电子银行风险管理指引电子银行风险管理指引电子银行风.pdf

1/22 傳閱文件傳閱文件傳閱文件傳閱文件 003/B/2008003/B/2008003/B/2008003/B/2008- - - -DSB/AMCMDSB/AMCMDSB/AMCMDSB/AMCM ( ( ( (日期日期日期日期: : : : 二零零八二零零八二零零八二零零八年年年年一一一一月七日月七日月七日月七日) ) ) ) 電子銀行風險管理指引電子銀行風險管理指引電子銀行風險管理指引電子銀行風險管理指引 澳門金融管理局（AMCM）根據三月十一日第 14/96/M 號法令第九條和七月五日第 32/93/M 號法令核准之《金融體系法律制度》第六條所賦予的權限，制定本指引 1. 1. 1. 1. 背景背景背景背景 1.1 資訊科技的發展和創新正在改變信用機構的運作方式，也使其能通過電子及互動通訊渠道爲客戶提供銀行服務和産品（下稱“電子銀行”）利用電子銀行，客戶既可以通過私人或公共的網路，包括互聯網，獲得某信用機構提供産品和服務的資訊，又可從網上申請新産品及服務，查看存貸款賬戶及交易餘額，以及在賬戶之間劃撥資金或進行其他的交易1。

1.2 電子銀行帶來效益但也伴隨著風險因此，信用機構應根據風險的種類、複雜性、允許的交易金額及其使用的電子渠道進行風險管理控制 1.3 本指引提出了對電子銀行的風險管理主要原則它適用於在本地註冊的信用機構，也適用於外地信用機構在澳門開設的分行所有正在或準備開展電子銀行業務的信用機構應運用這些原則建立健全、有效的風險管理程序；強化系統運行的可用性、安全和恢復能力；及實施嚴 1 包括用電子方式在儲值卡上儲錢、用儲值卡採購商品和服務、使用自動櫃員機及使用信用機構發行或推廣的付款卡在特約商戶消費等  2/22 格的保密制度和重要的管理守則以保護客戶資料在適用的情況下，本指引也適用於已使用或將使用電子通訊渠道提供服務的其他機構2： (a) 根據第 15/83/M 號法令獲許可經營的財務公司；及 (b) 根據《金融體系法律制度》獲許可經營的金融中介機構和其他金融機構 1.4 電子銀行給獲許可機構帶來風險管理的挑戰相關風險管理過程及進行獨立評估的核心監管要求在下文各段列出，惟本指引所列舉的建議並非終局性的。

獲許可機構應隨著科技的不斷快速發展，適當參照其他相關的行業標準和做法，以保證電子銀行的風險管理程序適時和適用 1.5 AMCM 認同巴塞爾銀行監察委員會（下稱“巴塞爾委員會”）2003 年7月 頒 佈 的 文 件 《 電 子 銀 行 風 險 管 理 原 則 》(http:/www.bis.org/publ/bcbs98.htm)和《跨境電子銀行活動管理和監管》(http:/www.bis.org/publ/bcbs99.htm)列舉的風險管理原則和良好的做法，並鼓勵獲許可機構閱讀和理解這些文件定出的主要原則 2. 電子銀行面臨的風險管理挑戰和其所具有的風險電子銀行面臨的風險管理挑戰和其所具有的風險電子銀行面臨的風險管理挑戰和其所具有的風險電子銀行面臨的風險管理挑戰和其所具有的風險 2.1 巴塞爾委員會認爲，電子銀行的基本特性對銀行機構構成了很多風險管理挑戰： (1) 科技和客戶服務創新的快速變化，對機構要在很短的時間內推出新的業務作業軟件産生了競爭壓力競爭也增強了在運行新電子銀行作業軟件前進行適當的策略評估、風險分析及安全檢查的必要性 2 信用機構及本處所指的其他金融機構，以下簡稱為“獲許可機構”。

 3/22 (2) 交易性電子銀行網頁、零售及批發業務軟件與舊電腦系統的整合，使機構更加依賴於系統設計和結構的安全，以及系統的互通能力和運作的規模效應 (3) 隨著對資訊技術依賴程度的提高，與不受監管的第三方建立夥伴聯盟和簽訂外判協議的趨勢越來越明顯 (4) 公開電子網路的普遍性和全球性使得安全控制、客戶確認、資料保護、審計軌迹和客戶私隱等都變得更加重要 2.2 儘管電子銀行的風險種類不是新的，但其産生方式、重要性和可能後果都出現了新的形式爲監管之目的，AMCM 著重列出以下幾種常見的電子銀行風險，要求獲許可機構充份熟悉這些風險，以便對其進行更好的識別、計量、監測和控制： (a) 策略風險這是指因爲逆向業務決策、執行決策不當或對行業變化缺乏反應而産生的對現時及未來的盈利和資本的影響管理層在決定開發某種特定的電子銀行産品前，應瞭解與電子銀行相關的風險；同時也應考慮此産品和科技與獲許可機構的策略計劃是否相吻合，有否配置適當的專業人員和資源以識別、監測和控制這些風險 (b) 操作風險這是指錯誤或欺詐風險，或系統未能對交易或狀況進行適當記錄、監測和記賬的風險如果業務的計劃、執行和監測不周詳，更高層次的操作風險就會發生。

獲許可機構提供電子銀行産品既要滿足客戶要求，也要保證自身有適當的産品組合和提供準確、準時和可靠服務的能力使用電子渠道進行業務的客戶通常都不能容忍錯誤和遺漏的出現，獲許可機構的電腦和網路系統受到攻擊或入侵是操作風險主要關注之一，獲 4/22 許可機構應建立有效的預防和偵查控制手段，防止其電子銀行系統遭受不當利用此外，獲許可機構應有必要的應急方案和業務恢復計劃，以確保在非常情況下能夠繼續提供不間斷的電子銀行産品和服務 (c) 法律風險這是指違反或不遵守法律、條規、法規或職業道德標準而産生的對盈利和資本的風險法律風險將使獲許可機構受到處罰、賠償損失、合約無效、信譽受損、業務機會及擴展潛力受限等大部份電子銀行客戶會繼續使用非電子（如紙張）及電子銀行傳輸渠道，獲許可機構應向客戶保證使用這些渠道傳輸的資訊是一致和準確的，以及符合法律和法規的要求 (d) 信譽風險這是指由於負面的公眾意見而産生的對現時或將來的盈利和資本的影響獲許可機構的信譽可能由於電子銀行服務不佳而受損，損失客戶，開罪公衆通過精心設計的營銷，包括資訊披露，獲許可機構可以教育潛在客戶，也可幫助減少信譽風險獲許可機構須保證其客戶真正了解相關的産品或服務以及使用相關系統可能産生的效益和風險，同時，在營銷過程中，對産品的宣傳要公正和準確。

3. 3. 3. 3. 風險管理風險管理風險管理風險管理的的的的原則原則原則原則 3.1 本指引所制定的風險管理原則分爲五大類，分別是董事會和管理層監督、安全控制、外判管理、法律和信譽風險管理及跨境活動管理以下是關於這五大原則的概述，有關具體要求請參見第 4-8 段所述 3.2 董事會和高級管理層主要負責制定獲許可機構的業務策略並建立有效的風險管理監督制度董事會和高級管理層須就是否和如何提供電子銀行服務提出明確、有根據及由文件證明的策略決定，同時還須就風 5/22 險處理的具體責任、政策和控制措施、審查和批准重要安全控制程序、以及與外判和其他第三方服務相關的風險管理程序等作出決策 3.3 獲許可機構的安全控制程序內容應包括：建立適當的授權許可和確認措施、邏輯和有形進入控制；對內部和外部使用者行爲、交易、記錄和資料數據真實性等保持合適界限和限制的設施安全；保留所有電子銀行交易的審計軌迹；因應資料的敏感性而採取適當的資料保密措施獲許可機構應時刻警惕系統可能受到攻擊，對職員進行科技控制和相關規則的培訓，同時注重對所有使用者包括客戶的安全意識培訓。

3.4 獲許可機構可能需要依賴同一集團（如總行）的另一部門或其他服務提供者爲其電子銀行服務提供系統和業務處理的運作或維護對夥伴方和第三方服務提供者的依賴越多，獲許可機構對電子銀行功能的直接控制就越少隨著電子銀行應用和服務科技的日趨先進以及策略重要性的提高，獲許可機構的風險可能會集中在少數專業第三方和服務提供者在這種情況下，獲許可機構須對外判關係和其他外部依賴進行全面和持續的評估，採取措施以保證對外判關係的現行風險管理程序、安全控制程序、盡職調查和監督程序進行適當的評審和修正，以滿足電子銀行服務的要求 3.5 在資料披露、資料保護和業務提供等方面，獲許可機構有責任令到客戶放心爲盡量減少及防止因提供電子銀行業務而帶來的法律和信譽風險，獲許可機構應在其網站上適當披露資訊，採取適當措施保證嚴守客戶秘密，並根據客戶對持續、快速和大量交易的需求，及時和連續地提供電子銀行服務同時，獲許可機構應有在任何情況下爲所有的最終使用者提供電子銀行服務的能力，對那些可能影響電子銀行系統和提供電子銀行服務的不可預測事件包括內外部攻擊等，應建立有效的事故反應機制，具備足夠的能力及有效的業務持續和應急計劃，以減少操作、法律和信譽風險。

同時，獲許可機構也應制定適當的事 6/22 故反應計劃，包括通訊策略等，以保證業務的連續性、控制信譽風險及限制因電子銀行服務的中斷而須承擔的責任 3.6 互聯網極大地提高了獲許可機構在無地理邊界的情況下銷售産品和服務的能力獲許可機構如向另一地區的居民即“東道國/地區”提供跨境交易性電子銀行服務時，如果沒有在該地區獲許可而開設機構，將面臨由於兩地在發牌、監管和客戶保護要求的差異而産生的更多的法律、監管和國別風險爲避免這種無意不遵守外地法規的情況及更好地管理有關的國別風險，有意從事跨境電子銀行業務的獲許可機構須在開展相關業務前，全面認識及有效管理這些風險 4. 4. 4. 4. 董事會和管理層董事會和管理層董事會和管理層董事會和管理層的的的的監督監督監督監督 4.1 董事會和高級管理層有責任和義務管理及控制與電子銀行相關的風險董事會和高級管理層要充分認識電子銀行的基本特徵以及由此而帶來的挑戰，建立穩健的電子銀行風險管理機制，同時也應具有管理獲許可機構使用電子銀行科技和産品的知識和技能，從而可以適時修改已有的風險控制系統，以保證其能充分識別、評定、監測和控制電子銀行的風險。

爲此，董事會和高級管理層應： (a) 在下列事項決策前，通過成本、效益和風險分析，進行適當的策略評估： • 將電子銀行納入公司策略目標的決定； • 獲許可機構風險取向的確定；及 • 電子銀行服務種類3的選擇（如資訊類、簡單交易類或高級交易類） 3 一般情況下，電子銀行服務可大致分爲三類：（i）資訊類，指只提供獲許可機構産品和服務的營銷性資訊；（ii）簡單交易類，指允許在獲許可機構系統和客戶間進行互動，但限於賬戶查詢、貸款申請、靜態檔案更新和客戶資訊提交，不允許進行賬戶劃轉；（iii）高級交易類，指允許客戶從其賬戶上通過電子渠道劃出/入資金、付賬和進行其他在線交易等  7/22 (b) 評價業務計劃的可行性，並確定獲許可機構具有開展電子銀行業務所需的財務、人力、技術資源、專業能力（包括內部和外部的）、適當的風險管理及內部控制程序； (c) 制定特別的政策和程序對電子銀行風險進行及時的評價、監測和控制，這包括： • 建立主要的授權和報告機制，包括對影響獲許可機構安全、穩健或信譽的事件的升級處理程序； • 根據相關監管指引（如 AMCM《金融機構反洗錢及反恐怖融資指引》），在適用情況下，爲非面對面的客戶制定措施以保證符合有關客戶盡職調查的要求；及 • 就因保證電子銀行産品和服務完整及可用而產生的特別風險，制定其他必要措施。

(d) 建立强健的安全控制系統，以管理和盡量減少由於潛在的內/外部安全威脅而帶來的安全風險（參見第 5 段） (e) 對外判關係及其他第三方服務的管理，建立全面及持續的盡職調查和監控程序（參見第 6 段）； (f) 在獲許可機構各部門建立有效的法律和信譽風險管理控制程序，包括客戶保護與教育、資訊披露及可行的業務恢復和持續計劃，以保證電子銀行服務的持續提供及管理不可預測事件，包括會妨礙電子銀行服務的內/外部攻擊（參見第 7 段）；及 (g) 對跨境電子銀行服務(如適用)，建立有效的管理控制措施（參見第 8 段）  8/22 4.2 電子銀行的環境不斷變化，董事會和高級管理層應定期對相關的政策和程序進行檢討，確定其能適時、適當地適應電子銀行業務的性質和範圍，同時還要評估電子銀行服務在推行和持續維護時的財務影響，並考慮對獲許可機構客戶基礎、貸款質量和組成、存款及其波動性、流動資金來源、交易量的潛在影響及因採用新的銷售渠道而對其他相關方面的影響所有這些，都必須進行持續的監測和分析，以保證因開展電子銀行服務而對獲許可機構財務狀況的影響能得到適當的管理和控制 4.3 董事會和高級管理層可通過審查客戶使用量、投訴、故障時間、未平交易及系統使用率等定期報告監測電子銀行業務。

另外，適當、獨立的審計也是監測電子銀行的重要組成部分審計的範圍則要與電子銀行的複雜性和內在風險相適應，而且應包括整個電子銀行過程（如網路架構、安全、與舊系統的連接、監管合規性、內部控制及第三方提供的支持等） 5. 5. 5. 5. 安全控制安全控制安全控制安全控制 5.1 獲許可機構須認識到電子銀行必須安全，以保持高水平的對客戶和業務的信心銀行管理層有責任保證通過電子渠道所進行的交易和傳送的資訊是受到妥善保護的爲此，獲許可機構須擁有強大而全面的電子銀行安全控制系統 5.2 爲處理和控制電子銀行相關風險和安全威脅，獲許可機構的安全控制系統須符合下列目標： (a) 確認獲許可機構應使用可靠和適當的確認方法來確定和核驗其電子銀行客戶的身份和授權獲許可機構採用的確認方法應適當而合理，並應以管理層對相關風險的評估爲依據，要對確認方法的成本(包括涉及的科技和內部程序)，與其提供保護的程 9/22 度、自身和客戶交易及資料的價值和敏感度等進行權衡此外，還要注意合理的系統構成將會隨著科技和標準的演進而改變一般情況下，確認的過程是通過驗證這樣三個因素之一或更多而確定客戶所宣稱的身份，它們是：“客戶知道的”（如密碼或個人身份號碼）、“客戶持有的”（如智能卡、安全密碼器或電子證書）及“客戶固有的”（如具有生物特徵的指紋或虹膜模式）。

通常情況下，多因素的確認方法要比單一因素4更有保障，獲許可機構應盡量採用高度可靠的確認方法對於敏感的通訊、高價值交易、第三方劃撥或特別訪問權限（如網路管理員），僅使用單因素確認一般都是不合適的除非有適當的安全措施、風險化解控制（如有些獲許可機構對第三方劃撥僅限於預先登記的賬戶）及有效的監測機制來探測可疑交易和異常活動，這些情況都必須採用多因素的確認技術 (b) 不可否定不可否定包括建立電子信息的原創或傳送證明，使發送人免遭接收人不忠實地否認曾接收資料，或使接收人免遭發送人不忠實地否認曾發送資料獲許可機構應根據電子銀行交易的重要性和種類，採取適當的措施保護外/內部網路傳送的電子資訊的準確和完整，並建立電子銀行交易的不可否定性及保證電子銀行交易的保密和真實例如，使用公匙密碼術、電子簽名和電子證書等安排，能有效識別始發交易的人，對交易附加電子簽名，就能偵查未經授權的修改和防止隨後的否認 (c) 資料和交易的真實性資料真實是指保證傳送、處理及儲存的資訊沒有未經授權的修改不能保證交易、記錄和資料的真實將使獲許可機構遭受財務損失和面臨巨大的法律和信譽風險獲許可機構要確保已採取適當措施以實現處理、傳送和儲存資 4 例如，使用客戶身份證和密碼進行確認屬於單因素確認，因爲這兩樣東西都是“客戶知道的”。

 10/22 訊的準確、完整和可靠進行電子銀行業務時，保持資料真實性的通常做法有： • 電子銀行的交易的整個過程不易被改動； • 電子銀行記錄的存儲、訪問和修改不易被改動； • 電子銀行交易和記錄保存過程的設計應能偵查到所有未經授權的更改； • 建立適當的更改控制政策，包括監測和測試程序，防止電子銀行系統受到任何錯誤或無意的、可能對控制和資料可靠性造成損害的更改；及 • 任何對電子銀行交易或記錄的改動應可以通過交易的處理、監測和記錄保存功能偵查 (d) 職責分離職責分離是內部控制的基本環節，旨在減低操作過程和系統的欺詐風險，並保證交易和資産均獲適當授權需要分離及由不同組別人員進行的職責包括操作系統功能、系統設計和開發、應用系統的維護、電腦運作、資料庫管理、安全控制、資料安全、整理和備份資料檔案保管等對於安全管理，最好實行輪崗及交叉培訓；對於交易過程，應防止同一人員可以在系統中啓動、批准、執行和輸入交易，以防止欺詐行爲的發生與隱瞞 (e) 授權控制獲許可機構需要嚴格控制授權和特許訪問權，不適當的授權控制將會導致個人更改其授權、避開職責分離控制及進入無權訪問的電子銀行系統、網絡、資料庫或應用程序。

授權和進入許可應以工作職責及履行該等職責的必要性爲基礎，並遵守以下基本原則： • 不論職務或職能的高低，任何人均無接觸保密資料、應用軟件、系統資源或設施的固有權利，只有經過適當授權的雇員才可以爲合法之目的而接觸保密資料和使用系統資源；  11/22 • 任何人不能同時進入生産系統和備份系統，特別是資料檔案和電腦設施；及 • 任何需要接觸備份檔案或系統恢復資源的人，均要根據特定的原因、在特定的時間內獲得適當的授權 (f) 審計軌迹的保留獲許可機構如不能對電子銀行活動保留清楚的審計軌迹，其內部控制將會弱化獲許可機構要確保所有電子銀行交易均留有清楚的審計軌迹，保證可以對所有重要的電子銀行活動和應用程序進行獨立審計這特別適用於下列種類的電子銀行交易： • 客戶賬戶的開立5、修改和取消； • 任何有財務後果的交易； • 任何容許客戶超出限額的授權；及 • 任何系統進入許可或特權的授予、修改和取消 (g) 敏感資訊的保密保密就是保證敏感資訊只有得到授權的人才能獲取誤用或未經授權披露敏感資料和記錄，將使獲許可機構面臨信譽和法律風險通過內/外網傳送及在內部系統存儲資訊特別是客戶資料時，獲許可機構應運用適當的科技確保敏感資訊的保密和完整。

密碼術技術可以用於敏感資訊的保密和保持敏感資訊的完整獲許可機構應按照資訊的敏感性、重要性和需要保護的程度，以及經參考經過廣泛測試並獲得國際認可的密碼術規則來選用密碼技術 5.3 獲許可機構的安全控制應包括使用硬體和軟體工具及其他的安全措施來偵查所有重要電子銀行系統、伺服器、網絡、資料庫和應用程序的未經授權進入除達到 5.2 段所述的資料及運作過程真實、保密之目的外，獲許可機構應確保應用系統適當安全，構建與行業最佳做法相 5 獲許可機構已根據 AMCM 的《金融機構反洗錢及反恐融資指引》，在與客戶建立業務關係之初進行了客戶身份識別  12/22 吻合的基礎設施及實施足夠的可有效管理本身所面臨安全風險的其他控制機制這包括但不限於： (a) 對系統攻擊源頭情景和技術的持續認識； (b) 最先進的設備庫存和網絡圖； (c) 系統弱點的快速識別和化解； (d) 系統外連的網絡入口控制； (e) 系統侵入探查工具的使用與侵入反應程序； (f) 所有電子銀行電腦設備和媒介的有形安全保護。

5.4 獲許可機構應定期評估其安全控制系統以保證其持續有效，並對不同層次的員工予以持續培訓，以幫助員工具備符合安全控制系統需要及瞭解技術和行業的最新發展的必要技能對負責監護重要技術控制如防火牆、侵入防護/偵探、設備構置的人員，技術培訓更不可或缺 5.5 如果客戶不知道或不瞭解使用電子銀行服務的必要安全預防措施，獲許可機構的安全風險將會更高作爲上述安全控制措施的補充，獲許可機構要通過有效渠道（如網頁或客戶賬單上的忠告、宣傳單張和前臺職員的直接溝通等），就電子銀行的安全預防措施爲其客戶提供更易明的忠告（如密碼的選擇和保護、犯罪防止、避免使用公共或共用的電腦進行電子銀行操作、防止欺詐性電郵/網站和防止病毒及惡意程式等），促使客戶本身採取適當措施6 5.6 忠告客戶採取預防性措施防止欺詐網站和電郵特別重要欺騙者通常盜用獲許可機構之名義發出電郵，要求接收者與內置超連接的假網站連接，以騙取接收者透露敏感資訊如電子銀行賬戶登入的名稱和密碼獲許可機構要提醒客戶不要通過電郵或互聯網搜索器上內置超連接登入電子銀行賬戶 獲許可機構本身也要警惕欺詐網頁，並明確知 6 例如，在個人電腦上安裝防病毒、防間諜軟件和防火牆，用安全補丁或較新的版本定期更新防病毒和防火牆。

 13/22 告客戶其不會通過電郵向客戶索要敏感的賬戶和個人資料如果發現與本身相類似的欺詐網頁，獲許可機構應： (a) 向司法警察報告並通知 AMCM； (b) 發佈新聞稿澄清與此網頁無關；如發現含有該網頁超連接的電郵，則同時澄清沒有發出此等電郵； (c) 要求曾經通過該網頁作過交易的客戶聯繫獲許可機構以便採取補救措施 6. 6. 6. 6. 外判管理外判管理外判管理外判管理 6.1 獲許可機構將某些或全部的電子銀行業務7外判給聯營機構或第三方服務提供者已變得非常普遍不論因為什麽理由外判，獲許可機構應清楚其責任和義務並沒有因此而降低和減輕特別地，獲許可機構在外判後仍須遵守《金融體系法律制度》、《個人資料保護法》及其他法規條款關於保密的規定獲許可機構應對服務提供者的活動進行有效的監督，識別和控制由此而生的風險，以保證其外判安排符合相關法規的規定，要按照下列 6.2—6.6 段的要求穩健地進行外判如需查閱更多關於管理外判電子銀行系統的慣例，可參見巴塞爾委員會文件《電子銀行風險管理原則》的附件II（http://www.bis.org/publ/bcbs98.htm）。

6.2 獲許可機構應充分瞭解進行外判安排的所有風險聘用服務提供者前，要進行盡職調查，以瞭解服務提供者的財務狀況、經驗、專業技能、技術兼容性和客戶滿意度 7 外判可能包括軟件應用、網頁管理和開發、互聯網登錄、客戶服務或電話中心的維護等如果是儲值卡計劃，外判可能包括餘額查詢功能，卡的增值及其消費金額的劃轉  14/22 6.3 獲許可機構和服務提供者要簽訂正式的外判合約關於參與方的角色、關係、義務和責任的條款應用文字細緻而妥善地訂明，這其中包括有： (a) 服務提供者收集或存儲的非公開客戶資訊的使用限制； (b) 保障由服務提供者持有的客戶資訊的安全而必須的適當控制和這些資訊在合約到期或終止後的所有權； (c) 服務水平標準如網頁運行時間、超連接表現、客戶服務反應時間等； (d) 事故反應計劃，包括通知責任、就網頁的停止、損害、未經授權登錄或惡意編碼作出反應； (e) 電子銀行服務的業務持續計劃，包括處理運作的備用線路、備份伺服器、緊急運作程序等； (f) 進行安全、內部控制、業務持續和緊急計劃獨立審查/或審計的規定； (g) 在本地或外地分判外判服務的限制；及 (h) 解決爭議及獲許可機構和相關監管機構獲取資訊所適用的法律。

6.4 獲許可機構應要求服務提供者執行與其本身同樣嚴謹的安全政策、程序和控制，制定和執行可行的應急和業務持續計劃，以保證其服務和運作的持續性這些計劃應隨著科技狀況和操作要求的改變而定期審查、更新和測試 6.5 獲許可機構應定期（例如根據實際需要每 3 或 6 個月）進行盡職審查，以評估服務提供者是否有能力提供所需水平的服務、維持適當水平的安全和適應科技快速變化，並建立監督服務提供者財務狀況和遵守合約情況的適當程序獲許可機構也應要求服務提供者定期呈交在線或書面報告，以跟踪其服務表現、安全隱患及財務狀況索要的資訊應包括但不限於以下內容：  15/22 (a) 服務的可用性，如服務中斷的頻率和時間長短（包括中斷原因）、正常運行時間和故障時間的比例、以及客戶報告的登入問題的次數和種類； (b) 活動的程度和數量，如已服務的賬戶數量、瀏覽的網頁、新的、活躍和不活躍賬戶的數量和百分比、交易的種類、數量和價值； (c) 服務的效率，如按天計算的平均應答時間、伺服器能量的使用、客戶服務查詢的種類和平均解決時間； (d) 安全事故，如拒絕的登錄、密碼重設、企圖和成功滲透的次數、已制止的病毒或其他惡意編碼以及任何有形安全控制的違反的數量和種類； (e) 服務提供者的穩定性，如季度或年度財務報告、新客戶和流失客戶的數量、系統的變更、雇員的流動和管理層職位的變化；及 (f) 質量保證，如績效報告、審計結果、滲透測試和弱點評估。

6.6 在整個外判過程中，獲許可機構應有應急方案，以防服務提供者不能繼續運作或停止提供所需服務這些方案也應能迎合在必要時由於服務提供者的服務不能達到既定要求、或在盡職調查過程發現其他問題而需更換服務提供者的需要 6.7 對外判運作的定期審計有助確保相關控制的合適和正常運行除上述的監察程序外，獲許可機構還應確保對有關外判業務的定期獨立審計(內部/外部)的範圍至少與這些業務由其自行經營時的審計一樣 7. 7. 7. 7. 法律和信譽風險的管理法律和信譽風險的管理法律和信譽風險的管理法律和信譽風險的管理 7.1 在電子銀行業務中，與客戶進行面對面的互動和以紙張爲基礎的信息交流都很有限獲許可機構對其電子銀行客戶進行適當的披露、保護 16/22 客戶資料、維持與傳統銀行服務方式相近似的電子銀行服務都是十分重要的否則，獲許可機構將遭受嚴重的法律和信譽風險 7.2 在提供新的電子銀行服務前，獲許可機構須仔細評估與此服務相關的法律和信譽風險；同時，還要進行定期評估以確保管理法律和信譽風險的措施的適當和妥善如可能和適當，獲許可機構可以爲其電子銀行業務購買保險。

7.3 控制法律和信譽風險的例子包括： (a) 資訊披露獲許可機構應確保資訊的適當披露，以避免客戶混淆，並使潛在的客戶在開展電子銀行交易前對獲許可機構的身份和法律地位作出判斷例如，獲許可機構在其網頁上提供給客戶/潛在客戶的資訊包括但不限於： • 獲許可機構的名稱和總行的地址（如適用，分行的地址）； • 對獲許可機構總行進行監管的主要監管當局的身份（就澳門註冊獲許可機構而言，即 AMCM）； • 客戶在使用服務發現問題、有投訴、懷疑賬戶被不當使用時如何聯繫獲許可機構客戶服務中心的說明； • 適用於電子銀行産品和服務的條款，該等條款須明確列出獲許可機構和客戶各自的權利、義務和責任； • 獲許可機構的客戶私隱及安全政策、客戶在處理在線賬戶時須採取的安全措施和合理的預防措施(參見 7.3(b)段)； • 獲許可機構計劃提供或不提供電子銀行服務的地區；及 • 其他適當或特定地區所需要的資料 (b) 客戶私隱和保密客戶資料的保密是獲許可機構的重要職責之一獲許可機構須確保其私隱政策和標準符合相關的法律和法規，具體如：  17/22 • 客戶私隱政策和標準，已考慮和符合在開展電子銀行産品和服務所在地區的所有適用的私隱法規和法律； • 客戶已被告知獲許可機構開展電子銀行産品和服務的私隱政策和相關問題； • 客戶可以不同意獲許可機構爲了交叉營銷而與第三方分享其資料，如個人需求、興趣、財務狀況和銀行活動等； • 客戶資料只能用於允許和授權的目的；及 • 當提供外判服務的第三方接觸客戶資料時，獲許可機構的客戶資料使用標準必須遵守。

如需更多有關管理電子銀行客戶私隱的最佳實踐，可查閱巴塞爾委員會的《電子銀行風險管理原則》附件 V（http：//www.bis.org/pub/bcbs98.htm） (c) 有效的系統能力、業務持續與應急計劃電子銀行客戶通常期望有關服務 24 小時連續不斷任何服務中斷均將對這此客戶產生很大影響正因爲這種對客戶和客戶服務的潛在影響（如賬單支付不能准時完成），獲許可機構應認真分析服務間斷的可能與後果，採取措施降低間斷的概率，並使系統恢復時間減到最少爲此，獲許可機構應確保： • 對主要電子銀行系統及網絡設施的相關支援在現時和將來的能力進行持續評估； • 無論業務量高低，電子銀行系統都能夠處理，而且系統的運作和能力與預測的業務量及其未來增長相配合；及 • 就重要電子銀行業務處理和配送系統，制定了適當的業務持續和應急計劃8，並定期進行了測試 8 就業務量、受影響客戶數量和可選擇服務渠道的提供而言，某些機構可能沒有將電子銀行服務視爲“重要業務”，因而在業務持續計劃中沒有將其擺在最優先的位置管理層應定期對此進行再評估，以確保作出決定基礎與該電子銀行服務擴展和增長的實際情況相符合。

 18/22 如需更多有關電子銀行能力、業務持續和應急計劃等方面的最佳實踐，可查閱巴塞爾委員會的《電子銀行風險管理原則》附件 VI (http://www.bis.org/publ/bcbs98.htm） (d) 事故的反應和管理獲許可機構須建立適當的事故反應計劃和程序以管理、遏制及盡量減少突發事件，如影響提供電子銀行系統和服務的內/外部攻擊等所帶來的問題有效的事故反應機制包括： • 恢復電子銀行系統和服務的計劃； • 當事故或危機發生時，能夠盡早的識別及評估其重要性和影響的機制； • 已獲授權、能緊急行動並在分析事故偵察/反應系統、瞭解相關事故影響及決定採取適當行動等方面培訓有素的事故反應小組； • 清晰的指令，包括內部和外判運作（如通知高級管理層的通信層次的升級和內部通信程序）； • 合理處理外部（客戶、媒體和業務夥伴）關注的溝通策略； • 出現重大安全問題或突發事件時通知 AMCM 的程序；及 • 收集和保存司法證據的程序，以便於以後的審查和對攻擊者的訴訟 8. 8. 8. 8. 跨境活動管理跨境活動管理跨境活動管理跨境活動管理 8.1 利用互聯網公開、普遍和自動化的特點，許多國際性機構通過其在不同國家/地區的分行或附屬機構的網頁爲其在這些國家/地區的客戶提供電子銀行産品和服務。

同時，也有一些機構通過遠程方法直接從其所在地區向另一其並未設立任何分支機構的地區的居民提供電子銀行服務  19/22 8.2 根據巴塞爾委員會的定義，某機構在一個地區向另一地區居民提供交易性9在線産品和服務即爲跨境電子銀行業務進行跨境商業往來將涉及不同的司法管轄權及適用法律的選擇，開展跨境電子銀行業務的機構將面臨更多的法律風險如不進行適當的盡職調查，機構將面臨違反不同法律和法規，如在其他國家或地區適用的消費者保護法、廣告和披露法、記錄保存和報告要求、私隱條例和反洗錢法等的潛在風險 8.3 在開展跨境電子銀行業務前，所有在澳門運作的獲許可機構須事先徵詢 AMCM 的意見，以確定獲許可機構是否： (a) 進行了足夠和適當的風險評估與盡職調查，以確保能夠適當管理相關風險及符合開展電子銀行業務所在地的法律和法規；及 (b) 建立有效和持續的風險管理程序，對開展跨境電子銀行業務所産生的風險進行評估、控制和監測 8.4 提供跨境電子銀行服務的獲許可機構應在其網頁上作出聲明，清楚指出其所提供的電子銀行服務的對象僅限於指定國家或地區的居民10這一聲明盡管法律效果並不確定，但可明確及緩解其盡職調查義務。

此外，獲許可機構還須在其網頁上作出充分的披露，以便潛在的客戶能對獲許可機構的身份、註冊地和法律地位作出判斷(參見 7.3(a)) 9 9 9 9. . . . 獨立評估獨立評估獨立評估獨立評估 9.1 鑒於管理電子銀行業務風險的重要性，獲許可機構應在推出相關服務或大幅提升現有服務前，對電子銀行系統進行獨立評估根據本指引第 4 至 8 段的要求，獨立評估至少應包括以下方面： 9 參見附註 3 電子銀行服務的種類 10 或反過來說，獲許可機構應公告其不提供電子銀行産品和服務的地區  20/22 (a) 董事會和管理層的監督； (b) 安全控制； (c) 外判管理； (d) 法律和信譽風險管理；及 (e) 跨境活動管理 9.2 獲許可機構委任進行獨立評估的人（評估者）應具備和能表現出在從事相關工作所必需的專業技能，應獨立於電子銀行系統的開發或管理者、沒有參與需要審查的運作或相關控制措施的選擇或執行、能直接和自由地向獲許可機構的高級管理層報告審查的發現。

只要符合上述條件，進行上述獨立評估的人也可以是獲許可機構的內部職員（如內部審計師）或外部服務提供者（如外部審計師或其他第三方服務提供者） 9.3 在首次獨立評估後，獲許可機構應至少每兩年進行一次類似的風險評估當發生重大變化時，獲許可機構應確定是否需要進一步的獨立評估以及該等評估的範圍和頻率任何提供服務風險狀況的重大改變、網路設施和應用系統的重大修改、重要的系統不足或重大的安全隱患等，都必須在風險評估中予以充份考慮 9.4 獨立評估的報告須提交給 AMCM，以作現場和非現場檢查的參考如果獲許可機構聘請不同的評估者對其電子銀行服務的不同方面分別進行獨立評估，向 AMCM 提交的報告可以是合併報告或所有的分項報告獨立評估報告至少須包括下列內容： (a) 評估的時間和相關系統的發展階段（如設計或測試階段）； (b) 採用的方法和範圍，包括系統構成的描述、內部網絡和網絡設備； (c) 評估者的發現和改善建議；及 (d) 管理層的回應  21/22 10101010. . . . 監管方式監管方式監管方式監管方式 10.1 鑒於電子銀行業務在操作、信譽和其他相關風險方面的可能影響，獲許可機構在開展新的電子銀行業務或對現有服務做重大改變前，應通知及與 AMCM 討論有關計劃。

特別地，在開展跨境電子銀行業務前（參見 8.3 段），須事先諮詢 AMCM 10.2 一般情況下，獲許可機構應向 AMCM 清楚陳述開展電子銀行業務的策略、前景及其與總體經營策略的配合、相關項目的風險分析與詳細的風險/回報研究獲許可機構的管理層須證明已對其運作風險現狀進行了檢視及考慮了開展電子業務的影響，且董事會（如屬海外機構分行，其總行）認爲在現有資源、風險管理系統和技術能力條件下，開展電子銀行業務將不會對安全和穩健帶來不可接受的不利影響 10.3 具體而言，獲許可機構應使 AMCM 認爲下列問題已經得到妥善處理： (a) 有適當的董事會和高級管理層的監察； (b) 與科技相關的核心控制措施到位； (c) 有適當(包括有形和邏輯的)的安全措施及其它必要的風險管理控制； (d) 與外判和跨境電子銀行業務相關的問題已解決； (e) 對提供的新電子銀行服務進行了成本-效益分析； (f) 建立和制定了電子銀行策略，對處理和控制與電子銀行業務相關的所有風險的政策、做法和程序作了明確的規定； (g) 持續監測計劃執行的效果，並因應科技、法律和業務環境(包括對資訊安全的內/外部威脅)的變化，定期對計劃進行更新；及 (h) 對相關風險的持續監測。

10.4 在現場和非現場檢查中，AMCM 將根據本指引的要求對獲許可機構電子銀行業務風險管理是否適當作出判斷對於在本指引公布實施之前 22/22 已開展電子銀行業務的獲許可機構，須確保其現行風險管理系統(包括獨立評估的安排)儘快或在本指引頒布後的 12 個月內，符合本指引的有關規定。