商业银行业务连续性管理的分析与思考

商业银行业务连续性管理的分析与思考纠错|收藏将本文转发至：骆絮飞经济全球化和金融市场开放的加速，加剧了激烈的国内外竞争格局，金融危机的洗礼使得国际、国内经济和金融环 境变得愈加复杂，如何在日趋激烈的市场竞争中实现银行业金融机构的持续发展，如何在愈加恶劣的生存环境和更为复 杂的技术应用条件下增强机构应对灾难、各种突发事件的能力，保障业务连续性运营，成为国内银行业金融机构面临的 重点和难点问题。形势与背景从国际上来看，业务连续性管理（BCM）的发展依赖于灾害事件的驱动，灾难事件频繁发生促使各国提高防灾意识 和推进BCM管理的主动性。国外发达国家在此领域已有10年的发展历史。我国的业务连续性与灾难恢复建设在本世纪 刚刚起步，基本围绕应急管理和灾难恢复两个方面开展实践。2003年的“SARS”、2008年的汶川地震等灾难事件，使 我国政府部门和企业提高了灾难应对、应急管理的重视和认识，国家用了5年左右的时间，基本建立了覆盖地震、卫生、 电力、通信等一系列、全面应对灾害的应急管理机制，制定了从国家总体预案、部门预案、地方政府预案到重要企事业 单位的较为全面的应急预案体系。与此同时，随着信息技术的发展和社会基础设施对信息系统依赖度的提高，保障关键 信息系统服务功能在灾难情况下尽快恢复显得尤为迫切，2005年国务院信息化工作办公室组织银行、证券、保险（放心 保）、电力、民航、铁路、海美、税务等8个国家重要信息系统所在行业，编制、发布了重要信息系统灾难恢复指南， 有力地促进了国家重要行业信息系统的灾难恢复建设工作。银行业务连续性管理的现状与问题近年来我国银行业业务发展迅猛，大型银行的资本总额、开户数量、业务处理量已位居世界前列，经营范围遍及全 国并在海外快速扩张，一旦业务停顿，可能影响全行乃至整个金融体系的正常运转，并影响社会稳定。因此，数据大集 中后，银行业积极推进灾难恢复、应急管理和IT服务持续性管理有关工作。初步构建了信息系统应急管理体系。确立了应急管理组织架构，区分信息系统突发事件等级，形成统一的应急响应 流程和通知报告程序。并注重与地方政府、新闻媒体的沟通协调，加强机构内部各职能部门的协调配合，及时向公众披 露信息，增强了突发事件的应对处置能力。积极开展灾难备份系统建设工作。按照“统筹规划、资源共享、平战结合”的原则，大型和股份制银行积极推进“两 地三中心”的建设，建立了同城和异地灾备中心，应对建筑类故障和区域性（例如地震、洪灾、战争等）灾难。大多数 商业银行基本建立了核心业务的灾难恢复系统，保障核心业务数据安全和灾难发生时核心业务的恢复。提升危机处理能力。积极开展应急演练和灾难恢复演练，加强银行内部各部门，及银行与通讯、电力等外部机构的 联防协作。实施了包括核心系统在内的重要业务系统切换演练，提高银行应对信息系统突发事件的能力和信心。但整体来看，我国银行业在业务连续性管理方面依然存在一些不足：对业务连续性管理的重要性和价值认识不足，尚未形成有效的BCM管理体系。部分银行对业务持续性管理缺乏必要 的理解，认为“投入大、收益小”，对金融服务持续性与公众生活、经济社会正常运转的紧密关系缺乏足够的认识，银 行改善BCM管理的动力大多来自国家或监管政策压力，主观意愿不足，将业务持续性管理等同于信息系统的灾难恢复、 日常故障处置的模糊意识大量存在，参与的多为IT部门、部分人员，业务连续性计划仅作为事件处理的应急预案，未 建立起BCM的管理组织体系，BCM依然游离在企业的日常经营管理活动之外。应急预案体系不够完整，业务应急机制匮乏，外部应急协调不足。大多数银行没有业务层面应急管理机制的开发和 演练，场地应急、人员应急等BCM重要环节缺乏实质性的建设。信息系统应急预案流于形式，不少银行对业务连续性的 认识不足，认为业务连续性就是信息系统应急恢复，就是科技部门的责任，没有在全行层面建立整体管理体系，缺乏科 技与业务、公关等部门的联动，缺少业务应急手段和客户安抚、媒体公关等处理措施。业务部门配合不足、业务人员参 与力度不大、业务覆盖面不全，一旦出现意外，应急预案可能无法发挥作用，与外部机构（如政府机构、公共事业机构、 银行同业、外部合作金融服务机构等）的协作联动不足。多数银行业务连续性演练仅停留在信息科技层面，缺乏涵盖业 务、技术和后勤保障等多方面的全行性演练，导致应急和灾备能力有效性无法得到验证。业务的灾难恢复目标不明确、信息系统灾备覆盖面不够、灾备资源的有效性保障不足。缺乏风险评估和业务影响分 析，缺乏对业务中断损失与灾备建设投入的成本效益测算，导致灾备系统、科技应急体系建设盲目投入、缺乏规划，灾 备系统覆盖不足等问题。虽然银行大多已建立了灾备中心，但是业务分类分级及差异化的业务恢复目标还不十分明确， 部分银行灾备中心只停留在核心账务数据保护的层面，一旦发生灾难，很难实现重要交易渠道的恢复、重要客户及交易 数据的恢复。灾备切换演练未能真正贴近实战，灾备人员配置、系统演练有效性验证等方面存在不足。加强银行业务连续性管理的意义信息科技连续运作的根本目标是保障业务的持续性，商业银行更应从业务角度出发，以业务持续为目标，形成应对 突发事件、灾害灾难的各部门协同管理体系，加强顶层设计。随着经济、金融全球化和信息技术发展加速，信息科技的 广泛应用使得金融机构之间的关联度大大提升，各个国家金融机构间的外部依赖度也不断加强，单家机构的故障可能使 关联金融机构遭受损失，并且风险扩散的速度更快、范围更大，外部性大大增强，因此推动和加强银行业的业务连续性 体系建设，从全行层面进行规划，进一步加强整体业务连续性规范和深层次机制建设，实现对各种事故和灾难的有效应 对，维护正常的经济金融运行秩序非常迫切。从长远来看，BCM的价值并非仅仅是企业应对灾难、提高生存能力的工具，在许多发达国家金融行业，BCM已成为 改善经营管理、承担社会责任的基本准则，是银行提高风险预测和快速应对能力，适应需求变化和威胁，保持竞争优势 的重要基础。可以说，业务连续性管理直接关系到中岷行业的国际竞争力，对整个行业长期、可持续健康发展具有深 远的意义。为此，银监会在充分借鉴新加坡金管局SINGAPORE STANDARD SS 507、英国紐SI PAS 56及一些国际先进银 行的业务连续性管理经验基础上，结合我国国情和商业银行实际情况，编写并正式发布了商业银行业务连续性监管指 引（下称指引）。指引的主要内容和要求指引以提高商业银行业务连续性管理能力，降低业务中断产生的影响、快速恢复业务为目标，要求商业银行建 立业务连续性管理体系，规范了相关组织架构和工作流程，明确了业务影响分析、风险评估的方法和工作重点，对业务 连续性计划的内容、演练，业务中断事件的应急处置过程提出了具体要求，推动商业银行加强各部门的协同保障，建立 业务连续性管理持续改进机制。指引更加强调商业银行在应对业务运营中断事件进行统筹管理，促进各部门的协同， 提高应急的能力。同时，还明确了银监会应对商业银行业务运营中断事件的应急处置方法和流程，强化了监管机构与银 行间、金融同业间、监管机构与外部其他部门间的应急协同。指引包括以下几个方面：总则要求与组织体系。在总则中提出了业务连续性管理的内容、目标、范围及原则，强调以履行社会责任为开展业 务连续性管理活动的基本原则，不能仅单纯从银行业务收益角度考虑，并强调以人为本、重要业务优先保障、内外部门 间的协同等原则。商业银行应当将业务连续性管理纳入全面风险管理体系，建立业务连续性日常组织架构和应急管理组 织架构，商业银行董（理）事会应作为业务连续性管理的决策机构，承担最终责任。指引强调商业银行应建立BCM 的组织框架，设立负责BCM的部门并能从整体上协调全行其他部门，该部门应为风险部或办公室等综合管理部门而非信 息科技部门。在BCM组织框架下，业务和科技部门应作为业务连续性的执行部门，尤其是业务部门应负责设定业务恢复 指标、创立业务恢复计划、建立业务恢复资源等，强调了以业务为主体的连续性管理职能及业务部门在全行业务连续性 建设中的义务和重要作用。业务影响分析。强调业务连续性管理是对银行业务的识别、分析、量化指标的过程，是制定业务连续性管理的策略 及规划的重要手段。业务影响分析应从识别重要业务入手，明确重要业务的归口部门，量化业务中断对银行的影响，分 析业务恢复指标，明确业务运作所依赖的关键资源中断的影响范围及恢复指标。商业银行在业务影响分析过程中，应关 注业务部门与业务条线之间的对应关系，关注业务之间的依赖关系，关注重要业务与关键资源的对应关系。指引明 确提出商业银行重要业务恢复时间目标与恢复点的指标要求，重要业务恢复时间要求包括资源恢复时间和处置决策过程 业务验证过程等。业务连续性计划与资源建设。商业银行应建立覆盖所有重要业务和应对大范围业务运营中断的总体应急预案，以及 针对不同场景的专项应急预案，应注重总体应急预案与专项应急预案之间的关系，业务预案应关注与其他预案之间的衔 接，做到全行应急“一盘棋”，并将外部供应商、金融同业及其他外部机构纳入业务连续性计划范围。在业务连续性计 划所需资源建设方面，不仅要加强在应急及恢复过程中的备份资源建设，还应加强信息系统在日常生产中的高可用性建 设，减少系统中断的几率。业务连续性演练与持续改进，它是业务连续性计划、预案、资源是否有效的验证和保障。一方面，商业银行要保障 演练的计划性与针对性，应把演练作为一项日常工作有计划、定期开展，要针对重要业务中断场景、重大业务活动、重 大社会活动等关键时点开展演练；另一方面，要保障演练的实操性与全面性，商业银行应注重以真实业务接管为目标， 开展全行性演练并将外部供应商、基础设施保障单位等纳入演练范畴，三年内应实现所有重要业务的演练全覆盖。评估 与改进方面，商业银行应做到评估与审计、内外部评估、全面与专项审计相结合，及时发现问题和改进。运营中断事件应急处置。首先，在业务的监测与预警方面，商业银行需建立自动化、智能化的监测手段，从单纯信 息系统监测向业务监测发展，从被动监控到主动监控，加强关键业务时点的系统压力监测，建立科技与业务部门间、银 行与外部单位间的风险信息提示与共享。其次，在事件处置阶段，不仅要按照一体化应急流程，对事件实施分级分类处 置，更应关注业务应急处置措施的运用。要按照业务应急预案，通过减少服务功能、缩小服务范围，保障关键、紧急的 业务处理，或利用替代系统、手工记账、分支机构或他行支付渠道等手段进行业务应急处置，加强对外沟通，最大程度 降低负面影响，而非一味等待信息系统的恢复。再次，在应急及灾难恢复中，银行应加强危机管理，指派专门的部门负 责危机处理，加强舆情监测、信息沟通和发布，以消除或降低负面影响。国外经验表明，发生重大事件后，一些银行不 是因为中断造成的损失而难以为继，却是丢掉了客户的信任、丧失信誉而逐步走向衰落。指引旨在“强化事前监管要求、建立事中处理流程、明确事后报告路径”，它是银监会在日常监管与银行突发 事件处置中的指导与监管工具，也是目前我国在“业务连续性”管理领域的第一份监管指引。加强银行业业务连续性管理的建议积极推进商业银行业务连续性监管指引的贯彻落实，加快建立和完善银行业金融机构业务连续性管理体系。要 充分借鉴和引进国际先进实践和标准规范，加强组织建设，明确责任、落实工作职责，科学制订业务连续性计划，系统 地推进灾备系统、应急体系建设，积极开展应急演练。建立常态化评估维护机制，形成企业的BCM文化，使每个员工建 立防灾意识，自觉自愿的参与到银行的BCM各流程活动中。加大力度推进银行业金融机构的应急演练工作，积极开展银行业行业性应急演练和金融跨业应急演练工作。鼓励金 融机构进行业务连续性管理的演练活动，组织协调由金融管理部门、基础设施供应商和多个金融机构参与的联合演练活 动，持续提高金融机构的业务连续性管理的实践能力，增强我国金融业的整体业务持续性能力。加强与行业外其他政府部门的应急协调，建立有效的应急协作联动机制。虽然国家各有关部门建立了应对突发事件 的应急预案和组织机构，但部门间的条块分割管理使协调较为困难，难以形成合力，极大地影响了应急效能。在金融全 球化、综合化、信息化发展的大趋势下，应充分借鉴国外先进实践。对内，要深入推动银行、证券、保险建立有效的应 急联动处置机制，制订金融业联合应急预案，成立跨业的应急处置小组，加强信息沟通、资源共享、统一协调，提高处 置能力；向外，要加强银行与电力、电信、公安等部门的信息交流，建立风险监测预警机制，整合信息源，积极开展风 险分析和预警；制订金融业与其他政府部门的跨业应急预案，提高行业整体的应对突发事件能力和水平。要建立银行业业务持续性管理的评估和持续改进机制。要建立对监管部门、银行业金融机构的业务持续性管理计划 和活动的评估维护程序，发现问题、持续改进质量。要研究建立银行业金融机构业务持续性管理的成熟度模型，促使银 行业的业务持续运作能力从初级阶段达到高度协调、可衡量，具备高度成熟、能应对百年一遇甚至更高标准突发事件的 能力。（作者单位：中国银行业监督管理委员会银行业信息科技监管部）巳