中小银行业务连续性管理的研究与实践

1、2013卿J中小银行业务连续性管理的研究与实践刘召伟(中国民生银行科技开发部北京分中心，北京100031)摘要：国内各商业银行数据的集中导致了操作风险的集中，银行业务的连续运作与信息系统的稳 定运行成为各商业银行需要优先考虑到关键问题。有效地进行科技风险管理，保障金融业务安全稳定运 行，成为国内银行业监管部门和经营管理者共同关心的课题。文章首先对业务连续性管理进行介绍，结 合银行业务连续性项目实施方法论对商业银行制定业务连续性计划的过程进行分析，并通过对A银行业 务连续性计划开发项目的实例来阐述商业银行业务连续性管理工作的重要性。关键词：商业银行；业务连续性管理；业务连续性计划 中图分类号：T

2、P309文献标识码：A0引言随着国内各商业银行数据大集中工作的逐步实施，支持银行业务和数据处理的信息系统在物理分布、IT基础设施资源共享、 统一的杨心应用系统架构等不同层面逐步趋向集中，从而促进了银行业务运作模式和管理流程的变革。但是，数据集中也导致了 操作风险的集中，银行业务的连续运作与信息系统的稳定运行成为各商业银行需要优先考虑到关键问题。如何更加有效地进行 科技风险管理，保障金融业务安全稳定运行，是国内银行业监管部门和经营管理者共同关J心的课题。1业务连续性管理介绍11业务连续性管理的概念 业务连续性是指保持业务持续稳定运转，提供不间断服务的能力。业务连续性管理(Business Con

3、tinuity Management，BCM)，是一项综合管理流程，是在面对自然灾害、技术故障、人为失误、恐怖袭击等不利事件时，确保业务运作得以维持和恢 复的一套流程。它使政府和企业认识到潜在的危机和相关影响，制订应急响应和业务连续性的恢复计划，其总体目标是为了提 高企业的风险防范能力，以有效地响应非计划的业务破坏并降低不良影响。业务连续性计划(Business Continuity Plan，BCP)的构成要素主要有：人员(包括不同层次人员的任务分配、确保关键人员 的备份等)、技术(包括软硬件的可用性保障、备份与存储策略等)、基础设施(包括电力、供水、通信等)，以及预防、演练、信 息发布等其

4、他要素。对于银行来说，业务的中断是致命的，在银行的声誉、竞争力、财务等方面均会造成重大的损失，日后可能需要花巨大代价 去挽回。能否在突发事件发生之后从容应对，控制影响并减少损失，是考验银行风险管理能力的重要指标。银行业务连续性管 理的目标是尽可能实现银行损失的最小化，持续提供对客户和金融市场合作伙伴的服务，尽可能降低由于业务破坏而对银行在战 略规划、声誉形象、业务运营、资金流动、信用质量、市场占有等方面的负面影响。12 lT系统灾备和业务连续性管理的关系 现在组织的运营越来越面临各种不确定性，而这种不确定性又会导致业务中断，对组织的生存带来巨大风险。灾难恢复的目标是将灾难造成的损失降低到最低程

5、度，并采取必要的步骤保证资源、人员和业务流程尽快恢复运作。灾难恢复不|司于业务 连续性规划，后者主要为长期停产和灾难事件提供方法和措施，灾难恢复则是在灾难发生之后立即采取行动处理灾难及其造成 的后果，灾难恢复计划往往更关注技术层面。基于对信息化的高度依赖，IT灾备系统在全面的连续性管理中通常都处于基础配置地位，因此，有些业务部门认为灾难恢 复只是IT部门的事，在灾难面前，业务部门能做的只是等待系统恢复。实际上，IT灾备只是业务连续性计划的一个组成部分， 它只是解决了数据恢复的问题，无法承担全面业务恢复的责任。灾难对业务的影响、关键业务的确定、业务恢复策略的选择、 客户安抚和危机公关等工作，仍需

6、要管理层和业务管理部门进行处理。收稿日期：20131021作者简介：刘召伟(1982一)，男，河南，工程师，本科，主要研究方向：信息安全管理和网络安全。_L2013年增刊灾备是BCM的一种策略，BCM从业务连续性需求分析 确定预防性控制方法、BCP的设计和编写、BCP的测试演练 出发，实现对灾备的策划和执行，使其更加有效。业务连续和修订、体系培训和维护。 性计划从更长远的角度来解决问题，包括：在原有设施还在1)制定业务连续性计划策略：编写一份策略声明，为制 修理时将关键系统转移到安全环境，在各岗位上安排合适的定BCP提供必要的指导。 人员，在恢复正常秩序前改变业务运作模式，以及通过各种2)业务

7、影响性分析(Business Impact Analysis，BIA)：筛 渠道处理与客户、合作伙伴和股东的关系，直至一切恢复正常。选重要业务，识别关键系统，构建业务链，根据业务流程关因此，灾难恢复处理的是“天要塌下来”的情形，而业务连续键程度排定优先次序；识别威胁和脆弱性，分析风险给组织性要应付的情况是“天塌了，如何保证正常营业，直到有人将带来的影响性。天放回原处”。3)确定预防性控制方法：识别风险后，制定风险控制方 13我国银行业务连续性发展现状法和应对措施，降低风险级别。我国的业务连续性与灾难恢复建设在本世纪初起步，其中4)制定恢复策略：阐明恢复方法，以确保能够迅速恢复 以国内银行业率先

8、意识到业务连续性与灾难恢复建设的重要关键系统和业务。 程度。因此，建立一套以危机管理为核心的全面业务连续性管5)BCP的设计和编写：编写业务连续性计划，使组织在 理体系是银行各项业务持续运行和健康发展的重要途径。紧急情况下关键业务能够正常运转。2011年12月底，中国银监会发布商业银行业务连续性 6)BCP的测试演练和修订：测试和演练业务连续性计划， 监管指引，明确商业银行应当将业务连续性管理纳入全面风以识别和修订计划中的缺陷。 险管理体系，建立与本机构战略目标相适应的业务连续性管7)体系培训和维护：对组织成员进行业务连续性管理的 理体系。培训，使之能够顺利完成预期的任务，并采取必要的措施保目

9、前，国内大型银行与股份制中型银行、区域性小型银行 证BCP定期更新。 的业务连续性建设与管理水平参差不齐。例如，在业务连续22业务连续性计划的制定理念 性管理方面，部分大型银行形成了由风险管理部、业务管理银行业务连续性计划制定和实施的基本理念是以关键业 部门或信息科技部主导或参与的管理机制；股份制中型银行 务为核心、以管理为保障、以流程为基础。 大多还处在灾备建设阶段，部分进行了业务连续性建设的尝 以关键业务为核心是指银行业务连续性计划必须关注每 试；区域性小型银行大多还处于灾备建设的初期阶段。 一个关键业务因素可能受到的破坏和影响，不能仅限于满足以四大行为代表的商业银行从2000年开始陆续开

10、展相关信息系统、信息服务或数据的恢复。如果业务连续性计划不 建设工作，并逐步将以风险管理为核心的业务连续性管理体 能关注每一个关键业务单元，包括人、物理场所，以及其他 系逐步纳入到银行全面风险管理体系中，使之成为有机的整类似问题，银行很难将客户服务恢复到一个合理的水平。 体，以更好地保障银行业务持续稳定运营。业务连续性计划的有效性取决于管理的保障程度。银行国内银行业业务连续性建设方面普遍存在以下几方面问题：业务连续性计划建立在全行范围之上，并特别强调银行董事 1)业务恢复资源、计划建设不足，一旦发生灾难，银行会与高级管理层的职责与任务，要求银行应具备全面分析自身 整体对外服务能力将受到挑战。现

11、有业务流程和合理调配资源的能力。一个大型、复杂的机构， 2)业务连续性管理体系尚未建立，高管层重视程度不够， 需要建立专门的业务连续性计划部门，并在部门内设置负责建设牵头部门推进困难，危机管理、应急意识不足。企业各部门问联络与沟通的团队。3)人员水平有限，后备资源紧张，管理缺失，应急能力不足，合理的流程设计是为了使银行在面临各种威胁和灾害时，灾难恢复能力有待提升。确保适当的人可以在适当的时间做适当的事。银行业务连续 性计划的基本流程，包括全面的业务影响分析(BIA)、风险2银行业务连续性项目实施方法论评估、业务连续性计划的正式颁布与执行定期的演练和稽核、21业务连续性计划制定步骤不断的更新与维

12、护等重要环节，其核心目标是确保银行业务商业银行业务连续性管理体系应涵盖业务经营、运营支的维持(Maintaining)、续用(Resuming)和恢复(Recovering)， 持、后勤保障等所有业务板块，涵盖事前、事中、事后等全过而不仅仅是技术的恢复。 程管理，构建完善业务连续性体系是一项长期性、系统性工程。另外，银行业务连续性计划的制定与实施还应考虑银行业务连续性管理体系主要工作内容包括制定业务连续性内外部存在的相互依赖关系：包括技术依赖，例如对电信运 规划策略、业务影响分析(筛选银行重要业务，构建业务链)、营商的依赖性；人员依赖，例如灾难发生期间关键人员是否J。2013年增刊能够得到足够

13、的保护；专业化服务的依赖，例如为银行提供 析多元化，中断影响程度评定易量化，RTO和RPO目标设 各种外部服务的厂商、服务商是否可用等。定合理化，但跨部门的协调存在一定的困难。银行项目组需 23制定业务连续性计划的关键因素要结合银行自身经营规模、银行部门设置以及产品设置情况231充分考虑危机情景，细化操作步骤进行选择。灾难的发生往往突如其来，在灾难来袭时越是明确、细化、234明确职责。加强业务连续性管理 具体、全面的指导方案，应对灾难的效果越好。在指定业务国外金融机构在业务连续性管理的组织架构上，将其分 连续性实施方案时，应充分考虑灾难发生的各种情景，明确为三类：灾难管理的具体流程、人员及资源

14、的获取途径，确保有适当 1)由风险管理部门来领导。 的人在正确的时间做正确的事。2)由IT部门来领导。232全面的业务影响分析3)专门成立业务连续性管理委员会，将业务部门、风险业务影响分析的目的是确定各重要业务所需关键资源及管理部门和IT部门有关业务连续性的管理职责融于一处，统 其恢复时间目标RTO和恢复点目标RPO，并通过RTO和筹管理。 RPO确定业务恢复顺序和恢复目标。业务影响分析可通过邀由于具有跨部门协调性好、执行力强等特点，第三种管理 请重要业务部门人员参加访谈，或者座谈会的方式进行，也模式愈来愈受到国际大银行的青睐。对于大型银行，应建立一 可以通过向重要业务部门人员发放问卷的形式进

15、行。若只采个专门组织或指定一个部门牵头的业务连续性管理委员会负 用其中一种方式，可能导致业务部门对中断影响认识不足或责业务连续性工作，该组织应根据董事会和高级管理层审定 偏差，导致得出的业务影响分析结果不合理，造成后续采用 的业务连续性战略，制订业务连续性管理政策和基本管理制 不适当的恢复策略与方法。度并报董事会和高级管理层审定，统一组织、协调、指导、检通过项目实践经验，最佳方案是采用先问卷后访谈再问 查业务连续性工作，履行向董事会和高级管理层的报告职责。 卷的方式：首先根据不同的业务类型特点编制具有针对性的对于国内众多新兴的中小银行，由于各项资源有限，成熟 业务中断影响分析问卷以及填写指导，

16、让参与访谈的业务部 度相对不高，业务连续性的实施和后续维护可以由风险管理 门在访谈之前先行了解访谈目的、收集分析数据、带着问题参 部牵头，IT部门作为支持单位，中高级管理层协调各相关业 与访谈过程；访谈过程中，需明确业务影响分析的目的，确定 务部门积极参与。 重要业务流程环节，注意问题设计要激发不同业务部门的观 235业务连续性演练。查漏补缺，提高危机应对能力 点碰撞，引导客户从业务连续性角度进行思考，并在访谈过程业务连续性演练是验证BCP的有效性，检验、评价和保 中收集银行资源现状及需进一步沟通的要点，为此后RTO和持应急能力的重要手段。可以在事故真正发生前暴露预案和 RPO设定及应急预案编

17、写打下基础；最后再次通过问卷的形 程序的缺陷，发现应急资源的不足，改善业务连续性各相关 式，由访谈参与部门对所涉及的重要业务流程问卷填制信息 部门之间的协调，提升应急人员的熟练程度和技术水平，提进行确认，以确保业务影响分析结果符合银行实际情况。高各级预案之间的协调性和整体应急反应能力。 233充分调研交流，筛选重要业务，构建业务链建议对BCP进行两个阶段的演练：桌面推演和模拟重大商业银行业务连续性监管指引文件中给出了从三方面事件的全面演练。 去考虑问题的定性描述，即面向客户、涉及账户处理、时效性 1)桌面推演 要求较高，而银行项目组则需要考虑如何将此三方面进一步予(1)项目组和BCP组织成员共

18、同组成推演组。 以量化，明确统一标准，从而使筛选出的重要业务更具理论依 (2)按照：BCP小组、业务重建、BIA、恢复策略和实施 据和说服力，并思考重要业务选取与业务影响分析之间的联系。计划分别讨论BCP文档的充分性、合理性、可行性。此外，银行业务的大部分业务流程之间有直接的依赖关(3)编写桌面推演报告。 系，流程与流程之间互为上下游流程，如何划分业务流程也 (4)按照桌面推演报告中的修改项更新BCP。 非常关键。实践中，有的银行按照业务部门的架构，将业务(5)(可能的)再次推演。 流程按照业务处理的实际前、中、后台的负责部门进行切分；2)模拟(重大事件)演练(只有桌面推演报告没有修改项而有的

19、银行则以整条完整的产品线为单位，将整条业务的前、才能进入该阶段)中、后台分割至同一流程。以上两种业务流程划分方式各有(1)对每一个业务分别制定模拟演练计划。 利弊：前者对口部门清晰单一，按部门推进项目难度较小，(2)制定BCP模拟演练整体计划。 有利于业务影响分析的评定；后者以产品为界，业务影响分 (3)按照整体计划，分批、分时演练每一个业务的BCPo_2013年增刊(4)记录演练过程中的细节。4)编制BCP文档：BCP启动标准、工作流程，BCP维护(5)编写模拟演练报告。指南。(6)按照模拟推演报告中的修改项更新BCP。5)BCP演练：制定测试方案，评估演练结果并提出改进意见，BCP演练流程

20、图如图2所示。3银行业务连续性计划开发项目案例t§秘蚺啪_Mt亩n十雌tt鲁十H十A银行是一家地市级中小银行，业务主要面向区域内的城m一乡居民和中小型企业。2012年8月，谷安天下中标A银行信息+l南 压妇 由、I嚣L 五：a4一lL科技风险管理项目，项目目标之_就是协助A银行实施业务连iI i同意硐续性管理体系的建设和推广工作，核JD内容是围绕成为国内一f o堡IIr繁刈 I臀l L嚣-,It。流银行的战略发展要求，以满足监管要求、提高自身的风险防图2 BCP演练流程图 范能力和保证业务持续运行为目标，通过业务连续性管理体从A银行业务连续性计划开发的实际经验来看，在启动 系建设，有

21、效地应对各类突发事件对业务稳定运营的影响。业务连续性项目建设时，要对项目的最终目标有一个全面清为了有效将BCP开发工作实施到位，由中高层管理者牵头，晰的认识，切实从自身规模及成熟度出发，制定合理的方案。信息科技部联合风险管理部、审计部和相关业务部门，成立 银行应全面了解业务连续性管理的整体框架，达成所必需的 BCP工作小组。项目组对上至高层管理者、下至一线员工进 每个阶段，在每一阶段中，业务、风控、IT部门如何彼此协 行访谈，对数据中心、营业网点、日常办公场所进行了实地勘 调配合，银行内外各机构如何衔接等，然后再分析自身所处的 察，评估各类关键资源受损可能造成的业务中断影响。同时， 层次位置。

22、务必做到既对未来的发展道路有全面清晰的认识， 对比国内外先进银行的实践经验，进行差距分析，全面了解A 又要对当下要完成的每一步工作有准确的把握。银行业务连续性管理体系的实际需求。在此基础上，搭建业4结束语务连续性管理组织，设计业务连续性策略，建立业务连续性管理制度、关键系统的业务连续性计划、总体预案、场景预案，业务连续性计划必须基于全行范围制定和执行，其有效 以及相应的演练细则。性及可操作性体现于对业务流程中每一个重要环节和操作细 A银行业务连续性计划开发主要工作内容包括建立BCP 节的关注，粗放型的管理以无法满足当前监管要求。协同工 组织、业务影响性分析、业务恢复策略与实施计划、编制 作能力的提高是银行确保业务连续性运作的重要手段，管理 BCP文档、BCP演练。层的重视、高效的组织、部门间的合作、统一的标准、合理 1)建立BCP小组：依据A银行的BCP方针界定业务，的流程、定期演练和更新，是银行成功