金融机构业务连续性管理.docVIP

金融机构业务连续性管理 　　随着银行业在我国的国民经济中扮演越来越重要的角色，在银行业建立全面风险管理体系，并为风险加权资产配置充足的资本成为摆在银行面前无法回避的问题。2007年银监会将“业务连续性计划的监管控制”作为一个独立的评价部分，要求各家银行进行自我评估并相继出台了一系列旨在针对信息系统安全稳健运行的监管指引。2011年底，银监会正式发布了104号文《商业银行业务连续性监管指引》，该《指引》对商业银行实施业务连续性管理提出了具体的管理要求和实施时点要求。 　　虽然根据监管要求及内部管理需要，我国部分商业银行和金融机构已着手开展业务连续性规划设计工作和实施工作，但业务连续性管理工作对国内银行业而言是全新领域，目前国内金融机构此项工作还处于“摸着石头过河”的阶段，各家机构资源投入、开展情况各不相同。 　　 01 　　金融机构BCM现状 　　致同企业风险服务合伙人李辉介绍，我国金融机构相较于海外同行们在业务连续性管理（BCM）相对起步较晚。从2001年“911事件”之后，国内才开始真正重视业务连续性方面的工作，并快速经历了从探索到实践的发展过程。我国金融机构在IT系统的连续性计划方面做了不少工作，不少机构投入大量资源建立灾难备份中心，也积累了一定的宝贵经验。但从总体上看，在21世纪伊始，我国绝大部分金融机构对于BCM的主要工作和意识仍停留在IT系统灾难恢复的技术层面，仍未建立以全面业务恢复为目标的全面业务连续性管理的需求规划、应急响应策略、流程和持续维护等机制。 　　对于在华外资银行来说，由于其海外母行已拥有相对成熟和全面的BCM体系、制度、组织架构以及管理工具，它们中的绝大多数机构目前均在此基础上构架了相应的BCM管理体系，并已通过运用诸如业务影响分析、风险评估、演练评估等管理工具和手段，对于BCM系统进行持续改进。虽然目前在BCM管理本土化方面，特别是应对本土监管最新要求方面，在华外资金融机构仍有一些针对性工作有待完成，不过总体上而言它们目前已处于持续提升阶段，在国内BCM方面属于领先者。 　　李辉继续介绍，对于我国大型商业银行（以工农中建交五大行及部分大型股份制银行为代表），由于其已积累了丰富和大量的IT系统灾难恢复工作，同时为了达成新资本协议的相关目标，进一步走上了国际化、综合化的道路，它们在BCM体系建设方面也起步较早，目前已基本完成了业务连续性管理体系、制度、组织架构等上层框架的搭建，并在此前提下逐步重点推进了各环节工作在执行层面的落实。 　　而我国众多的中小型商业银行由于在基础建设、人员意识、社会影响度等方面与大型银行存在的差距，目前对于BCM尚处于加强认识和统一意识，并出于应对逐步严苛的监管要求的目的，开始着手进行BCM体系规划和实施的工作。“因此目前大量的中小型银行正根据自身不同的发展周期，计划开展有针对性的BCM建设工作，但在与他们中的一些机构开展的项目合作以及交流沟通中，我们也深刻地认识到BCM在此类组织中发展相对较为缓慢，建设中遇到的困难也较为复杂多样，例如无法有效使用BCM管理工具和手段，距离形成完善的BCM管理体系尚需大量的工作。”李辉强调。 　　国际上，BCM也是从上世纪80年代至90年代初的应急计划和IT灾难恢复的雏形中逐渐完善形成的，并随着时间的推移，商业组织逐渐意识到应急计划和灾难恢复应该成为以业务持续运营为主导的过程，BCM作为一门学科逐渐得到社会的重视。尤其是在2001年美国911恐怖事件后，BCM在应对在灾难，保障业务持续运作方面的作用更是得到了充分的验证。这里我们有必要反观这些领先组织的BCM管理在实践中所起到的效果。NYBOT（纽约商品交易所）曾经历了世贸中心车库爆炸案（1993），从此吸取了经验教训，自身制定了相应业务连续性计划，并坚持10年演练。其在9.11事件几个小时后就在长岛开始恢复交易，在异地恢复了运营。NYBOT劫后逢生的关键，便是其对于BCM体系的建设以及长期的持续改进和坚持贯彻。而据美国权威机构统计，那些在9.11事件发生后在两周内未恢复正常运营的机构，已有逾7成于2-3年之内宣告破产。 　　就目前我国金融机构业务连续性管理现状水平是否能够有效应对类似的事件，并且像海外同行一样快速进行业务持续运营？对于绝大多数我国金融机构，李辉的答案可能并不是非常乐观。“目前我国业务连续性仍处于初级阶段，特别是中小型银行和其他金融机构，在与国际标准与领先实践上存在不小差距，亟待得到提升，这不仅仅是出于监管合规目的。” 　　 02 　　差距的根源 　　在李辉看来，许多金融机构在实际落实监管要求过程中，往往形式重于实质，侧重于应对形式上的达标，而非真正地从提供企业业务连续性管理能力的角度出发进行管理体系的构建和运作。这一方面与我国金融机构业尚未真正经历过