《5、商业银行业务连续性监管指引》由会员分享，可在线阅读，更多相关《5、商业银行业务连续性监管指引（14页珍藏版）》请在金锄头文库上搜索。
1、中国银行业监视管理委员会文件银监发2021104号中国银监会关于印发商业银行业务连续性监管指引的通知各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、企业集团财务公司、金融租赁公司：为加强商业银行风险管理，提高业务连续性管理能力，促进商业银行有效履行社会责任，维护公众信心和银行业正常的运营秩序，银监会制定了?商业银行业务连续性监管指引?，现印发给你们，请遵照执行。请各银监局将本通知转发至辖内银监分局及银行业金融机构。中国银行业监视管理委员会二 一一年十二月二十八日商业银行业务连续性监管指引第一章总那么第一条信息系
2、统与信息科技是保障商业银行业务持续运营的重要根底。为降低或消除因信息系统效劳异常导致重要业务运营中断的影响，快速恢复被中断业务，维护公众信心和银行业正常运营秩序，提高商业银行业务连续性管理能力，根据?中华人民XX国银行业监视管理法?、?中华人民XX国商业银行法?以及相关法律法规，制定本指引。第二条本指引所称业务连续性管理是指商业银行为有效应对重要业务运营中断事件，建立应急响应、恢复机制和管理能力框架，保障重要业务持续运营的一整套管理过程，包括策略、组织架构、方法、标准和程序。第三条本指引所称重要业务是指面向客户、涉及账务处理、时效性要求较高的银行业务，其运营效劳中断会对商业银行产生较大经济损失
3、或声誉影响，或对公民、法人和其他组织的权益、社会秩序和公共利益、国家平安造成严重影响的业务。第四条本指引所称重要业务运营中断事件以下简称运营中断事件是指因下述原因导致信息系统效劳异常、重要业务停顿运营的事件。主要包括： 一信息技术故障：信息系统技术故障、配套设施故障；二外部效劳中断：第三方无法合作或提供效劳等；三人为破坏：黑客攻击、恐惧袭击等；四自然灾害：火灾、雷击、海啸、地震、重大疫情等。第五条商业银行应当将业务连续性管理纳入全面风险管理体系，建立与本机构战略目标相适应的业务连续性管理体系，确保重要业务在运营中断事件发生后快速恢复，降低或消除因重要业务运营中断造成的影响和损失，保障业务持续运
4、营。第六条商业银行应当根据本行业务开展的总体目标、经营规模以及风险控制的根本策略和风险偏好，确定适当的业务连续性管理战略。第七条商业银行应当建立业务连续性管理的组织架构，确定重要业务及其恢复目标，制定业务连续性方案，配置必要的资源，有效处置运营中断事件，并积极开展演练和业务连续性管理的评估改进。第八条 业务连续性管理的根本原那么是：一切实履行社会责任，保护客户合法权益、维护金融秩序；二坚持预防为主，建立预防、预警机制，将日常管理与应急处置有效结合；三坚持以人为本，重点保障人员平安；实施差异化管理，保障重要业务有序恢复；兼顾业务连续性管理本钱与效益；四坚持联动协作，加强沟通协调，形成应对运营中断
5、事件的整体有效机制。第九条商业银行应当将业务连续性管理融入到企业文化中，使其成为银行机构日常运营管理的有机组成局部。第二章业务连续性组织架构第一节日常管理组织架构第十条董理事会是商业银行业务连续性管理的决策机构，对业务连续性管理承担最终责任。主要职责包括：一审核和批准业务连续性管理战略、政策和程序；二审批高级管理层业务连续性管理职责，定期听取高级管理层关于业务连续性管理的报告，监视、评价其履职情况；三审批业务连续性管理年度审计报告。第十一条高级管理层负责执行经董理事会批准的业务连续性管理政策。主要职责包括：一制定并定期审查和监视执行业务连续性管理政策、程序；二明确各部门业务连续性管理职责，明确
6、报告路线，审批重要业务恢复目标和恢复策略，催促各部门履行管理职责，确保业务连续性管理体系正常运行；三确保配置足够的资源保障业务连续性管理的实施。第十二条商业银行应当设立由高级管理层和业务连续性管理相关部门负责人组成的业务连续性管理委员会，统筹协调、落实各项管理职责。第十三条商业银行应当指定风险管理部门或其他综合管理部门为业务连续性管理主管部门，组织开展全行业务连续性管理工作，指导、评估、监视各部门的业务连续性管理工作；组织制定业务连续性方案，协调业务条线部门，汇总、确定重要业务的恢复目标和恢复策略；组织开展业务连续性方案的演练、评估与改进；开展业务连续性管理培训等。第十四条商业银行应当明确业务
7、连续性管理执行部门，包括业务条线部门与信息科技部门。业务条线部门负责风险评估、业务影响分析，确定重要业务恢复目标和恢复策略，负责业务条线重要业务应急响应与恢复；信息科技部门负责信息技术应急响应与恢复。第十五条商业银行应当明确业务连续性管理保障部门，包括办公室、人力资源部门、公共关系部门、财务部门、法律合规部门、后勤部门、保卫部门等，为业务连续性日常管理提供人力、物力、财力以及平安保障和法律咨询。其中，公共关系部门应当制定对外媒体公关策略，制定和执行对外媒体公关的应急预案。第十六条商业银行各部门应当负责本部门业务连续性管理工作，制定相关规章制度，制定和执行本部门业务连续性方案，开展本部门业务连续
8、性方案的演练、评估与改进工作。第十七条商业银行内部审计部门应当负责并定期开展全行业务连续性管理审计工作。第二节应急处置组织架构第十八条商业银行应当建立运营中断事件应急处置的组织架构，包括应急决策层、应急指挥层、应急执行层和应急保障层。第十九条应急决策层由商业银行高级管理人员组成，负责决定应急处置重大事宜，包括：决定运营中断事件通报、对外报告和公告；批准启动总体应急预案等。第二十条应急指挥层由商业银行的业务连续性管理主管部门、执行部门和保障部门负责人组成，负责运营中断事件处置应急指挥和组织协调，督导应急处置实施。第二十一条应急执行层由商业银行业务连续性管理执行部门组成，负责业务条线与信息技术应急
9、处置工作。第二十二条应急保障层由商业银行业务连续性管理保障部门组成，负责应急处置所需人力、物力和财力等资源的保障，应急处置对外报告、宣告、通报和沟通与协调，以及对外媒体公关、秩序维护、平安保障、法律咨询和人员安抚等相关工作。第三章业务影响分析第二十三条商业银行应当通过业务影响分析识别和评估业务运营中断所造成的影响和损失，明确业务连续性管理重点，根据业务重要程度实现差异化管理，确定各业务恢复优先顺序和恢复指标。商业银行应当至少每三年开展一次全面业务影响分析，并形成业务影响分析报告。第二十四条商业银行应当识别重要业务，明确重要业务归口管理部门、所需关键资源及对应的信息系统，识别重要业务的相互依赖关
10、系，分析、评估各项重要业务在运营中断事件发生时可能造成的经济损失和非经济损失。第二十五条商业银行应当综合分析重要业务运营中断可能产生的损失与业务恢复本钱，结合业务效劳时效性、效劳周期等运行特点，确定重要业务恢复时间目标业务RTO、业务恢复点目标业务RPO )，原那么上，重要业务恢复时间目标不得大于4小时，重要业务恢复点目标不得大于半小时。第二十六条商业银行应当明确业务重要程度和恢复优先级别，并识别重要业务恢复所需的必要资源。第二十七条商业银行应当通过分析业务与信息系统的对应关系、信息系统之间的依赖关系，根据业务恢复时间目标、业务恢复点目标、业务应急响应时间、业务恢复的验证时间，确定信息系统恢复
11、时间目标信息系统RTO、信息系统恢复点目标信息系统RPO )，明确信息系统重要程度和恢复优先级别，并识别信息系统恢复所需的必要资源。第二十八条商业银行应当开展业务连续性风险评估，识别业务连续运营所需的关键资源，分析资源所面临的各类威胁以及资源自身的脆弱性，确定资源的风险敞口。关键资源应当包括关键信息系统及其运行环境，关键的人员、业务场地、业务办公设备、业务单据以及供应商等。第二十九条商业银行应当根据风险敞口制定降低、缓释、转移等应对策略。依据防X或控制风险的可行性和剩余风险的可承受程度，确定风险防X和控制的原那么与措施。第三十条商业银行应当根据业务影响分析结果，依据业务恢复指标，制定差异化的业
12、务恢复策略，主要包括关键资源恢复、业务替代手段、数据追补和恢复优先级别等。第三十一条商业银行应当依据业务恢复策略，确定灾难恢复资源获取方式和灾难恢复等级。第四章业务连续性方案与资源建立第一节业务连续性方案第三十二条商业银行应当依据业务恢复目标，制定覆盖所有重要业务的业务连续性方案。第三十三条业务连续性方案的主要内容应当包括：一重要业务及关联关系、业务恢复优先次序；二重要业务运营所需关键资源；三应急指挥和危机通讯程序；四各类预案以及预案维护、管理要求；五剩余风险。第三十四条商业银行应当制定总体应急预案。总体应急预案是商业银行应对运营中断事件的总体方案，包括总体组织架构、各层级预案的定位和衔接关系
13、及对运营中断事件的预警、报告、分析、决策、处理、恢复等处置程序。总体预案通常用于处置导致大X围业务运营中断的事件。第三十五条商业银行应当制定重要业务专项应急预案，专项应急预案应当注重灾难场景的设计，明确在不同场景下的应急流程和措施。业务条线的专项应急预案，应当注重调动内部资源、采取业务应急手段尽快恢复业务，并和信息科技部门、保障部门的应急预案有效衔接。第三十六条专项应急预案的主要内容应当包括：一应急组织架构及各部门、人员在预案中的角色、权限、职责分工；二信息传递路径和方式；三运营中断事件处置程序，包括预警、报告、决策、指挥、响应、回退等；四运营中断事件处置过程中的风险控制措施；五运营中断事件的
14、危机处理机制；六运营中断事件的内部沟通机制和联系方式；七运营中断事件的外部沟通机制和联系方式；八应急完成后的复原机制。第三十七条商业银行应当要求重要业务及信息系统的外部供应商建立业务连续性方案，证明其业务连续性方案的有效性，其业务恢复目标应当满足商业银行要求。第三十八条商业银行应当注重与金融同业单位、外部金融市场、金融效劳平台和公共事业部门等业务连续性方案的有效衔接；同时，应当积极采取风险缓释及转移措施，有效控制由于外部机构业务连续性管理不充分可能产生的风险。第二节业务连续性资源建立第三十九条商业银行应当开展业务连续性方案所需的资源建立，满足业务恢复目标和重要业务持续运营的要求。第四十条商业银
15、行应当重点加强信息系统关键资源的建立，实现信息系统的高可用性，保障信息系统的持续运行并减少信息系统中断后的恢复时间。第四十一条商业银行应当设立统一的运营中断事件指挥中心场所，用于应急决策、指挥与联络，指挥场所应当配置办公与通讯设备以及指挥执行文档、联系资料等。第四十二条商业银行应当建立符合业务连续性管理要求的备用资源，如备用业务和办公场所资源、备用信息系统运行场所资源、备用信息技术资源、备用人力资源等，以及电力、通讯、消防、安保等资源。第四十三条商业银行选择备用场地时，应当确保不会同时遭受同类型风险；应当综合分析备用场地所在地的自然环境、地区配套设施、区域经济环境、交通条件、政策环境和本钱等各方面因素，以及灾难恢复所需的金融效劳、通讯、设备、技术等外部效劳供应商资源情况。第四十四条商业银行在建立备用业务和办公场所时，应当配备业务操作和办公所需资源，并确保其能够迅速启用。第四十五条商业银行应当建立灾备中心等备用信息技术资源和备用信息系统运行场所资源，并满足银监会关于数据中心相关监管要求。第四十六条商业银行应当明确关键岗位的备份人员及其备份方式，并确保备份人员可用，降低关键岗位人员无法及时履职风险。第五章业务连续性演练与持续改
