推动银行保险机构稳健开展数字化转型 　　 ——兼谈《银行保险机构信息科技外包风险监管办法》 　　 　　2021年12月30日，中国银保监会印发《银行保险机构信息科技外包风险监管办法》（以下简称《办法》），进一步加强银行保险机构信息科技外包风险监管，促进银行保险机构提升信息科技外包风险管控能力，推动银行保险机构稳健开展数字化转型工作，针对性地对银行保险机构科技信息外包所产生的风险提出监管要求。 　　 　　《办法》从信息科技外包治理、准入、监控评价、风险管理等方面对银行保险机构信息科技外包提出要求。它根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》制定，在使用范围、原则及风险管理中将上述法律的相关内容纳入监管要求，有利于推动银行保险机构对信息科技外包活动中涉及的网络安全、数据安全和个人信息保护的重视，有利于实现数据安全保护的法律法规联动。 　　 　　《办法》的制定出台，既是对数字金融时代创新性挑战的回应，也是对金融数据信息的框架式保护，更体现了兼顾市场自由和风险监管的新型监管逻辑的政策导向，将促进银行保险机构建立并完善信息科技外包治理架构、银行保险机构稳健开展数字化转型工作。 　　 　　应运而生的外包监管制度 　　 　　《办法》的出台顺应时代潮流和实践需求。从智能合约到去中心化金融和非同质化货币，当今基础设施转型和金融科技升级所带来的革新不断冲击传统金融市场，推动金融业进入数字金融时代，金融数据信息处理面临诸多全新挑战。 　　 　　近年来，银行保险机构积极开展数字化转型，在加大科技创新力度、更好地满足金融消费者需求的同时，对信息科技外包服务的依赖度不断加大。与此同时，部分银行保险机构对信息科技外包风险管控不力，导致业务中断等事件时有发生。 　　 　　另外，金融科技公司在金融数据信息处理中能力出众，使其获得银行保险机构的青睐，这使得许多银行保险机构将大量金融数据信息处理业务外包给金融科技公司，以降低金融数据信息处理成本。但随着银行保险机构对信息科技外包服务的依赖加深，相关金融数据信息出现了数据权属不明、传统监管方式失灵以及信息科技风险积聚等问题。为防范由此产生的系统性金融风险，《办法》应运而生。它既是为应对适应数字金融时代的新挑战而对金融信息科技外包服务的制度化规范，也是对银行保险机构信息科技外包活动的统一顶层设计。 　　 　　信息科技外包的框架式保护 　　 　　过去，银行保险机构外包活动中因信息科技外包所导致的客户数据与业务运营数据泄露时有发生。对此，《办法》对金融数据信息进行框架式保护，要求银行保险机构建立与本机构信息科技战略目标相适应的信息科技外包管理体系，将信息科技外包风险纳入全面风险管理体系，有效控制由于外包而引发的风险，从而确保银行保险机构将信息科技业务外包给第三方时对信息泄露风险能起到动态防控功能作用。 　　 　　基于此，《办法》对金融数据信息进行框架式保护，并明确重要数据包括但不限于客户资料、交易数据、商业秘密等。 　　 　　笔者统计发现，在7章46条《办法》中，“包括但不限于”共出现13次，“至少”共出现7次，“原则上”出现了6次，且关于银行保险机构对信息科技外包服务建立服务效能和质量监控的指标要求只释明了常见指标。这表明《办法》对金融数据信息的保护更灵活，仅对相应制度进行了基本规定，并没有严格的种属归类等。 　　 　　在金融数据信息保护中对相关主体给予最大限度的自由，这使《办法》对金融数据信息的保护具有框架式属性，但这并不代表风险监管失去了威慑性和有效性。比如，《办法》第四十二条规定，对具有重大违法违规情形的服务提供商，银保监会可通报行业，必要时将有关情况移交司法机关。可见，这种框架式保护是在明确制度红线前提下对数字金融市场的善治。 　　 　　信息科技外包的复合型监管逻辑 　　 　　数据监管中银行保险机构、第三方外包服务机构以及金融客户等各方主体之间如何分配权利义务是风险监管的关键。《办法》第六章“监督管理”部分，明确了客户个人信息与银行保险机构数据的核心地位，明确了银行保险机构的报送义务以及银保监会的强监管职能。《办法》对银行保险机构的报送义务进行明确规定，但未对掌握大量金融数据的第三方外包服务机构的报送义务进行明确规定。这是因为第三方外包服务机构属性模糊，即第三方外包服务机构并不完全等同于金融机构，而是与金融机构存在大量交叉业务。因此，基于维护市场自由的监管逻辑，未明确要求第三方服务机构承担报送义务。但是，《办法》第三十八条规定了银行保险机构对信息科技外包活动中的重大风险事件承担报告义务。这表明它将第三方外包服务机构产生的监管风险分配到了银行保险机构。同时，《办法》第四十一条规定，银保监会及其派出机构可组织或责令银行保险机构对承担银行保险机构信息科技外包服务的服务提供商进行现场核查。这既确立了银保监会及其派出机构在金融数据信息监管中具有强监管职能，又体现了其兼顾市场自由和风险监管的复合型监管逻辑。 　　 　　因此，基于第三方外包服务机构商事主体的属性以及市场自由的制度考量，《办法》没有直接要求第三方外包服务机构承担报送义务，而是将由此产生的风险分配至与第三方外包服务机构签订外包合同的银行保险机构。同时，为了保证第三方外包服务机构与银行保险机构在信息科技外包活动中不会发生系统性金融风险，强化了银保监会及其派出机构在其中发挥的强监管职能。可以预见，未来金融风险监管的主要落脚点将在金融数据监管，《办法》所遵循的兼顾市场自由和风险监管的复合型监管逻辑将是未来金融数据监管的风向标。 　　 　　（作者单位：北京师范大学法学院。本文为2018年度国家社科基金一般项目“构建中国特色反腐败国际追逃追赃长效机制研究”的阶段性成果，项目编号为18BFX087）伊志律师事务所位于北京市朝阳区朝外大街乙6号朝外SOHO-C座1209，优越的地理位置，便利的交通条件，安静、专业的办公环境为需求提供方便。 电话：010-84493343 微信：18401228075 电话：18401228075