银行服务的风险与控制

2.3.4　银行IT服务的风险与控制

在实施信息化之前，银行主要有信用风险、市场风险和操作风险，其中有关计算机错误造成的风险列入操作风险。随着IT技术在银行经营管理中作用和地位的不断提升，IT服务引发的风险已经从操作风险中单列出来，成为银行面临的第四大风险。相对于一般意义上的操作风险，IT服务风险更大。这些风险不仅包括IT过度开支问题，而且包括技术故障、折旧、服务中断、供应商或合伙人不可靠、蠕虫等病毒、安全漏洞、垃圾邮件、数据泄密、拒绝服务甚至恐怖主义等运营风险。而且，随着计算机知识的日益普及，黑客呈现系统化、组织化和盈利化的趋势，计算机案件逐年增加，系统意外宕机经常发生。

虽然将银行IT系统的服务外包给专业的IT服务商能够帮助银行规避IT风险投资、适应客户对银行IT的需求、减少费用获得成本优势、全面提高IT服务水平和提升银行核心竞争力，但如果管理不严和控制不当，就会引发新的风险——IT外包风险。银行外包业务使银行过分地依赖于外包服务商，在某种程度上使自己失去了灵活性。

银行IT风险是银行在IT运营过程中存在于IT领域中的某种不确定性；而银行IT外包风险将集中表现在IT外包的全过程中对信息系统的失控以及银行声誉等其他方面的风险。

1.银行外包服务中首要的和最基本的风险就是信息系统的失控

随着银行IT外包业务范围的不断扩大，银行对外部IT服务商所提供全面服务的依赖性也日益增强。国外银行的外包服务实践表明，当银行把IT的外包服务授权于外包服务商时，银行在某种程度上就失去了对其信息系统功能的控制。风险失控还表现在：服务不能及时到位，质量无法保证；灵活性减弱，需求的变化及其满足必须与外包商协调后才能得到解决；成本攀升，外包商常常会要求支付一些附加费用；企业秘密和机密信息可能会泄露给外包商；企业内部的智力资产可能会受到侵犯等。

2.选择IT服务商的风险

这种风险是最严重也是最致命的风险，因为一旦选择了不合适的服务商，在后来的服务过程中发现了这种风险，就很难有挽回的余地。这是由于事前未能很好地评估IT服务商的人员、技术及财务状况，没有全面地考评每一家服务商的综合服务水平，片面地追求IT服务商的局部优势，尤其是技术操作层面上的细节，而忽略了IT外包的总体服务水平，致使银行选择了低劣的服务商，从而使外包在服务的及时提供和服务的质量方面失去控制，导致银行在运行管理上的严重失控。如果不能够准确地预见业务需求及其变化并与外包商及时沟通，那么外包就会制约企业的发展。

3.IT技术变迁的风险

IT技术仍在以不可预见的方式变化，银行业务环境的变化也带有不可预知性，这两者的结合加剧了IT系统的不确定性：当技术和业务环境同时处于不确定状态时，外包的信息系统如何支持未来的业务需求？IT技术的学习及其在银行中的最佳应用更多的是一个经验积累过程，如果外包出去，那么外包商是否有足够的积极性去学习企业所需要的信息技术呢？

4.银行缺乏必要的监督、管理与审计

在IT外包合同执行期间，银行管理部门很少对服务商的财务状况及支持IT外包业务的技术和关键人员进行有效的监督和管理，有些甚至将监管的责任信任地移交给服务商，忽视了必要的审计检查，省略了必需的技术文档的交接，这势必导致银行总体服务水平的全面下降。

5.在银行IT外包过程中存在IT信息战略泄漏和知识产权侵犯的风险

在银行IT外包的服务过程中，银行信任地将自己的部分或全部信息提供给外部服务商开发、运行和管理，期间服务商及其员工有获准接触公司秘密及机密资料的权力，这样银行的商业秘密及其相关信息就极有可能会泄漏给竞争对手，从而使银行面临着长期的潜在风险。此外，在开发较大的核心项目的过程中，IT服务商往往比银行更具有知识产权意识，将共同的开发项目抢先占为己有，从而引起知识产权的纠纷问题，由此还可能导致更为严重的信誉风险和法律风险，使银行蒙受巨大损失。

由此可见，必须加强对银行IT服务风险的有效控制，主要包括确定风险、评估风险、管理风险、监控风险和汇报风险几个方面。对于IT服务外包的风险控制，具体可从以下几方面考虑：

（1）加强银行业务外包的全流程风险管理。

（2）建立实施业务外包的各项配套机制。

（3）充分利用合同控制IT服务外包的风险。

（4）加强外包业务道德风险监控，防止寻租行为出现。