法国ACPR发布有关IT风险的讨论文件

近年来网络攻击的出现加剧了人们对IT风险的担忧。

这些关切不是银行和保险部门特有的，而是与这些部门特别有关。这些部门是正常运作的经济的基本组成部分，是保护公共利益的关键行动者。

为了解决这些问题，监管部门逐渐加大了在这一领域的行动力度。国际机构已经制定了新的IT风险规则，特别是在欧洲单一银行系统监管机制框架内采取行动的机构，如法国审慎监管管理局(ACPR)，已经加强了它们的监管。

本讨论文件强调，资讯科技风险管理已不再是资讯科技团队所特有的课题，而必须成为由风险管理职能统筹的整体风险控制及风险管理方法的一部分。因此，营运风险管理参考架构必须加以改善，以更有效地将资讯科技风险的所有方面纳入受认可的营运风险范畴。在这样的组织下，管理机构必须直接参与确保其资讯科技策略与其风险偏好相一致，以及实施和监察风险管理架构。

行政协调会各部门根据其督导经验，制定了资讯科技风险的定义和分类，涵盖资讯科技风险的各个方面，并能在全球范围内处理资讯科技风险。由ACPR监督的机构可以使用这种分类来开发或加强他们自己的风险地图。

本分类涵盖适用于推行及管理资讯系统的三个主要程序，即有关资讯系统的组织、适当运作及保安的事宜。对于这些主要过程中的每一个，本文描述了一组风险因素，这些风险因素在两个级别上进行了检查，以便进行相当详细的分析。针对每个风险因素，提出了降低和控制风险的主要预期措施。这些措施是可选的，各机构可以根据其具体情况加以调整。

它们阐明了ACPR通常遵循的最佳实践，旨在为控制银行和保险部门的IT风险管理创造一个共同的基础。

本文翻译为外汇天眼提供，原文出自ACPR官网