日本金融厅修订《金融机构信息技术治理对话论点与做法梳理》

2023年4月24日，日本金融厅（Financial Services Agency，下称“FSA”）修订《金融机构信息技术治理对话论点与做法梳理》。2019年6月，日本FSA考虑到国际环境和行业技术能力的变化，决定就“金融机构IT治理”作为主题与行业进行对话，推动金融机构将“信息技术”与“经营管理”相结合，更加高效地创造价值。

20世纪90年代，日本经济泡沫破灭，日本银行业和证券业将金融产品和服务向多方面扩展以谋求生存，复杂的业务流程使需要处理的信息量急速增长，信息技术系统规模日益庞大。同时，根据系统的生命周期，规划、开发、管理、运营的业务细分化，业务外包的情况也更加普遍，外包比例有所上升。

积累的技术发展经验。一直以来，金融机构的IT管理以信息技术治理为中心，形成了系统规划、开发、运营、管理、信息安全管理等各阶段的管理体系，在各方面积累了保障系统稳定性的实践经验。

当前治理工作略显片面。目前，金融机构信息技术部门和IT风险管理部门倾向于将工作重点放在维护现有系统上，或者只处理系统整合和系统故障等个别问题上。

传统监管方式存在不足。虽然FSA强调通过厘清问题本质来提高IT治理水平，但传统检查侧重于个例部分事项的事后核查，虽然完善了信息技术管理体系，但也在一定程度上阻碍了内部管理合理性和效率提升。

用户需求的变化。金融机构为了满足用户愈加复杂的金融服务需求，基于自身经营战略和资源禀赋，迫切需要对IT系统进行适当且有效的完善工作。

社会发展的要求。金融机构还被政府要求担负起振兴当地经济、应对老龄化社会、推动数字化社会等社会责任，要求其为日本当地提供数字化支持等非金融领域的服务。

IT战略的重要性不断提高。金融机构的IT发展战略对经营战略的影响愈发关键，并已经呈现出左右金融机构商业模式的重要内容，部分金融机构已经将经营战略和IT战略进行统一考虑。而IT条线的管理人员如何使IT与经营战略相匹配，为机构构建良好的运行机制，对金融机构发展至关重要。

如果IT治理工作出现问题，金融机构可能面临三大问题：IT管理受阻导致系统无法正常运行；IT管理能力与自身资源禀赋不匹配导致机构不健康发展；与非金融领域机构竞争时产生的转型阵痛（例如部分机构的互联网转型战略或者互联网人才吸收战略）。

综上，FSA认为金融机构在推进IT治理工作改进的过程中，不仅需要考虑如何运用IT能力解决用户需求，还需要从稳健发展、社会整体数字化趋势等角度出发，探索适合自身的发展转型之路。

FSA认为，IT治理指的是IT战略、数字化转型战略和经营战略的相互协调并实现机构价值的整套机制，因此不仅应当包括内控管理的部分，还需要考虑到对业务能力的提升。此外，IT治理机制建设和完善的过程中，明晰的建设思路和不畏失败的文化属性都是相当重要的。

FSA在与行业多家金融机构进行交流和沟通后，基本明确了现阶段经营战略，IT战略和数字化转型战略之间的关系，形成了相关实践建议：

• 制定管理战略。首先，金融机构需要制定可持续的商业模式管理战略（包括公司范围内的业务战略），明确未来的业务调整、文化转型、IT和数字化人才的培养制度等。

  
  

• 制定IT战略和数字化转型战略。结合相关目标和制度，金融机构制定核心系统更新和下一代系统体系建设等IT战略，然后基于经营战略和IT战略，规划现有业务的革新和商业模式变革等数字化转型战略。同时，为了实现数字化转型战略，有时可能需要反过来微调核心系统、数据基础设施相关的IT战略。

  
  

• 此外，IT治理还包括构建职能部门，IT资源，IT投入管理流程和IT风险。在大型金融机构中，IT战略由IT部门作为制定和管理的主体，数字化转型战略则由数字化转型部门或业务部门牵头推进，形成有效的资源流动。同样的，根据金融机构规模（主要是中小金融机构）和自身特性，数字化转型战略有时会纳入到IT战略中，将IT部门和数字化转型推进部门融为一体的组织体制可能会更有效率。

除了保证安全、稳定运行系统的IT管理外，IT治理可以将IT与管理战略和业务战略相协调以实现机构发展目标。

在2021财年的IT治理调查结果报告中，FSA基于金融机构在数字化转型上的做法，初步描绘了行业数字化转型蓝图。FSA还和这些金融机构就转型细节进行深入探讨，整理了转型成功的重要因素（部分内容如下表）。在新冠疫情影响下，日本部分金融机构通过无纸化、开发优化手机App、提供新型硬件级防护设备的方式快速推进数字化转型；部分大型金融机构已经探索出差异化的数字化转型路径。

在平台业务、非金融领域新业务上，部分金融机构采购信息技术产品或者与信息技术服务机构合作共创数据服务成为近几年商业化重点。而金融机构还需要完善相关决策程序来选择最符合经营战略的服务产品和服务机构。

要从众多的选择中找出最符合经营战略的产品和外部经营者，金融机构必须在组织内获得和积累切实的知识，并建立决策程序。

尽管日本资本市场环境与境内存在较大差异，但其在经营战略、IT战略和数字化转型战略的讨论内容仍然有许多地方值得境内经营机构参考。

IT风险的管理和控制：在网络环境威胁不断增加、针对金融网络的攻击导致了客户信息泄露、资产被盗和业务暂停等损失，管理层要想顺利、高效地推进IT战略和数字化转型战略，就需要审慎评估数字化技术带来的网络安全风险，建立健全相对应的风险管理制度，有效控制风险。

发挥“内部影响力”：一直以来，大部分经营机构对“管理层”和“IT系统”之间关系的认知囿于“管理层指挥IT系统发展方向”“管理层审慎管理IT系统建设”等“领导”作用，忽略了管理层作为企业高层所具备的“内部影响力”。因此，管理层不仅需要制定IT战略，还可以通过内部宣讲、培训、活动等方式加强内部员工对IT战略、数字化转型战略的信心。

提高IT知识和数字化能力：如果管理层没有正确认识到技术系统更新迭代的真正价值，在技术优势和升级蓝图一知半解，就无法在内部员工心中树立起对IT战略、数字化转型战略的信心，从而对IT战略和经营战略的协同关系产生负面影响。

配套制度的升级改进：业务流程的优化和人力制度的改进也是管理层确保经营机构内部数字化能力的重要方式，并以此为基础逐渐形成具有数字化基因的企业文化，提高内部协同效率。

IT战略的制定：在IT战略的制定过程中，需要确定系统更新路线、新兴技术使用场景、信息安全等策略方针。例如，集中式系统和分布式系统的使用方式，IT系统运行所必需的软件、硬件（服务器和网络等），云平台开发，数据治理（数据中台建设、数据报送等）和API技术等在数字化转型不同阶段的推进力度。

数字化转型战略的制定：在数字化转型战略的制定过程中（主要是大型经营机构），为了提高业务盈利能力和寻求商业模式变革，经营机构可以探索诸如渠道升级、业务创新、营业网点数字化、优化客户体验、商品和服务交叉销售、新业务开发等战略领域，并制定中长期的发展规划图。

业务和转型阶段的适配：为了IT战略能够适当地推动经营战略，经营机构可以根据现有IT系统、自身资源禀赋定期进行重新评估和调整IT战略，以实现和经营战略的最佳协同。

以多种方式确定相关职能部门：在金融机构的传统运行模式上，IT部门主要解决业务部门需求，是一种比较单一的组织结构。随着IT战略和数字化转型战略的推进，经营机构有必要通过培养和指派负责系统规划和开发的负责人、部门、子公司等方式，基于专业的数字化和信息安全观点设计和构建适当的职能管理能力。

明确沟通机制和权责分配：无论选择何种方式确定IT和数字化转型的职能安排，但在IT战略与经营战略相结合的过程中，相应的职能组织都需要明确管理层、IT部门和业务部门在系统规划、开发、数字化、运营管理的沟通机制和权责分配。

敏捷开发的保障：在推动服务创新和数字化转型的过程中，为了实现敏捷开发，职能部门需要注意以管理层为核心的推进机制和跨部门协同机制，并将方法、策略、工具选择、开发环境等进行标准化，避免出现无法管理和同步的开发项目。

快速响应、提供解决方案：数字化转型的另一关键点是快速响应、提供有效的解决方案。因此，除了开发规划和项目设计，职能部门还需要在项目管理和开发测试方面形成一套完善有效的机制。同时，在经营机构与信息技术服务机构合作日益密切的背景下，经营机构有必要完善从项目合作策划到快速落地实施的管理机制。

人力资源方面：由于信息技术和开发方式的快速发展，金融科技人才的专业要求也日益增高，经营机构的传统技术人员无论是数量还是专业能力在金融科技发展面前不免捉襟见肘；另一方面，尽管大部分经营机构长期保持了对金融科技人才较大的招聘力度，但金融科技人才明显供不应求，招聘市场的竞争也日趋激烈。因此，经营机构需要进一步明确职业定位，具体定义实现IT战略和数字化转型战略所需要的技能，再结合内部计划培养IT人才和数字化人才，外部吸收和内部培养双管齐下，切实提高金融科技人才和自身经营战略的契合程度。

技术资源方面：正如案例内容所述，经营机构在应用新技术时，要考虑新兴技术带来的网络安全风险，还要考虑不采用新技术可能带来的机会损失，有效运用API、人工智能、云等技术可以大幅降低相关流程成本，探索的数据价值也可以在提供服务时获得更多业绩收益。但是，如果经营机构仍然长期以“紧耦合”系统架构运行，则可能阻碍新技术的运用，那么经营机构可能需要考虑先对系统架构进行升级改造。

资金投入方面：为了平衡现有系统正常运行和新技术开发之间的关系，合理的IT预算非常重要。因此，经营机构应该根据自身IT战略，考虑多种方案的情况下合理分配IT预算，确保资金投入切实有效。

投资前：在IT投入方面，经营机构首先需要制定IT战略、数字化转型投资的中期规划和年度预算，并建立一个能够快速执行整个公司战略项目的起草、审议和投资决策流程。

投资中：在数字化转型推进过程中，经营机构会遇到由于创新性高，难以预测业务模式能否落地的项目，这些项目有时会在PoC（概念验证）阶段停止，其中原因有：①系统上可行，但市场规模较小；②难以制定可持续服务的价格；③与核心系统对接的功能开发成本高；④需要遵守的法规和机构内部程序造成门槛较高。为了应对这些挑战，经营机构可以在项目推进前根据业务目的设定KPI，并在该KPI中规定退出标准，允许没有成果的情况下中止项目。

投资后：经营机构如果在PoC阶段过于依赖特定的技术服务商，在将业务模式落地时，有时不得不向该技术服务商采购。因此，经营机构在PoC阶段时从策划到试验都尽量自主研发，或者考虑采取不过度依赖技术服务商的机制等对策。这也为了在决定将项目业务模式落地时，在进行系统设计、开发的前期阶段，留下重新选择采用的核心技术和委托方的空间。