風險管理 邁入新階段

2013年美國“棱鏡”事件后，國家信息安全提到戰略高度，作為傳統IT鐵三角核心腹地的金融業，去“IOE”風盛。強調銀行業要圍繞“自主可控”、“持續發展”、“科技創新”三大戰略切實加強信息科技建設，也成為2013年銀行業信息科技風險管理年會上的討論重點。

理論上，金融機構在服務器、網絡、數據庫、中間件、應用層這五個層面實現由IOE遷移到國產產品是可行的。但銀行體系使用IOE近30年，短時期內實現遷移既有應用風險，也有技術風險。

目前來看，服務器層去IOE最難，網絡層因華為具有一定市場占有率去IOE難度最小。而在數據層和中間件層，國產產品的應用效果還未得到驗證，也存在一定難度。而銀行業關注實時營業，確保安全穩定能力也是去IOE的一個難點。

銀行業信息科技“十二五”規劃中也強調了風險管理的重要性，因銀行服務電子渠道的多樣性對其信息安全防護也提出更高要求，要求銀行業必須全方位地在應用系統生命周期、數據生命周期、基礎設施環境運維等各個環節強化信息安全管理。

從農業銀行具體實踐來看，全面風險管理對其信息系統建設提出五大要求。一是系統需要從業務系統中抽取風險管理各類經營結果數據，并在此基礎上清洗、轉換、整合、匯總和加工；二是系統不僅需要支持各類風險管理模型實現自動計量，還需支持業務人員根據業務管理要求進行模型規則的配置和變更；三是系統功能要支持對計量結果進行報告、審核、發布和歸檔的風險管理日常流程；四是系統需要支持多維分析和靈活查詢；五是系統要根據風險決策結果，按照一定業務規則實現對生產系統的控制。

為實現這一目標，農行搭建了“統一門戶、統一入口、統一框架”的風險管理板塊系統框架，并配合新核心系統等生產系統改造，不斷完善與生產系統的接口。

“十二五”期間，在完善信息科技風險方面，中國銀行有四個著眼點。中國銀行信息科技部總經理劉秋萬表示：“一是健全風險管理機制，將信息科技風險納入全行風險管理框架，初步建立IT風險量化監測指標體系；二是著力提升合規遵從能力，積極參與銀監會信息科技評級工作和風險課題研究，并完成了網銀國密改造工作，積極開展海外IT合規差異分析、風險評估、問題整改、監管應對及國際標準認證等工作；三是完善技術防護體系，優化網絡保護機制，部署多層次網絡安全防護措施，完成TSM、DSM、網絡準入等數據防泄露項目全轄推廣，初步建立了全生命周期應用安全防控體系；四是優化災備演練機制，通過融合計劃性和突發性兩種形式，通過貼合真實場景的演練方式，驗證災難恢復預案、災難恢復流程的有效性、異地災備環境的可恢復性，從而提升災備人員的應急處置能力?！?/p>

對興業銀行而言，強調自主可控和國產化也是一個持續長期的過程?！皬倪@個角度來說，我們是股份制銀行中少數一兩家自己研發核心系統，并具備相應支撐能力的銀行?！秉S晟表示，“從1996年，我們就開始核心系統的自主研發，一直堅持到現在?！?