从风险实质性上说，业务操作或服务虽然可以外包，但其最终责任并未被"包"出去。外包并不能减少或免除董事会和高级管理层确保第三方行为的安全稳健以及遵守相关法律的责任。商业银行必须对外包业务的风险进行管理，一些关键过程和核心业务，如账务系统、资金交易业务等不应外包出去，因为过多的外包也会产生额外的操作风险或其他隐患。商业银行仍然是外包过程中出现的操作风险的最终责任人，对客户和监管者承担着保证服务质量、安全、透明度和管理汇报的责任。