【正文】 第九十九條 本指引自公布之日起執(zhí)行。政策性銀行、村鎮(zhèn)銀行、金融資產(chǎn)管理公司、信托公司、企業(yè)集團(tuán)財務(wù)公司、金融租賃公司、汽車金融公司、貨幣經(jīng)紀(jì)公司、消費(fèi)金融公司等其他銀行業(yè)金融機(jī)構(gòu)參照執(zhí)行。第九十六條 商業(yè)銀行業(yè)務(wù)連續(xù)性管理機(jī)制存在重大缺陷、日常管理工作存在嚴(yán)重違規(guī)的，因違反審慎經(jīng)營規(guī)則導(dǎo)致業(yè)務(wù)運(yùn)營中斷的，或在運(yùn)營中斷事件中應(yīng)急處置不力導(dǎo)致事件惡化、蔓延的，銀監(jiān)會或其派出機(jī)構(gòu)依法采取監(jiān)管措施并追究有關(guān)責(zé)任人的責(zé)任。重點(diǎn)關(guān)注以下方面：(一)業(yè)務(wù)連續(xù)性管理體系的完整性和合理性；(二)業(yè)務(wù)連續(xù)性管理的實施情況；(三)業(yè)務(wù)連續(xù)性計劃的演練情況；(四)業(yè)務(wù)連續(xù)性管理評估的完整性和準(zhǔn)確性，審計覆蓋領(lǐng)域和深度；(五)業(yè)務(wù)連續(xù)性管理在執(zhí)行過程中存在的問題及其整改情況。第九十三條 銀監(jiān)會及其派出機(jī)構(gòu)對商業(yè)銀行業(yè)務(wù)連續(xù)性管理報告進(jìn)行審查，督導(dǎo)商業(yè)銀行建立與其風(fēng)險管控目標(biāo)、機(jī)構(gòu)規(guī)模、公眾影響和所承擔(dān)的社會責(zé)任相匹配的業(yè)務(wù)連續(xù)性管理體系。第九十一條 銀監(jiān)會及其派出機(jī)構(gòu)對商業(yè)銀行業(yè)務(wù)連續(xù)性管理工作進(jìn)行監(jiān)督和檢查，對業(yè)務(wù)連續(xù)性工作進(jìn)行綜合評 價，提出監(jiān)管要求。銀監(jiān)會或其派出機(jī)構(gòu)對事件進(jìn)行評估和現(xiàn)場調(diào)查，查明事件原因，進(jìn)行責(zé)任認(rèn)定。第八十八條 銀監(jiān)會及其派出機(jī)構(gòu)加強(qiáng)與相關(guān)部門和監(jiān)管機(jī)構(gòu)的協(xié)作，協(xié)調(diào)各方力量開展處置工作。第八十七條 銀監(jiān)會及其派出機(jī)構(gòu)督促商業(yè)銀行開展危機(jī)處理，做好輿情監(jiān)測和媒體溝通，做好合理宣傳解釋工作，防止不實信息導(dǎo)致銀行業(yè)金融機(jī)構(gòu)聲譽(yù)風(fēng)險。第八十六條 銀監(jiān)會及其派出機(jī)構(gòu)督導(dǎo)商業(yè)銀行積極采取風(fēng)險隔離措施，防止事件惡化或向其他銀行業(yè)金融機(jī)構(gòu)擴(kuò)散。第八十五條 銀監(jiān)會及其派出機(jī)構(gòu)督導(dǎo)商業(yè)銀行采取措施盡快恢復(fù)系統(tǒng)和業(yè)務(wù)，最大程度減少事件產(chǎn)生的負(fù)面影響。第八十三條 對于較大(Ⅲ級)運(yùn)營中斷事件，按照屬地監(jiān)管原則，由銀監(jiān)會或其派出機(jī)構(gòu)組織開展處置工作，處置結(jié)束后銀監(jiān)會派出機(jī)構(gòu)向銀監(jiān)會上報運(yùn)營中斷事件總結(jié)報告。第八十一條 銀監(jiān)會根據(jù)國家有關(guān)網(wǎng)絡(luò)與信息安全事件應(yīng)急預(yù)案要求向相關(guān)部門通報運(yùn)營中斷事件；對其他行業(yè)有較大影響的運(yùn)營中斷事件，可以向該行業(yè)主管或監(jiān)管部門通報事件情況；對于特別重大(Ⅰ級)的運(yùn)營中斷事件，將事件及處置情況及時上報國務(wù)院。事件報告至少包括：事發(fā)銀行及事件發(fā)生時間、地點(diǎn)、現(xiàn)象、影響范圍和程度、已采取的措施等。(三)較大運(yùn)營中斷事件(Ⅲ級)1．銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)服務(wù)中斷，或重要數(shù)據(jù)損毀、丟失、泄露，對銀行或客戶利益造成較大損害的事件；2．在業(yè)務(wù)服務(wù)時段導(dǎo)致一個省(自治區(qū)、直轄市)業(yè)務(wù)無法正常開展達(dá)半個小時(含)以上的事件；3．業(yè)務(wù)服務(wù)時段以外，故障或事件救治未果、可能產(chǎn)生上述1至2類事件的事件。(一)特別重大運(yùn)營中斷事件(Ⅰ級)1．銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)服務(wù)中斷，或重要數(shù)據(jù)損毀、丟失、泄露，造成經(jīng)濟(jì)秩序混亂或重大經(jīng)濟(jì)損失、影響金融穩(wěn)定，或?qū)娎?、社會秩序、國家安全造成特別嚴(yán)重?fù)p害的事件；2．在業(yè)務(wù)服務(wù)時段導(dǎo)致一個(含)以上省(自治區(qū)、直轄市)的多家金融機(jī)構(gòu)業(yè)務(wù)無法正常開展達(dá)3個小時(含)以上的事件；3．在業(yè)務(wù)服務(wù)時段導(dǎo)致單家金融機(jī)構(gòu)兩個(含)以上省(自治區(qū)、直轄市)業(yè)務(wù)無法正常開展達(dá)3個小時(含)以上，或一個省(自治區(qū)、直轄市)業(yè)務(wù)無法正常開展達(dá)6個小時(含)以上的事件；4．業(yè)務(wù)服務(wù)時段以外，故障或事件救治未果、可能產(chǎn)生上述1至3類事件的事件。第七十九條 銀監(jiān)會及其派出機(jī)構(gòu)對銀行業(yè)運(yùn)營中斷事件進(jìn)行分級。(二)工作小組主要職責(zé)為：1．制定銀行業(yè)運(yùn)營中斷事件處置預(yù)案；2．對銀行業(yè)金融機(jī)構(gòu)運(yùn)營中斷事件進(jìn)行監(jiān)管處置；3．向處置領(lǐng)導(dǎo)小組報告運(yùn)營中斷事件、重大處置事項及事件進(jìn)展情況； 4．依授權(quán)對外發(fā)布信息； 5．協(xié)調(diào)跨行業(yè)、跨部門資源。第七章 監(jiān)管和處置 第一節(jié) 監(jiān)管處置第七十七條 銀監(jiān)會及其派出機(jī)構(gòu)建立運(yùn)營中斷事件處置領(lǐng)導(dǎo)小組和工作小組。第七十五條 商業(yè)銀行應(yīng)當(dāng)制定針對社會公眾、媒體、股東、客戶等相關(guān)各方的預(yù)案，在運(yùn)營中斷事件發(fā)生時及時、準(zhǔn)確披露信息，防止因信息不對稱可能產(chǎn)生的負(fù)面影響。第四節(jié) 危機(jī)處理第七十三條 商業(yè)銀行應(yīng)當(dāng)建立危機(jī)處理機(jī)制，從維護(hù)客戶關(guān)系、履行告知義務(wù)、維護(hù)客戶合法權(quán)益出發(fā)，運(yùn)用公共關(guān)系策略、方法，加強(qiáng)與客戶、媒體的溝通，適時向公眾發(fā)布信息，消除或降低危機(jī)所造成的負(fù)面影響。第七十一條 商業(yè)銀行應(yīng)當(dāng)事先對備份資源進(jìn)行技術(shù)驗證，確保其可用性；在實施災(zāi)難備份切換時，信息科技部門應(yīng)當(dāng)向業(yè)務(wù)條線部門告知可能出現(xiàn)的數(shù)據(jù)損失情況，并對備份系統(tǒng)的運(yùn)行情況實施監(jiān)控，預(yù)警并防止出現(xiàn)二次中斷風(fēng)險。第六十九條 商業(yè)銀行應(yīng)當(dāng)對運(yùn)營中斷事件應(yīng)急處置過程進(jìn)行完整記錄。第六十七條 商業(yè)銀行在實施應(yīng)急處置時，應(yīng)當(dāng)采取以下措施：(一)加強(qiáng)運(yùn)營中斷事件處置中的對外溝通，開展告知、解釋與安撫工作，最大程度降低負(fù)面影響；(二)對重要業(yè)務(wù)可以通過減少服務(wù)功能、縮小服務(wù)范圍、利用替代系統(tǒng)、手工記賬、利用他行支付渠道等多種手段進(jìn)行業(yè)務(wù)應(yīng)急處置；(三)采用程序化和標(biāo)準(zhǔn)化的手段，提高信息技術(shù)應(yīng)急處置的效率和質(zhì)量。第六十五條 運(yùn)營中斷事件應(yīng)急處置應(yīng)當(dāng)遵循“統(tǒng)一指揮、分類管理、分級處置、快速響應(yīng)”的原則，在全行統(tǒng)一指揮下高效、有序應(yīng)對；應(yīng)當(dāng)根據(jù)事件等級實施差別化處置，必要時可以越級匯報、緊急授權(quán)，保障信息傳遞和決策的及時性，將影響或損失最小化。第六十三條 發(fā)生運(yùn)營中斷事件后，商業(yè)銀行應(yīng)當(dāng)及時進(jìn)行溝通和報告，包括：按照報告路線在內(nèi)部各部門及人員之間的報告，與業(yè)務(wù)運(yùn)營的外包方、業(yè)務(wù)合作方之間的溝通、以及按照銀監(jiān)會有關(guān)報告要求，向銀監(jiān)會或其派出機(jī)構(gòu)的報告等。第六十二條 商業(yè)銀行應(yīng)當(dāng)建立關(guān)鍵時點(diǎn)的監(jiān)測與預(yù)警機(jī)制，在重大業(yè)務(wù)和社會活動等關(guān)鍵時點(diǎn)，或在業(yè)務(wù)功能、關(guān)鍵資源發(fā)生重大變更時，加強(qiáng)風(fēng)險監(jiān)控和預(yù)警。第六章 運(yùn)營中斷事件應(yīng)急處置 第一節(jié) 監(jiān)測、預(yù)警與報告第六十條 商業(yè)銀行應(yīng)當(dāng)建立運(yùn)營中斷事件的風(fēng)險預(yù)警體系，設(shè)定風(fēng)險預(yù)警指標(biāo)，并納入全行風(fēng)險預(yù)警體系中。第五十八條 商業(yè)銀行應(yīng)當(dāng)每年對本行業(yè)務(wù)連續(xù)性管理進(jìn)行審計，每三年至少開展一次全面審計，發(fā)生大范圍業(yè)務(wù)運(yùn)營中斷事件后應(yīng)當(dāng)及時開展專項審計。對納入業(yè)務(wù)連續(xù)性管理的，應(yīng)當(dāng)在上線前制定業(yè)務(wù)連續(xù)性計劃并實施演練。第五十五條 商業(yè)銀行應(yīng)當(dāng)每年對業(yè)務(wù)連續(xù)性管理文檔進(jìn)行修訂，內(nèi)容應(yīng)當(dāng)包含重要業(yè)務(wù)調(diào)整、制度調(diào)整、崗位職責(zé)與人員調(diào)整等，確保文檔的真實性、有效性。第二節(jié) 業(yè)務(wù)連續(xù)性管理評估與改進(jìn)第五十三條 商業(yè)銀行應(yīng)當(dāng)建立業(yè)務(wù)連續(xù)性管理體系持續(xù)改進(jìn)機(jī)制。第五十一條 商業(yè)銀行應(yīng)當(dāng)將外部供應(yīng)商納入演練范圍并定期開展演練；同時，應(yīng)當(dāng)積極參加金融同業(yè)單位、外部金融市場、金融服務(wù)平臺和公共事業(yè)部門等組織的業(yè)務(wù)連續(xù)性計劃演練，確保應(yīng)急和協(xié)調(diào)措施的有效性。在重大業(yè)務(wù)活動、重大社會活動等關(guān)鍵時點(diǎn)，或在關(guān)鍵資源發(fā)生重大變化之前，也應(yīng)當(dāng)開展業(yè)務(wù)連續(xù)性計劃的專項演練。第四十八條 制定業(yè)務(wù)連續(xù)性演練計劃時，商業(yè)銀行應(yīng)當(dāng)考慮業(yè)務(wù)的重要性和影響程度，包括客戶范圍、業(yè)務(wù)性質(zhì)、業(yè)務(wù)時效性、經(jīng)濟(jì)與非經(jīng)濟(jì)影響等，演練頻率、方式應(yīng)當(dāng)與業(yè)務(wù)的重要性和影響程度相匹配。第四十六條 商業(yè)銀行應(yīng)當(dāng)明確關(guān)鍵崗位的備份人員及其備份方式，并確保備份人員可用，降低關(guān)鍵崗位人員無法及時履職風(fēng)險。第四十四條 商業(yè)銀行在建立備用業(yè)務(wù)和辦公場所時，應(yīng)當(dāng)配備業(yè)務(wù)操作和辦公所需資源，并確保其能夠迅速啟用。第四十二條 商業(yè)銀行應(yīng)當(dāng)建立符合業(yè)務(wù)連續(xù)性管理要求的備用資源，如備用業(yè)務(wù)和辦公場所資源、備用信息系統(tǒng)運(yùn)行場所資源、備用信息技術(shù)資源、備用人力資源等，以及電力、通訊、消防、安保等資源。第四十條 商業(yè)銀行應(yīng)當(dāng)重點(diǎn)加強(qiáng)信息系統(tǒng)關(guān)鍵資源的建設(shè)，實現(xiàn)信息系統(tǒng)的高可用性，保障信息系統(tǒng)的持續(xù)運(yùn)行并減少信息系統(tǒng)中斷后的恢復(fù)時間。第三十八條 商業(yè)銀行應(yīng)當(dāng)注重與金融同業(yè)單位、外部金融市場、金融服務(wù)平臺和公共事業(yè)部門等業(yè)務(wù)連續(xù)性計劃的有效銜接；同時，應(yīng)當(dāng)積極采取風(fēng)險緩釋及轉(zhuǎn)移措施，有效控制由于外部機(jī)構(gòu)業(yè)務(wù)連續(xù)性管理不充分可能產(chǎn)生的風(fēng)險。第三十六條 專項應(yīng)急預(yù)案的主要內(nèi)容應(yīng)當(dāng)包括：(一)應(yīng)急組織架構(gòu)及各部門、人員在預(yù)案中的角色、權(quán)限、職責(zé)分工；(二)信息傳遞路徑和方式；(三)運(yùn)營中斷事件處置程序，包括預(yù)警、報告、決策、指揮、響應(yīng)、回退等；(四)運(yùn)營中斷事件處置過程中的風(fēng)險控制措施；(五)運(yùn)營中斷事件的危機(jī)處理機(jī)制；(六)運(yùn)營中斷事件的內(nèi)部溝通機(jī)制和聯(lián)系方式；(七)運(yùn)營中斷事件的外部溝通機(jī)制和聯(lián)系方式；(八)應(yīng)急完成后的還原機(jī)制。第三十五條 商業(yè)銀行應(yīng)當(dāng)制定重要業(yè)務(wù)專項應(yīng)急預(yù)案，專項應(yīng)急預(yù)案應(yīng)當(dāng)注重災(zāi)難場景的設(shè)計，明確在不同場景下的應(yīng)急流程和措施。總體應(yīng)急預(yù)案是商業(yè)銀行應(yīng)對運(yùn)營中斷事件的總體方案，包括總體組織架構(gòu)、各層級預(yù)案的定位和銜接關(guān)系及對運(yùn)營中斷事件的預(yù)警、報告、分析、決策、處理、恢復(fù)等處置程序。第三十三條 業(yè)務(wù)連續(xù)性計劃的主要內(nèi)容應(yīng)當(dāng)包括：(一)重要業(yè)務(wù)及關(guān)聯(lián)關(guān)系、業(yè)務(wù)恢復(fù)優(yōu)先次序；(二)重要業(yè)務(wù)運(yùn)營所需關(guān)鍵資源；(三)應(yīng)急指揮和危機(jī)通訊程序；(四)各類預(yù)案以及預(yù)案維護(hù)、管理要求；(五)殘余風(fēng)險。第三十一條 商業(yè)銀行應(yīng)當(dāng)依據(jù)業(yè)務(wù)恢復(fù)策略，確定災(zāi)難恢復(fù)資源獲取方式和災(zāi)難恢復(fù)等級。依據(jù)防范或控制風(fēng)險的可行性和殘余風(fēng)險的可接受程度，確定風(fēng)險防范和控制的原則與措施。關(guān)鍵資源應(yīng)當(dāng)包括關(guān)鍵信息系統(tǒng)及其運(yùn)行環(huán)境，關(guān)鍵的人員、業(yè)務(wù)場地、業(yè)務(wù)辦公設(shè)備、業(yè)務(wù)單據(jù)以及供應(yīng)商等。第二十七條 商業(yè)銀行應(yīng)當(dāng)通過分析業(yè)務(wù)與信息系統(tǒng)的對應(yīng)關(guān)系、信息系統(tǒng)之間的依賴關(guān)系，根據(jù)業(yè)務(wù)恢復(fù)時間目標(biāo)、業(yè)務(wù)恢復(fù)點(diǎn)目標(biāo)、業(yè)務(wù)應(yīng)急響應(yīng)時間、業(yè)務(wù)恢復(fù)的驗證時間，確定信息系統(tǒng)恢復(fù)時間目標(biāo)(信息系統(tǒng)RTO)、信息系統(tǒng)恢復(fù)點(diǎn)目標(biāo)(信息系統(tǒng)RPO)，明確信息系統(tǒng)重要程度和恢復(fù)優(yōu)先級別，并識別信息系統(tǒng)恢復(fù)所需的必要資源。第二十五條 商業(yè)銀行應(yīng)當(dāng)綜合分析重要業(yè)務(wù)運(yùn)營中斷可能產(chǎn)生的損失與業(yè)務(wù)恢復(fù)成本，結(jié)合業(yè)務(wù)服務(wù)時效性、服務(wù)周期等運(yùn)行特點(diǎn)，確定重要業(yè)務(wù)恢復(fù)時間目標(biāo)(業(yè)務(wù)RTO)、業(yè)務(wù)恢復(fù)點(diǎn)目標(biāo)(業(yè)務(wù)RPO)，原則上，重要業(yè)務(wù)恢復(fù)時間目標(biāo)不得大于4小時，重要業(yè)務(wù)恢復(fù)點(diǎn)目標(biāo)不得大于半小時。商業(yè)銀行應(yīng)當(dāng)至少每三年開展一次全面業(yè)務(wù)影響分析，并形成業(yè)務(wù)影響分析報告。第二十二條 應(yīng)急保障層由商業(yè)銀行業(yè)務(wù)連續(xù)性管理保障部門組成，負(fù)責(zé)應(yīng)急處置所需人力、物力和財力等資源的保障，應(yīng)急處置對外報告、宣告、通報和溝通與協(xié)調(diào)，以及對外媒體公關(guān)、秩序維護(hù)、安全保障、法律咨詢和人員安撫等相關(guān)工作。第二十條 應(yīng)急指揮層由商業(yè)銀行的業(yè)務(wù)連續(xù)性管理主管部門、執(zhí)行部門和保障部門負(fù)責(zé)人組成，負(fù)責(zé)運(yùn)營中斷事件處置應(yīng)急指揮和組織協(xié)調(diào)，督導(dǎo)應(yīng)急處置實施。第二節(jié) 應(yīng)急處置組織架構(gòu)第十八條 商業(yè)銀行應(yīng)當(dāng)建立運(yùn)營中斷事件應(yīng)急處置的組織架構(gòu)，包括應(yīng)急決策層、應(yīng)急指揮層、應(yīng)急執(zhí)行層和應(yīng)急保障層。第十六條 商業(yè)銀行各部門應(yīng)當(dāng)負(fù)責(zé)本部門業(yè)務(wù)連續(xù)性管理工作，制定相關(guān)規(guī)章制度，制定和執(zhí)行本部門業(yè)務(wù)連續(xù)性計劃，開展本部門業(yè)務(wù)連續(xù)性計劃的演練、評估與改進(jìn)工作。第十五條 商業(yè)銀行應(yīng)當(dāng)明確業(yè)務(wù)連續(xù)性管理保障部門，包括辦公室、人力資源部門、公共關(guān)系部門、財務(wù)部門、法律合規(guī)部門、后勤部門、保衛(wèi)部門等，為業(yè)務(wù)連續(xù)性日常管理提供人力、物力、財力以及安全保障和法律咨詢。第十四條 商業(yè)銀行應(yīng)當(dāng)明確業(yè)務(wù)連續(xù)性管理執(zhí)行部門，包括業(yè)務(wù)條線部門與信息科技部門。第十二條 商業(yè)銀行應(yīng)當(dāng)設(shè)立由高級管理層和業(yè)務(wù)連續(xù)性管理相關(guān)部門負(fù)責(zé)人組成的業(yè)務(wù)連續(xù)性管理委員會，統(tǒng)籌協(xié)調(diào)、落實各項管理職責(zé)。