出品|WEMONEY研究室

文|劉雙霞

近日，銀保監會發布了《銀行保險機構信息科技外包風險監管辦法》（簡稱《辦法》），要求銀保機構建立信息科技外包管理體系，將信息科技外包風險納入全面風險管理體系，有效控制由于外包而引發的風險。同時，銀保監會及其派出機構監管的其他金融機構參照執行。

這意味著，金融IT外包市場迎來全面監管。在市場看來，金融IT業務將進入高標準、嚴要求的監管階段，整體外包增量業務將向合規、風控標準更高的頭部廠商傾斜，而相對粗放式發展的中小廠商或面臨業務收縮。

但同時，監管也提到要降低集中度風險，減少對個別外包服務提供商的依賴。這意味著，“贏家通吃”的局面不再，市場認為，在頭部外包商市場份額占比很大時，未來可能會被降低競標分數。

01.金融IT外包市場迎監管

金融行業的信息化正不斷推進。各類金融機構不斷加碼對信息科技的投入，信息科技實力是銀行等金融機構的核心競爭力之一。

以銀行業為例，根據IDC數據統計，2013年我國銀行業IT投資規模為680.9億元，而到了2019年，這一數字已經上漲到了1230.9億元，2013-2019的年均復合增長率達到10.4%。到2020年，銀行業整體IT投資規模達到1906.4億元。

中國金融學會會長、人民銀行原行長周小川撰文指出，銀行業在某種程度上可看作是信息科技的應用行業，其賬戶管理、客戶管理、支付體系、貸款決策及定價等，都是依靠以IT技術為支撐的信息處理來完成的。銀行業面臨信息科技發展帶來的挑戰，這是必然的。

周小川表示，銀行業既然是信息服務業，就必然要建立信息系統，包括硬件系統以及基礎軟件和應用軟件。過去銀行應用軟件可以自己開發，也可以外購，小銀行限于自身科技力量，外購情況更多。

有數據顯示，2019年銀行業信息科技外包項目數量同比增加13.8%，外包合同金額同比增加56.3%。

可以看到，大多數銀行尤其是中小銀行普遍采用IT外包支持其信息化建設，外包服務商承擔了大量的銀行業金融機構信息科技服務工作，部分領域形成了較高的外包服務集中度和行業依賴。

為規范銀行保險機構的信息科技外包活動，加強信息科技外包風險管控，銀保監會近日發布了《銀行保險機構信息科技外包風險監管辦法》。據悉，銀保監會在2020年就已完成征求意見稿的起草工作。

該《辦法》的出爐是因為近幾年的監管實踐發現，信息科技外包是當前銀行保險機構的風險多發領域。《辦法》的適用對象包括政策性銀行、商業銀行、農村合作銀行、省（自治區）農村信用社聯合社，保險集團（控股）公司、保險公司、保險資產管理公司、金融資產管理公司，同時，銀保監會及其派出機構監管的其他金融機構參照執行。

一位金融科技公司人士指出，現在金融科技公司為銀行賦能比較混亂，一些中小銀行自身科技實力較弱，在與各類科技公司合作時，辨別能力較差，后期容易發生風險。因此，《辦法》對中小銀行有一定的指導意義。

“對于銀行來講，這個《辦法》相當于一份信息科技外包管理的行動指南，是銀行管供應商的依據。合同簽約前做好盡職調查向銀保監報備，報備成功才能簽約。”一位城商行IT部門人士指出，根據《辦法》規定，銀行保險機構每年應當至少開展一次全面的信息科技外包風險管理評估，并向董（理）事會或高級管理層提交評估報告。

02.中小廠商面臨洗牌

隨著《辦法》落地，金融IT外包市場將迎來一場變局。

一位金融科技行業從業者認為，《辦法》影響比較大的是兩類：一類是特別小的金融科技公司，實力不夠，需要被淘汰；另一類是有一定壟斷的科技巨頭，一旦意外發生，可能引發系統性風險。

根據《辦法》規定，信息科技外包原則上劃分為咨詢規劃類、開發測試類、運行維護類、安全服務類、業務支持類等類別。

具體來看，監管也給出了信息科技外包服務類型參考：

咨詢規劃類。包括但不限于：信息科技戰略規劃（含中長期規劃）咨詢，數據中心（機房）整體建設咨詢和規劃，信息科技治理（含數據治理）、信息科技風險管理體系、信息安全管理體系、業務連續性管理體系等管理類咨詢和規劃，重要信息系統架構和建設相關的咨詢和規劃，新興技術應用咨詢和規劃。

開發測試類。包括但不限于：軟硬件開發和測試外包（含人力外包），軟件即服務形式的外包。

運行維護類。包括但不限于：數據中心（機房）物理環境的托管或運行維護，軟硬件基礎設施托管或運行維護，應用系統運行維護，電子機具運行維護，終端等辦公設備的運行維護，以及涉及以上運行維護的人力外包。

安全服務類。包括但不限于：安全運營服務，安全加固服務，安全設備運行維護，安全日志處理與分析，安全測試服務，密鑰管理及運行維護，數據安全服務，以及涉及以上服務的人力外包。

業務支持類。包括但不限于：市場拓展、業務運營（集中作業、呼叫中心等）、企業管理、資產處置、數據處理、數據利用等業務外包或第三方合作當中涉及銀行保險機構的重要數據或客戶個人信息處理的信息科技活動，法律法規另有要求的除外。

業內人士指出，這幾乎涵蓋了目前為金融機構提供賦能、服務的所有類別金融科技公司。

而目前銀行信息科技外包服務商質量參差不齊。據披露，監管部門在核查中發現，有些外包商對銀行客戶信息和敏感技術資料安全保護薄弱，系統托管服務生產運行風險高，交付銀行的軟件產品存在安全漏洞，可能給銀行系統安全運行帶來風險。

中國社會科學院金融研究所銀行研究室主任、國家金融與發展實驗室研究員李廣子進一步介紹，當前銀行IT外包中存在的主要問題包括：信息科技外包導致銀行自主風控能力下降，一旦出現信息安全事故，銀行可能無法在第一時間進行有效處理；部分銀行自身科技力量有限，無法真正實現信息科技系統的落地，以更好地滿足自身需求；在信息科技外包過程中存在數據安全隱患；不同銀行對同一科技服務商的依賴容易導致系統性風險。

《辦法》提到，銀行保險機構應對對于信息科技外包活動及相關服務提供商進行分級管理，對重要外包和一般外包采取差異化管控措施。

同時，在準入方面的要求也更加嚴格。銀行保險機構應根據信息科技外包戰略，結合風險評估情況，明確服務提供商的準入標準，對備選服務提供商進行篩選，審慎引入集中度風險較高或增加機構整體風險的服務提供商。

對于關聯外包和同業外包，銀行保險機構不得降低對服務提供商的要求，嚴格防范利益沖突和利益輸送。

03.贏家通吃局面難再

但“贏家通吃”的局面也是監管不愿意看到的。

上述金融科技公司人士指出，除了云服務，還有CDN服務等等各種科技賦能銀行的業務，都存在少數科技巨頭占有很大市場份額的情況。比如助貸業務（個人及小微企業這塊），很多小銀行線上助貸業務就跟螞蟻和騰訊合作，如果發生風險就比較集中。

《辦法》也規定，銀行保險機構應識別對本機構具有集中度風險的外包服務及其提供商，積極采用分散外包活動、注重外包項目知識產權保護、提高自身研發運維能力、儲備潛在替代服務提供商等手段，減少對個別外包服務提供商的依賴，降低集中度風險。

同時，監管部門也會對集中度風險進行整體監測。《辦法》第四十條指出，銀保監會及其派出機構持續監測銀行業保險業信息科技外包風險狀況，建立行業和區域集中度風險監測與核查機制，對重大或共性風險及時向行業發布風險提示，積極防范因信息科技外包可能引發的區域性、系統性風險。

根據風險狀況，銀保監會及其派出機構可以要求銀行保險機構與服務提供商會談，就其外包服務和風險相關的重大事項作出說明。

上述金融科技公司人士也指出，首先，在招標合作前，金融機構會要求科技公司提交合作機構情況并披露占有的市場份額情況，在市場份額特別大時，未來可能會降低競標分數。此外，銀行保險都跟某家機構合作時，需要向監管報備，監管機構會監測合作情況，并進行窗口指導或者風險提示。

李廣子總結道，從影響上看，那些不符合規定的信息科技外包將面臨清理整頓，部分資質較差的公司業務會受到沖擊，業務可能會向那些實力較強的科技公司集中。但同時，監管也會管控集中度風險。此外，《辦法》的出臺也會倒逼銀行提高自身科技實力。