银行信息泄露 两起商业银行个人征信信息泄露事件的原因分析及思考

征信最大的风险是信息风险。征信信息是否安全，关系到信息主体的合法权益，关系到广大人民群众的幸福，关系到征信业的持续健康发展。近年来，一些商业银行征信工作人员的违法行为导致征信信息频繁泄露，对征信信息的安全构成威胁，也引起了社会的广泛关注。这些事件的发生深刻暴露了这些商业银行在信用合规管理方面存在的突出问题，值得我们深思。

商业银行个人信用信息泄露两例

一个

事件一:商业银行征信工作人员非法查询个人信用信息并非法出售，导致大量客户信息泄露，构成侵犯公民个人信息罪

2016年3月，中国人民银行征信中心报告称，当地一家商业银行的个人征信查询数量激增。经调查，所涉及的异常查询用户为我行员工，陈仅高中学历，未接受征信业务知识培训，未上岗。张，的一个好朋友，在一家网贷公司工作。张要求帮他查询网贷客户的个人信用报告，并答应给他一笔福利费。

在体验利益的驱使下，在夜间等非工作时间多次查询非银行客户个人征信报告2万余次，全部提供给张，张将其提供给自己的公司和其他机构使用，两人从中非法获利8万元。

之后，该行紧急停止向陈某用户查询，及时向公安部门报案，并将相关案件移交司法机关处理。当地人民法院裁定，、张非法获取公民个人信息并出售牟利，违反《中华人民共和国刑法》第二百五十三条的规定。情节严重，构成侵犯公民个人信息罪的，处有期徒刑、拘役、罚金。中国人民银行地方信贷管理部门还根据《信贷管理条例》对参与信贷管理的机构和个人进行了经济处罚和行政问责。

事件二:商业银行征信岗位信用信息安全和风险防范意识薄弱，为个人征信用户被盗和客户信息大量泄露埋下了巨大隐患

2016年8月，中国人民银行征信中心对某地方商业银行9家分行进行反馈，11名查询用户出现多条异常查询记录。经核实，上述查询用户在两个月内接到自称是总行科技部工作人员(后确认为冒用)的电话，以征信系统即将升级为由，要求核对相关征信人员的真实姓名、查询用户、密码。由于缺乏必要的信用信息安全和风险防范意识，相关工作人员如实提供了信息，以后不再修改用户密码。

截至征信中心发现异常并停止使用用户时，11个用户的非法查询数量已达到3万，造成了巨大的客户信息披露风险，严重侵犯了信息主体的合法权益。

随后，总行以各种形式向全行发出风险警示，并对涉及的征信人员采取了“候岗”、“扣发业绩”等各种措施。中国人民银行当地信贷管理部门也进行了专项调查，并根据《信贷管理条例》对涉案机构和个人进行了经济处罚和行政问责。

以上两起事件反映的问题

2

(1)对信用报告合规性关注不够，缺乏必要的合规教育和培训

面对同行业日益激烈的竞争，许多商业银行专注于业务发展和利润提升，对合规管理，尤其是征信合规管理不够重视。目前，一些商业银行(特别是一些地方金融机构)的信贷管理制度不完善，没有及时修订，违背了中国人民银行关于信贷管理的有关规定，不利于信贷岗位的落实。

此外，一些商业银行对信贷岗位人员没有重视信贷管理制度、法律法规的培训和必要的廉政教育，导致员工对规章制度的无知或理解不准确，缺乏信贷信息安全和风险防范意识。由于监管人员的故意或疏忽行为，导致大量客户信用信息泄露，不仅损害了信息主体的合法权益，也给其机构带来了合规风险。

(二)信用合规管理机制尚未建立，信用合规文化尚未形成

在一些商业银行的征信和系统管理工作中，经常出现制度让位于习惯、纪律让位于利益、管理让位于信任的现象，这与相关机构没有建立健全科学的信用合规管理机制，未能形成良好的信用合规文化密切相关。

一方面，一些商业银行信用信息合规管理体系建设存在盲点，缺乏有效的激励约束机制，对制度执行到位的员工不予奖励，对违规员工没有问责措施，使各种不良“苗头”得不到有效遏制和纠正，违规行为滋生蔓延。

另一方面，信用合规文化体系建设相对滞后，信用合规管理和合规运营尚未成为员工自觉遵循的价值标准，员工思想尚未从“我要合规”转变为“我要合规”，良好的职业道德和行为习惯尚未形成。

(3)征信前置系统未得到充分推广和使用，信用合规管理存在技术性“短板”

目前信用信息系统无法准确定位用户的IP地址。因此，一旦征信用户被盗或征信信息被泄露，就很难判断和认定盗用者进行非法查询的具体地点，锁定具体盗用者就更加困难。对此，中国人民银行总行要求各商业银行通过建立前端系统，加强对查询用户的管理，确保每次查询都能溯源到人。目前，时效性较强的全国性商业银行已经完成了前端系统的开发、安装和运营，而一些技术实力较弱的地方金融机构还没有开发出征信前端系统，使得征信合规管理难以开展，针对性不强，无法及时有效地防范和控制个人征信报告非法查询、征信用户被盗、个人征信信息泄露等风险。据我们所知，这些机构是个人信用信息违规查询和信用信息泄露事件的“高发区”和“重灾区”。

相关思维

三

一、更加重视信用合规管理，切实提高信贷岗位人员的合规能力

商业银行应更加重视信用合规管理，牢固树立“合规创造价值”、“合规就是财富”的理念，着力夯实信用管理的制度基础，做好合规教育和培训工作。

一方面要认真梳理现有的信用管理体系。根据《信用信息产业管理条例》和中国人民银行关于信用信息管理的其他相关规定，对现有制度和措施进行清理、废止、修订和补充，并将外部监管规则纳入内部管理体系，弥补制度设计中的缺陷，不断完善制度，并将相关制度报中国人民银行当地信用信息管理部门备案审查。

另一方面，要认真开展全方位、零死角的信用合规教育培训。在培训内容上，要重点加强《信用信息产业管理条例》、《金融信用信息基础数据库用户管理条例》、《个人信用信息基础数据库管理暂行办法》、《刑法侵犯公民个人信息罪司法解释》等基本制度和法规的细化解读。还应补充现实中各种违规操作导致客户个人信息泄露的负面案例，给予警示教育，确保征信人员对征信法律法规有深入了解和理解；在培训对象上，不仅要覆盖征信岗位的操作人员，还要覆盖征信领导部门和其他相关部门的中高层管理人员。在员工入职、转岗和交接时，要特别注意必要的政策法规培训，严格杜绝未经培训上岗的现象。

(2)探索建立科学的信用合规管理长效机制，形成信用合规管理的“硬约束”

商业银行应探索建立一套有效的信用信息合规管理长效机制，综合运用评估、自查自纠等方式。，及时有效地防范和控制信用信息披露风险。

一方面，信用合规管理应作为一项重要内容纳入日常评估体系。在具体评估内容上，应摒弃“是否发生实际经济损失”的单一评估标准，考虑引入信用管理制度和操作程序的建立、客户投诉、信用违法行为的发生、信用信息泄露或其他侵犯信息主体合法权益事件或案件的发生和处置、案件防控工作的实施等作为参考指标。

另一方面，要建立自查自纠的工作机制，促进信用信息系统安全、稳定、有序运行。商业银行信用信息系统安全、稳定、有序运行。商业银行征信牵头部门应会同信贷业务、合规管理、纪检监察等部门，定期对员工征信操作进行合规性内部检查和审计工作，并公布征信违规行为的监管和报告方式。对于检查审计中发现并经举报核实的征信违法行为，无论是主观故意还是过失造成的，都要明确直接责任人、管理责任人和监督检查责任人的相应责任，彻查、问责到位，发挥纪律和制度的威慑作用，保持案件防控的高压态势。

此外，商业银行应执行中国人民银行重大事件报告制度，建立信贷信息重大事件应急预案。当发生信用信息泄露或非法出售等事件时，应视为“重大事件”，及时向公安部门和中国人民银行当地信贷管理部门报告，及时处理风险和公众意见，防止相关事件的负面影响进一步发酵。

(3)大力推进信用合规文化建设，增强信用合规管理的“软实力”

信用合规文化作为合规文化的有机组成部分，是规范各种信用管理制度实施的共同价值和信念，以及由此形成的一套行为规范。征信合规文化的建立和传承可以对商业银行征信工作人员自觉从事合规经营形成显著的积极激励，从而增强商业银行征信合规管理的“软实力”，对促进商业银行稳健科学发展发挥积极作用。鉴于一个组织的高层管理者对整个组织文化的决定性影响，征信合规文化的建设首先取决于商业银行高层管理者的核心理念和价值取向。因此，商业银行高级管理人员应带头以身作则，主动认真研究相关信用管理制度，在全行积极倡导合理的征信理念。

此外，信用合规文化建设还必须有效解决信用岗位工作人员作为信用合规操作的具体执行者，对法律法规认识不清、执法不严的问题。商业银行必须坚持以人为本的理念，通过定期开展合规宣传、合规讨论、合规承诺、合规责任书签署等一系列丰富多彩的征信合规文化活动，不断加强征信合规的宣传、教育和指导，打造合规文化交流平台，以潜移默化的方式帮助员工树立正确的价值观和“法律第一、制度第一、纪律第一”的合规理念。 以便督促他们在日常工作中牢牢把握合规底线，确保获得各种征信管理系统

(4)尽快推广信用前置系统，填写信用合规管理技术“短板”

信贷前端系统是商业银行在访问信贷中心个人征信页面前进行安全防控检查，事后接受内部监控和管理的专门系统。前端系统的运行和使用可以为商业银行进行日常信用合规管理带来极大的技术便利。

因此，对于一些技术实力较强的商业银行，应加快适合自身业务系统的信贷前端系统的自主研发和推广。前端系统的功能应完整、完善，具体内容应包括信用授权管理、用户管理、查询管理、信息存储管理、异常行为监控管理和业务台账统计等。

此外，对于一些技术力量薄弱、业务系统简单的地方金融机构，建议总行征信中心开发一个功能简单实用的通用前端系统，帮助其弥补合规管理的技术不足。在用户安全登录方面，可以绑定机构个人征信用户和内部员工号，要求查询者同时使用统一查询用户密码和随机动态密码登录征信系统，有效防止用户被盗；信用查询方面，可以设置信用查询授权的上传和审核功能，确保每个查询要素完整、手续完备，杜绝未经授权的查询行为；在监控管理方面，用户的异常行为指标(如非工作时间查询、超阈值查询等。)可以设置适合该机构的，符合指标的用户可以及时停止，提交给用户管理员审核确认，将征信违规操作和信息泄露的风险由事后被动发现变为事前有效防范，事后及时阻断。

目标

声明:本公司尊重原作者的版权。我们会在文末标注作者和出处，只不过我们公司是原创，无法确认作者。文章版权归原作者所有。如果转载涉及版权问题，请在微信官方账号联系我们删除。非常感谢！