防范和化解金融風險，促進城市商業銀行、城市信用社健康有序發展，河北銀監局組織對轄內城市商業銀行和城市信用社的信息科技風險狀況進行了調研，有關情況如下。

一、基本情況

河北省共有11家城市商業銀行和城市信用社，由于發展時間短、科技基礎建設薄弱，加之地方性單一法人機構的屬性，因此在信息科技的財力投入、組織人力資源配備等方面與全國性國有商業銀行和股份制商業銀行相比，存在明顯差距。但隨著形勢的發展，河北省城市商業銀行和城市信用社已越來越意識到發展信息科技的重要性，資金投入逐年加大，經營管理的電子化水平逐步提高，日常業務處理已基本實現了系統化、網絡化。

1. 信息系統的應用。 目前河北省城市商業銀行和城市信用社的信息系統主要應用于業務處理和日常管理兩方面，與之相對應，信息系統主要包括業務信息系統和管理信息系統兩大類。（1）業務信息系統。在這方面，從總體上看，城市商業銀行較城市信用社應用程度高，功能開發比較多，業務信息系統運用已有一定深度， 除普遍應用了綜合業務系統處理賬務以外， 還根據各自的業務需要， 開發了其他一些特色業務系統。如：廊坊市商業銀行2003年上線中間業務系統， 開辦了代收代付等中間代理業務， 同年加入了中國銀聯北京分中心，運行了銀行卡系統，發行了“銀星”銀行借記卡，布設了ATM、CDM自助機具， 開通了電話銀行業務； 張家口市商業銀行2006年開發上線了張家口廣電收費中間業務平臺，在３個網點上線了公交系統代收費系統等。除上述業務系統以外， 各行社上線外聯的業務系統主要是與人民銀行聯網，有大、小額支付系統、人民幣賬戶管理系統、 個人征信數據庫系統、 人民幣反洗錢監控系統、 同城清算網絡系統等。（2） 管理信息系統。在這方面，各行社的建設普遍起步較晚，對信息技術在管理活動中的運用逐步重視， 開發了部分信息系統以提高管理能力和管理效率，但應用程度還不充分。 如廊坊市商業銀行2006年上線了個人信貸管理系統， 并與綜合業務系統設置數據接口實現信息共享，提高了信貸管理能力；承德市商業銀行應用了信息管理系統、信貸管理系統。此外，部分行社還建設了辦公系統， 提高了辦公自動化水平， 但實現的功能存在一定差別。

2. 信息系統的研發模式。 河北省城市商業銀行和城市信用社業務信息系統的研發均采用外包模式，但具體方式又有所不同。如廊坊市商業銀行采取與具有完全開發能力的北京銀行相互合作方式，運用的業務信息系統為北京銀行在線運行的信息系統，并根據自身的業務需求開通相應業務功能，由北京銀行負責后期維護、升級。其他城市商業銀行和城市信用社則直接外包給軟件系統開發商， 后期維護及系統升級由供應商負責。

3. 信息系統的安全策略。 河北省城市商業銀行和城市信用社在硬件物理安全、網絡安全、數據傳輸等方面結合自身實際采取了以下措施： （1）在計算機機房建設方面， 按照銀行機房建設標準加強了中心機房的安全建設，實施了防火、防雷、防靜電等安全防范措施。 設立了門禁系統和機房出入登記制度， 通過視頻監控等監測設備對機房進行設備運行、機房出入等方面的實時監控。（2）在網絡安全方面，網絡連接以內部業務網絡為主，實行了業務網、辦公網、外聯廣域網的物理隔離，在核心業務系統的外聯線路設置防火墻。 有的機構還在網絡上配備了漏洞掃描、入侵檢測、網絡版殺毒系統。（3）在數據傳輸和備份儲存方面， 為保證數據在電信運營商網絡的傳輸安全，各機構均采取了相應措施。如廊坊市商業銀行在各營業網點、 自助機具終端布設了硬件加密機， 滄州市商業銀行對各營業網點的數據傳輸采用軟件加密方式，對自助設備設置硬件加密機。數據備份方面， 各行社均對業務數據和應用系統程序進行了安全備份，備份多為同城的異地備份，其中邯鄲市城市信用社進行了災備演習， 并對備份數據有效性進行了驗證。（4）在內控制度和操作方面，各行社隨著信息系統建設的深入，圍繞設備、數據、操作、環境等方面制定了一些內控制度，包括機房管理、計算機網絡管理、營業網點設備維護慣例、系統管理員職責及操作規程、業務操作員職責及操作規程、項目的開發至上線運行流程、突發事件應急預案等，基本包含了信息系統運行的主要環節。

4. 組織管理及人員情況。 各行社在總部均單獨設立了信息科技系統管理職能部門， 統一負責信息系統的規劃、研發、建設、運行、維護和監控，提供日常科技服務和運行技術支持， 所轄分支機構一般不設相應的職能部門。 信息科技從業人員數量普遍較少，占比在3%左右，具備大專以上學歷的人員超過90%，80%的信息科技人員主要從事信息系統的日常運行維護工作。

二、存在問題

1. 各自為戰，發展基礎薄弱。由于河北省城市商業銀行和城市信用社存在規模小、實力弱、風險高等先天劣勢， 信息科技的發展基礎不僅比不上全國性的國有商業銀行和股份制商業銀行， 就是同全國其他城市商業銀行相比，也存在比較明顯的差距。據報道，山東省正在著手建立城市商業銀行“后方支持平臺體系”，將通過類似“協會”、“聯盟”的組織形式進行信息化建設、業務開發等方面的合作。安徽、江蘇也已實施了城市商業銀行、 城市信用社的省內聯合重組，組建成為統一的省級金融機構。相比之下，河北省城市商業銀行、 城市信用社尚處在區域性與地方性的束縛之中， 信息科技建設工作仍處于各自為政、各自為戰的狀態，無法形成合力，發展基礎依然薄弱。

2. 信息化建設缺乏總體規劃。 由于各行社的發展程度不一，對信息科技的重視程度不一，加之受自身實力限制，難以投入大量資金，決定了各行社在信息化建設方面缺乏總體規劃，不能從整體上，在統一的基礎平臺上規劃和建設各自的信息系統。 不但使得各行社之間的業務系統及應用系統采用不同的主機、操作系統、數據庫、數據接口、數據格式，從而難以實現信息共享，成為信息孤島，即使是同一機構，不同時期推出的業務系統往往也難以有效整合， 制約了信息系統效能的發揮。

3. 信息化應用水平有待提高。 目前各行社信息化建設主要集中于外部服務手段和內部數據傳遞，系統應用基本上是以綜合業務（儲蓄、對公業務）系統為主要應用系統， 絕大部分的系統資源應用在了會計賬務處理方面。在經營管理和內部控制方面，應用相對不足，缺乏諸如市場營銷分析、客戶關系管理、操作風險管控等深層次的應用，不能有效借助信息系統對經營管理和內部控制做出動態、全面、科學的指導與控制， 信息化建設的系統化程度還有待加強。系統之間的耦合度和代碼復用率相對較低，與發達銀行MIS系統所具有的實時掌握銀行頭寸、 經濟金融活動等最新動態，進行成本效益明細分析、風險分析等有效地輔助管理和決策功能的系統相比，落后較遠。

4. 科技人力資源比較匱乏。從調查的情況看，河北省城市商業銀行、城市信用社科技人才普遍匱乏，科技力量非常薄弱。11家行社科技專業人員總數不到100人。人員數量少，員工素質有待提高，加之人才流失現象也較為嚴重， 導致各行社科技力量明顯不足，難以為信息化建設提供有力的智力支持。各行社的信息科技部門基本上沒有獨自研發能力， 工作職責主要是進行系統的日常維護。

5. 信息系統安全保障體系不完善， 容災備份中心沒有建立。 各行社信息系統安全防范措施還不夠完善，防范意識還有待加強。個別機構在認識上盲目樂觀，憂患意識差。例如，有的行社沒有在核心業務網絡中實施內容過濾、身份認證、入侵監測、漏洞掃描等安全防范措施。 在對業務操作員的密碼定期更換方面， 有的行社在業務系統軟件中沒有附加強制性措施，單純依靠相關制度加以制約。有的行社雖然做到了核心主機、服務器、交換機雙機備份，但是上述設備都布置于中心機房， 沒有建設同城或異地的容災備份中心。 進行的相關應急演練也僅僅是在中心機房實施雙機切換，如果中心機房出現意外事故，如火災、 地震等情況， 將會影響到整個行社經營運行，發生毀滅性風險。

6. 現有的硬件設備與業務發展需求不相適應。近年來河北省城市商業銀行、 城市信用社規模發展迅猛，日處理業務量大幅增長，但有的行社硬件設備長期得不到更新，已出現老化、跟不上業務發展需求的現象。主要表現在核心業務主機資源占用率過高、磁盤存儲空間不足、頻繁出現宕機事件等方面。上述問題如果得不到盡快解決，將可能導致業務中斷、系統癱瘓等嚴重后果。據此次調查的情況，個別機構的核心業務主機資源占有率峰值已達到了70%， 極易引發系統運行中斷； 個別機構磁盤陣列存儲空間已占用到80%，空間已嚴重不足；個別機構因數據庫運行僵死2005年發生了三次宕機，2006年銀行卡系統因磁盤陣列故障發生一次宕機， 因電源故障發生了一次宕機， 因存儲問題造成現代化支付系統中斷一次。

7. 信息系統上線前沒有經過具備資質的中介機構或權威部門進行安全評估和認證。 河北省城市商業銀行和城市信用社的信息系統研發普遍采取外包的方式，相關應用系統由軟件承包商開發后，經過業務部門測試， 在業務部門和科技部門共同驗收后即投入上線使用， 未經過國家權威部門或機構進行的安全性評估、認證及壓力測試。由于城市商業銀行和城市信用社的大部分業務人員只對業務操作比較熟悉，而科技人員實力有限，對應用系統中可能存在的漏洞、缺陷等缺乏有效的鑒別能力，系統投產前的測試和驗收主要集中在系統功能實現方面， 容易使驗收工作形成“走過場”，從而可能造成系統上線運行后的非法入侵和故障，形成安全隱患。

8. 信息系統審計落后。各城市商業銀行、城市信用社均未建立信息風險審計工作制度， 內部審計部門缺乏相關專業技術審計人員。目前，各行社所有涉及到科技信息的工作全部歸口到科技部門負責，科技部門權力過大，具有系統開發、驗收、維護、管理、驗收等多種職能， 在實際工作中其他部門對其形不成有效的監督制約。據調查，各機構在核心業務等信息系統投產以來， 還沒有任何內部審計部門或聘請具備相應資質的中介機構對其開展過信息系統風險總體審計和專項審計， 從而缺乏對信息系統總體風險情況的客觀評價與控制。

三、對策建議

上述情況說明了當前加強城市商業銀行和城市信用社信息科技風險監管， 有效防范信息科技風險的重要性和緊迫性。針對存在的問題和不足，提出如下對策建議：

1. 統一認識，明確信息化建設目標。督促各行社充分認識信息化建設是提高核心競爭力的重要手段，樹立“科技興行（社）”的經營理念，明確信息化建設的戰略目標； 在全面考慮金融市場、 外部監管要求、自身管理水平和資金實力等因素的基礎上，構建現代化的綜合業務處理系統和高效的管理信息系統；以技術創新帶動業務創新和制度創新，以組織架構重組和業務流程再造為中心， 形成信息化的業務平臺和管理平臺， 為信息化建設的持續穩健發展奠定基礎。

2. 整章建制，落實內控制度。一是建立健全各項計算機安全管理和防范制度，完善業務的操作規程；二是加強要害崗位管理， 建立和不斷補充完善要害崗位人員管理制度；三是加強內控制度的落實，嚴禁系統管理人員、網絡技術人員、程序開發人員和前臺操作人員混崗、代崗或一人多崗，各操作人員必須定期更換密碼； 四是業務與非業務用機實行嚴格分離管理，做到專機專用、專人專管、各負其責，并由專人負責保管上機操作日志。

3. 根據實際情況， 科學合理制定信息規劃和最低信息技術標準。根據城市商業銀行、城市信用社的業務特征、發展現狀，制定出臺統一的業務、技術標準， 為各行社開展信息交流和明確監管依據提供保證。制定科學合理的信息建設規劃，有效控制成本，通過建立一個穩固可靠并且具有前瞻性、 靈活性和可拓展性的信息技術環境來支撐可持續發展。 在制定規劃時，既要有戰略上的超前意識，重視系統框架與平臺建設，避免出現重復建設和信息孤島的情況，又要立足實際應用，以提高工作效率、降低業務風險為原則，科學合理安排建設項目的先后順序，逐步完善信息系統的功能。

4. 合作開發，降低信息化建設成本。城市商業銀行和城市信用社規模較小，資金和科技實力有限，往往難以單獨開發信息系統， 因此合作開發就成為信息化建設的一條捷徑。在建設異地災難備份中心時，合作的優勢與必要性顯得更為突出。 要指導城市商業銀行和城市信用社建立信息科技合作制度， 發揮規模效應，實現優勢互補、資源共享。在具體開發過程中，各行社之間可以結成戰略聯盟，由各行社主管部門聯合成立信息化建設領導小組， 與專業IT公司合作，根據自身業務特點提出需求，提高信息系統的實用性和有效性。建立統一的信息科技人力資源庫，通過整合各行社的信息科技管理部門， 建立全省城市商業銀行、 城市信用社統一的專門科技服務支持機構，提供相關科技保障。

5. 加快創新，提高核心競爭力。在信息化建設過程中，應加強業務的整合與創新，提高業務處理效率和經濟效益；通過綜合業務系統建設，提高業務操作的規范化和標準化，為客戶提供“一站式”全過程的金融服務；通過網上銀行、客戶服務中心建設，實現渠道電子化和數據智能處理，快速響應市場變化，為客戶管理和市場營銷提供依據； 通過管理信息系統建設，提高各部門運轉效率和內部監督的時效性，全面提高經營管理能力。

6. 加強審計工作，建立技術安全保障體系。建議在加強審計力度的同時， 督促城市商業銀行和城市信用社不斷加強和改進科技信息系統， 提高通過技術手段防范操作風險的能力， 支持各類管理信息適時、準確生成，為業務操作部門的復核和稽核部門的稽查提供堅實基礎。建立技術安全保障體系，既要通過防火墻、口令保護、身份識別與認證、證書授權等多種技術手段加強安全防護，又要完善整體規劃，建設災難備份系統，增強信息系統安全、穩定性。

7. 以人為本，加強人力資源管理。信息化建設需要既熟悉銀行經營管理又熟練掌握信息化知識的復合型人才。各行社應加強人力資源管理，建立以人為本的管理機制和科技創新體制： 一方面要積極引進各種人才， 充實員工隊伍， 提高員工隊伍的整體素質；另一方面要想方設法留住人才，加強對員工的技術培訓和后續教育，逐步提高科技人才的待遇，充分發揮他們的創造力， 為推進信息化建設提供有力的人力支持。

（責任編輯：龍會芳；校對：李巧莎）