IMF-欧元区_发布金融部门评估计划文件——关于网络风险和金融稳定的技术说明——监管中的若干问题（英）-2025.7_24页_452kb

总结：欧元区金融部门评估计划技术说明——网络风险与金融稳定

核心内容

本技术说明是国际货币基金组织（IMF）在2025年2月对欧元区金融部门进行的金融部门评估计划（FSAP）的一部分，重点分析了网络风险与金融稳定之间的关系，特别是监管和监督实践中的关键问题。文档旨在评估欧元区主要银行（SI）和金融基础设施（FMI）的网络风险监督和管理情况，并提出改进措施。

主要观点

• 网络风险的重要性：由于金融部门对信息和通信技术（ICT）系统的高度依赖，网络风险已成为最重要的运营风险之一，具有系统性影响。
• 网络风险趋势：尽管2024年欧元区银行整体风险水平相对稳定，但ICT安全风险、ICT外包风险和ICT变更风险呈现上升趋势。
• DORA的影响：自2025年1月起实施的《数字运营韧性法案》（DORA）为欧盟金融部门的网络韧性提供了法律基础，但也带来了监管和执行上的挑战。
• 监督与管理框架：现有法律和监管框架赋予监管机构充分的权力，但对关键第三方提供商（CTPP）的监督能力有限，需进一步增强。
• 监督实践：欧元区监管机构在SI和FMI的网络风险监督方面表现出较强的执行力，但存在信息分散、资源不足和协调不力等问题。

关键信息

监管与监督框架

• 法律基础：DORA是欧盟金融部门网络风险监管的核心法律框架，其要求优先于NIS2和CER指令。
• 监管机构：
  • 欧洲央行（ECB）负责SI的监督。
  • 欧洲监管机构（ESAs）负责CTPP的监督，包括EBA、ESMA和EIOPA。
  • 欧洲系统性风险委员会（ESRB）负责监测系统性网络风险，但缺乏详细数据支持。
• 组织结构：监管机构采用垂直和水平监督相结合的方式，JSTs负责银行的日常监督，而水平职能提供支持和分析。

监督与管理实践

• 银行监督：
  • 监督方式包括远程监督、现场检查、威胁导向渗透测试（TLPT）和CTPP监督。
  • 监督强度与银行规模、复杂度和风险水平成正比。
  • JSTs负责银行特定的监督活动，包括定期评估ICT/网络风险和运营韧性。
• FMI监督：
  • 监督基于ECB的《系统重要性支付系统监管条例》（SIPSR）和《欧元系统网络韧性战略》。
  • 监督重点包括业务连续性管理（BCM）和灾难恢复机制。
  • 目前缺乏对FMI的现场监督，导致风险保障不足。

网络风险挑战与建议

• 主要挑战：
  • CTPP监督缺乏强制性处罚手段。
  • FMI网络风险监督人员不足。
  • 网络事件报告体系分散且低效。
  • 系统性网络事件协调框架（EU-SCICF）尚未完成。
  • 监督文档标准化程度不足，导致不同团队采用不同方法。
• 主要建议：
  1. 完善监管框架：允许对CTPP实施罚款以增强监督力度。
  2. 提升FMI网络风险专家能力：增加相关监督人员数量。
  3. 推进EU-SCICF建设：完成框架开发，开始测试并尽快实施。
  4. 建立统一的网络事件报告系统：减少分散报告带来的效率低下。
  5. 向ESRB提供匿名化细粒度网络风险数据：以提高系统性网络风险的评估准确性。

表格：主要建议

未来展望

随着DORA的实施，欧元区金融部门的网络风险监督和管理将面临新的挑战和机遇。监管机构需要加强合作、提高效率，并增强对关键第三方提供商的监督能力，以确保金融体系的稳定性和韧性。