商业银行业务连续性监管指引

1、商业银行业务连续性监管指引（征求意见稿）第一章总则第一条为加强商业银行风险管理，提高业务连续性管理能力，降低或消除因自 然灾害、人为破坏和技术故障等原因造成重要业务运营中断所产生的影响,快速恢 复被中断业务，保障银行机构有效履行社会责任，维护公众信心和银行业正常的运行 秩序，根据中华人民共和国银行业监督管理法及中华人民共和国商业银行 法制定本指引。第二条在中华人民共和国境内设立的国有商业银行、股份制商业银行、邮政 储蓄银行、城市商业银行、省级农村信用联合社、外商独资银行、中外合资银行适 用本指引。中国银监会监管的其他金融机构参照本指引执行。第三条本指引所称重要业务是指面向社会客户、涉及账务处理

2、及处理时效性 要求较高的业务,其运行服务的中断会给商业银行造成重大经济损失或声誉影响，会 对公民、法人或组织的权益、公共利益其至国家安全带来严重后果的业务。第四条本指引所称突发事件是指因下述原因，导致商业银行重要业务异常或中 断，产生不良影响或资金损失的事件，包括：（一）信息系统各类技术故障和配套设施故障；（二）自然灾害（如火灾、雷击、海啸等）；（三）外部影响（如发生黑客攻击、第三方无法提供合作或服务等）O第五条商业银行应根据突发事件造成的影响、损失程度和范围划分事件等 级。第六条本指引所称业务连续性是商业银行通过对突发事件的规划和响应，使重 要业务得到有序、快速恢复，实现持续、稳定运行的能力

3、。第七条本指引所称业务连续性管理是商业银行为保证重要业务持续运行而建 立的一整套管理机制、办法、制度、方案、标准和程序的有机整体。第八条商业银行应建立有效的业务连续性管理体系，使重要业务在发生突发事 件后能有序、快速恢复，消除或减少因重要业务中断造成的影响和损失，实现业务的 持续运营。第九条业务连续性管理的基本原则是：（一）社会责任原则:应以切实有效履行社会责任为业务连续性管理的重要U 标。（二）预防为主原则;应积极采取预防控制措施，提高重要业务所依赖关键资源 的健壮度，提升风险防御能力，消除或降低业务运营中断发生的可能性。（三）重要业务原则:应选择重要业务进行连续性管理；（四）恢复优先次序原

4、则:应根据重要业务的重要性和影响大小确定恢复的先后 次序；（五）成本效益平衡原则：商业银行在实施业务连续性管理过程中应综合考虑投 入成本和产出效益间的平衡。第十条商业银行应根据本行业务发展的总体LI标、经营规模以及风险控制的基本策略和风险偏好,确定合适的业务连续性管理战略。第十一条商业银行应通过建立业务连续性管理组织架构，确定重要业务、明确 业务恢复U标,制定业务连续性讣划、配置资源，对业务连续性讣划进行演练，建立 突发事件处置和危机处理的高效机制。第十二条商业银行应构建业务连续性管理文化，使其成为全行的核心价值和有效管理的组成部分，并通过必要的知识传递来提高、强化和 维持员工的业务连续性管理

5、意识。第二章组织架构第十三条商业银行应建立业务连续性管理的日常组织架构。组织架构包括董事会、风险管理委员会、业务连续性管理主管部门、执行部 门和保障部门。第十四条董事会是本行业务连续性管理的最高决策机构，对业务连续性管理负最终责任。主要职责包括：（-）制定与本行业务发展和风险管理战略U标相一致的业务连续性管理总体 战略；（二）审批风险管理委员会在业务连续性管理过程中的职责、权限及报告制度, 审查风险管理委员会在业务连续性管理过程中的履职情况；（三）审批风险管理委员会制订的业务连续性管理的总体LI标;（四）审批风险管理委员会为业务连续性管理制订的人员、资金、重要设施等 资源的总体配备方案；（五）

6、审核业务连续性管理主管部门撰写的业务连续性管理的评估报告、内部 审讣部门撰写的业务连续性管理的审计报告。第十五条风险管理委员会应根据业务连续性管理战略，开展业务连续性的总体管理。主要职责包括：（一）制订业务连续性管理的总体忖标；（二）审批业务连续性管理办法；（三）审批需要恢复的重要业务范圉；（四）审批业务连续性管理的工作汁划与评佔报告；（五）审批业务连续性计划的演练计划与总结报告；（六）为业务连续性管理调配资源及赋予执行和保障部门相应的权限等。第十六条商业银行应指派风险管理部门或其它综合管理部门作为业务连续性管理的主管部门（简称业务连续性管理主管部门），组织、协调 全行业务连续性管理的日常工作

7、。主要职责包括：（一）制订和维护业务连续性管理办法；（二）制定风险分析、业务影响分析的方法与流程；（三）制订业务连续性管理的工作计划与评佔报告;（四）制订业务连续性汁划的演练汁划与总结报告；（五）组织业务连续性计划的演练、评佔、总结与改进；（六）组织业务连续性管理的培训；（七）指导和监督执行部门进行业务连续性管理活动。第十七条商业银行的执行部门负责业务连续性管理相关工作的具体实施，包括 业务部门与信息科技部门等各相关部门。第十八条业务部门的主要职责包括：（-）拟定需要恢复的重要业务及其恢复U标和恢复策略；负责风险评佔、业务 影响分析,撰写风险评估报告和业务影响分析报告；（二）负责业务部门的业务连续性讣划的制订;参与业务连续性汁划的整体演练; 负责本部门业务连续性计划的具体演练、评估、总结与改进；（三）参与业务连续性管理的培训；（四）负责对本部门业务连续性管理的定期评佔、改进。第十九条信息科技部门的主要职责包括：（-）保障信息系统的高可用性;根据业务恢复策略，配置信息系统资源；（二）负责科技部门的业务连续性讣