非常態下商業銀行業務連續性（BCM）風險管控及應對策略

一、培訓背景

業務連續性管理（Business Continuity Management，BCM）是一項綜合性的管理活動，通過識別組織所面臨的潛在風險，評估風險可能對組織造成的影響，建立一套組織、流程和資源相配合的體系，提升組織應對風險的能力，保障組織價值創造活動的持續進行，有效提升組織的品牌聲譽和相關方利益。

2011 年 12 月底，中國銀監會曾發布《商業銀行業務連續性監管指引》，指引中明確規定了商業銀行應當將業務連續性管理納入全面風險管理體系，建立與本機構戰略目標相適應的業務連續性管理體系。2020 年初，新冠肺炎在我國爆發。中國全民上下共同抗擊此次疫情。我國銀行業也積極響應，陸續調整金融政策和服務策略以便為中小微企業、零售客戶提供各類更為快捷、適當的金融支持和金融服務。在此背景下，各類商業銀行更應構建起真正有效的應對危機事件的業務連續性管理體系，使業務管理和系統管理實現科學化、快捷化、網絡化，這是保證銀行業務連續運行、可持續發展的重要依據。

隨著商業銀行業務和機構的不斷擴張，銀行系統及業務的信息化程度提升，而系統運行和業務經營、金融環境也日益復雜。商業銀行在面連續性風險管控與應對、如何更加有效地進行商業銀行全面風險管理，從而保證國家金融安全穩定發展，是我國金融監管部門和銀行經營管理者共同關心的重大課題。

二、培訓方案

Vuca－volatility（易變性），uncertainty（不確定性），complexity（復雜性），ambiguity（模糊性）

本培訓設計為一天（6 小時）。

第一天：業務連續性風險“規范標準篇”+“管控流程篇”

通過業務連續性風險事件視頻素材與態勢分析，引出實施金融業業務連續性風險管理的思考。

講解和剖析國內外金融業業務連續性風險管理的行業規范與標準，并提出適合于參訓機構、具可操作性的業務連續性風險管理規范與標準。

從戰略層面和三道防線層面講解國內外金融業業務連續性風險管理實施的流程，并提出適合于參訓機構的、具可操作性的業務連續性風險管控流程。

第二天：業務連續性風險“工具實踐篇”+“策略實施篇”

以銀行信息系統和金融數據、銀行業務的“生命周期”為主線，講解不同階段對應的業務連續性風險管理工具與方法，并比較不同工具與方法的優劣。

講解國內外金融監管機構的業務連續性風險監管規范、監管科技工具、監管要求與要素等。

從監管要求視角，講解商業銀行應如何進行業務連續性風險管控策略與方案的設計（BCP）等。

三、培訓要點

一是業務連續性風險管理規范標準。通過信息與資料梳理、視頻素材分析，解析國際和國內金融業在業務連續性風險控制、風險評級、信息安全和網絡安全、系統安全和數據安全、科技及業務項目管理、信息資產與基礎設施、信息科技外包管理等方面的管理框架、行業標準和最佳實踐，分析比較國際與國內金融業業務連續性風險管理方面的特點、趨勢和可借鑒之處。

二是業務連續性風險管控實踐。（1）從戰略層面、戰術層面和操作層面三個視角，分析國內外金融業信息科技治理結構的架構、信息科技管控流程的構建和信息科技系統管控的實施等；（2）從三道防線視角，即信息科技部門、業務連續性風險管理部門、信息科技審計（稽核）部門，分析國內外金融業如何進行業務連續性風險管控的有效協作、資源與信息共享、數據傳遞等；（3）從全面風險管控流程視角，分析國內外金融業如何實現對業務連續性風險的感知與識別、評估與計量、應對等。

三是業務連續性風險管控工具實踐。以銀行業務、金融數據和信息系統的“生命周期”為主線，從信息科技立項與需求分析、科技項目采購與招投標、項目開發、項目時間與質量管控、成本控制和資源管控、溝通管理、信息科技測試與運行等不同階段講解適用的各類業務連續性風險管控工具與方法；從業務連續性風險存在的不同載體——系統、設備、網絡、數據和人員等視角，講解防范信息系統單項風險和綜合風險的工具與方法。

四是業務連續性風險監管與對應實施策略。講解國外金融業監管機構（巴塞爾委員會、COSO）、國內金融業監管機構（人民銀行、銀保監會、證監會）以及相關機構，實施業務連續性風險監管的具體標準和規范、實施要素和要點等，從而提出針對商業銀行特點的業務連續性風險管理對應策略。

四、培訓特點

一是以業務、系統與數據的“生命周期”為剖析主線，邏輯清晰。

本培訓內容將針對公司治理、業務循環、系統循環和數據循環等不同階段和環節，系統性、動態性的分析業務連續性風險管理的特征與規律。

二是將業務連續性風險管理的理論與實踐相結合，理實結合。

本培訓系統性的分析業務連續性風險及風險管理的規范、行業標準、方法與工具、金融監管的國際、國內前沿發展和最佳實踐，并結合業務連續性風險管理案例信息、視頻素材、數據資料進行剖析講解。

三是提出業務連續性風險管理的實施體系與建議，具指導性。

本培訓基于風險管理三道防線、 業務－數據－系統”生命周期，系統性提出金融機構實施業務連續性風險管理的實施體系與建議方案，具有可操作性、指導性。

五、培訓收益

本培訓通過系統講解金融業（包括人民銀行、銀保監部門、商業銀行、證券業及保險業等）業務連續性風險管理體系與框架、信息管理科技風險特征與分布、業務連續性風險的生命周期追蹤、業務連續性風險管理具體技術及方法、業務連續性風險治理、業務連續性風險監管等方面的最新發展和最佳實踐，提出適合于參訓機構實施業務連續性風險管理的實施方案和體系建議，有效提升參訓機構的業務連續性風險管理能力。工具、營銷策略，全面提升商業銀行零售金融的營銷能力。

六、授課對象

各類商業銀行、互聯網公司、類金融企業等機構的信息技術部、電子銀行部、網絡金融部、風控合規部、集中運營部、零售業務部和公司業務部等部門的管理者、技術人員和業務人員等。

七、授課形式

課件講授：制作培訓課件，并以課件作為授課主線。

視頻解析：通過播放業務連續性風險管理的相關視頻，引發并組織參訓人員對業務連續性管理進行思考和討論。

案例分析：通過對中外商業銀行的業務連續性管理真實案例，進行解讀和剖析，引發參訓人員思考。

情景設置與實戰演練：通過預設金融場景或引入真實場景，組織參訓人員進行業務連續性風險管理思維培訓，并設計出相應的敏捷銀行服務方案。

八、培訓內容

(一) 基礎認知篇

1. 視頻與案例素材剖析

n 國外*業務連續性風險事件視頻與案例剖析

n 國內*業務連續性風險事件視頻與案例剖析

2. 業務連續性管理內涵及發展

n 業務連續性管理的起源與內涵（BCM）

n 業務連續性風險內涵、種類與全域風險視圖

n 國內外業務連續性風險管理專業慣例

n 突發事件及應急對銀行業務連續性的影響

(二) 規范標準篇

1. 業務連續性國際實踐規范標準

n BS 25999（2002；2005）

n ISO 17799（2005）

n 信息安全管理：ISO27001

n 業務連續性管理：ISO22301

n ISACA: COBIT5

n IT 服務管理：ISO20000 和 ITIL V3

n DRI:業務連續性管理

2. 業務連續性國際實踐規范標準

n 人民銀行

ü 《銀行業信息系統災難恢復管理規范》

ü 《銀行集中式數據中心規范》

ü 《網上銀行系統信息安全通用規范》

ü 《金融行業信息系統信息安全等級保護》

n 銀保監會

ü 《商業銀行業務連續性風險管理指引》

ü 《銀行業金融機構信息科技外包風險監管指引》

ü 《商業銀行業務連續性監管指引》

ü 《銀行業重要信息系統突發事件應急管理規范（試行）》

ü 《商業銀行數據中心監管指引》

ü 《銀行業金融機構重要信息系統投產及變更管理辦法》

n 其他相關規范

ü 網絡安全法

ü 國家網信辦、公安部、國家保密局、國家密碼管理局

ü 關鍵基礎設施風險評估

ü 網絡安全等級保護

ü 《中華人民共和國突發事件應對法》

ü GBT20988—2007《信息系統災難恢復規范》n

(三) BCM 風險管控流程篇      

1. 當前 BCM 存在的主要問題 n

2. BCM 風險管控戰略/戰術/操作  

n BCM 治理架構的構建與實施

n BCM 管控流程的構建與實施

n BCM 管控系統的構建與實施

3. BCM 風險管理三道防線

n 信息科技部門職責與協作

n 風險管理部門職責與協作

n 信息科技審計部門職責與協作

4. BCM 風險管控流程及系統

n 業務連續性風險感知與識別

n 業務連續性風險評估

n 業務連續性風險計量

n 業務連續性風險監測

n 風險情境恢復與業務恢復（6R 模型）

n 業務連續性風險管理系統構建

5. BCM 風險管控國內外實踐

n 國外商業銀行 BCM 風險管控實踐

n 國內商業銀行 BCM 風險管控實踐

(四) 工具實踐篇

1. 業務-數據-系統(BDS)生命周期

n 銀行業務及產品生命周期管理

n 金融數據生命周期管理

n 信息系統/項目生命周期管理

n 全生命周期管理模式與工具

2. 各階段 BCM 風險管控工具與方法

n BDS 需求與設計階段/案例解析

n BDS 項目立項階段/案例解析

n BDS 開發與測試階段/案例解析

n BDS 運行與維護階段/案例解析

n BDS 外包階段/案例解析

n BDS 業務連續性管理/案例解析

3. 單項與綜合 BCM 風險管控工具

n 系統與設備安全方面/案例解析

n 網絡安全方面/案例解析

n 數據安全方面/案例解析

n 人員與操作風險方面/案例解析

(五) 策略實施篇

1. 國內外 BCM 監管實施情況.

n 巴塞爾委員會、COSO 監管情況

n 人民銀行、銀保監會等監管情況

2. 國內外 BCM 審計實施情況

n 國外信息科技審計實施及案例

n 國內信息科技審計實施及案例

3. BCM 風險管控策略實施建議

n 公司治理與全面風險管理視角建議

n 經營策略與業務模式建議

n 金融科技創新與應用建議

n 管理數據及業務數據管理建議

n BCP 計劃編制與實施步驟建議