全面解答中小银行在业务连续性建设和管理上的痛难点 银行开展外汇业务的重要性和必要性分析

在监管文件的整治工作提及的四个大的方面：业务连续性日常管理、业务连续性资源建设、业务连续性演练及应急处置。首先业务连续性管理是一套多角度、立体的管理架构，包括贯穿突发事件事前、事中、事后的处置策略、组织架构、整体方法、建设标准等一系列管理内容。在本次专项治理中已基本全方位覆盖到了金融机构业务连续性体系的各个要素：组织架构建设、流程建设、业务连续性应急演练及持续改进等，提出了相对明确的目标，要求金融机构进行全面自查和整治。

针对监管文件中具体的整改内容，总结如下几点问题与建议，以供参考。

Q1：什么是业务连续性管理？业务连续性管理与应急管理和灾备体系建设的关系是什么？

业务连续性管理BCM（Business Continuity Management）是一项综合性的管理活动，通过识别组织所面临的潜在风险，评估风险可能对组织造成的影响，建立一套组织、流程和资源相配合的体系，提升组织应对风险的能力，保障组织价值创造活动的持续进行，有效提升组织的品牌声誉和相关方利益。

首先业务连续性管理是全面风险管理的重要部分，其关注的核心重点是业务的中断，整个业务连续性管理的生命周期都应该以业务对象为主体，涉及的内容大且全，包括日常的业务连续性管理和应急管理两部分。而灾备体系作为灾难恢复的整体管理体系，用以应付导致或可能导致大范围业务运营中断的事件（灾难事件），属于业务连续性管理的体系的核心部分，不涉及影响业务连续运行的非灾难性质事件。

通过上图可以看到，业务连续性管理包含了保障组织业务连续运行的方方面面，应急管理和灾备体系管理都是其中重要的组成部分。

以上图中某公司的BCM框架为例，可清晰的了解BCM覆盖的范围，其涵盖范围远远超出了日常提及的灾备技术体系的范围。

Q2：商业银行业务连续性组织管理架构应该如何组织？各层级、各部门的职责是什么？

业务连续性的组织架构应分为两部分组成，日常业务连续性管理的组织机构和应急处置的组织机构。

日常业务连续性管理的组织架构，应契合当前机构的日常运营模式，来保障业务连续性日常管理工作的进行。

业务连续性日常管理组织的构成与职责如下：

同时应建立业务连续性应急处置的组织架构，包括应急决策层、应急指挥层、应急执行层和应急保障层，应区别于日常管理的长流程，应体现应急处置的紧迫性和高效决策执行，与应急处置流程相适应。

需要说明的是，商业银行业务连续性日常管理组织和应急处置组织并不是互相无关的两个组织，而是一套统一的人员，在不同时期的职能角色转换。

Q3：业务连续性组织履职中存在的主要问题有哪些？应如何改善？

从业务连续性的日常管理工作来看，业务连续性组织架构不健全，许多地方城商行尚未成立业务连续性委员会，部分商业银行虽然成立了业务连续性委员会，但由于业务连续性委员会是一个虚拟的组织，因此存在履职不到位的问题。

机构的董事会（理事会）、高管层未审议业务连续性管理事项，决策不当导致灾备资源建设等重要工作严重滞后；未建立职责分工清晰的业务连续性日常管理和应急处置组织架构；业务连续性管理制度缺失或不健全；二、三道防线未充分识别和揭示业务连续性管理问题，督促整改工作不到位。在构建日常管理组织架构的工作中，需要重点考虑以下几点：

（1）获得高级管理层的重视。商业银行高级层要能够充分意识到业务连续性管理体系建设的重要性及体系建设对于本行今后长期发展的重大意义，业务连续性建设是提升商业银行市场竞争力的重要举措。

（2）明确主管部门。中小型商业银行通常将风险管理部作为业务连续性管理的主管牵头部门。

（3）利用原有组织架构。许多商业银行已经成立了应急组织架构，该组织架构与业务连续性委员会的架构功能类似，建议考虑该委员会承担业务连续性管理委员会的职责，以避免组织过于冗余。

（4）对业务连续性工作的持续评价。业务连续性管理体系的完善是个长期持续投入的过程，确定各阶段资源的投入和目标，至少以年度为周期对业务连续性工作进行评价，作为重点考核目标。

（5）通过使用业务连续性管理工具，实现业务连续性管理全过程的电子化管理，做到业务连续性管理计划可审批、过程可监管、结果可审计，实现业务连续性组织架构各层级的充分履职。

Q4：业务影响分析应该如何开展？

业务影响分析是指对组织的各项业务功能及各项业务功能之间的相关性进行分析，确定支持各种业务功能的相应信息系统资源及其它资源，明确相关信息的保密性、完整性和可用性要求。重点工作分为四个部分，从业务出发，最终落地到信息系统：

（1）重要业务的识别。根据现有业务产品、客户及渠道的内容，确定重要业务的目录，统计重要业务的业务属性和相关的经济、非经济中断影响数据。

（2）重要业务相关性的分析。分析各个重要业务的具体业务流程，确定业务之间的依赖关系。

（3）重要业务的重要性评估。基于收集到的重要业务相关数据，进行量化与非量化的评估，按照监管要求确定恢复的优先级。

（4）支持重要业务的信息系统资源及其他资源的映射关系。分析重要业务开展所依赖的必要信息系统资源，从而明确信息系统恢复的优先级。

整个业务影响分析的过程涉及到较强的专业性，需要对金融行业有系统性的认识，能覆盖从业务到信息系统全部内容，同时也对金融机构日场业务连续性管理提出要求，特别是在以下方面：

人员的专业性。能充分理解业务和信息系统的差异和支撑关系，所管辖的业务的边界和详细流程，对自身组织提供的业务之间关联性有清晰的认识。

业务统计数据。不从维度的业务统计数据，以满足业务影响分析所需。

Q5：如何制定完整的业务连续性计划（BCP）？

BCP可理解为一个文档体系，包含总体应急预案、业务条线应急预案、信息系统专项应急预案、保障类应急预案、外部机构应急预案等。

业务连续性计划的构建是一个长期而持续的过程，需要常抓不懈，久久为功，并且需要通过多次演练和实战验证其有效性、合理性、完整性。

总体预案和业务条线专项预案、信息系统专项预案可参考如下的三个目录。

Q6：商业银行业务连续性资源建设主要存在哪些不足？如何进行自查？

《中小银行机构业务连续性相关风险整治工作的通知》中，指出了中小型银行在业务连续性资源建设中存在的资源不足问题。这些问题在许多中小银行非常普遍，究其原因还是在于对业务连续性管理的重视程度不足，资源投入有限。尤其是按照通知中，关于灾备切换演练要真实接管业务，且接管时间不能过短，要能有效验证灾备系统承载重要业务能力的要求，大多数中小银行目前尚不具备如此的切换能力，主要的资源缺口体现在以下的方面。

（1）生产中心基础设施及重要设备本地冗余备份不足。机构生产中心供电线路为单路市电，且没有备用发电设备或备用发电设备缺乏可靠油料供应；不间断电源系统（UPS)冗余度不足或供电能力不足，供配电设备及其关键部件存在单点隐患；空调设备冗余度不足，制冷容量规划不足；网络链路、重要网络设备、重要信息系统主机等重要设备存在单点隐患或冗余度严重不足。

（2）灾备中心建设缺失。根据《商业银行数据中心监管指引》总资产规模一千亿元人民币以上且跨省设立分支机构的法人商业银行，及省级农村信用联合社应设立异地模式灾备中心，重要信息系统灾难恢复能力应达到《信息安全技术信息系统灾难恢复规范》中定义的灾难恢复等级第5级（含）以上；其他法人商业银行应设立同城模式灾备中心并实现数据异地备份，重要信息系统灾难恢复能力应达到《信息安全技术信息系统灾难恢复规范》中定义的灾难恢复等级第4级（含）以上的要求。不少省级农村信用联合社及商业银行异地灾备建设等级不达标。部分省会以外的城市商业银行仅建设了3级（数据级）的同城灾备，不具备业务接管的能力。

（3）灾备中心资源缺失。灾备中心建设时，往往受限于投入，灾备中心各类资源通常相较于生产中心减配，不能支撑重要业务长时间在灾备中心运行，主要体现在以下方面：