基于自主可控的外包管理與實踐

胡軍鋒

中國郵儲銀行（簡稱“郵儲銀行”）自2007年掛牌成立以來，信息化建設工作長期面臨任務重、時間緊、人員少的嚴峻形勢，為快速適應市場競爭和客戶需求，獲得更優質、成本更低、效率更高的專業化服務，引入外部研發資源成為獲得競爭優勢的重要策略之一。與同業相比，郵儲銀行的外部研發資源使用量相對較高，經過近幾年的不斷探索、落實和優化，郵儲銀行本著“戰略領先行，治理做保障，流程為根基”的建設思路，逐步建立了一套實用且適用于自身發展、基于自主可控的外部研發資源管控體系，為信息化建設提供了有力保障。近年來，在自身人員配置有限的情況下，郵儲銀行信息化進程快速推進。

嚴控科技外包風險

在外包戰略方面，郵儲銀行基于業務及科技發展戰略、自身風險控制能力，建立了“在合規及風險可控的前提下，適度外包，尋求并充分利用外部最佳資源，保障核心領域信息安全，提升郵儲銀行的科技創新研發能力和運維交付能力，實現成本與效益最優”的信息科技外包總體戰略目標，并提出“戰略符合、風險可控、統一管理、合規審慎、適度外包、成本效益”六大外包管理基本原則。

在外包治理方面，郵儲銀行依托自身信息科技風險防范組織體系，進一步明確董事會及高級管理層、信息科技外包審計部門、信息科技外包風險主管部門、信息科技外包執行部門四個層級、三道防線在外包管理方面的職責，建立了信息科技外包事前預防、事中控制、事后評價的外包風險管控模式，全面貫徹各項管理要求。

在外包流程制度方面，郵儲銀行圍繞信息化項目全生命周期，結合信息科技外包活動各階段、各環節風險控制和管理要求，形成具有中國郵儲銀行特色的覆蓋三大階段、十四大環節的項目全生命周期外包管控體系。

全生命周期外包管控

郵儲銀行項目全生命周期外包管控體系涵蓋工程前期階段、工程實施階段、工程實施后階段三個階段。

中國郵儲銀行工程前期階段主要分為業務方案編寫、技術方案編寫、工程立項、商務采購四個環節。其中，在工程立項環節建立了“面向風險的外包適宜度決策體系”和“軟件成本評估體系”，在商務采購環節建立了全面的“準入與盡職調查模型”。通過以上三個著力點，郵儲銀行在自主可控方面邁上一個新臺階。

第一，郵儲銀行外包適宜度分析模型以核心性和復雜性為主要評價因子，對工程項目進行有效識別，并有針對性制定策略：對于郵儲銀行需自身掌握核心能力的項目，采取謹慎外包的策略，結合不同項目的具體要求，采用循序漸進的方法，在一定時期內引入外部資源，加強風險控制，并建立核心能力回收計劃，最終達到完全自行建設；對于已具有核心能力，但因內部人員數量不足而無法完全自行建設的工程項目，通過制定人員補充計劃，逐漸補充相應行員的數量。通過以上措施，在項目外包前進行基于風險的決策。

第二，結合工程項目特點，郵儲銀行引入軟件行業標準和國際標準的功能點估算方法，建立了郵儲銀行功能點字典庫、基準功能點耗時率，以及符合郵儲銀行實際的軟件規模、工作量和費用度量模型，為信息化工程的立項決策提供基礎數據。

第三，通過引入適當競爭，合理管控各類高風險服務提供商的數量，防范行業壟斷和機構集中度風險，提高外包服務商的服務質量，降低風險及管理成本。對重要外包服務商開展盡職調查，重點從外包服務商行業經驗、自主可控符合度、技術水平、服務能力、服務人員能力、內部控制機制、持續經營能力、突發事件的應對能力等方面予以全方位的評估，從而選擇真正符合工程項目要求的優質外包服務商。

中國郵儲銀行工程實施階段主要分為工程啟動、需求分析、系統設計、軟件開發、系統測試、推廣上線等八個環節。在關鍵環節，始終堅持“以我為主，嚴控風險”的指導方針。同時，基于體系化的過程管控和精細化的技術規范標準，形成了一套點、線、面結合的三位一體的管控體系，通過這套體系，將管理滲入到外包項目的方方面面。

一是工程啟動環節，聚焦兩個“關注點”，加強對外包服務商的全面風險管控。

首先，建立高效協同的工程項目管理和質量管理隊伍。郵儲銀行信息科技外包工程項目采用4M模式（即“工程負責人+項目經理+業務經理+技術經理”的模式）和質量管控隊伍（體系級項目經理+項目質量經理+項目QA），實現信息系統全生命周期建設情況的監督檢查、量化分析和考核評估，將風險和質量問題消滅在各個生命周期階段中。

其次，制定外包工程項目安全標準，加強外包人員安全意識。從人員安全、物理安全、網絡安全、終端安全四個方面制定管控制度，著力落實管控措施，加強風險防范，防止因外包活動引起的信息泄露、信息篡改、非法入侵、物理環境或設施遭受破壞等風險。

二是需求分析環節和系統設計環節要重點監控，防范因外包而導致能力喪失風險。

在這兩個環節中，郵儲銀行基于行內的需求管控、架構管控體系，采取“以我為主”的操作方式，在外部研發資源配合下，以業務經理和技術經理為主導分別編寫需求規格說明書及系統設計，確保核心科技能力自主可控，工程應用定位、數據分布、實施路徑與規劃成果一致，避免豎井式系統建設和功能重復建設，保障系統架構滿足未來幾年的業務發展需要。

三是軟件開發環節，對外包工程項目提出并確立“標準化要求，常態化檢查”方針，制定郵儲銀行統一的代碼編制規范，并通過定期的代碼走查，提高代碼編制質量。

四是系統測試環節，對外包工程項目制定“統一負責，嚴把質量關”的策略。測試部門統一負責，重點完成功能測試、技術性能測試、技術功能測試和驗收測試，對每個上線系統做好充分測試，嚴把上線質量關，并對外包服務商提出首輪業務通過率不得低于60%，投產前通過率必須100%的指標要求。

五是在試點上線與推廣上線環節，采取“運維前移，責任到人”方針，規范信息科技外包服務交付標準及知識轉移流程，確保自有資源掌握關鍵要素能力，避免過度依賴外包服務。

郵儲銀行工程實施后階段主要分為工程初驗、竣工驗收、項目后評價三個環節。該階段強調對項目“回頭看”，關注外包服務商、項目及人員的過程表現，全面總結經驗，為后續項目管理提供借鑒。

首先，在外包服務商評價方面，郵儲銀行以“差異管控、全面評價、扶優汰劣”為目標，從提升價值和降低風險的導向出發，制定了一套基于外包服務商、項目、人員的三層評價體系，以“量化為主”，輔以少量定性指標，從范圍、時間、人員、質量、成本五大方面進行評價，并將評價結果作為外包服務商年度各獎項評選的主要依據，以及外包服務商再次準入的重要參考依據。另外，基于外包服務商評價，根據外包服務商采購內容重要性和采購金額占比，對外包服務商進行分級分類管理，將外包服務商劃分為戰略型、合作型、關注型和淘汰型四類，采取不同的外包服務商管理策略。

其次，建立了涵蓋“項目達成情況、項目過程執行情況、項目總結執行情況”三大維度的后評價體系，通過項目后評價，確定項目預期的目標是否達到，項目或規劃是否合理有效，基于對評價結果的分析，總結成敗原因，積累經驗教訓，為未來新項目的決策提供依據。

通過構建基于自主可控的外部研發資源管控體系，中國郵儲銀行逐步打造了一支能打硬仗的信息化隊伍。在快速響應客戶和市場需求的同時，有力保障了郵儲銀行信息科技的穩健發展。未來，郵儲銀行將繼續激發各類創新主體積極性，提升郵儲銀行信息化建設水平，以自身的持續進步帶動銀行業信息化不斷向前發展。