中小银行系统开发建设的风险管理

        3．测试管理不到位。一是缺乏独立的测试管理组织。中小银行多数都未建立独立的测试团队，一般测试的任务由项目组内成员完成，无法保证软件测试二作的独立性和全面性。二是测试工作不充分。缺乏完整的测试方案．未区别功能性测试和非功能性测试，压力测试、边界测试不到位。三是测试数据处理不规范。普遍未对开发环境中所用到业务数据的脱敏脱密处理做出规定，缺乏涵盖业务数据提取、处理、使用的一整套管理制度及流程：

        4．上线推广管理不到位。一是系统上线前的培训不到位。中小银行信息系统往往是仓促上线，普遍缺乏高质量的培训，尤其是针对业务人员的培训明显不足，以致系统上线后，除开发人员外，其他人均不熟悉系统的操作使用：二是文档管理不到位。信息系统开发过程中各阶段的文档缺乏统一管理，不够规范和完整，对后期维护极为不利。三是系统交接管理不到位。部分系统开发上线后仍由开发人员负责运行维护，职责界定不清晰，为信息系统的各类操作风险埋下隐患。

        5．外包管理不到位。一是外包治理机制不完善、战略不明确。二是外包风险管理意识淡薄．未将外包风险纳入到全面风险管整理的范畴，仅将IT外包当做孤立项巨来运作。三是全生命周期管理机制不健全。外包的生命周期是一个囊括了事前、事中、事后三个子过程的完整周期．其中事前要明确外包范围、进行外包商选择，事中要进行外包合同签订、执行，事后要进行外包效果后评价。

三、建议与对策

        针对上述问题，我们建议从以下四个方面，全面提升中小银行信息系统的开发建设管理水平。

        1．完善组织机制建设，确保开发建设工作“有法可依”。一是要加强对信息系统开发建设工作的统筹。董事会及高级管理层应切实成为信息系统建设的推动力，并做好统筹管理工作。项目实施部门应定期向高管层提交重大信息科技项目的进度报告，由其进行审核。二是要健全信息系统治理机制。要形成信息系统所有者（使用者）、开发建设者、运行维护者三方有机协调的信息系统治理机制，明确信息系统各阶段中各方主体的职责。要切实加强项目实施前的可行性分析和系统上线后的评价工作，要根据评价结果及时对系统功能进行调整和优化。三是要完善管理组织和制度。要切实建立有效的开发团队、测试团队，并配备相关人员；要针对信息系统的需求分析、规划、采购、开发、测试、部署、维护、升级和报废等阶段分别制定制度和流程。

        2．健全生命周期管理，提升开发建设工作的“执行力”。当前，在信息系统的开发建设方面有许多成熟的模型可以应用，同时信息系统开发作为项目，也应严格遵循项目管理的各类规范。中小银行应采取适当的系统开发方法，控制信息系统的生命周期，典型的系统生命周期包括系统分析、设计、开发或外购、测试、试运行、部署、维护和退出。所采用的系统开发方法应符合信息科技项目的规模、性质和复杂度。同时，还应重点做好以下工作，包括：测试管理、上线管理、变更管理、问题与升级管理等。

        3.强化安全管理，防“系统缺陷及风险”于未然。信息系统风险的根源在开发建设阶段，只有加强此阶段的安全建设，才能真正提升信息系统的健壮性，防范信息系统风险于未然：一是要在信息系统开发建设过程中尽早明确系统的安全要求，应在需求分析阶段就明确安全需求，并在设计、编码阶段予以实现。二是要识别开发建设项目自身的风险，包括潜在的各种操作风险、财务损失风险和因无效项目规划或不适当的项目管理控制产生的机会成本，采取适当的项目管理方法，控制信息科技项目相关的风险。三是要加强数据管理，制订并落实相关制度、标准和流程，确保信息系统开发、测试、维护过程中数据的完整性、保密性和可用性。

        4.加强外包管理，以外力提升开发建设“内功”。一是要明确外包战略。董事会应结合本机构实际建立清晰明确的IT外包策略，包括对IT外包在整个经营战略中的角色定位、IT外包将对银行造成的影响等。二是要完善外包管理机制。应建立一套针对IT外包的决策、执行、监督机制，确保IT外包活动顺利高效进行。要完善IT外包风险管理框架，应将IT外包风险纳入其整体风险管理战略，并建立一整套识别、控制、缓释风险的过程与方法，防范因自身原因引发的风险。三是要规范IT外包生命周期管理。要明确IT外包范围，建立完善的外包商资格审查制度，签订详实、明确、全厦的外包合同，对外包商实施风险监控．健全外包商评价考核机制，强化IT外包应急管理。

（文章来源：金融电子化）
 

首页 上一页 1 2

扫码即可手机
阅读转发此文