金融公司即使将业务委托给云服务或外部IT公司，也需对黑客攻击、信息泄露和系统故障等管理责任承担直接责任。
金融监督院于29日宣布，与金融行业协会和中央会共同制定了《金融公司的第三方IT风险管理指南》。随着金融公司对云服务和软件即服务（SaaS）等外部IT服务的使用增加，若委托公司发生事故，金融消费者可能会受到影响，因此制定了该指南。
该指南规定，即使将业务委托给外部公司，风险管理的最终责任仍由金融公司董事会承担。管理层需建立相关管理体系，并指定总管理部门，检查委托情况和合同的适当性。同时，建立总管理部门、风险管理部门和内部审计部门之间的三级控制体系。
金融公司需了解外部公司的财务状况、提供的服务、处理信息的种类、加密方式和事故应对体系，并每半年至少更新一次相关信息。对业务或金融消费者有重大影响的公司将被单独指定为“主要第三方”，并每半年进行一次风险评估。
在签订合同前，需通过现场尽职调查等方式确认公司的服务能力和信息保护体系，并在合同中明确事故发生时的责任关系。在合同期间，需制定应对系统中断的应急计划和备份体系，以及合同结束时的替代公司转换计划。合同结束后，需取消访问权限并完全销毁所持信息。
※ 本报道经人工智能（AI）系统翻译与编辑。
