新加坡MAS TRM外包IT与网络安全合规清单

简而言之： 新加坡金融管理局（MAS）的科技风险管理（TRM）指引与外包指引，规定了MAS期望受监管金融机构如何治理科技风险与第三方安排——但相关责任始终落在你的机构身上，而不是你所聘请的IT或网络安全供应商。把IT外包出去，并不会把这份责任也一并外包出去。真正的准备工作来自签约前的尽职调查、具体的合同承诺（安全标准、事故升级时限、审计权、分包商披露），以及持续进行的外包风险评估——而不是供应商宣传页上的说辞。本清单将带你梳理，在为新加坡金融业务外包IT或网络安全服务前，应确认哪些事项。

几乎每一位新加坡金融行业的IT或合规负责人，迟早都会问出类似的问题："如果我们外包的IT供应商发生停机或数据泄露，这会给我们带来MAS方面的问题，还是供应商自己的问题？"务实的答案通常是——这通常*仍是你需要管理的问题*。MAS的指引建立在这样一个原则之上：受监管机构的董事会与高级管理层，始终对科技风险与第三方风险负责，无论实际运营基础设施的是谁。这意味着，供应商的挑选、合同条款拟定以及持续监督，本身就是一项治理与合规决策，而不仅仅是采购决策。本指南不构成合规或法律意见——MAS的具体要求取决于你机构的牌照类型、该安排的重要性程度，以及MAS不时更新的规定，任何实质性判断都应与你的合规主管或合资格律师确认——但它能为IT与合规负责人提供一份面向供应商、可直接使用的实用清单，用于在签约前评估一家外包IT或网络安全服务商。

外包IT时，MAS TRM到底要求什么？

MAS的科技风险管理框架是原则导向而非狭义的清单式规定：它对董事会与高级管理层在科技风险方面的监督、成文的风险管理框架、系统可靠性与韧性、访问控制与系统安全、数据防泄露，以及应对不断变化威胁态势的网络韧性提出了期望。与TRM并行的是MAS的外包指引，规范机构应如何评估、批准、订立合同并持续监控由第三方代为履行职能的安排——这涵盖了绝大多数管理型IT与网络安全服务。

一个重要的结构性事实是：MAS的期望通常落在受监管机构身上——也就是你的企业，作为MAS监管的对象——而不是直接对你委托管理服务器、终端、网络或安全监控的供应商施加法定义务。实际操作中，这意味着MAS期望*你*已经做好了充分的尽职调查，在合同中拥有能够管理供应商关系的权利，并在日常运营外包出去的情况下，仍保留内部监督能力。一旦供应商的系统出现问题，MAS与你自己的董事会通常首先会要求你的机构作出解释，而不是供应商。把IT外包出去，改变的是谁在实际操作这些技术，而不会把背后的风险管理责任也一并转移出去。

这也是为什么"我们的供应商通过了ISO 27001认证"是一个有用的信息点，但本身并不等同于MAS TRM层面的准备就绪。认证反映的是供应商整体的安全水平，但并不能告诉你，供应商能否满足你机构具体的事故升级期望，你的合同是否赋予了你审计权，或者一个你从未被告知的分包商安排会如何影响你的风险状况。这些问题，只有你做的尽职调查和你签署的协议本身才能回答——而不是供应商网站上的一枚认证徽章。

你应该对外包IT或网络安全供应商提出哪些尽职调查要求？

在评估某一家具体的托管服务供应商之前，先弄清楚一家具备MAS意识的供应商在日常运营中应该已经遵循的实际标准会很有帮助。根据我们在新加坡金融行业服务合规敏感客户的经验，以下是评估任何一家管理型IT安全服务供应商时值得确认的基线要求：

• 一份你可以真正审阅的成文安全态势文件。 不只是一枚认证标志，而是涵盖访问控制、补丁更新周期、漏洞管理与加密标准的政策，且你可以索取并阅读。
• 基于角色、可追溯到具体个人的访问权限。 工程师应使用自己的账号登录，权限范围应限定于该项目真正需要的内容——而不是共用的管理员凭证，或对每一个系统"以防万一"式的全面访问权。
• 明确的责任对接人。 供应商内部要有专人负责你账户的安全与风险相关问题，而不是一个缺乏事故连续性的轮值式服务台队列。
• 分包商与境外支援的透明度。 如果供应商使用自己的分包商、境外交付中心或第三方工具，你需要知道具体是谁，以及你的系统或数据是否会经过他们。
• 可证实的事故侦测与监控能力。 足以真正快速侦测到事故的安全日志记录与监控——一家连"事情发生在什么时候"都说不清楚的供应商，无法帮你满足自身的升级通报义务。
• 可信的业务连续性与灾难恢复计划。 要求实际查看，而不只是被告知它存在——包括与其为你管理的系统相关的恢复时间目标。
• 财务与运营层面的稳定性。 供应商自身的韧性同样重要：一家财务不稳定或人手单薄的供应商，本身就是一项值得评估的集中度与连续性风险。
• 愿意配合你的审计与检查权。 一家对你或你的审计方提出的合理查阅要求心存抵触的供应商，本身就说明了它在真实事故中会如何应对。

以上这些其实都不算特别的要求。它们大多已经是标准管理型IT与云端解决方案实践的一部分——尽职调查的意义，是确保这些做法被证实并可核查，而不是单凭供应商宣传材料看起来专业就假设它们存在。

你的外包合同应涵盖哪些内容才能符合MAS的期望？

供应商的内部做法，只有在同时成为你能够执行的合同承诺时，才能真正保护你的机构。在审阅或谈判一份需要考量MAS外包指引的IT或网络安全外包协议时，请至少确认合同涵盖以下各项：

• 明确的范围与目的条款。 供应商可以访问哪些系统与数据、出于何种目的，并明确禁止其他用途。
• 具体、可核查的安全承诺。 加密标准、访问控制要求、补丁更新周期与漏洞管理——而不是"合理"或"行业标准"这类事后难以执行的含糊表述。
• 分包与再委托条款。 有权知悉、并在大多数情况下批准供应商使用的任何分包商或境外团队，并要求同等标准也适用于这些分包商。
• 具体的事故升级与通报时限。 供应商在发现疑似安全事故或重大服务中断后必须多快通知你——而不是含糊的"在合理可行的情况下尽快"。
• 审计与检查权，包括在必要时是否能够配合你的机构、你的审计方，或MAS及其委任代理的查阅要求，这与MAS外包指引对重大外包安排的一般期望相符。
• 业务连续性与退出计划。 若合作关系终止，或供应商无法继续履约，应有明确的过渡流程，包括数据返还、删除与服务连续性安排。
• 与风险相称的责任与赔偿条款，应结合你机构实际面临的风险协商，而不是照单全收通用条款。
• 确认系统与数据的托管与处理地点，以便你评估集中度与司法管辖区风险，并在董事会、审计方或监管机构问及时能够作答。

如果你现有的供应商合同没有涵盖上述大多数内容，这并不必然意味着供应商实际操作有问题——但这确实说明，供应商在实际运营中可能已经在做的事，与你的机构能够*证明*自己做到了的事，之间存在一道缺口，一旦内部审计、外部审计方或MAS问起，这道缺口就会显现出来。

事故通报责任在谁——你，还是你的供应商？

这是合规负责人最先会问的问题，而诚实、务实的答案是：向MAS通报相关事故的责任，通常落在你的受监管机构身上，而不是你外包的供应商。MAS的通知与指引，针对不同通知类别与机构类型，规定了金融机构通报相关事故的具体时限要求——具体的时限与门槛，载于适用于你机构牌照类别的具体MAS通知中，我们建议你与合规部门确认当前的具体要求，而不是依赖一份笼统的概述，因为这些细节可能会被MAS不时更新。

这在实际操作中意味着：你的供应商并不承担你向MAS通报的义务——但一家无法足够快侦测并向你升级通报事故的供应商，会让你无论理论上的通报时限是多少，都无法满足*你自己*的义务。你的事故响应计划不能止步于"打电话给供应商然后等待"。你需要提前知道，出事时供应商那边的对接人是谁，他们依合同有义务向你提供哪些信息、多快提供，以及是谁在负责你的管理型IT安全服务全天候覆盖——这样一旦发现疑似事故，能立即升级处理，而不是几天后才在例行报告中被发现。一家连"如果今晚发生这种情况，你们会如何、多快告诉我们"都答不上来的供应商，说明它其实还没有认真思考过自己在你的监管风险中所承担的那一部分责任。

应如何按照MAS的指引评估外包风险？

MAS的外包指引通常期望机构在订立外包安排前，评估该安排的重要性程度——广义而言，即该安排对你机构运营的重要程度，以及若供应商未能履约或出现中断会造成什么后果。针对IT或网络安全安排的重要性评估，通常会考虑以下几个方面：

• 被外包的职能，对你机构核心运营与面向客户的服务有多重要？
• 若供应商发生长时间停机，你现实的恢复时间是多少？
• 该安排是否造成风险集中——例如，同一供应商是否还负责其他关键职能，形成单点故障？
• 若合作关系需要终止，是否有可信的退出计划以及现实可行的替代供应商或内部备援方案？
• 该安排是否涉及跨境数据流动或境外支援，从而为你的风险状况增加司法管辖区层面的复杂性？

机构通常会对被评估为重要的安排，投入更严格的尽职调查、合同保障与持续监控，而MAS的指引期望这项评估被定期重新审视，而不是在签约时做一次就束之高阁。应把外包风险评估当作一项持续进行的工作，与合同续签、供应商变更以及自身运营的重大变化挂钩——而不是一项一次性打钩了事的合规任务。

内部IT团队 vs 通用型MSP vs 新加坡本地总部MSP：哪种真正能降低你的MAS TRM风险？

新加坡的金融机构在评估外包IT时，通常是在三种结构完全不同的责任模式之间做选择，而MAS TRM层面的风险敞口在每一种模式下的表现都不一样。

内部IT团队 vs 通用型MSP vs 新加坡本地总部MSP

• 内部IT团队——对科技风险决策拥有完全的直接控制权，无需与第三方谈判合同条款。代价是，一支小型内部团队往往没有足够资源维持一家运营良好的托管服务供应商标配的全天候监控水平、补丁更新节奏与网络韧性测试，而任何单点故障（比如一位关键IT人员离职）本身就会成为科技风险。这种模式最适合那些拥有足够人手与预算、能真正建立内部安全与韧性能力的机构，而不只是配备一名通才型管理员。
• 通用型境外／海外MSP——通常价格较具竞争力，但往往在支援人员与基础设施具体位于何处、涉及哪些分包商、以及新加坡特有的事故要跨时区多久才能升级处理等问题上语焉不详。合同模板有时完全套用自另一司法管辖区的监管框架，这意味着你机构在MAS相关尽职调查中所需的具体条款可能根本不存在。这种模式在运营层面仍然可行，但会把更多合规负担转移到你自己的合同谈判与持续监督上。
• 新加坡本地总部MSP（Brocent模式）——在新加坡拥有实际运营据点与可问责工程师的供应商，熟悉金融行业客户的实际期望以及新加坡的监管环境，能够指定具体的事故对接人，并且其架构本身就将上述合同条款作为标准配置，而非需要额外争取的特例。这不会消除你机构在MAS指引下的根本责任，但确实能显著降低那些真正造成风险敞口的实际缺口——未披露的分包商、跨时区导致的迟缓事故升级，以及含糊不清的安全承诺。

我们最常见到的错误，是把这个选择简化成纯粹的价格比较。一份明显更便宜、却答不上上述合同条款与事故升级问题的境外报价，其实并不是同一款产品换了个价格标签，而是一种完全不同的风险状况，搭配着一份类似的云端解决方案价格标签。

你的MAS TRM实用清单：签约前需要确认哪些事项？

在签署或续签一份IT或网络安全外包协议前，建议直接与供应商逐项过一遍这份清单：

• 索取书面的安全政策——不是一份通用的单页文件，而是具体涉及访问控制、补丁更新、监控与分包商使用的文件。
• 确认谁能访问你的系统与数据，以及这些访问是如何被记录的。 要求实地演示，而不只是书面声明。
• 就分包商与境外支援问题要求直接答复。 如果供应商使用它们，问清楚具体是哪些、位于何处，以及它们能看到哪些数据。
• 把具体的事故升级时限写进合同，而不是含糊的"及时通报"条款。
• 书面确认加密标准与访问控制，而非仅凭口头承诺。
• 要求查看供应商的业务连续性与灾难恢复计划，包括与你的系统相关的恢复时间目标。
• 确认你的审计与检查权，包括在必要时是否能够配合MAS或其委任代理的查阅要求。
• 问清楚合作关系终止时你的数据与系统会如何处理——过渡支持、数据返还、删除，以及你如何核实。
• 确认供应商是否理解你机构具体的监管背景——一家受MAS监管的银行、保险公司或资本市场服务牌照持有人，其要求不同于一般中小企业。
• 对该安排进行（或更新）重要性评估，并在续约时或范围出现实质变化时重新审视。
• 书面获取当前的价格与服务范围，再拿一份合规到位的报价，与一份可能遗漏上述若干项目、但价格更低的报价做对比——参考当前公开价格作为对等基准。

如果一家意向供应商无法清楚而自信地回答上述大多数问题，这本身就是一条有用的信息，说明它真正遇到事故时会如何应对。

常见问题

MAS TRM合规责任在我们公司，还是在我们的IT供应商？

一般而言，责任在你的公司。MAS的科技风险管理与外包指引是针对受监管机构制定的，而不是直接针对第三方供应商。一份有力的合同可以通过具体条款，把运营层面的责任与财务后果分配给你的供应商，但无法把你机构对MAS的根本责任转移出去。这正是为什么供应商尽职调查与合同条款，与供应商日常的安全实践同等重要。

MAS TRM是否适用于新加坡的所有企业，还是仅适用于受监管的金融机构？

MAS的科技风险管理与外包指引，是针对MAS监管的实体制定的——银行、保险公司、资本市场服务牌照持有人，以及其他受其监管的金融机构。如果你的企业不是受MAS监管的实体，这些特定指引不会直接适用于你，不过供应商尽职调查与安全方面的一般良好实践，仍适用于任何企业。如果你不确定自己的实体是否属于适用范围，这值得与你的合规部门或法律顾问确认，而不是自行假设。

MAS TRM指引与MAS外包指引有何不同？

大体而言，TRM指引侧重于科技风险治理本身——系统可靠性、网络韧性、访问控制与数据安全；而外包指引则专门聚焦于机构应如何评估、订立合同并监控由第三方代为履行职能的安排。在实践中，二者在外包IT与网络安全服务方面高度重叠，因为大多数管理型IT安排正好处于这两套期望的交汇点上。

事故必须在多快时间内通报MAS？

这取决于适用于你机构牌照类别的具体MAS通知，确切的时限与门槛载于这些通知中，而非一条统一的规则。由于这些要求可能会被MAS更新，我们建议与你的合规主管确认当前适用的时限，而不是依赖一份笼统的概述——并围绕已确认的时限，来搭建供应商的事故升级承诺。

我们的数据是否必须实际存放在新加坡境内？

新加坡并未一概要求所有数据只能存储在新加坡境内，但跨境处理确实会为事故响应、审计以及回答董事会或监管机构关于数据流向的问题增加复杂性。请与供应商确认你的数据与系统具体会经过哪些司法管辖区，并把任何跨境要素当作需要主动管理与披露的事项，而不是可以忽略不查的细节。如果你的机构受MAS TRM之外的行业特定要求约束，还应确认这些要求是否叠加了额外期望。

如果我们的供应商发生停机或安全泄露，会怎样？

你的机构通常仍是MAS与你自己的董事会首先会要求作出解释的一方，无论实际造成事故的是谁的基础设施或人员。选择一家治理良好的供应商，并签订一份有力的合同，并不能消除这份根本性的责任，但确实能降低事故发生的可能性，并通过赔偿条款、责任条款与协作义务，为你提供合同依据，在供应商确实存在过错时把后果转嫁回供应商身上。应立即通过合同中指定的对接人升级处理，边处理边记录时间线，并尽早让合规部门介入，而不是等待供应商自身调查结束。

我们应该多久重新评估一次外包风险与供应商的MAS准备情况？

应把这当作一项持续性的关系管理事项，而不是签约时一次性完成的工作——至少应在合同续签时、供应商更换分包商或境外安排时，以及自身机构风险状况出现实质变化时（新增系统、新类别的客户数据、牌照类型变更），重新审视你的重要性评估与供应商清单。许多新加坡金融机构会把这项工作纳入年度供应商评估，与更广泛的IT与安全评估一并进行。

规模较小的金融机构或金融科技公司，在外包IT时是否仍需考虑MAS TRM？

如果你的实体受MAS监管，相关指引同样适用，无论规模大小，不过MAS自身的指引也承认，风险管理的规模与严谨程度应与机构的规模、复杂程度以及特定安排的重要性相称。规模较小的机构在外包核心IT与网络安全职能时，仍应进行适当的尽职调查，并持有有意义的合同保障——相称性影响的是你的流程需要多精细，而不是这些基本原则是否适用。

第一次就把供应商尽职调查做对

这一切的重点，并不是找到一家完美无瑕的供应商，而是确保你所做的尽职调查与签署的合同，真正反映了MAS指引本已赋予你机构的责任。无论你是在评估现有供应商，还是正在为新加坡金融行业IT支持挑选新的候选名单，都建议逐条对照上述清单，要求书面答复而非口头承诺，并把供应商是否愿意把具体、可核查的承诺写进合同，本身视为一个有意义的信号。将其与核心服务配套——由新加坡本地团队交付的管理型IT安全服务与云端解决方案——你的整体位置会比单看价格所显示的稳健得多。如果你希望逐项检视现有供应商合同，或按本清单评估候选名单，欢迎联系我们，我们会结合你机构具体的系统与监管背景，携手我们在当地的新加坡IT支持团队为你梳理。

本指南为评估外包IT与网络安全安排的金融机构提供一般性、实用性的参考信息，并非合规或法律意见。MAS的具体要求取决于你机构的牌照类别、该安排的重要性程度，以及MAS可能不时更新的规定；任何实质性判断，在依据本文采取行动前，请与你的合规主管或合资格法律顾问确认。