IT数码 购物 网址 头条 软件 日历 阅读 图书馆
TxT小说阅读器
↓语音阅读,小说下载,古典文学↓ 		图片批量下载器
↓批量下载图片,美女图库↓ 		图片自动播放器
↓图片自动播放器↓ 		一键清除垃圾
↓轻轻一点,清除系统垃圾↓
开发: C++知识库 Java知识库 JavaScript Python PHP知识库 人工智能 区块链 大数据 移动开发 嵌入式 开发工具 数据结构与算法 开发测试 游戏开发 网络协议 系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑 笔记本 显卡 显示器 固态硬盘 硬盘 耳机 手机 iphone vivo oppo 小米 华为 单反 装机 图拉丁
 
   -> 区块链 -> 信息科技风险 -> 正文阅读

[区块链]信息科技风险

风险
? ?编号		?
风险/流程
风险名称风险说明
一级
? ?风险/流程		二级
? ?风险/流程		三级
? ?风险/流程
R2001信息科技风险管理信息科技风险管理策略策略制定、审批与发布信息科技风险管理策略未被制定未制定信息科技风险管理策略文件，未能制定明确的符合北京银行业务需求和相关法律法规的信息科技风险管理要求，有可能影响北京银行业务目标的达成，信息科技风险管理工作无据可依。
R2002策略更新与维护信息科技风险管理策略未进行更新维护未对信息科技风险管理策略进行更新维护，无法确保信息科技风险管理策略的有效性。
R2003信息科技风险评估评估制度制定信息科技风险管理制度不完善信息科技风险管理制度不完善，可能导致信息科技风险管理过程中缺少依据。
R2004年度评估计划年度信息科技风险评估计划未被制定由于未制定年度风险评估计划，未能合理规划年度风险评估任务及评估重点，不能确保风险评估工作的有序开展。
R2005风险识别信息科技风险识别流程不完善风险识别流程不完善，可能无法确定信息科技存在隐患的所有区域，有可能无法识别在某些领域存在的信息科技风险。
R2006风险分析信息科技风险未被有效分析由于未对已识别的风险及其特征进行分析，包括未对风险成因、风险发生的可能性和影响程度等进行分析，有可能无法明确风险防范措施及所需资源的优先级别。
R2007风险评价信息科技风险未被有效评价由于未对风险发生的可能性和未对总体业务目标实现的影响程度进行有效评价，有可能无法确定风险的大小或等级。
R2008风险报告识别出来的信息科技风险未被报告由于未按照国家法律法规和北京银行制度的要求，未披露或未报告北京银行已识别的信息科技风险，有可能无法确保配置足够的人力、财力资源，维持稳定、安全的运营环境。
R2009信息科技风险应对风险监控信息科技风险未被监控由于未设置信息科技风险监控指标，未采用人工或工具的方式监控信息科技风险状况，有可能无法及时发现潜在的信息科技风险隐患并予以处置，无法减小信息科技风险对北京银行的影响。
R2010事件库信息科技风险事件库未被建立由于未构建信息科技风险事件库，未对已发生的信息科技风险事件进行梳理和记录，有可能无法提升北京银行信息科技风险意识，导致同类问题重复发生。
R2011披露和报告机制信息科技风险事件未被披露由于未按照国家法律法规和北京银行制度的要求，未制定北京银行信息科技风险事件披露和报告机制，一旦发生符合披露或报告条件的信息科技风险事件，无法按要求及时上报；或者管理层不能及时识别可能影响银行声誉或绩效的不合规事件，从而不能及时进行应对而导致损失扩大化。
R2012风险整改信息科技风险问题未被及时整改内外部审计、监管机构、合规部、风险管理部等检查发现的风险问题未按照限定的整改期限进行整改
R2013风险意识员工风险意识不强员工在风险防控执行各个环节缺乏风险意识或不了解防控要求而导致风险防范处理能力不强。
R2014合规意识员工合规意识不强银行员工个人缺乏合规意识或不了解法律与监管要求而导致不能达到合规要求。
R2015持续改进改进管理信息科技风险管理过程未被评审和改进由于未持续对信息科技风险管理过程进行评审和改进，无法确保信息科技风险管理体系的适宜性、充分性和有效性。
R2016风险偏好与容忍度风险偏好管理信息科技风险偏好与北京银行整体风险偏好不符信息科技风险偏好与北京银行整体风险偏好不符，无法准确反映北京银行的业务和信息科技战略。
R2017风险偏好与容忍度容忍度管理信息科技风险容忍度指标不符合北京银行的情况未建立信息科技风险容忍度指标，导致信息科技风险控制目标不明确。
R2018内部控制监控与评价信息科技内部控制设计存在缺陷或未能得到有效的执行信息科技内部控制设计存在缺陷或未能得到有效的执行，从而IT风险未能得到及时应对。

R3001信息安全物理安全物理安全边界定义物理安全区域划分标准不明确、不清晰物理安全区域划分标准不明确、不清晰，可能导致无法有效保证重要信息科技设备的安全，难以实现资源最优配备，对其实施有效的预防、检测和恢复控制措施。
R3002安全边界保护措施物理安全区域保护措施不完善物理安全区域保护措施不完善，包括人员值守巡检、监控报警等方面，可能导致未经授权的访问，无法有效保证重要信息科技设备的安全。
R3003门禁管理物理安全区域门禁授权机制不完善，未进行权限的检查物理安全区域门禁授权机制，包括权限配置、授予、定期检查、回收等过程不完善，可能导致未经授权的访问，非授权访问者可以直接给信息系统带来物理破坏或进行数据窃取；未进行权限检查，可能导致不能及时发现授权机制存在的缺陷并持续完善。
R3004机房人员出入管理人员出入机房未进行有效管控机房出入管理中对人员的进出没有严格按照流程进行管理，或者进入过程没有严格遵循申请审批流程，可能导致非授权访问；未详尽记录人员进出情况，可能导致物理安全事件发生后无法溯源追责。
R3005机房设备出入管理设备出入机房未进行有效管控机房出入管理中对设备的进出没有严格按照流程进行管理，设备进入过程缺少审批，可能导致非授权设备进入机房；设备带出未进行有效登记，可能导致设备带出后无据可查，设备丢失后无法确认责任人。
R3006监控覆盖范围安全监控未能全面覆盖机房、操作间、园区和办公出入口等重要物理安全区域物理安全区域监控覆盖范围不全面，可能导致无法及时发现未经授权的物理安全区域访问，设备或人员非授权进出不能及时发现和记录。
R3007监控资料保存物理安全区域监控资料保存不完整，保存期限短于相关规定物理安全区域监控资料保存不完整，可能导致设备或人员非授权进出无法溯源追责。
R3008机房选址机房选址时未对周围环境条件进行充分的评估机房建设选址未评估，未考虑环境安全威胁，可能导致物理条件（防震、防风、承重等）不能满足设备运作要求或安全受到威胁，遭受自然和人为灾害的风险增加。
R3009基础设施配置机房基础设施配置不完善，未经过有效验收机房基础设施配置不完善，未经过有效验收，可能导致机房基础设施不能满足重要信息系统持续运行的需求。
R3010资料保存机房规划、设计、建设、改造有关文档未妥善保存机房建设或改造竣工后，未妥善保存相关资料和文档，不利于日后机房的安全管理及安全事件处理。
R3011日常巡检机房管理人员未执行定期日常巡检，或巡检未有效执行未安排定期设备日常巡检，或巡检未按照要求有效执行，未能及时发现设备运行异常情况，造成业务中断和银行财产受损。
R3012环境监测机房管理人员未在机房部署监控系统，对物理环境（温度、湿度、灰尘、火情、水情、电力供应等）进行统一监测，或监控阈值设置不合理未对物理环境（温度、湿度、灰尘、火情、水情、电力供应等）进行统一监测，或监控阈值设置不合理，可能导致未能及时发现环境变化或突发事件发生，引起业务中断和银行财产受损。
R3013定期维护机房基础设施维护人员未对基础设施进行定期维护未对机房基础设施进行定期维护，如UPS、供配电设施、空调设施、消防系统等，可能导致基础设施故障无法被及时排除，影响信息系统正常持续运行。
R3014网络安全安全分区与隔离网络安全区域未按可信级别统一划分网络安全区域未按可信级别划分，可能导致网络安全域划分不合理，不统一，无法对不同安全域采取不同的安全策略，实现对网络安全域内资源的有效保护。
R3015访问控制策略制定网络安全域间的访问未能按照最小需求原则配置访问控制策略网络安全域间的访问未能按照最小需求原则配置访问控制策略，访问控制粒度未达到地址和端口级，未对常见病毒、蠕虫传播端口进行过滤，可能导致各网络安全域之间未进行有效访问控制，发生非授权访问和病毒传播，无法实现对各网络安全域内资源的有效保护，造成信息泄露。
R3016访问控制策略更新与审核网络安全域之间的访问控制策略未及时更新，过期不用策略未及时清除网络安全域之间的访问控制策略未及时更新，过期不用策略未及时清除，可能导致策略不适用当前网络安全域分区情况，造成非授权访问，无法实现对网络安全域内资源的有效保护。
R3017网络安全域间的访问控制策略部署未按照相关流程经过审核，未获得授权网络安全域间的访问控制策略部署未按照相关流程经过审核，未获得授权，可能导致访问控制策略非授权部署，无法实现对各网络安全域内资源的有效保护，造成信息泄露。
R3018外联网安全外联网出口连接外部网络使用的通信线路类型不符合相关管理办法规定外联网出口连接外部网络使用的通信线路类型不符合相关管理办法规定，使用了互联网等公共性质的网络通信线路，可能导致重要网络暴露在公共环境下，黑客可以通过端口扫描获取访问目标或进行窃听，给恶意攻击和非授权访问提供了渠道。
R3019外网与内网之间的访问控制策略不完善外网与内网之间未通过外联防火墙实现完善的访问控制策略，如DMZ区对外网区开放了非业务必须的地址和服务端口，访问控制策略未限制到DMZ区主机的地址和端口等，可能导致无法有效控制DMZ区主机、内网区主机对外网区资源的访问，或外网区直接可以发起连接访问内网区。
R3020外联网区域真实地址信息未通过地址转换隐藏外联网的DMZ区及内网区真实地址信息未通过地址转换隐藏，可能导致银行内部网络IP地址直接透给外部机构。
R3021互联网安全互联网出口实际用途与应承载的业务类型不同互联网出口实际用途与应承载的业务类型不同，可能导致无法有效控制互联网服务的提供以及对互联网资源的访问，发生非授权访问、恶意攻击、信息泄露等。
R3022不同类型互联网出口区域未定义不同的访问控制策略不同类型互联网出口区域未定义不同的访问控制策略，可能导致无法有效控制互联网服务的提供以及对互联网资源的访问，发生非授权访问、恶意攻击、信息泄露等。
R3023互联网区域真实地址信息未通过地址转换隐藏互联网的DMZ区、AP/DB区及内网区真实地址信息未通过地址转换隐藏，可能导致银行内部网络IP地址直接透给外部机构。
R3024面向互联网开放服务的应用未遵循分层部署原则面向互联网开放服务的应用未遵循分层部署原则，如WEB服务器、前置服务器未部署于DMZ区，应用服务器和数据库服务器未部署于AP/DB区，可能导致重要服务器面向互联网，缺少有效的访问控制措施，导致其访问路径暴露在互联网上，给黑客攻击提供渠道。
R3025内网用户的上网管理策略不完善内网用户的上网管理策略不完善，包括访问互联网的方式，上网专用终端、专用上网业务终端的安全要求，除上网代理服务器外的内网服务器区主机访问互联网的审批管理，和内网用户的上网行为管理等，可能导致非授权访问互联网，内网资源暴露，而发生信息泄露或遭受恶意攻击、病毒感染等。
R3026入侵防护机制未明确定义，或在网络边界处未完全部署入侵检测设备入侵防护机制未明确定义，或在网络边界处未完全部署入侵检测设备，可能导致在网络受到危害之前无法及时拦截和响应入侵，造成网络服务瘫痪，或未授权人员获取网络资源。
R3027网络安全监测网络安全监测未能全面覆盖重点网络区域安全监测未全面覆盖重点网络区域，可能导致不能及时发现所有重点网络区域的安全问题。
R3028网络安全监测策略设计不充分或未完全部署网络安全监测策略设计不充分或未完全部署，可能导致恶意代码攻击行为成功，无法过滤非法数据，无法及时发现异常行为等，造成安全事件的发生。
R3029网络监测分析不充分，缺乏必要的监测分析工具、情报输入以及专业人员网络监测分析不充分，如缺少专业的安全分析人员和分析工具，缺少外部情报输入，未结合历史监测数据等，可能导致关键异常行为未被识别，安全威胁来源趋势不能充分识别，不能及时采取相关应对措施。
R3030系统安全安全基线系统（包括主机、应用系统、数据库等）安全基线未明确定义，或不完善，未能覆盖所有的系统类型系统（包括主机、应用系统、数据库等）安全基线未明确定义，或不完善，未完全部署安全基线，未配置合理权限，如未及时安装补丁，未开启防病毒程序，未禁用不必要的网络服务，未开启日志记录及配置日志策略，未配置账户安全策略，服务器进程以管理员权限运行等，可能导致系统自身存在安全弱点，发生资源非授权使用，信息泄露等安全事件。
R3031系统备份系统安全配置未进行备份系统安全配置未进行定期备份，可能导致系统发生故障后无法及时恢复安全配置。
R3032远程访问控制系统远程访问控制策略未得到审批服务器的远程访问未经过申请审批，无法控制远程访问地址，可能导致非法访问。
R3033入侵检测重要服务器未对入侵行为进行检测重要服务器未对入侵行为进行检测，无法尽早发现入侵攻击事件，可能导致信息系统遭到攻击造成信息泄露、业务中断等。
R3034应用安全安全需求标准不同应用系统未定义不同的安全需求标准，或安全需求标准未明确定义不同应用系统未定义不同的安全需求标准，或安全需求标准未明确定义，可能导致应用系统安全需求考虑不充分，自身存在安全弱点。
R3035安全需求和设计定义应用系统开发过程中未充分考虑安全需求，并进行安全设计未按照要求在应用系统开发过程中充分考虑安全需求，如SQL注入漏洞、路径遍历漏洞等的防范，安全需求被忽略或安全功能考虑不足，或未对安全需求的实现方式进行有效设计，可能导致应用系统开发完成后存在安全隐患，造成信息泄露或易遭受攻击。
R3036需求分析和设计评审安全需求分析和安全设计未经过有效评审安全需求分析和安全设计未经过有效评审，可能导致安全需求分析不到位，不充分，或安全设计不合理，在设计方案中使用的实现方法、使用的设计工具不当、方案存在含糊不清的地方等，若未能及时发现调整，导致开发完成后，应用系统自身存在安全弱点，未满足安全需求标准。
R3037安全代码标准针对应用系统的开发未制定安全代码标准针对应用系统的开发未制定安全代码标准，无法从源头上避免安全漏洞的引入，可能导致开发完成后，应用自身存在安全弱点，进而被利用造成安全事件发生。
R3038安全代码检测开发过程中未严格执行有关代码质量控制机制，未对代码进行安全检测，未对安全质量进行严格把控系统开发过程中未严格执行有关代码质量控制机制，未对代码进行安全检测，未对安全质量进行严格把控，如开发阶段项目组未通过工具和人工结合的方式进行代码安全的审查，人工代码走查未同时采用双人互查与项目经理抽查两种方式，在测试阶段未再次使用工具进行代码审查等，可能导致开发完成后，应用自身存在安全弱点，进而被利用造成安全事件发生。
R3039投产环境安全评估应用投产前未对投产环境进行有效的安全评估，包括系统环境、网络环境等应用投产前未对投产环境进行有效的安全评估，包括系统环境、网络环境等，导致投产后，可能因环境存在安全隐患而发生安全事件。
R3040数据安全数据分类数据分类标准未明确定义，分类不准确，敏感数据未被全面准确识别数据分类标准未明确定义，分类不准确，敏感数据未被全面准确识别，可能导致敏感数据未被有针对性的施加保护，导致敏感数据泄露。
R3041保护要求数据管理和使用过程中未根据数据分类，明确数据保护要求数据管理和使用过程中未根据数据分类，明确数据保护要求，未采取相应的数据保护措施可能导致数据泄露，关键数据因不完整而失效、数据不可用而影响业务的连续性造成业务中断等。
R3042数据调用数据调用缺乏必要的授权流程数据外借、查询，数据备份介质外借等数据提取过程前未经过有效审批，可能导致数据滥用和重要信息泄露，影响银行声誉。
R3043数据清理和销毁数据清理和销毁缺乏必要的审核标准数据清理和销毁缺乏必要的审核标准，可能导致误操作或恶意操作，造成信息泄露等。
R3044数据备份策略重要数据备份及日志备份策略定义不完善，备份工作开展不充分重要信息系统备份及日志备份策略不完善，如备份对象不全面，备份方式选择不当，备份数据的存放地点和环境不符合安全要求，导致备份无效或不能满足应用系统的业务连续性需求。
R3045数据备份执行备份未按备份策略执行，或执行无效备份未按备份策略执行，或执行无效，可能导致数据备份失败。
R3046数据备份介质管理数据备份存储介质的管理不完善数据备份存储介质的管理不完善，如物理存放环境，保存期限，管理人员职责，借出归还等，导致存储介质受到破坏，数据损坏丢失。
R3047数据备份恢复测试备份数据未定期进行恢复测试备份数据未定期进行恢复测试，验证备份数据的可用性，可能导致当灾难发生时无法从备份载体中恢复数据。
R3048终端安全终端使用策略终端外设接入未按照相关规定进行有效控制终端外设接入未按照相关管理规定进行有效控制，如未禁用USB接口、存储卡、带刻录功能的光盘等存储设备，未设置Bios密码，可能导致信息泄露，病毒感染等安全事件发生。
R3049终端软件安装未经过授权终端软件的安装未经过授权，未经授权安装运行的软件自身可能存在安全漏洞，可能导致终端安全受到威胁，导致信息泄露或病毒感染。
R3050终端未安装银行统一要求的防病毒软件，未及时更新病毒库终端未安装银行统一要求的防病毒软件，未及时更新病毒库，可能导致终端感染病毒，对生产环境等造成破坏，造成信息泄露、业务中断等安全事件。
R3051终端未及时下载并安装安全补丁终端未及时下载并安装安全补丁，可能导致终端存在安全漏洞，被不法分子利用，而遭受安全攻击。
R3052终端使用审批管理终端生命周期各阶段，包括领用和登记、回收和再分配、检修及送修、报废及捐赠、遗失处理等阶段，操作未经过有效审批终端生命周期各阶段，包括领用和登记、回收和再分配、检修及送修、报废及捐赠、遗失处理等阶段，操作未经过有效审批，可能导致终端管理混乱，终端毁坏、遗失、信息泄露等。
R3053设备盘点终端设备未进行定期盘点终端设备未进行定期盘点，可能导致无法及时发现终端设备的遗失、损毁等，无法保证信息资产的完整性。
R3054报废处置终端报废处置前未对重要数据实施妥善清理终端报废处置前未对敏感数据实施妥善清理，可能导致重要数据泄露。
R3055用户管理用户分类定义用户分类标准未明确定义用户分类标准未明确，无法对各类用户制定不同的管理流程，可能导致用户越权访问或操作。
R3056权限变更审批管理用户生命期中，创建、变更和注销申请未经过有效审批，未保存记录用户创建、变更和注销申请未经过有效审批，可能导致非授权访问行内资源，造成信息泄露，操作未以电子或纸质方式留存记录，可能导致安全事件发生后无法溯源追责。
R3057用户权限管理用户权限分配策略不完善用户权限分配策略不完善，未按照“最小权限适用”、“关键权限分离”的原则进行分配，可能导致用户权限分配不合理，因权限过大导致资源滥用，越权操作，信息泄露。
R3058用户行为审计用户操作行为审计未能全面覆盖所有类型用户的操作行为对用户操作行为进行审计的覆盖范围不全面，可能导致不能及时发现异常操作行为，如非授权操作。
R3059用户操作行为审计结果未被有效跟踪用户操作行为审计结果未被有效跟踪，未及时整改审计发现的问题，可能导致问题依然存在，进而造成更大的安全事故。
R3060恶意软件防范恶意软件检测恶意软件检测措施不完善恶意软件检测措施不完善，如未在服务器和终端部署防病毒软件，未在网络边界部署防病毒机制、部署邮件安全扫描产品，未监测终端异常网络行为等，可能导致不能及时发现银行网内恶意软件并清除。
R3061来源阻断常见的恶意软件传播渠道未被全面阻断常见恶意软件传播渠道阻断措施不完善，未全面实施上网行为管控、终端联网行为管控、移动介质管控、可疑邮件过滤、网络限制常见蠕虫散播端口、规范软件介质获取来源等阻断措施，可能导致恶意软件在银行网内传播。
R3062补丁管理系统补丁未及时更新未及时发现系统漏洞并更新系统补丁，可能导致被黑客利用，进行系统攻击。
R3063环境隔离?不同类型业务环境未被隔离不同类型业务环境未被隔离，可能导致无法在恶意软件大范围爆发时通过隔离措施控制危害影响范围。
R3064安全漏洞管理检测要求?漏洞检测要求未明确定义信息安全漏洞检测要求未明确定义，包括需要进行安全检测的信息系统范围；安全检测时间要求，包括检测周期、新系统上线前的检测和大版本上线前的检测等；安全检测使用的工具和方法，检测重点的选择；检测结果的报送、安全态势预警信息的接收和处理等，可能导致漏洞检测不全面，检测效果不佳，未及时全面发现存在的安全漏洞，无法全面避免安全事件的发生。
R3065检测范围漏洞检测未能全面覆盖所有规定信息系统，或未考虑新技术应用引发的安全漏洞或威胁漏洞检测范围未全面覆盖所有规定信息系统，或未覆盖新技术引发的安全漏洞或威胁，可能导致存在的漏洞没有及时识别，造成漏洞被利用，发生安全事件。
R3066检测工具漏洞检测前，未对检测工具实施升级漏洞检测前未先行对检测工具实施升级，未确保使用最新的漏洞特征库对信息系统进行检测，可能导致存在的漏洞没有及时识别，造成漏洞被利用，发生安全事件。
R3067漏洞级别划分漏洞级别划分标准和定级方式不明确，漏洞修复策略制定依据未明确定义未依照相关漏洞管理规定基于信息安全漏洞的潜在威胁级别，明确漏洞级别划分标准和定级方式，为漏洞修复策略的制订提供依据，可能导致漏洞修复不及时或修复不到位，造成漏洞被利用，发生安全事件。
R3068漏洞修复要求漏洞修复要求未明确定义未明确信息安全漏洞的修复要求，如需要修复的漏洞类型；各类漏洞完成修复的时间要求；高风险漏洞的紧急处置策略；漏洞修复后的复测；漏洞修复结果的跟踪；漏洞修复结果的报送等，可能导致漏洞修复不及时或修复不到位，造成漏洞被利用，发生安全事件。
R3069漏洞修复复测漏洞修复后未进行复测漏洞修复后未进行复测，可能导致漏洞修复不彻底未被及时发现，应用系统正常运行受到影响。
R3070安全事件管理安全划分标准信息安全事件分类、各类事件的严重性级别划分标准不完善，对应流程设计不完善信息安全事件分类、各类事件的严重性级别划分标准不完善，不能根据事件类别和严重级别分别制订应对处置流程，可能导致安全事件处理不及时不到位。
R3071安全事件监测范围事件监测未能全面覆盖主要的安全事件类型事件监测覆盖的事件范围不全，未全面包括主要的安全事件类型，如用户生命周期相关事件；登录及认证相关事件；违反访问控制策略的事件；关键操作记录；其他物理、网络、系统、应用安全相关重要安全事件等，可能导致安全事件发生后未及时监测发现，不能及时采取应对措施解决处理。
R3072安全事件日志管理事件日志记录信息不全面，保护不当事件日志记录信息不全面，可能导致事件分析依据不足，分析不到位；日志保存不当，如保存期限、物理环境等不符合要求，未定期进行日志备份等，可能导致日志保护不到位，日志信息丢失。
R3073安全事件响应与处置及时性事件响应与处置不及时事件响应与处置不及时，可能导致安全事件影响扩大化，如病毒处置不及时导致病毒扩散范围扩大。
R3074安全事件处置方案事件处置方案未得到有效审核事件处置方案未得到相关人员的有效审核，可能导致不当处置方案应用，影响事件处置效率和效果，进而影响北京银行生产运行恢复。
R3075安全事件处置结果跟踪处置结果未得到及时跟踪未对处置结果进行及时跟踪，对处置效果不佳的情况，未及时整改处理，可能导致事件处置不彻底，或存在安全隐患，影响北京银行生产运行。
R3076安全事件分析事件分析不充分，包括对发生原因和潜在后果的分析事件分析不充分，包括对发生原因和潜在后果的分析，如未将多个相关事件源的日志信息进行关联分析，可能导致事件未从根源上解决，事件或关联事件重复发生。
R3077安全事件报告信息安全事件报告流程未明确定义，或未及时上报信息安全事件报告流程未明确定义，或未及时上报，可能导致安全事件不能及时告知有权人进行决策，发生不正确的信息安全事件处理，给银行带来经济、名誉上的损失。
R3078安全事件场景设计安全事件管理中安全事件场景设计不充分安全事件管理中安全事件场景设计不充分，可能导致不能确保不同场景发生的安全事件均能迅速、科学、有序地应对，最大程度减少突发安全事件造成的损害。
R3079安全演练安全演练未按照相关规定有效进行，或未对演练结果进行跟踪安全演练未按照相关规定有效进行，或未对演练结果进行跟踪，可能导致无法达成演练目标，不能有效验证安全预案的有效性，或不能根据演练结果对预案作出调整和完善。
R3080安全评估与评测系统定级系统定级未符合等级保护要求系统定级未符合等级保护要求，可能导致相应系统保护措施不到位，导致合规风险。
R3081等级测评信息系统未按照等级保护要求开展定期测评信息系统未按照等级保护要求开展定期测评，可能导致不能及时发现不符合等级保护要求的情况，无法及时整改。
R3082测评结果应用等级保护测评发现的问题尚未得到及时修正，未能够有效应用到安全管理体系完善中等级保护测评发现的问题尚未得到及时修正，未能够有效应用到安全管理体系完善中，
? ?可能导致问题缺陷仍然存在，信息系统仍受到安全威胁，甚至存在合规风险。
R3083安全评估范围信息安全评估未全面覆盖所有重点领域信息安全评估未全面覆盖所有重点领域，如网上银行、互联网应用等，可能导致未及时全面识别重点领域存在的信息安全风险，无法及时整改，留有安全隐患。
R3084评估结果应用评估结果未进行追踪，或未有效利用以弥补信息系统安全缺陷评估结果未进行追踪，或未有效利用以弥补信息系统安全缺陷，可能导致信息系统安全缺陷仍存在，若尚未及时修复的安全漏洞被利用，造成安全事件的发生。
R3085服务资质安全服务商或服务人员资质不足安全服务商或服务人员资质不足，可能导致无法正常开展安全评估与评测等安全服务活动或是服务结果不符合专业要求。?
R3086保密协议安全服务商信息保密控制不到位，未与安全服务商签署保密协议安全服务商信息保密控制不到位，未签署保密协议，可能导致信息泄露，或安全漏洞被不法分子利用。

风险
? ?编号		?
风险/流程
风险名称风险说明
一级
? ?风险/流程		二级
? ?风险/流程		三级
? ?风险/流程
R4001信息系统开发、测试风险开发过程管理需求管理业务需求定义不清晰，需求定制缺少技术部门参与业务需求定义不清晰，需求定制缺少技术部门参与，可能导致实际上线系统与业务预期存在偏差，无法实现业务目标，影响项目效果。
R4002需求变更缺少有效管控需求变更缺少有效管控，软件需求规格说明书未根据需求变更进行调整并得到项目各相关方的正式确认，可能导致项目团队未按最新需求进行开发，从而造成系统开发结果未能满足业务的需求。
R4003系统设计?系统软件架构考虑不充分、设计不合理，缺乏技术专家支持或评估技术架构考虑不充分，选择不合理或目标不明确，可能导致系统设计不能满足当前的非功能需求，无法进行有效扩展或应对未来的技术变化，进而不能应对业务发展变化。
R4004设计方案考虑不周全，未能涵盖所有需求，缺乏可行性设计人员对系统架构和功能考虑不周全，可能导致设计方案无法应用于实际开发，可能导致开发无法匹配正确的需求，出现频繁修改、变更，项目开发出现偏差。
R4005代码规范与走查开发编码过程未按照编码规范进行开发程序编写过程中未能根据整体制定的编码语言规范进行系统开发，可能导致程序代码不符合北京银行规范，增加软件故障的概率，进而影响北京银行信息系统的安全与稳定性。
R4006软件交付前缺乏有效的代码走查与评审编码未经有效检查和评审，可能导致程序可读性差、可维护性差，模块无法集成，编码中隐藏着错误语句或漏洞，最终导致预期的业务功能无法实现，或影响运营。
R4007代码走查或评审发现的问题未进行整改代码走查或评审发现的问题未进行整改，可能导致不合格程序进入测试流程。
R4008单元测试单元测试计划不充分或未经有效评审单元测试计划安排不当，缺乏必要的评估，测试计划可能存在缺陷，影响测试效果，导致单元测试目的无法达成，影响软件质量，最终无法满足业务需求。
R4009单元测试案例编写不充分或未经有效评审单元测试案例不充分，可能导致不能有效覆盖业务要求，系统测试结果不准确，测试目的无法如期达成。
R4010单元测试结果缺少有效确认与应用单元测试结果缺少有效评估，必要的测试缺陷未得到修正，可能导致无法及时发现代码逻辑错误，以致在后续测试中增加测试工作量。
R4011集成测试集成测试计划不充分或未经有效评审集成测试计划安排不当，缺乏必要的评估，测试计划可能存在缺陷，影响测试效果，可能导致集成测试目的无法达成，影响软件质量，最终无法满足业务需求。
R4012集成测试案例编写不充分或未经有效评审集成测试案例不充分，可能导致不能有效覆盖业务要求，系统测试结果不准确，测试目的无法如期达成。
R4013集成测试结果缺少有效确认与应用集成测试结果缺少有效评估，必要的测试缺陷未得到修正，直接影响着软件的质量，造成系统带缺陷上线，引发系统故障，使北京银行遭受损失。
R4014系统测试系统测试计划不充分或未经有效评审系统测试计划安排不当，缺乏必要的评估，测试计划可能存在缺陷，影响测试效果，可能导致系统测试目的无法达成，影响软件质量，最终无法满足业务需求。
R4015系统测试资源准备不完善系统测试资源准备不完善，可能导致复杂、重复的测试需求在现有人力成本下无法得到满足，给测试效率造成影响，同时也给测试结果的可用性、及时性造成滞后。
R4016系统测试需求分析不充分，需求分析未经有效评审系统测试需求分析不充分、测试范围选取不合理、测试需求分析结果未经有效评审等，可能导致无法有效覆盖业务要求，测试目的无法如期达成。
R4017系统测试案例设计不全面或未经有效评审系统测试案例设计不全面或未经有效评审，未能覆盖有效的功能点，直接导致测试不充分，存在的缺陷不能被发现，测试目标无法达成。
R4018系统测试缺陷未得到有效的跟踪与修正系统测试缺陷未得到有效的跟踪与修正，可能导致测试过程中发现的问题无法在上线之前被及时纠正，从而影响系统正常运行的能力。
R4019业务验收测试业务验收测试方案未覆盖完整的业务需求业务验收测试方案未覆盖完整的业务需求，可能导致测试方案编写不全面，测试缺少深度，测试目的无法如期达成。
R4020业务验收测试缺陷未得到有效的跟踪与修正业务验收测试缺陷未得到有效的跟踪与修正，可能导致测试过程中发现的问题不能在上线之前被及时纠正，从而影响系统上线后的正常运行。
R4021业务测试结果缺少有效确认与评审业务测试结果缺少有效确认与评审，测试过程中发现的重要问题没有被修正，系统带缺陷上线，影响软件质量，影响系统后续的稳定运行；缺少必要的评审，测试问题不能被有效评估，可能造成过度纠偏，影响项目上线进度，影响业务支持及时性。
R4022系统投产上线上线方案安排不合理或缺乏必要的评审上线方案如系统上线计划、业务应急方案等不完善或缺少必要的评估，可能导致上线资源得不到合理配置，影响上线系统的质量和上线进度。
R4023上线资源未进行合理分配上线资源未进行合理分配，可能导致无法按计划对系统进行上线。
R4024上线部署未严格按照规定步骤执行上线部署过程未严格按照评审方案执行，未执行应用的上线部署检查，可能导致上线出错或者软件部署不恰当，增加生产事件发生的可能性。
R4025项目管理项目启动项目立项未进行有效审批项目立项未按照规定的流程进行评估和评审，项目可行性方案准备不充分，可能导致不符合北京银行发展规划、不符合整体技术架构的项目得以开展，浪费北京银行技术资源，影响其他项目的有效投入，项目风险缺乏应对措施，科技价值无法得到有效体现。
R4026项目计划项目计划不充分或项目计划内容不全面项目计划不充分或项目计划内容不全面，可能导致项目缺少合理的进度安排，项目管理机制存在缺失，项目不能按预期完成或项目失控。
R4027项目计划未经有效评审项目计划未经有效评审，可能造成项目的计划不够全面，无法具备可操作性，可能导致项目的管理工作不能得到有效的实施。
R4028项目监控项目风险缺乏有效的监控项目风险计划未得到有效落实，项目风险缺乏有效的监控，可能导致项目中隐藏的风险隐患不能及时被发现，风险应对措施无法落实。一旦项目风险暴露，可能无法及时应对，从而给软件开发进度和软件开发质量造成不利影响。
R4029项目进度和成本未进行有效监控项目进度和成本未进行有效监控，缺少必要控制措施，无法及时发现项目进度与成本进行控制，无法及时采取应对措施，可能导致项目无法按照原有计划及时交付，影响系统的及时上线。
R4030项目监控记录或报告不充分项目监控记录或报告不充分，可能导致发现的问题无法得到及时沟通和解决，无法及时开展必要的应对活动，同时将影响项目的质量和进度。
R4031监控发现的问题未实施跟踪监控发现的问题未实施跟踪，可能导致问题未及时进行处理，对项目的进度和质量造成影响。
R4032项目考核标准不明确或未进行项目考核项目考核标准不明确或未进行项目考核,无法激发员工的工作积极性，可能导致影响IT运营质量和效率。
R4033项目变更及中止项目变更未得到有效评估项目变更缺少评估，或者项目变更缺少必要的管控流程，变更影响对整个项目的进度无法得到评估，由变更所引发的软件开发和项目延期的风险无法有效应对，直接影响项目的交付时间，项目无法准时交付，业务目标无法及时达成。
R4034项目变更未进行有效审批项目变更缺乏有效的审批，可能导致项目变更无序，未进行有效审批，可能导致项目最终负责人不了解项目变更情况，以致项目变更偏离项目预期。
R4035项目中止未对项目文档进行归档项目中止未对项目文档进行归档，可能导致项目重启后无法有效实施，项目经验缺失。
R4036中止项目的重启未经有效审核中止项目的重启未经有效审核，可能导致资源不充分，从而造成无法立即启动项目，或影响其他项目的资源使用，造成项目延期。
R4037项目结项项目结项不完善或未经过有效验收项目结项不完善或未经过有效验收，项目成果未经验证便验收投产，可能导致影响生产运营。
R4038项目质量管理项目管理团队缺乏必要的项目质量管理岗位项目管理组织架构中缺少必要的质量管理岗位，可能导致软件开发和项目管理质量无法得到保证，项目过程缺少监督，无法有效达成项目目标。
R4039质量管理职责缺乏独立性质量管理职责缺乏独立性，可能导致质量保证人员无法从第三方角度公正客观地审视项目，无法真实开展项目质量保证工作，无法有效监督项目目标的有效达成。
R4040重点项目的质量管理计划不完善未制定详细、标准的质量管理计划，可能导致项目质量保证活动无法开展，影响项目质量监督和审计工作，最终无法保证整体开发质量。
R4041项目过程中缺乏有效的质量监督和审计项目过程中缺乏有效的质量监督和审计，无法及时发现项目过程中的质量问题，可能导致项目成果质量低下。
R4042质量监督中发现的问题未及时整改缺乏对发现问题的持续跟踪，问题未得到解决或解决不及时，可能导致系统隐患或项目延期。

风险
? ?编号		?
风险/流程
风险名称风险说明
一级
? ?风险/流程		二级
? ?风险/流程		三级
? ?风险/流程
R5001信息科技运行事件管理事件分级事件分级的定级标准不清晰、不全面事件分级的定级标准未严格遵循监管要求，未充分考虑事件影响范围、程度以及受影响系统重要程度，可能存在合规风险，或由于事件分级不清晰，导致事件处理缺乏准确的指导，直接影响事件处理的及时性和有效性，进一步影响系统的正常恢复。
R5002职责定义事件管理相关人员职责划分不清晰事件管理相关人员职责划分不清晰，一、二、三线服务人员在事件处理流程中的定位不明确，有可能造成IT服务人员在事件响应和处置方面效率低下，或者服务资源浪费，影响生产事件的有效解决，或因定责不清导致互相推诿。
R5003事件发现与判断事件未及时发现，未进行及时有效判断事件未及时发现，创建事件单不及时，超过规定时间，相关部门未能组织人员进行及时有效判断，直接影响后续事件的处置时间和方案，造成生产故障无法及时解决，影响业务运行。
R5004事件发现与判断创建的事件单记录不准确，内容不全面创建的事件单记录不准确，内容不全面，可能导致事件定级不合理，分派不准确，影响事件的快速有效处理。
R5005应急启动标准与流程事件应急启动标准不明确，对应启动流程不清晰事件应急启动标准不明确，对应启动流程不清晰，可能导致应急处理不及时，应急处理工作未有序有效开展。
R5006事件通知与报告事件发生后，未按照相关规定及时进行相应通知与报告事件发生后，未按照相关规定及时进行相应通知与报告，可能影响事件处置的有效性和准确性，或未能及时根据处理过程进行事件升级而造成事件处置主动性的丧失；规定的重大事件未及时向人民银行、银监会等有关监管部门报告，可能导致合规风险的存在。
R5007事件处理事件的应急处置方案未按照规定的决策层级要求，经有效审批决策即执行事件的应急处置方案未按照规定的决策层级要求，经有效审批决策即执行，处置方案中存在的潜在问题不能被发现，导致处置不当，影响事件应急处置的有效性和处置效率。
R5008事件跟踪相关管理人员未依据相关流程跟踪事件处理情况相关管理人员未依据相关流程跟踪事件处理情况，事件处理缺少督促，事件处理结果无法被有效评判，可能导致事件未能够有效解决，从而影响系统的稳定持续运行。
R5009事件关闭事件处理完毕，未按照相关流程及时进行事件的反馈、验证及关闭事件处理完毕，未及时反馈事件记录情况，未及时通知事件报告人员验证事件解决结果，结果确认后未及时关闭事件单，可能导致事件处理过程中存在的问题不能被揭示，事件处理和工单填写质量无法得到持续优化和改进。
R5010事件总结事件总结未依照流程定期进行，未及时进行回顾与分析未依据相关管理要求及时进行事件总结，未及时进行回顾与分析，可能导致无法有效掌握事件发生的缘由，总结分析事件原因和应对措施，同时丰富自身的管理知识库，以防范类似事件发生，提升类似事件的处置效率。
R5011生产责任事件问责生产责任事件未遵循“实事求是、权责统一、有责必究、尽职免责”的原则严格按照相关流程进行问责生产责任事件未遵循“实事求是、权责统一、有责必究、尽职免责”的原则严格按照相关流程进行问责，可能导致责任认定和处理不当。
R5012变更管理职责定义变更管理岗位职责定义不明确，或者对应的评估审核与实际操作职责未有效分离变更管理流程中的岗位职责定义不明确，或相关评估和审批职责与实际操作执行职责未有效分离，有可能导致实际变更因为缺少有效的评审或操作过程缺少复核而变更失败，从而影响系统的稳定运行；或定责不清导致互相推诿的情况发生。
R5013变更分类变更未进行分类管理，未针对不同的变更类型采取不同的要求未对变更进行分类管理，不能针对不同的变更类型采取不同的管理和审核要求，可能导致部分特殊类型变更，如重要变更或应急变更因为失去控制而失败，一定程度上影响系统运行。
R5014变更时间窗口定义变更时间窗口未按照变更对象分类进行详细规定未根据变更对业务的影响，对不同变更对象制定不同的变更时间窗口，可能导致变更操作影响业务正常运行。
R5015变更计划缺乏必要的变更验证方案，或验证方案不具体缺乏必要的变更验证方案，或验证方案不具体（比如业务验证方案），可能在变更操作完成后，无法保证变更目标是否能有效达成，同时可能变更上线后对其他系统的影响也无法得到评估。
R5016变更审查及审批变更未由规定人员或组织按照相关制度进行审查及审批，或评审过程中考虑内容不全面变更未由规定人员或组织按照相关制度进行审查及审批，或评审过程中考虑内容不全面，可能导致变更前的准备、变更实施方案、变更中蕴含的风险等不能被充分评估，增大了变更失败的概率。
R5017变更实施变更实施未按照已审批的变更计划执行变更操作未按评审的变更计划（包括变更的时间窗口、变更操作步骤）执行，未在变更前按要求开展相应的检查和核对工作，增加了变更失败、业务运行受影响的风险。
R5018紧急变更在实施前未能获得有效审批，变更执行后未能补充完成审批流程紧急变更流程执行不严谨，可能导致紧急变更的影响不能被有效评估，仓促开展变更的失败风险增加，从而影响业务的正常运行。
R5019变更实施过程中未保证双人操作，复核控制不到位变更实施过程中未保证双人操作，一人操作，一人复核，可能导致变更错误操作概率增加，而导致变更失败。
R5020变更验证变更实施后未根据变更验证方案进行验证变更实施后未认真检查现场执行结果，根据变更验证方案进行验证，可能导致无法及时识别变更方案中存在的缺陷或变更操作问题，而影响业务开展。
R5021变更反馈变更实施后未对实施结果进行调整、中止和回退变更实施后，发生相关紧急情况，未进行必要的调整、中止和回退操作，可能导致无法及时对变更缺陷进行弥补，影响业务的运行。
R5022环境同步变更实施完成后，未立即对本地高可用环境和灾备环境进行同步更新变更实施后，未对本地高可用环境进行同步更新，可能导致变更利用不充分；未对灾备环境进行同步更新，可能导致灾难发生时，没有相应备份系统可供及时切换，影响生产运行的恢复。
R5023重大变更报送重大变更实施前未依照相关规定及时上报相关监管部门或变更实施结束后，未及时向相关部门报送变更实施结果重大变更实施前未依照相关规定及时上报相关监管部门或变更实施结束后，未及时向相关部门报送变更实施结果，可能导致合规风险的存在。
R5024变更记录归档变更过程信息记录不完整，或未进行及时归档保存变更过程信息记录不完整，或未及时归档保存，或者变更文档记录缺少检查，可能会影响日后的变更回顾和评价工作，同时变更管理流程中存在的执行缺陷和变更工单质量也得不到修正。
R5025变更分析评价相关变更管理人员未能根据相关规定定期收集、跟踪各类变更的实施情况进行分析评价，编制变更管理报告相关变更管理人员未根据相关规定定期收集、跟踪各类变更的实施情况进行分析评价，编制变更管理报告，可能导致变更管理过程中存在的问题无法被识别，变更管理流程得不到优化和完善。
R5026问题管理问题识别问题来源不全面，问题定义不充分问题提出和问题识别缺乏明确的标准，问题来源不明确或不全面（比如事件升级问题、风险事件引发问题、科技检查和评估、风险审计等），可能导致问题不能被全面识别，从而无法得到及时有效的分析与解决。
R5027问题受理问题受理后相关人员未对问题报告进行有效评估和审核问题报告未经过审核，或审核要素不全面(如：是否为问题，是否为重复记录的问题，问题报告内容是否准确、完整等，可能导致因问题报告有误，或问题内容记录不准确、不完整，问题分派不合理，影响问题解决方案制定及问题的有效解决。
R5028问题分派问题受理审核后问题分派不及时或分派不合理问题受理审核后问题分派不及时或分派不合理，可能导致问题解决方案不准确，影响问题解决效率。
R5029问题处理问题解决人员未根据问题优先级别确定问题解决的优先顺序问题解决人员未根据问题优先级别确定问题解决的优先顺序，未优先对问题级别较高的问题进行分析，可能导致重要问题不能及时得到有效解决。
R5030问题解决方案实施前缺乏有效审核问题解决方案未按照相关管理流程经过有效审核，解决方案中存在的潜在问题不能被发现，导致问题处置不当，影响问题处置的有效性，也可能会对生产系统的稳定运行带来影响。
R5031问题反馈问题解决后未依据相关流程进行反馈，问题处理结果未得到审核确认问题解决后未依据相关流程进行反馈，问题处理结果未得到审核确认，可能导致问题未能够实际解决。
R5032问题跟踪问题管理人员未定期通报问题解决情况，对未解决的问题进行跟踪问题管理人员未定期通报问题的解决情况，对未解决的问题进行跟踪，可能导致问题解决效率低，甚至问题长期不能有效解决。
R5033问题关闭问题管理人员未依据相关规定执行问题关闭操作问题解决后，问题管理人员未依据相关规定观察确认问题是否真正解决，未执行问题关闭操作，可能导致问题解决过程中反映的质量问题不能识别，问题处理流程和工单质量得不到优化。
R5034问题评价及报告问题分析评价不到位，未制定问题管理的改进计划，未对问题解决过程进行持续改进问题分析评价不到位，未制定问题管理的改进计划，未对问题解决过程进行持续改进，导致问题解决方案不能得到充分利用和改进，影响后续问题解决效率和质量。
R5035配置管理权限分配配置管理实施人员权限分配不清晰配置实施人员权限分配不清晰，导致非授权人员执行配置管理操作或配置管理混乱，无法统一管理配置数据库，无法为系统日常运行以及无法及时为维护决策提供支持，或因定责不清导致互相推诿。
R5036配置项定义配置项定义不明确，或配置对象定义不明确缺乏有效的、明确的配置对象定义，配置项不完整或颗粒度不清晰，无法与运维全景环境进行匹配，可能导致无法为运维全景环境提供支持。同时配置项定义不清晰也可能造成配置数据库的维护成本大量增加，浪费运维资源。
R5037配置项审核配置项新增、变更以及属性修改实施前未经过有效审核配置项新增、变更以及属性修改前未经过有效审核，未经审核的配置实施，可能导致错误或不适当的配置内容生效，导致配置数据库无法应用于运维工作，配置工作失效。
R5038配置复核配置项新增、变更以及属性修改结果未进行有效复核未对配置项新增、变更以及属性修改的结果进行有效复核，对配置操作的准确性缺少全面有效的控制措施，可能导致错误的配置操作没有被及时识别，从而带来较大的系统隐患。
R5039配置项检查未定期对系统配置项配置进行检查未定期组织开展对系统配置项配置的检查，可能导致错误或不适当的配置内容无法及时发现，影响正常生产，最终可能影响生产活动持续高效的开展。
R5040服务台管理服务台定位IT服务台缺少清晰的定位，也缺乏明确的职责定义和服务范围定义缺乏清晰的定位和职责认定，有可能导致服务台的作用无法有效发挥，无法为业务和IT用户提供高质量的IT服务，影响整体IT价值的实现。
R5041服务目录定义服务目录缺乏明确定义缺少清晰的服务目录定义或者服务目录设置不全面，可能导致来自业务和IT的服务请求无法得到及时响应和处理，IT服务价值无法衡量和体现，增加了IT服务的总体成本。
R5042服务渠道服务受理渠道未能明确，或服务受理渠道未得到有效发布，缺乏统一管理缺少清晰的服务渠道，无法形成IT服务的统一入口，极大影响了服务响应的速度，一定程度上也降低了IT资源的有效利用，也影响了IT服务价值的体现。
R5043服务处理服务处理流程不明晰服务流程不明晰，有可能导致服务请求无法得到及时有效处理，影响IT服务效果。
R5044服务结果跟踪服务请求处理结果未能有效及时跟踪未对服务结果进行跟踪和分析，又可能导致长期存在的服务质量问题无法发现，服务流程无法得到改善，影响整个IT服务台的运行效果，IT服务价值无法体现。
R5045容量与性能管理职责定义容量与性能管理职责定义不明确，缺少容量管理专业岗位设置容量与性能管理缺乏明确的职责定义，缺乏必要的容量管理岗位，可能会造成性能和容量缺少统一的管理标准，不能有效评估容量风险，缺乏业务接口，有效识别业务变化所带来的容量风险。
R5046容量指标容量指标设计输入来源不全面，指标定义不准确性能和容量指标设定信息输入不全面，有可能导致指标设计不合理，部署到实际生产环境后无法开展有效的监控，不能和实际生产运行状态相匹配，容量问题无法及时发现。
R5047容量指标部署前缺乏必要的评估和审批性能和容量指标部署前缺乏必要的评审，或评审缺乏关联团队参加，有可能导致设计的指标不准确，无法满足实际监控需求，容量问题不能及时被发现。
R5048容量指标缺少定期评估未定期评估容量指标，无法保证基础容量指标与业务量相匹配，无法保证容量指标的有效性。
R5049监测分析系统容量缺乏必要的监测，监测结果分析不充分未对系统容量日常监测进行有效分析，可能导致不能及时识别系统容量不足的风险，无法及时调整。
R5050监测阈值未进行及时有效更新当系统发生重大变化或更新的时候未及时更新容量阈值，导致容量监测无效。
R5051容量评估容量评估工作未能定期开展，或评估要素不充分未根据系统的承载业务情况设计定期评估机制，或者评估时候考虑的因素不充分，无法准确地拟定容量管理应对方案，产生容量不足的情况。
R5052容量评估结果缺乏有效的应对措施未能根据容量评估结果制定必要的应对措施，或者应对措施缺乏必要的风险评估和审批，可能导致容量优化措施无法得到落实，存在容量风险的系统增加了风险事件发生的可能。
R5053容量规划和计划容量规划不准确，未做有效评估容量规划和计划缺少必要的信息输入(比如系统状态、业务量变化等)，有可能导致规划或计划不符合业务当前系统现状和业务发展要求，不能满足未来容量的需求，引发容量风险事件。
R5054监控与操作管理监控管理监控指标和报警级别设计未经过有效审核监控指标和报警级别设计标准未经过有效审核，导致监控指标和阈值不准确，影响监控告警的有效性。
R5055监控覆盖范围不全面未全面覆盖所有重要信息系统的重要配置项，导致异常无法及时发现，可能对生产环境造成破坏，影响业务开展。
R5056监控策略缺乏必要的优化未能根据系统变化或生产事件分析结果开展监控策略分析，并进行优化，可能导致无法充分发挥监控效用，导致大量的生产事件无法及时被发现和处置，影响生产运行的持续性。
R5057监控报警处理情况未被有效跟踪未有效跟踪监控报警的处理情况，报警与工单未进行有效核对，无法确定报警是否得到有效处理。
R5058日常巡检针对系统运行情况未进行日常巡检针对系统运行情况，包括监控系统，未安排日常巡检，可能导致无法及时发现系统运行异常并采取应对措施。
R5059可用性管理服务时间确定各单位业务部门未按规定提供信息系统的服务时间各单位业务部门未按规定提供信息系统的服务时间，服务时间无法确定，可能导致可用率目标计算不准确，可用性情况分析有误。
R5060可用率目标制定与调整可用率目标制定时未全面覆盖规定的对象范围可用率目标制定时未全面覆盖规定的对象范围，如重要信息系统、生产及办公网络等，可能导致对于信息系统的可靠性、可维护性和管理水平的判断有误，无法对信息系统进行有效维护或改进。
R5061可用率目标制定时考虑不全面，制定不准确可用率目标制定时考虑不全面，制定不准确，可能导致对于信息系统的可靠性、可维护性和管理水平的判断有误，无法对信息系统进行有效维护或改进。
R5062可用率目标未按相关要求及时修订可用率目标未按相关要求及时修订，可能导致对于信息系统的可靠性、可维护性和管理水平的判断有误，无法对信息系统进行有效维护或改进。
R5063可用率目标发布前未经有效审核可用率目标发布前未经有效审核，可能导致无法及时发现制定不准确的可用率目标并及时修改，对于信息系统的可靠性、可维护性和管理水平的判断有误，无法对信息系统进行有效维护或改进。
R5064可用率数据采集与计算可用率未依据相关规则计算，计算不准确可用率未依据相关规则计算，计算不准确，可能导致可用率计算不准确，无法准确了解信息系统当前的可靠性、可维护性和管理水平。
R5065可用率分析与报告可用性管理人员未按相关要求对可用率情况进行分析并报告可用率管理人员未按相关要求对可用率情况进行分析并报告，可能导致可用率无法有效利用，并且无法对信息系统进行有效维护或改进。
R5066服务水平管理服务水平指标服务水平指标不全面未能充分识别适用的服务水平指标，导致服务水平指标无法全面评估服务水平。不能全面覆盖服务流程和服务内容，遗漏的服务水平降低时不能被及时识别。?
R5067服务水平指标不准确定义的服务水平指标不准确或不适当，不能准确体现所要评估的服务水平领域。指标失真造成服务水平评估无法衡量真实的服务效果。
R5068服务水平指标分析评估不到位服务水平指标的采集、分析、评估不到位，无法及时准确的识别服务水平的真实情况，无法为服务优化提供输入。
R5069服务水平控制服务水平评估发现的问题未得到改进服务水平评估结果未与团队及员工绩效相关联，服务水平指标分析发现的问题无法得到及时有效的改进，服务水平无法达到预期目标。

风险
? ?编号		?
风险/流程
风险名称风险说明
一级
? ?风险/流程		二级
? ?风险/流程		三级
? ?风险/流程
R6001业务连续性管理组织架构及职责日常管理组织结构及职责定义日常管理组织架构不健全不健全的业务连续性日常管理组织架构，可能导致业务连续性管理无法在日常工作中得到有效执行，增加风险事件发生的可能性。
R6002日常管理各级组织的职责未明确定义未能明确业务连续性日常管理各级组织的职责，可能导致无法或未能执行必要的管理工作。
R6003应急管理组织架构及职责定义应急管理组织架构不健全不健全的业务连续性应急处置组织架构，可能影响运营中断事件发生时进行事件决策、指挥、执行和报告，影响事件处置效率和效果，可能导致北京银行不能有效应对各类场景的业务运营中断事件。
R6004应急管理的职责未明确定义未能明确业务连续性应急管理各级组织的职责，可能导致无法或未能执行必要的管理工作。
R6005业务影响分析与风险评估识别和确定重要业务重要业务识别不全面重要业务识别不全面，可能导致该重要业务持续运营的一整套管理过程，包括策略、组织架构、方法和程序等未能建立，最终导致业务连续性管理不全面。
R6006分析业务中断影响业务中断影响分析不充分业务中断影响分析不充分，可能导致无法准确反映中断时可能造成的各项损失与恢复成本，无法确定业务恢复时间要求（业务RTO）、业务恢复点要求（业务RPO)，以及无法明确业务重要程度和恢复优先级别。
R6007识别必要资源必要资源识别不充分业务影响分析中对必要资源（信息系统资源、数据中心资源等）识别不充分，造成事件发生时不能合理调配资源甚至缺少必要资源，影响业务运营恢复。
R6008信息系统恢复顺序信息系统恢复顺序不准确未根据业务中断影响分析，或未结合业务与信息系统的对应关系，或未结合信息系统之间的依赖关系、或未考虑业务或信息系统的重要性，可能导致信息系统恢复顺序不准确。
R6009信息系统恢复指标信息系统恢复指标不准确未根据业务中断影响分析、或未考虑应急响应时间、业务恢复验证时间，无法确定信息系统恢复至正常服务水平的指标，可能导致信息系统恢复指标不准确。
R6010业务影响分析持续更新业务影响性分析不及时未定期进行业务影响分析，或在重大新业务上线、业务发生重大变更或业务运行内、外部环境发生变化时，未对业务影响进行分析，可能导致重要业务的识别、重要业务中断影响的分析、重要业务恢复所需资源识别、信息系统恢复顺序和恢复指标等内容得不到及时更新。
R6011风险识别必要资源的风险识别不充分对可能造成重要业务中断的必要资源面临的风险识别不充分，包括各类威胁识别不充分，或必要资源本身的脆弱性识别不充分，可能导致无法确定存在隐患的区域，造成无法识别必要资源在某些领域存在的风险。
R6012风险分析必要资源的风险分析不充分未对已识别的风险及其特征进行分析，包括未对风险成因、风险发生的可能性和影响程度等进行分析，有可能无法明确风险防范措施及所需资源的优先级别。
R6013风险评价风险未被有效评价未对已识别的风险点的现有控制措施进行评价，或者未对现有控制制定改进措施并标识残余风险，可能无法确定风险的大小或等级。
R6014制定控制措施风险防范和控制措施制定不充分未根据风险评估结果制定风险防范和控制措施，或风险防范和控制措施制定不充分，可能导致无法对风险进行防范或缓释。
R6015持续风险评估风险评估不及时未定期对关键资源进行风险评估，或业务运营内外部环境发生变化后进行风险评估，可能导致无法及时识别必要资源面临的各类威胁，以及无法及时识别关键资源本身的脆弱性，以及无法及时开展后续的风险评价以及制定相关控制措施以防范风险。
R6016业务连续性策略与计划业务恢复策略业务恢复策略制定不完善业务恢复策略制定不完善，可能导致信息系统恢复策略、后勤保障策略、危机公关策略的制定存在偏差，导致策略指导下的工作偏离正确的方向。
R6017信息系统恢复策略信息系统恢复策略制定不完善信息系统恢复策略制定不完善，可能导致信息系统灾备体系规划、高可用性建设方案，以及相关预案建设等不能满足业务恢复要求。
R6018后勤保障策略后勤保障策略制定不完善后勤保障策略制定不完善，可能导致办公场地及办公资源策略、人员保障策略的制定不能满足后续预案制定的要求。
R6019危机公关策略危机公关策略制定不完善危机公关策略制定不完善，可能导致基于危机公关策略制定的应急预案存在缺陷，或危机公关管理工作出现偏差，不能有效应对危机。
R6020业务连续性持续更新业务连续性策略更新不及时未定期更新业务连续性策略，或未根据业务影响分析和风险评估结果，或未根据业务运营内外部环境发生变化及时进行策略更新，可能导致无法有效指导开展各项业务连续性管理工作。
R6021业务连续性计划业务连续性计划制定不完善业务连续性计划制定不完善，可能导致业务连续性总体应急预案、专项应急预案等内容不完善、预案维护管理要求不完善，进而影响业务连续性工作的开展。
R6022总体应急预案业务连续性总体应急预案制定不完善业务连续性总体应急预案制定不完善，可能导致无法明确各层级预案的定位与关系，无法明确各类运营中断事件的总体组织架构，无法合理规定处置事件的预警、报告、分析、决策、处置、恢复等全过程的机制与流程。
R6023业务专项应急预案重要业务专项应急预案制定不完善重要业务的专项应急预案制定不完善，没有明确在不同中断场景下的应急响应与处理流程，导致在特定危机事件发生时可能出现对应应急预案不可用或者无对应应急预案内容的情况，影响应急响应处理工作。
R6024信息系统专项应急预案信息系统专项应急预案制定不完善信息系统专项应急预案制定不完善，没有明确在不同中断场景下的应急响应与处理流程，导致在特定危机事件发生时可能出现对应应急预案不可用或者无对应应急预案内容的情况，影响应急响应处理工作。
R6025应急保障类专项应急预案应急保障类专项应急预案制定不完善应急保障类专项应急预案制定不完善，没有明确在不同场景下的危机事件的应急响应与处理流程，导致在特定危机事件发生时可能出现对应应急预案不可用或者无对应应急预案内容的情况，影响应急响应处理工作。
R6026外部机构协作机制未与外部机构建立协作机制未与外部机构建立有效协作机制，可能导致在灾难恢复时不能及时获取外部支持
R6027供应商能力评估缺乏对外部供应商应对突发状况的能力的评估缺乏对外部供应商应对突发状况的能力的评估，可能在外包商遇到突发状况时，无法快速恢复，进而影响北京银行的业务。
R6028文档管理业务连续性计划及相关应急文档资料归档不完整业务连续性计划及相关应急文档资料归档不完善，可能导致业务连续性管理过程无法追溯。
R6029应急预案持续更新应急预案未定期进行检查和审阅应急预案未定期进行检查和审阅，可能导致应急预案没有根据业务的发展变化而及时更新，导致应急预案失效，突发事件发生时无法指导事件的解决。
R6030业务连续性资源建设资源界定与识别资源界定与识别不全面业务连续性资源建设中对必要资源（信息系统资源、数据中心资源等）识别不充分，可能导致备用资源建设不完整。
R6031资源保障原则信息系统保障性建设不充分信息系统保障性建设不充分(如同城/异地灾备中心建设，数据备份执行和有效性测试，系统和设备的冗余规划和配备等)，可能导致在运营中断事件中，不能迅速反应，影响业务恢复。
R6032资源保障规划资源使用规划不全面未明确对备用资源使用的有效规划，可能导致紧急事件发生时应急资源优先级分配不恰当，从而影响业务恢复。
R6033人员储备人员储备不充分人员储备不充分，或未明确关键流程岗位配备A/B岗或具备相应技术素质的人员，可能导致运营中断事件时由于人员不能及时到位，或人员素质较低而影响应急工作的有效性。
R6034场所资源未建设或配备备用运行场所未建设备用信息系统运行场所，或未配备备用业务和办公场所资源，可能导致由于紧急事件发生时系统运行场所无法保障而影响业务恢复。
R6035业务连续性演练与持续改进演练方案业务连续性演练方案制定不完善业务连续性演练方案制定不完善，可能导致无法按照业务连续性预案的内容和操作流程进行应急演练，无法客观实际地检验业务连续性预案的完整性、明确性和有效性。
R6036演练实施应急演练准备和实施工作不充分应急演练准备和实施工作不充分，无法保障应急预案的有效性，一旦发生应急事件，无法及时有效地开展应急工作
R6037演练评估应急演练结果未经有效记录和评估应急演练结果未经有效记录和评估，未在演练结束后进行总结，可能导致应急预案得不到完善与改进，不利于日后突发应急事件的处理。
R6038培训业务连续性管理培训机制不完善业务连续性管理培训机制不完善，缺少应急演练培训，可能导致其在紧急情况下不能科学、有效进行事件响应；缺少业务恢复培训或系统恢复培训，可能导致无法保障应急事件发生时的应急处置效率。
R6039演练整改未对演练中出现的问题进行整改未对演练中出现的问题进行整改，可能导致发现的问题无法有效处理，为演练的有效性留下隐患，最终可能导致风险事件发生时无法有效的应对。
R6040新业务产品纳管新业务产品应纳管而未纳管如新业务产品应纳入而实际却未纳入业务连续性管理范围的，可能导致在该业务遇到中断时没有相应的应急预案来进行恢复处置。
R6041更新业务连续性预案重大变更的业务未及时更新其业务连续性预案做出重大变更的业务未及时对业务连续性预案进行变更，可能导致在该业务遇到中断时没有相应的应急预案来进行恢复处置。
R6042业务连续性体系评估未定期对业务连续性体系评估。未定期对业务连续性体系评估，可能导致业务连续性体系的完整性、合理性、有效性得不到保证。
R6043业务连续性管理审计未对业务连续性管理开展情况进行审计未对业务连续性管理开展情况进行审计，可能导致业务连续性管理缺乏监控，无法保障业务连续性管理实际工作效果符合管理层预期。
R6044运营中断事件应急处置风险监测与预警体系运营中断事件的风险监测与预警体系建立不完善运营中断事件的风险监测与预警体系建立不完善，可能导致业务系统运行有关环境、系统运行情况、业务处理中心与数据中心等关键场所存在的问题无法及时发现。
R6045运营中断事件分级运营中断事件分类分级标准不准确对事件分级分类制定不准确，可能导致无法针对不同级别的运营中断事件进行分类处理，造成资源分配可能不合理。
R6046运营中断事件跟踪相关管理人员未依据相关流程跟踪事件处理情况相关管理人员未依据相关流程跟踪事件处理情况，可能导致无法督促事件处理进程，事件处理效率低，或无法得到处理。
R6047运营中断事件升降级事件升降级未得到正确处理事件升降级未得到及时正确处理，可能导致事件未能得到及时正确的处理。
R6048运营中断事件响应事件响应处理不及时事件响应处理不及时，包括未及时启动应急预案、实施灾难备份切换等，可能导致运营中断事件得不到及时有效的处理。
R6049运营中断事件信息沟通运营中断事件处理中缺乏对外沟通运营中断事件处理中缺乏对外沟通，未开展告知、安抚工作，或未进行舆情监测，可能导致事件产生的负面影响扩大，无法为应急处置做好充足的保障工作。
R6050运营中断事件记录未对中断事件应急处置过程进行完整记录未对中断事件应急处置过程进行完整记录，可能导致无法进行事件追踪，无法对事件进行定责。
R6051危机处理机制未明确的业务运营中断事件的应急处理机制与处理流程未明确的业务运营中断事件的应急处理机制与处理流程，可能导致危机事件发生时，北京银行与客户、媒体沟通不充分，从而造成负面影响。

风险
? ?编号		?
风险/流程
风险名称风险说明
一级
? ?风险/流程		二级
? ?风险/流程		三级
? ?风险/流程
R7001信息科技外包管理外包管理组织外包管理组织架构定义外包管理组织结构不完善缺乏明确定义的信息科技外包管理组织或组织结构不合理，无法对信息科技外包进行统一管理，可能导致信息科技外包策略、管理措施无法有效实施，影响北京银行外包战略目标的实现，或产生信息科技外包管理合规风险。
R7002外包管理职责定义外包管理部门的职责未明确定义信息科技外包管理部门的职责未明确定义，以及对信息科技外包的管理职责存在交叉或空白，可能导致无法有效开展外包管理工作，产生信息科技外包管理合规风险。
R7003外包战略及风险管理外包分类外包分类不清晰外包分类不清晰，可能导致无法有针对性地开展外包管理,无法在达到有效管理重要风险的前提下降低管理成本。
R7004外包策略定义外包策略定义不完善没有完善地定义IT外包策略，可能导致外包策略发展方向上的偏离，无法支撑业务战略的实现。
R7005外包策略更新外包策略未及时根据外部环境和IT战略的变化而调整IT外包策略没有及时根据外部环境和IT战略的变化而调整，可能导致IT外包与IT战略无法完全匹配，影响IT外包工作的实施。
R7006外包风险识别外包风险识别不完善外包风险识别不完善，可能无法确定外包风险存在隐患的所有区域，可能导致无法识别在某些领域存在的外包风险。
R7007重要供应商风险评估未对重要的供应商进行定期的风险评估未对重要供应商开展检查与评估，或检查与评估的内容不充分，使得北京银行无法了解供应商真实情况，无法准确判断是否聘用该外包供应商。
R7008外包管理风险评估未开展外包风险管理评估未开展外包风险管理评估，或评估不充分，可能导致无法了解外包管理部门的管理情况，不能及时发现风险隐患。
R7009供应商及服务管理供应商考核对供应商考核管理不完善，对实施过程风险控制不足对外包服务供应商进行的考核管理不完善，导致北京银行外包管理部门及管理层无法了解供应商的真实情况，无法采取有针对性的管理措施。
R7010供应商分级定义未对供应商进行分级未对外包服务供应商进行分级管理，或对供应商分级时未充分考虑外包服务资质与重要性程度，可能导致不能在达到有效管理重要风险的前提下降低管理成本。
R7011供应商级别更新未对供应商分级进行更新并采取对应管理措施未及时更新外包服务供应商的分级情况，可能导致对重要的供应商未及时给予应有关注或给予不重要的供应商过度关注，增加供应商管理风险和成本。
R7012供应商资质供应商资质要求不完善供应商资质要求不完善，可能导致无法保证供应商提供服务的质量（技术能力、人力资源和设施、环境等）。
R7013尽职调查未在合同签署前完成对供应商的尽职调查或尽职调查的不充分未在合同签署前完成对供应商的尽职调查或尽职调查的不充分，可能导致选择的IT外包供应商因提供虚假信息或潜在的风险无法被及时识别，进而对合同后续执行质量和进度产生不可控风险。
R7014合同管理流程缺乏有效的合同管理流程缺乏有效的合同管理流程，可能导致合同的起草、签订、管理和变更无法得到统一的控制，进而造成合同无法得到有效的履行。
R7015合同制定合同条款制定不完善合同条款制定不完善，可能导致在引起合同纠纷时，北京银行的利益得不到保障。
R7016服务水平协议服务工作说明书制定不完善或指标制定不准确服务工作说明书制定不完善或指标制定不准确，可能导致无法有效地评价和监督供应商提供的服务水平，无法实现对供应商提供的服务进行监督和约束。
R7017供应商合同合同或协议中未明确要求安全和保密方面的责任合同或协议中未明确要求安全和保密方面的责任，可能导致信息泄露的风险。
R7018分包转包管理?合同或协议中未明确要求服务提供商禁止分包、转包未对分包、转包进行明确要求，或未明确哪些服务可以进行分包、转包，在合同履行过程中缺少有效手段检查其是否违反了分包、转包的要求。造成服务内容与合同不符，服务质量低下甚至带来法律纠纷风险。
R7019分包转包管理?分包、转包检查手段不完善缺乏分包、转包检查手段，可能导致无法发现供应商对外包服务进行分包、转包，造成服务内容与合同不符，服务质量低下甚至带来法律纠纷风险。
R7020外包人员培训驻场外包人员安全培训不足，对北京银行管理要求缺少认知由于未对驻场外包人员进行入场前和持续性的信息安全培训，使得驻场外包人员不了解北京银行的管理要求，可能导致驻场外包人员安全意识与安全技能不足，给北京银行带来风险隐患。
R7021外包人员访问控制驻场外包人员安全控制不足未能严格按照“知所必需”原则，对驻场外包人员系统资源的访问进行控制，或者缺少对外包人员的安全防控手段，可能导致驻场外包人员滥用或非授权使用资源，造成信息泄漏。
R7022供应商定期检查未对外包供应商进行定期检查未对外包供应商进行定期检查，可能导致无法及时发现供应商存在的潜在风险。
R7023新技术外包风险评估新技术评估不及时或不充分未对新技术或应用进行评估，可能导致新技术或应用的引入而增加额外的信息安全风险与成本，并对原有系统的稳定性造成影响。
R7024交付物安全重要或核心的信息系统开发交付物未进行源代码检查和安全扫描未对重要或核心的信息系统开发交付物进行源代码检查和安全扫描，可能导致交付物中存在恶意代码，造成北京银行信息泄露，以及客户与北京银行的资金损失。
R7025质量监控机制质量控制及差异处理机制不完善缺乏完善的实施过程质量控制及差异处理机制，可能导致无法及时监控服务质量、及时矫正质量偏差。
R7026外包质量监控指标缺乏明确定义或完善的服务质量监控指标体系缺乏明确定义或完善的服务质量监控指标体系，可能导致对项目进度、成果、人员、成本等的监控缺乏针对性，有可能无法及时发现或全面反映潜在的信息科技风险隐患并予以处置。
R7027外包服务质量监控供应商服务质量持续监控不足供应商服务质量持续监控不足，可能导致无法及时发现项目中的偏差，无法督促问题及时整改。
R7028外包服务后评价外包服务后评价机制不完善缺乏完善的外包服务后评价机制，可能导致无法准确全面衡量供应商提供的IT外包服务水平和服务质量。
R7029外包风险监控未对外包项目进行风险监控项目实施阶段缺乏对项目风险的持续监控，可能导致项目的技术、管理、成本等风险显著增大。
R7030外包服务水平监控
? ?外包供应商服务水平监督不充分		缺乏对供应商服务水平的监督，可能导致无法衡量供应商所提供的服务是否达到服务水平协议约定的水平，无法有效约束供应商的服务。
R7031验收标准外包项目验收标准制定不清晰缺乏明确的验收准则及差异处理机制，可能导致无法保证交付物符合验收通过要求。
R7032外包人员考核缺乏对外包人员的考核管理缺乏对外包人员的考核管理，可能导致无法实际衡量外包人员的服务水平，也无法调动外包人员的积极性。
R7033外包人员变更未建立外包人员变更流程未建立外包人员变更流程，北京银行与供应商未达成一致，有可能造成外包人员频繁变更，外包人员质量不高等情况，影响北京银行工作开展。
R7034外包服务中断外包服务中断的处理流程不完善外包服务中断的处理流程不完善，可能导致项目成本增加，延缓项目进度，影响项目质量。
R7035人员退场缺乏规范的人员退场流程缺乏规范的人员退场流程，可能导致无法有效管理人员退场，无法对外包人员使用的资源进行回收，或未对外包人员处理的工作进行交付。
R7036供应商退场未明确供应商退出机制与流程缺乏供应商退出机制，可能导致无法保障项目交付完成及北京银行在外包项目上使用的资源回收。
R7037非驻场外包管理外包决策未正确决策是否使用非驻场外包服务未正确决策是否使用非驻场外包服务，可能导致影响北京银行业务目标的达成，无法保障信息科技外包工作有效开展。
R7038准入标准内控与风险管理标准未建或不完善内控与风险管理标准未建或不完善，可能导致选择的非驻场集中式供应商准入的最低标准不明确。
R7039准入评估未对非驻场供应商进行评估未对非驻场供应商进行评估，可能导致不合格的供应商准入。
R7040报告报送报告不及时未按照监管要求在非驻场集中式外包服务合同签订前向银监会或其派出机构报告，或未报送董事会和高管层，可能导致造成监管合规风险。
R7041合同条款合同未包含监管要求的必备条款非驻场集中式外包合同未包含监管要求的必备条款，可能导致监管合规风险。
R7042日常监测未对非驻场集中式外包活动进行日常监测未对非驻场集中式外包活动进行日常监测，可能导致北京银行无法了解非驻场集中式外包活动的真实情况，不能及时发现风险隐患。
R7043实地检查未对重要的非驻场外包服务进行实地检查未对重要的非驻场外包服务进行实地检查，可能导致北京银行无法了解非驻场集中式外包活动的真实情况。
R7044评估审计未对非驻场集中式外包供应商进行外部评估或审计北京银行未对非驻场集中式外包活动进行外部评估或审计，可能导致无法及时发现非驻场集中式外包活动中的问题。
R7045问题整改未对评估、审计中发现的问题进行整改或者整改不到位未对评估、审计中发现的问题进行整改或者整改不到位，可能导致相关问题的风险依旧存在。
R7046集中度管理集中度识别外包供应商集中度识别不充分缺乏对高集中度供应商的识别，可能导致无法有效识别高集中度供应商的风险，无法对高集中度供应商实施有效针对性管理，导致服务连续性中断。?
R7047集中度控制未对高集中度外包供应商进行管控未对高集中度外包供应商进行管控，或在某些外包领域集中度过高，可能导致北京银行对高集中度供应商的依赖。
R7048外部监管报告特定外包服务报告未按照监管要求对特定外包服务进行报告未按照监管要求在特定外包服务合同签订前向银监会或其派出机构报告，可能导致监管合规风险。
R7049重大外包事件报送未按照监管要求在外包活动发生重大事件时进行报送未按照监管要求在外包活动发生重大事件时进行报送，可能导致监管合规风险。
R7050外包应急管理管控措施未建立风险控制、缓释或转移措施未事先对业务连续性管理造成重大影响的外包服务建立风险控制、缓释或转移措施，可能导致外包突发事件的发生概率增大及影响范围、程度扩大。
R7051应急预案制定外包风险应急预案不完善缺乏完善的外包应急预案或应急预案涵盖面不全，可能导致一旦发生应急事件，无法确保在最短的时间内有效应急。
R7052应急预案更新外包服务应急预案未定期更新外包服务应急预案未定期更新，可能导致预案可执行性降低或不可执行，无法实现服务恢复目标。
R7053应急场景服务中断场景制定不完善服务中断场景制定不完善，或未针对重要外包服务中断的场景制定相应的应急预案，可能导致无法及时有效地应对IT外包中出现的特定场景的突发事件。
R7054演练执行应急演练执行不充分应急演练执行不充分，或未定期进行演练，可能导致一旦发生应急事件，无法及时有效地开展应急工作。
R7055执行处置未按照外包服务中断应急预案进行服务中断处置未按照外包服务中断应急预案进行服务中断处置，可能导致业务恢复失败或恢复效率低下。

风险
? ?编号		?
风险/流程
风险名称风险说明
一级
? ?风险/流程		二级
? ?风险/流程		三级
? ?风险/流程
R1001信息科技治理治理架构组织架构信息科技治理框架不完善全行层面的信息科技治理框架不完善，缺乏对关键的IT决策、治理流程、职责划分等明确定义，无法有效地保障全行信息科技工作开展。
R1002部门的信息科技职责未明确定义未明确定义各部门的信息科技职责，无法有效开展信息科技工作。
R1003部门职责分离未设置部门的职责设置未遵循职责分离原则，将有可能因部门职权过大，而导致控制失效。
R1004人员管理资质技能人员资质或技能未具备未配备具有相应资质或技能的人员，无法保证信息科技业务的持续运营，并且会造成服务质量和满意度的下降。
R1005岗位职责人员岗位职责未明确定义未明确定义信息科技人员在信息科技方面的角色和职责，难以有效开展信息科技工作。
R1006关键岗位关键岗位未配置备份人员对关键岗位人员过分依赖，一旦离职或调动，将导致无法保证工作的延续性，以及技能流失或人力不足的风险。
R1007人员招聘人员入职前未进行背景调查未在行员雇佣之前进行背景调查，有可能聘用的行员不符合北京银行及岗位要求，譬如存在技能、道德方面的问题。
R1008人员入职未签订合同、保密协议未与行员签订雇佣合同，雇佣合同中未有明确的条款规定雇员对于信息安全的责任，将无法有效降低行员带来的信息安全风险。
? ?对于接触北京银行重要信息资产的行员，未签订保密协议，无法有效降低重要信息资产的泄露事件发生。
R1009人员配备人员配备不足人员配备不足，有可能存在一人身兼数职的情况，无法保质保量完成工作。
R1010绩效管理薪酬、绩效考核体系不合理未实施合理的薪酬、绩效考核体系，不能吸引并留住优秀的IT人才。
R1011培训培训未开展或不充分由于缺乏足够的培训和知识转移导致信息科技人员因不了解正确的操作而引发操作失误及工作效率低下的风险,或因信息科技人员信息安全意识不强导致信息安全风险。
R1012沟通内部政策等未被有效传达与沟通未能及时将政策、流程以及应遵守的规则要求传达给信息科技人员而导致其违规的风险；由于缺乏沟通导致信息科技人员缺乏对IT管理的目标和要求的理解，导致不能有效贯彻IT风险文化。
R1013违规处罚违规处罚机制不完善缺乏完善的对信息科技人员的惩戒措施和流程，不能起到警示作用，一旦信息科技人员违反北京银行规定，对其处罚没有依据。
R1014雇佣终止与变更离职时相关资产未归还在终止雇佣合同时，行员未归还所持有的北京银行资产，将给银行带来经济损失。未明确人员在离开组织后应遵守的信息安全义务，导致组织的关键信息有被泄露的风险。行员离职或转岗时，未能及时回收相应权限，将有可能非法使用银行信息资产。
R1015合规管理合规识别法律法规合规要求未被识别与遵循未能识别并遵循所有适用于北京银行的法律法规，及监管机构要求,有可能发生合规风险。
R1016知识产权知识产权未被保护或违反知识产权违反法律法规和合同要求，软件许可证协议合规性的行为（例如，使用和/或传播无许可证的软件），有可能导致被诉讼或被处罚的风险。
R1017技术符合性检查所采用技术与安全要求的符合性未被定期检查未能定期检查所采用技术与安全要求的符合性，有可能因技术不适当带来信息科技风险；未定期跟踪新技术，评估现有技术，有可能因技术过时带来信息科技风险。
R1018制度建设体系建设信息科技制度体系不健全制度体系建设不健全，可能导致各领域管理过程中缺少依据。
R1019制度制定论证制度发布前未经过有效性论证制度的制定未经过有效论证，导致不适用的条款发布生效，而无法达到管理目的。
R1020制度更新与修订制度未被回顾与更新未能对已发布制度进行回顾与更新，制度未根据内外部环境变化进行适当调整，可能导致制度无法对相应领域做到有效规范和管理，无法达到管理目的。?
R1021信息科技预算策略制度预算和核算策略制度未被明确及实施未制定明确的预算和核算策略制度并且予以实施，可能导致对成本进行有效控制的缺失。
R1022组织架构预算和核算流程及接口部门未被明确未明确预算和核算的流程以及接口的职能部门，可能导致对成本进行有效控制的缺失。
R1023信息科技战略信息科技战略制定信息科技战略与业务战略不一致信息科技战略不符合北京银行业务发展的总体战略，可能导致信息科技发展方向上的偏离，以及无法支撑业务战略的实现。
R1024信息科技战略更新信息科技战略未及时更新信息科技战略未及时根据信息科技发展的变化更新，可能导致信息科技战略与信息科技发展的现实不符，导致信息科技发展方向上的偏离，以及无法支撑业务战略的实现。
R1025信息科技战略执行信息科技战略执行不到位信息科技战略执行不到位，导致信息科技战略形同虚设，或者信息科技战略未达到当初制定的目的，或者只实现部分信息科技战略目标，未实现全部的信息科技战略目标。
R1026信息科技规划落实信息科技规划执行未进行定期检查未定期检查信息科技规划的执行情况，规划形同虚设，可能存在信息科技规划建设投入不合理的情况。
R1027信息技术架构信息技术架构设计不完善由于新的应用架构或程序与已有的应用架构和技术平台不兼容，未能设计出恢复性强且高可用的应用程序与系统架构。
  区块链 最新文章
盘点具备盈利潜力的几大加密板块，以及潜在
阅读笔记｜让区块空间成为商品，打造Web3云
区块链1.0-比特币的数据结构
Team Finance被黑分析｜黑客自建Token“瞒天
区块链≠绿色？波卡或成 Web3“生态环保”标
期货从入门到高深之手动交易系列D1课
以太坊基础---区块验证
进入以太坊合并的五个数字
经典同态加密算法Paillier解读 - 原理、实现
IPFS/Filecoin学习知识科普（四）
上一篇文章      下一篇文章      查看所有文章
加:2022-04-04 12:17:03  更:2022-04-04 12:17:48 
 
开发: C++知识库 Java知识库 JavaScript Python PHP知识库 人工智能 区块链 大数据 移动开发 嵌入式 开发工具 数据结构与算法 开发测试 游戏开发 网络协议 系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑 笔记本 显卡 显示器 固态硬盘 硬盘 耳机 手机 iphone vivo oppo 小米 华为 单反 装机 图拉丁

360图书馆 购物 三丰科技 阅读网 日历 万年历 2024年11日历 -2024/11/25 20:24:01-

图片自动播放器
↓图片自动播放器↓ 		TxT小说阅读器
↓语音阅读,小说下载,古典文学↓ 		一键清除垃圾
↓轻轻一点,清除系统垃圾↓ 		图片批量下载器
↓批量下载图片,美女图库↓
  网站联系: qq:121756557 email:121756557@qq.com  IT数码