《中国金融》｜产品测试与业务风控

  为实现“健全全流程的产品创新风险管控模式，提升产品测试水平”的目标，中国工商银行数据中心（北京）(以下简称“中心”）通过构建“三位一体”的风险防控体系、开展独立视角的业务风险安全测试研究，将业务风险防控贯穿于研发测试全流程工作中，大力推进风险管理工具和资产库建设，走出一条综合提升业务风险防控能力的特色道路。

  目前，银行业务部门及开发部门针对业务风险管理，着重关注业界通用的信用风险、市场风险、操作风险及声誉风险，主要围绕监督管理要求、业务规章制度对产品立项进行合规性评估，并从业务需求及技术实现角度将风控措施落实到产品创新和研发过程中。中心承担的测试工作处于研发和生产的中间环节，是科技链条中承上接下的枢纽，同时代表业务部门对研发产品做验收，是科技与业务之间的连接点。测试工作从项目立项开始直至产品上线推广，贯穿产品的全生命周期，兼具了解业务需求与技术实现全貌的优势，能在业务风险防控工作中构建起特有的产品全流程视角。

  结合总行制度规范、管理要求和历史生产事件分析，中心重点从业务设计、系统模块设计两个阶段切入，针对流程设计、功能设计等9个关键环节，梳理出33项容易出现重大业务风险的关键点，最终细化形成94条风险识别指引，聚焦用户准入、账务安全、数据安全、交易安全等核心业务风险，以规避由于业务需求或系统设计考虑不周带来的各类风险。在通用风险的基础上，针对不一样的产品的业务及技术特色，通过建立更有明确的目的性的风险检查表，进一步细分业务风险识别范围。

  中心在组织层面构建起管理、执行及监督的“三位一体”的风险防控组织体系，构筑起中心内部业务风险防控“三道防线”。

  职能部门统一管理。测试管理部门统一管理业务风险防控工作，承担“第二道防线”风险防控职责：研究中心业务风险防控管理体系建设思路；明确业务风险管理涉及的岗位、职责及工作要求；制定统一的风险防控管理流程，建立风险识别、评估应对、监控及报告全流程管理机制；组织形成并持续完善风险识别指引，提供风险防控所需的工具或知识库支持等。

  执行部门细化落实。各测试承担部门作为中心业务风险防控的主体部门，承担业务风险“第一道防线”职责：根据风险防控指引及流程要求，结合本部门测试产品特色及关键环节，形成适用本部门或产品线的业务风险检查点，将风险防控具体实际的要求落实到日常工作中。

  质控团队强化监督。安全管理部门牵头的质量控制团队承担“第三道防线”职责：研究风险防控关键环节检测的新方法，对第一道防线的执行做监督、对前两道防线提出持续改进意见。

  在测试工作中，掌控业务风险的前提是充分理解银行业务。为此，中心开展了业务架构框架理论研究，构建起银行业务架构流程分层框架（PCF）。基于该理论，将工行业务划分为“业务产品、管理对象（或阶段）、活动、任务、步骤”五个层次，据此推进业务流程、业务规则、业务实体的梳理，并对照进行新产品的需求分析及设计，有效辅助测试人员做好产品的风险识别、风险分析、风险应对和风险监控。在PCF框架下，通过推动业务白皮书、验收标准、案例标准化建设，持续提升业务风险防控工作专业化水平。

  业务白皮书。借助PCF框架重点对存量业务做全面的、结构化的梳理，其成果进入业务流程库、业务规则库、业务实体库中，成为可管理、可复用的业务资产。在此基础上，对各类资产的重要性程度做标识，并数字化为可计算的风险影响程度。2016年，中心选取工银e支付、凭证式国债、融e联、远期结售汇、个人理财、境外流动性贷款等6个产品论证了梳理方法的可行性，并积累了部分资产。

  验收标准。从项目角度切入，以产品视角按PCF框架分层思路分析绘制出完整的产品框架及业务处理流程，结合业务功能及目标明确相应的业务处理规则、关键点等内容，识别出当前项目改造和影响了哪些流程和规则，确定风险概率，识别风险范围；在此基础上，综合考虑目标对象的风险概率和影响程度，评估风险系数，做好风险分析；根据分析结果，中心与需求部门、研发部门做沟通、确认，为产品研制测试和验收提供相关依据。验收标准工作今年四月份在中心全面推广后，测试过程中提出的需求类问题一下子就下降、投产后的生产问题明显减少。

  案例标准化。基于验收标准分析成果，按照标准工艺流程生成测试点和案例，再根据组合后的风险系数确定每条案例的优先级；结合项目执行的时间、人员限制，选取优先级高的案例作为执行范围；对每条案例执行过程和结果进行监控和跟踪，确保高风险案例得到执行、高风险功能模块的全面覆盖。在测试收尾时，评估每个应用下高风险案例的执行情况，推导出该应用的投产风险，并协助制定投产策略。案例标准化已完成方法论的验证，待平台建设完成后可实现全面推广。

  为应对以互联网金融为代表的技术业务快速创新所带来的安全风险，中心从组织架构、流程规范等层面加强独立视角的业务风险安全测试体系建设。业务风险安全测试最重要的包含业务功能安全测试和系统安全测试。业务功能安全测试是指业务功能是否按要求做了安全控制，如客户登录或验签过程中的敏感信息保护等；系统安全测试是指对安全控制措施的检测，包括访问控制、密码技术、软件容错、移动客户端安全等9大类。

  中心的安全职能部门统筹管理各部门的安全测试工作。负责制定安全测试验收标准、编写安全测试通用指引、研究安全测试工具及方法等，指导各测试部门开展业务功能安全测试的开展；同时还全面负责系统安全测试。目前已完成安全测试管理工作手册、安全测试通用指引、安全测试工具及测试方法集等材料的编写。

  中心基于业务和科技双视角，立足行内用户和行外客户，与总行各业务部门、信息科技部、软件开发中心、生产运行中心及分行、第三方单位做好沟通衔接，从产品立项时即全面启动业务风险防控工作，并落实到产品研发生命周期各阶段中，深入挖掘业务风险，加强风险分析与揭示。

  在需求阶段，测试设计团队参与需求编制及分析，针对原始需求，结合业务目标，从流程、功能、非功能及受控四个层面进行风险评估，提前发现风险，并将风险点在验收标准中体现。

  在设计阶段，测试设计团队参与系统总体或详细设计的具体方案评审，协助研发单位共同确认系统模块设计是不是满足风险防控以及生产运行相关要求。

  在测试阶段，测试设计团队执行标准化设计的风险案例，验证软件产品是不是符合风险防控要求，并将测试过程中发现的有价值风险纳入风险资产库积累和分享。

  在生产阶段，测试设计团队参与业务风险相关生产事件处置及分析，持续回顾并完善风险指引及防控要求。

  版本交付前重点风险梳理。除了在需求及设计阶段提前开展业务风险评估工作外，版本交付前两周，中心组织梳理《重难点及风险分析报告》和《产品风险评估报告》，从业务实现、技术变化、分行改造、多方配合角度，挖掘业务及测试风险，及时协调各关联方确认。版本交付当周，中心通过《功能测试阶段相关事项说明及适应性测试建议》，进一步评估是否有需跟进的业务风险。

  测试过程中业务风险防控。各测试部门结合业务风险检查表及风险案例开展业务风险测试，新增风险由产品线负责人组织重点评估、明确应对策略，实现对风险的有效管控。

  投产前业务风险专项评估。中心开展了投产前业务风险专项评估工作，从业务流程、客户体验等多个角度，提示风险并逐一提出针对性解决措施，对有效控制投产风险起到了积极作用。

  业务风险防控工作的有效开展需要依托完善的风险管理工具来支撑。结合前期业务风险防控工作实践，中心提交了一体化风险管理工具需求，该工具基于业务风险识别指引及各产品线风险检查表，支持标准化的风险挖掘模型，引导测试部门尽早识别风险。

  在业务风险资产库建立前，中心通过手工梳理并建立起内部业务风险共享渠道。2016年7月版本测试期间，中心针对测试过程中发现的典型业务问题或风险，萃取出17个业务风险识别案例，在中心网讯平台做宣传、分享，供各测试人员学习借鉴，拓宽思路，逐步提升业务风险防控水平。■