银行业金融机构信息科技外包风险管理部门应当至少每两年开展一次全面的外包风险管理评估。