【文章內容簡介】 各部門，各銀監(jiān)局，各政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行、金融資產管理公司，郵儲銀行，各省級農村信用聯(lián)社，銀監(jiān)會直接監(jiān)管的信托公司、財務公司、金融租賃公司：《商業(yè)銀行聲譽風險管理指引》已經銀監(jiān)會第87次主席會審議通過，現(xiàn)印發(fā)給你們，請遵照執(zhí)行。請各銀監(jiān)局將本通知轉發(fā)至轄內銀監(jiān)分局和銀行業(yè)金融機構。二本內容來源于政府官方網(wǎng)站，如需引用，請以正式文件為準。第四篇：銀監(jiān)發(fā)【2011】104號 中國銀監(jiān)會關于印發(fā)商業(yè)銀行業(yè)務連續(xù)性監(jiān)管指引的通知中國銀行業(yè)監(jiān)督管理委員會關于印發(fā)商業(yè)銀行業(yè)務連續(xù)性監(jiān)管指引的通知（銀監(jiān)發(fā)[2011]104號）各銀監(jiān)局，各政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行、金融資產管理公司，郵政儲蓄銀行，各省級農村信用聯(lián)社，銀監(jiān)會直接監(jiān)管的信托公司、企業(yè)集團財務公司、金融租賃公司：為加強商業(yè)銀行風險管理，提高業(yè)務連續(xù)性管理能力，促進商業(yè)銀行有效履行社會責任，維護公眾信心和銀行業(yè)正常的運營秩序，銀監(jiān)會制定了《商業(yè)銀行業(yè)務連續(xù)性監(jiān)管指引》，現(xiàn)印發(fā)給你們，請遵照執(zhí)行。請各銀監(jiān)局將本通知轉發(fā)至轄內銀監(jiān)分局及銀行業(yè)金融機構。中國銀行業(yè)監(jiān)督管理委員會 二0一一年十二月二十八日商業(yè)銀行業(yè)務連續(xù)性監(jiān)管指引第一章 總則第一條 信息系統(tǒng)與信息科技是保障商業(yè)銀行業(yè)務持續(xù)運營的重要基礎。為降低或消除因信息系統(tǒng)服務異常導致重要業(yè)務運營中斷的影響，快速恢復被中斷業(yè)務，維護公眾信心和銀行業(yè)正常運營秩序，提高商業(yè)銀行業(yè)務連續(xù)性管理能力，根據(jù)《中華人民共和國銀行業(yè)監(jiān)督管理法》、《中華人民共和國商業(yè)銀行法》以及相關法律法規(guī)，制定本指引。第二條 本指引所稱業(yè)務連續(xù)性管理是指商業(yè)銀行為有效應對重要業(yè)務運營中斷事件，建設應急響應、恢復機制和管理能力框架，保障重要業(yè)務持續(xù)運營的一整套管理過程，包括策略、組織架構、方法、標準和程序。第三條 本指引所稱重要業(yè)務是指面向客戶、涉及賬務處理、時效性要求較高的銀行業(yè)務，其運營服務中斷會對商業(yè)銀行產生較大經濟損失或聲譽影響，或對公民、法人和其他組織的權益、社會秩序和公共利益、國家安全造成嚴重影響的業(yè)務。第四條 本指引所稱重要業(yè)務運營中斷事件(以下簡稱運營中斷事件)是指因下述原因導致信息系統(tǒng)服務異常、重要業(yè)務停止運營的事件。主要包括：(一)信息技術故障：信息系統(tǒng)技術故障、配套設施故障；(二)外部服務中斷：第三方無法合作或提供服務等；(三)人為破壞：黑客攻擊、恐怖襲擊等；(四)自然災害：火災、雷擊、海嘯、地震、重大疫情等。第五條 商業(yè)銀行應當將業(yè)務連續(xù)性管理納入全面風險管理體系，建立與本機構戰(zhàn)略目標相適應的業(yè)務連續(xù)性管理體系，確保重要業(yè)務在運營中斷事件發(fā)生后快速恢復，降低或消除因重要業(yè)務運營中斷造成的影響和損失，保障業(yè)務持續(xù)運營。第六條 商業(yè)銀行應當根據(jù)本行業(yè)務發(fā)展的總體目標、經營規(guī)模以及風險控制的基本策略和風險偏好，確定適當?shù)臉I(yè)務連續(xù)性管理戰(zhàn)略。第七條 商業(yè)銀行應當建立業(yè)務連續(xù)性管理的組織架構，確定重要業(yè)務及其恢復目標，制定業(yè)務連續(xù)性計劃，配置必要的資源，有效處置運營中斷事件，并積極開展演練和業(yè)務連續(xù)性管理的評估改進。第八條 業(yè)務連續(xù)性管理的基本原則是：(一)切實履行社會責任，保護客戶合法權益、維護金融秩序；(二)堅持預防為主，建立預防、預警機制，將日常管理與應急處置有效結合；(三)堅持以人為本，重點保障人員安全；實施差異化管理，保障重要業(yè)務有序恢復；兼顧業(yè)務連續(xù)性管理成本與效益；(四)堅持聯(lián)動協(xié)作，加強溝通協(xié)調，形成應對運營中斷事件的整體有效機制。第九條 商業(yè)銀行應當將業(yè)務連續(xù)性管理融入到企業(yè)文化中，使其成為銀行機構日常運營管理的有機組成部分。第二章 業(yè)務連續(xù)性組織架構 第一節(jié) 日常管理組織架構第十條 董(理)事會是商業(yè)銀行業(yè)務連續(xù)性管理的決策機構，對業(yè)務連續(xù)性管理承擔最終責任。主要職責包括：(一)審核和批準業(yè)務連續(xù)性管理戰(zhàn)略、政策和程序；(二)審批高級管理層業(yè)務連續(xù)性管理職責，定期聽取高級管理層關于業(yè)務連續(xù)性管理的報告，監(jiān)督、評價其履職情況；(三)審批業(yè)務連續(xù)性管理審計報告。第十一條 高級管理層負責執(zhí)行經董(理)事會批準的業(yè)務連續(xù)性管理政策。主要職責包括：(一)制定并定期審查和監(jiān)督執(zhí)行業(yè)務連續(xù)性管理政策、程序；(二)明確各部門業(yè)務連續(xù)性管理職責，明確報告路線，審批重要業(yè)務恢復目標和恢復策略，督促各部門履行管理職責，確保業(yè)務連續(xù)性管理體系正常運行；(三)確保配置足夠的資源保障業(yè)務連續(xù)性管理的實施。第十二條 商業(yè)銀行應當設立由高級管理層和業(yè)務連續(xù)性管理相關部門負責人組成的業(yè)務連續(xù)性管理委員會，統(tǒng)籌協(xié)調、落實各項管理職責。第十三條 商業(yè)銀行應當指定風險管理部門或其他綜合管理部門為業(yè)務連續(xù)性管理主管部門，組織開展全行業(yè)務連續(xù)性管理工作，指導、評估、監(jiān)督各部門的業(yè)務連續(xù)性管理工作；組織制定業(yè)務連續(xù)性計劃，協(xié)調業(yè)務條線部門，匯總、確定重要業(yè)務的恢復目標和恢復策略；組織開展業(yè)務連續(xù)性計劃的演練、評估與改進；開展業(yè)務連續(xù)性管理培訓等。第十四條 商業(yè)銀行應當明確業(yè)務連續(xù)性管理執(zhí)行部門，包括業(yè)務條線部門與信息科技部門。業(yè)務條線部門負責風險評估、業(yè)務影響分析，確定重要業(yè)務恢復目標和恢復策略，負責業(yè)務條線重要業(yè)務應急響應與恢復；信息科技部門負責信息技術應急響應與恢復。第十五條 商業(yè)銀行應當明確業(yè)務連續(xù)性管理保障部門，包括辦公室、人力資源部門、公共關系部門、財務部門、法律合規(guī)部門、后勤部門、保衛(wèi)部門等，為業(yè)務連續(xù)性日常管理提供人力、物力、財力以及安全保障和法律咨詢。其中，公共關系部門應當制定對外媒體公關策略，制定和執(zhí)行對外媒體公關的應急預案。第十六條 商業(yè)銀行各部門應當負責本部門業(yè)務連續(xù)性管理工作，制定相關規(guī)章制度，制定和執(zhí)行本部門業(yè)務連續(xù)性計劃，開展本部門業(yè)務連續(xù)性計劃的演練、評估與改進工作。第十七條 商業(yè)銀行內部審計部門應當負責并定期開展全行業(yè)務連續(xù)性管理審計工作。第二節(jié) 應急處置組織架構第十八條 商業(yè)銀行應當建立運營中斷事件應急處置的組織架構，包括應急決策層、應急指揮層、應急執(zhí)行層和應急保障層。第十九條 應急決策層由商業(yè)銀行高級管理人員組成，負責決定應急處置重大事宜，包括：決定運營中斷事件通報、對外報告和公告；批準啟動總體應急預案等。第二十條 應急指揮層由商業(yè)銀行的業(yè)務連續(xù)性管理主管部門、執(zhí)行部門和保障部門負責人組成，負責運營中斷事件處置應急指揮和組織協(xié)調，督導應急處置實施。第二十一條 應急執(zhí)行層由商業(yè)銀行業(yè)務連續(xù)性管理執(zhí)行部門組成，負責業(yè)務條線與信息技術應急處置工作。第二十二條 應急保障層由商業(yè)銀行業(yè)務連續(xù)性管理保障部門組成，負責應急處置所需人力、物力和財力等資源的保障，應急處置對外報告、宣告、通報和溝通與協(xié)調，以及對外媒體公關、秩序維護、安全保障、法律咨詢和人員安撫等相關工作。第三章 業(yè)務影響分析第二十三條 商業(yè)銀行應當通過業(yè)務影響分析識別和評估業(yè)務運營中斷所造成的影響和損失，明確業(yè)務連續(xù)性管理重點，根據(jù)業(yè)務重要程度實現(xiàn)差異化管理，確定各業(yè)務恢復優(yōu)先順序和恢復指標。商業(yè)銀行應當至少每三年開展一次全面業(yè)務影響分析，并形成業(yè)務影響分析報告。第二十四條 商業(yè)銀行應當識別重要業(yè)務，明確重要業(yè)務歸口管理部門、所需關鍵資源及對應的信息系統(tǒng)，識別重要業(yè)務的相互依賴關系，分析、評估各項重要業(yè)務在運營中斷事件發(fā)生時可能造成的經濟損失和非經濟損失。第二十五條 商業(yè)銀行應當綜合分析重要業(yè)務運營中斷可能產生的損失與業(yè)務恢復成本，結合業(yè)務服務時效性、服務周期等運行特點，確定重要業(yè)務恢復時間目標(業(yè)務RTO)、業(yè)務恢復點目標(業(yè)務RPO)，原則上，重要業(yè)務恢復時間目標不得大于4小時，重要業(yè)務恢復點目標不得大于半小時。第二十六條 商業(yè)銀行應當明確業(yè)務重要程度和恢復優(yōu)先級別，并識別重要業(yè)務恢復所需的必要資源。第二十七條 商業(yè)銀行應當通過分析業(yè)務與信息系統(tǒng)的對應關系、信息系統(tǒng)之間的依賴關系，根據(jù)業(yè)務恢復時間目標、業(yè)務恢復點目標、業(yè)務應急響應時間、業(yè)務恢復的驗證時間，確定信息系統(tǒng)恢復時間目標(信息系統(tǒng)RTO)、信息系統(tǒng)恢復點目標(信息系統(tǒng)RPO)，明確信息系統(tǒng)重要程度和恢復優(yōu)先級別，并識別信息系統(tǒng)恢復所需的必要資源。第二十八條 商業(yè)銀行應當開展業(yè)務連續(xù)性風險評估，識別業(yè)務連續(xù)運營所需的關鍵資源，分析資源所面臨的各類威脅以及資源自身的脆弱性，確定資源的風險敞口。關鍵資源應當包括關鍵信息系統(tǒng)及其運行環(huán)境，關鍵的人員、業(yè)務場地、業(yè)務辦公設備、業(yè)務單據(jù)以及供應商等。第二十九條 商業(yè)銀行應當根據(jù)風險敞口制定降低、緩釋、轉移等應對策略。依據(jù)防范或控制風險的可行性和殘余風險的可接受程度，確定風險防范和控制的原則與措施。第三十條 商業(yè)銀行應當根據(jù)業(yè)務影響分析結果，依據(jù)業(yè)務恢復指標，制定差別化的業(yè)務恢復策略，主要包括關鍵資源恢復、業(yè)務替代手段、數(shù)據(jù)追補和恢復優(yōu)先級別等。第三十一條 商業(yè)銀行應當依據(jù)業(yè)務恢復策略，確定災難恢復資源獲取方式和災難恢復等級。第四章 業(yè)務連續(xù)性計劃與資源建設第一節(jié) 業(yè)務連續(xù)性計劃第三十二條 商業(yè)銀行應當依據(jù)業(yè)務恢復目標，制定覆蓋所有重要業(yè)務的業(yè)務連續(xù)性計劃。第三十三條 業(yè)務連續(xù)性計劃的主要內容應當包括：(一)重要業(yè)務及關聯(lián)關系、業(yè)務恢復優(yōu)先次序；(二)重要業(yè)務運營所需關鍵資源；(三)應急指揮和危機通訊程序；(四)各類預案以及預案維護、管理要求；(五)殘余風險。第三十四條 商業(yè)銀行應當制定總體應急預案?？傮w應急預案是商業(yè)銀行應對運營中斷事件的總體方案，包括總體組織架構、各層級預案的定位和銜接關系及對運營中斷事件的預警、報告、分析、決策、處理、恢復等處置程序?？傮w預案通常用于處置導致大范圍業(yè)務運營中斷的事件。第三十五條 商業(yè)銀行應當制定重要業(yè)務專項應急預案，專項應急預案應當注重災難場景的設計，明確在不同場景下的應急流程和措施。業(yè)務條線的專項應急預案，應當注重調動內部資源、采取業(yè)務應急手段盡快恢復業(yè)務，并和信息科技部門、保障部門的應急預案有效銜接。第三十六條 專項應急預案的主要內容應當包括：(一)應急組織架構及各部門、人員在預案中的角色、權限、職責分工；(二)信息傳遞路徑和方式；(三)運營中斷事件處置程序，包括預警、報告、決策、指揮、響應、回退等；(四)運營中斷事件處置過程中的風險控制措施；(五)運營中斷事件的危機處理機制；(六)運營中斷事件的內部溝通機制和聯(lián)系方式；(七)運營中斷事件的外部溝通機制和聯(lián)系方式；(八)應急完成后的還原機制。第三十七條 商業(yè)銀行應當要求重要業(yè)務及信息系統(tǒng)的外部供應商建立業(yè)務連續(xù)性計劃，證明其業(yè)務連續(xù)性計劃的有效性，其業(yè)務恢復目標應當滿足商業(yè)銀行要求。第三十八條 商業(yè)銀行應當注重與金融同