您的位置: 首页 » 法律资料网 » 法律论文 »

未成年案件特别程序之科学结构探略/王维永

时间:2024-05-15 11:15:34 来源: 法律资料网 作者:法律资料网 阅读:9397
下载地址: 点击此处下载
  2012年十一届全国人大五次会议修改的刑事诉讼法,在新增的第五编特别程序中增加了“未成年人刑事案件诉讼程序”一章,共11个条文,占该编24个条文的45.84%,几近一半,足显未成年人刑事案件诉讼程序在特别程序中的特别作用。笔者在学习研究该章中,感觉第二百六十六条系该章之纲,余条皆为目。这种纲举目张的体例设计,形成了方针原则、总体要求和具体制度的梯次结构,体现了统领与步骤之联系,宏观与微观之结合,既便于学习理解,更便于实施中点面照应,的确不失为独具匠心的制度安排。

  一、审理“未案”应掌握的方针原则

  刑事诉讼法第二百六十六条第一款规定:“对犯罪的未成年人实行教育、感化、挽救的方针,坚持教育为主、惩罚为辅的原则”。该款确立的方针原则,可以认为是“未案”特别程序的“顶层设计”,在审理“未案”中具有统领之宏,属于第一层次的结构安排。

  实行“教育、感化、挽救的方针”,是指人民法院在审理未成年人刑事犯罪案件、依法追究未成年人刑事责任时,必须将教育、感化、挽救未成年人作为根本出发点和审判立足点,力求通过教育和感化,使他们增强法制观点,提高法律意识,真正认识错误,决心改过自新,重新回归社会。而实行“教育为主、惩罚为辅的原则”,主要是指司法机关在处理教育与惩罚的关系时,应当坚持教育为主,即以教育为主要目的,而不能以刑罚作为目的,刑罚也只是对其教育的一种手段,必须服从于教育、感化、挽救之目的。因此,这就要求司法机关在办案过程中努力查清犯罪事实,确保法律正确适用及上列方针原则贯穿刑事诉讼的全过程,根据犯罪原因有针对性地进行法治教育和道德教育,下大力矫正其犯罪心理和不良行为习惯,促使其痛改前非,重新融入社会。

  对犯罪的未成年人实行“教育、感化、挽救”的方针,坚持“教育为主、惩罚为辅”的原则,是我国法治进步的必然要求,也是司法机关对少年刑事犯罪一贯坚持的刑事政策,并非修改刑事诉讼法之首创。但必须明确,该方针原则却是首次写入刑事诉讼法之中,仍有其重大意义。之所以要在刑事诉讼法中规定“教育、感化、挽救”的方针和“教育为主、惩罚为辅”的原则,这是由未成年人刑事案件的特殊性决定的。未成年人犯罪的动机相对简单,犯罪行为带有很大的盲目性和随意性,他们多因意志薄弱或者情感冲动而犯罪,主观恶性不深,更兼未成年人智力、身心发育尚未成熟,对外界事物的重新认识及对内心世界的自我评价都具有较大的可塑性。

  十九世纪法国作家雨果写下的代表作《悲惨世界》中,塑造了上百个独特生动的艺术形象,最典型者即是苦役释放犯冉阿让和主教卞福汝。出生农民家庭的少年冉阿让因饥寒交迫偷了面包房一片面包,被判五年苦役,四次越狱又换来19年苦役,刑满时已老气横秋,贫困潦倒,被卞福汝主教收留,他却偷走了主教家的银器,被警察人脏俱获地送到主教面前,主教并未责备他,反向警察说这些银器是送给他的,警察离去后主教严肃批评了冉阿让,并告诉冉阿让之所不告发他是因为相信他一定会变成一个好人。冉阿让由此受到震动,终身铭记主教的教诲,从最初的囚犯成为最终的伟人,当上了海滨城市蒙特漪的市长。著名经济学家汪丁丁为此撰写出评论文章,他认为:“社会因然不能没有法律,但仅有法律的社会却是完全不可能的。法律的冷冰和尖锐无法替代人性的柔弱与温润,惩戒也不可能取代感化。一个健康而美好的社会,正是靠着千千万万人,以种种高于法律、超越正义的爱的姿态和行动,去面对纷纭世事,去抚慰人生旅途上失足者的心灵。”[3]汪老师的上列评论,用在《刑事诉讼法》增没“未成年人刑事诉讼程序”,坚持“教育、感化、挽救”的方针和“教育为主、惩罚为辅”的原则上,应当是恰如其分的。因为,二十四年刑罚没能改造好冉阿让,而卞福汝主教的爱却让冉阿让痛改前非,由最初的囚犯成为最终的伟人。

  二、审理“未案”应贯彻的总体要求

  刑事诉讼法第二百六十六条第二款规定:“人民法院、人民检察院和公安机关办理未成年人刑事案件,应当保障未成年人行使其诉讼权利,保障未成年人得到法律帮助,并由熟悉未成年人身心特点的审判人员、检察人员、侦查人员承办”。该款规定的“未案”办理的总体要求,是专门针对特定的司法机关公、检、法三机关所作的规定,属于审理“未案”特别程序第二层次的结构安排,即对于公、检、法三机关办理“未案”的统一要求,非指某一机关,整个司法机关皆应照此办理,“未案” 审理在诉讼程序中的任何一个环节亦皆应照此办理。依笔者理解,如此要求之意义在于:未成年人刑事诉讼程序列入特别程序之首,要保障办案质量必须要求所有司法机关皆依法办案,任何一个诉讼环节出了问题就可能削弱对未成年犯罪人合法权益之保护,并进而导致整个诉讼程序不畅,损害整个司法机关的权威性和公信力。因此,完全有必要作出统一要求。在这个统一要求中,立法规定了三个方面的基本内容:

  第一, “保障未成年人行使诉讼权利。”保障未成年人行使诉讼权利,愚以为立法本意在于:在弱小私权抗衡强大公权的条件下,只有通过有效保障未成年犯罪人之私权,方能有效遏制司法机关的强大公权;一旦该私权保障不力,即可能发生某一诉讼环节之公权为所欲为。按照通常理解,未成年诉讼权利之保障包括两个方面。一方面,刑事诉讼法第十四条规定的任何成年犯罪人享有的相同的诉讼权利,未成年人皆应享有,比如申请回避权、参加法庭调查和辩论权、不服判决、裁定的上诉权等。另一方面,属于未成年人所特有的一切诉讼权利,亦当然享有,如未成年犯罪嫌疑人没有委托辩护人的,司法机关应当通知法律援助机构指派律师为其提供辩护;在受到讯问和审判时,司法机关应当通知其法定代理人到场;审判时被告人不满十八周岁的案件不实行公开审理等。

  第二,“保障未成年人得到法律帮助”。这一要求按笔者理解,是从未成年刑事责任人的特点出发的,因为在所有刑事责任人的刑事诉讼活动中、唯未成年人最需要法律帮助,最迫切需要具有专业法律知识的人为其提供法律服务。理由之一,未成年人由于知识贫乏和思想幼稚,作为涉世不深的行为主体本身不了解国家法律的相关规定,这就必然导致其行为失准,成为既容易侵害别人又容易遭到别人侵害之群体。一旦这样的人走上犯罪道路,往往不知错在何方,反认为法律对他们不公,在缺乏自省自责的状态下有可能肆意对抗法律或对社会不满。于是,他们最需要认识法律和了解法律,弄清走上犯罪的原因。理由之二,刑事诉讼活动区别于其他诉讼活动的显著特点在于其自身的强制性,未成年人的行为一旦被纳入刑事诉讼,其有可能被强制措施限制而失去了人身自由,凡处于此种状态的未成年人更需要法律帮助。这些,都是刑事诉讼本身的特点所决定的。

  第三,“由熟悉未成年人身心特点的审判人员、检察人员、侦查人员办理未成年人案件”。这一要求在过去的司法实践中,法院系统首开先河,其标志性做法就是少年审判庭的组建。1984年11月,上海市长宁区法院成立我国第一个专门审理未成年人刑事案件合议庭,距今已走过28个年头,获得长足发展,被媒体誉之为“少年审判功德无量”。甚至有专家认为,中国少年审判就是“拉一把成就一生,推一把毁掉一生”的人生悠关之工程。[6] 我国少年审判工作在党和政府的关怀和支持下正在逐步完善,从而适应了一个18岁以下未成年人超过全国总人口40%的国度之现实所需。而刑事诉讼法的修改,将少年审判的专业性改革成果推广于整个刑事诉讼过程,要求公检法三机关办理未成年刑事案件都实行专人办理制度,即由熟悉未成年人身心特点的法官、检察官、警官办理未成年案件。这样,有利于教育、感化、挽救方针的落实,也有利于与未成年人的沟通,促进其悔过自新。

  三、审理“未案”应贯彻的具体制度

  刑事诉讼法第二百六十七条至二百七十六条,用十个条文专门规定了审理未成年人刑事案件中,司法机关应注意的具体事项和要求,其实就是应注意贯彻的各个诉讼制度,这在“未成年人刑事诉讼程序”中处于第三层次,以保证审理“未案”之方针、原则及总体要求的贯彻落实。这些保障性制度主要有:

  1、对未成年犯罪嫌疑人、被告人实行强制辩护制度

  刑事诉讼法第二百六十七条规定:“未成年犯罪嫌疑人、被告人没有委托辩护人的,人民法院、人民检察院、公安机关应当通知法律援助机构指派律师为其提供辩护”。该条所确立的强行辩护制度,对象仅限于未成年人,条件仅限于未成年人没有委托辩护人,较之于“97刑诉法”第三十四条“公诉人出庭的案件,人民法院应当指定承担法律援助义务的律师为没有委托辩护人的未成年被告人提供辩护”的规定,具有以下四点变化:第一,将提供法律援助的义务机关从法院扩大到公安机关和人民检察院;[8]第二,将提供法律援助的时间从审判阶段提前到侦查和审查起诉阶段;第三,要求公检法任何机关只要一旦发现未成年人没有委托辩护人,则应立即通知法律援助机构;第四,明确规定了法律援助的工作机制,即由公检法机关通知,由法律援助机构指派律师,由律师履行辩护职责。这些变化有力保障了未成年人的辩护权利。

  2、对未成年人刑事案件实行社会调查制度

  刑事诉讼法第二百六十八条规定:司法机关办理未成年刑事案件,“根据情况可以对未成年犯罪嫌疑人、被告人的成长经历、犯罪原因、监护教育等情况进行调查”。该条关于社会调查制度的确立系立法上的创举,其法律背景源自于相关国际公约中普遍确立的社会调查方法,如《联合国少年司法最低限度标准规则》第16条规定:“所有案件除涉及轻微违法行为的案件外,在主管当局作出判决前的最后处理之前,应对少年生活的背景和环境或犯罪的条件进行适当的调查,以便主管当局对案件作出明智的审判。”而该社会调查制度的实践背景有着中西合成之动因,一方面,社会调查是许多国家办理未成年人刑事案件的惯例,并非我国之首创;另一方面,近些年我国一些法院基于能动司法之理念及未成年人刑事案件的恰当处理,积极进行了有益的探索,司法改革的经验与成果被国家立法所吸纳。事实证明交果很好,所以刑事诉讼法修改时进行了制度创新。

  3、对未成年犯罪嫌疑人、被告人严格适用逮捕措施和分案处理制度

  刑事诉讼法第二百六十九条设两款分别规定了对未成年人严格限制适用逮捕措施和分案处理。在第一款中严格适用逮捕措施上,强调了两点:第一,人民检察院或法院在批准或决定对未成年人适用逮捕措施时,应当准确把握适用逮捕措施的条件,即严格执行刑事诉讼法第七十九条的三个条件,严防滥捕;第二,上列机关在批准或者决定逮捕未成年犯罪嫌疑人时,在程序上设置了更为严格的要求,即批准或决定逮捕前,应当讯问未成年犯罪嫌疑人或被告人,并听取辩护律师的意见。在第二款中分案处理上,强调对被拘留、逮捕和执行刑罚的未成年人与成年人实行“三分别”,即分别关押、分别管理、分别教育,其立法本意旨在加强对未成年人的司法保护,以防止他们与成年犯罪嫌疑人或被告人发生“交叉感染”,有助于未成年人顺利回归社会。

  4、讯问和审判未成年人时实行合适成年人在场制度

  刑事诉讼法第二百七十条规定,对于未成年人刑事案件,在讯问和审判时应当通知未成年犯罪嫌疑人、被告人的法定代理人或者成年亲属、相关组织的代表到场,并记录在案。推行这一合适成年人到场制度,旨在针对未成年人本身之特点,为保障未成年犯罪嫌疑人、被告人的诉讼权利,使合适成年人参与到对未成年犯罪嫌疑人、被告人的讯问和审判活动中,代为行使未成年人的诉讼权利。之所以这样规定,一方面,合适成年人到场可以弥补未成年人诉讼能力局限之不足,消除未成年人心理上的恐惧和抗拒,帮助未成年与讯问、审判人员沟通;另一方面,合适成年人到场,可以对讯问和审判过程是否合法、合适进行监督,使讯问和审判活动能够依法进行;再一方面,合适成年人到场,还可以防止在讯问和审判的诉讼活动中,由于办案人员的违法行为对未成年人合法权益造成侵害。[10]因此,这一制度创新很具实际意义。

  5、设置附条件不起诉制度

  刑事诉讼法第二百七十一条、第二百七十二条和第二百七十三条都是关于设置附条件不起诉制度的规定,内容比较丰富而具体。归纳起来主要有:第一,突破原刑事诉讼法第一百四十二条适用范围过窄的限制,明确附条件不起诉的对象范围包括未成年人涉嫌刑法分则第四章、第五章、第六章犯罪可能判处一年有期徒刑以下刑罚,符合起诉条件,但有悔罪表现者,对象范围明显扩大;第二,规定了对附条件不起诉决定前,应当听取级公安机关、被害人的意见;对作出的不起诉决定公安机关有权要求复议、提请复议或者被害人申诉或直接向人民法院起诉。第三,建立附条件不起诉的撤销制度,即被附条件不起诉的未成年犯罪嫌疑人,在考验期内有实施新的犯罪或者发现决定不起诉前还有漏罪需要追诉的、违反治安管理规定或者考察机关有关附条件不起诉的监管规定情节严重的,应当撤销附条件不起诉的决定,提起公诉。

  除上列五项制度外,还有刑事诉讼法第二百七十四条规定的对被告人不满十八周岁的案件不公开审理制度、第二百七十五条规定的犯罪记录封存制度等。这些制度计设,是“未成年人刑事案件诉讼程序”的制度保障,也是司法机关的办案操作规则,从而有效保证了特别程序的畅通运行,也有效保障了刑事诉讼中未成年人的合法权益,实乃未成年人之幸,司法机关之幸,社会主义法治建设之幸。


  (作者单位:重庆市奉节县人民法院)

商业银行信息科技风险管理指引 ——附加英文版

中国银行业监督管理委员会


商业银行信息科技风险管理指引



第一章 总 则



第一条 为加强商业银行信息科技风险管理,根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》,以及国家信息安全相关要求和有关法律法规,制定本指引。

第二条 本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条 本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术,在商业银行业务交易处理、经营管理和内部控制等方面的应用,并包括进行信息科技治理,建立完整的管理组织架构,制订完善的管理制度和流程。

第四条 本指引所称信息科技风险,是指信息科技在商业银行运用过程中,由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条 信息科技风险管理的目标是通过建立有效的机制,实现对商业银行信息科技风险的识别、计量、监测和控制,促进商业银行安全、持续、稳健运行,推动业务创新,提高信息技术使用水平,增强核心竞争力和可持续发展能力。



第二章 信息科技治理



第六条 商业银行法定代表人是本机构信息科技风险管理的第一责任人,负责组织本指引的贯彻落实。

第七条 商业银行的董事会应履行以下信息科技管理职责:

(一) 遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准,落实中国银行业监督管理委员会(以下简称银监会)相关监管要求。

(二) 审查批准信息科技战略,确保其与银行的总体业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。

(三) 掌握主要的信息科技风险,确定可接受的风险级别,确保相关风险能够被识别、计量、监测和控制。

(四) 规范职业道德行为和廉洁标准,增强内部文化建设,提高全体人员对信息科技风险管理重要性的认识。

(五) 设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会,负责监督各项职责的落实,定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

(六) 在建立良好的公司治理的基础上进行信息科技治理,形成分工合理、职责明确、相互制衡、报告关系清晰的信息科技治理组织结构。加强信息科技专业队伍的建设,建立人才激励机制。

(七) 确保内部审计部门进行独立有效的信息科技风险管理审计,对审计报告进行确认并落实整改。

(八) 每年审阅并向银监会及其派出机构报送信息科技风险管理的年度报告。

(九) 确保信息科技风险管理工作所需资金。

(十) 确保银行所有员工充分理解和遵守经其批准的信息科技风险管理制度和流程,并安排相关培训。

(十一) 确保本法人机构涉及客户信息、账务信息以及产品信息等的核心系统在中国境内独立运行,并保持最高的管理权限,符合银监会监管和实施现场检查的要求,防范跨境风险。

(十二) 及时向银监会及其派出机构报告本机构发生的重大信息科技事故或突发事件,按相关预案快速响应。

(十三) 配合银监会及其派出机构做好信息科技风险监督检查工作,并按照监管意见进行整改。

(十四) 履行信息科技风险管理其他相关工作。

第八条 商业银行应设立首席信息官,直接向行长汇报,并参与决策。首席信息官的职责包括:

(一) 直接参与本银行与信息科技运用有关的业务发展决策。

(二) 确保信息科技战略,尤其是信息系统开发战略,符合本银行的总体业务战略和信息科技风险管理策略。

(三) 负责建立一个切实有效的信息科技部门,承担本银行的信息科技职责。确保其履行:信息科技预算和支出、信息科技策略、标准和流程、信息科技内部控制、专业化研发、信息科技项目发起和管理、信息系统和信息科技基础设施的运行、维护和升级、信息安全管理、灾难恢复计划、信息科技外包和信息系统退出等职责。

(四) 确保信息科技风险管理的有效性,并使有关管理措施落实到相关的每一个内设机构和分支机构。

(五) 组织专业培训,提高人才队伍的专业技能。

(六) 履行信息科技风险管理其他相关工作。

第九条 商业银行应对信息科技部门内部管理职责进行明确的界定;各岗位的人员应具有相应的专业知识和技能,重要岗位应制定详细完整的工作手册并适时更新。对相关人员应采取下列风险防范措施:

(一) 验证个人信息,包括核验有效身份证件、学历证明、工作经历和专业资格证书等信息。

(二) 审核信息科技员工的道德品行,确保其具备相应的职业操守。

(三) 确保员工了解、遵守信息科技策略、指导原则、信息保密、授权使用信息系统、信息科技管理制度和流程等要求,并同员工签订相关协议。

(四) 评估关键岗位信息科技员工流失带来的风险,做好安排候补员工和岗位接替计划等防范措施;在员工岗位发生变化后及时变更相关信息。

第十条 商业银行应设立或指派一个特定部门负责信息科技风险管理工作,并直接向首席信息官或首席风险官(风险管理委员会)报告工作。该部门应为信息科技突发事件应急响应小组的成员之一,负责协调制定有关信息科技风险管理策略,尤其是在涉及信息安全、业务连续性计划和合规性风险等方面,为业务部门和信息科技部门提供建议及相关合规性信息,实施持续信息科技风险评估,跟踪整改意见的落实,监控信息安全威胁和不合规事件的发生。

第十一条 商业银行应在内部审计部门设立专门的信息科技风险审计岗位,负责信息科技审计制度和流程的实施,制订和执行信息科技审计计划,对信息科技整个生命周期和重大事件等进行审计。

第十二条 商业银行应按照知识产权相关法律法规,制定本机构信息科技知识产权保护策略和制度,并使所有员工充分理解并遵照执行。确保购买和使用合法的软硬件产品,禁止侵权盗版;采取有效措施保护本机构自主知识产权。

第十三条 商业银行应依据有关法律法规的要求,规范和及时披露信息科技风险状况。



第三章 信息科技风险管理



第十四条 商业银行应制定符合银行总体业务规划的信息科技战略、信息科技运行计划和信息科技风险评估计划,确保配置足够人力、财力资源,维持稳定、安全的信息科技环境。

第十五条 商业银行应制定全面的信息科技风险管理策略,包括但不限于下述领域:

(一) 信息分级与保护。

(二) 信息系统开发、测试和维护。

(三) 信息科技运行和维护。

(四) 访问控制。

(五) 物理安全。

(六) 人员安全。

(七) 业务连续性计划与应急处置。

第十六条 商业银行应制定持续的风险识别和评估流程,确定信息科技中存在隐患的区域,评价风险对其业务的潜在影响,对风险进行排序,并确定风险防范措施及所需资源的优先级别(包括外包供应商、产品供应商和服务商)。

第十七条 商业银行应依据信息科技风险管理策略和风险评估结果,实施全面的风险防范措施。防范措施应包括:

(一) 制定明确的信息科技风险管理制度、技术标准和操作规程等,定期进行更新和公示。

(二) 确定潜在风险区域,并对这些区域进行详细和独立的监控,实现风险最小化。建立适当的控制框架,以便于检查和平衡风险;定义每个业务级别的控制内容,包括:

1. 最高权限用户的审查。

2. 控制对数据和系统的物理和逻辑访问。

3. 访问授权以“必需知道”和“最小授权”为原则。

4. 审批和授权。

5. 验证和调节。

第十八条 商业银行应建立持续的信息科技风险计量和监测机制,其中应包括:

(一) 建立信息科技项目实施前及实施后的评价机制。

(二) 建立定期检查系统性能的程序和标准。

(三) 建立信息科技服务投诉和事故处理的报告机制。

(四) 建立内部审计、外部审计和监管发现问题的整改处理机制。

(五) 安排供应商和业务部门对服务水平协议的完成情况进行定期审查。

(六) 定期评估新技术发展可能造成的影响和已使用软件面临的新威胁。

(七) 定期进行运行环境下操作风险和管理控制的检查。

(八) 定期进行信息科技外包项目的风险状况评价。

第十九条 中资商业银行在境外设立的机构及境内的外资商业银行,应当遵守境内外监管机构关于信息科技风险管理的要求,并防范因监管差异所造成的风险。



第四章 信息安全



第二十条 商业银行信息科技部门负责建立和实施信息分类和保护体系,商业银行应使所有员工都了解信息安全的重要性,并组织提供必要的培训,让员工充分了解其职责范围内的信息保护流程。

第二十一条 商业银行信息科技部门应落实信息安全管理职能。该职能应包括建立信息安全计划和保持长效的管理机制,提高全体员工信息安全意识,就安全问题向其他部门提供建议,并定期向信息科技管理委员会提交本银行信息安全评估报告。信息安全管理机制应包括信息安全标准、策略、实施计划和持续维护计划。

信息安全策略应涉及以下领域:

(一) 安全制度管理。

(二) 信息安全组织管理。

(三) 资产管理。



(四) 人员安全管理。

(五) 物理与环境安全管理。

(六) 通信与运营管理。

(七) 访问控制管理。

(八) 系统开发与维护管理。

(九) 信息安全事故管理。

(十) 业务连续性管理。

(十一) 合规性管理。

第二十二条 商业银行应建立有效管理用户认证和访问控制的流程。用户对数据和系统的访问必须选择与信息访问级别相匹配的认证机制,并且确保其在信息系统内的活动只限于相关业务能合法开展所要求的最低限度。用户调动到新的工作岗位或离开商业银行时,应在系统中及时检查、更新或注销用户身份。

第二十三条 商业银行应确保设立物理安全保护区域,包括计算机中心或数据中心、存储机密信息或放置网络设备等重要信息科技设备的区域,明确相应的职责,采取必要的预防、检测和恢复控制措施。

第二十四条 商业银行应根据信息安全级别,将网络划分为不同的逻辑安全域(以下简称为域)。应该对下列安全因素进行评估,并根据安全级别定义和评估结果实施有效的安全控制,如对每个域和整个网络进行物理或逻辑分区、实现网络内容过滤、逻辑访问控制、传输加密、网络监控、记录活动日志等。

(一) 域内应用程序和用户组的重要程度。

(二) 各种通讯渠道进入域的访问点。

(三) 域内配置的网络设备和应用程序使用的网络协议和端口。

(四) 性能要求或标准。

(五) 域的性质,如生产域或测试域、内部域或外部域。

(六) 不同域之间的连通性。

(七) 域的可信程度。

第二十五条 商业银行应通过以下措施,确保所有计算机操作系统和系统软件的安全:

(一) 制定每种类型操作系统的基本安全要求,确保所有系统满足基本安全要求。

(二) 明确定义包括终端用户、系统开发人员、系统测试人员、计算机操作人员、系统管理员和用户管理员等不同用户组的访问权限。

(三) 制定最高权限系统账户的审批、验证和监控流程,并确保最高权限用户的操作日志被记录和监察。

(四) 要求技术人员定期检查可用的安全补丁,并报告补丁管理状态。

(五) 在系统日志中记录不成功的登录、重要系统文件的访问、对用户账户的修改等有关重要事项,手动或自动监控系统出现的任何异常事件,定期汇报监控情况。

第二十六条 商业银行应通过以下措施,确保所有信息系统的安全:

(一) 明确定义终端用户和信息科技技术人员在信息系统安全中的角色和职责。

(二) 针对信息系统的重要性和敏感程度,采取有效的身份验证方法。

(三) 加强职责划分,对关键或敏感岗位进行双重控制。

(四) 在关键的接合点进行输入验证或输出核对。

(五) 采取安全的方式处理保密信息的输入和输出,防止信息泄露或被盗取、篡改。

(六) 确保系统按预先定义的方式处理例外情况,当系统被迫终止时向用户提供必要信息。

(七) 以书面或电子格式保存审计痕迹。

(八) 要求用户管理员监控和审查未成功的登录和用户账户的修改。

第二十七条 商业银行应制定相关策略和流程,管理所有生产系统的活动日志,以支持有效的审核、安全取证分析和预防欺诈。日志可以在软件的不同层次、不同的计算机和网络设备上完成,日志划分为两大类:

(一) 交易日志。交易日志由应用软件和数据库管理系统产生,内容包括用户登录尝试、数据修改、错误信息等。交易日志应按照国家会计准则要求予以保存。

(二) 系统日志。系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成,内容包括管理登录尝试、系统事件、网络事件、错误信息等。系统日志保存期限按系统的风险等级确定,但不能少于一年。

商业银行应保证交易日志和系统日志中包含足够的内容,以便完成有效的内部控制、解决系统故障和满足审计需要;应采取适当措施保证所有日志同步计时,并确保其完整性。在例外情况发生后应及时复查系统日志。交易日志或系统日志的复查频率和保存周期应由信息科技部门和有关业务部门共同决定,并报信息科技管理委员会批准。

第二十八条 商业银行应采取加密技术,防范涉密信息在传输、处理、存储过程中出现泄露或被篡改的风险,并建立密码设备管理制度,以确保:

(一) 使用符合国家要求的加密技术和加密设备。

(二) 管理、使用密码设备的员工经过专业培训和严格审查。

(三) 加密强度满足信息机密性的要求。

(四) 制定并落实有效的管理流程,尤其是密钥和证书生命周期管理。

第二十九条 商业银行应配备切实有效的系统,确保所有终端用户设备的安全,并定期对所有设备进行安全检查,包括台式个人计算机(PC)、便携式计算机、柜员终端、自动柜员机(ATM)、存折打印机、读卡器、销售终端(POS)和个人数字助理(PDA)等。

第三十条 商业银行应制定相关制度和流程,严格管理客户信息的采集、处理、存贮、传输、分发、备份、恢复、清理和销毁。

第三十一条 商业银行应对所有员工进行必要的培训,使其充分掌握信息科技风险管理制度和流程,了解违反规定的后果,并对违反安全规定的行为采取零容忍政策。



第五章 信息系统开发、测试和维护



第三十二条 商业银行应有能力对信息系统进行需求分析、规划、采购、开发、测试、部署、维护、升级和报废,制定制度和流程,管理信息科技项目的优先排序、立项、审批和控制。项目实施部门应定期向信息科技管理委员会提交重大信息科技项目的进度报告,由其进行审核,进度报告应当包括计划的重大变更、关键人员或供应商的变更以及主要费用支出情况。应在信息系统投产后一定时期内,组织对系统的后评价,并根据评价结果及时对系统功能进行调整和优化。

第三十三条 商业银行应认识到信息科技项目相关的风险,包括潜在的各种操作风险、财务损失风险和因无效项目规划或不适当的项目管理控制产生的机会成本,并采取适当的项目管理方法,控制信息科技项目相关的风险。

第三十四条 商业银行应采取适当的系统开发方法,控制信息系统的生命周期。典型的系统生命周期包括系统分析、设计、开发或外购、测试、试运行、部署、维护和退出。所采用的系统开发方法应符合信息科技项目的规模、性质和复杂度。

第三十五条 商业银行应制定相关控制信息系统变更的制度和流程,确保系统的可靠性、完整性和可维护性,其中应包括以下要求:

(一) 生产系统与开发系统、测试系统有效隔离。

(二) 生产系统与开发系统、测试系统的管理职能相分离。

(三) 除得到管理层批准执行紧急修复任务外,禁止应用程序开发和维护人员进入生产系统,且所有的紧急修复活动都应立即进行记录和审核。

(四) 将完成开发和测试环境的程序或系统配置变更应用到生产系统时,应得到信息科技部门和业务部门的联合批准,并对变更进行及时记录和定期复查。

第三十六条 商业银行应制定并落实相关制度、标准和流程,确保信息系统开发、测试、维护过程中数据的完整性、保密性和可用性。

第三十七条 商业银行应建立并完善有效的问题管理流程,以确保全面地追踪、分析和解决信息系统问题,并对问题进行记录、分类和索引;如需供应商提供支持服务或技术援助,应向相关人员提供所需的合同和相关信息,并将过程记录在案;对完成紧急恢复起至关重要作用的任务和指令集,应有清晰的描述和说明,并通知相关人员。

第三十八条 商业银行应制定相关制度和流程,控制系统升级过程。当设备达到预期使用寿命或性能不能满足业务需求,基础软件(操作系统、数据库管理系统、中间件)或应用软件必须升级时,应及时进行系统升级,并将该类升级活动纳入信息科技项目,接受相关的管理和控制,包括用户验收测试。



第六章 信息科技运行



第三十九条 商业银行在选择数据中心的地理位置时,应充分考虑环境威胁(如是否接近自然灾害多发区、危险或有害设施、繁忙或主要公路),采取物理控制措施,监控对信息处理设备运行构成威胁的环境状况,并防止因意外断电或供电干扰影响数据中心的正常运行。

第四十条 商业银行应严格控制第三方人员(如服务供应商)进入安全区域,如确需进入应得到适当的批准,其活动也应受到监控;针对长期或临时聘用的技术人员和承包商,尤其是从事敏感性技术相关工作的人员,应制定严格的审查程序,包括身份验证和背景调查。

第四十一条 商业银行应将信息科技运行与系统开发和维护分离,确保信息科技部门内部的岗位制约;对数据中心的岗位和职责做出明确规定。

第四十二条 商业银行应按照有关法律法规要求保存交易记录,采取必要的程序和技术,确保存档数据的完整性,满足安全保存和可恢复要求。

第四十三条 商业银行应制定详尽的信息科技运行操作说明。如在信息科技运行手册中说明计算机操作人员的任务、工作日程、执行步骤,以及生产与开发环境中数据、软件的现场及非现场备份流程和要求(即备份的频率、范围和保留周期)。

第四十四条 商业银行应建立事故管理及处置机制,及时响应信息系统运行事故,逐级向相关的信息科技管理人员报告事故的发生,并进行记录、分析和跟踪,直到完成彻底的处置和根本原因分析。商业银行应建立服务台,为用户提供相关技术问题的在线支持,并将问题提交给相关信息科技部门进行调查和解决。

第四十五条 商业银行应建立服务水平管理相关的制度和流程,对信息科技运行服务水平进行考核。

第四十六条 商业银行应建立连续监控信息系统性能的相关程序,及时、完整地报告例外情况;该程序应提供预警功能,在例外情况对系统性能造成影响前对其进行识别和修正。

第四十七条 商业银行应制定容量规划,以适应由于外部环境变化产生的业务发展和交易量增长。容量规划应涵盖生产系统、备份系统及相关设备。

第四十八条 商业银行应及时进行维护和适当的系统升级,以确保与技术相关服务的连续可用性,并完整保存记录(包括疑似和实际的故障、预防性和补救性维护记录),以确保有效维护设备和设施。

第四十九条 商业银行应制定有效的变更管理流程,以确保生产环境的完整性和可靠性。包括紧急变更在内的所有变更都应记入日志,由信息科技部门和业务部门共同审核签字,并事先进行备份,以便必要时可以恢复原来的系统版本和数据文件。紧急变更成功后,应通过正常的验收测试和变更管理流程,采用恰当的修正以取代紧急变更。



第七章 业务连续性管理



第五十条 商业银行应根据自身业务的性质、规模和复杂程度制定适当的业务连续性规划,以确保在出现无法预见的中断时,系统仍能持续运行并提供服务;定期对规划进行更新和演练,以保证其有效性。

第五十一条 商业银行应评估因意外事件导致其业务运行中断的可能性及其影响,包括评估可能由下述原因导致的破坏:

(一) 内外部资源的故障或缺失(如人员、系统或其他资产)。

(二) 信息丢失或受损。

(三) 外部事件(如战争、地震或台风等)。

第五十二条 商业银行应采取系统恢复和双机热备处理等措施降低业务中断的可能性,并通过应急安排和保险等方式降低影响。

第五十三条 商业银行应建立维持其运营连续性策略的文档,并制定对策略的充分性和有效性进行检查和沟通的计划。其中包括:

(一)规范的业务连续性计划,明确降低短期、中期和长期中断所造成影响的措施,包括但不限于:

1.资源需求(如人员、系统和其他资产)以及获取资源的方式。

2.运行恢复的优先顺序。

3.与内部各部门及外部相关各方(尤其是监管机构、客户和媒体等)的沟通安排。

(二)更新实施业务连续性计划的流程及相关联系信息。

(三)验证受中断影响的信息完整性的步骤。

(四)当商业银行的业务或风险状况发生变化时,对本条(一)到(三)进行审核并升级。

第五十四条 商业银行的业务连续性计划和年度应急演练结果应由信息科技风险管理部门或信息科技管理委员会确认。



第八章 外 包



第五十五条 商业银行不得将其信息科技管理责任外包,应合理谨慎监督外包职能的履行。

第五十六条 商业银行实施重要外包(如数据中心和信息科技基础设施等)应格外谨慎,在准备实施重要外包时应以书面材料正式报告银监会或其派出机构。

第五十七条 商业银行在签署外包协议或对外包协议进行重大变更前,应做好相关准备,其中包括:

(一) 分析外包是否适合商业银行的组织结构和报告路线、业务战略、总体风险控制,是否满足商业银行履行对外包服务商的监督义务。

(二) 考虑外包协议是否允许商业银行监测和控制与外包相关的操作风险。

(三) 充分审查、评估外包服务商的财务稳定性和专业经验,对外包服务商进行风险评估,考查其设施和能力是否足以承担相应的责任。

(四) 考虑外包协议变更前后实施的平稳过渡(包括终止合同可能发生的情况)。

(五) 关注可能存在的集中风险,如多家商业银行共用同一外包服务商带来的潜在业务连续性风险。

第五十八条 商业银行在与外包服务商合同谈判过程中,应考虑的因素包括但不限于:

(一) 对外包服务商的报告要求和谈判必要条件。

(二) 银行业监管机构和内部审计、外部审计能执行足够的监督。

(三) 通过界定信息所有权、签署保密协议和采取技术防护措施保护客户信息和其他信息。

(四) 担保和损失赔偿是否充足。

(五) 外包服务商遵守商业银行有关信息科技风险制度和流程的意愿及相关措施。

(六) 外包服务商提供的业务连续性保障水平,以及提供相关专属资源的承诺。

(七) 第三方供应商出现问题时,保证软件持续可用的相关措施。

(八) 变更外包协议的流程,以及商业银行或外包服务商选择变更或终止外包协议的条件,例如:

1. 商业银行或外包服务商的所有权或控制权发生变化。

2. 商业银行或外包服务商的业务经营发生重大变化。

3. 外包服务商提供的服务不充分,造成商业银行不能履行监督义务。

第五十九条 商业银行在实施双方关系管理,以及起草服务水平协议时,应考虑的因素包括但不限于:

(一) 提出定性和定量的绩效指标,评估外包服务商为商业银行及其相关客户提供服务的充分性。

(二) 通过服务水平报告、定期自我评估、内部或外部独立审计进行绩效考核。

(三) 针对绩效不达标的情况调整流程,采取整改措施。

第六十条 商业银行应加强信息科技相关外包管理工作,确保商业银行的客户资料等敏感信息的安全,包括但不限于采取以下措施:

(一) 实现本银行客户资料与外包服务商其他客户资料的有效隔离。

(二) 按照“必需知道”和“最小授权”原则对外包服务商相关人员授权。

(三) 要求外包服务商保证其相关人员遵守保密规定。

(四) 应将涉及本银行客户资料的外包作为重要外包,并告知相关客户。

(五) 严格控制外包服务商再次对外转包,采取足够措施确保商业银行相关信息的安全。

(六) 确保在中止外包协议时收回或销毁外包服务商保存的所有客户资料。

第六十一条 商业银行应建立恰当的应急措施,应对外包服务商在服务中可能出现的重大缺失。尤其需要考虑外包服务商的重大资源损失,重大财务损失和重要人员的变动,以及外包协议的意外终止。

第六十二条 商业银行所有信息科技外包合同应由信息科技风险管理部门、法律部门和信息科技管理委员会审核通过。商业银行应设立流程定期审阅和修订服务水平协议。



第九章 内部审计



第六十三条 商业银行内部审计部门应根据业务的性质、规模和复杂程度,对相关系统及其控制的适当性和有效性进行监测。内部审计部门应配备足够的资源和具有专业能力的信息科技审计人员,独立于本银行的日常活动,具有适当的授权访问本银行的记录。

第六十四条 商业银行内部信息科技审计的责任包括:

(一) 制定、实施和调整审计计划,检查和评估商业银行信息科技系统和内控机制的充分性和有效性。

(二) 按照第(一)款规定完成审计工作,在此基础上提出整改意见。

(三) 检查整改意见是否得到落实。

(四) 执行信息科技专项审计。信息科技专项审计,是指对信息科技安全事故进行的调查、分析和评估,或审计部门根据风险评估结果对认为必要的特殊事项进行的审计。

第六十五条 商业银行应根据业务性质、规模和复杂程度,信息科技应用情况,以及信息科技风险评估结果,决定信息科技内部审计范围和频率。但至少应每三年进行一次全面审计。

第六十六条 商业银行在进行大规模系统开发时,应要求信息科技风险管理部门和内部审计部门参与,保证系统开发符合本银行信息科技风险管理标准。



第十章 外部审计



第六十七条 商业银行可以在符合法律、法规和监管要求的情况下,委托具备相应资质的外部审计机构进行信息科技外部审计。

第六十八条 在委托审计过程中,商业银行应确保外部审计机构能够对本银行的硬件、软件、文档和数据进行检查,以发现信息科技存在的风险,国家法律、法规及监管部门规章、规范性文件规定的重要商业、技术保密信息除外。

第六十九条 商业银行在实施外部审计前应与外部审计机构进行充分沟通,详细确定审计范围,不应故意隐瞒事实或阻挠审计检查。

第七十条 银监会及其派出机构必要时可指定具备相应资质的外部审计机构对商业银行执行信息科技审计或相关检查。外部审计机构根据银监会或其派出机构的委托或授权对商业银行进行审计时,应出示委托授权书,并依照委托授权书上规定的范围进行审计。

第七十一条 外部审计机构根据授权出具的审计报告,经银监会及其派出机构审阅批准后具有与银监会及其派出机构出具的检查报告同等的效力,被审计的商业银行应根据该审计报告提出整改计划,并在规定的时间内实施整改。

第七十二条 商业银行在委托外部审计机构进行外部审计时,应与其签订保密协议,并督促其严格遵守法律法规,保守本银行的商业秘密和信息科技风险信息,防止其擅自对本银行提供的任何文件进行修改、复制或带离现场。



第十一章 附 则



第七十三条 未设董事会的商业银行,应当由其经营决策机构履行本指引中董事会的有关信息科技风险管理职责。

第七十四条 银监会依法对商业银行的信息科技风险管理实施监督检查。

第七十五条 本指引由银监会负责解释、修订。

第七十六条 本指引自颁布之日起施行,《银行业金融机构信息系统风险管理指引》(银监发〔2006〕63号)同时废止。



关于做好2010年城镇居民基本医疗保险工作的通知

人力资源和社会保障部


关于做好2010年城镇居民基本医疗保险工作的通知

人社部发〔2010〕39号


各省、自治区、直辖市人力资源社会保障厅(局)、财政厅(局),新疆生产建设兵团劳动保障局、财务局:

  2009年,城镇居民基本医疗保险(以下简称城镇居民医保)制度在全国所有城市全面建立,参保人数继续快速增加,待遇水平进一步提高,城镇居民医保工作取得良好成效。为进一步贯彻落实《中共中央国务院关于深化医药卫生体制改革的意见》(中发〔2009〕6号)和《国务院关于印发医药卫生体制改革近期重点实施方案(2009-2011)的通知》(国发〔2009〕12号)的有关精神,做好2010年城镇居民医保工作,现就有关问题通知如下:

  一、完善参保政策,巩固扩大覆盖面

  2010年各地要在全面建立城镇居民医保制度的基础上,巩固和扩大覆盖面,提高参保率,城镇居民医保参保率要达到80%,有条件的地方要力争达到90%,并将在校大学生全部纳入城镇居民医保。

  各地要适应就业形式多样化和人员流动加剧、城镇化速度加快的形势,在鼓励灵活就业人员参加城镇职工基本医疗保险的基础上,采取有效措施,落实符合条件的灵活就业人员、农民工等流动就业人员可以选择参加城镇居民医疗保险的有关政策。对自愿选择参加城镇居民医保的灵活就业人员和农民工,不得以户籍等原因设置参保障碍。与此同时,各地要确定简捷规范的工作程序,做好保险关系的转移接续工作,方便灵活就业人员、农民工等流动就业人员参保和享受待遇。

  要进一步推进大学生参保工作。各级人力资源社会保障部门要加强与有关部门的协调配合,充分发挥高校组织参保的作用。鼓励有经济负担能力的大学生参加商业医疗保险,并切实做好居民医保与商业保险的衔接,通过多层次保障体系,提高大学生医疗保障水平。

  要着力探索缴费年限与待遇水平挂钩办法,有条件的地区要探索在较大范围内统一不同医保制度间缴费年限换算累计等办法,鼓励居民积极连续参保。

  二、提高财政补助标准,健全筹资机制

  2010年各级财政对城镇居民医保的补助标准提高到每人每年不低于 120元,其中中央财政对中西部地区按人均60元给予补助,对东部地区的补助标准同比例提高。地方财政负担确有困难的,提高补助标准可以分两年到位。省财政要切实负起责任,加大对困难市县的补助力度。要按照高校的隶属关系落实各级财政对于公办、民办和企业办高校学生参保的财政补助。各地要通过医疗救助等渠道,加大对各类困难人群的帮助力度,确保困难人群参保。各级财政部门要按照国家规定的补助标准安排预算,按有关规定及时足额拨付补助资金,不得滞拨、缓拨。

在财政补助标准提高的同时,各地要根据经济发展、城镇居民可支配收入等情况,适当提高个人缴费水平。要按照《国务院关于开展城镇居民基本医疗保险试点的指导意见》(国发〔2007〕20号)的精神,进一步完善筹资政策。

  三、提高待遇水平,逐步减轻参保人员个人负担

  在提高筹资标准基础上,各地要按照以收定支、收支平衡、略有结余的原则,立足于减轻居民医疗费用负担,科学测算,合理提高城镇居民医保待遇水平。

  要坚持基本保障,适当提高基层医疗卫生机构医疗费用基金支付比例,引导参保人员到基层医疗卫生机构就医。重点解决大病重病患者的医疗费用负担过重问题。要逐步缩小地区间、制度间待遇差距,体现制度公平性。

  提高待遇水平要优先考虑提高基金最高支付限额,减轻大病重病患者的医药费用负担,2010年居民医保基金最高支付限额要提高到居民可支配收入的6倍以上。要逐步提高住院医疗费用基金支付比例,原则上参保人员住院政策范围内医疗费用基金支付比例要达到60%,二级(含)以下医疗机构住院政策范围内医疗费用基金支付比例要达到70%。各地要按照《关于开展城镇居民基本医疗保险门诊统筹的指导意见》(人社部发〔2009〕66号)要求开展门诊统筹工作,今年要在60%的统筹地区建立城镇居民医保门诊统筹。医疗保险基金结余较多的地方,可采取多种方式,加大对医疗负担过重的大病重病患者的保障力度。对儿童重大疾病患者,可以通过探索到指定医疗机构诊治、医疗保险基金对医疗机构按病种限额或定额结算、适当降低个人自付比例等方式,进一步减轻个人负担。

  要将城镇居民医保参保人员住院分娩和产前检查发生的符合规定的医疗费用纳入城镇居民医保基金支付范围。

  四、加强医疗保险管理,提升经办能力和水平

  要切实加强基金管理,认真执行《关于加强城镇居民基本医疗保险基金和财政补助资金管理有关问题的通知》(财社〔2008〕116号)和《关于进一步加强基本医疗保险基金管理的指导意见》(人社部发〔2009〕67号),严格掌握基金支付范围,居民医保基金只能用于参保人员住院和门急诊医疗服务费用支出。要做好基金会计核算和统计分析工作,建立基金运行情况分析和风险预警制度,合理确定基金结余水平。要强化基金监管,加大监督检查力度,杜绝挤占、挪用、骗取基金等违法违规行为,确保基金安全运行。要逐步提高统筹层次,提升基金共济能力。

  要强化医疗保险医疗服务管理。进一步完善就医引导机制,结合开展门诊统筹工作,将符合条件的基层医疗卫生机构纳入基本医疗保险定点范围,有条件的地方要探索建立首诊和双向转诊制度,充分发挥基层医疗卫生机构作用。根据各地基金承受能力,合理确定基金支付范围。要将自费药品和诊疗项目的控制指标纳入协议管理范围。完善费用结算办法,加快推进按病种、按人头付费、总额预付等支付方式改革,充分利用有关部门制定的临床路径等标准,合理确定结算标准。对实施基本药物零差率销售的医疗机构,可通过购买服务的方式,对其取消药品加成减少的收入给予合理补偿。要完善定点医疗机构考核评价体系,合理确定考核指标,实行定点医疗机构的分级管理,引导医疗机构加强内部管理、控制服务成本。要强化监督检查,探索建立医疗服务违规行为举报奖励制度,发挥社会监督作用。

  要统筹加强社区服务平台建设,提升城镇居民基本医疗保险经办服务能力,对社区和学校应参保人员进行全面登记,了解掌握参保人员情况。要按照权利义务相对等的原则,设立更为灵活的缴费时间和待遇享受时间,方便居民参保和待遇享受。要规范管理服务行为,制定高效合理的经办服务流程,及时发放医疗保险证等凭证。要进一步加强信息系统建设,80%以上的统筹地区要实现医疗保险经办机构与定点医疗机构和定点药店的直接结算。要切实按照规定,加强区域间、不同医疗保险制度间经办机构协作,做好参保人员异地就医和医疗保险关系转移的管理服务工作。


今年是完成深化医药卫生体制改革近期重点工作目标,巩固和完善城镇居民医保制度的关键一年。各地要按照深化医药卫生体制改革的总体要求,坚持统筹协调,做好城镇居民医疗保险制度与其他医疗保障制度、相关医药卫生体制改革制度的衔接,有条件的地方,要积极探索城乡一体化的基本医疗保障管理制度。要精心组织,周密安排,抓好落实。各省(区、市)要切实承担责任,制定工作方案,加大对统筹地区的指导和监督。各统筹地区要制定具体实施计划,确保完成各项工作任务。人力资源和社会保障部、财政部将对各地工作落实情况适时进行督查。各地要加强宣传工作,坚持正确的舆论导向,合理引导社会预期。要注重制度和机制创新,积极探索解决工作推进中遇到的问题,重大事项要及时上报。





二○一○年六月一日





来源:人力资源和社会保障部 2010年6月3日