信息科技外包在为银行保险机构带来效率和成本优势的同时，也暗藏着科技能力弱化、数据泄露、核心业务中断等多重风险隐患。2021年12月，原银保监会印发《银行保险机构信息科技外包风险监管办法》（银保监办发〔2021〕141号，以下简称“141号文”），文件明确要求“银行保险机构应当充分评估拟开展的信息科技外包活动与信息科技外包战略的一致性，充分评估拟开展的信息科技外包活动相关风险。”

项目开展前的信息科技外包可行性分析是风险防控的重要前置环节，也是后续审批决策的重要参考依据之一。该环节核心在于明确以下事项：项目能否采用科技外包方式开展、项目具有哪些科技外包风险、外包风险应对措施是否切实有效。本文结合监管要求，对上述问题逐层开展分析。

一、“能不能外包”——外包的合规和效益

项目前期首要工作是完成外包准入的判断。对于满足信息科技外包特征的项目，一方面要逐项甄别业务内容，严格规避监管划定的不能外包职能红线；另一方面要充分论证使用外包的必要性。

1、外包合规性——是否触及不能外包职能边界

“141号文”第十一条规定：“银行保险机构应当明确不能外包的信息科技职能。涉及信息科技战略管理、信息科技风险管理、信息科技内部审计及其他有关信息科技核心竞争力的职能不得外包。”

在项目开展前，需对照服务内容逐项排查，若触碰上述监管红线，则不得采用信息科技外包模式实施，应当重新研究、制定适配的项目实施方案，如选择自主研发方式或仅将其中的部分工作选择用科技外包方式开展，确保外包范围的合规性。

2、外包必要性——是否风险、成本和效益平衡

“141号文”第五条明确提出信息科技外包的实施原则：“银行保险机构在实施信息科技外包时应当坚持以下原则：……（三）保持外包风险、成本和效益的平衡。”

外包并非默认选项，而是需要在风险、成本与收益之间审慎权衡的管理选择。项目开展前，应当充分评估拟外包项目与信息科技战略的匹配程度，综合权衡项目风险、投入成本与预期收益，审慎研判外包模式的合理性。并非所有项目均适合选用外包模式，当机构内部现有人员、技术能力可高效承载相关工作时，应当优先自主实施，避免盲目外包带来额外的管控压力与安全隐患。只有在存在能力缺口、人力短板等客观情形，外包综合效益显著高于自建模式的前提下，方可选用外包开展项目建设。

二、“外包后有什么风险”——外包风险识别

经过外包合规性和必要性研判，仅完成了项目外包的准入可行性判定。项目即便符合外包实施条件，若外包风险识别不够充分、存在遗漏，将显著提升风险演变为实际事件的可能性。为此，项目评估需进一步开展系统性的科技外包风险识别，全面梳理外包全生命周期潜在的风险点，客观评估风险影响的范围和程度，为后续管控措施制定奠定基础。

“141号文”第三十条规定：银行保险机构应建立并持续完善风险管理制度和流程，充分识别并评估信息科技外包可能产生的风险，包括但不限于：

1、科技能力丧失：过度依赖外包导致失去科技控制及创新能力，影响业务创新与发展。

2、业务中断：支持业务运营的外包服务无法持续提供导致业务中断。

3、数据泄露、丢失和篡改：因服务提供商的不当行为或其服务的信息系统遭受网络攻击，导致银行保险机构重要数据或客户个人信息泄露、丢失和篡改。

4、资金损失：因服务提供商的不当行为或其服务的信息系统遭受网络攻击，导致银行保险机构客户资金被盗取。

5、服务水平下降：由于外包服务质量问题或内外部协作效率低下，使得信息科技服务水平下降。

6、可能导致的战略、声誉、合规等其他风险：科技外包风险表现多样、影响广泛，且可能与数据安全、网络安全等领域交叉放大，甚至对日常运营和机构声誉产生影响。项目开展前，应当严格对照监管定义，准确、完整开展科技外包风险识别，避免风险识别遗漏或对风险影响程度重视不足，导致潜在风险演变为风险事件。

三、“风险能不能控得住”——外包风险应对

风险识别是外包风险研判的基础，有效的风险应对措施才是项目采用外包模式实施的可行性保障。“141号文”对银行保险机构科技外包风险管控的要求贯穿准入、监控评价、监督管理全流程，形成了“事前预防—事中管控—事后处置”的闭环管理路径。结合外包项目实践经验，针对前述六类科技外包风险，梳理形成项目级信息科技外包风险管控重点，供制定项目级风险应对措施参考：

风险应对措施设计应当充分考虑项目特点、风险程度和甲方资源配置等多重因素，做到重点突出、应对有效，如：对于甲方人员占比较低的项目，应当加强对“科技能力丧失风险”的管控，重点突出甲方对项目的控制能力和长期自主研发能力的培养。只有具备可操作性和可验证性的风险应对措施，才能支撑剩余风险评估，实现科技外包风险可控。

当前，金融科技与业务发展的融合持续深化，信息科技外包的应用场景仍在拓展。项目开展前的信息科技外包可行性分析不是一纸文书，而是外包决策的“准入闸门”和“安全基线”。通过“能不能外包、外包后有什么风险、风险能不能控得住”三维评估，发起单位可在项目初期圈定外包边界、识别风险隐患、提前制定风险应对措施，为后续审批决策提供依据。对银行保险机构而言，外包是手段而非目的，合规是底线而非负担。以审慎态度开展前置评估，以严格标准落实全生命周期管控，才能实现外包价值与风险安全的平衡，为银行保险机构高质量发展提供坚实的信息科技支撑。