1. 引言

过去二十年来，金融服务领域经历了深刻的结构性变革。曾经在内部开发并维护大部分运营能力的机构，现在已习惯于依赖第三方供应商来提供云计算、支付处理、了解您的客户 (KYC) 验证、网络安全、核心银行系统以及广泛的辅助服务。COVID-19 疫情加速了这一进程，迫使各机构通过第三方提供商快速采用数字渠道和远程办公基础设施 [1]。

 

这种依赖创造了战略优势：获得专业技术、可扩展性以及成本效率。然而，它也引入了运营、法律、声誉和系统性风险，引起了各司法管辖区监管机构日益增长的担忧。从 2012 年的 Knight Capital 技术故障到 2023 年影响数十家金融机构的 MOVEit 供应链漏洞，这些高调事件凸显了第三方事件演变为系统性中断的潜力 [2]。

 

在此背景下，银行和金融服务业的采购工作已得到重构。传统的采购职能——任务是获取成本最低的商品和服务——正被更广泛的供应商治理职责所取代，其涵盖了监管合规、风险评估、信息安全监督和运营韧性规划。本文探讨了这一演进的关键维度，审视了塑造第三方治理的监管架构，以及机构为合规必须部署的运营框架。

 

2. 监管格局

2.1 《数字运营韧性法案》(DORA)

《数字运营韧性法案》(DORA) (Regulation (EU) 2022/2554) 于 2023 年 1 月由欧盟采纳，并于 2025 年 1 月起适用，是迄今为止金融服务 ICT 风险管理领域最全面的监管干预。其目标是统一欧盟成员国之间的规则，规范包括银行、保险公司、投资公司和加密资产服务提供商在内的金融实体如何管理其 ICT 系统的数字运营韧性，并特别关注第三方 ICT 风险 [3]。

 

根据 DORA，金融实体必须维护一份所有 ICT 第三方服务提供商的登记册，并按重要性进行分类。关键第三方提供商 (CTPP) 受欧洲监管机构 (ESA)（包括欧洲银行管理局 (EBA)）管理的新型监督框架的约束，这些机构可以对这些提供商进行直接检查和审计。这代表了一种根本性的转变：监管机构不再满足于仅要求金融机构承担责任，现在他们对供应商本身行使直接监督权 [4]。

 

对于采购职能而言，DORA 提出了强制性的合同要求。与 ICT 第三方提供商签订的书面合同必须包含关于服务水平、审计权、数据位置与可移植性、事件报告义务、终止权和退出策略的条款。关键在于，DORA 要求金融实体确保其 ICT 提供商组合中的集中度风险得到识别与管理，并确保它们能够测试在不中断运营的情况下退出关键业务安排的能力 [5]。

2.2 OCC 关于第三方关系的指引

在美国，货币监理署 (OCC) 长期以来就银行管理第三方关系建立了预期。由 OCC、美联储和 FDIC 于 2023 年联合发布的跨部门指引，将先前的指引合并为适用于所有第三方关系的统一框架，而不仅仅是“关键”关系 [6]。该指引确定了关系生命周期的三个阶段——规划、持续监控和终止——并明确指出，机构必须根据每项关系所构成的风险水平进行基于风险的尽职调查。

 

OCC 框架明确了董事会和高级管理层的责任。采购活动从一项运营职能提升为治理事项：董事会被期望批准管理第三方关系的政策，审阅关于重大安排的定期报告，并确保投入足够的资源进行监督。这种治理架构将采购决策与机构的风险偏好和战略目标相一致，而不是将供应商选择视为纯粹的商业行为 [7]。

2.3 FCA SYSC 8 与英国外包制度

在英国，金融行为监管局 (FCA) 的《高级管理安排、系统和控制》手册——特别是第 8 章 (SYSC 8)——规范了获授权公司的外包行为。SYSC 8 要求公司不得以严重损害内部控制质量或损害 FCA 或 PRA 监督公司能力的方式进行外包。这些规则规定了维持对外包职能的监督、确保提供商达到同等标准并保持服务连续性的职责 [8]。

 

继《EBA 外包安排指南》(EBA/GL/2019/02) 发布并于脱欧后并入英国监管实践以来，英国金融机构现在必须进行广泛的外包前评估、维护外包登记册、包含特定的合同条款，并向监管机构通知重大外包安排。审慎监管局 (PRA) 关于外包和第三方风险管理的监督声明 SS2/21 进一步阐述了对 PRA 监管公司的预期，包括对转包控制和业务连续性安排的要求 [9]。

 

3. 第三方风险管理框架

3.1 供应商风险生命周期

金融服务业中有效的 TPRM 是围绕供应商生命周期模型构建的，该模型包含五个阶段：(i) 供应商识别与分类；(ii) 尽职调查与合同前评估；(iii) 合同谈判与执行；(iv) 持续监控与绩效管理；以及 (v) 离职与退出管理。每个阶段都带有采购团队必须与法律、合规、信息安全和业务部门协作管理的独特风险敞口 [10]。

 

在识别和分类阶段，机构根据供应商构成的固有风险对其进行细分，通常涵盖数据敏感性、运营重要性、监管敞口、财务健康状况和管辖风险等维度。分层风险模型（例如共享评估计划 (Shared Assessments Program) 或金融服务信息共享与分析中心 (FS-ISAC) 推荐的模型）允许按比例分配尽职调查资源，对第一层、任务关键型提供商实施最严格的审查 [11]。

3.2 尽职调查与信息安全评估

金融服务业的合同前尽职调查远不止财务分析和推荐信核查。信息安全评估已成为核心组成部分，这源于行业认识到源自第三方系统的数据泄露是该行业面临的最重大威胁之一。机构通常要求供应商填写标准化问卷（例如由标准化信息收集 (SIG) 倡议开发的问卷），涵盖访问管理、加密、事件响应和业务连续性等领域的控制措施 [12]。

 

第三方审计和认证（包括 SOC 2 Type II 报告、ISO/IEC 27001 认证和云特定认证（如 CSA STAR））提供了结构化的保证，证明供应商的控制措施符合既定标准。然而，监管机构和从业者越来越认识到，时点评估是不够的：能够实时跟踪供应商安全态势、新闻事件和财务状况的持续监控工具正在成为行业标准，并且在 DORA 等框架下被强制要求或强烈鼓励使用 [13]。

3.3 合同保护与 SLA

合同本身是供应商风险治理的主要工具。金融服务采购合同为了应对监管要求已发生了重大演变，纳入了以下条款：数据处理与再处理（与 GDPR 及等效制度保持一致）；审计与检查权；事件通知时间线（重大事件通常为 24-72 小时）；业务连续性和灾难恢复标准；因破产、控制权变更或监管反对而引发的终止权；以及合同结束时的数据归还与删除义务 [14]。

 

受监管部门的服务水平协议 (SLA) 必须在商业实用性与监管抗辩性之间取得平衡。监管机构期望 SLA 反映真正重要的绩效阈值——而不是空洞的愿望目标——并且补救措施应与绩效不佳对机构及其客户的影响成比例。英国 FCA 曾明确批评将 SLA 设置得过于宽松以至于无法提供任何有意义保护的做法 [15]。

 

4. 供应商集中度风险

金融服务采购中结构性最显著的风险之一是供应商集中度：即机构（无论是单独还是集体）在多大程度上依赖少数几家提供商来执行关键职能。云计算基础设施提供了最鲜明的例证。英格兰银行 2023 年的一项分析发现，大多数受英国监管的机构在运营的核心要素上都依赖于三大超大规模云服务提供商之一——Amazon Web Services、Microsoft Azure 或 Google Cloud Platform [16]。

 

这种集中不仅仅是个别公司的问题，更是系统性问题。影响主导提供商的中断或安全事件可能会同时损害多家具有系统重要性机构的运营，从而引发支付系统、资本市场和存款业务的传染效应。监管机构已做出加强审查的回应：DORA 明确要求金融实体在实体层面进行测绘并评估 ICT 集中度风险，并通过 ESA 协调在行业层面进行评估。EBA 已经发布了关于欧盟银行业云集中度的定期报告，将此风险标记为优先监管关注点 [17]。

 

从采购战略的角度来看，管理集中度风险需要审慎的多供应商架构、可移植性标准，以及从一开始就嵌入合同中的互操作性要求。退出策略——包括在规定时间内将工作负载或数据迁移到替代提供商的能力——必须经过测试，而不仅仅是记录在案。采购团队必须与技术和企业架构职能部门密切合作，以确保商业决策不会无意中造成损害运营韧性的锁定效应 [18]。

 

5. 采购职能的演进

监管需求、网络风险和运营韧性要求的融合正在从根本上重塑金融服务的采购职能。首席采购官 (CPO) 及其团队不能再仅作为专注于成本节约和合同合规的交易中介。他们必须转变为具有风险意识的编排者，能够跨法律、合规、技术和业务利益相关方进行协调，以交付在商业上稳健、运营上具韧性且能证明符合监管期望的供应商关系 [19]。

 

这需要对采购领域相对较新的能力进行投资：TPRM 技术平台（例如 Coupa、与风险模块集成的 Ariba，或 ProcessUnity 和 OneTrust 等专业工具）、数据驱动的风险评分，以及具备足够信息安全和监管框架知识以进行有效供应商对话的采购人员。特许采购与供应协会 (CIPS) 已经认识到这一转变，制定了涵盖商业和监管维度的金融服务供应链风险指南 [20]。

 

治理结构也必须进行调整。许多机构已建立了专门的第三方风险委员会，或根据“三道防线”模型将 TPRM 整合到其企业风险管理框架中——采购占据第一道防线，合规与风险管理占据第二道，内部审计占据第三道。向董事会和高级风险委员会定期报告机构的第三方风险概况——包括集中度、绩效以及供应商生态系统内涌现的风险——正日益被监管机构视为基准治理预期 [21]。

 

6. 结论

银行和金融服务业的采购已进入一个新时代，其定义不再仅仅是对成本节约的追求，而是要在密集且不断演变的监管格局中管理第三方风险的必然要求。DORA、OCC 跨部门指引、FCA SYSC 8 以及其他司法管辖区的等效框架，已共同将第三方治理从后台关注事项提升为董事会层面的职责。

 

挑战是巨大的。金融机构必须同时管理数百或数千个供应商关系的商业绩效，在快速变化的威胁环境中维护最新的风险评估，将复杂的监管要求嵌入合同和尽职调查流程中，并解决供应商集中度风险等结构性脆弱性。这些目标中的任何一个都不可能由采购团队孤立完成。

 

所需要的是一种整合的第三方治理模式——在这种模式中，采购、风险、合规、法律和技术职能作为一个连贯的单位运作，并由适当的技术和监督结构提供支持。投资于这种模式的机构不仅能更好地满足监管期望，还能实现其供应商关系的战略潜力，使第三方治理成为竞争韧性的源泉，而非仅仅是合规负担。

 

"