国内银行业规范及要求

2002年8月，中国人民银行下发了《中国人民银行关于加强银行数据集中安全工作的指导意见》（银发[2002]260号）。文件明确提出了“……实施数据集中的银行必须建立相应的灾难备份中心，制定业务连续性计划，保障业务连续性及有效性……”。

2006年4月，中国人民银行下发了《关于进一步加强银行业金融机构信息安全保障工作的指导意见》（银发[2006]123号）。文件明确指出：

1）同步规划、同步建设、同步运行信息系统灾难恢复系统。

2）综合考虑平衡风险与成本、运维管理与灾难恢复力量等因素，可采用自建、联合共建或利用外部企业（组织）的灾难备份设施等方式。

3）全国性大型银行，原则上应同时采用同城和异地灾难备份和恢复策略，区域性银行可采用同城或异地灾难备份和恢复策略。

4）已建立灾难备份系统的单位，原则上备份系统和生产系统要至少每年演练一次。

5）合理引入外包机制，加强服务外包风险控制。

2006年8月，银监会下发的《银行业金融机构信息系统风险管理指引》（银监发[2006]63号）文件中，明确规定“……金融机构应制定信息系统应急预案，并定期演练、评审和修订……省域以下数据中心至少实现数据备份异地保存……省域数据中心至少实现异地数据实时备份……全国性数据中心实现异地灾备……”。

2008年2月，中国人民银行下发了《中国人民银行关于发布＜银行业信息系统灾难恢复管理规范＞行业标准的通知》（银发[2008]48号）。2008年2月4日，JR/T 0044—2008《银行业信息系统灾难恢复管理规范》标准正式发布和实施。

2009年银监会下发的《商业银行信息科技风险管理指引》（银监发[2009]19号）中指出：

1）商业银行应设立首席信息官，直接向行长汇报，并参与决策。

2）商业银行应设立或指派一个特定部门负责信息科技风险管理工作，并直接向首席信息官或首席风险官（风险管理委员会）报告工作。

3）商业银行应根据自身业务的性质、规模和复杂程度制定适当的业务连续性规划，以确保在出现无法预见的中断时，系统仍能持续运行并提供服务；定期对规划进行更新和演练，以保证其有效性。

4）商业银行应评估因意外事件导致其业务运行中断的可能性及其影响。

5）商业银行应建立维持其运营连续性策略的文档，并制定对策略的充分性和有效性进行检查和沟通的计划。

6）商业银行的业务连续性计划和年度应急演练结果应由信息科技风险管理部门或信息科技管理委员会确认。

2010年《商业银行数据中心监管指引》（银监发[2010]114号）对商业银行业务连续性管理提出明确要求：

1）商业银行应于取得金融许可证后两年内，设立生产中心；生产中心设立后两年内，设立灾备中心。

2）总资产规模一千亿元人民币以上且跨省设立分支机构的法人商业银行，及省级农村信用联合社应设立异地模式灾备中心。

3）重要信息系统灾难恢复能力应达到GB/T 20988—2007《信息安全技术 信息系统灾难恢复规范》中定义的灾难恢复等级第5级（含）以上。

4）商业银行应每年至少进行一次重要信息系统专项灾备切换演练，每三年至少进行一次重要信息系统全面灾备切换演练，以真实业务接管为目标，验证灾备系统有效接管生产系统及安全回切的能力。

5）中国银监会及其派出机构可依法对商业银行的数据中心实施非现场监管及现场检查。现场检查原则上每三年一次。

2011年《中国银行业“十二五”信息科技发展规划》中对于商业银行业务连续性管理建设提出如下规划要求：

1）完善应急，提升业务连续性管理水平。

2）建立全行统一应急管理体系。

3）科学的业务恢复指标，合理配置应急资源。

4）重要信息系统应急预案的全覆盖。

5）实现数据级，逐步向应用级转变。

6）共建、外包、灾备中心多功能复用形式，降低成本，提升恢复能力。

7）建立常态化的应急演练机制。

8）推动开展业务连续性管理体系规划和建设工作。(www.xing528.com)

2011年12月，银监会在参照国际金融行业已有的相关规范以及业务连续性管理国际最佳惯例的基础上，发布了《商业银行业务连续性监管指引》（银监发[2011]104号）。这份“指引”的发布代表着中国银行业监管机构正式对商业银行业务连续性建设提出全面的、体系化的监管要求。一直以来，自从《银行业重要信息系统突发事件应急管理规范》《商业银行数据中心监管指引》的相继出台，商业银行在信息系统应急及灾难恢复建设就已全面开展，在降低信息系统突发事件给银行造成的风险方面也取得了一定成效。但在处置信息系统突发事件过程中，还是以信息科技部门为主，缺乏业务及全行其他部门的配合，没有形成全行的统一管理、统一指挥，使得银行业务未能得到及时恢复。

银监会为了加强业务的应急及灾难恢复建设，降低信息系统中断带来的业务中断风险，促进银行业务在突发事件过程中的连续运作能力，制定并出台了《商业银行业务连续性监管指引》（银监发[2011]104号）。该“指引”的出台，一是对商业银行业务连续性管理过程提出明确的要求；二是在商业银行业务连续性建设与管理过程中进行指导，指出业务连续性管理过程中的关键步骤、关键内容和关键指标；三是作为银监会在日常监管与银行突发事件处置过程中的指导与监管工具。

该“指引”共八章内容，可分为四部分内容。第一部分为总则，概述了银行业务连续性的内容、目标、范围、原则；第二部分为第二章到第五章，对银行在业务连续性管理的组织架构、分析业务、计划及资源、验证及改进等管理域建设方面提出了要求；第三部分为第六章，对银行在应对运营中断事件的应急处置和灾难恢复提出了要求；第四部分为第七章是管理部门如何检查与监督。

《商业银行业务连续性监管指引》的第一条，银监会就提出了制定该指引的依据和目的，明确指出信息系统与信息科技是保障商业银行业务连续性运营的重要基础。因此，商业银行的业务连续性管理能力应重点考虑降低或消除因信息系统服务导致重要业务运营中断而产生的影响，从而快速恢复正常运营。

《商业银行业务连续性监管指引》

第一条 信息系统与信息科技是保障商业银行业务持续运营的重要基础。为降低或消除因信息系统服务异常导致重要业务运营中断的影响，快速恢复被中断业务，维护公众信心和银行业正常运营秩序，提高商业银行业务连续性管理能力，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》以及相关法律法规，制定本指引。

首先，在国内商业银行突破性发展的今天，存在一个共识：银行业务的创新发展，以及整个银行体系的稳定运行，是由银行的信息系统全面支撑的。相反，一旦信息系统中断，会导致大范围内的业务无法对外服务，尤其是对信息系统依赖程度很高、渠道单一的业务，往往此类业务都是面向最终用户，业务的中断不仅给银行带来一定的经济损失，更重要的是给银行品牌带来负面影响，甚至是带来金融系统的不稳定因素。因此，国内商业银行本着紧抓主要矛盾的思路，业务连续性管理的对象，或者说业务中断的场景设置为信息系统中断。

其次，银行信息系统是一个庞大、复杂的运行系统，系统之间的关联关系极其复杂，数据量以及数据处理规模庞大，有时一个点出现问题都会导致系统的全线崩溃。系统中断的情况很难避免，因此，商业银行一方面要加大系统高可用投入，尽量避免系统大范围中断的情况，另一方面，通过业务连续性管理尽量降低系统中断带来的业务中断的影响，做到可预防、可预警、可控制、可恢复的业务连续性计划。在信息系统中断过程中，通过业务连续性管理手段，尽量降低甚至消除业务中断的影响，快速恢复中断业务，维护公众信心和银行业正常运营秩序，提高商业银行业务连续性管理能力。

业务连续性管理建设是一项长期必要的工作内容，最终要融入商业银行整体的管理体系中。对于商业银行业务连续性管理的范围和内容，银监会在《商业银行业务连续性监管指引》中有明确的阐述：

《商业银行业务连续性监管指引》

第二条 本指引所称业务连续性管理是指商业银行为有效应对重要业务运营中断事件，建设应急响应、恢复机制和管理能力框架，保障重要业务持续运营的一整套管理过程，包括策略、组织架构、方法、标准和程序。

业务连续性管理是一套多角度、立体的管理架构，一方面包含从突发事件事前的规划、计划制定，到事件过程中的预警、应急、恢复、持续运行，到事后的总结、审计、提升的一整套过程管理；另一方面包含贯穿于突发事件事前、事中、事后的处置策略、组织架构、整体方法、建设标准等纵向管理内容。

业务连续性管理虽然是一门较新的管理学科，但发展至今，在全球范围内也有很多成熟框架可以遵循。但是，作为国内商业银行业务连续性管理体系，不能仅仅照搬国际上的方法，而是要在参考国际业务连续性组织的最佳实践，总结各国银行业监管机构对银行业金融机构的先进的监管要求及标准后，结合中国商业银行当前的管理架构及业务模式来制定。

《商业银行业务连续性监管指引》的第二～六章是对商业银行开展业务连续性管理工作的具体要求。其主要内容如下：

1.组织架构

关于组织架构的建立，商业银行应建立业务连续性日常管理组织架构和应急处置组织架构。“指引”要求商业银行董（理）事会作为业务连续性管理的决策机构，承担最终责任，相对于以往应急管理与灾难恢复组织架构中银行责任人行长作为最高决策而言，表明业务连续性管理在全行管理层面的重要程度。“指引”强调商业银行应设立业务连续性的主管部门，指定风险管理部门或是科技部门、办公室等综合管理部门，该部门应牵头全行的业务连续性建设。业务部门和科技部门应作为业务连续性的执行部门，尤其是业务部门应负责设定业务恢复指标、业务恢复计划、建立业务恢复资源等，强化了业务部门应在全行业务连续性建设过程中的重要作用和以业务为主体的职能和义务。

2.业务影响分析

业务影响分析强调业务连续性管理过程对银行业务的识别、分析、量化指标的过程，是制定业务连续性管理的策略及规划的重要手段。业务影响分析应从识别重要业务入手，明确重要业务的归口部门，量化业务中断给银行带来的影响，分析业务恢复指标，通过业务恢复指标，明确业务运作所依赖的关键资源中断的影响范围及恢复指标。商业银行在业务影响分析过程中，应关注业务部门与业务条线之间的对应关系，应关注业务之间的依赖关系，应关注重要业务与关键资源的对应关系。指引中明确提出商业银行重要业务恢复时间目标与恢复点的指标要求，重要业务恢复时间要求包括资源恢复时间和处置决策过程、业务验证过程等。因此，商业银行应注意资源恢复时间目标应小于业务恢复时间目标。

3.业务连续性计划与资源建设

商业银行应按照重要业务恢复指标要求建立相应的业务连续性计划，根据不同业务中断场景建立对应的应急预案，并开展关键资源在应急及恢复过程中的备用资源建设。银行应建立应对大范围业务运营中断的总体应急预案，以及根据不同场景下的专项应急预案。银行应注重总体应急预案与专项应急预案之间的关系，总体应急预案不仅是发生大规模业务中断时的应对预案，还应规定专项预案在制定过程中的流程、处置措施的指引与规范。专项应急预案应注重预案场景的针对性，减少应急过程中的判断，避免一个预案应对大多数场景。业务预案应关注与其他预案之间的衔接，做到全行应急“一盘棋”，以尽快恢复业务、降低业务在应急过程中的损失为处置原则。业务连续性计划所需资源建设方面，不仅要加强在应急及恢复过程中的备份资源建设，还应保证信息系统在日常生产过程中的高可用建设，减少和避免系统中断的事件发生。

4.业务连续性演练与持续改进

业务连续性演练与持续改进是业务连续性计划、预案、资源是否在运营中断事件发生时的能够有效地应对的有效验证和保障。对于银行业务连续性演练，一是保障演练的计划性与针对性。商业银行应把演练作为一项业务连续性的日常工作，有计划地定期开展，要针对重要业务中断场景、重大业务活动、重大社会活动等关键时点等开展。二是要保障演练的实操性与全面性，商业银行应重以真实业务接管为目标，以有效接管和安全回切为目标开展，并联合资源部门、业务部门、保障部门以及金融保障机构一同开展，尽量接近真实应急场景。业务连续性管理的评估与改进，商业银行应做到评估与审计相结合，内部评估与外部评估相结合，全面审计与专项审计相结合，及时发现问题、改进问题。

5.运营中断事件应急处置

运营中断事件应急处置是商业银行在发生中断事件过程中，如何运用计划、预案、资源的要求。

在业务的监测与预警方面，商业银行应做到在事件发生之初能够做出快速反应，一是能够快速解决，防止事件影响范围的扩大；二是能够为事件处置赢得宝贵的时间，降低业务中断时间。商业银行需建立自动化、智能化的监测手段，从信息系统监测到业务监测手段发展，从被动监控到主动监控，加强关键业务时点的系统压力监测，建立部门与部门之间、银行与机构之间的风险警示。

在运营中断事件处置阶段，不仅要注重一体化的应急流程，分级的事件处置机制，注重关键资源的恢复快速恢复，更应关注业务的处置措施。按照业务应急预案，加强对外沟通，开展告知、客户解释与安抚等手段，最大限度地降低负面影响；减少服务功能、缩小服务范围，保障有效的应急资源用于办理关键、紧急的业务，利用替代系统、手工记账、利用分支机构或他行支付渠道等手段进行业务应急处置，而不是一味地等待信息系统的恢复，造成难以挽回的财务及声誉损失。

一旦发生大范围业务中断事件，需要切换至灾备中心恢复。在此过程中，更加需要科技部门与业务部门联合应对，科技部门需要向业务部门告知业务数据丢失情况以及业务系统恢复范围，业务部门应及时评估损失，尽快追补数据，并测试和验证交易的可靠性。只有在业务与科技部门全力配合下，才能使银行在恢复过程中尽量减轻损失，降低影响，尽快地全面恢复业务水平。

在应急及灾难恢复中，银行应加强危机管理，建立危机管理机制，消除或降低危机所造成的负面影响。应指派专门的部门负责危机处理工作，加强舆情监测、信息沟通和发布。借鉴国外的经验，在重大事件发生过程中，某些银行不是因为中断造成的损失而难以为继，而是失去了客户的信任，丧失了声誉，而逐步走向衰落。

引起银行机构重要业务运营中断的要素已经不再局限于信息技术故障、配套设施故障；外部服务中断，如第三方无法合作或提供服务，人为破坏等高频率事件也逐渐成为引起银行机构重要业务运营中断的原因。传统的IT灾难备份建设和灾难恢复计划在应对这些日益复杂的中断事件时的不足之处逐渐暴露出来，商业银行在强化信息系统应急及灾难恢复建设之外，对业务连续运作的要求显得越来越重要。该“指引”的下发希望能够使商业银行加大业务连续性建设的投入，提升全行员工业务连续性管理意识，整体推动银行在业务连续性管理方面的进程。