二、实施商业银行信息资产风险管理的措施
1.要有前瞻性的信息资产风险管理设计战略。 即首先要建立集中统一的面向业务目标的端到端的信息资产战略及解决方案。其包含的主要内容有：支持业务战略的明确的信息资产战略；以优化的技术方案实现业务功能；弹性的、灵活的信息资产基础设施；信息资产投资计划、信息资产规划和管理。尤其是信息系统的设计要具有超前眼光，能支撑起银行未来的业务发展。因此，总行领导和相关信息资产主管必须具备非凡的洞察力和专业胜任能力，必须明确当前和未来客户的类型及需求特征。
此外，总行应对财务管理信息系统实行统一核算模式，打破原来财务系统按部门或地区分割的模式，总行的信息管理要随时能够反映和监控全行所有部门、所有网点的运营状况。
2.建立适应客户需求变化的信息资产风险管理统一框架。 内容包括风险管理框架的统一设计；风险管理业务及信息技术流程的建立；信用风险管理、资产负债管理、反洗钱及智能预警等信息资产系统的建立和实施。还包括全面支持核心业务能力和全行风险管理、全行单一的客户视图及多渠道整合解决方案；面向服务架构(SOA，Service-or-ientedArchitecture)的信息资产系统设计；提供强大的新产品创新支持等。
在完成信息资产系统基础设施的集中后，商业银行的业务流程整合、业务信息整合、应用整合和业务控管应进一步向总行、省行集中。实施优质资源的整合，提高风险管理的整体经济效果和效率。
3、建立与现代银行治理结构相对接的信息资产风险管理规范。 随着银行业务跨地区跨国家的发展和银行客户业务的日趋复杂化。银行承担的责任和风险也日益加大，尤其是信息资产的风险日趋集中，那么有效的内部控制系统和公司治理规范就成为化解银行风险的有效工具。
因此，根据国内外关于银行公司治理的规范要求，建立运行有效的内部控制制度，提高信息透明度和受托责任问责机制。加强常规性的风险管理，是保证银行稳健经营的根本保证。根据IMF发布的公告，内部控制是一套按持续性基础控制组织活动的机制，这些活动来自组织的中心、部门或分部，有效内部控制的关键元素是牢固会计和信息系统的有效运行。并拥有良好的适应性的控制文化。
商业银行信息资产风险管理应根据相关法规的要求，建立有效的激励约束机制，按照股东大会、董事会和监事会等机构的职能和性质，构建多重防御体系，并将风险监控和增强信息透明度相结合，综合运用现场检查、非现场分析与评价、发布规章指引、强化市场约束等手段，提高风险管理水平。
4.设立信息资产风险管理监控指标。 首先对银行业务过程按照控制规范的要求，进行风险控制点的分解，并设立相应监控指标作为风险预警信号，由系统自动检查和评价，并在状态异常下自动报警。主要指标可分为三类。分别是关键业绩指标KPIs(key perlormance indicators)，过程主管指标POIs(process owner indicators)and风险分析指标RAIs(risk analytical indicators)，这三类指标可持续适用于银行业务微观过程和交易方法，并通过比较银行风险点监控目标与实际指标的差异，来加强信息资产过程控制。
如可将银行信息资产风险管理监控过程划分为一体化监督控制、审计跟踪、风险分析和履约事项监控等过程，每个监控过程通过包含信息自动更新的现场知识管理系统实施在线评价和过程审计，以促进银行业务内部规则的沟通和过程变革的管理。
各风险控制点指标由过程监控人采集，并负责进行资产风险管理等级划分和报告，风险控制点主管按照事件发生的概率评价各风险程度和预计损失大小，这种信息被及时传递到相关业务决策部门，以帮助银行各级部门提前作好风险防范。
5.加强对信息资产风险管理的过程审计和风险验证。 银行可在信息系统当中。对信息资产风险管理(风控网)的各环节设立微处理器进行记录和控制。银行内部审计师使用微处理器的步骤作为审计清单。并评价过程负责人所作的风险自我分析，评估执行的过程，和风险自我分析的准确性。这种方法有利于审计师及时跟踪重大风险和异常状况。提高审计的成本效益比。
如银行的经营风险矩阵可按0到5五级风险矩阵排列，这种风险评级要求有风险因子概率和潜在的损失数量。并按照银行的风险分类调整这些数字，对业务线的风险水平作出估计。一旦按业务线的估计完成，一张风险及其暴露表就生成。按照巴塞尔协议计算的资本分配条款及其风险大小也自动显示出来，这些风险分析及分解方法是重要的审计计划和审计资源分配工具。
银行可将业务处理的广泛文件记录都分解给不同的微处理器。使用这些微处理器作为控制工具的一个前提是这些微处理器的发布都在公司的内部网上。这些微处理器的图示可描绘风险结构中的不同风险，并进行风险预警。
最近更新