銀行運維類IT外包商準入與退出管理實施細則模版

信息科技外包商準入管理實施細則總則為規(guī)范和加強**銀行(以下簡稱本行)IT外包商管理，推進外包商提供延續(xù)、穩(wěn)定、優(yōu)質(zhì)的服務(wù),有效監(jiān)控IＴ外包風(fēng)險，依據(jù)有關(guān)中國銀監(jiān)會《銀行業(yè)銀行等金融機構(gòu)信息科技外包風(fēng)險監(jiān)管指引》(銀監(jiān)發(fā)【*】５號)的要求,特制訂本細則。本細則所稱ＩT外包商管理是指對ＩT外包商（以下簡稱外包商）的準入、盡職調(diào)查、退出等方面的管理工作。任何參加本行信息科技建設(shè)或擬參加本行信息科技建設(shè)的外包商，都應(yīng)依據(jù)有關(guān)本細則內(nèi)容進行管理。IT外包商管理的職責與分工信息技術(shù)部設(shè)備室為本行IT外包商主管部門,主要負責以下外包商管理工作:建立并定時完善外包商準入與退出管理體系,包括管理制度、管理流程、標準等;組織并實施外包商的準入資格／資質(zhì)審核;組織并實施外包商的盡職調(diào)查;組織并實施外包商的退出管理。使用ＩＴ外包資源進行科技項目建設(shè)并負責對項目進行管理的部門，包括信息科技部內(nèi)處室及業(yè)務(wù)部門,為ＩT外包項目實施部門（以下簡稱項目實施部門),主要負責和參加以下外包商管理工作：溝通協(xié)調(diào)有關(guān)外包商參加準入評估工作;對外包商協(xié)議的執(zhí)行情形進行監(jiān)督;對外包商實施退出管理對外包商的風(fēng)險事件及違規(guī)事件進行報告及跟蹤處理;負責監(jiān)督外包商執(zhí)行整改計劃。項目實施部門在外包商管理的詳細工作由項目經(jīng)理執(zhí)行。外包商準入管理準入管理概述外包商在參加本行信息科技建設(shè)前必須經(jīng)過本行的準入評估，經(jīng)審核滿足相應(yīng)外包服務(wù)領(lǐng)域的準入指標后才能取得該外包服務(wù)領(lǐng)域的準入資格/資質(zhì)。外包商級準入評估是指依據(jù)有關(guān)有關(guān)指標,確定外包商在各個服務(wù)領(lǐng)域的準入資格/資質(zhì)。外包商級準入評估涉及的服務(wù)領(lǐng)域包括軟件開發(fā)、硬件開發(fā)、運維、咨詢、測試以及人力外包。針對每個外包服務(wù)領(lǐng)域，外包商級準入資格/資質(zhì)分為A級準入資格/資質(zhì)和B級準入資格／資質(zhì)兩種，其中:取得Ａ級準入資格／資質(zhì)的外包商，在相應(yīng)外包服務(wù)領(lǐng)域承接項目總款項無限制;取得B級準入資格/資質(zhì)的外包商,在準入期內(nèi),在相應(yīng)服務(wù)領(lǐng)域承接項目總款項不得超過該領(lǐng)域年度預(yù)算的10%。外包商級準入評估外包商級準入評估工作采取如下三種開展方式,準入期不超過一自然年:年度準入：在每年年初，結(jié)合本年度系統(tǒng)建設(shè)情形以及上一年度的合作情形，對去年通過取得外包商級準入資格/資質(zhì)的外包商，進行集中重檢；批量準入：在日常準入管理工作中，針對新增外包商、提升準入級別、增加服務(wù)領(lǐng)域的準入申請，進行批量準入評估；單一準入：該方式為非常規(guī)流程，主要應(yīng)對突發(fā)、緊急的外包商準入需求。信息技術(shù)部設(shè)備室負責制訂并定時更新外包商準入“白名單”,“白名單”成員可以直接取得所屬服務(wù)領(lǐng)域的Ａ級準入資格/資質(zhì),入選“白名單”的企業(yè)主要為:涉及國家重要產(chǎn)業(yè)、規(guī)模較大的大型國有企業(yè)。外包商級準入評估工作包括標準評估及補充評估兩個環(huán)節(jié)。外包商級準入標準評估審核內(nèi)容主要包括外包商的基礎(chǔ)信息、財務(wù)信息、內(nèi)部監(jiān)控與管理能力信息、技術(shù)能力信息、與本行的歷史合作信息等,詳盡信息內(nèi)容及準入指標請參見《IT外包商準入標準評估內(nèi)容及準入指標》（附件一)。外包商滿足所有B級標準準入指標時可取得Ｂ級準入資格/資質(zhì),滿足所有Ａ級標準準入指標時可取得Ａ級準入資格／資質(zhì)。需重點管控的外包商（如重要、行業(yè)重點、應(yīng)急備選、知識獨有型等關(guān)系類型的外包商）原則上需取得A級準入資格/資質(zhì)。針對未滿足標準評估準入指標的外包商,信息技術(shù)部設(shè)備室可依據(jù)有關(guān)未滿足指標情形和實際項目需求情形（如外包商處于*場壟斷地位、外包商負責本行信息系統(tǒng)的迭代開發(fā)、需從外包商處獲取特殊價值等)決定是否對外包商進行外包商級準入補充評估，詳細判定標準請參見《IT外包商準入標準評估內(nèi)容及準入指標》(附件一)在外包商級準入補充評估階段，外包項目實施部門應(yīng)協(xié)助信息技術(shù)部設(shè)備室,針對外包商不滿足的標準準入指標，收集有關(guān)補充材料，共同討論分析外包商不滿足指標所造成或產(chǎn)生的風(fēng)險是否能監(jiān)控在可接受的范圍內(nèi)，并建立相應(yīng)的補充監(jiān)控措施，包括（但不限于）:合作領(lǐng)域限制、增強企業(yè)監(jiān)控頻率、付款模式限制、簽訂應(yīng)急附加協(xié)議等。通過外包商級準入補充評估的外包商可取得相應(yīng)服務(wù)領(lǐng)域相應(yīng)等級的有條件準入資格/資質(zhì)，但外包商需在將來承接項目過程中履行相應(yīng)的補充監(jiān)控措施。外包商級準入評估詳細流程如下：信息技術(shù)部設(shè)備室發(fā)起外包商級準入評估工作,包括年度準入、批量準入及單一準入,將外包商與“白名單”進行核對，屬于“白名單”的外包商直接準入通過并獲得所屬服務(wù)領(lǐng)域的A級準入資格/資質(zhì);針對非“白名單”外包商,信息技術(shù)部設(shè)備室從外包商信息庫提取外包商信息；或通知外包商填寫并及時提交《ＩT外包商信息登記表》（見附件二)、《IT外包商基本情形匯總報告》（見附件三）及其附件文檔；信息技術(shù)部設(shè)備室檢查標準評估所需信息,依據(jù)有關(guān)外包商級標準準入指標審核該外包商是否可取得相應(yīng)服務(wù)領(lǐng)域相應(yīng)等級的準入資格/資質(zhì),并在《IT外包商準入檢查單》（見附件四)中登記外包商級標準評估結(jié)果；針對需要進行外包商級補充評估的外包商,信息技術(shù)部設(shè)備室從外包商信息庫提取或通知外包項目實施部門及外包商提供補充材料;信息技術(shù)部設(shè)備室聯(lián)同外包項目實施部門開展外包商級準入補充評估，共同審核補充材料,審核外包商是否可以取得相應(yīng)服務(wù)領(lǐng)域的準入資格/資質(zhì)，并在《IT外包商準入檢查單》中記錄補充評估結(jié)果;信息技術(shù)部設(shè)備室將補充評估結(jié)果報送信息科技部管理層審批；信息技術(shù)部設(shè)備室結(jié)合外包商級準入標準評估結(jié)果及外包商級補充評估結(jié)果發(fā)布外包商級準入名單。詳盡流程請參見《IT外包商準入評估流程圖》（附件五)。外包商級準入評估結(jié)果共分為如下五種情形：A級準入通過:取得A級準入資格／資質(zhì)，可參加項目級準入評估;B級準入通過:取得Ｂ級準入資格/資質(zhì),可參加項目級準入評估;A級有條件準入通過:取得Ａ級準入資格/資質(zhì)，但因未滿足A級標準準入指標，所有目組應(yīng)在項目級準入及確定合作外包商時謹慎選擇該類外包商，并在將來合作中依照外包商級補充評估中所制訂的補充監(jiān)控措施進行管理;B級有條件準入通過：取得B級準入資格/資質(zhì)，但因未滿足B級標準準入指標,所有目組應(yīng)在項目級準入及確定合作外包商時謹慎選擇該類外包商，并在將來合作中依照外包商級補充評估中所制訂的補充監(jiān)控措施進行管理；準入未通過：該類型外包商不得參加項目級準入評估。供應(yīng)商準入評選結(jié)果記入《IT外包商清單》(附件八)。外包商盡職調(diào)查對重要的外包商,在與其簽訂協(xié)議前應(yīng)當深入開展盡職調(diào)查。在盡職調(diào)查時應(yīng)當關(guān)注外包商如下幾方面的內(nèi)容：技術(shù)和行業(yè)經(jīng)驗,包括(但不限于）:服務(wù)能力和支持技術(shù)、服務(wù)經(jīng)驗、服務(wù)人員技能、*場評估、監(jiān)管評估等。內(nèi)部監(jiān)控和管理能力,包括（但不限于)：內(nèi)部監(jiān)控機制和管理流程的完善程度、內(nèi)部監(jiān)控技術(shù)和工具等。延續(xù)經(jīng)營狀況，包括（但不限于）：從業(yè)時間、*場地位及發(fā)展趨勢、資金的安全性、近期盈利情形等。盡職調(diào)查履行后，應(yīng)形成《重要外包商盡職調(diào)查報告》,報告模板請參見附件六.外包商退出管理外包商退出是指本行依據(jù)有關(guān)退出條件，主動終止與供應(yīng)商的ＩT外包合作關(guān)系,將其列入黑名單，不再與其開展新的IT外包合作。對于現(xiàn)有IＴ外包項目,應(yīng)啟動項目應(yīng)急預(yù)案,并尋求盡速替代。存在以下情形之一的外包商，應(yīng)主動退出與其IＴ外包合作：嚴重違反國家法律、法規(guī)的；嚴重違約、擅自變更或者終止已生效協(xié)議的；泄露本行商業(yè)秘密、技術(shù)秘密等非公開信息的；侵犯本行知識所有權(quán)的；故意提供虛假資質(zhì)材料、隱瞞真實情形的；信譽和財務(wù)發(fā)生嚴重危機的;提供的產(chǎn)品質(zhì)量和服務(wù)出現(xiàn)重大問題，并造成不良后果的;中標后無正當理由拒絕簽訂協(xié)議的；供應(yīng)商經(jīng)營條件發(fā)生變化,無法繼續(xù)提供符合標準的服務(wù)；對服務(wù)質(zhì)量進行檢查,連續(xù)3次未能達到服務(wù)標準;其他可能嚴重影響本行聲譽以及給本行帶來風(fēng)險或損失的情形；外包商績效考核評估連續(xù)兩年為“差”。外包商退出的詳細流程如下：信息技術(shù)部設(shè)備室與有關(guān)處室和項目組確認情形，并核實有關(guān)外包商達到退出條件，向有關(guān)處室和項目組提出外包商退出建議。項目組自接到外包商退出建議起,應(yīng)積極尋求外包商替代方案，并定時向信息技術(shù)部設(shè)備室通報外包商替代進度。項目主管部門依據(jù)有關(guān)所發(fā)生情形的嚴重程度、影響程度以及補救措施的貫徹情形，經(jīng)業(yè)務(wù)部門和信息科技部審批后,確定是否要求該外包商退出,并反饋至信息技術(shù)部設(shè)備室進行外包商信息更新，外包商不再具備參加本行新建IT外包項目的資格/資質(zhì)。信息技術(shù)部設(shè)備室將外包商退出的信息通知信息科技部商務(wù)管理崗,停止向該外包商的付款事項。項目組重新選擇確定新外包商或采取自建措施,并與現(xiàn)有外包商履行知識轉(zhuǎn)移和人職工或員工作交接。在貫徹外包商替代措施后,信息技術(shù)部設(shè)備室向有關(guān)外包商發(fā)出《IT外包商退出通知書》(請參見附件七），同時，信息技術(shù)部設(shè)備室將外包商退出結(jié)果告知有關(guān)處室和項目組，啟動將來有關(guān)的商務(wù)流程。依據(jù)有關(guān)供