下列关于个人贷款外包说法正确的是（　）

商业银行应根据业务性质、规模和复杂程度，信息科技应用情况，以及信息科技风险评估结果，决定信息科技内部审计范围和频率。但至少应每（）年进行一次全面审计。

商业银行（）是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

商业银行科技管理指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于（）产生的操作、法律和声誉等风险。

银行业重要信息系统突发事件应对工作原则包括以下几个方面：

一般来说，RPO时间大于RTO时间。

商业银行应要求外包服务商每两年至少开展一次信息安全风险评估并提交评估报告。

商业银行应按照“必需知道”和“最小授权”原则，严格控制外包服务商信息访问的权限，要求外包服务商不得对外泄露所接触的商业银行信息。

商业银行应当建立灾备中心等备用信息技术资源和备用信息系统运行场所资源，并满足银监会关于数据中心相关监管要求。

商业银行应当重点加强信息系统关键资源的建设，实现信息系统的高可用性，保障信息系统的持续运行并减少信息系统中断后的恢复时间。

业务连续性管理主管部门是商业银行业务连续性管理的决策机构，对业务连续性管理承担最终责任。