本文选自《交易技术前沿》总第四十三期文章（2021年3月）
刘燕宏 中国国际金融股份有限公司 董事总经理 liuyh@cicc.com.cn
李孟恒 华宝基金管理有限公司 首席信息官 limengheng@fsfund.com
曹 雷 华锐分布式（北京）技术有限公司 总经理 caolei@archforce.cn
制度体系是反映一家经营机构内控成熟度的重要窗口，管控的精细度、全面性，从制度体系的逻辑结构、覆盖广度、分类分级程度就可见一斑。所以，新设经营机构、牌照申请、资质审批甚至各类专项检查都会要求经营机构提供配套制度体系，并将其作为重点审核或检查项，比如2018年5月31日发布的《外商投资证券公司管理办法》、2019年10月24日发布《关于做好公开募集证券投资基金投资顾问业务试点工作的通知》等等。此外，行业很多监管处罚也往往会回溯到违规经营机构内控缺失、相关制度体系不健全层面。
（一）法规视角
《证券法》第一百一十八条、一百二十八条等，《证券投资基金法》第三十四条、第一百零八条等分别对证券、基金经营机构内控提出了明确要求，信息技术制度作为经营机构内部控制制度的重要组成部分；《证券公司内部控制指引》（证监机构字[2003]260号）第一百一十四至第一百二十条，《证券投资基金管理公司内部控制指导意见》（证监基金字[2002]93号）第三十一至三十六条，分别对证券、基金经营机构信息技术制度体系建设提出了具体要求。比如《证券公司内部控制指引》第一百一十四条要求“证券公司应建立信息系统的管理制度、操作流程、岗位手册和风险控制制度……”、《证券投资基金管理公司内部控制指导意见》第三条要求“基本管理制度应当至少包括风险控制制度、投资管理制度、基金会计制度、信息披露制度、监察稽核制度、信息技术管理制度、公司财务制度、资料档案管理制度、业绩评估考核制度和紧急应变制度”等等。
作为信息技术条线的重要法规，《证券期货业信息安全保障管理办法》（证监会第82号令）第十七条、三十五条、三十六条等，《证券基金经营机构信息技术管理办法》（证监会第152号令）第六条、第三十条、第三十二条、第三十四条等，都明确要求经营机构建立健全信息技术各项相关管理制度，涉及的构建某项机制条款也大都包含了对相关制度体系的要求。比如《证券期货业信息安全保障管理办法》第十七条要求“经营机构应当建立完善的信息技术管理制度和操作规程，并严格执行”，《证券基金经营机构信息技术管理办法》第六条要求“证券基金经营机构应当完善信息技术运用过程中的权责分配机制，建立健全信息技术管理制度和操作流程”等等。此外，公安部、中央网信办、工信部等其他部委也有在信息技术制度体系方面的相关要求，比如等保2.0要求“应建立日常管理活动中常用的安全管理制度”等。
（二）监管讲话视角
2019年11月21日，易会满主席在《加快行业文化建设 优化行业发展生态 着力提升证券基金机构软实力和核心竞争力》指出“加强证券基金行业文化建设没有‘捷径’可走，要遵循文化形成的一般规律和内在逻辑，有序推进。首先要建制度，加强文化建设必须制度先行，要将文化建设的基本要求制度化、规范化，嵌入到证券基金机构业务流程、内部控制、合规管理之中，以制度承载道德理念、固化良好品行、强化文化认同；然后要养生态，通过制度执行，增进认知认同，使文化建设与公司经营、个人执业行为相融相通，为文化建设创造良好的内外部环境和市场生态”。
为落实易主席上述讲话精神，两个行业协会分别向经营机构征集行业文化建设配套制度和工作方案。信息技术作为经营机构核心竞争力之一，其制度体系建设也是经营机构文化建设的重要组成部分。
（三）监管处罚视角
华锐金融科技研究所回溯2020年证券基金行业监管处罚情况，如下图1、图2所示，2020年罚单总数228张，其中与制度不完善相关罚单有30张，占总罚单数13.16%；罚单中明确指出内控缺失、合规管理不足的相关罚单有103例，占比45.18%；与信息技术相关的事项有14例，占比6.14%。总体来看，近三年监管罚单呈递增趋势，其中2020年内控缺失及合规管理不足的罚单比例占比最高，信息管理制度的健全及管控水平仍有待提升。
图1:2018-2020年证监会及派出机构对证券公司违规处罚罚单数（张）
数据来源：华锐金融科技研究所
图2：2020年1-12月证券经营机构处罚单统计（张）
数据来源：华锐金融科技研究所
行业经营机构以往提及制度体系更多关注点在风险控制、业务管理、会计财务、信息披露等领域。但随着直接融资占比逐步提升、资本市场快速开放、制度供给不断丰富，国内资本市场迎来黄金期。作为业务稳健发展的基石和重要推动力，金融科技在加速推进、不断融合前中后台的同时，已成为经营机构核心竞争力、公司战略的关键要素，伴随着与之相关的人力、软硬件等资产的快速增长，分工也越来越细。从经营机构中长期稳健经营、创新角度，持续完善健全信息技术相关制度体系的重要性也越发凸显。
（一）信息技术“运转轨道”以及治理管控的重要抓手
信息技术制度体系是信息技术治理、管控、创新的轨道，经营机构信息技术要稳健、合规发展离不开科学严谨的配套制度，同时制度的有效执行也是信息技术科学、有效管理的重要保障。经营机构应该建立制度管权、管人、管事的规范化运行机制，建立对技术各个环节行之有效的相互协调、相互制衡机制，同时辅之以奖惩机制和保障机制，健全一套完善的信息技术制度体系，使公司的运转有章可循、有迹可查,员工的奖惩有则可依，有效防范潜在的信息技术相关风险。
需要指出的是，随着金融科技的发展，当前证券行业信息技术系统安全风险问题日益突出，规范化的管理制度只有叠加灵活的应对机制才能保障信息技术条线高效运转，在此基础上再结合公司文化进行人性化管理，才能实现长期有效的信息技术管理文化。
（二）经营机构内部管理提升需要
管理学将企业内部管理划分为以下五大发展阶段：一是建立初期，处于“救火状态”，出现什么问题解决什么问题；二是发展中，“规范化”，完善与管理相关的各种制度，并培训实施；三是发展高阶，“理性化”，企业已能按照既有制度及流程自行运作；四是发展成熟阶段，“文化化”，企业形成自有的企业文化并根植各位员工的心中，驱使员工为公司的长期战略共同努力；五是发展自由阶段，“人性化”，企业超越理性的约束，更加注重“人性化”的管理。当前多数经营机构整体处在发展中、发展高阶阶段；而绝大多数经营机构信息技术制度体系建设尚处在第一阶段，也即“救火状态”。这在信息技术监管趋严、金融与科技深度融合的当下，已成为经营机构稳健快速发展的掣肘。
（三）降低“扯皮”与内耗
经营机构前中后台各类业务的数字化转型均面临内部高效协同的问题,往往伴随内部跨部门的扯皮与内耗。“救火状态”的信息技术管理只会给职能部门的信息技术部门带来更大的麻烦，大幅度增加内耗，尤其是当发生信息技术风险或信息安全事件时。通过不断健全信息技术制度体系，让一些规则、原则在事前达成一致，尽量减少后期的扯皮，也是对经营机构信息技术条线的自我保护。
当前证券基金行业信息技术制度体系建设普遍存在不完善、不健全、指导性不强等问题。对标发达资本市场实践，国内多数经营机构迫切需要进一步深化内部改革，完善制度体系建设，以更好的治理效能全面助力公司金融科技发展战略。
（一）面临的主要问题
具体来看，当前行业信息技术制度体系建设整体还处在初级阶段，主要面临以下几个问题：
一是缺乏统一信息技术制度体系规划。很多经营机构制度体系结构散乱，制度间逻辑性不强，也缺少健全信息技术制度体系的相应规划和角色。
二是信息技术制度分类分级不合理。有些公司尚未对信息技术制度分类分级，或分类分级比较随意，无法有机地呈现公司信息技术管控严谨性。
三是制度覆盖不全面。随着金融科技应用日益深入，法规要求不断更新，很多经营机构的制度体系还停留在几年前的状态，更新频次较低，控制点缺失，对于比如数据、信息技术服务机构管理等领域较少涉及或没有根据最新监管要求及时修正，难以满足基本的合规要求。
四是制度落地性和原则性配合不佳。很多制度重责任、重措施但轻授权、轻处罚，细分制度如果不落地就变成了花瓶，但也有些制度是为了原则性要求而定，很多制度因为分类分级不合理、责权不清，重操作性和重原则性组合紊乱。
五是制度间协调不足。一家经营机构的整个制度体系应该是有机的整体，制度之间应该有协同，而不是孤零零地呈现，这点从上位制度、下位制度间的衔接可见一斑。
六是制度命名随意、文本格式不统一。是命名为制度、政策、规范、规则、细则还是指引、指南，许多机构实践中对制度命名的随意性也为未来制度落地制造了障碍。
七是制度保管和访问不便。部分经营机构的制度保管存在问题，很多制度缺失，这一方面反映了保管不当，另一方面也反映了制度落地性不强。
（二）面临的主要挑战
一是重要但容易被忽视。信息技术制度体系建设对一家经营机构来讲，是件重要但不紧急的事情，所以往往容易被忽略，只有少数经营机构会主动持续根据最新法规政策和展业需求，设置相关岗位不断完善信息技术制度体系。
二是积极主动意识薄弱。制度体系的修订需求不仅来自监管，更多时候内生于经营机构日常工作中，而从实践情况来看，当前行业被动开展制度体系建设的情况较多，这种情况极容易导致应付式的结果，影响经营机构信息技术中长期战略。
三是相关要求来源较多。制度体系建设是动态的，其要求来源较多，常见的有以下三类：一是各类监管政策法规，二是母公司要求，三是各类资质要求等。有时会出现多头要求不一致的情况，这也在一定程度上加剧了信息技术要求实践落地难的问题。
四是相关人才缺失。对于技术条线来讲，由于日常技术工作已焦头烂额，主动健全制度体系的动力不足，专业性也较弱；对于公司级维护制度体系的部门或岗位，又往往不具有技术背景，行业该类复合型人才缺失。
（一）制度体系建设应遵守的基本原则
1.平衡操作性与原则性，循序渐进
证券基金行业信息技术系统建设应平衡效率及规范、平衡操作性和原则性，循序渐进地完善制度体系。通过制度分类分级，将原则性要求、操作性指引相互衔接，原则性要求满足监管导向、公司发展战略，操作性指引以流程落地为目标，结合公司信息技术资源情况不断丰富落地。
2.控制点优先，制度数量其次
根据华锐金融科技研究所数据，当前证券基金行业制度体系建设领域，IT合规及最佳实践要求有200余项控制点，1000余个检查点。但并不是所有经营机构的制度数量和颗粒度都是或应该一样的。这需要结合经营机构当前IT规模，管理成熟度综合决定，不能简单复制。
3.及时修正，持续改进
制度指导并服务于日常工作，信息技术制度体系的建设应该遵循先广后精、先粗后细、循序渐进的原则，结合公司IT成熟度，循序渐进地优化与细化。以数据治理为例，经营机构可以先从数据分类分级等入手，再最后细化到主数据、元数据等的治理。
4.嵌入到整个公司制度体系
信息技术制度体系建设一般是从公司二级制度开始，衔接公司章程、内控大纲等一级制度。很多三级制度的制定需要结合其他领域制度，比如信息技术风险管理规范需要结合公司风险管理办法、信息技术合规管理规范需要结合公司合规管理办法等。
5.专岗跟进
随着行业不断增加制度供给，未来信息技术相关法规不断丰富，头部经营机构有必要设置专岗持续维护，考虑到成本因素，初期工作不饱和时可采取一人兼多岗策略，比如该岗位人员可同时在信息技术管理部门兼信息技术合规岗、风控岗、供应商管理岗等。
（二）制度体系建设的规划
经营机构信息技术制度体系建设不可能一劳永逸，根据过往项目经验，建设过程通常可分为3个阶段：
阶段一，主要完成差距分析、对标并制定后续规划，该阶段将确保经营机构信息技术制度体系初步满足合规要求，并在局部能更好指导日常工作；
阶段二，本着深度满足监管要求、公司信息技术战略，强化制度融合管控的角度，对重要操作性四级制度进行逐一研讨和落地，比如重要信息系统（功能）上线前合规审查等；
阶段三，通过专岗，持续优化制度体系，并通过OA或类似系统以流程化形式结合实际，不断固化四级制度，在各岗位相关制度方便触达领域开展相关工作。
（三）制度体系建设的重点领域
为服务行业做好信息技术制度体系建设，华锐分布式基于近百项行业内外政策法规，研发了行业信息制度体系建设框架。两家经营机构在该框架下，基于公司内控大纲、章程,全面覆盖了信息技术治理、信息技术合规与风险管理、信息技术安全管理、信息技术运行保障、信息技术应急管理等9大领域。
此外，为更好将信息技术制度体系框架融入到整个公司制度体系，项目采用了行业通用的四级制度体系框架，其中与信息技术相关的1项二级制度、20余项三级制度、几十项四级制度。需要指出的是，制度体系框架中有些制度需要参考公司其他法规予以制定，比如经营机构《信息技术风险管理规定》的制定除了要依据公司二级信息技术管理办法，还需要基于公司二级风险管理办法等共同制定，并会签相关部门。
图3：项目制度体系举例
刘鹤副总理对行业监管提出的“建制度、不干预、零容忍”九字方针，对经营机构治理及管理具有重要借鉴意义，也为经营机构内控体系建设指明了方向。无论是从合规、提升管控水平，抑或在信息技术管控层面践行“九字方针”及行业文化建设角度，经营机构信息技术制度体系建设均面临同步提升需求，需重点对待。
本公众号内容仅供参考。对任何因直接或间接使用本公众号内容而造成的损失，包括但不限于因有关内容不准确、不完整而导致的损失，本公众号不承担任何法律责任。如有问题请反馈至tech_support@sse.com.cn。
--------------------------
上海证券交易所为证券公司、基金管理公司等市场参与者及相关行业机构提供交易技术支持与服务，包括日常交易技术支持、技术交流研讨、市场调查反馈、证券信息技术知识库、测试等服务。
