银行业务连续性管理体系建设方法探析.docVIP

银行业务连续性管理体系建设方法探析 　　【摘要】本文以某银行业务连续性管理体系建设为研究背景，总结实践过程中的困难及问题，对业务连续性管理体系建设的重点及难点提出解决思路；结合国内外先进同业实践经验，在业务影响分析和风险评估阶段提出矩阵模型分析法，有效地筛选出业务恢复优先级别，为国内银行建设业务连续性管理体系提供参考方法和工作思路，具有实践参考意义 【关键词】业务连续性管理体系 业务影响分析和风险评估 矩阵模型分析法 一、引言 2011年银监会向全国商业银行等金融机构下发《商业银行业务连续性监管指引》（银监发〔2011〕104号，以下简称：《指引》），从业务连续性组织架构、业务影响分析、业务连续性计划与资源建设、业务连续性演练与持续改进、运营中断事件应急处置等几个方面指导国内金融机构建设业务连续性管理体系。自发文以来，国内银行一直根据监管的要求建立符合自身发展的业务连续性管理体系，然而，业务连续性管理体系的建设涉及面广、建设周期长，从“软件”方面来看，涉及现状调研、方案及计划制定、业务影响分析和风险评估、重要业务范围界定、制度建设、总体和专项应急预案建设、演练等内容，从”硬件”方面来看，涉及数据中心及灾备中心建设，需要大量的资金及时间等资源的投入，虽然《指引》发文已5年有余，但极少数银行可以完全按照监管的要求建立全面健全的业务连续性管理体系 本文以某银行业务连续性管理体系建设为研究背景，总结业务连续管理体系建设过程中的重点及难点并提出解决思路，为国内银行同业提供参考方法 二、业务连续性管理体系建设重、难点解决措施 在业务连续性管理体系建设实践中，组织架构、业务连续性计划、业务连续性应急预案等工作实施难度较低，难点在于业务影响分析、总分行资源建设、业务连续性演练等工作，本文着重介绍上述难点的建设过程 （一）业务影响分析 业务影响分析的主要目标是帮助银行通过识别和评估业务运营中断造成的影响，明确业务连续性管理重点，根据业务重要程度进行差异化管理，制定不同业务的恢复目标、恢复次序、确定支持重要业务对应的信息系统的恢复目标，其主要工作包括2个方面的内容，一方面是现状调研，另一方面是业务影响分析和风险评估 在现状调研阶段，由于该项工作涉及全行所有业务以及大部份部门，可采取培训、访谈、召开研讨会、调查问卷等方式，逐步推进工作开展，初步梳理出重要业务清单 在业务影响分析和风险评估阶段，结合国内外先进实践经验，采取财务影响和非财务影响两个维度对初步梳理出来的各项业务进行风险评估。财务影响和非财务影响均采用评分制，其中，财务影响主要评估该项业务中断一个工作日给银行带来的收入损失，可根据银行自身业务收入水平设置分值，该项指标是较为客观的估值；非财务影响则综合评估该项业务中断可能给银行带来的影响，如：监管负面影响、声誉损失、客户负面情绪、投资者信心/忠诚度降低、法律/诉讼风险、国家金融秩序稳定等，该项指标具有一定的主观因素，为避免主观因素影响程度过大，可采取两种方式降低影响：一是扩大调查问卷的样本量，二是对非财务影响的各个要素设置权重值，对财务影响及非财务影响设置综合评分规则。特别地，对于后台运营类、渠道类业务（比如：自助银行业务），虽然不直接产生业务收入，但它是其他业务产生收入的必要条件之一，对于此类业务计算该渠道所承载的各业务种类收入之和作为该渠道的业务收入 在确定各项业务的财务影响和非财务影响指标基础上，采取矩阵模型分析法进一步确定业务恢复的优先顺序。在确定业务恢复的优先顺序的基础上，进一步确定该业务对应的信息系统恢复目标，以指导关键信息系统的资源建设。《指引》要求，“原则上重要业务的RTO不得大于4小时，重要业务的RPO不得大于半小时”，在信息系统资源建设中，关键信息系统的恢复能力应满足重要业务RTO、RPO的时效要求 （二）总、分行资源建设 业务连续性资源建设属于“硬件”设施范畴，主要涉及总行同城、异地灾备中心以及分行机房设备的建设 在总行层面，同城、异地灾备中心应建立重要信息系统的备份，在日常工作中应加强对灾备中心机房的巡检，确保系统正常运行。在分行层面，应从供电、网络、系统建设等方面实现全方位的应急措施，比如在供电环节，分行除配置双线路供电外，还要配备不间断电源（UPS）和应急发电机；在网络连接环节，不仅要配置不同运营商的网络线路，还要配置无线设备，确保在极端情况下仍能保障重要业务持续运营 （三）业务连续性演练 虽然《指引》对国内商业银行开展业务连续性演练的具体方式未作硬性要求，许多银行在演练环节采用较为简单的桌面演练以应付监管的要求，这种方式虽然成本较低，但效果不好，难于检验应急预案的可行性，在实践中，某银行根据业务重要程度有针对性地对重要信息系统开展实战演