为有效提高我国电子银行的监管水平，更好履行《银行业监督管理法》规定的监管职责，中国银行业监督管理委员会针对我国电子银行业务发展和监管的客观需要和风险特性，借鉴国际先进监管经验，制定了《电子银行业务管理办法（征求意见稿）》和《电子银行安全评估指引（征求意见稿）》。现上网向社会各界公开征求意见，请有意见或建议的单位和个人于2005年6月19日前以信函、电子邮件或传真的方式反馈中国银行业监督管理委员会政策法规部。

联 系 人：尹龙

通讯地址：北京市工人体育场西路1号中国银监会政策法规部

邮政编码：100027

E-MAIL ：yinlong@cbrc.gov.cn

传 真：010-65517644



中国银行业监督管理委员会

2005年5月19日


附件: 电子银行业务管理暂行办法（征求意见稿）.doc
附件: 电子银行安全评估指引（征求意见稿）.doc
电子银行业务管理办法
（征求意见稿）

第一章 总则

第一条 为加强电子银行业务的风险管理，保障客户及银行的合法权益，促进电子银行业务健康有序发展，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》和《中华人民共和国外资金融机构管理条例》等有关法律法规，制定本办法。
第二条 本办法所称电子银行业务，是指金融机构利用面向社会公众开放的通讯渠道和公众网络，以及银行为特定自助服务设施或客户建立的专用网络提供的银行业务。
电子银行业务包括利用计算机和互联网开展的银行业务（以下简称“网上银行业务”）利用电话等声讯设备和电信网络开展的银行业务（以下简称“电话银行业务”），利用移动电话和互联网开展的银行业务（以下简称“手机银行业务”），以及利用其他外部电子服务设备提供的由客户自助服务的银行业务。
第三条 在中华人民共和国境内设立的银行业金融机构，以及依据《中华人民共和国外资金融机构管理条例》设立的外资金融机构，应当按照本办法的规定开展电子银行业务。
在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司以及经中国银行业监督管理委员会（以下简称中国银监会）批准设立的其他金融机构，开展有关电子金融服务业务，适用本办法对金融机构开展电子银行业务的有关规定。
第四条 经审查批准，银行业金融机构、外资金融机构可以在中华人民共和国境内开办电子银行业务，向中华人民共和国境内企业、居民等客户提供电子银行服务。
第五条 开展电子银行业务的金融机构，应当按照合理规划、统一管理、保障系统安全运行的原则，加强对电子银行业务风险的管理，保证电子银行业务的健康、有序发展。
第六条 开办电子银行业务的金融机构应根据电子银行业务的特性，建立健全电子银行业务的风险管理体系和内部控制体系，设立相应的管理机构，明确电子银行业务管理的责任，有效地识别、监测和控制电子银行业务风险。
第七条 中国银监会统一负责对境内及跨境电子银行业务实施监管。

第二章 申请与变更

第八条 金融机构在中华人民共和国境内开办电子银行业务，应当依照有关法律法规的规定，报经中国银监会审查批准。
未经中国银监会批准，任何单位或者个人不得在境内开办电子银行业务或者利用公众电子网络从事银行业金融机构的业务活动。
第九条 金融机构开办电子银行业务，应当具备下列条件：
（一）内部控制机制健全，具有有效的识别、计量、监测和控制传统银行业务风险和电子银行业务风险的管理制度；
（二）制定了电子银行业务的发展战略和发展规划，以及电子银行业务发展的安全策略；
（三）根据有关规划建立了电子银行业务运营的基础设施和系统，并对有关设施和系统进行了必要的安全检测和业务连续性测试；
（四）对电子银行业务运营的设施和系统进行了经中国银监会认可的安全评估机构的安全评估；
（五）建立了明确的电子银行业务管理部门，配备了合格的管理人员和技术人员；
（六）中国银监会要求的其他条件。
第十条 开办以互联网为媒介的网上银行业务、手机银行业务等电子银行业务，除应具备第九条所列条件外，还应具备以下条件：
（一）具备适当的计算机设备、容量和能力，保证电子银行不间断运行；
（二）建立了有效的计算机外部攻击侦测机制；
（三）中资银行业金融机构的电子银行业务运营系统和业务处理服务器应设置在中华人民共和国境内；
（四）外资金融机构的电子银行业务运营系统和业务处理服务器可以设置在中华人民共和国境外，但在中华人民共和国境内应设置可以记录和保存有关境内业务数据的设备，能够满足金融监管部门非现场监管和现场检查的要求，在出现法律纠纷时，能够满足中国司法机构调查取证的要求。
第十一条 外资金融机构开办电子银行业务，除应具备第九条、第十条所列条件外，还应当按照法律、行政法规的要求在中华人民共和国境内设有营业性分支机构，其所在国（地区）监管当局具备对电子银行业务进行监管的法律框架和监管能力。
第十二条 银行业金融机构开办电子银行业务，应由其总行统一向中国银监会申请。
外资金融机构开办电子银行业务，应由其指定的在中华人民共和国境内的分支机构向中国银监会申请。
第十三条 电子银行业务实行分类审批或备案制度。
利用互联网等开放性网络或无线网络开展的电子银行业务，包括网上银行、手机银行、个人数据辅助设备银行等，适用于审批制；利用境内或地区性电信网络、有线网络等开展的电子银行业务，适用于备案制。
金融机构在申请开办电子银行业务时，可以在一个申请报告中同时申请不同类型的电子银行业务，但在申请中应注明所申请的电子银行种类。
第十四条 向中国银监会申请开办电子银行业务，应提交以下文件、资料（一式三份）：
（一）开办电子银行业务的申请报告；
（二）电子银行业务发展规划；
（三）电子银行业务运营设施与技术系统介绍；
（三）电子银行业务系统测试报告；
（四）安全评估报告；
（五）电子银行业务运行应急计划和业务连续性计划；
（六）电子银行业务风险管理体系及相应的规章制度；
（七）电子银行的管理部门、管理职责，以及主要负责人介绍；
（八）申请单位联系人、联系电话、传真电话、电子邮件信箱；
（九）中国银监会要求提供的其他文件和资料。
第十五条 对于开办电子银行业务的申请，中国银监会可以批准或同意备案全部或部分电子银行类型。
中国银监会在收到正式申请文件三个月内，作出批准或者不批准的书面决定，或者发出备案通知书；决定不批准或不予备案的，应当说明理由。
第十六条 银行业金融机构经批准获得开办电子银行业务的资格后，可以授权其分支机构同时开办部分或全部已获批准的电子银行业务。银行业金融机构的分支机构应及时就其开办的电子银行业务情况，向当地银监会分支机构报告。
未实现数据集中处理和管理的金融机构，其分支机构开办电子银行业务或变更需要审批、备案的电子银行业务品种，应持其总行的相应授权文件，向所在地中国银监会的分支机构备案。
第十七条 金融机构获准开办电子银行业务的，可以利用电子银行平台，进行传统银行产品和服务的宣传、销售，也可以根据电子银行业务的特点开发新的业务品种。
第十八条 金融机构增加或者变更以下电子银行业务品种，应当经中国银监会审查批准：
（一）中国银监会批准的业务范围以外的业务品种；
（二）经批准的业务范围以内，但与证券业、保险业直接相关且与相关机构有直接数据交换的的业务品种；
（三）中国银监会规定的其他业务品种。
第十九条 金融机构增加或者变更以下电子银行业务品种，应当向中国银监会备案：
（一）第三方需要读取银行业金融机构数据库才能开展的；
（二）针对互联网或其他公开网络系统重新开发设计的，与已批准的业务范围内传统业务品种有显著差异的；
（三）中国银监会规定的其他业务品种。
第二十条 利用电子银行平台开办中国银监会已经批准的业务范围内的其他业务品种，不需审查批准或备案。
增加或变更不需审批或备案的电子银行业务品种，应在开办该品种后一个月之内报告中国银监会。
第二十一条 金融机构增加或变更需要审查批准的电子银行业务品种，应向中国银监会报送以下文件和资料（一式三份）：
（一）增加或变更业务品种的申请；
（二）拟增加或变更业务品种的定义和操作流程；
（三）拟增加或变更业务品种的风险特征和防范措施；
（三）有关管理规章制度；
（四）申请单位联系人、联系电话、传真电话、电子邮件信箱；
（五）中国银监会要求提供的其他文件和资料。
第二十二条 对于增加或变更需要审批的电子银行业务品种的申请，中国银监会在收到正式申请文件三个月内，作出批准或者不批准的书面决定；决定不批准或不予备案的，应当说明理由。
增加或变更应当备案的电子银行业务品种，中国银监会应在收到正式备案文件三个月内，发出备案通知书。
第二十三条 已开办电子银行业务的金融机构决定终止电子银行服务，应提前三个月就终止电子银行服务的原因及相关问题的处置方案等报中国银监会备案，并同时予以公告。
金融机构决定终止部分电子银行业务品种时，应于终止该业务品种前一个月向中国银监会备案，并针对可能出现的问题制定有效的处置措施。
终止电子银行服务，或者终止经审批或备案的电子银行业务品种后，金融机构又计划重新开办电子银行或者相关业务时，应重新申请。
第二十四条 金融机构因电子银行系统升级、测试等原因，需要按计划暂时停止电子银行服务的，应选择恰当的时间，尽可能减少对客户的影响，并提前一周予以公告，并同时将有关情况报告中国银监会。
受突发事件或偶然因素影响非计划暂停电子银行服务，在正常工作时间内超过1个小时或者在正常工作时间外超过2个小时的，金融机构应在暂停服务后24小时之内，将事故原因、影响、补救措施及处理情况等，向中国银监会报告。

第三章 风险管理

第二十五条 金融机构应当将电子银行业务的风险管理纳入本机构风险管理的总体框架，并根据电子银行业务运行的特点，加强对电子银行业务面临的战略风险、信誉风险、运营风险、法律风险、信用风险、市场风险等风险的管理。
第二十六条 金融机构应当明确电子银行在本机构发展和管理中的地位，建立健全电子银行业务的风险管理体系和电子银行安全、稳健运营的内部控制体系，形成清晰的电子银行管理框架，制定并保证相关制度规则和程序得到有效执行。
金融机构针对传统业务风险已经制定的稳健性风险管理原则，同样适用于电子银行业务，但金融机构应根据电子银行业务环境和运行方式的变化，对原有风险管理制度、规则和程序进行必要的和适当的修正。
第二十七条 金融机构的董事会和高级管理层应根据本机构的总体发展战略和实际经营情况，制订电子银行的发展战略和可行的经营投资战略，对电子银行的经营进行持续性的综合效益分析，科学评估电子银行业务对总体风险的综合影响。
第二十八条 在制定电子银行发展战略时，应当加强电子银行业务的知识产权保护工作。
第二十九条 金融机构的董事会和高级管理层应当针对电子银行不同系统、风险设施、信息和其他资源的重要性及其对电子银行安全的影响进行评估分类，制定适当的安全策略，建立健全风险控制程序和安全操作守则，采取相应的安全管理措施。
对各类安全控制措施应定期检查、审核，根据实际情况适时调整。建立安全隐患和事故的报告、审查和处置程序，保证安全措施的持续有效和及时更新。
第三十条 金融机构应当保障电子银行运营设施设备，以及安全控制设施设备的安全，对电子银行的重要设施设备和数据，采取适当的保护措施。
（一）有形场所的物理安全控制，必须符合国家有关法律法规和安全标准的要求。对尚没有统一安全标准的有形场所安全控制，金融机构应确保其制定的安全制度有效地覆盖了可能面临的风险；
（二）应合理设置和使用防火墙等安全产品和技术，确保网上银行有足够的反攻击能力和防病毒能力，保证网络安全；
（三）对重要设施设备的接触、检查、维修和应急处理，应有明确的权限界定、责任划分和操作流程；
（四）对重要技术参数，应严格控制接触权限，并建立相应技术参数的调整与变更机制，以便于在更换了关键人员后，防止有关技术参数的泄漏。
第三十一条 金融机构应采用适当的加密技术和措施，保证电子交易数据传输的保密性、真实性，以及交易数据的完整性和交易的不可否认性。
金融机构采取的数据加密技术应符合国家有关规定，并根据电子银行的业务安全性需求和信息技术的发展，定期检查和评估所采用加密技术和算法的强度，对加密方式进行适时调整。
第三十二条 金融机构开展需要对相关客户信息和交易信息等进行认证的电子银行业务，采用电子签名时，应使用符合国家法律、法规的安全可靠、具有公信力和相应法律效力的第三方认证系统，并定期评估第三方认证机构的可信性和安全性。
第三十三条 金融机构应建立合理措施，确保电子银行系统、数据库及应用程序的充分职责分离，具有合理授权管理机制，从技术设计、制度安排等方面，有效隔离应用系统、验证系统、处理系统和数据库等各系统间的风险传递。
第三十四条 金融机构应及时检查其电子银行可供客户使用的容量，采取必要的措施保证接入线路的通畅，并采用适当的备份和负载均衡技术，保证客户对电子银行服务的可用性。
第三十五条 金融机构应制定有效的应急计划和事故处理预案，并定期对这些计划和预案进行检测，定期或不定期评估测试银行网络系统、业务操作系统的动作情况，以管理、控制和减少意外事件引发的问题，保证系统的正常连续性运营。
第三十六条 金融机构的服务连续性计划应充分考虑在应急情况下对第三方服务供应商，以及其他机构的反应能力，并采取适当的措施。
第三十七条 金融机构应采取适当的措施和采用适当的技术，鉴定与识别启动网上银行服务的客户真实身份，并对其权限实施有效管理。
金融机构应在物理控制和软件控制两个方面，建立对非法进入或越权进入的甄别、处理和报告机制；
第三十八条 金融机构应建立适宜的入侵检测系统，对电子银行运行实施实时监控，并定期进行漏洞扫描。
第三十九条 金融机构应建立电子银行系统内部审计机制，定期对电子银行业务进行审计，确保对全部的电子银行交易具有明确的审计监督。
第四十条 金融机构应定期检测所有关键设备和系统软件的工作状态，审查其工作日志。
第四十一条 金融机构应保证所有的电子银行交易都有清晰的跟踪记录，并且采用了适当的技术和措施保存这些数据，符合有关法律法规的时限要求。
第四十二条 金融机构应当与客户签订电子银行服务合约，明确双方的权利、义务。
金融机构应当充分揭示电子银行交易过程中客户可能面临的风险，说明已采取的风险控制措施和各方应承担的责任。
第四十三条 金融机构应当在其网站上对所提供的电子银行服务进行必要的说明，明确启动电子银行服务的合法渠道与途径，以及意外事故报告方式、联系办法等。
未实现数据集中管理，或者银行业金融机构与其分支机构以及分支机构之间域名不一致的，应当由总行（公司）为客户提供统一的接入站点，设置规范的不同域名分支机构链接。
银行业金融机构应当尽可能地避免使用多个不同的域名。
第四十四条 金融机构应当采取适当措施，保证开展电子银行业务时遵守了相关法律法规对客户信息和隐私保护的要求。
第四十五条 金融机构应针对电子银行的实际发展情况，制订多层次的培训计划，进行持续培训，提高相关人员的安全管理意识和专业知识与技能。

第四章 数据交换转移管理

第四十六条 金融机构可以根据业务发展的需要，与其他依法开展电子银行业务的金融机构建立电子银行系统数据交换机制，实现电子银行业务平台的直接连接，进行实时跨行资金转移。
第四十七条 建立电子银行数据交换机制的金融机构，或者电子银行平台实现相互连接的金融机构，应当建立联合风险管理委员会，负责协调跨行间的业务风险管理。
联合风险管理委员会由所有参加数据交换或电子银行平台连接的金融机构组成。联合风险管理委员会应当建立明确的规章制度和工作规程。
第四十八条 银行业金融机构根据业务发展或管理的需要，可以通过电子银行系统与非银行业金融机构直接交换有关数据，但必须严格遵守有关法律法规和行政规章的要求，签订范围明确、职责清晰的书面协议，保证数据安全。
第四十九条 银行业金融机构根据业务发展需要，可以利用电子银行平台为企事业单位和个人提供资金管理和支付服务，为电子商务经营者提供网上支付平台等。
为电子商务经营者提供网上支付平台时，银行业金融机构必须对有关对象进行严格审查，签订书面协议，建立监督机制，严加防范不法人员利用电子银行平台从事违法资金转移或其他非法活动。
第五十条 外国银行分行因管理需要确需向境外总行转移有关电子银行数据的，必须严格遵守有关法律法规的规定，不得将有关数据用于与本行业务无关的活动中。
第五十一条 金融机构从其他金融机构获得的电子银行客户信息和业务数据，应依法使用和保存，不得非法或擅自将其他金融机构电子银行的有关数据向第三方转移。

第五章 业务外包管理

第五十二条 金融机构可以根据需要，将电子银行部分系统和服务的开发与技术支持等，外包给第三方机构。
金融机构在进行有关业务外包时，应当根据实际需要，合理确定外包的原则和范围，认真分析和评估技术或服务外包潜在的风险，建立健全有关规章制度，制定相应的风险防范措施。
第五十三条 金融机构在选择外包服务供应商时，应充分审查、评估外包服务供应商的经营状况、财务状况和实际的风险控制与责任承担能力，进行适当的风险分析和必要的尽职调查。
第五十四条 金融机构应当与外包服务供应商签订书面合同，明确双方的权利、义务。
在合同中，必须载明外包服务供应商保密条款和保密责任。
第五十五条 金融机构应充分认识和评价第三方机构对电子银行业务风险控制的影响，并将其纳入总体安全策略之中。
第五十六条 金融机构应确立一套完整的检测程序，审慎管理电子银行系统及应用程序的外包安排或合作安排产生的风险。
外包及合作业务都应符合金融机构的风险管理标准，并建立针对电子银行外包业务风险的应急计划。
第五十七条 金融机构应在健全内部跟踪、监督机制的基础上，建立与第三方之间的有效沟通机制，并制定适宜的变更第三方机构过渡方案。
第五十八条 金融机构对设计开发电子银行业务处理系统、授权管理系统、数据备份系统，以及其他涉及机密数据管理和传递系统等进行外包时，应在业务外包实施前向中国银监会备案。
客户个人信息、交易记录和其他涉及客户隐私问题的信息数据，不得外包给第三方机构管理。

第六章 跨境业务活动管理

第五十九条 开办电子银行业务的金融机构，可以根据业务需要向境外居民提供跨境电子银行服务。
第六十条 向境外居民提供跨境电子银行服务的金融机构，应当遵守境外居民所在国的法律规定，并应以下文件、资料报中国银监会备案。
（一）提供跨境电子银行服务的国别，以及该国对电子银行业务管理的主要法律要求；
（二）跨境电子银行服务的主要对象及服务内容；
（三）未来三年内跨境电子银行业务的发展规模、客户规模的分析预测；
（四）电子银行业务法律与合规性分析。
（五）中国银监会要求提供的其他文件资料。
第六十一条 金融机构将部分业务或客户数据转移至境外的，必须严格遵守国家有关法律法规的规定。
金融机构根据有关合作协议，或者外资金融机构的境内分支机构出于业务需要，需要将部分业务数据转移至国外的合作伙伴、总（集团）公司或特定的外包服务供应商，且符合国家有关法律法规规定的，必须就客户信息的安全性与保密性作出安排。
第六十二条 金融机构利用电子银行系统开展离岸金融业务，应报中国银监会备案。

第七章 电子银行业务的监督检查

第六十三条 中国银监会依照有关法律法规的规定，对电子银行业务实施非现场监管、现场检查和安全监测，对电子银行安全评估实施管理，并对电子银行发展或管理的行业自律组织进行指导和监督。
第六十四条 开展电子银行业务的金融机构应当建立电子银行业务统计体系，定期向中国银监会报告有关数据、资料。
实现数据集中管理的国有商业银行、股份制商业银行等金融机构，应由总行统一向中国银监会报告；未实现数据集中管理的国有银行、股份制商业银行等机构，由总行向中国银监会报告有关数据资料的同时，其分行应向所在地的中国银监会分支机构报告；城市商业银行、农村商业银行、农村合作银行、信用社、外资金融机构等，向中国银监会当地分支机构报告。
第六十五条 开展电子银行业务的金融机构应当每年对电子银行业务的发展与管理情况进行分析总结，撰写电子银行发展报告，与下一年度的一月底之前报中国银监会。
金融机构的电子银行发展报告应当至少包括以下方面：
（一）电子银行业务交易量、交易笔数、客户数等业务发展规模及增长情况；
（二）电子银行主要业务和业务发展与增长情况；
（三）电子银行业务的投入与收益情况，以及相关服务价格；
（四）电子银行的风险管理体系及制度变化情况；
（五）电子银行面临的主要风险和发展中面临的主要问题；
（六）下一年度电子银行业务发展的预测；
（七）其他发展与管理情况。
第六十六条 开展电子银行业务的金融机构应当按照中国银监会的要求，对电子银行进行定期的安全自我评估，并将有关评估情况向中国银监会报告。
第六十七条 开展电子银行业务的金融机构应当建立电子银行业务重大事项报告制度，对于重大案件和重大风险事件，以及可能会引发其他金融机构电子银行系统风险的事件，应及时向中国银监会报告。
第六十八条 中国银监会根据监管的需要，可以独立或者聘请外部机构对电子银行业务系统进行安全漏洞扫描、攻击测试等，开展电子银行业务的金融机构应当积极配合，并严格保密有关结果，不得将有关结论用于宣传活动中。
第六十九条 中国银监会依照有关法律法规和行政规章的规定，对电子银行业务进行现场检查。
第七十条 开展电子银行业务的金融机构应对中国银监会在监督检查中发现的问题及时整改，并将整改情况上报中国银监会。

第八章 法律责任

第七十一条 金融机构在提供电子银行服务时，因电子银行系统存在的安全隐患、违规操作和其他非客户原因造成的资金损失，由金融机构承担相应责任；因客户泄漏交易密码，或者未按照服务协议尽到应尽的安全防范和保密义务所造成的资金损失，由客户承担相应责任；因电子认证服务提供者提供的电子签名认证出现漏洞或失误等原因造成的损失，电子认证服务提供者不能证明自己无过错的，承担赔偿责任。
第七十二条 未经批准开办电子银行业务，或者未经批准或备案变更电子银行业务品种，除依据相应的法律法规明确应由客户承担责任的情况外，由金融机构承担相应责任。
第七十三条 金融机构已经按照有关法律法规和行政规章的要求，尽到了电子银行风险管理和安全管理的相应职责，但应其他金融机构或者其他金融机构外包服务商的原因，造成客户资金损失的，由其他金融机构承担相应责任。但为客户提供服务的金融机构应先予以垫付，然后向相关机构追偿。
第七十四条 金融机构开展电子银行业务违反审慎经营规则和有关安全管理规范，存在较大安全隐患，但尚不构成违法违规的，中国银监会应当责令限期改正；逾期未改正的，或者其安全隐患在短时间难以解决的，中国银监会可以区别情形，采取下列措施：
（一）暂停批准增加新的电子银行业务品种；
（二）限制发展新的电子银行客户；
（三）责令调整电子银行管理部门负责人。
第七十五条 金融机构在开展电子银行业务过程中，违反有关法律法规和本办法的有关规定，中国银监会将依据有关法律法规和行政规章的规定予以处罚。

第九章 附则

第七十六条 银行业金融机构利用为特定自助服务设施或客户建立的专用网络提供的银行业务，有相关业务管理规定的，遵照其规定，但网络安全、技术风险等管理应参照本办法的有关规定；没有相关业务规定的，遵照本办法。
第七十七条 本办法实施之前，经监管部门批准已经开办网上银行业务的金融机构，其电话银行等备案类的电子银行类型和网上银行，不需再行审批或报备，但应于本办法实施后一个月内将已开办的电子银行种类、开办时间、审批文件等报中国银监会。
上述机构开办手机银行等以无线网络为媒介的电子银行业务，应按本办法申请。
第七十八条 本办法实施之前，已经开办网上银行业务但尚未报批或已经申请但尚未或监管部门批准的金融机构，其电话银行等备案类的电子银行类型不需再行报备，但应于本办法实施后一个月内将已开办的电子银行种类、开办时间等报中国银监会。
上述机构开办网上银行、手机银行，以及其他以互联网或无线网络为媒介的电子银行业务，应按本办法申请；已经递交申请材料的，应按照本办法的要求补充有关材料。
第七十九条 本办法实施之前，未开办网上银行业务但已开办电话银行业务的金融机构，其电话银行等备案类的电子银行类型不需再行报备，但应于本办法实施后一个月内将已开办的电子银行种类、开办时间等报中国银监会。
上述机构新开办其他电子银行业务，应按照本办法的规定执行。
第八十条 本办法由中国银监会负责解释。
第八十一条 本办法自发布之日起施行。

电子银行安全评估指引
（征求意见稿）

第一章 总则

第一条 为促进电子银行业务的健康发展，保证电子银行业务安全性评估的客观性、及时性、全面性和有效性，依据《中华人民共和国银行业监督管理法》、《中华人民共和国金融机构法》等法律法规和《电子银行业务管理办法》等监管规章，制定本指引。
第二条 电子银行的安全评估，是指对开展电子银行业务的金融机构在电子银行管理过程中的电子银行安全策略、内控制度、系统安全、客户保护等方面，进行的安全测试和风险管理能力等的综合安全考察与评价。
第三条 在中华人民共和国境内开展电子银行业务的金融机构以及利用境内的电子银行系统向境外提供电子银行服务的金融机构，都应定期对电子银行安全进行评估。
第四条 开展电子银行业务的金融机构可以利用外部专业化的评估机构对电子银行安全进行评估，也可以利用内部独立于电子银行业务运营管理部门的评估部门进行电子银行安全评估。
第五条 金融机构的电子银行安全评估工作应纳入金融机构风险管理的总体框架，由金融机构的风险管理委员会或相关机构直接负责。
第六条 金融机构的电子银行安全评估应接受中国银行业监督管理委员会（以下简称中国银监会）的监督指导。

第二章 安全评估机构

第七条 承担金融机构电子银行安全评估工作的机构，可以是外部专业化服务机构，也可以是金融机构内部具备相应条件的相对独立部门。
第八条 外部机构从事电子银行安全评估，应具备以下条件：
（一）具有较为完善的开展电子银行安全评估业务的管理制度和操作规程；
（二）制定了系统全面的内部评估手册或评估指导文件，内容应至少包括评估程序、评估方法和依据、评估标准等；
（三）拥有与电子银行安全评估相关的各类专业人才，了解国际和中国相关行业的行业标准；
（四）其他从事电子银行安全评估应当具备的条件。
第九条 金融机构内部部门从事电子银行安全评估，除应具备第八条规定的有关条件外，还应具备以下条件：
（一）从事电子银行安全评估的部门必须独立于电子银行业务系统开发部门和运营部门；
（二）从事电子银行安全评估的部门未直接参与过有关电子银行设备的选购工作。
第十条 中国银监会负责电子银行安全评估机构资格认定工作。电子银行安全评估机构资格认定工作，每年组织一次。
电子银行安全评估机构在从事金融机构电子银行安全评估业务之前，应向中国银监会申请对其资格进行认定。
第十一条 申请资格认定的电子银行评估机构，应在中国银监会公告的时限内提交以下材料（一式七份）：
（一）电子银行安全评估资格认定申请报告；
（二）机构介绍；
（三）安全评估业务管理框架、管理制度、操作规程等；
（四）评估手册或评估指导文件；
（五）主要评估人员简历；
（六）中国银监会要求提供的其他文件和资料。
第十二条 中国银监会收到安全评估机构资格认定的完整材料后三个月内，组织有关专家和监管人员对申请材料进行评议，采用投票的办法决定电子银行安全评估机构是否达到了有关资质要求。
第十三条 中国银监会对评估机构资质评议后，出具《电子银行安全评估机构资格认定意见书》，载明评议意见，对评估机构的资格作出认定。
第十四条 中国银监会出具的《电子银行安全评估机构资格认定意见书》，仅供评估机构与开展电子银行业务的金融机构商恰有关电子银行评估业务时使用，不影响评估机构开展其他经营活动。
评估机构不得将《电子银行安全评估机构资格认定意见书》用于宣传或其他活动。
第十五条 经中国银监会评议并被认为达到有关资质要求的评估机构，每次资格认定的有效期为两年。
经评议未达到认定资格的，评估机构可在下一年度重新申请资格认定。
第十六条 在有效期内，电子银行安全评估机构如果出现下列情况，中国银监会将撤销已做出的评议和认定意见：
（一）评估机构管理不善，其工作人员泄露被评估机构秘密的；
（二）评估工作质量低下，评估活动出现重要遗漏的；
（三）未按要求提交评估报告，或评估报告中存在不实表述的；
（四）将《电子银行安全评估机构资格认定意见书》用于宣传和其他经营活动的；
（五）存在其他严重不尽职行为的。
第十七条 评估机构有下列行为之一的，中国银监会将在一定期限或无限期不承接评估机构的资格认定请求，银行业金融机构不应再委托该评估机构进行安全评估：
（一）与委托机构合谋，共同隐瞒在安全评估过程中发现的安全漏洞，未按要求写入评估报告；
（二）在评估过程中弄虚作假，编造安全评估报告；
（三）泄漏银行机密信息，或不当使用银行机密资料；
银行业金融机构内部评估机构出现以上情况之一的，中国银监会将按照有关法律法规和行政规章的规定，对相关责任人进行处罚。
第十八条 中国银监会认可的电子银行安全评估机构，以及有关资格认定撤销决定等信息，仅向开展电子银行业务的各金融机构通报，不向社会公布。
第十九条 金融机构不得向第三方泄露中国银监会的有关通报信息，影响外部机构的其他业务活动，也不得将有关信息用于与电子银行安全评估活动无关的其他业务活动。
第二十条 开展电子银行业务的金融机构可以在中国银监会认可的评估机构范围内，自主选择安全评估机构，签订书面服务协议。
金融机构选择内部部门作为评估机构时，应由电子银行运营部门与评估部门签订评估责任确定书。
第二十一条 金融机构与评估机构签订的服务协议中，必须含有明确的保密条款和保密责任。
第二十二条 安全评估机构应根据评估协议的规定，认真履行评估职责，真实评估被评估机构电子银行运营的安全状况。

第三章 安全评估的实施

第二十三条 评估机构在开始电子银行安全评估之前，应就评估的范围、重点、时间与要求等问题，与被评估机构进行充分的沟通，制定评估计划，由双方签字认可。
第二十四条 依据评估计划，评估机构进场对委托机构的电子银行安全进行评估。电子银行安全评估应真实、全面地评价电子银行系统的安全性。
第二十五条 电子银行安全评估至少应包括以下内容：
（一）安全策略；
（二）内控制度建设；
（三）风险管理状况；
（四）系统安全性；
（五）电子银行业务运行连续性计划；
（六）电子银行业务运行应急计划；
（七）电子银行风险预警体系；
（八）其他重要安全环节和机制。
第二十六条 电子银行安全策略的评估，至少应包括以下内容：
（一）安全策略制定的流程与合理性；
（二）系统设计与开发的安全策略；
（三）系统测试与验收的安全策略；
（四）系统运行与维护的安全策略；
（五）系统备份与应急相关策略。
评估机构对金融机构安全策略的评估，不仅要评估安全战略、规章制度和程序是否存在，还要评估这些制度是否能得到贯彻执行，是否能做到及时更新，是否能全面覆盖电子银行业务系统。
第二十七条 电子银行内控制度的评估，应至少包括以下内容：
（一）高级管理层对电子银行安全的认知能力与水平；
（二）安全监控机制的建设与运行；
（三）内部审计制度的建设与运行。
第二十八条 电子银行风险管理状况的评估，应至少包括以下内容：
（一）电子银行管理机构设置的合理性与其他部门的协调性；
（二）电子银行管理部门主要负责人对电子银行的熟知程度；
（三）管理人员配备与培训情况；
（四）电子银行风险管理的规章制度与操作规定、程序等；
（五）电子银行业务风险管理状况；
（六）业务外包管理制度建设与管理状况。
第二十九条 电子银行系统安全性的评估，应至少包括以下内容：
（一）物理安全；
（二）数据通讯安全；
（三）应用系统安全；
（四）密钥管理；
（五）客户信息认证与保密；
（六）入侵监测机制和报告反应机制。
评估机构应突出对数据通讯安全和应用系统安全的评估，客观评价金融机构是否采用了合适的加密技术、合理设计和配置了服务器和防火墙，银行内部运作系统和数据库是否安全等，以及金融机构是否制定了控制和管理修改电子银行系统的制度和控制程序，并能保证各种修改得到及时测试和审核。
第三十条 电子银行业务运行连续性计划，应至少包括以下内容：
（一）电子银行保障业务连续运营的设备和系统能力；
（二）保证业务连续运营的制度安排和执行情况；
第三十一条 电子银行业务运行应急计划，应至少包括以下内容：
（一）电子银行应急制度建设和执行情况；
（二）电子银行应急系统建设；
（三）定期、持续性的检测和演练情况；
（四）应对意外事故或非法攻击的能力。
第三十二条 评估机构进行安全评估的方式，包括审核有关资料、与相关人员谈话等，但在电子银行安全性评估时，必须采取至少一种方法对系统进行测试。
第三十三条 评估机构在进行安全评估时，应根据委托机构的实际情况，确定不同评估内容对电子银行总体风险影响程度的权重，对每项评估内容进行评分，综合计算出所评估机构电子银行的风险等级。
第三十四条 评估完成后，评估机构应及时撰写评估报告，并于评估完成后一个月内向委托机构提交由其法定代表人签字认可的评估报告。
第三十五条 评估报告应至少包括以下内容：
（一）评估的时间、范围及其他协议中重要的约定；
（二）评估的总体框架、程序、主要方法及主要评估人员介绍；
（三）不同评估内容风险权重的确定标准，风险等级的计算方法，以及风险等级的定义；
（四）评估内容与评估活动描述；
（五）评估结论；
（六）其他需要说明的问题；
（七）主要术语定义和所采用的国际或国内标准介绍（可作为附件）；
（八）评估工作流程记录表（可作为附件）；
（九）参加评估人员名单（可作为附件）。
在评估结论中，评估机构应采用量化的办法，表明被评估机构电子银行的风险等级，并说明被评估机构电子银行安全管理中存在的主要问题与隐患，并说明整改建议。
第三十六条 评估报告完成并提交委托机构后，如需修改，应将修改的原因、依据和修改意见作为附件附在原报告之后，不得直接修改原报告。

第四章 安全评估活动的管理

第三十七条 金融机构在申请开办电子银行业务时，应当按照有关规定对完成测试的电子银行进行安全评估。
第三十八条 金融机构获准开办电子银行业务后，应当至少每年对电子银行进行一次安全评估。
有下列情形之一的，应立即组织安全评估：
（一）由于安全漏洞导致系统被攻击瘫痪，修复完善的；
（二）电子银行系统进行重大的更新和升级的；
（三）电子银行的基础设施出现重大改变的；
（四）基于电子银行安全管理需要应即时评估的。
第三十九条 评估机构的选择应由金融机构的高级管理层最终确定。 评估机构确定后，金融机构必须与评估机构签定评估协议，明确界定评估的任务、双方的权利和义务。
评估协议应由金融机构的高级管理层签署。
第四十条 金融机构原则上只能确定一个评估机构进行评估，若有多个评估机构参与评估，金融机构必须确定一个主要的评估机构协调总体评估工作，负责总体评估报告的制作。
金融机构将电子银行的不同系统委托给不同的评估机构进行安全评估，应当明确每个评估机构的安全评估范围，保证不同的评估范围之间没有遗漏。
第四十一条 金融机构应在签署评估协议后2周内，将评估机构简介、拟采用的评估方案和评估步骤等，报送中国银监会。
第四十二条 中国银监会根据监管工作的需要，可派员参加金融机构电子银行安全评估工作，但不作为正式评估人员，不提供评估意见。
第四十三条 评估机构应本着客观、公正、真实和自主的原则，开展评估活动，并严格保守在评估过程中获悉的商业机密。
第四十四条 在评估过程中，委托机构和评估机构之间应建立信息保密工作机制。
（一）评估过程中，调阅相关资料、复制相关文件或数据等，都应建立登记、签字制度；
（二）调阅的文件资料应在指定的场所阅读，不能复印，不得带出指定场所；
（三）复制的文件或数据不应带出工作场地，如确需带出的，必须详细登记带出数据的原因、时间、责任人等；
（四）评估过程中废弃的文件、材料和不再使用的数据，应立即予以销毁或删除；
（五）评估工作结束后，双方应就有关机密数据、资料等的交接情况签署说明。
第四十五条 金融机构在收到评估机构的评估报告一个月内，应将评估报告抄报中国银监会。
金融机构报送评估报告时，可对评估报告中的有关问题作必要的说明。
第四十六条 未经监管部门批准，电子银行安全评估报告不得作为广告宣传资料使用，也不得提供给除监管部门以外的第三方机构。
第四十七条 对未按有关要求进行的安全评估，或者评估程序、方法和评估报告存在重要缺陷的安全评估，中国银监会可以要求金融机构进行重新评估。
第四十八条 中国银监会根据监管工作的需要，可以自己组织或委托评估机构对电子银行系统进行安全评估，金融机构对于中国银监会组织的安全评估应予以配合。
第四十九条 中国银监会根据监管工作的需要，可直接向评估机构了解其评估的方法、范围和程序等。
第五十条 对于评估报告中所反映出的问题，金融机构应采取有效的措施加以纠正。

第五章 附则

第五十一条 本指引由中国银监会负责解释。
第五十二条 本指引自发布之日起施行。