一、引言
银行长期依赖第三方服务提供商 (TPSP) 来获取专业 expertise、降低成本、提高可扩展性、效率和运营弹性，并专注于核心业务。随着数字化的发展，银行对 TPSP 的依赖程度不断增加。巴塞尔银行监管委员会 (BCBS) 发布了这份文件，旨在推广基于原则的第三方风险管理 (TPRM) 方法，以增强银行抵御、适应和从运营中断中恢复的能力，从而减轻潜在的重大破坏性事件的影响。该文件取代了 2005 年联合论坛发布的关于外包的文件，并反映了银行 TPSP 环境的演变。
二、定义
文件对 TPSP 安排、TPSP、关键服务、关键 TPSP 安排、集团内部 TPSP、供应链、集中风险、第 n 方和关键第 n 方等关键术语进行了定义。
三、第三方风险管理原则
文件提出了 12 项原则，涵盖了 TPSP 安排的整个生命周期，包括治理、风险管理和发展战略、风险评估、尽职调查、合同、入职和持续监控、终止以及监管机构的作用。
1. 治理、风险管理和战略
- 董事会负有为银行第三方风险提供最终监督的责任，并应批准明确的风险管理策略，并定义银行的风险偏好和相关的中断容忍度。
- 银行应实施 TPRMF，并与银行的业务战略、风险战略和第三方战略相一致。
- 银行应保持适当水平的员工、内部知识、经验和能力，以及培训和意识计划，以识别、评估、管理和监控 TPSP 安排带来的风险。
2. 风险评估
- 银行应在 TPRMF 下进行全面的风险评估，以评估和管理在进入和整个 TPSP 安排生命周期中识别的和潜在的风险。
- 银行应考虑风险类型和水平，包括集中风险、供应链风险、新技术风险以及其他金融和非金融风险。
- 银行应根据风险评估结果，评估其当前控制环境是否足以纳入 TPSP 安排，并计划适当的风险监控、报告和升级、缓解措施、利益相关者的期望以及相关的拟议合同条款。
3. 尽职调查
- 银行应在进入安排之前对拟议的 TPSP 进行适当的尽职调查。
- 银行应有一个适当和成比例的过程来选择和评估拟议的 TPSP。
- 银行的尽职调查应支持对以下方面的分析：(i) TPSP 提供服务的能力和能力；(ii) 与 TPSP 安排相关的已知和潜在风险；以及 (iii) 安排的相对收益和成本。
4. 合同
- TPSP 安排应由具有法律约束力的书面合同管辖，清楚地描述所有相关方的权利、义务、责任和期望。
- 银行合同应考虑关键绩效基准、银行接收准确、全面和及时信息的权利、TPSP 提供服务概述的权利、银行访问和审计的权利、监管机构的权利、与业务连续性和灾难恢复相关的义务和责任、成本、所有权、访问和使用逻辑资产和物理资产、业务连续性和灾难恢复、位置、保密性、信息共享风险、银行索赔处理和争议解决机制、法律选择和管辖权、违约和终止、修改现有安排的框架以及支持银行退出策略的条款。
5. 入职和持续监控
- 银行应投入足够的资源来支持新 TPSP 的顺利入职，包括解决尽职调查期间发现的任何问题或解释合同条款。
- 银行应持续评估和监控 TPSP 安排的性能和风险和关键性的变化，并相应地向董事会和高级管理层报告。
- 银行应包括绩效指标、与银行政策 và 程序一致的持续关键绩效指标和记分卡，以及定期更新的 TPSP 安排和关键第 n 方的注册。
- 银行应监控 TPSP 的绩效和运营实施，以确保 TPSP 清楚地理解和履行其义务和责任。
- 银行应审查关键 TPSP 的业务连续性计划和灾难恢复计划，并确保定期由 TPSP 进行测试。
- 银行可以利用独立审计和其他形式的确信结果，但对关键服务，应使用多种形式的确信，不能仅依赖一种。
6. 业务连续性管理
- 银行应保持强大的业务连续性管理，以确保在 TPSP 服务中断的情况下能够运营。
- 银行应在其 BCM 程序中管理其对 TPSP 安排的依赖。
- 银行的 BCM 程序应考虑内部业务连续性计划和灾难恢复计划的制定、定期审查和更新、定期测试、事件的经验教训以及已识别的替代提供商的定期更新。
7. 终止
- 银行应维护退出计划，用于计划的终止和 TPSP 安排的非计划的终止。
- 银行应维护适当和成比例的退出计划，用于计划的终止。退出计划需要定期更新和测试，以考虑预算、人力资源、技术基础设施、知识转移、数据访问和其他因素。
- 银行应维护适当和成比例的退出策略，用于所有 TPSP 安排的非计划的终止。虽然非计划的终止可能不如计划的终止频繁发生，但它们可能带来更多的风险，银行应该为此做好准备。
四、监管机构的作用
- 监管机构应将第三方风险管理评估为银行持续评估的组成部分。
- 监管机构应分析可用信息，以确定潜在的系统性风险，包括由向银行提供服务的一个或多个 TPSP 提供的服务集中而产生的风险。
- 监管机构应促进跨部门和跨境的协调和对话，以监控关键 TPSP 提供的服务对银行构成的系统性风险。
