商业银行应设立或指派一个特定部门负责信息科技风险管理工作，并直接向首席信息官或（）报告工作。