金融机构治理指引

『壹』 银行业金融机构应遵循什么原则按规定管理消费者信息

银行业金融机构抄应遵循真实、及时、完整、有效和安全原则按规定管理消费者信息。

银行业金融机构数据治理应当遵循以下基本原则：

（一）全覆盖原则。数据治理应当覆盖数据的全生命周期，覆盖业务经营、风险管理和内部控制流程中的全部数据，覆盖内部数据和外部数据，覆盖监管数据，覆盖所有分支机构和附属机构。

（二）匹配性原则。数据治理应当与管理模式、业务规模、风险状况等相适应，并根据情况变化进行调整。

（三）持续性原则。数据治理应当持续开展，建立长效机制。

（四）有效性原则。数据治理应当推动数据真实准确客观反映银行业金融机构实际情况，并有效应用于经营管理。

(1)金融机构治理指引扩展阅读

对数据治理不满足《中华人民共和国银行业监督管理法》等法律法规及国务院银行业监督管理机构审慎经营规则要求的银行业金融机构，银行业监督管理机构可采取相应措施：

（一）要求其制定整改方案，责令限期改正；

（二）与公司治理评价结果或监管评级挂钩；

（三）依法采取监管措施及实施行政处罚。

『贰』 银行业金融机构外包风险管理指引

不是。
银行业金融机构外包风险管理指引不是法律，是规范性文件。

银行业金融机构外包风险管理指引，是为了规范银行业金融机构的外包活动，保障银行业金融机构业务持续经营，依据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等有关法律法规，制定的指引。

『叁』 金融机构执行《法人金融机构洗钱和恐怖融资风险管理指引(试行)》的工作方案该如何写

中国人民银行上海总部金融服务二部，各分行、营业管理部，各省会（首府）城市中心支行，各副省级城市中心支行反洗钱处；各政策性银行、国有商业银行、股份制商业银行、中国邮政储蓄银行、中国银联、农信银资金清算中心、城市商业银行资金清算中心、中国人寿保险股份有限公司、中国人民财产保险股份有限公司、银河证券股份有限公司、中信证券股份有限公司反洗钱部门：
一、金融机构工作安排（一）在2018年12月31日之前制定执行《指引》的工作方案，报中国人民银行反洗钱局或中国人民银行反洗钱局授权对该金融机构实施反洗钱监管的当地中国人民银行分支机构反洗钱部门。（二）考虑到非银行支付机构反洗钱工作起步较晚，适当给予其一定时限的制度执行过渡期，但不应晚于2019年7月1日前执行。

（二）中国人民银行反洗钱局及分支机构反洗钱部门应当将金融机构执行《指引》要求的完善风险治理架构、制定洗钱风险管理策略等情况，作为反洗钱监管重点。<span color:#333333;"="" style="padding: 0px; margin: 0px; border: 0px none; word-break: break-all; outline: none 0px;">
请中国人民银行上海总部，各分行、营业管理部，各省会（首府）城市中心支行，各副省级城市中心支行反洗钱处将本通知转发至总部注册地在辖区内的各城市商业银行、农村商业银行、农村合作银行、城市信用社、农村信用社、村镇银行、证券公司、期货经纪公司、基金管理公司、保险公司、保险资产管理公司、保险专业代理公司、保险经纪公司、信托公司、金融资产管理公司、企业集团财务公司、金融租赁公司、汽车金融公司、消费金融公司、货币经纪公司等金融机构和非银行支付机构反洗钱部门。

『肆』 银行业金融机构信息系统风险管理指引的主要要求是什么

机构职责
第六条 银行业金融机构应建立有效的信息系统风险管理架构，完善内部组织结构和工作机制，防范和控制信息系统风险。
第七条 银行业金融机构应认真履行下列信息系统管理职责：
（一）贯彻执行国家有关信息系统管理的法律、法规和技术标准，落实银监会相关监管要求；
（二）建立有效的信息安全保障体系和内部控制规程，明确信息系统风险管理岗位责任制度，并监督落实；
（三）负责组织对本机构信息系统风险进行检查、评估、分析，及时向本机构专门委员会和银监会及其派出机构报送相关的管理信息；
（四）及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件，并按有关预案快速响应；
（五）每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的年度报告；
（六）做好本机构信息系统审计工作；
（七）配合银监会及其派出机构做好信息系统风险监督检查工作，并按照监管意见进行整改；
（八）组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训；
（九）开展与信息系统风险管理相关的其他工作。
第八条 银行业金融机构的董事会或其他决策机构负责信息系统的战略规划、重大项目和风险监督管理；信息科技管理委员会、风险管理委员会或其他负责风险监督的专业委员会应制定信息系统总体策略，统筹信息系统项目建设，定期评估、报告本机构信息系统风险状况，为决策层提供建议，采取相应的风险控制措施。
第九条 银行业金融机构法定代表人或主要负责人是本机构信息系统风险管理责任人。
第十条 银行业金融机构应设立信息科技部门，统一负责本机构信息系统的规划、研发、建设、运行、维护和监控，提供日常科技服务和运行技术支持；建立或明确专门信息系统风险管理部门，建立、健全信息系统风险管理规章、制度，并协助业务部门及信息科技部门严格执行，提供相关的监管信息；设立审计部门或专门审计岗位，建立健全信息系统风险审计制度，配备适量的合格人员进行信息系统风险审计。
第十一条 银行业金融机构从事与信息系统相关工作的人员应符合以下要求：
（一）具备良好的职业道德，掌握履行信息系统相关岗位职责所需的专业知识和技能；
（二）未经岗前培训或培训不合格者不得上岗；经考核不适宜的工作人员，应及时进行调整。
第十二条 银行业金融机构应加强信息系统风险管理的专业队伍建设，建立人才激励机制，适应信息技术的发展。
第十三条 银行业金融机构应依据有关法律法规及时和规范地披露信息系统风险状况。
总体风险控制
第十四条 总体风险是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。
第十五条 银行业金融机构应根据信息系统总体规划，制定明确、持续的风险管理策略，按照信息系统的敏感程度对各个集成要素进行分析和评估，并实施有效控制。
第十六条 银行业金融机构应采取措施防范自然灾害、运行环境变化等产生的安全威胁，防止各类突发事故和恶意攻击。
第十七条 银行业金融机构应建立健全信息系统相关的规章制度、技术规范、操作规程等；明确与信息系统相关人员的职责权限，建立制约机制，实行最小授权。
第十八条 在境外设立的我国银行业金融机构或在境内设立的境外银行业金融机构，应防范由于境内外信息系统监管制度差异等造成的跨境风险。
第十九条 银行业金融机构应严格执行国家信息安全相关标准，参照有关国际准则，积极推进信息安全标准化，实行信息安全等级保护。
第二十条 银行业金融机构应加强对信息系统的评估和测试，及时进行修补和更新，以保证信息系统的安全性、完整性。
第二十一条 银行业金融机构信息系统数据中心机房应符合国家有关计算机场地、环境、供配电等技术标准。全国性数据中心至少应达到国家A类机房标准，省域数据中心至少应达到国家B类机房标准，省域以下数据中心至少应达到C类机房标准。数据中心机房应实行严格的门禁管理措施，未经授权不得进入。
第二十二条 银行业金融机构应重视知识产权保护，使用正版软件，加强软件版本管理，优先使用具有中国自主知识产权的软、硬件产品；积极研发具有自主知识产权的信息系统和相关金融产品，并采取有效措施保护本机构信息化成果。
第二十三条 银行业金融机构与信息系统相关的电子设备的选型、购置、登记、保养、维修、报废等应严格执行相关规程，选用的设备应经过技术论证，测试性能应符合国家有关标准。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的容错特性，并配置适当的备品备件。
第二十四条 信息系统的网络应参照相关的标准和规范设计、建设；网络设备应兼备技术先进性和产品成熟性；网络设备和线路应有冗余备份；严格线路租用合同管理，按照业务和交易流量要求保证传输带宽；建立完善的网管中心，监测和管理通信线路及网络设备，保障网络安全稳定运行。
第二十五条 银行业金融机构应加强网络安全管理。生产网络与开发测试网络、业务网络与办公网络、内部网络与外部网络应实施隔离；加强无线网、互联网接入边界控制；使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险。
第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素的管理，使用符合国家安全标准的密码设备，完善安全要素生成、领取、使用、修改、保管和销毁等环节管理制度。密钥、密码应定期更改。
第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节的有效管理，不得脱离系统采集加工、传输、存取数据；优化系统和数据库安全设置，严格按授权使用系统和数据库，采用适当的数据加密技术以保护敏感数据的传输和存取，保证数据的完整性、保密性。
第二十八条 银行业金融机构应对信息系统配置参数实施严格的安全与保密管理，防止非法生成、变更、泄漏、丢失与破坏。根据敏感程度和用途，确定存取权限、方式和授权使用范围，严格审批和登记手续。

第二十九条 银行业金融机构应制定信息系统应急预案，并定期演练、评审和修订。省域以下数据中心至少实现数据备份异地保存，省域数据中心至少实现异地数据实时备份，全国性数据中心实现异地灾备。
第三十条 银行业金融机构应加强对技术文档资料和重要数据的备份管理；技术文档资料和重要数据应保留副本并异地存放，按规定年限保存，调用时应严格授权。信息系统的技术文档资料包括：系统环境说明文件、源程序以及系统研发、运行、维护过程中形成的各类技术资料。重要数据包括：交易数据、账务数据、客户数据，以及产生的报表数据等。
第三十一条 银行业金融机构在信息系统可能影响客户服务时，应以适当方式告知客户。
研发风险控制
第三十二条 研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节产生的风险。
第三十三条 银行业金融机构信息系统研发前应成立项目工作小组，重大项目还应成立项目领导小组，并指定负责人。项目领导小组负责项目的组织、协调、检查、监督工作。项目工作小组由业务人员、技术人员和管理人员组成，具体负责整个项目的开发工作。
第三十四条 项目工作小组人员应具备与项目要求相适应的业务经验与专业技术知识，小组负责人需具备组织领导能力,保证信息系统研发质量和进度。
第三十五条 银行业金融机构业务部门根据本机构业务发展战略，在充分进行市场调查、产品效益分析的基础上制定信息系统研发项目可行性报告。
第三十六条 银行业金融机构业务部门编写项目需求说明书，提出风险控制要求，信息科技部门根据项目需求编制项目功能说明书。
第三十七条 银行业金融机构信息科技部门依据项目功能说明书分别编写项目总体技术框架、项目设计说明书，设计和编码应符合项目功能说明书的要求。
第三十八条 银行业金融机构应建立独立的测试环境，以保证测试的完整性和准确性。测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试。测试不得直接使用生产数据。
第三十九条 银行业金融机构信息科技部门应根据测试结果修补系统的功能和缺陷，提高系统的整体质量。
第四十条 银行业金融机构业务人员、技术人员应根据职责范围分别编写操作说明书、技术应急方案、业务连续性计划、投产计划、应急回退计划，并进行演练。

第四十一条 开发过程中所涉及的各种文档资料应经相关部门、人员的签字确认并归档保存。
第四十二条 项目验收应出具由相关负责人签字的项目验收报告，验收不合格不得投产使用。
第五章运行维护风险控制
第四十三条 运行维护风险是指信息系统在运行与维护过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。
第四十四条 银行业金融机构信息系统运行与维护应实行职责分离，运行人员应实行专职，不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护，除应急外，其他维护应在非工作时间进行。
第四十五条 银行业金融机构信息系统的运行应符合以下要求：
（一）制定详细的运行值班操作表，包括规定巡检时间，操作范围、内容、办法、命令以及负责人员等信息；
（二）提供常见和简便的操作菜单或命令，如信息系统的启动或停止、运行日志的查询等；
（三）提供机房环境、设备使用、网络运行、系统运行等监控信息；
（四）记录运行值班过程中所有现象、操作过程等信息。
第四十六条 银行业金融机构信息系统的维护应符合以下要求：
（一）除对信息系统设备和系统环境的维护外，对软件或数据的维护必须通过特定的应用程序进行，添加、删除和修改数据应通过柜员终端，不得对数据库进行直接操作；
（二）具备各种详细的日志信息，包括交易日志和审计日志等，以便维护和审计；
（三）提供维护的统计和报表打印功能。
第四十七条 银行业金融机构信息系统的变更应符合以下要求：
（一）制订严密的变更处理流程，明确变更控制中各岗位的职责，并遵循流程实施控制和管理；变更前应明确应急和回退方案，无授权不得进行变更操作；
（二）根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性；
（三）应采用软件工具精确判断变更的真实位置和内容，形成变更内容核实清单，实现真实、有效、全面的检验；
（四）软件版本变更后应保留初始版本和所有历史版本，保留所有历史的变更内容核实清单。
第四十八条 银行业金融机构在信息系统投产后一定时期内，应组织对系统的后评价，并根据评价及时对系统功能进行调整和优化。
第四十九条 银行业金融机构应对机房环境设施实行日常巡检，明确信息系统及机房环境设施出现故障时的应急处理流程和预案，有实时交易服务的数据中心应实行24小时值班。
第五十条 银行业金融机构应实行事件报告制度，发生信息系统造成重大经济、声誉损失和重大影响事件，应即时上报并处理，必要时启动应急处理预案。
外包风险控制
第五十一条 外包风险是指银行业金融机构将信息系统的规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商时形成的风险。
第五十二条 银行业金融机构在进行信息系统外包时，应根据风险控制和实际需要，合理确定外包的原则和范围，认真分析和评估外包存在的潜在风险，建立健全有关规章制度，制定相应的风险防范措施。
第五十三条 银行业金融机构应建立健全外包承包方评估机制，充分审查、评估承包方的经营状况、财务实力、诚信历史、安全资质、技术服务能力和实际风险控制与责任承担水平，并进行必要的尽职调查。评估工作可委托经国家相应监管部门认定资质，具有相关专业经验的独立机构完成。
第五十四条 银行业金融机构应当与承包方签订书面合同，明确双方的权利、义务，并规定承包方在安全、保密、知识产权方面的义务和责任。
第五十五条 银行业金融机构应充分认识外包服务对信息系统风险控制的直接和间接影响，并将其纳入总体安全策略和风险控制之中。
第五十六条 银行业金融机构应建立完整的信息系统外包风险评估与监测程序，审慎管理外包产生的风险，提高本机构对外包管理的能力。
第五十七条 银行业金融机构的信息系统外包风险管理应当符合风险管理标准和策略，并应建立针对外包风险的应急计划。
第五十八条 银行业金融机构应与外包承包方建立有效的联络、沟通和信息交流机制，并制定在意外情况下能够实现承包方的顺利变更，保证外包服务不间断的应急预案。
第五十九条 银行业金融机构将敏感的信息系统，以及其他涉及国家秘密、商业秘密和客户隐私数据的管理与传递等内容进行外包时，应遵守国家有关法律法规，符合银监会的有关规定，经过董事会或其他决策机构批准，并在实施外包前报银监会及其派出机构和法律法规规定需要报告的机构备案。

『伍』 股份制商业银行公司治理指引的指引

股份制商业银行公司治理指引 第一条为进一步完善股份制商业银行(以下简称商业银行)公司治理，促进商业银行稳健经营和健康发展，保护存款人和股东的合法权益，根据《中华人民共和国公司法》、《中华人民共和国中国人民银行法》、《中华人民共和国商业银行法》和其他相关法律、法规的规定，制定本指引。
第二条本指引所称商业银行公司治理是指建立以股东大会、董事会、监事会、高级管理层等机构为主体的组织架构和保证各机构独立运作、有效制衡的制度安排，以及建立科学、高效的决策、激励和约束机制。
第三条商业银行公司治理应当遵循以下基本准则：
(一)完善股东大会、董事会、监事会、高级管理层的议事制度和决策程序；
(二)明确股东、董事、监事和高级管理人员的权利、义务；
(三)建立、健全以监事会为核心的监督机制；
(四)建立完善的信息报告和信息披露制度；
(五)建立合理的薪酬制度，强化激励约束机制。 第四条商业银行的股东应当符合中国人民银行规定的向金融机构投资入股的条件。
第五条商业银行应当保护股东合法权益，公平对待所有股东。
股东在合法权益受到侵害时，有权依照法律、法规和商业银行章程的规定要求停止侵害，赔偿损失。
第六条商业银行应当在其章程中规定，商业银行资本充足率低于法定标准时，股东应支持董事会提出的提高资本充足率的措施。
第七条商业银行应当在章程中规定，商业银行可能出现流动性困难时，在商业银行有借款的股东要立即归还到期借款，未到期的借款应提前偿还。
商业银行应当根据中国人民银行《防范和处置金融机构支付风险暂行办法》，在章程中规定“流动性困难”的具体标准。
第八条商业银行对股东贷款的条件不得优于其他借款人同类贷款的条件。
同一股东在商业银行的借款余额不得超过商业银行资本净额的百分之十。股东的关联企业的借款在计算比率时应与该股东在银行的借款合并计算。
商业银行应当在章程中规定，股东在商业银行的借款逾期未还期间内，其表决权应当受到限制。
第九条商业银行不得接受本行股票为质押权标的。
股东需以本行股票为自己或他人担保的，应当事前告知董事会。
股东在本商业银行的借款余额超过其持有的经审计的上一年度的股权净值，且未提供银行存单或国债质押担保的，不得将本行股票再行质押。
第十条商业银行不得为股东及其关联单位的债务提供融资性担保，但股东以银行存单或国债提供反担保的除外。
上款所称融资性担保是指商业银行为股东及其关联单位的融资行为提供的担保。
第十一条同一股东不得向股东大会同时提名董事和监事的人选；同一股东提名的董事(监事)人选已担任董事(监事)职务，在其任职期届满前，该股东不得再提名监事(董事)候选人。
第十二条商业银行的董事会应当向股东大会及中国人民银行及时报告持有商业银行股份前十名的股东名单，以及一致行动时可以实际上控制商业银行的关联股东名单。
第十三条股东应当严格按照法律、法规、规章及商业银行章程规定的程序提名董事、监事候选人。
第十四条控股股东对商业银行和其他股东负有诚信义务。控股股东应当严格按照法律、法规、规章及商业银行章程行使出资人的权利，不得利用其控股地位谋取不当利益，或损害商业银行和其他股东的利益。
第十五条商业银行股东大会包括年会和临时会议。
商业银行的董事会应当在每一会计年度结束后六个月内召开股东大会年会。因特殊情况需延期召开的，应当及时向中国人民银行报告，并说明延期召开的事由。
商业银行的董事会应当依照法律、法规和商业银行章程的规定召开股东大会临时会议。董事会不履行职责，致使出现商业银行重大决策无法做出或者股东大会无法召集等情形时，单独或者合并持有商业银行有表决权股份总数百分之十以上的股东或商业银行监事会，可以决定自行组织召开临时股东大会，但应将召开会议的决定书面通知董事会并报中国人民银行备案。
商业银行的股东大会会议应当实行律师见证制度，并由律师出具法律意见书。法律意见书应当对股东大会召开程序、出席股东大会的股东资格、股东大会的决议内容等事项的合法性发表意见。
商业银行可以自行确定召开股东大会的方式，但应确保股东有效行使其合法权利。
商业银行的董事会应当将股东大会会议记录、股东大会决议等文件报送中国人民银行备案。
第十六条商业银行章程应当规定，单独或者合并持有商业银行有表决权股份总数百分之五以上的股东，有权向股东大会提出审议事项，董事会应当将股东提出的审议事项提交股东大会审议。
商业银行章程应当规定，单独或者合并持有商业银行有表决权股份总数百分之五以上的股东，有权向股东大会提出质询案，董事会、监事会应当按照股东的要求指派董事会、监事会或者高级管理层相关成员出席股东大会接受质询。
第十七条商业银行董事会应当制定内容完备的股东大会议事规则，由股东大会审议通过后执行。
股东大会议事规则包括通知、文件准备、召开方式、表决形式、会议记录及其签署、关联股东的回避制度等。
第十八条股东大会年会除审议相关法律规定的事项外，还应当将下列事项列入股东大会审议范围：
(一)通报中国人民银行对商业银行的监管意见及商业银行执行整改情况；
(二)报告董事会对董事的评价及独立董事的相互评价结果；
(三)报告监事会对监事的评价及外部监事的相互评价结果。
第十九条董事会应当公正、合理地安排会议议程和议题，确保股东大会能够对每个议题进行充分的讨论。
第二十条股东大会决议内容违反法律、法规和中国人民银行及其他监管机关规定的，应当主动及时纠正或依照中国人民银行的意见改正。 第二十一条董事会对股东大会负责，并依据《中华人民共和国公司法》和商业银行章程行使职权。
第二十二条董事应当具备履行职责所必需的专业知识和工作经验，并符合中国人民银行规定的条件。董事的任职资格须经中国人民银行审核。
除《中华人民共和国商业银行法》以及《中华人民共和国公司法》规定的不得担任董事的人员外，下列人员也不得担任董事：
(一)因未履行诚信义务被其他商业银行或组织罢免职务的人员；
(二)在本商业银行的借款(不含以银行存单或国债质押担保的借款)超过其持有的经审计的上一年度股权净值的股东或股东单位任职的人员；
(三)在商业银行借款逾期未还的个人或企业任职的人员。
第二十三条董事会应当制定规范、公开的董事选举程序，经股东大会批准后实施。
第二十四条董事会应当在股东大会召开前一个月向股东披露董事候选人的详细资料，保证股东在投票时对候选人有足够的了解。
第二十五条董事应当接受中国人民银行的任职资格培训。
第二十六条董事依法有权了解商业银行的各项业务经营情况和财务状况，有权对其他董事和高级管理层成员履行职责情况实施监督。
商业银行内部稽核部门对内设职能部门及分支机构稽核的结果应当及时、全面报送董事会。
第二十七条董事对商业银行及全体股东负有诚信与勤勉义务。董事应当按照相关法律、法规、规章及商业银行章程的要求，认真履行职责，维护商业银行和全体股东的利益。
第二十八条董事个人直接或者间接与商业银行已有的或者计划中的合同、交易、安排有关联关系时，不论有关事项在一般情况下是否需要董事会批准同意，董事均应当及时告知董事会、监事会其关联关系的性质和程度。
第二十九条董事会中由高级管理层成员担任董事的人数应不少于董事会成员总数的四分之一，但不应超过董事会成员总数的三分之一。
第三十条商业银行应当建立独立董事制度。独立董事与商业银行及其主要股东之间不应存在可能影响其独立判断的关系。独立董事履行职责时尤其要关注存款人和中小股东的利益。
独立董事应当获得适当报酬。
独立董事的任职资格、产生程序、权利义务以及工作条件应当符合中国人民银行的规定。
第三十一条独立董事在履行职责过程中，发现董事会、董事、高级管理层成员及商业银行机构和人员有违反法律、法规、规章及商业银行章程规定情形的，应及时要求予以纠正并向中国人民银行报告。
第三十二条商业银行董事长和行长应当分设。
商业银行董事长不得由控股股东的法定代表人或主要负责人兼任。
第三十三条董事、董事长应当在法律、法规、规章及商业银行章程规定的范围内行使职权，不得违反商业银行的议事制度和决策程序越权干预高级管理层的经营管理活动。
第三十四条董事会例会每年至少应当召开四次。董事会临时会议的召开程序由商业银行章程规定。
董事会应当通知监事列席董事会会议。
董事会的决定、决议及会议记录等应当在会议结束后10日内报中国人民银行备案。
第三十五条董事会应当制定内容完备的董事会议事规则，包括通知、文件准备、召开方式、表决形式、会议记录及其签署、董事会的授权规则等。
第三十六条董事应当以董事会会议的形式行使职权，董事会会议表决实行一人一票。
商业银行章程应当规定，利润分配方案、重大投资、重大资产处置方案、聘任或解聘高级管理层成员等重大事项不应采取通讯表决方式，且应当由董事会三分之二以上董事通过。
第三十七条董事会在聘任期限内解除行长职务，应当及时告知监事会并向监事会做出书面说明。
第三十八条董事会根据行长提名聘任或解聘副行长、财务负责人及其他高级管理层成员，未经行长提名不得直接聘任或解聘副行长、财务负责人及其他高级管理层成员。
第三十九条董事会应当接受监事会的监督，不得阻挠、妨碍监事会依职权进行的检查、审计等活动。
第四十条董事会应当设立关联交易控制委员会、风险管理委员会、薪酬委员会和提名委员会，也可根据需要设立其他专门委员会。
各专门委员会的负责人应当由董事担任，且委员会成员不得少于三人。
关联交易控制委员会、提名委员会应当由独立董事担任负责人。
关联交易控制委员会和提名委员会的成员不应包括控股股东提名的董事。
第四十一条关联交易控制委员会负责商业银行重大关联交易的审批，其中特别重大的关联交易还需经董事会批准后方可实施。特别重大的关联交易应同时报告监事会。
董事对董事会拟决议事项有重大利害关系的，不得对该项决议行使表决权。该董事会会议应当由二分之一以上无重大利害关系的董事出席方可举行。董事会会议做出的批准关联交易的决议应当由无重大利害关系的董事过半数通过。
商业银行章程应当对重大关联交易和特别重大关联交易的标准做出规定。董事会应当制定商业银行关联交易的具体审批制度。
第四十二条风险管理委员会负责对高级管理层在信贷、市场、操作等方面的风险控制情况进行监督，对商业银行风险状况进行定期评估，对内部稽核部门的工作程序和工作效果进行评价，提出完善银行风险管理和内部控制的意见。
第四十三条薪酬委员会负责拟定董事、监事和高级管理层成员的薪酬方案，向董事会提出薪酬方案的建议，并监督方案的实施。
第四十四条提名委员会负责拟定董事和高级管理层成员的选任程序和标准，对董事和高级管理层成员的任职资格和条件进行初步审核，并向董事会提出建议。
第四十五条各委员会的议事规则和工作职责应当由董事会制定。各委员会应当制定年度工作计划，并定期召开会议。
第四十六条商业银行董事会应当按照人民银行的有关规定制定信息披露的最低标准、方式、途径等，逐步建立、健全商业银行信息披露制度。
第四十七条董事会下设专门办公室，负责股东大会、董事会、董事会各专门委员会会议的筹备、信息披露，以及董事会、董事会各专门委员会的其他日常事务。
商业银行董事会秘书兼任董事会办公室主任。董事会秘书由董事会提名委员会提名，董事会聘任。董事会秘书须经中国人民银行任职资格审核。 第四十八条高级管理层由行长、副行长、财务负责人等组成。高级管理层成员的任职资格应当符合中国人民银行的规定。
第四十九条高级管理层成员应当遵循诚信原则，谨慎、勤勉地在其职权范围内行使职权，不得为自己或他人谋取属于本商业银行的商业机会，不得接受与本商业银行交易有关的利益，不得在其他经济组织兼职。
第五十条行长有权依照法律、法规、规章、商业银行章程及董事会授权，组织开展银行的经营管理活动。
行长应当行使下列职权：
(一)提请董事会聘任或者解聘副行长、财务负责人等高级管理层成员；
(二)聘任或者解聘除应由董事会聘任或者解聘以外的商业银行内部各职能部门及分支机构负责人；
(三)代表高级管理层向董事会提交经营计划和投资方案，经董事会批准后组织实施；
(四)授权高级管理层成员、内部各职能部门及分支机构负责人从事经营活动；
(五)在商业银行发生挤兑等重大突发事件时，采取紧急措施，并立即向中国人民银行和董事会、监事会报告；
(六)其他依据法律、法规、规章及商业银行章程规定应由行长行使的职权。
第五十一条高级管理层应当根据商业银行经营活动需要，建立、健全以内部规章制度、经营风险控制系统、信贷审批系统等为主要内容的内部控制机制。
商业银行的内部稽核部门应当实行垂直管理并由行长直接领导。
商业银行行长不得担任审贷委员会成员，但对审贷委员会通过的授信决定拥有否决权。
第五十二条高级管理层应当建立向董事会定期报告的制度，及时、准确、完整地报告有关银行经营业绩、重要合同、财务状况、风险状况和经营前景等情况。
第五十三条高级管理层应当接受监事会的监督，定期向监事会提供有关商业银行经营业绩、重要合同、财务状况、风险状况和经营前景等情况的信息，不得阻挠、妨碍监事会依职权进行的检查、审计等活动。
第五十四条高级管理层应当建立和完善各项会议制度，并制订相应议事规则。高级管理层召开会议应当制作会议记录，会议记录应当报送监事会。
第五十五条高级管理层依法在职权范围内的经营管理活动不受干预。
高级管理层对董事、董事长越权干预其经营管理的，有权请求监事会予以制止，并向中国人民银行报告。
第五十六条高级管理层成员应当保持相对稳定，在任期内不应随意调整。确需调整的，商业银行应报中国人民银行备案，并按有关规定报请中国人民银行对新任高级管理层成员的任职资格进行审查。
高级管理层成员对董事会违反任免规定的行为，有权请求监事会提出异议，并向中国人民银行报告。
第五十七条高级管理层提交的需由董事会批准的事项，董事会应当及时讨论并做出决定。 第五十八条监事会是商业银行的监督机构，对股东大会负责，行使下列职权：
(一)监督董事会、高级管理层履行职责的情况；
(二)监督董事、董事长及高级管理层成员的尽职情况；
(三)要求董事、董事长及高级管理层成员纠正其损害银行利益的行为；
(四)对董事和高级管理层成员进行离任审计；
(五)检查、监督商业银行的财务活动；
(六)对商业银行的经营决策、风险管理和内部控制等进行审计并指导商业银行内部稽核部门的工作；
(七)对董事、董事长及高级管理层成员进行质询；
(八)其他法律、法规、规章及商业银行章程规定应当由监事会行使的职权。
第五十九条监事会应当由职工代表出任的监事、股东大会选举的外部监事和其他监事组成，其中外部监事的人数不得少于两名。
第六十条商业银行应当建立外部监事制度。外部监事与商业银行及其主要股东之间不应存在影响其独立判断的关系。外部监事在履行职责时尤其要关注存款人和商业银行整体利益。
外部监事报酬应当比照独立董事执行。
外部监事的任职资格、产生程序、权利义务以及工作条件应当符合中国人民银行的规定。
第六十一条监事应当依照法律、法规、规章及商业银行章程的规定，忠实履行监督职责。
监事的任职资格、产生程序、权利义务适用本指引第二十二条至第二十八条有关董事的规定。
第六十二条监事长应当由专职人员担任。监事长至少应当具有财务、审计、金融、法律等某一方面的专业知识和工作经验。
第六十三条监事会应当设立提名委员会,负责拟定监事的选任程序和标准，对监事的任职资格和条件进行初步审核，并向监事会提出建议。
提名委员会应当由外部监事担任负责人。
第六十四条监事会应当设立审计委员会,负责拟定对本指引第五十七条第(一)、(二)、(四)、(五)、(六)项所列事项进行审计的方案。
审计委员会应当由外部监事担任负责人。
第六十五条监事会应当委托经中国人民银行认可的会计师事务所对商业银行上一年度的经营结果进行审计。审计报告应于股东大会年会召开前，且不得迟于当年4月30日完成。审计报告完成后应当经监事会通过，由监事长签名，报股东大会年会审议。在报送股东大会审议前，应当抄送董事会。
会计师事务所对商业银行审计结果有失公允，监事会应当发现而没有发现的，应当追究监事会有关人员的责任。
监事会履行职责所需的费用由商业银行承担。
第六十六条监事会下设办公室，作为监事会的办事机构。监事会办公室聘用的工作人员应当具备相关专业知识，以充分保证监事会监督职责的履行。
第六十七条商业银行应当保障监事会工作的正常开展，为监事会提供必要的工作条件和专门的办公场所。监事会的年度财务预算由股东大会审议通过。
第六十八条监事会例会应当每年至少召开四次，监事会临时会议的召开程序由商业银行章程规定。
监事会的决定、决议及会议记录应当报中国人民银行备案。
第六十九条监事会应当制定内容完备的议事规则，包括通知、文件准备、召开方式、表决形式、会议记录及其签署等。
第七十条监事会发现董事会和高级管理层未执行审慎会计原则，存在未严格核算应收利息、未提足呆账准备金等情形的，应当责令予以纠正。
监事会发现商业银行业务出现异常波动的，应当向董事会或高级管理层提出质疑。
第七十一条商业银行内部稽核部门对内设职能部门及分支机构稽核的结果应当及时、全面报送监事会。
监事会对银行稽核部门报送的稽核结果有疑问时，有权要求行长或稽核部门做出解释。
第七十二条监事会在履行职责时，有权向商业银行相关人员和机构了解情况，相关人员和机构应给予配合。
第七十三条商业银行按规定定期向中国人民银行报送的报告应当附有监事会的意见。监事会应当就报告中有关信贷资产质量、资产负债比例、风险控制等事项逐项发表意见。监事会应当在收到高级管理层递交的报告之日起5个工作日内发表意见，逾期未发表意见的，视为同意。
第七十四条董事会拟订的分红方案应当事先报送监事会，监事会应当对此发表意见。监事会应当在5个工作日内发表意见，逾期未发表意见的，视为同意。
第七十五条监事应当列席董事会会议，列席会议的监事有权发表意见，但不享有表决权。
列席董事会会议的监事应当将会议情况报告监事会。
监事会认为必要时，可以指派监事列席高级管理层会议。
第七十六条监事会发现董事会、高级管理层及其成员有违反法律、法规、规章及商业银行章程规定等情形时，应当建议对有关责任人员进行处分，并及时发出限期整改通知；董事会或者高级管理层应当及时进行处分或整改并将结果书面报告监事会。
董事会和高级管理层拒绝或者拖延采取处分、整改措施的，监事会应当向中国人民银行报告，并报告股东大会。 第七十七条商业银行应当建立薪酬与商业银行效益和个人业绩相联系的激励机制。
第七十八条商业银行应当建立公正、公开的董事、监事、高级管理层成员绩效评价的标准和程序。
第七十九条独立董事的评价应当采取相互评价的方式进行，其他董事的评价由董事会做出，并向股东大会报告。外部监事和其他监事的评价比照独立董事和其他董事执行。
高级管理层成员的评价、薪酬与激励方式由董事会下设的薪酬委员会确定，董事会应当将对高级管理层成员的绩效评价作为对高级管理层成员的薪酬和其他激励安排的依据。绩效评价的标准和结果应当向股东大会说明。
任何董事、监事和高级管理层成员都不应参与本人薪酬及绩效评价的决定过程。
第八十条董事、监事及高级管理层成员违反法律、法规、规章及商业银行章程，给商业银行和股东造成损失的，应当承担赔偿责任。
第八十一条商业银行在条件具备时，经股东大会批准，可以建立董事、监事和高级管理层成员的职业责任保险制度。 第八十二条本指引适用于中国境内设立的股份制商业银行。各商业银行应当按照本指引和中国人民银行有关规定的要求，结合本行的特点，完善商业银行的治理结构。
第八十三条本指引由中国人民银行负责解释。
第八十四条本指引自公告之日起施行。

『陆』 你好！你有《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》工作方案 请共享一下，收费没问题的

金融机构洗钱和恐怖融资风险评估及客户分类管理指引

为深入实践风险为本的反洗钱方法，指导金融机构评估洗钱和恐怖融资（以下统称洗钱）风险，合理确定客户洗钱风险等级，提升反洗钱和反恐怖融资（以下统称反洗钱）工作有效性，根据 《 中华人民共和国反洗钱法 》 等法律制定本指引。
第一章总则
一、基本原则
（一）风险相当原则。
金融机构应依据风险评估结果科学配置反洗钱资源，在洗钱风险较高的领域采取强化的反洗钱措施，在洗钱风险较低的领域采取简化的反洗钱措施。
（二）全面性原则。除本指引所列的例外情形外，金融机构应全面评估客户及地域、业务、行业（职业）等方面的风险状况，科学合理地为每一名客户确定风险等级。
（三）同一性原则。金融机构应建立健全洗钱风险评估及客户风险等级划分流程，赋予同一客户在本金融机构唯一的风险等级，但同一客户可以被同一集团内的不同金融机构赋予不同的风险等级。
（四）动态管理原则。金融机构应根据客户风险状况的变化，及时调整其风险等级及所对应的风险控制措施。
（五）自主管理原则。金融机构经评估论证后认定，自行确定的风险评估标准或风险控制措施的实施效果不低于本指引或其中某项要求，即可决定不遵循本指引或其中某项要求，但应书面记录评估论证的方法、过程及结论。
（六）保密原则。金融机构不得向客户或其他与反洗钱工作无关的第三方泄露客户风险等级信息。
二、功能
（一）本指引所列风险评估要素及其风险子项是金融机构全面科学评估洗钱风险的参考指标，为金融机构划分客户洗钱风险等级提供依据。
（二）本指引所确定的工作流程是金融机构科学整合内部各类资源，特别是发挥业务条线了解客户的基础性作用，有效评估、管理洗钱风险的必要管理措施。
（三）本指引有助于指导金融机构依据洗钱风险评估及客户风险等级划分结果，优化反洗钱资源配置。
三、适用范围本指引适用于金融机构开展洗钱风险评估、客户洗钱风险等级划分及其他风险管理工作。支付机构及其他应履行反洗钱义务的特定非金融机构可参照本指引开展相关工作。
银行业金融机构可根据实际风险状况，自主决定是否将本指引的要求运用于一次性交易客户。
保险业金融机构可根据实际风险状况，自主决定是否将本指引的要求运用于投保人以外的其他人员。
金融机构和特定非金融机构的行业自律组织可根据本指引进一步制定分行业的指引。
第二章风险评估指标体系
一、指标体系概述
洗钱风险评估指标体系包括客户特性、地域、业务（含金融产品、金融服务）、行业（含职业）四类基本要素。金融机构应结合行业特点、业务类型、经营规模、客户范围等实际情况，分解出某一基本要素所蕴含的风险子项。金融机构可根据实际需要，合理增加新的风险评估指标。例如，金融机构可区分新客户和既有客户、自然人客户和非自然人客户等不同群体的风险状况，设置差异化的风险评级标准。
二、风险子项
（一）客户特性风险子项。金融机构应综合考虑客户背景、社会经济活动特点、声誉、权威媒体披露信．息以及非自然人客户的组织架构等各方面情况，衡量本机构对其开展客户尽职调查工作的难度，评估风险。风险子项包括但不限于：
1 ．客户信息的公开程度。客户信．息公开程度越高，金融机构客户尽职调查成本越低，风险越可控。例如，对国家机关、事业单位、国有企业以及在规范证券市场上市的公司开展尽职调查的成本相对较低，风险评级可相应调低。
2 ．金融机构与客户建立或维持业务关系的渠道。渠道会对金融机构尽职调查工作的便利性、可靠性和准确性产生影响。例如，在客户直接与金融机构见面的情况下，金融机构更能全面了解客户，其尽职调查成果比来源于间接渠道的成果更为有效。不同类的间接渠道风险也不尽相同，例如，金融机构通过关联公司比通过中介机构更能便捷准确地取得客户尽职调查结果。
3 ．客户所持身份证件或身份证明文件的种类。身份证件或身份证明文件越难以查验，客户身份越难以核实，风险程度就越高。
4 ．反洗钱交易监测记录。金融机构对可疑交易报告进行回溯性审查，有助于了解客户的风险状况。在成本允许的情况下，金融机构还可对客户的大额交易进行回溯性审查。
5 ．非自然人客户的股权或控制权结构。股权或控制权关系的复杂程度及其可辨识度，直接影响金融机构客户尽职调查的有效性。例如，个人独资企业、家族企业、合伙企业、存在隐名股东或匿名股东公司的尽职调查难度通常会高于一般公司。
6 ．涉及客户的风险提示信．息或权威媒体报道信．息。金融机构如发现，客户曾被监管机构、执法机关或金融交易所提示予以关注，客户存在犯罪、金融违规、金融欺诈等方面的历史记录，或者客户涉及权威媒体的重要负面新闻报道评论的，可适当调高其风险评级。
7 ．自然人客户年龄。年龄与民事行为能力有直接关联，与客户的财富状况、社会经济活动范围、风险偏好等有较高关联度。
8 ．非自然人客户的存续时间。客户存续时间越长，关于其社会经济活动的记录可能越完整，越便于金融机构开展客户尽职调查。金融机构可将存续时间的长度作为衡量客户风险程度的参考因素。
（二）地域风险子项。金融机构应衡量客户及其实际受益人、实际控制人的国籍、注册地、住所、经营所在地与洗钱及其他犯罪活动的关联度，并适当考虑客户主要交易对手方及境外参与交易金融机构的地域风险传导问题。风险子项包括但不限于：
1 ．某国（地区）受反洗钱监控或制裁的情况。金融机构既要考虑我国的反洗钱监控要求，又要考虑其他国家（地区）和国际组织推行且得到我国承认的反洗钱监控或制裁要求。经营国际业务的金融机构还要考虑对该业务有管辖权的国家（地区）的反洗钱监控或制裁要求。
2 ．对某国（地区）进行反洗钱风险提示的情况。金融机构应遵循中国人民银行和其他有权部门的风险提示，参考金融行动特别工作组（英文简称 FATF ）、亚太反洗钱组织（英文简称 APG ）、欧亚反洗钱及反恐怖融资组织（英文简称 EAG ）等权威组织对各国（地区）执行 FATF 反洗钱标准的互评估结果。
3 ．国家（地区）的上游犯罪状况。金融机构可参考我国有关部门以及 FATF 等国际权威组织发布的信息，重点关注存在较严重恐怖活动、大规模杀伤性武器扩散、毒品、走私、跨境有组织犯罪、腐败、金融诈骗、人口贩运、海盗等犯罪活动的国家（地区） , 以及支持恐怖主义活动等严重犯罪的国家（地区）。对于我国境内或外国局部区域存在的严重犯罪，金融机构应参考有权部门的要求或风险提示，酌情提高涉及该区域的客户风险评级。
4 ．特殊的金融监管风险。例如避税型离岸金融中心。对于其住所、注册地、经营所在地与本金融机构经营所在地相距很远的客户，金融机构应考虑酌情提高其风险评级。
（三）业务（含金融产品、金融服务）风险子项。金融机构应当对各项金融业务的洗钱风险进行评估，制定高风险业务列表，并对该列表进行定期评估、动态调整。金融机构进行风险评级时，不仅要考虑金融业务的固有风险，而且应结合当前市场的具体运行状况，进行综合分析。风险子项包括但不限于：
1 ．与现金的关联程度。现金业务容易使交易链条断裂，难于核实资金真实来源、去向及用途，因此现金交易或易于让客户取得现金的金融业务（以下简称关联业务）具有较高风险。考虑到我国金融市场运行现状和居民的现金交易偏好，现金及其关联业务的普遍存在具有一定的合理性，金融机构可重点关注客户在单位时间内累计发生的金额较大的现金交易情况或是具有某些异常特征的大额现金交易情况。此项标准如能结合客户行业或职业特性一并考虑将更为合理。
2 ．非面对面交易。非面对面交易方式（如网上交易）使客户无需与工作人员直接接触即可办理业务，增加了金融机构开展客户尽职调查的难度，洗钱风险相应上升。金融机构在关注此类交易方式固有风险的同时，需酌情考虑客户选择或偏好此类交易方式所具有的一些现实合理性，特别是在以互联网为主要交易平台的细分金融领域（如证券市场的二级市场交易），要结合反洗钱资金监测和自身风险控制措施情况，灵活设定风险评级指标。例如，可重点审查以下交易：
( 1 ）由同一人或少数人操作不同客户的金融账户进行网上交易；
( 2 ）网上金融交易频繁且 IP 地址分布在非开户地或境外；
( 3 ）使用同一 IP 地址进行多笔不同客户账户的网银交易；
( 4 ）金额特别巨大的网上金融交易；
( 5 ）公司账户与自然人账户之间发生的频繁或大额交易；
( 6 ）关联企业之间的大额异常交易。
3 ．跨境交易。跨境开展客户尽职调查难度大，不同国家（地区）的监管差异又可能直接导致反洗钱监控漏洞产生。金融机构可重点结合地域风险，关注客户是否存在单位时间内多次涉及跨境异常交易报告等情况。
4 ．代理交易。由他人（非职业性中介）代办业务可能导致金融机构难以直接与客户接触，尽职调查有效性受到限制。鉴于代理交易在现实中的合理性，金融机构可将关注点集中于风险较高的特定情形，例如：
( 1 ）客户的账户是由经常代理他人开户人员或经常代理他人转账人员代为开立的；
( 2 ）客户由他人代办的业务多次涉及可疑交易报告；
( 3 ）同一代办人同时或分多次代理多个账户开立；
( 4 ）客户信．息显示紧急联系人为同一人或者多个客户预留电话为同一号码等异常情况。
5 ．特殊业务类型的交易频率。对于频繁进行异常交易的客户，金融机构应考虑提高风险评级。
银行业金融机构可关注开（销）户数量、非自然人与自然人大额转账汇款频率、涉及自然人的跨境汇款频率等。
证券业金融机构可关注交易所预警交易、大宗交易、转托管和指定（撤指）、因第三方存款单客户多银行业务而形成的资金跨银行或跨地区划转等。
期货业金融机构可关注盗码交易、自然人客户违规持仓、对倒、对敲等异常行为。
保险业金融机构可关注投保频率、退保频率、团险投保人数明显与企业人员规模不匹配、团险保全业务发生率、申请保单质押贷款（保单借款）金额或频率、生存保险受益人变更频率、万能险追加保费金额或频率等。
信托公司可关注客户购买、转让信托产品的频率或金额等。
在业务关系建立之初，金融机构可能无法准确预估出客户使用的全部业务品种，但可在重新审核客户风险等级时审查客户曾选择过的金融业务类别。
（四）行业（含职业）风险子项。
金融机构应评估行业、身份与洗钱、职务犯罪等的关联性，合理预测某些行业客户的经济状况、金融交易需求，酌情考虑某些职业技能被不法分子用于洗钱的可能性。本指引对此基本要素不再细分风险子项，金融机构可从以下角度进行评估：
1 ．公认具有较高风险的行业（职业）。原则上，按照我国反洗钱监管制度及 FATF 建议等反洗钱国际标准应纳入反洗钱监管范围的行业（职业），其洗钱风险通常较高。
2 ．与特定洗钱风险的关联度。例如，客户或其实际受益人、实际控制人、亲属、关系密切人等属于外国政要。
3 ．行业现金密集程度。例如，客户从事废品收购、旅游、餐饮、零售、艺术品收藏、拍卖、娱乐场所、博彩、影视娱乐等行业。
三、指标使用方法
本指引运用权重法，以定性分析与定量分析相结合的方式来计量风险、评估等级。中国人民银行鼓励金融机构研发其他风险计量工具或方法，金融机构自主研发的风险计量工具或方法应能全面覆盖本指引所列风险子项，并有书面文件对其设计原理和使用方法进行说明。
（一）金融机构应对每一基本要素及其风险子项进行权重赋值，各项权重均大于 0 ，总和等于 100 。对于风险控制效果影响力越大的基本要素及其风险子项，赋值相应越高。对于经评估后决定不采纳的风险子项，金融机构无需赋值。同一基本要素或风险子项所概括的风险事件，在不同的细分金融领域内有可能导致不同的危害性后果发生。即使是处于同一细分金融领域内的不同金融机构，也可能因为客户来源、销售渠道、经营规模、合规文化等方面的原因而面临不同的风险状况，从而对同一风险事件的风险程度作出不同的判断。因此，每个金融机构需结合自身情况，合理确定个性化的权重赋值。
（二）金融机构应逐一对照每个风险子项进行评估。例如，金融机构采用五级分类法时，最高风险评分为 5 ，较高风险评分为 4 ，一般风险评分为 3 ，较低风险评分为 2 ，低风险评分为 1 。金融机构应根据各风险子项评分及权重赋值计算客户风险等级总分，计算公式为 Pi：，其中 a 代表风险子项评分， p 代表权重， m 代表金融机构所选取的风险分级数（例如三级分类、五级分类等） , n 代表风险子项数量。客户风险等级．得分最高 1 00 分。
（三）金融机构应建立客户风险等级总分（区间）与风险等级之间的映射规则，以确定每个客户具体的风险评级，引导资源配置。金融机构确定的风险评级不得少于三级。从有利于运用评级结果配置反洗钱资源角度考虑，金融机构可设置较多的风险评级等次，以增强反洗钱资源配置的灵活性。
四、例外情形
（一）对于风险程度显著较低且预估能够有效控制其风险的客户，金融机构可自行决定不按上述风险要素及其子项评定风险，直接将其定级为低风险，但此类客户不应具有以下任何一种情形：
1 ．在同一金融机构的金融资产净值超过一定限额（原则上，自然人客户限额为 20 万元人民币，非自然人客户限额为 50 万元人民币），或寿险保单年缴保费超过 1 万元人民币或外币等值超过 1000 美元，以及非现金夏交保费超过 20 万元人民币或外币等值超过 2 万美元；
2 ．与金融机构建立或开展了代理行、信托等高风险业务关系；
3 ．客户为非居民，或者使用了境外发放的身份证件或身份证明文件；
4 ．涉及可疑交易报告；
5 ．由非职业性中介机构或无亲属关系的自然人代理客户与金融机构建立业务关系；
6 ．拒绝配合金融机构客户尽职调查工作。对于按照上述要求不能直接定级为低风险的客户，金融机构逐一对照各项风险要素及其子项进行风险评估后，仍可能将其定级为低风险。
（二）对于具有下列情形之一的客户，金融机构可直接将其风险等级确定为最高，而无需逐一对照上述风险要素及其子项进行评级：
1 ．客户被列入我国发布或承认的应实施反洗钱监控措施的名单；
2 ．客户为外国政要或其亲属、关系密切人；
3 ．客户实际控制人或实际受益人属前两项所述人员；
4 ．客户多次涉及可疑交易报告；
5 ．客户拒绝金融机构依法开展的客户尽职调查工作；
6 ．金融机构自定的其他可直接认定为高风险客户的标准。不具有上述情形的客户，金融机构逐一对照各项风险基本要素及其子项进行风险评估后，仍可能将其定级为高风险。
第三章风险评估及客户等级划分操作流程
一、时机
（一）对于新建立业务关系的客户，金融机构应在建立业务关系后的 10 个工作日内划分其风险等级。
（二）对于已确立过风险等级的客户，金融机构应根据其风险程度设置相应的重新审核期限，实现对风险的动态追踪。原则上，风险等级最高的客户的审核期限不得超过半年，低一等级客户的审核期限不得超出上一级客户审核期限时长的两倍。对于首次建立业务关系的客户，无论其风险等级高低，金融机构在初次确定其风险等级后的三年内至少应进行一次复核。
（三）当客户变更重要身份信息、司法机关调查本金融机构客户、客户涉及权威媒体的案件报道等可能导致风险状况发生实质性变化的事件发生时，金融机构应考虑重新评定客户风险等级。
二、操作步骤
（一）收集信息。金融机构应根据反洗钱风险评估需要，确定各类信息的来源及其采集方法。信息来源渠道通常有：
1 ．金融机构在与客户建立业务关系时，客户向金融机构披露的信息；
2 ．金融机构客户经理或柜面人员工作记录；
3 ．金融机构保存的交易记录；
4 ．金融机构委托其他金融机构或中介机构对客户进行尽职调查工作所获信息。
5 ．金融机构利用商业数据库查询信息；
6 ．金融机构利用互联网等公共信息平台搜索信息。
金融机构在风险评估过程中应遵循勤勉尽责的原则，依据所掌握的事实材料，对部分难以直接取得或取得成本过高的风险要素信息进行合理评估。为统一风险评估尺度，金融机构应当事先确定本机构可预估信息列表及其预估原则，并定期审查和调整。
（二）筛选分析信息。评估人员应认真对照风险评估基本要素及其子项，对所收集的信．息进行归类，逐项评分。如果同一基本要素或风险子项对应有多项相互重复或交叉的关联性信息存在时，评估人员应进行甄别和合并。如果同一基本要素或风险子项对应有多项相互矛盾或抵触的关联性信息存在时，评估人员应在调查核实的基础上，删除不适用信息，并加以注释。
金融机构工作人员整理完基础信息后，应当整体性梳理各项风险评估要素及其子项。如发现要素项下有内容空缺或信息内容不充分的，可在兼顾风险评估需求与成本控制要求的前提下，确定是否需要进一步收集补充信息。
金融机构可将上述工作流程嵌入相应业务流程中，以减少执行成本。例如，从客户经理或营销人员开始寻找目标客户或与客户接触起，即可在自身业务范围采集信．息，并随着业务关系的逐步确立，由处在业务链条上的各类人员在各自职责范围内负责相应的资料收集工作。
（三）初评。除存在前述例外情形的客户外，金融机构工作人员应逐一分析每个风险评估基本要素项及其子项所对应的信息，确定出相应的得分。对于材料不全或可靠性存疑的要素信息，评估人员应在相应的要素项下进行标注，并合理确定相应分值。在综合分析要素信．急的基础上，金融机构工作人员累计计算客户评分结果，相应确定其初步评级。
金融机构可利用计算机系统等技术手段辅助完成部分初评工作。
（四）复评。初评结果均应由初评人以外的其他人员进行复评确认。初评结果与复评结果不一致的，可由反洗钱合规管理部门决定最终评级结果。
第四章风险分类控制措施
金融机构应在客户风险等级划分的基础上，采取相应的客户尽职调查及其他风险控制措施。
一、对风险较高客户的控制措施金融机构应对高风险客户采取强化的客户尽职调查及其他风险控制措施，有效预防风险。可酌情采取的措施包括但不限于：
（一）进一步调查客户及其实际控制人、实际受益人情况。
（二）进一步深入了解客户经营活动状况和财产来源。
（三）适度提高客户及其实际控制人、实际受益人信息的收集或更新频率。
（四）对交易及其背景情况做更为深入的调查，询问客户交易目的，核实客户交易动机。
（五）适度提高交易监测的频率及强度。
（六）经高级管理层批准或授权后，再为客户办理业务或建立新的业务关系。
（七）按照法律规定或与客户的事先约定，对客户的交易方式、交易规模、交易频率等实施合理限制．
（八）合理限制客户通过非面对面方式办理业务的金额、次数和业务类型。
（九）对其交易对手及经办业务的金融机构采取尽职调查措施。
二、对风险较低客户的控制措施金融机构可对低风险客户采取简化的客户尽职调查及其他风险控制措施，可酌情采取的措施包括但不限于：
（一）在建立业务关系后再核实客户实际受益人或实际控制人的身份。
（二）适当延长客户身份资料的更新周期。
（三）在合理的交易规模内，适当降低采用持续的客户身份识别措施的频率或强度。例如，逐步建立对低风险客户异常交易的快速筛选判断机制。对于经分析排查后决定不提交可疑交易报告的低风险客户，金融机构仅发现该客户重复性出现与之前已排除异常交易相同或类似的交易活动时，可运用技术性手段自动处理预警信息。对于风险等级较低客户异常交易的对手方仅涉及各级党的机关、国家权力机关、行政机关、司法机关、军事机关、人民政协机关和人民解放军、武警部队等低风险客户的，可直接利用技术手段予以筛除。
（四）在风险可控情况下，允许金融机构工作人员合理推测交易目的和交易性质，而无需收集相关证据材料。
第五章管理与保障措施
一、风险管理政策金融机构应在总部或集团层面建立统一的洗钱风险管理基本政策，并在各分支机构、各条线（部门）执行。
客户风险管理政策应经金融机构董事会或其授权的组织审核通过，并由高级管理层中的指定专人负责实施。
金融机构．总部、集团可针对分支机构所在地区的反洗钱状况，设定局部地区的风险系数，或授权分支机构根据所在地区情况，合理调整风险子项或评级标准。
金融机构应对自身金融业务及其营销渠道，特别是在推出新金融业务、采用新营销渠道、运用新技术前，进行系统全面的洗钱风险评估，按照风险可控原则建立相应的风险管理措施。
二、组织管理措施
金融机构应完善风险评估流程，指定适当的条线（部门）及人员整体负责风险评估工作流程的设置及监控工作，组织各相关条线（部门）充分参与风险评估工作。
金融机构应确保客户风险评估工作流程具有可稽核性或可追溯性。
三、技术保障措施
金融机构应确保洗钱风险管理工作所需的必要技术条件，积极运用信．息系统提升工作有效性。系统设计应着眼于运用客户风险等级管理工作成果，为各级分支机构查询使用信息提供方便。
四、代理业务管理
金融机构委托其他机构开展客户风险等级划分等洗钱风险管理工作时，应与受托机构签订书面协议，并由高级管理层批准。受托机构应当积极协助委托机构开展洗钱风险管理。由委托机构对受托机构进行的洗钱风险管理工作承担最终法律责任。
金融机构应建立专门机制，审核受托机构确定的客户风险等级。

『柒』 银行业金融机构信息系统风险管理指引的第五章　运行维护风险控制

第四十三条 运行维护风险是指信息系统在运行与维护过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。
第四十四条 银行业金融机构信息系统运行与维护应实行职责分离，运行人员应实行专职，不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护，除应急外，其他维护应在非工作时间进行。
第四十五条 银行业金融机构信息系统的运行应符合以下要求：
（一）制定详细的运行值班操作表，包括规定巡检时间，操作范围、内容、办法、命令以及负责人员等信息；
（二）提供常见和简便的操作菜单或命令，如信息系统的启动或停止、运行日志的查询等；
（三）提供机房环境、设备使用、网络运行、系统运行等监控信息；
（四）记录运行值班过程中所有现象、操作过程等信息。
第四十六条 银行业金融机构信息系统的维护应符合以下要求：
（一）除对信息系统设备和系统环境的维护外，对软件或数据的维护必须通过特定的应用程序进行，添加、删除和修改数据应通过柜员终端，不得对数据库进行直接操作；
（二）具备各种详细的日志信息，包括交易日志和审计日志等，以便维护和审计；
（三）提供维护的统计和报表打印功能。
第四十七条 银行业金融机构信息系统的变更应符合以下要求：
（一）制订严密的变更处理流程，明确变更控制中各岗位的职责，并遵循流程实施控制和管理；变更前应明确应急和回退方案，无授权不得进行变更操作；
（二）根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性；
（三）应采用软件工具精确判断变更的真实位置和内容，形成变更内容核实清单，实现真实、有效、全面的检验；
（四）软件版本变更后应保留初始版本和所有历史版本，保留所有历史的变更内容核实清单。
第四十八条 银行业金融机构在信息系统投产后一定时期内，应组织对系统的后评价，并根据评价及时对系统功能进行调整和优化。
第四十九条 银行业金融机构应对机房环境设施实行日常巡检，明确信息系统及机房环境设施出现故障时的应急处理流程和预案，有实时交易服务的数据中心应实行24小时值班。
第五十条 银行业金融机构应实行事件报告制度，发生信息系统造成重大经济、声誉损失和重大影响事件，应即时上报并处理，必要时启动应急处理预案。