关于商业银行业务连续性管理(BCM)架构体系的研究

金融业务连续性管理制度研究[摘要]业务连续性管理对维系金融机构生存和发展至关重要，英美国家在这方面拥有丰富的风险管理经验，并形成了良好的管理制度安排。

我国金融行业在业务连续性管理方面经验不足，通过比较研究英美两国在业务连续性管理方面的应急机制和制度安排，我国有必要从部门协调、国际合作、目标群体等几个方面完善金融业务连续性管理制度。

[关键词]业务连续性；金融系统；金融中心业务连续性管理（Business Continuity Management，简称BCM）是一项综合管理流程，它使企业认识到潜在的危机和相关影响，制订响应、业务和连续性的恢复计划，其总体目标是为了提高企业的风险防范能力，以有效地响应非计划的业务破坏并降低不良影响。

在金融服务领域，业务连续性管理已经是金融风险管理的一部分，但这项工作在理论和实践中普遍缺乏重视和紧迫感。

人们普遍认为办公场所发生业务中断或地震、台风以及恐怖袭击等的概率很小，而很少对此进行专门研究和规划。

而此类事件一旦发生，其对金融系统的稳定将带来严重的影响。

我国要把上海建成为国际金融中心，更多核心的金融机构将聚集到上海，上海需要创设一个更为优越的法律环境。

[1]上海国际金融中心也需要建立一套完整的业务连续性管理制度，以应对突发事件，保障金融中心的连续运营。

我国金融行业起步晚，金融业务连续性管理制度，与英美国家以及国际标准相比，还存在很多不成熟的地方。

本文通过对国际国内金融业务连续性和应急机制的比较，并结合我国目前现有的相关BCM管理制度，探讨如何更好地推动BCM管理制度贯彻落实，从而保障我国金融行业业务的连续运行，实现国家经济可持续发展。

一、金融业务连续性管理制度的必要性（一）现实必要性分析以美国为例，根据福布斯统计美国证券交易所100 年的历史中，曾发生了10个重大事件使华尔街暂停运营。

比如“911事件”，恐怖分子袭击了纽约世界贸易中心，美国金融系统被迫关闭。

纽约银行声明恐怖袭击破坏了部分计算机系统，一些分支机构被迫关闭，其第三季度的利润因此下降了33%。

业务连续性管理体系指南英文回答：Business Continuity Management System (BCMS)。

Introduction.A Business Continuity Management System (BCMS) is a framework that helps organizations develop and implement plans to ensure the continuity of critical business operations in the event of a disruptive event. It provides a systematic approach to identifying, assessing, and mitigating risks to an organization's ability to operate effectively.Components of a BCMS.A BCMS typically includes the following components:Scope and Objectives: Defines the scope of the BCMSand establishes its objectives.Risk Assessment: Identifies and assesses potential risks that could disrupt critical business operations.Business Impact Analysis (BIA): Determines the potential impact of disruptions on business operations.Business Continuity Plan (BCP): Outlines the procedures for responding to and recovering from disruptions.Incident Response Plan (IRP): Provides guidance for responding to specific incidents that could disrupt business operations.Exercises and Training: Regularly tests and exercises the BCMS to ensure its effectiveness.Management Review: Periodically reviews the BCMS to ensure its continued effectiveness and alignment with the organization's strategic objectives.Benefits of a BCMS.Implementing a BCMS provides several benefits to organizations, including:Enhanced operational resilience and reduced downtime in the event of disruptions.Improved ability to recover quickly from disruptions, minimizing financial losses and reputational damage.Increased stakeholder confidence, demonstrating the organization's commitment to business continuity.Compliance with regulatory requirements for business continuity planning.ISO 22301 BCMS Standard.ISO 22301 is an international standard that provides guidelines for establishing, implementing, maintaining, andimproving a BCMS. It provides a common framework for organizations to ensure their business continuity arrangements are effective and aligned with best practices.Conclusion.A BCMS is an essential part of modern risk management and business planning. It helps organizations prepare for and recover from disruptions, ensuring the continuity of critical business operations and minimizing the impact of unforeseen events.中文回答：业务连续性管理体系（BCMS）。

加强商业银行业务连续性管理的分析与思考经济全球化和金融市场开放的加速，催生了更加激烈的国内外竞争格局，金融危机的洗礼使得国际、国内经济和金融环境变得愈加复杂，如何在日趋激烈的市场竞争中实现银行业金融机构的持续发展，如何在愈加恶劣的生存环境和更为复杂的技术应用条件下增强机构应对灾难和各种突发事件的能力，保障业务连续性运营，成为国内银行业金融机构面临的重点和难点问题。

一、形势与背景从国际上看，业务连续性管理（BCM）的发展依赖于灾害事件的驱动，灾难事件频繁发生促使各国提高防灾意识和推进BCM管理的主动性。

国外发达国家在此领域已有10年的发展历史，9.11事件之后，国际社会出台了一系列业务连续性相关的标准、政策，如英国标准协会BS25999、新加坡SS540业务连续性管理标准等，目的是指导企业以保障业务持续运营为目标，建立起覆盖整个企业的常态化、系统化管理机制，有效应对事故和灾难、快速恢复业务；美国、香港等国际银行业监管当局也相继发布了业务连续性监管要求。

我国的业务连续性与灾难恢复建设在本世纪刚刚起步，基本围绕应急管理和灾难复两个方面开展实践。

2003年的“SARS”、2008年的汶川地震等灾难事件，使我国政府部门和企业提高了对灾难应对、应急管理的重视和认识，国家用了5年左右的时间，基本建立了覆盖地震、卫生、电力、通信等一系列、全面应对灾害的应急管理机制，制定了从国家总体预案、部门预案、地方政府预案到重要企事业单位的较为全面的应急预案体系。

与此同时，随着信息技术的发展和社会基础设施对信息系统依赖度的提高,保障关键信息系统服务功能在灾难情况下尽快恢复显得尤为迫切，2005年国务院信息化工作办公室组织银行、证券、保险、电力、民航、铁路、海关、税务等8个国家重要信息系统所在行业，编制、发布了《重要信息系统灾难恢复指南》，有力地促进了国家重要行业信息系统的灾难恢复建设工作。

二、银行业务连续性管理的现状与问题近年来我国银行业业务发展迅猛，大型银行的资本总额、开户数量、业务处理量已位居世界前列，经营范围遍及全国并在海外快速扩张，一旦业务停顿，可能影响全行乃至整个金融体系的正常运转，并影响社会稳定。

标准咨询CHINA QUALITY AND STANDARDS REVIEW业务连续性管理体系（BCMS）相关标准介绍张旭刚（中国金融认证中心）韩少伟（内蒙古自治区公安厅）谢宗晓（中国金融认证中心）标 准 解 读1　概述随着自然灾害和人为事故的频繁发生，企业的业务连续性管理（Business Continuity Management，BCM）越来越受到重视，尤其是银行业，一旦发生核心业务中断，且在规定时间内１）未完成恢复，不仅会给银行的声誉和利益带来严重影响和损失，而且会影响社会稳定。

鉴于此，2011年12月，银保监会２）发布了《商业银行业务连续性监管指引》（银监发〔2011〕104号），正式对商业银行业务连续性建设提出了全面的、体系化的监管要求。

2017年6月1日，《中华人民共和国网络安全法》正式实施。

其中第三十三条规定，“建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用”。

进一步又明确了重要系统的业务连续性在我国的法律地位。

通常容易将业务连续性管理（BCM）与灾难恢复（Disaster Recovery，DR）混淆。

在ISO 22301:2012《公共安全　业务持续性管理体系　要求》中，业务连续性管理（BCM）定义为“识别对组织的潜在威胁以及这些威胁一旦发生可能对业务运行带来的影响的一整套管理过程。

该过程为组织建立有效应对威胁的自我恢复能力提供了框架，以保护关键相关方的利益、声誉、品牌和创造价值的活动。

” 灾难恢复在GB/T 20988—2007《信息安全技术　信息系统灾难恢复规范》中定义为“为了将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。

”所以，严格地说，灾难恢复是恢复数据的能力，解决信息系统灾难恢复的问题。

而业务连续性强调的是组织业务不间断的能力，范围更大。

浅析商业银⾏“业务连续性管理体系”的构建当前世界所⾯临的风险有恐怖袭击、⿊客、⽹络侵袭、电脑病毒、⾃然灾害、⼤规模停电、罢⼯、环保、市场恶性竞争、企业倒闭等,近年来发⽣的“9.11”、“SARS”事件、印度洋海啸等给国家和企业带来重⼤的损失。

在⾦融领域,重⼤灾害事故亦不鲜见,2005年11⽉⽇本东京证券交易所由于系统故障,所有股票、可转换公司债、信托投资等共计2,520个品种暂停交易,整个上午⽆法进⾏主要交易;2005年6⽉17⽇，由于美国信⽤卡系统解决⽅案公司 CardSystems 的安全漏洞，导致4000万⽤户的银⾏资料被泄漏，其中包括 MASTER 公司的1390万⽤户、VISA 的2200万客户；2006年4⽉,银联全国跨⾏交易系统瘫痪6⼩时,国内⼤部分商户的POS机⽆法刷卡,所有银⾏的ATM终端⽆法跨⾏操作,造成了重⼤社会影响等等⼀系列的事件。

由此可见⾦融业务数据⼤集中的同时，客观上也把风险集中和放⼤起来根据权威机构统计，美国在近10年间遭遇过灾难事件的公司中，有55%的公司马上倒闭，因为数据丢失造成业务⽆法持续，有29%的公司在两年之内倒闭据Gartner Group统计，在经历⼤型灾难事件⽽导致系统停运的公司中，有2/5左右再也没有恢复运营，剩下的公司中也有接近1/3在两年内破产。

9.11事件中，1200家企业受灾，400家企业启动了灾难恢复计划，其中摩根⼠丹利公司⼏天后在新泽西州恢复营业，⽽⽆灾备能⼒的企业损失惨重 世界各国的案例表明,传统的业务管理⽅法及流程,在遭遇灾害事件时常常不堪⼀击。

越来越多的危机事件的影响使⼈们认识到,只有构建真正有效应对危机事件的管理体系,使管理科学化、⼿段现代化,才能保证业务的连续运⾏,实现企业的可持续发展。

在此背景下,业务持续管理 (BCM)应运⽽⽣。

BCM的重要性显著增加,在英国,拥有⾏之有效的业务持续计划,已成为企业上市的基本要求;美国企业法对业务持续管理的具体措施也有明确要求;新加坡已拥有多个保证业务连续性的标准流程和管理规范,其⾦融局已经制定了业务持续管理的指导规范和管理标准。

银行业务连续性管理体系建设方法研究作者：刘杰来源：《时代金融》2014年第05期【摘要】本文以某银行的业务连续性管理体系建设为研究背景，制定了覆盖全行总/分/支三级机构业务连续性管理的工作流程和管理体系；结合国内外具体实践基础上，通过深入分析，对业务连续性管理体系的具体建设分为3个模块和6个具体化执行阶段，成功高效地完成了业务连续性管理工作，为各银行同业提供了参照方法和工作思路。

【关键词】业务连续性管理现状调研业务影响分析风险评估一、引言银行业务连续性管理（简称BCM），是指商业银行为有效应对重要业务运营中断事件，建设应急响应、恢复机制和管理能力框架，保障重要业务持续运营的一整套管理过程，包括策略、组织架构、方法、标准和程序[1]。

将业务连续性管理纳入全面风险管理体系，能够建立与本机构战略目标相适应的业务连续性管理体系，确保重要业务在运营中断事件发生后快速恢复，降低或消除因重要业务运营中断造成的影响和损失，保障业务持续运营。

本文以国内某大型股份制银行客户为分析背景，对如何开展银行业务连续性管理体系建设方法作出了研究。

二、项目背景介绍及业务连续性管理体系建设实施措施本文研究的项目背景是某行《新资本协议实施规划项目》中的子项目；研究目的是在按照银监会某文件《商业银行业务连续性监管指引》（以下简称监管指引）和新资本协议的有关要求下，参考国外有关标准和国内外同业的实施经验，结合该行现状从而制定覆盖全行总/分/支三级机构业务连续性管理的工作流程和管理体系，以达到同业管理水平及新资本协议和监管指引的要求。

其具体建设措施为：业务连续性管理体系建设项目分为总体规划、总行实施和分行试点推广三大模块。

各个模块的主要工作为：总体规划阶段主要有：现状调研、方案计划制定、体系规划、业务连续性基础培训等；总行实施阶段：业务影响分析和风险评估、重要业务范围界定、制度规范建设、总体预案和专项预案建设、演练；分行试点推广阶段：试点分行调研、试点分行培训、试点分行业务连续性管理相关体系建设、试点分/支行的演练等。

银行业务连续性管理体系建设方法探讨论文银行业务连续性管理体系（Business Continuity Management，简称BCM）是指银行为应对内外部各种风险和不可预见事件，确保银行业务稳定运营的一种管理体系。

本文主要探讨了银行业务连续性管理体系的建设方法，包括风险评估、制定计划、培训演练、监测评估等环节。

首先，银行业务连续性管理体系的建设基于全面的风险评估。

银行需要对各种风险进行分析和评估，包括自然灾害、技术故障、人为错误等。

通过全面的风险评估，银行可以确定主要的风险来源，并对其进行优先处理。

这一环节涉及到银行内部的各个部门，需要跨部门的合作和协调。

其次，银行需要制定详细的业务连续性计划。

业务连续性计划是指在各种紧急情况下，银行能够按照预定的流程继续提供服务，保障客户的权益。

银行可以根据风险评估的结果，对不同的风险制定相应的应急预案。

例如，对于自然灾害，银行可以制定疏散计划和备份数据的存储方法；对于技术故障，银行可以制定备份系统和设备维护计划。

业务连续性计划需要经过多方面的讨论和审查，并定期进行更新和演练。

在制定业务连续性计划的同时，银行还需要对员工进行培训和演练。

培训是指向员工提供相关业务连续性知识和技能的过程，包括应急预案的详细说明、紧急情况下的应对方式等。

演练是指模拟各种紧急情况进行实际操作和应对的过程。

通过培训和演练，银行可以提高员工的应急反应能力和处理紧急情况的能力，从而保障业务连续性。

除了风险评估、制定计划和培训演练外，银行还需要建立监测评估机制。

监测评估是指对业务连续性计划的执行情况进行监测和评估，及时发现和处理存在的问题。

银行可以通过内部审核和外部评估等方式进行监测评估。

监测评估的结果可以为银行制定改进措施和完善业务连续性管理体系提供依据。

最后，银行业务连续性管理体系的建设还需要建立相关的机构和流程。

银行需要成立业务连续性管理部门或委员会，负责协调和推动业务连续性管理体系的建设工作。

全面认识业务连续性管理体系的研究报告业务连续性管理体系（Business Continuity Management System，简称BCMS）是指为保障企业的正常运作，在面对自然灾害、技术故障、社会突发事件等应急情况时，通过对业务风险识别、分析和评估，规划和实施相应的预防、应对措施，保障业务的连续性和恢复力的一套管理体系。

本文将全面介绍BCMS的相关内容。

一、BCMS的管理基础BCMS的实施是建立在企业管理体系的基础上的。

企业需要对BCMS建立适合自己的管理框架，落实责任、资源投入和持续改进等内容。

同时，BCMS的实施需要与企业其他管理体系相互协调。

二、BCMS的标准BCMS体系标准是ISO22301。

ISO22301培训有关业务连续性的概念、原理、过程和方法，包括风险评估、应急响应、预案编制、训练及演练等环节。

同时调查分析框架、组织与角色、资源准备等部分也涉及于此。

ISO22301要求实施BCMS的组织需要不断持续改进，以提高业务连续性的能力和效果。

三、BCMS的实施流程BCMS实施的过程包括：（1）业务连续性管理的策划：确定BCMS策略和政策，确定并分析相关利益者的期望和需求，确定目标和营运规划。

（2）业务连续性风险评估及管理：采用风险管理的方法和工具，初步评估本公司业务的风险，确定本公司威胁、脆弱性和影响。

据此编制应急响应计划，旨在将风险降至可接受水平。

（3）业务连续性策略的设计与规定：依照业务连续性计划范围，设计并规定业务连续性解决策略，维护业务连续性计划、制定应急响应程序和预案。

（4）业务连续性计划的开发：详细制定业务连续性计划。

该计划应当维护备用设施和资源，制定预警和通知程序；必要时安排后备人员和培训计划，建立与安全和风险管理体系相一致的风险测评和监控计划。

（5）业务连续性计划的实施与管理：在充分的准备和资源下，根据应急响应计划及预案，在必要时转移到备用设施，并按照预案指引，维护最小限度的业务连续性能力。