隨著金融科技的高速發(fā)展,銀行、保險(xiǎn)等金融機(jī)構(gòu)(以下簡(jiǎn)稱(chēng)“銀保機(jī)構(gòu)”)為降低成本、提升效率、聚焦核心業(yè)務(wù),普遍加大了在信息技術(shù)(IT)外包和知識(shí)流程外包(KPO)領(lǐng)域的投入。伴隨而來(lái)的是外包風(fēng)險(xiǎn)事件的頻繁發(fā)生,引發(fā)了行業(yè)與監(jiān)管機(jī)構(gòu)的高度關(guān)注。為此,金融監(jiān)管部門(mén)近期明確表態(tài),將對(duì)金融機(jī)構(gòu)的外包業(yè)務(wù),特別是涉及關(guān)鍵流程與敏感數(shù)據(jù)的“知識(shí)流程外包”,實(shí)施分級(jí)分類(lèi)的審慎監(jiān)管,以筑牢金融安全防線。
一、風(fēng)險(xiǎn)頻發(fā):IT與知識(shí)流程外包的雙重挑戰(zhàn)
銀保機(jī)構(gòu)的外包已從初期的簡(jiǎn)單人力補(bǔ)充、非核心系統(tǒng)維護(hù),深入到核心業(yè)務(wù)流程、數(shù)據(jù)分析、模型開(kāi)發(fā)、風(fēng)險(xiǎn)管理等知識(shí)密集型領(lǐng)域(即知識(shí)流程外包)。風(fēng)險(xiǎn)也隨之升級(jí)并集中暴露:
- 數(shù)據(jù)安全與隱私泄露風(fēng)險(xiǎn):外包服務(wù)商可能因技術(shù)缺陷、管理疏漏或內(nèi)部人作案,導(dǎo)致客戶(hù)敏感信息、交易數(shù)據(jù)大規(guī)模泄露,對(duì)金融機(jī)構(gòu)聲譽(yù)和客戶(hù)權(quán)益造成重大損害。
- 業(yè)務(wù)連續(xù)性與系統(tǒng)穩(wěn)定性風(fēng)險(xiǎn):過(guò)度依賴(lài)單一外包商或外包商自身出現(xiàn)運(yùn)營(yíng)問(wèn)題,可能導(dǎo)致金融機(jī)構(gòu)關(guān)鍵業(yè)務(wù)中斷、系統(tǒng)癱瘓,影響金融服務(wù)的社會(huì)公信力。
- 合規(guī)與操作風(fēng)險(xiǎn):外包活動(dòng)可能規(guī)避或弱化機(jī)構(gòu)內(nèi)部的合規(guī)控制,外包人員操作不當(dāng)可能引發(fā)合規(guī)違規(guī)事件。在模型開(kāi)發(fā)、信用評(píng)審等知識(shí)流程外包中,還存在算法偏見(jiàn)、模型缺陷等隱性風(fēng)險(xiǎn)。
- 戰(zhàn)略與第三方依賴(lài)風(fēng)險(xiǎn):核心能力過(guò)度外包可能導(dǎo)致金融機(jī)構(gòu)自身技術(shù)能力空心化,形成對(duì)外部供應(yīng)商的深度依賴(lài),削弱長(zhǎng)期競(jìng)爭(zhēng)力和創(chuàng)新自主權(quán)。
這些風(fēng)險(xiǎn)事件不僅造成直接經(jīng)濟(jì)損失,更可能演變?yōu)閰^(qū)域性、系統(tǒng)性的金融風(fēng)險(xiǎn)隱患。
二、監(jiān)管定調(diào):推行分級(jí)分類(lèi),聚焦關(guān)鍵環(huán)節(jié)
面對(duì)復(fù)雜的外包風(fēng)險(xiǎn)態(tài)勢(shì),金融監(jiān)管部門(mén)在多次風(fēng)險(xiǎn)提示和現(xiàn)場(chǎng)檢查的基礎(chǔ)上,近期正式定調(diào)監(jiān)管方向:對(duì)金融機(jī)構(gòu)的外包活動(dòng),特別是金融知識(shí)流程外包,實(shí)施分級(jí)分類(lèi)管理。其核心內(nèi)涵包括:
- 風(fēng)險(xiǎn)分級(jí):依據(jù)外包業(yè)務(wù)的性質(zhì)、對(duì)金融機(jī)構(gòu)重要性和持續(xù)運(yùn)營(yíng)的影響程度、以及涉及數(shù)據(jù)信息的敏感度,將外包活動(dòng)劃分為不同風(fēng)險(xiǎn)等級(jí)。對(duì)于支撐關(guān)鍵業(yè)務(wù)、涉及核心數(shù)據(jù)和重要流程的高風(fēng)險(xiǎn)外包(如信貸決策模型開(kāi)發(fā)、反洗錢(qián)數(shù)據(jù)分析、核心系統(tǒng)運(yùn)維等),將施加最為嚴(yán)格的監(jiān)管要求。
- 機(jī)構(gòu)分類(lèi):根據(jù)外包服務(wù)商的資質(zhì)、規(guī)模、技術(shù)能力、安全記錄和集中度風(fēng)險(xiǎn)等因素,對(duì)其進(jìn)行分類(lèi)管理。鼓勵(lì)金融機(jī)構(gòu)優(yōu)先選擇合規(guī)穩(wěn)健、能力匹配的服務(wù)商,并避免對(duì)個(gè)別外包商形成過(guò)度依賴(lài)。
- 強(qiáng)化主體責(zé)任:明確金融機(jī)構(gòu)作為外包風(fēng)險(xiǎn)管理的最終責(zé)任人,要求其建立覆蓋外包項(xiàng)目全生命周期的風(fēng)險(xiǎn)管理體系,包括嚴(yán)格的供應(yīng)商準(zhǔn)入、持續(xù)監(jiān)控、審計(jì)、應(yīng)急演練和退出機(jī)制。禁止以外包之名行管理責(zé)任“外包”之實(shí)。
- 聚焦知識(shí)流程外包:特別強(qiáng)調(diào)對(duì)知識(shí)流程外包的監(jiān)管。要求金融機(jī)構(gòu)對(duì)涉及專(zhuān)業(yè)判斷、決策分析的外包流程(如投資研究、精算評(píng)估、風(fēng)險(xiǎn)定價(jià)模型等)保留充分的內(nèi)部控制與監(jiān)督能力,確保核心業(yè)務(wù)邏輯與合規(guī)標(biāo)準(zhǔn)不被稀釋或扭曲。
三、應(yīng)對(duì)之道:機(jī)構(gòu)需構(gòu)建主動(dòng)型外包風(fēng)險(xiǎn)管理體系
監(jiān)管的升級(jí)倒逼銀保機(jī)構(gòu)必須從被動(dòng)合規(guī)轉(zhuǎn)向主動(dòng)管理。金融機(jī)構(gòu)應(yīng)著力于:
- 完善治理架構(gòu):在董事會(huì)和高級(jí)管理層層面確立外包風(fēng)險(xiǎn)管理戰(zhàn)略,設(shè)立專(zhuān)門(mén)的跨部門(mén)管理團(tuán)隊(duì)。
- 實(shí)施精準(zhǔn)風(fēng)險(xiǎn)評(píng)估:在項(xiàng)目發(fā)起前即進(jìn)行徹底的風(fēng)險(xiǎn)評(píng)估,準(zhǔn)確劃分風(fēng)險(xiǎn)等級(jí),并制定針對(duì)性的管控措施。
- 加強(qiáng)盡職調(diào)查與合同約束:對(duì)服務(wù)商進(jìn)行全方位盡職調(diào)查,在合同中明確數(shù)據(jù)產(chǎn)權(quán)、安全標(biāo)準(zhǔn)、審計(jì)權(quán)利、違約責(zé)任和退出條款。
- 建立持續(xù)監(jiān)控與審計(jì)機(jī)制:利用技術(shù)手段對(duì)外包活動(dòng)進(jìn)行實(shí)時(shí)或定期監(jiān)控,并不定期進(jìn)行獨(dú)立審計(jì)和滲透測(cè)試。
- 培育核心能力與應(yīng)急計(jì)劃:即使外包,也需保持內(nèi)部關(guān)鍵團(tuán)隊(duì)的技術(shù)理解力和監(jiān)督能力,并制定詳盡的業(yè)務(wù)連續(xù)性計(jì)劃和應(yīng)急預(yù)案。
金融科技外包是行業(yè)發(fā)展的必然趨勢(shì),但安全是發(fā)展的基石。監(jiān)管對(duì)銀保機(jī)構(gòu)IT及知識(shí)流程外包定調(diào)“分級(jí)管理”,標(biāo)志著我國(guó)金融外包監(jiān)管進(jìn)入精細(xì)化、精準(zhǔn)化的新階段。這并非限制創(chuàng)新與發(fā)展,而是旨在引導(dǎo)金融機(jī)構(gòu)建立與業(yè)務(wù)復(fù)雜度、風(fēng)險(xiǎn)敞口相匹配的外包管理體系,實(shí)現(xiàn)效率、創(chuàng)新與安全之間的動(dòng)態(tài)平衡,最終護(hù)航金融業(yè)在數(shù)字化浪潮中行穩(wěn)致遠(yuǎn)。