业务连续性计划监管控制自我评估模板（一）.docVIP

业务连续性计划监管控制自我评估模板 PAGE 目 录 风险点 子风险点 风险控制要求 1. 高层监督和治理 1.1高级管理层监督力度不足 1.1.1. 制定策略、流程和职责 1.1.2. 业务连续性规划的组织 1.1.3. 监测和报告机制 1.1.4. 独立评估机制 1.1.5. 管理层签报机制 2. 业务规划与开发 2.1.业务连续性规划覆盖范围不足 2.1.1. 规划的基本原则 2.2.无效的业务影响分析 2.2.1. 重要部门设置 2.2.2. 2.3. 不完善的业务恢复机制 2.3.1. 业务恢复机制 2.3.2.业务连续性规划最低要求 2.4. 不适当的恢复组织机构设置 2.4.1. 危机管理小组 2.4.2. 危机管理指挥中心 2.4.3. 业务重置和工作小组 2.5.缺乏必要的文档记录管理 2.5.1. 危机管理流程设置 2.5.2. 业务重置 2.5.3. 突发事件应急处理联络和恢复项目列表 2.5.4. 技术恢复方案 2.6无效的数据信息恢复 2.6.1.重要信息的定义 2.6.2. 重要信息记录管理 2.6.3. 2.7.风险化解和转移措施不足 2.7.1. 其他风险化解和转移措施 3. 备份中心 3.1. 备份中心的设置缺陷 3.1.1. 业务重置备份中心的建设 3.1.2. 备份中心的启动就绪要求 3.1.3. 技术恢复备份中心的建设 3.1.4. 电信网络连接备份 3.1.5. 外包备份中心的管理 3.1.6. 互惠的业务恢复协议 4. 测试与维护 4.1. 测试能力不足 4.1.1. 业务连续性规划的测试频度 4.1.2. 业务连续性规划的测试范围 4.1.3. 测试文档管理 4.1.4. 业务连续性规划测试的后评价 4.2. 缺乏定期维护工作 4.2.1. 变更管理 4.2.2. 业务连续性规划文档的存取管理 4.2.3. 外部服务提供商管理 - PAGE 8 - 风险点 1.高层监督和治理 被监管机构的业务连续性规划缺乏高级管理层监督和支持，包括监管、监测、独立评估和可说明性 子风险点 1.1. 高级管理层监督力度不足 缺乏可说明性，清晰的指导方向和管理层应承担的义务. 风险控制 要求 1.1.1. 制定策略、流程和职责 高级管理层已建立业务连续性规划的相关策略、标准和流程，经由董事会讨论批准。被监管机构的董事会和高级管理层对业务连续性规划及其实施效果负最终责任。 风险 详情 风险评级 绿/黄/红/蓝 问题或差距 最多1000字 说明性资料 最多1000字 相关文件 最多225字 整改 计划 标题 最多50字 完成日期 统一 年月日格式 整改计划内容 最多1000字 风险 已可控 说明原因 最多255字 弥补性措施 最多1000字 1.1.2. 业务连续性规划的组织 高级管理层已明确设立部门负责业务连续性规划的整体流程管理 风险 详情 风险评级 绿/黄/红/蓝 问题或差距 最多1000字 说明性资料 最多1000字 相关文件 最多225字 整改 计划 标题 最多50字 完成日期 统一 年月日格式 整改计划内容 最多1000字 风险 已可控 说明原因 最多255字 现有措施 最多1000字 1.1.3. 监测与报告机制 已制定并实施了正式的业务连续性规划评估、监测和汇报程序。业务连续性规划负责部门定期向董事会汇报业务连续性规划的测试情况。任何业务连续性规划的重要变更均向高级管理层报告。 风险 详情 风险评级 绿/黄/红/蓝 问题或差距 最多1000字 说明性资料 最多1000字 相关文件 最多225字 整改 计划 标题 最多50字 完成日期 统一 年月日格式 整改计划内容 最多1000字 风险 已可控 说明原因 最多255字 现有措施 最多1000字 1.1.4. 独立评估机制 被监管机构的内部审计部门或其他独立机构，对业务连续性规划的有效性进行定期评估，并评估业务连续性规划是否与被监管机构的策略和标准相一致。 风险 详情 风险评级 绿/黄/红/蓝 问题或差距 最多1000字 说明性资料 最多1000字 相关文件 最多225字 整改 计划 标题 最多50字 完成日期 统一 年月日格式 整改计划内容 最多1000字 风险 已可控 说明原因 最多255字 现有措施 最多1000字 1.1.5. 管理层签报机制 被监管机构的主要负责人向董事会提交正式的年度报告，说明已采用的恢复策略是否有效，已制定的业务连续性规划是否进行了有效的测试和维护。 风险 详情 风险评级 绿/黄/红/蓝 问题或差距 最多1000字 说明性资料 最多1000字 相关文件 最多225字 整改 计划 标题 最多50字 完成日期 统一 年月日格式 整改计划内容 最多1000字 风险 已可控 说明原因 最多255字