证券从业-证券市场基本法律法规-第二章-第5节-证券公司信息技术管理

证券从业考试-证券市场基本法律法规-第二章-第5节-证券公司信息技术管理，希望这份脑图会对你有所帮助。

证券公司信息技术管理

• 证券公司信息技术管理的一般规定
  • 证券公司是从事证券基金业务活动的责任主体，应当保障充足的信息技术投入，在依法合规、有效防范风险的 前提下，充分利用现代信息技术手段完善客户服务体系、改进业务运营模式、提升内部管理水平、增强合规风控能力，持续强化现代信息技术对证券基金业务活动的支撑。
  • · 证监会——监督管理
  • · 证券业协会、基金业协会—— 自律管理
  • · 中证信息技术服务有限公司——制定配套规则，备案，监测，检测，检查工作
• 证券公司信息技术治理
  • 一、董事会的职责
    • 1. 审议信息技术战略， 确保与本公司的发展战略、风险管理策略、资本实力相一致。
    • 2.建立信息技术人力和资金保障方案
    • 3.评估年度信息技术管理工作的总体效果和效率；
    • 4.公司章程规定的其他信息技术管理职责。
  • 二、 经营管理层职责：
    • 1.组织实施董事会相关决议；
    • 2.建立责任明确、程序清晰的信息技术管理组织架构，明确管理职责作程序和协调机制；
    • 3.完善绩效考核和责任追究机制
    • 4.公司章程规定或董事会授权的其他信息技术管理职责。
  • 三、 信息技术治理委员会职责：
    • (一)信息技术治理委员会的组成
      • 1、 高级管理人员
      • 2、 合规管理部门、风险管理部门、稽核审计部门、主要业务部门、信息技术管理部门等部门负责人
      • 3、外部专业人员(可聘为委员或顾问)
    • (二)职责范围
      • 1.信息技术规划，包括但不限于信息技术建设规划、信息安全规划、数据治理规划等；
      • 2.信息技术投入预算及分配方案；
      • 3. 重要信息系统建设或重大改造立项、 重大变更方案；
      • 4.信息技术应急预案；
      • 5.使用信息技术手段开展相关业务活动的审查报告及年度评估报告；
      • 6.信息技术治理委员会委员提请审议的事项；
      • 7.其他对信息技术管理产生重大影响的事项。
  • 四、 首席信息官职责及其任职条件：
    • 1.从事信息技术相关工作10年以上，其中证券、基金行业信息技术相关工作年限不少于3年；或者在证券监管机构、证券基金业自律组织任职8年以上；
    • 2.最近3年未被金融监管机构实施行政处罚或采取重大行政监管措施；
    • 3.中国证监会规定的其他条件。
  • 五、 信息技术管理部门的职责
    • 1.信息技术规划
    • 2.信息系统建设
    • 3.信息技术质量控制
    • 4.信息安全保障
    • 5.运维管理
• 证券公司信息技术合规与风险管理
  • (一)信息技术应用与风险控制措施的同步机制
    • 证券公司借助信息技术手段从事证券基金业务活动的，应当在业务系统上线时，同步上线与业务活动复杂程度和风险状况相适应的风险管理系统或相关功能(以下统称“风险管理系统”),对风险进行识别、监控、预警和干预 。
  • (二)信息技术合规与风险管理机制
  • 1.事前审查(验证下列事项并建立存档记录)
    • 1)业务系统的流程设计、功能设置、参数配置和技术实现应当遵循业务合规的原则，不得违反法律法规及中国证监会的规定；
    • 2)风险管理系统功能完备权限清晰，能与业务系统同步上线运行；
    • 3)具备完善的信息安全防护措施，能够保障经营数据和客户信息的安全、完整；
    • 4)具备符合要求的信息系统备份及运维管理能力，能够保障相关系统安全、平稳运行。
  • 2.事中风险监测
    • 证券公司应当及时、稳妥处置发现的风险问题， 并至少每年开展一次风险监测机制及执行情况的有效性评估。
  • 3.事后评估审计
    • 1)证券公司应定期开展专项审计，频率不低于每年一次
    • 2)确保3年内完成全部事项的审计工作，委托外部专业机构开展全面审计， 频率不低于每3年一次。
    • 3)未能有效实施信息技术管理被采取行政处罚措施、监管措施或自律管理措施的，应当在3个月内完成对有关事项的专项审计。
    • 4)应跟踪审计发现问题的整改情况，相关问题未能及时整改的，应说明理由，并将审计报告提交信息技术治理委员会审议。证券公司应当妥善保存审计报告， 保存期限不得少于20年。
• 证券公司信息技术安全
  • 一、信息技术应用的合规与风险要点
    • 1. 证券公司应通过自身运营管理的信息系统直接接收客户交易指令，并记录客户交易指令接收时间。
    • 2.证券公司应按照中国证监会有关规定采集、记录、存储、报送客户交易终端信息，并采取有效的技术措施，保障相关信息真实、准确、完整。
    • 3.证券公司借助专业化交易信息系统向特定客户提供交易服务的，应要求客户登记交易终端信息；信息发生变更的，应要求客户履行变更程序，确保客户真实使用的客户交易终端信息与登记内容一致。
    • 4.证券公司使用电子合同从事证券基金业务活动的，应将电子合同存储在指定的信息系统，并提供可供投资者及合同其他相关方查询、下载的公开渠道。
    • 5.证券公司从事证券交易相关业务，应按照监管规定及自律管理规则的要求，确保风险管理系统具备审查账户资金及证券是否充足、监控交易及资金划转是否异常等功能。
  • 二、 证券公司信息系统运行各环节的安全管理要求
    • 1.开发/测试
      • · 证券公司应当建立独立于生产环境的专用开发测试环境，避免风险传导；开发测试环境使用未脱敏数据的，应当采取与生产环境同等的安全控制措施。
      • · 证券公司在生产环境开展重要信息系统技术或业务测试的，应对测试流程及结果进行审查。
    • 2.上线/变更
      • · 证券公司重要信息系统上线或发生重大变更的，应当制订专项实施方案，并对信息系统上线或变更操作行为进行审查、确认和跟踪。
    • 3.停用
      • · 证券公司重要信息系统计划停止使用的，应当开展技术和业务影响评估，制订完整的系统停用和数据迁移保管方案，并组织必要的评审及停用后的安全检查。
  • 三、 数据治理
    • 1.数据分类分级
      • 证券公司应当将经营及客户数据按照重要性和敏感性进行分类分级，并根据不同类别和级别作出差异化数据管理制度安排。
    • 2.数据安全保障措施
      • 完善网络隔离、用户认证、访问控制、数据加密、数据备份数据销毁、日志记录、病毒防范和非法入侵检测等安全保障措施。
    • 3.信息系统权限管理
      • 证券公司应当遵循最少功能以及最小权限等原则分配信息系统管理、操作和访问权限，并履行审批流程。合规管理和风险管理部门应当对权限管理制度和操作流程进行合规审查及风险控制。
    • 4.经营数据和客户信息保护
      • 证券公司应当充分挖掘、梳理和分析数据内容，提高管理精细化程度，在业务经营、风险管理与内部控制中加强数据应用，实现同一客户、同类业务统一管理，充分发挥数据价值。
  • 四、 应急管理
    • 1.应急管理职责
      • (1)信息技术管理部门：为信息技术应急管理的牵头组织部门，组织开展信息技术应急预案的制定、演练、评估与改进工作，并负责信息系统的应急响应与恢复；
      • (2)各业务部门：评估本业务条线信息技术突发事件相关风险，开展业务影响分析，确定并实施重要业务恢复目标和恢复策略；
      • (3)风险管理部门：评估信息系统与相关业务恢复目标和恢复策略制的合理性，确保与公司整体风险管理策略保持一致。
    • 2.应急预案
      • · 当根据系统变更、业务变化等情况， 持续更新应急预案。
      • · 根据应急预案定期组织关键岗位人员开展应急演练， 演练频率不低于每年一次，并确保应急演练在2年内覆盖全部重要信息系统。
      • · 应急演练应当形成报告， 保存期限不得少于5年。
    • 3.信息公示(网站、客户交易终端等渠道)
    • 4.信息系统备份(教材改动)
      • 证券公司应确保备份系统与生产系统具备同等的处理能力，保持备份数据与原始数据的一致性。
    • 5.信息安全事件分级响应机制
      • 证券公司应当按照中国证监会有关规定，建立信息安全事件的分级响应机制，明确内部处置工作流程，确保相关信息系统及时恢复运行。
• 信息技术服务机构管理
  • 一、信息技术服务机构的定义和服务范围
  • ( 一 )定义
    • 信息技术服务机构为证券基金业务活动提供信息技术服务的机构。
  • (二)服务范围
    • 1、 重要信息系统的开发、测试、集成及测评；
    • 2、 重要信息系统的运维及日常安全管理；
    • 3、 中国证监会规定的其他情形。
  • 二、 委托信息技术服务机构提供信息技术服务的责任划分
    • 1.证券公司借助信息技术手段从事证券基金业务活动的，可以委托信息技术服务机构提供产品或服务，但证券公司依法应当承担的责任不因委托而免除或减轻。
    • 2.证券公司应当清晰、准确、完整地掌握重要信息系统的技术架构、业务逻辑和操作流程等内容，确保重要信息系统运行始终处于自身控制范围。
    • 3.除法律法规及中国证监会另有规定外，不得将重要信息系统的运维、日常安全管理交由信息技术服务机构独立实施。
  • 三、 信息技术服务机构的管理要求
    • 1.证券公司委托信息技术服务机构提供服务，应对信息技术服务机构及相关信息系统进行内部审查，并向中国证监会及其派出机构报送审查意见及相关资料。
    • 2.证券公司应当在选择信息技术服务机构之前，制定更换服务提供方的流程预案，确保在特定情况下可更换服务提供方。
    • 3.信息技术服务机构出现异常情形的，证券公司应当按照应急预案开展内部评估与审查；信息技术服务机构保障 能力不足，导致相关产品或服务的可用性、完整性或机密性丧失的，应当及时更换信息技术服务机构。
    • 4.信息技术服务机构应当向中国证监会备案。
  • 四、 信息技术服务协议和保密协议的签署
    • 证券公司应当与信息技术服务机构签订服务协议和保密协议， 明确各方权利、义务和责任， 约定质量考核标准、持续监控机制、异常处理机制、服务变更或者终止的处置流程以及现场服务人员保密要求等内容，并持续监督信息技术服务机构及相关人员落实服务协议和保密协议的情况。
  • 五、 信息技术服务机构内部质量控制机制
    • 信息技术服务机构应当健全内部质量控制机制，定期监测相关产品或服务，在提供服务过程中出现明显质量问题的，应当立即核实有关情况，采取必要的处理措施，明确修复完成时限，及时完成修复工作。
  • 六、 禁止性要求
    • 1.参与证券基金经营机构向客户提供业务服务的任何环节或向投资者、社会公众等发布可能引发其从事证券基金业务误解的信息；
    • 2.截取、存储、转发和使用证券基金业务活动相关经营数据和客户信息；
    • 3.在服务对象不知情的情况下，转委托第三方提供信息技术服务；
    • 4.提供的产品或服务相关功能、操作流程、系统权限及参数配置违反现行法律法规；
    • 5.无正当理由关闭系统接口或设置技术壁垒；
    • 6.向社会公开发布信息安全漏洞、信息系统压力测试结果等网络安全信息或泄露未公开信息；
    • 7.法律法规及中国证监会禁止的其他行为。
• 信息技术管理的监管要求
  • 一、新建或更换重要信息系统的信息报送
    • 证券公司新建或更换重要信息系统所在机房、证券基金交易相关信息系统，应当在开展相关业务活动的5个工作日内向中国证监会报送有关资料。
  • 二、 信息技术管理专项报告
    • 证券公司应当在报送年度报告的同时报送年度信息技术管理专项报告，提交报告的内容应当真实、准确、完整。
  • 三、 信息技术管理的监督检查
    • 中国证监会及其派出机构在对证券公司信息技术管理及服务活动的监管过程中，可以采用渗透测试、漏洞扫描及信息技术风险评估等方式开展现场检查及非现场检查。
  • 四、 违反信息技术管理规定的监管措施
    • 中国证监会及其派出机构可依法对其采取责令改正、暂停业务、出具警示函、责令定期报告、责令增加合规检 查次数、公开谴责等行政监管措施；对直接负责的主管人员和其他责任人员采取责令改正、监管谈话、出具警示函、公开谴责等行政监管措施。