主要IT受托服务商每半年至少开展一次风险检查
制定信息处理业务委托全流程管理标准
今后，金融公司在使用云计算等外部IT服务过程中产生的IT风险，最终责任将由董事会承担。对于会对金融公司业务或金融消费者产生重大影响的主要IT受托服务商，须每半年评估一次风险。
韩国金融监督院29日表示，已与银行联合会、金融投资协会、生命保险协会、损害保险协会、信贷金融协会、储蓄银行中央会、韩国金融科技产业协会等机构共同制定了包含上述内容的《第三方IT风险管理指引》。
近期，金融公司正利用云计算和软件即服务等外部IT服务，但一直有观点指出，一旦发生服务故障、黑客攻击或个人信息泄露等事件，造成金融消费者损失的可能性正在上升。
指引首先明确，董事会须对第三方IT风险管理承担最终责任。相应地，管理层负责构建和运营第三方IT风险管理体系。为此，应指定统筹管理部门，制定并实施安全保障措施，包括安全防护和应急响应等；同时统筹管理各业务部门的信息处理委托现状，并评估第三方IT风险及委托合同的适当性。
在此基础上，金融公司须建立由“统筹管理部门—风险管理部门—内部审计部门”构成的三级控制体系。统筹管理部门负责管理委托现状，并评估委托合同的适当性及第三方IT风险。
指引还进一步细化了识别和管理第三方IT风险的方法。金融公司应掌握受托服务商的财务稳健性、所提供的服务、处理信息的种类和规模、加密方式、事故应对体系及信息设备等情况，并每半年检查一次，以确保相关信息保持最新。尤其是，对金融公司业务或金融消费者具有重大影响的“主要第三方”将另行指定，并强化风险管理。若风险评估发现难以控制或缓解的风险，应优先采取补救措施；如无法消除风险，则应中止合同，或由董事会决定是否维持合同。
指引还系统化了合同各阶段的风险管理程序。签约前，应通过现场尽职调查等方式，验证受托服务商的服务能力及信息保护体系，并在合同中明确职责分工及发生事故时的责任等。合同存续期间，至少每年检查一次合同履行情况，并建立应急响应体系、备份管理机制以及应对合同终止的退出策略。合同终止后，应返还信息资产、删除访问权限，并彻底销毁受托信息。
本次指引将以“软规则”形式实施，金融公司可根据业务重要性和风险水平自主适用。韩国金融监督院表示，将以该指引为基础，由各行业协会自今年11月起制定并实施示范规范。不过，实际适用时间可能会根据各行业的准备情况作出部分调整。韩国金融监督院还表示，将持续推进预防性数字风险监管措施。
版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。
