具體來說，金融機構由于自身運營管理需要，以及成本壓力等原因，普遍采用外包服務，但外包人員可以近距離接觸到金融機構大量有價值的敏感信息，如客戶、交易信息等，在提供服務方面。，很容易導致信息泄露。服務提供商自身的內控體系成熟度、風險管理能力和風險意識水平往往低于金融機構，難以有效識別外包商的主動或被動不當行為。而且，相比自身員工it外包，金融機構對外包人員的管理難度更大，要求落實難度更大。

在此背景下，金融機構外包風險事件往往難以防范。數據公司非法收集外包、侵權或不當獲取、使用個人隱私數據的曝光和處罰，給部分金融機構的聲譽造成了損害。COVID-19 大流行在業務連續性管理、服務提供商持續運營、遠程辦公和與服務相關的網絡安全方面產生了新的風險。

進入綜合監管時代

作為信息科技風險監管的重要領域，信息科技外包需要進一步強化監管約束，在原有基礎上加強監管。這種監管方式也應運而生。

在監管辦法中，銀保監會總則要求銀行保險機構建立與自身信息技術戰略目標相適應的信息技術外包管理體系，將信息技術外包風險納入綜合風險管理體系，有效控制外包帶來的外包風險。風險，不得將信息技術管理責任和網絡安全主體責任外包。

普華永道認為，與以往金融機構IT外包相關監管文件相比，本次監管方式充分體現了近年來金融行業、技術和監管方向變化的背景，其主要變化可概括為三大方向：

一是在信息技術外包過程中，以網絡安全、數據安全和個人信息保護為核心定位。本監管辦法對信息技術外包的定義中，“銀行保險機構與其他第三方合作中涉及處理銀行保險機構重要數據和客戶個人信息的信息技術活動”有使銀行和保險機構在過去多次。與外部機構的合作或服務采購it外包，可能會被新納入IT外包活動的范疇，大大擴展了管理范圍。

二是完善了外包治理和風險管理各方責任。監管辦法要求建立覆蓋董事會（理事會）、高級管理層、IT外包風險部、IT外包執行團隊的信息技術外包與風險管理組織架構。落實信息技術外包風險管理職責和目標。

另一個非常顯著的變化是分類和分級管理的使用。根據監管辦法，信息技術外包原則上分為咨詢與規劃、開發與測試、運維、安全服務和業務支持。普華永道表示，與以往相關文件的分類相比，監管措施的劃分更加全面地涵蓋了行業內現有的信息技術服務活動形式。

在分類管理的同時，監管辦法將對信息技術外包活動的整體外包、信息技術工作的整體外包、安全運營的整體外包、信息技術外包活動的整體外包和相關服務提供者等信息技術外包活動的重要和一般外包進行分級管理。銀行和保險機構的集中存儲或處理。數據外包、客戶敏感個人信息外包等9種情況被列為重大外包。對于重要外包，監管辦法要求銀保機構對服務提供者進行盡職調查、對非現場外包服務進行現場檢查等，并應考慮終止重要外包的可能性，制定退出策略。

根據普華永道的分析，在開發和測試類別中，軟件即服務（即“SaaS”）過去可能不會外包，因為該系統沒有在銀行保險機構實施。作為一種新型安全服務，需要注意的是，安全運營整體外包是一個重要的外包范疇。在業務支持類中，數據利用服務可能會導致一些從外部機構向銀行、保險機構提供數據輸入的服務，屬于外包管理的范疇。

業內人士認為，監管措施將在未來將銀行保險機構外包業務向合規風控水平更高的領先服務商傾斜。這種現象也會逆轉；從銀行和保險機構的角度來看，在落實監管措施要求的過程中，也將面臨諸多挑戰。

例如，普華永道表示，由于外包的服務延伸大大擴展，合作模式的轉變是機構和服務商的新課題；雖然服務提供商面臨更高的監管要求，但需要外包風險管理人員。部門與外包執行團隊密切合作，但銀保機構對其沒有決策權，但承擔合作風險。因此，他們需要按照監管要求，盡快采取對服務提供者進行對標、檢查等措施。此外，保險機構，