一名原厂工程师，计划在银行驻场服务两年；四座城市的700多台网络设备，需要维护团队随时响应；一套自动化平台准备接入大模型，开发商须交付完整源代码。
这些内容，出现在兴业银行今年公开的供应商征集调研公告中。它们展示了银行科技采购的一面：软件和设备投入使用以后，银行与供应商的合作还要持续很久。
11月6日公开的处罚信息显示，兴业银行因数据安全管理不到位、信息科技外包管理不到位等，被罚款695万元。公开信息尚未披露具体系统、供应商及违规过程，上述采购项目也没有被指认为涉罚项目。
这张罚单之外，更值得追问的是：外部技术人员长期参与系统运行，银行如何掌握操作过程？供应商换人、设备更换、项目结束时，技术与数据又如何交接？
兴业银行采购文件中的一些细节，为这些问题提供了观察入口。
01
两年驻场服务，
银行购买的是持续支持
6月29日，兴业银行发布终端安全管理系统原厂驻场服务供应商征集调研公告。该行此前已引入联软科技的相关产品，此次拟采购一名原厂工程师，服务期限两年。
公告要求工程师熟悉产品架构和运维，并能通过厂商内部工单渠道联系后台专家，处理现场问题。
这种采购安排，说明安全软件的使用成本会延续到日常运行之中。产品上线后，业务环境、终端设备和安全需求仍在变化，银行需要持续获得产品层面的技术支持。
原厂熟悉产品，银行熟悉自身业务，两者有各自的分工。问题在于，合作时间越长，越需要把工程师个人掌握的经验转化为银行能够查阅、复核的运行记录。
系统曾经出现过什么问题，调整过哪些配置，哪些异常尚未解决，这些信息影响下一次维护。交接不足时，即使新的工程师具备同样资历，也可能需要重新熟悉现场。
因此，人员稳定性本身就是银行采购的一项内容。兴业银行另一份网络设备维护采购需求明确要求，服务团队如需调整人员，必须提前取得银行书面同意。
这一条款把银行的管理延伸到了供应商用人环节。对一般采购而言，更换服务人员可能只是供应商的内部安排；对持续运行的银行系统而言，换人还涉及技术交接、账户调整和工作责任的接续。
驻场人员的资历决定其能否进入项目，交接和记录则影响服务能否持续。
02
700多台设备的维护，
连旧存储部件也要管
兴业银行4月发布的网络设备备件及技术服务供应商征集调研公告，涉及福州、上海、北京、成都四地超过700台设备，包括交换机、防火墙、负载均衡设备和路由器。
采购需求提出，服务方接到通知后须在15分钟内响应。复杂故障超出其处理能力时，还要协调设备原厂提供支持。
这类服务至少涉及银行、维护服务商和设备原厂。银行采购的不只是维修人员，还有备件储备、原厂支持以及多方协作。
服务链条拉长之后，银行需要掌握每一方实际承担的工作。谁负责排查，谁提出配置调整，谁批准操作，谁确认恢复结果，都关系到故障处理能否追溯。服务商与原厂之间如何分工，也会影响银行获得完整信息的速度。
更容易被忽略的是维修结束后的设备去向。
这份公告对更换下来的故障设备和部件作了专门安排：涉及银行保密信息的存储部件另行处理，磁性存储部件须消磁，非磁性存储部件不返还服务方。
一块退出使用的部件，可能仍保存系统或业务信息。设备恢复运行，只完成了维修工作的一部分；旧部件如何处理，同样涉及银行的数据安全。
这也解释了外包管理为什么很难仅靠采购验收完成。设备、人员和数据都在变化，管理需要跟随这些变化持续进行。供应商提供了合格设备和服务，并不能替代银行对后续操作的核查。
《银行保险机构数据安全管理办法》将数据委托处理纳入信息科技外包管理，要求银行保留相应管理责任。对于委托关系结束后的数据处理，规则也要求核查受托方删除数据的情况。
从人员更换到存储部件退出，外包管理落实到的往往是这些细小而具体的事项。
03
AI开发可以外购，
后续维护能力仍要留在银行
兴业银行的采购需求也在向新的应用延伸。
6月发布的“金田螺”RPA平台升级改造供应商征集调研公告，提出接入该行通用大模型，通过自然语言生成自动化流程代码，并优化账户权限和监控体系。项目实施周期计划为合同签订后八个月，要求供应商提供完整源代码，源码知识产权归银行所有。
这是拟采购的开发能力，尚不能据此判断项目已经落地。但源代码归属的约定，已经触及银行与技术供应商之间的一项长期利益：系统后续由谁维护。
拥有源码，为银行自行维护或更换供应商提供了基础。真正接手时，还需要了解代码结构、运行环境及历史修改。若文档和知识交接不足，银行即使拿到源码，后续升级仍可能依赖原团队。
大模型生成代码，也让这项工作更有必要。自动化流程需要在既定权限内运行，面对异常输入、业务变化和执行失败时，应当能够停止、报错并留下记录。开发效率提高以后，审核和测试仍需要投入人员。
外包项目的成本因此不能只看合同报价。需求沟通、测试验收、日常监督，以及未来更换供应商的交接，都占用银行自己的技术资源。
对供应商而言，稳定的维护需求能够带来持续业务；对银行而言，长期合作可以减少磨合，却也需要保留比较报价、审核方案和替换服务商的能力。双方合作越深入，这些能力越重要。
兴业银行此次处罚的具体成因，仍有待进一步披露。现有采购文件能够说明的是，银行对外部技术服务的需求，已经从设备维修延伸到安全运维和自动化开发。
衡量这些采购的效果，除了系统是否按期交付，还应当看运行几年之后，银行是否清楚系统如何工作、能够核实供应商做过什么，并有能力接续维护。采购合同签下的是一项服务，银行承担的则是整个使用期间的经营与安全责任。