构建中国刑事证据开示制度的法理思考/徐军

作者:法律资料网 时间:2024-06-17 01:40:47   浏览:8114   来源:法律资料网
下载地址: 点击此处下载
构建中国刑事证据开示制度的法理思考

徐军


内容摘要

  建立刑事诉讼证据开示制度,是抗辩式审判方式的重要标志,是世界各国刑事诉讼发展的必然趋势。在刑事诉讼法再修改之前,修改后的律师法赋予了辩护律师在审查起诉、审判阶段完全的阅卷权,表明在我国刑事诉讼中设立证据开示制度已是势在必行。通过比较国外刑事诉讼证据开示制度,可以看出其蕴含了诸多的法律价值。我国在构建证据开示制度时,需要建立证据开示的本体制度和相关的配套制度。

[关键词] 证据开示;域外制度比较;本体制度;配套制度


  证据开示制度亦称证据展示制度,英文(Discovery或Disclose),又译为证据再现、证据先悉,《布莱克法律辞典》是这么定义的:“了解原先所不知道的,揭露和开示原先隐藏起来的东西。”现在一般是指刑事诉讼的控辩双方,在开庭审理前,将各自掌握的一定范围的证据材料向对方开示的制度。一般认为,证据开示制度源于16 世纪下半期英国衡平法司法的实践,经长期发展而形成的。由于证据开示制度有助于真实客观地反映案件的事实,保证案件审判质量,同时有利于提高诉讼效率,节约司法资源,它现在已经成为西方大多数国家刑事诉讼制度的重要组成部分。在我国,虽然也有一些类似证据开示的规定,如刑事诉讼法121条规定,侦查机关应当将作证据使用的鉴定结论告知犯罪嫌疑人;第36条规定,辩护律师自案件审查起诉之日起可以查阅、摘抄、复制案件的诉讼文书、技术性鉴定材料。在实践中也有的实务部门进行了有益的尝试。 但是,并没有建立类似于英美国家的证据开示制度。目前学界要求在我国建立证据开示制度的呼声极高,特别是在刑事诉讼法再修改之前,修改后的律师法赋予了辩护律师在审查起诉、审判阶段完全的阅卷权,表明在我国刑事诉讼中设立证据开示制度已是势在必行。本文拟从域外证据开示制度的比较分析开始,对我国引入证据开示制度的必要性、可能碰到的障碍以及如何清除这些障碍作一个简要分析。

一、域外证据开示制度及其比较

(一)证据开示制度发展过程

1.英国的证据开示制度

  在英国,为了保证被告人在审判前了解不利于他的证据并为法庭辩护作好准备,较早地就规定检察官应当将所有他所收集的证据向辩护方进行展示,但这些规定主要规定在法官的司法判例中。而且,在1967年《刑事审判法》之前并不存在辩护方向控诉方展示辩护证据的规定。由于在实务上不断出现在法庭突然提出所谓不在犯罪现场的辩护证据,对控方进行突然袭击,1967年《刑事审判法》规定,被告人准备在法庭审判中提出不在犯罪现场的辩护时,必须在开庭审判前的合理期限内通知控方。1984年《警察与刑事证据法》进一步要求被告人向控方事先开示专家证据,以便控方有一定的时间对其进行针对性的审前准备,并在法庭审理时进行有效的反驳。1987年《刑事审判法》再次扩大了辩方在严重诈骗案件中的证据开示责任。1991年成立的皇家刑事司法委员会又建议扩大辩护一方向控诉方展示证据的范围,理由是这不仅可以使控辩双方较早地为法庭审理作好准备,而且还可以缩短庭审时间,避免法庭审判陷入混乱。 为此,英国1996年《刑事程序与侦查法》对原有以判例法、成文法和行政规章为基础的刑事证据开示制度进行了系统的改革和完善,规定警察有义务将所有收集的证据进行记录与保存,控辩双方都负有向对方进行展示证据的义务,但这些展示义务在治安法院不具有强制性。

2.美国的证据开示制度
  
  美国司法制度有联邦和州两套体系,各州的司法体制也有差异,但都设立了证据开示的程序。《美国联邦刑事诉讼规则》未修改前,重点强调的是控方的证据开示责任。然而,近年来美国的证据开示制度也进行了改革,其基本趋势表现在两个方面:一是强化辩护方的证据开示责任。这是司法实践中经常出现突袭辩护的结果;二是证据开示的范围明显扩大。1993年修订后的《美国联邦刑事诉讼规则》扩大了证据开示的范围,规定如果被告方要求检控方开示出庭的专家证人姓名,那么检控方同样有权要求被告方开示这类证人名单。在1994年4月,《美国联邦刑事诉讼规则》顾问委员会提出建议,要求进一步修订规则第16条,解除对证人陈述的开示禁止,规定双方相互开示拟出庭的证人(非专家证人)名字以及在宣判前已经获得的证人陈述(如侦查人员在侦查中所作的证人陈述笔录)。同时还建议,作精神障碍辩护的被告方应向检控方开示对被告所作鉴定的专家证人的情况。对于违反证据开示制度的行为,根据《美国联邦刑事规则》的相关规定,法院可以采用四种制裁方式:命令该当事人进行证据开示;批准延期审判;禁止该方当事人提出未经开示的证据;做出其它在当时情况下认为是适当的决定。

3. 意大利的证据开示制度

  在1988年以前,意大利实行的是一种职权主义的审判方式,检察机关提起公诉后,需要将所有的证据材料移送法院。1988年通过的意大利现行刑事诉讼法典,废除了卷宗移送式的起诉方式,创造了一种“混合式”的审判制度。除允许法定的少部分证据材料移送法院以外,其他大部分指控证据都只能在法庭审判过程中由检察官直接提出。为使辩护方的阅卷权不被剥夺,意大利刑事诉讼法典也确立了两方面的证据开示机制:一是在预审程序进行之前允许辩护方对检察官的书面卷宗进行全面查阅;二是在预审结束后和法庭审判开始之前,允许辩护方分别到检察机关和法院特别设立的部门查阅卷宗材料。

4、日本的证据开示制度

  二战前的日本实行的也是职权主义诉讼模式,检察官提起公诉时,须向法院提交全部侦查所得的证据。辩护律师因此可以查阅存于法院的案卷和证据。二战后,日本效仿英美法系国家的相关做法,确立了“起诉状一本主义”的模式,与此相配套,日本也在刑事诉讼中建立一种证据开示制度。日本刑事诉讼法典第229条第1款的规定:“检察官、被告人或者辩护人请求询问证人、鉴定人、口译人或笔译人时,应当预先向对方提供知悉以上的人的姓名及住居的机会。在请求调查证据文书或者证物时,应当预先向对方提供阅览的机会。但对方没有异议时不在此限。”根据该条规定,在日本刑事诉讼中,实行控辩双方对等的开示原则。只要辩方准备向法院提出本方证据,就负有向控方开示证据的义务。辩方开示范围仅限于其已经决定请求调查的证据,对于无意请求调查的证据以及是否请求调查尚未确定的证据,没有向控方开示的必要。

(二)比较与分析

  从以上论述来看,上述国家的证据开示制度虽然在具体运作上各有特色,但在制度构成上也具有不少共同特点。
  一是在证据开示制度建立的初始目的上看,都是为了配合对抗制审判方式的需要。英美国家刑事诉讼传统就是一种对抗制诉讼,法官或陪审员居中裁判,审判前不能接触诉讼任何一方提出的证据材料,即控诉方向法院起诉时不能附带任何证据材料,所有证据材料只能在法庭审理时当庭提出。这样也就给辩护律师进行有效辩护带来困难,因为在庭审前没有了解控诉方的证据,也就没有办法在庭审时有针对性的提出有效辩护,而且辩护律师由于时间与手段上的劣势,取得的证据比较少,这样显然无法与控诉方进行对抗。如何解决这一问题,有效办法只有在庭审前控诉方将自己所收集的证据向辩护方展示,让其查阅。可以说,证据开示制度是程序正当这一大背景下对抗制审判方式的必然要求与结果。也正是如此,日本、意大利审判方式向对抗制转变后,证据开示制度也随之建立。
  二是证据开示的主体上,不仅有控诉方也有辩护方。在英国,虽然开始之时,证据开示责任只在于控诉一方,但通过判例与立法,辩护一方也逐渐负有证据开示责任而成证据开示的主体。美国也是一样,也有一个从控诉方单方展示向控辩双方双向展示的发展过程。日本与意大利,由于是在借鉴英美国家比较成熟的立法经验上建立证据开示制度的,所以一开始就是一种双方的双向开示责任。为什么有这种转变,这与证据开示制度所承担的功能有关。初始时,证据开示制度主要解决的是辩护方的阅卷问题,即“平等武装”问题,但后来又逐渐演变出防止突袭指控或突袭辩护,提高诉讼效率的功能。而辩护方在庭审时才提出辩护证据,显然不利于这种功能的实现,因此,辩护方成为证据开示主体,也需要向控诉方展示辩护证据。
  三是在证据开示内容上,控诉方开示的范围都要比辩护方开示的范围大。一般来说,开示的内容主要有:1.对拟出庭的证人、鉴定人的姓名、住址应相互提供;2.拟提交法庭的书证、物证,检查报告、鉴定结论应当开示。但总体上看,控诉方承担的开示责任大于辩护方,除了出于公共利益以外,控诉方一般都需要将自己所收集到的所有证据材料向辩护方展示,只要是有利于辩护方的,而不管是否打算在法庭上出示;相反,辩护方只需要在向控诉方展示打算在法庭出示的证据材料,其他不需要在法庭出示的证据材料不需要向控诉方展示。其理由,从控诉方来说,主要在于控诉方是国家机关,维护被告人的合法权益是其义务,而且其有着比辩护方更多的调查取证手段与能力,理应“照顾”辩护方;从辩护方来讲,则在于其取证手段差,而且辩护方虽然不能通过破坏控诉方证据基础来逃避刑事责任,但不仅没有帮助控诉方指控自己的义务,而且也不能禁止其利用控诉方的失职或漏洞来逃避刑事责任。
  四是在证据开示的司法审查上,法官都扮演着非常重要的角色。如对证据开示争议享有裁判权;在没有预审或审前程序的国家,法官还有权对证据开示的过程进行监督;法官对不履行证据开示义务的任何一方还保有制裁的权力;对于检察官不准备在法庭上使用的证据材料的开示,某些国家法官拥有一定的自由裁量权。这是因为,证据说到底就是一种信息,信息不对称对于握有信息的人来说,往往能带来一些额外的利益。因此,对于身处对抗的诉讼双方来说,都希望从信息不对称的状态获取相应利益,这样冲突就难免发生。如何解决这些冲突,根据自然正义原理,只能对抗双方以外的中立的第三方来裁决。法院的介入为此具有正当理由。更何况,证据开示制度说到底是为法庭审判服务的,法院作为法庭审判的主持者,理应由其对开示过程中存在的争议进行裁决。

二、域外证据开示制度的功能

  制度本身不是目的,其建立都是为了实现某种目的。证据开示制度亦是如此。从上述几个国家的证据开示制度来看,它们具有以下保障程序公正与提高诉讼效率的功能。
  一是有效辩护。这是对于被告人而言的,也是证据开示制度的直接功能和初始目的。从介入时间来看,最先介入诉讼的是控诉方,尤其是对犯罪现场,最先到场的是控诉方的侦查人员,而辩护律师一般是在控诉方对被告人提出指控后才介入。由于时间的优势,控诉方掌握的证据材料明显优于辩护方。从调查取证手段来看,控诉方是以国家作为保障的,拥有多种多样的调查手段、技术与能力,再加上公民憎恨犯罪的心理,控诉方发现证据的可能性明显强于辩护律师。在这种“武装”不平等的情况下,如果不经过证据开示制度,完全凭自己的能力在法庭上进行对抗,辩护律师不可能进行有效辩护,被告人的辩护权就会一种虚置的权利。而且经过证据开示制度,控诉方在进入法庭审理之前必须将所收集的证据材料展示给辩护律师,就可以在一定程度上弥补双方天生武装不平等的状况。正为如此,在英美学者看来,证据开示制度的目的就是在于实现代表国家提起公诉的检察官与被告人之间的资源平衡,确保控辩双方尽可能做到“平等武装”。
  二是有效公诉。这是对于控诉方而言的。一般人认为,证据开示制度的得益者是被告人。其实不然,实现证据开示制度,也有利于控诉方有效进行公诉。这主要是通过辩护方的证据展示责任与辩护方针对控诉方证据提出的异议来实现的。从以上论述可以看出,让辩护方承担一定的证据展示责任,这是证据开示制度的发展趋势。通过这种双向的证据开示制度,公诉也可以了解到辩护方将要在法庭中提出的相反证据,这样有利于控诉方在庭前做好公诉准备。 而且,辩护方针对控诉方提出的证据,往往会提出一些异议。通过这些异议,公诉方可以在庭前了解到控诉证据可能存在的问题,这样也有利于控诉方对于法庭可能出现的情况作好准备。
  三是提高法庭审判效率,节约司法资源。这是对于法院而言的。这主要通过这些渠道得以实现:首先,伴随证据开示制度的往往会有一个争点整理功能,通过争点整理,就可以使法庭审判主要集中于诉讼双方有争议的证据问题,避免就没有争议的证据问题进行质证,从而提高庭审效率;其次,通过证据开示,可以避免诉讼双方在法庭上进行证据突袭,从而可以避免频繁的中止法庭审理,保证庭审的连续集中进行。这也可以提高庭审的效率;再次,证据开示,对于被告人而言,也就相当于对控诉方进行的一次“火力”侦查。经过证据开示,被告方可以对控诉方掌握的有罪证据的份量进行衡量,然后决定是否承认罪而避免正式法庭审理而采用辩诉交易程序或其他的简易程序来解决纠纷。这样,如果被告人经过证据开示后,认为控诉方掌握的证据足以使他被定罪判刑而与控诉方进行辩诉交易的或采用简易程序的,以换取较轻的定罪或刑罚,这就无形中提高了纠纷解决的效率。比如美国,被告方辩护交易的决定一般是在有关证据开示程序后作出的。
  另外,在实行陪审团审理的英美国家,证据开示制度还有利于避免非法证据进入法庭审理而影响陪审团的公正审理。在英美国家,在证据开示过程中,往往还会对非法证据问题进行解决。如美国的针对非法证据提出的审前动议过程,也就是一次重要的证据开示过程。 通过对非法证据的排除,就可以避免这些证据进入法庭审理,从而影响陪审团公正地进行事实判断。

下载地址: 点击此处下载

黑龙江省关于阻碍国家工作人员依法执行职务的处罚规定

黑龙江省人民政府


黑龙江省人民政府令
 (第18号)


  《黑龙江省人民政府关于修改〈黑龙江省关于阻碍国家机关工作人员依法执行职务的处罚规定〉的决定》业经省人民政府同意,现予发布,自1998年1月1日起施行。

                           
省长 田凤山
                        
1997年12月25日

      黑龙江省关于阻碍国家工作人员依法执行职务的处罚规定


(一九八九年十二月十五日黑龙江省人民政府令第四十六号发布 一九九七年十二月二十五日根据《黑龙江省人民政府关于修改〈黑龙江省关于阻碍国家行政机关工作人员依法执行职务的处罚规定〉的决定》修订发布)



  第一条 为保护国家工作人员依法执行职务,根据《中华人民共和国治安管理处罚条例》和有关规定,结合我省实际情况,制定本规定。


  第二条 凡国家工作人员依照法律、法规、规章,在法定职权范围内所进行的工作,均为依法执行职务,任何人不得以任何形式阻碍和拒绝。


  第三条 本规定由各级公安机关负责组织实施。


  第四条 阻碍和拒绝国家工作人员依法执行职务尚不够刑事处罚的行为,按有关法律、法规和本规定处罚。


  第五条 有下列行为之一的,处200元以下罚款或者警告;情节严重的,依据《中华人民共和国治安管理处罚条例》处15日以下拘留:
  (一)对依法执行职务人员污辱谩骂、造谣中伤的。
  (二)在现场设置障碍,影响依法执行职务的。
  (三)袒护并协助被处罚当事人逃避处罚的。
  (四)弄虚作假,隐瞒欺骗,影响依法执行职务的。
  (五)强词夺理,无理纠缠,影响依法执行职务的。
  (六)阻碍国家工作人员依法取证的。
  (七)转移资金、改换帐户逃避处罚的。
  (八)撕毁依法执行职务人员证件、文件和票据的。
  (九)抢夺依法执行职务人员佩带的警械、器具的。
  (十)在现场带头起哄闹事或煽动群众闹事不听制止,使依法执行职务不能正常进行的。
  (十一)推、打和围攻国家工作人员,使依法执行职务不能正常进行的。
  (十二)冲击、搅闹行政执法机关,干扰依法执行职务的。
  (十三)殴打依法执行职务人员造成轻微伤害的。


  第六条 单位负责人指使其工作人员阻碍国家工作人员依法执行职务的,同时处罚该负责人。


  第七条 国家公职人员在非法定职权范围内阻碍国家工作人员依法执行职务的,按本规定从严处罚。


  第八条 以暴力、威胁的方法阻碍国家工作人员依法执行职务,触犯刑律的,依法追究刑事责任。


  第九条 国家工作人员应忠于职守,依法执行职务,不得滥用职权,徇私舞弊。违者给予行政处分;构成犯罪的,依法追究刑事责任。


  第十条 国家工作人员依法执行职务受到阻碍,各级公安机关应依照本规定及时予以受理查处,不得推托敷衍。


  第十一条 违反本规定的处罚裁决程序,依照《中华人民共和国治安管理处罚条例》第四章规定执行。


  第十二条 本规定由省公安厅负责解释。


  第十三条 本规定自1990年1月1日起执行。

银行业金融机构信息系统风险管理指引

中国银行业监督管理委员会


银行业金融机构信息系统风险管理指引







第一章 总 则



第一条 为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险,促进我国银行业安全、持续、稳健运行,根据《中华人民共和国银行业监督管理法》、国家信息安全相关要求和信息系统管理的有关法律法规,制定本指引。



第二条 本指引适用于银行业金融机构。



本指引所称银行业金融机构,是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。



在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会(以下简称银监会)及其派出机构批准设立的其他金融机构,适用本指引规定。



第三条 本指引所称信息系统,是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。



第四条 本指引所称信息系统风险,是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。



第五条 信息系统风险管理的目标是通过建立有效的机制,实现对信息系统风险的识别、计量、评价、预警和控制,推动银行业金融机构业务创新,提高信息化水平,增强核心竞争力和可持续发展能力。







第二章 机构职责



第六条 银行业金融机构应建立有效的信息系统风险管理架构,完善内部组织结构和工作机制,防范和控制信息系统风险。



第七条 银行业金融机构应认真履行下列信息系统管理职责:



(一)贯彻执行国家有关信息系统管理的法律、法规和技术标准,落实银监会相关监管要求;



(二)建立有效的信息安全保障体系和内部控制规程,明确信息系统风险管理岗位责任制度,并监督落实;



(三)负责组织对本机构信息系统风险进行检查、评估、分析,及时向本机构专门委员会和银监会及其派出机构报送相关的管理信息;



(四)及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件,并按有关预案快速响应;



(五)每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的年度报告;



(六)做好本机构信息系统审计工作;



(七)配合银监会及其派出机构做好信息系统风险监督检查工作,并按照监管意见进行整改;



(八)组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训;



(九)开展与信息系统风险管理相关的其他工作。



第八条 银行业金融机构的董事会或其他决策机构负责信息系统的战略规划、重大项目和风险监督管理;信息科技管理委员会、风险管理委员会或其他负责风险监督的专业委员会应制定信息系统总体策略,统筹信息系统项目建设,定期评估、报告本机构信息系统风险状况,为决策层提供建议,采取相应的风险控制措施。



第九条 银行业金融机构法定代表人或主要负责人是本机构信息系统风险管理责任人。



第十条 银行业金融机构应设立信息科技部门,统一负责本机构信息系统的规划、研发、建设、运行、维护和监控,提供日常科技服务和运行技术支持;建立或明确专门信息系统风险管理部门,建立、健全信息系统风险管理规章、制度,并协助业务部门及信息科技部门严格执行,提供相关的监管信息;设立审计部门或专门审计岗位,建立健全信息系统风险审计制度,配备适量的合格人员进行信息系统风险审计。



第十一条 银行业金融机构从事与信息系统相关工作的人员应符合以下要求:



(一)具备良好的职业道德,掌握履行信息系统相关岗位职责所需的专业知识和技能;



(二)未经岗前培训或培训不合格者不得上岗;经考核不适宜的工作人员,应及时进行调整。



第十二条 银行业金融机构应加强信息系统风险管理的专业队伍建设,建立人才激励机制,适应信息技术的发展。



第十三条 银行业金融机构应依据有关法律法规及时和规范地披露信息系统风险状况。







第三章 总体风险控制



第十四条 总体风险是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。



第十五条 银行业金融机构应根据信息系统总体规划,制定明确、持续的风险管理策略,按照信息系统的敏感程度对各个集成要素进行分析和评估,并实施有效控制。



第十六条 银行业金融机构应采取措施防范自然灾害、运行环境变化等产生的安全威胁,防止各类突发事故和恶意攻击。



第十七条 银行业金融机构应建立健全信息系统相关的规章制度、技术规范、操作规程等;明确与信息系统相关人员的职责权限,建立制约机制,实行最小授权。



第十八条 在境外设立的我国银行业金融机构或在境内设立的境外银行业金融机构,应防范由于境内外信息系统监管制度差异等造成的跨境风险。



第十九条 银行业金融机构应严格执行国家信息安全相关标准,参照有关国际准则,积极推进信息安全标准化,实行信息安全等级保护。



第二十条 银行业金融机构应加强对信息系统的评估和测试,及时进行修补和更新,以保证信息系统的安全性、完整性。



第二十一条 银行业金融机构信息系统数据中心机房应符合国家有关计算机场地、环境、供配电等技术标准。全国性数据中心至少应达到国家A类机房标准,省域数据中心至少应达到国家B类机房标准,省域以下数据中心至少应达到C类机房标准。数据中心机房应实行严格的门禁管理措施,未经授权不得进入。



第二十二条 银行业金融机构应重视知识产权保护,使用正版软件,加强软件版本管理,优先使用具有中国自主知识产权的软、硬件产品;积极研发具有自主知识产权的信息系统和相关金融产品,并采取有效措施保护本机构信息化成果。



第二十三条 银行业金融机构与信息系统相关的电子设备的选型、购置、登记、保养、维修、报废等应严格执行相关规程,选用的设备应经过技术论证,测试性能应符合国家有关标准。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的容错特性,并配置适当的备品备件。



第二十四条 信息系统的网络应参照相关的标准和规范设计、建设;网络设备应兼备技术先进性和产品成熟性;网络设备和线路应有冗余备份;严格线路租用合同管理,按照业务和交易流量要求保证传输带宽;建立完善的网管中心,监测和管理通信线路及网络设备,保障网络安全稳定运行。



第二十五条 银行业金融机构应加强网络安全管理。生产网络与开发测试网络、业务网络与办公网络、内部网络与外部网络应实施隔离;加强无线网、互联网接入边界控制;使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段,有效降低外部攻击、信息泄漏等风险。



第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素的管理,使用符合国家安全标准的密码设备,完善安全要素生成、领取、使用、修改、保管和销毁等环节管理制度。密钥、密码应定期更改。



第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节的有效管理,不得脱离系统采集加工、传输、存取数据;优化系统和数据库安全设置,严格按授权使用系统和数据库,采用适当的数据加密技术以保护敏感数据的传输和存取,保证数据的完整性、保密性。



第二十八条 银行业金融机构应对信息系统配置参数实施严格的安全与保密管理,防止非法生成、变更、泄漏、丢失与破坏。根据敏感程度和用途,确定存取权限、方式和授权使用范围,严格审批和登记手续。



第二十九条 银行业金融机构应制定信息系统应急预案,并定期演练、评审和修订。省域以下数据中心至少实现数据备份异地保存,省域数据中心至少实现异地数据实时备份,全国性数据中心实现异地灾备。



第三十条 银行业金融机构应加强对技术文档资料和重要数据的备份管理;技术文档资料和重要数据应保留副本并异地存放,按规定年限保存,调用时应严格授权。信息系统的技术文档资料包括:系统环境说明文件、源程序以及系统研发、运行、维护过程中形成的各类技术资料。重要数据包括:交易数据、账务数据、客户数据,以及产生的报表数据等。



第三十一条 银行业金融机构在信息系统可能影响客户服务时,应以适当方式告知客户。







第四章 研发风险控制



第三十二条 研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节产生的风险。



第三十三条 银行业金融机构信息系统研发前应成立项目工作小组,重大项目还应成立项目领导小组,并指定负责人。项目领导小组负责项目的组织、协调、检查、监督工作。项目工作小组由业务人员、技术人员和管理人员组成,具体负责整个项目的开发工作。



第三十四条 项目工作小组人员应具备与项目要求相适应的业务经验与专业技术知识,小组负责人需具备组织领导能力,保证信息系统研发质量和进度。



第三十五条 银行业金融机构业务部门根据本机构业务发展战略,在充分进行市场调查、产品效益分析的基础上制定信息系统研发项目可行性报告。



第三十六条 银行业金融机构业务部门编写项目需求说明书,提出风险控制要求,信息科技部门根据项目需求编制项目功能说明书。



第三十七条 银行业金融机构信息科技部门依据项目功能说明书分别编写项目总体技术框架、项目设计说明书,设计和编码应符合项目功能说明书的要求。



第三十八条 银行业金融机构应建立独立的测试环境,以保证测试的完整性和准确性。测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试。测试不得直接使用生产数据。



第三十九条 银行业金融机构信息科技部门应根据测试结果修补系统的功能和缺陷,提高系统的整体质量。



第四十条 银行业金融机构业务人员、技术人员应根据职责范围分别编写操作说明书、技术应急方案、业务连续性计划、投产计划、应急回退计划,并进行演练。



第四十一条 开发过程中所涉及的各种文档资料应经相关部门、人员的签字确认并归档保存。



第四十二条 项目验收应出具由相关负责人签字的项目验收报告,验收不合格不得投产使用。



第五章 运行维护风险控制



第四十三条 运行维护风险是指信息系统在运行与维护过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。



第四十四条 银行业金融机构信息系统运行与维护应实行职责分离,运行人员应实行专职,不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护,除应急外,其他维护应在非工作时间进行。



第四十五条 银行业金融机构信息系统的运行应符合以下要求:



(一)制定详细的运行值班操作表,包括规定巡检时间,操作范围、内容、办法、命令以及负责人员等信息;



(二)提供常见和简便的操作菜单或命令,如信息系统的启动或停止、运行日志的查询等;



(三)提供机房环境、设备使用、网络运行、系统运行等监控信息;



(四)记录运行值班过程中所有现象、操作过程等信息。



第四十六条 银行业金融机构信息系统的维护应符合以下要求:



(一)除对信息系统设备和系统环境的维护外,对软件或数据的维护必须通过特定的应用程序进行,添加、删除和修改数据应通过柜员终端,不得对数据库进行直接操作;



(二)具备各种详细的日志信息,包括交易日志和审计日志等,以便维护和审计;



(三)提供维护的统计和报表打印功能。



第四十七条 银行业金融机构信息系统的变更应符合以下要求:



(一)制订严密的变更处理流程,明确变更控制中各岗位的职责,并遵循流程实施控制和管理;变更前应明确应急和回退方案,无授权不得进行变更操作;



(二)根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性;



(三)应采用软件工具精确判断变更的真实位置和内容,形成变更内容核实清单,实现真实、有效、全面的检验;



(四)软件版本变更后应保留初始版本和所有历史版本,保留所有历史的变更内容核实清单。



第四十八条 银行业金融机构在信息系统投产后一定时期内,应组织对系统的后评价,并根据评价及时对系统功能进行调整和优化。



第四十九条 银行业金融机构应对机房环境设施实行日常巡检,明确信息系统及机房环境设施出现故障时的应急处理流程和预案,有实时交易服务的数据中心应实行24小时值班。



第五十条 银行业金融机构应实行事件报告制度,发生信息系统造成重大经济、声誉损失和重大影响事件,应即时上报并处理,必要时启动应急处理预案。



第六章 外包风险控制



第五十一条 外包风险是指银行业金融机构将信息系统的规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商时形成的风险。



第五十二条 银行业金融机构在进行信息系统外包时,应根据风险控制和实际需要,合理确定外包的原则和范围,认真分析和评估外包存在的潜在风险,建立健全有关规章制度,制定相应的风险防范措施。



第五十三条 银行业金融机构应建立健全外包承包方评估机制,充分审查、评估承包方的经营状况、财务实力、诚信历史、安全资质、技术服务能力和实际风险控制与责任承担水平,并进行必要的尽职调查。评估工作可委托经国家相应监管部门认定资质,具有相关专业经验的独立机构完成。



第五十四条 银行业金融机构应当与承包方签订书面合同,明确双方的权利、义务,并规定承包方在安全、保密、知识产权方面的义务和责任。



第五十五条 银行业金融机构应充分认识外包服务对信息系统风险控制的直接和间接影响,并将其纳入总体安全策略和风险控制之中。



第五十六条 银行业金融机构应建立完整的信息系统外包风险评估与监测程序,审慎管理外包产生的风险,提高本机构对外包管理的能力。



第五十七条 银行业金融机构的信息系统外包风险管理应当符合风险管理标准和策略,并应建立针对外包风险的应急计划。



第五十八条 银行业金融机构应与外包承包方建立有效的联络、沟通和信息交流机制,并制定在意外情况下能够实现承包方的顺利变更,保证外包服务不间断的应急预案。



第五十九条 银行业金融机构将敏感的信息系统,以及其他涉及国家秘密、商业秘密和客户隐私数据的管理与传递等内容进行外包时,应遵守国家有关法律法规,符合银监会的有关规定,经过董事会或其他决策机构批准,并在实施外包前报银监会及其派出机构和法律法规规定需要报告的机构备案。



第七章 审 计



第六十条 银行业金融机构内设审计部门负责本机构信息系统审计,也可聘请经国家相应监管部门认定资质的中介机构进行信息系统外部审计。



第六十一条 信息系统风险审计应包括:总体风险审计、系统审阅和专项风险审计。



第六十二条 总体风险审计是指对本机构所有信息系统共有的公共部分进行审计,实施总体风险控制。根据信息系统的总体风险状况确定审计频率,但至少每3年审计一次。



第六十三条 信息系统的系统审阅是指对研发、运行及退出的全过程进行审计,分投产前与投产后的审阅。



第六十四条 投产前的系统审阅是指审计人员采用非现场形式,对信息项目开发过程中所提交的有关文档资料进行审阅,指出其中存在的风险,了解是否具有相应的控制措施,并提出评价和建议的过程。信息系统投产前的系统审阅应关注信息系统的安全控制、权限设置、正确性、连贯性、完整性、可审计性和及时性等内容。



投产前的系统审阅重点:



(一)被外界成功攻破的可能性;



(二)在内部安全控制方面的设计漏洞与缺陷;



(三)项目开发管理方面的问题;



(四)效率与效能;



(五)功能、设计和工作流程是否符合法律、法规和内部控制方面的规定并有连续兼容性;



(六)其他需重点审阅的内容。



第六十五条 投产前的系统审阅文档资料包括:



(一)项目可行性报告;



(二)项目需求说明书;



(三)项目功能说明书(包括业务与技术方面存在的风险及控制办法);



(四)项目总体技术框架;



(五)项目设计说明书;



(六)项目实施计划;



(七)与第三方签订的外包协议;



(八)测试计划及验收报告;



(九)投产计划;



(十)项目开发例会的会议记录;



(十一)操作手册;



(十二)其他需审阅的文档资料。



对于所含内容较多的文档资料,应对关键交易的数据处理流程、交易接口和其他重要的安全事项进行审阅。



第六十六条 投产后的系统审阅是指在信息系统投入生产一段时间后进行的审计,旨在评估对信息系统各项风险的控制是否恰当,能否实现预定的设计目标。投产后的系统审阅应在信息系统投入生产半年后进行,审计报告应对被审计的信息系统提出改进或增加风险控制、能否继续生产等内容的审计建议。



第六十七条 信息系统专项风险审计是指对被审计单位发生信息安全事故进行的调查、分析和评估,或原有信息系统进行重大结构调整的审计,或审计部门认为需要对信息系统某项专题进行审计。



第六十八条 银行业金融机构信息系统风险审计也可以由银监会及其派出机构依据法律、法规和规章,委托并授权有法定资质的中介评估机构进行。



第六十九条 中介机构根据银监会或其派出机构委托或授权对银行业金融机构进行审计时,应出示委托授权书,并依照委托授权书上规定的委托和授权范围进行审计。



不分页显示   总共2页  1 [2]

  下一页