银行业务连续性管理实践
业务连续性管理 (BCM)实务培训 ppt
目标恢复时间 最长可容忍中断时间 MTPD RTO
快速恢复
借助BCM 0
16 24 小时 小时
如果缺乏BCM
业务最低运营要求
• 维持业务运营的最低性能 与容量要求；
• 保证最核心的业务流程/ 活动/产品/服务/职能/区 域恢复运行
• 通常会作为灾备建设依据
5
7
天
天
时间
-
11
11
RTO MTPD
RTO
• 恢复时间目标（RTO） 基于MTPD，在组织内部协商后制定的恢复时间目标值。RTO应小于MTPD（30%为宜）。 组织应在假设的最坏场景下，通过演练、测试，验证自身达成RTO的实际能力。
• 最长可容忍数据丢失点（MTDL , Maximum Tolerable Data Lost） 交付产品、服务的业务流程与活动中断后再次恢复时，能够容忍的数据丢失时长。即：将数据恢复到中断前多久的状态。
事件上报与 初判
执行恢复 启用备用资源
恢 复
复原或重建
-2
-1
小时
小时
0
4小时
6小时
-
业务复原 到完全运营水平
复 原
时间 3天
12
《商业银行业务连续性监管指引》要求的BCM
条款治要求 理结构
日常管理组织架构 • 决策机构：董(理)事会
• 高级管理层、业务连续性管理委员会 • 主管部门：风险管理部门或其他综合管理部门 • 执行部门：业务条线部门、信息科技部门 • 保障部门：办公室、人事、公共关系、财务、法律合规、后勤保
8.5 演练和测试 -
• 第一章 总则 • 第二章 业务连续性组织架构
• 第一章 总则（第九条）
中国银行业务连续性管理v10nsfocus
– 建立适用的规程和策略，用于同地方当局协调响应、连续性和恢复活动，以确保符合现行的法 和法规。
中国银行业务连续性管理v10nsfocus
响应 资源
在行动
重装载 数据库
回滚和 再同步
恢复操作系统
恢复的时间
重定位备份
业务 重新 开始
中国银行业务连续性管理v10nsfocus
• 因此，BCM要从企业的业务目标出发，分析企业具 体的业务流程，详细分析支持这些业务流程的应用 系统，分析它们一旦发生危机对业务的影响。根据 上述影响，制定相应的规避方法，包括流程和技术 手段。
中国银行业务连续性管理v10nsfocus
业务连续性管理的国际专业操作步骤(10 Steps)
1. 项目启动和管理
中国银行业务连续性管理v10nsfocus
• 灾难恢复应该是整个应急体系中的最后一道防线。
• 事实上，无论备份等级有多高，任何灾备中心与真 正的业务系统间都还是会存在或多或少的时点差距 的，切换恢复后的业务系统不一定是全部；且系统 切换本身也是要付出时间、人力、物力等高成本代 价的。
• 而我们所该做的，是在灾难发生后尽量将损失降到 最低。
洞，导致4000万用户的银行资料被泄漏，其中包括 MASTER 公司的1390 用户、VISA 的2200万客户。
信任危机
中国银行业务连续性管理v10nsfocus
银行业赖以生存的重要信息资产
• 帐户信息
• 客户资料 • 信用记录
7×24×365
• 交易明细
• 业务数据大集中的同时，客观上也把风险集中和放 大起来。
•硬件故障 •数据残缺 •电信故障 •电力故障 。
安全控制
银行业务连续性工作计划书
银行业务连续性工作计划书
银行业务连续性工作计划书：
一、背景
随着银行业务的不断发展，银行在市场中的竞争也日益激烈。
为了确保银行业务的连续性和稳定性，我们需要制定相应的工作计划，以防止各种突发事件对业务产生不利影响。
二、目标
我们的主要目标是确保银行业务的连续性，包括但不限于对网络系统、数据中心、应用系统和员工培训等方面的保障，以最大程度地减少业务中断的风险。
三、工作内容
1.对网络系统和数据中心的安全性和稳定性进行全面评估，提出改进建议，并实施相应的措施；
2.对银行应用系统进行全面检查，确保系统能够应对各种突发情况；
3.制定员工培训计划，确保员工具备处理紧急情况的能力；
4.建立业务连续性管理机制，包括应急预案、演练等；
5.定期对业务连续性管理机制进行评估和改进。
四、预期成果
经过我们的努力，预计能够达到以下成果：
1.减少银行业务中断的风险；
2.提高银行业务的连续性和稳定性；
3.确保客户的资金和信息安全；
4.增强银行在市场中的竞争力。
五、实施计划
我们将根据以上工作内容，制定详细的实施计划，并在全体员工的共同努力下，逐步完成各项工作。
六、风险及对策
在实施过程中，我们也会面临各种风险，比如人为因素、技术因素等。
我们将在实施计划中考虑这些风险，并制定相应的对策。
七、评估与改进
我们还将设立评估周期，对业务连续性管理机制进行定期评估和改进，以确保长期有效。
八、总结
通过我们的努力和持续的改进，相信我们能够确保银行业务的连续性和稳定性，为客户提供更加安全、可靠的服务。
业务连续性管理规定
业务连续性管理规定第一章总则第一条为规范科技发展部业务连续性管理，并依此建立业务连续性管理计划，将预防和恢复控制相结合，积极防范并且处理突发信息安全事件，防止业务活动中断，将突发信息安全事件对科技发展部的影响控制在能够承受的范围之内，保证关键性业务流程的连续性运营，构建“健全机制、集中领导、明确职责、预防为主、反应灵敏、处置高效”的业务连续性管理体系，根据《中华人民共和国银行业监督管理法》、《中华人民共和国突发事件应对法》、《银行业重要信息系统突发事件应急管理规范》以及相关法律法规、业界规范标准，特制定本规定。
第二条本规定文件适用于科技发展部范围内的所有业务连续性相关的管理工作。
第二章组织与职责第三条科技发展部信息安全指挥小组负责根据业务发展方向规划业务连续性总体战略，确定科技发展部业务连续性管理的策略、目标和范围，为科技发展部业务连续性管理工作的计划、落实提供资源和管理保证，并对执行情况进行监督。
第四条科技发展部风险管理组负责制定科技发展部的业务连续性管理办法，对科技发展部的业务连续性管理落实情况进行监督审核。
第五条各部门安全组负责本部门的业务连续性管理落实情况的监督和检查。
第六条各部门负责人负责确定本部门业务连续性管理策略，确定本部门业务连续性管理的目标和范围，审批本部门业务连续性计划，为相关管理活动提供资源和管理保证。
第七条各部门负责制定本部门的业务连续性计划、突发事件应急预案和灾难恢复预案，提交本部门负责人或信息安全指挥小组审批。
第三章业务连续性管理规定第八条各部门负责人或信息安全指挥小组根据业务的发展规划，确定本部门业务连续性管理策略，主要为：（一）确定业务连续性管理的目标和范围。
（二）确定业务连续性管理的组织结构和职责。
（三）确定业务连续性管理的外部协作关系，各部门应与相关管理部门、设备及服务提供商、电信、电力和新闻媒体等保持联络和协作，以确保在突发信息安全事件发生时能及时通报准确情况和获得适当支持。
商业银行的业务连续性管理探讨
维管理和灾 备系统建设三个方面对如何加强商业银行的 对数据的高可用保护 ， 用的技术包括 Ｈ ＳＴｕＣ ｐ 、 常 Ｄ ｒｅ ｏ ｙ 业务连续性管理进行探讨。
一
Ｅ Ｒ ／ 等 。 ＭＣ Ｓ ＤＦＡ
服务器的高可用性 ，一方面取决于服务器硬件 的可
、
高 可用 性 建设
靠 性 ，另一 方面 可 通过 结 构 冗余 来 实现 开 放 平 台应 用服
管理的对象和范围，持续地推进分层次的高可用管理体
施提供平台。在系统 结构层面 ，主要通过负载均衡 、服 系的构建和完善 。另外 ，在高可用性建设实施推广过程
务器 备份 等方 式 来 实 现 开 放 平 台应 用 服 务器 的 高可 用 。 中 ，应 由熟悉 整 体 规 划和 具 备项 目管 理专 业 技 能 的人 员
银行首先应在技术层面针对基础 设施 、网络 、服 务器 、
数 据 库 、应 用 系统 等 实施 高 可 用性 建 设 ，确保 信 息 系统 运 行 的可 靠 性和 稳 定性 ；其 次 ，运 维管 理 层 面应 加 强 日 常 维 护 、流 程 规 范 和 安 全 管 理 ，确 保 Ｉ Ｔ服 务 的 安全 性 和 持 续性 ；再 次 ，加快 建 设 金融 数 据 灾备 中心 等基础 设
另外 ，应用虚拟化技术 ，也极大地提高了服 务器的高可 组建专业项 目管理团队 ，在整个项 目周期 中协调和管理
用 性 。物理 服 务器增 加 虚 拟 层后 ，屏 蔽 了硬 件 特性 的差
整个实施过程 ，保障项 目的实施质量和实施周期 。
异 ，计算资源不仅可按需分配 ，而且可以在线迁移 ，无 论磁盘故障还是服务器故障都能做到快 速 自动切换 ，极
金 融 自 助 服 务 与 安 全 防 范 服 务 解 决 方 案 的 领 航 者
商业银行业务连续性管理办法规定
商业银行业务连续性管理办法规定商业银行业务连续性管理暂行办法第一章总则第一条为加强商业银行业务连续性管理，降低或消除因信息系统服务异常导致重要业务运营中断的影响，快速恢复被中断业务，根据银监会《商业银行信息科技风险管理指引》和《商业银行业务连续性监管指引》以及相关法律法规，制定本办法。
第二条本办法所称业务连续性管理是指农信社为有效应对重要业务运营中断事件，建设应急响应、恢复机制和管理能力框架，保障重要业务持续运营的一整套管理过程，包括策略、组织架构、方法、标准和程序。
第三条本办法所称重要业务是指面向客户、涉及账务处理、时效性要求较高的银行业务，其运营服务中断会对农信社产生较大经济损失或声誉影响，或对公民、法人和其他组织的权益、社会秩序和公共利益、国家安全造成严重影响的业务。
第四条本办法所称重要业务运营中断事件（以下简称运营中断事件）是指因下述原因导致信息系统服务异常、重要业务停止运营的事件。
主要包括：（一）信息技术故障：信息系统技术故障、配套设施故障；（二）外部服务中断：第三方无法合作或提供服务等；（三）人为破坏：黑客攻击、恐怖袭击等；（四）自然灾害：火灾、雷击、海啸、地震、重大疫情等。
第五条农信社应将业务连续性管理纳入全面风险管理体系，建立与本机构战略目标相适应的业务连续性管理体系，确保重要业务在运营中断事件发生后快速恢复，降低或消除因重要业务运营中断造成的影响和损失，保障业务持续运营。
第六条农信社应根据业务发展的总体目标、经营规模以及风险控制的基本策略和风险偏好，确定适当的业务连续性管理战略。
第七条农信社应确定重要业务及其恢复目标，制定业务连续性计划，配置必要的资源，有效处置运营中断事件，并积极开展演练和业务连续性管理的评估改进。
第八条业务连续性管理的基本原则是：（一）切实履行社会责任，保护客户合法权益、维护金融秩序；（二）坚持预防为主，建立预防、预警机制，将日常管理与应急处置有效结合；（三）坚持以人为本，重点保障人员安全；实施差异化管理，保障重要业务有序恢复；兼顾业务连续性管理（四）坚持联动协作，加强沟通协调，形成应对运营中断事件的整体有效机制。
XX银行业务连续性管理制度
XX银行业务连续性管理制度第一章总则第一条为确保XX银行在面对各类灾害和突发事件时能够有效应对，保障业务连续性，提高银行的稳定性和抗风险能力，制定本制度。
第二条本制度适用于XX银行的全部业务部门，包括总行和分支机构。
第三条XX银行应建立和完善业务连续性管理体系，明确相关职责和制度要求，提高业务连续性管理的科学化和规范化水平。
第四条业务连续性管理应以风险管理为基础，以保护客户利益和维护银行声誉为核心，严格按照相关法律法规和监管要求进行。
第二章组织架构第五条设立业务连续性管理部门，负责制定和推进银行业务连续性管理制度，指导各业务部门的业务连续性工作。
第六条业务连续性管理部门应设立明确的职责和权限，配备专职或兼职人员，定期进行培训和考核。
第七条各业务部门应设立业务连续性管理岗位，负责本部门的连续性管理工作，并配备相应的人员和资源。
第三章业务连续性管理流程第八条XX银行应制定专门的业务连续性管理计划，确保各业务部门能够及时、准确地恢复业务。
第九条业务连续性管理计划应包括以下几个方面：灾难恢复计划、危机管理计划、数据备份和恢复计划、人员紧急疏散计划等。
第十条业务连续性管理计划应定期进行演练，确保在实际情况下能够顺畅执行。
第十一条各业务部门应配备相应的技术设备和人员，确保业务连续性管理的顺利进行。
第十二条XX银行应与相关单位建立业务连续性管理的合作机制，共同应对灾害和突发事件。
第四章风险评估与监测第十三条XX银行应建立风险评估和监测机制，及时识别并评估各类灾害和突发事件对业务连续性的影响。
第十四条各业务部门应按照风险评估和监测结果制定相应的应对措施，做好预防和应急准备工作。
第十五条XX银行应定期进行风险评估和监测报告的编制和发布，确保风险信息的及时公开和传达。
第五章紧急响应和恢复第十六条XX银行应建立紧急响应机制，及时应对各类灾害和突发事件，并采取相应措施限制损失。
第十七条各业务部门应按照预案和紧急响应机制进行灾难恢复工作，确保业务的连续运营。
商业银行业务连续性监管指引
商业银行业务连续性监管指引商业银行在现代经济中扮演着重要的角色，为人们提供各种金融服务。
然而，随着科技的发展和风险的增加，商业银行需要采取相应的措施来确保其业务连续性。
为此，监管机构制定了商业银行业务连续性监管指引，以确保银行业务稳定运作，防范金融体系风险。
一、背景介绍商业银行作为金融体系中的关键组成部分，其业务连续性的重要性不言而喻。
面临的挑战包括自然灾害、网络攻击、人为错误等，这些风险可能导致银行业务中断，给金融市场和经济带来严重的影响。
因此，为了保护金融市场稳定和消费者权益，监管机构制定了商业银行业务连续性监管指引。
二、指引内容及要求商业银行业务连续性监管指引主要包括以下几个方面的内容和要求：1. 业务连续性管理框架：商业银行应建立完善的业务连续性管理框架，包括明确的战略、政策和程序。
此外，银行还应指定内部负责人和团队，负责监督和落实业务连续性措施。
2. 风险评估和防范：商业银行应定期进行风险评估，识别可能导致业务中断的内外部风险。
根据评估结果，银行需要制定相应的防范措施，包括安全保障、备份系统和危机响应计划等。
3. 业务连续性测试和演练：商业银行应定期进行业务连续性测试和演练，以验证防范措施的有效性和响应机制的可靠性。
同时，银行还应记录测试结果和演练过程，并对存在的问题进行及时修复和改进。
4. 供应商管理：商业银行在选择和引入供应商时，应审慎评估其业务连续性管理能力。
合同中应明确供应商的责任和义务，包括数据备份、安全保障、恢复能力等方面的要求。
5. 人员培训和意识提升：商业银行应加强员工的业务连续性培训和意识提升，提高员工对业务连续性重要性的认识，并指导他们在紧急情况下的应对措施。
6. 风险报告和监测：商业银行应及时报告可能影响业务连续性的风险信息，包括内部和外部风险。
监管机构将通过监测和评估来确保商业银行按照要求进行业务连续性管理和控制风险。
三、监管机构的角色与责任监管机构对商业银行的业务连续性进行监管和指导，主要包括以下几个方面的角色与责任：1. 审查和评估：监管机构将定期对商业银行的业务连续性管理措施进行审查和评估，以确保其符合指引要求。
业务连续性管理 (BCM)实务培训
时间
11
信息系统的恢复与复原
• 如果业务活动完全依赖于IT系统，则对于IT部门而言：
• 业务部门以业务视角分析出系统的恢复目标MTPD、MTDL；
• IT部门应据此制定信息系统的RTO、RPO。
最新的 数据备份点 突发事件
系统中断、实时数据丢失
恢复关键业务 到最低运营水平
业务复原 到完全运营水平
实施临时变通方案 恢 复 复 原 MTPD MTDL -2 小时 RPO 允许的 数据丢失 事件上报与 初判 启用备用资源 -1 小时 0
应急指挥和组织协调
应急执行层
业务条线与信息技术应急处置工作： • 执行业务部门、信息技部门BCP • 启动应急预案 • • • • 资源保障：人、财、物 秩序维护，安全保障，法律咨询，人员安抚 对外宣告、通报、沟通，对外媒体公关 执行保障部门BCP
应急保障层
15
连续性管理的一般实施过程
分析 (Analysis) 设计 (Design) 连续性策略 制定 实施 (Implementation) 风险处置 验证 (Validation) 连续性管理 改进 业务影响分析 风险评估 连续性演练
IT灾难恢复计划：将中断的IT系统服务恢复到可用状态，通常涉及灾备切换。 应急预案：通常由一组具体的故障恢复场景构成，可能包含导致服务中断的严重故障，也有可 能涉及未导致服务中断的一般故障。
9
业务连续性的恢复要求
• 最长可容忍中断时间（MTPD, Maximum Tolerable Period Of Disruption） 交付产品、服务的业务流程与活动的最长可容忍中断时间。 如果超出此时间限制，带来的负面影响将变得无法承受。 • 恢复时间目标（RTO） 基于MTPD，在组织内部协商后制定的恢复时间目标值。RTO应小于MTPD（30%为宜）。 组织应在假设的最坏场景下，通过演练、测试，验证自身达成RTO的实际能力。 • 最长可容忍数据丢失点（MTDL , Maximum Tolerable Data Lost） 交付产品、服务的业务流程与活动中断后再次恢复时，能够容忍的数据丢失时长。即：将数据恢复到中断前多久的状态。
应急预案的业务连续性管理
资源保障与投入
人力投入
提供足够的人力资源，包括业务连续性管理 团队和专业应急响应人员。
物力投入
确保所需的应急设备和物资储备充足，满足 应急响应的需求。
资金保障
为业务连续性管理提供稳定的资金来源，用 于应急预案的制定、演练和改进。
制度建设与执行
定期审查与更新
根据企业内外部环境的变化，定期审查并更 新业务连续性管理制度。
业务影响分析
总结词
业务影响分析旨在确定特定风险对组织运营、财务和声誉等方面的影响，为恢复策略的优先级排序提供依据。
详细描述
业务影响分析涉及评估风险发生时对关键业务功能、资源和流程的影响程度，以及这些影响对组织目标、战略和 底线财务绩效的连锁反应。这一过程需要跨部门合作，共同确定关键业务功能和资源，并分析潜在的连锁反应。
对预案实施过程进行实时监控，根据实际情况调整预案的实施方案。
应急预案的培训与演练
01
02
03
培训计划制定
制定应急预案培训计划， 确保相关人员了解和掌握 预案内容。
培训实施
组织培训活动，提高员工 对应急预案的认知和应对 能力。
演练与评估
定期进行应急预案演练， 并对演练结果进行评估， 提出改进意见和建议。
当前阶段
目前，业务连续性管理已经成为了企业战略规划的重要组成部分，与企业的长期发展紧密相连。同时， 随着技术的不断进步和应用，数字化、智能化的业务连续性管理成为了新的发展趋势。
2023
PART 02
应急预案的制定与实施
REPORTING
应急预案的制定
识别潜在风险
对企业运营过程中可能面临的各种风险进行全面识别 ，包括自然灾害、技术故障、人为错误等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
银行业务连续性管理实践
一、背景
银行业务连续性管理是指银行应对及恢复各类风险和灾害事件的能力和过程。
风险和灾害事件的发生不可预测且具有不确定性，特别是在金融行业，因此连续性管理一直是银行业的重要工作。
二、银行业务连续性管理的必要性
银行业务连续性管理是维护金融体系稳定运行的必要手段。
银行业务连续性管
理的核心目标是保证金融机构在任何突发事件下，仍然能够维持业务连续稳定的运转，以确保金融环境的无风险运行，同时防范金融风险、保护客户权益，维护银行自身经营和社会责任。
三、银行业务连续性管理的影响
银行业务连续性管理的影响亦是广泛的，包括银行资产负债表和业务收入分布、市场份额和声誉、客户信任和满意度等。
四、银行业务连续性管理的要素
银行业务连续性管理要素主要分为三个方面：人员、技术和业务流程。
银行业
务连续性管理的实践需要依托于高效的人员、先进的技术和完善的业务流程。
具体而言，人员的参与和配合是保持银行业务连续性稳定的关键，技术的支持和保障是银行业务连续性管理能够被实施的必要条件，完善的业务流程是银行业务连续性管理的保障，可以减轻银行面对的风险和威胁。
五、银行业务连续性管理实践
实践银行业务连续性管理需要遵循几个方面的建议：
1. 制定综合性的银行业务连续性计划
综合性银行业务连续性计划是指银行要制定全面的应对和恢复计划，来应对各
种风险和灾害事件。
2. 定期进行风险评估
银行需要不断地对风险进行评估，以应对不断变化的风险和灾害事件。
3. 做好备份和存档工作
银行需要对关键信息进行备份和存档工作，以确保银行业务在出现任何风险或
灾害事件时及时恢复。
4. 建立灾害应急预案
银行需要建立完善的灾害应急预案，以应对突发事件。
5. 进行培训和演练
银行需要对员工进行相关的培训和演练，以提供相应的技能和知识。
6. 引入最新的技术和系统
银行需要不断引入最新的技术和系统，以提供更好的银行业务连续性管理方案。
六、总结
银行业务连续性管理是一项综合性的工作，具备必要的前瞻性和全局性。
银行
需要制定综合性的银行业务连续性计划，定期进行风险评估，做好备份和存档工作，建立完善的灾害应急预案，进行培训和演练，引入最新的技术和系统等，这些措施可以保障银行在变幻莫测的市场环境下，维护稳定性、风险控制和可持续性等诸多方面的关键，从而确保银行业务的连续稳定运作和发展。