商業銀行業務連續性監管指引

信息系統與信息科技是保障商業銀行業務持續運營的重要基礎。為降低或消除因信息系統服務異常導致重要業務運營中斷的影響，快速恢復被中斷業務，維護公眾信心和銀行業正常運營秩序，提高商業銀行業務連續性管理能力，根據《中華人民共和國銀行業監督管理法》、《中華人民共和國商業銀行法》以及相關法律法規，制定本指引。

本指引所稱業務連續性管理是指商業銀行為有效應對重要業務運營中斷事件，建設應急響應、恢復機制和管理能力框架，保障重要業務持續運營的一整套管理過程，包括策略、組織架構、方法、標準和程序。

本指引所稱重要業務是指面向客户、涉及賬務處理、時效性要求較高的銀行業務，其運營服務中斷會對商業銀行產生較大經濟損失或聲譽影響，或對公民、法人和其他組織的權益、社會秩序和公共利益、國家安全造成嚴重影響的業務。

本指引所稱重要業務運營中斷事件(以下簡稱運營中斷事件)是指因下述原因導致信息系統服務異常、重要業務停止運營的事件。主要包括：

（一）信息技術故障：信息系統技術故障、配套設施故障；

（二）外部服務中斷：第三方無法合作或提供服務等；

（三）人為破壞：黑客攻擊、恐怖襲擊等；

（四）自然災害：火災、雷擊、海嘯、地震、重大疫情等。

商業銀行應當將業務連續性管理納入全面風險管理體系，建立與本機構戰略目標相適應的業務連續性管理體系，確保重要業務在運營中斷事件發生後快速恢復，降低或消除因重要業務運營中斷造成的影響和損失，保障業務持續運營。

商業銀行應當根據本行業務發展的總體目標、經營規模以及風險控制的基本策略和風險偏好，確定適當的業務連續性管理戰略。

商業銀行應當建立業務連續性管理的組織架構，確定重要業務及其恢復目標，制定業務連續性計劃，配置必要的資源，有效處置運營中斷事件，並積極開展演練和業務連續性管理的評估改進。

業務連續性管理的基本原則是：

（一）切實履行社會責任，保護客户合法權益、維護金融秩序；

（二）堅持預防為主，建立預防、預警機制，將日常管理與應急處置有效結合；

（三）堅持以人為本，重點保障人員安全；實施差異化管理，保障重要業務有序恢復；兼顧業務連續性管理成本與效益；

（四）堅持聯動協作，加強溝通協調，形成應對運營中斷事件的整體有效機制。

商業銀行應當將業務連續性管理融入到企業文化中，使其成為銀行機構日常運營管理的有機組成部分。

董（理）事會是商業銀行業務連續性生管理的決策機構，對業務連續性管理承擔最終責任。主要職責包括：

（一）審核和批准業務連續性管理戰略、政策和程序；

（二）審批高級管理層業務連續性管理職責，定期聽取高級管理層關於業務連續性管理的報告，監督、評價其履職情況；

（三）審批業務連續性管理年度審計報告。

高級管理層負責執行經董(理)事會批准的業務連續性管理政策。主要職責包括：

（一）制定並定期審查和監督執行業務連續性管理政策、程序；

（二）明確各部門業務連續性管理職責，明確報告路線，審批重要業務恢復目標和恢復策略，督促各部門履行管理職責，確保業務連續性管理體系正常運行；

（三）確保配置足夠的資源保障業務連續性管理的實施。

商業銀行應當設立由高級管理層和業務連續性管理相關部門負責人組成的業務連續性管理委員會，統籌協調、落實各項管理職責。

商業銀行應當指定風險管理部門或其他綜合管理部門為業務連續性管理主管部門，組織開展全行業務連續性管理工作，指導、評估、監督各部門的業務連續性管理工作；組織制定業務連續性計劃，協調業務條線部門，彙總、確定重要業務的恢復目標和恢復策略；組織開展業務連續性計劃的演練、評估與改進；開展業務連續性管理培訓等。

商業銀行應當明確業務連續性管理執行部門，包括業務條線部門與信息科技部門。業務條線部門負責風險評估、業務影響分析，確定重要業務恢復目標和恢復策略，負責業務條線重要業務應急響應與恢復；信息科技部門負責信息技術應急響應與恢復。

商業銀行應當明確業務連續性管理保障部門，包括辦公室、人力資源部門、公共關係部門、財務部門、法律合規部門、後勤部門、保衞部門等，為業務連續性日常管理提供人力、物力、財力以及安全保障和法律諮詢。其中，公共關係部門應當制定對外媒體公關策略，制定和執行對外媒體公關的應急預案。

商業銀行各部門應當負責本部門業務連續性管理工作，制定相關規章制度，制定和執行本部門業務連續性計劃，開展本部門業務連續性計劃的演練、評估與改進工作。

商業銀行內部審計部門應當負責並定期開展全行業務連續性管理審計工作。

商業銀行應當建立運營中斷事件應急處置的組織架構，包括應急決策層、應急指揮層、應急執行層和應急保障層。

應急決策層由商業銀行高級管理人員組成，負責決定應急處置重大事宜，包括：決定運營中斷事件通報、對外報告和公告；批准啓動總體應急預案等。

應急指揮層由商業銀行的業務連續性管理主管部門、執行部門和保障部門負責人組成，負責運營中斷事件處置應急指揮和組織協調，督導應急處置實施。

應急執行層由商業銀行業務連續性管理執行部門組成，負責業務條線與信息技術應急處置工作。

應急保障層由商業銀行業務連續性管理保障部門組成，負責應急處置所需人力、物力和財力等資源的保障，應急處置對外報告、宣告、通報和溝通與協調，以及對外媒體公關、秩序維護、安全保障、法律諮詢和人員安撫等相關工作。

商業銀行應當通過業務影響分析識別和評估業務運營中斷所造成的影響和損失，明確業務連續性管理重點，根據業務重要程度實現差異化管理，確定各業務恢復優先順序和恢復指標。商業銀行應當至少每三年開展一次全面業務影響分析，並形成業務影響分析報告。

商業銀行應當識別重要業務，明確重要業務歸口管理部門、所需關鍵資源及對應的信息系統，識別重要業務的相互依賴關係，分析、評估各項重要業務在運營中斷事件發生時可能造成的經濟損失和非經濟損失。

商業銀行應當綜合分析重要業務運營中斷可能產生的損失與業務恢復成本，結合業務服務時效性、服務週期等運行特點，確定重要業務恢復時間目標(業務RTO)、業務恢復點目標(業務RPO)，原則上，重要業務恢復時間目標不得大於4小時，重要業務恢復點目標不得大於半小時。

商業銀行應當明確業務重要程度和恢復優先級別，並識別重要業務恢復所需的必要資源。

商業銀行應當通過分析業務與信息系統的對應關係、信息系統之間的依賴關係，根據業務恢復時間目標、業務恢復點目標、業務應急響應時間、業務恢復的驗證時間，確定信息系統恢復時間目標(信息系統RTO)、信息系統恢復點目標(信息系統RPO)，明確信息系統重要程度和恢復優先級別，並識別信息系統恢復所需的必要資源。

商業銀行應當開展業務連續性風險評估，識別業務連續運營所需的關鍵資源，分析資源所面臨的各類威脅以及資源自身的脆弱性，確定資源的風險敞口。關鍵資源應當包括關鍵信息系統及其運行環境，關鍵的人員、業務場地、業務辦公設備、業務單據以及供應商等。

商業銀行應當根據風險敞口制定降低、緩釋、轉移等應對策略。依據防範或控制風險的可行性和殘餘風險的可接受程度，確定風險防範和控制的原則與措施。

商業銀行應當根據業務影響分析結果，依據業務恢復指標，制定差別化的業務恢復策略，主要包括關鍵資源恢復、業務替代手段、數據追補和恢復優先級別等。

商業銀行應當依據業務恢復策略，確定災難恢復資源獲取方式和災難恢復等級。

商業銀行應當依據業務恢復目標，制定覆蓋所有重要業務的業務連續性計劃。

業務連續性計劃的主要內容應當包括：

（一）重要業務及關聯關係、業務恢復優先次序；

（二）重要業務運營所需關鍵資源；

（三）應急指揮和危機通訊程序；

（四）各類預案以及預案維護、管理要求；

（五）殘餘風險。

商業銀行應當制定總體應急預案。總體應急預案是商業銀行應對運營中斷事件的總體方案，包括總體組織架構、各層級預案的定位和銜接關係及對運營中斷事件的預警、報告、分析、決策、處理、恢復等處置程序。總體預案通常用於處置導致大範圍業務運營中斷的事件。

商業銀行應當制定重要業務專項應急預案，專項應急預案應當注重災難場景的設計，明確在不同場景下的應急流程和措施。業務條線的專項應急預案，應當注重調動內部資源、採取業務應急手段儘快恢復業務，並和信息科技部門、保障部門的應急預案有效銜接。

專項應急預案的主要內容應當包括：

（一）應急組織架構及各部門、人員在預案中的角色、權限、職責分工；

（二）信息傳遞路徑和方式；

（三）運營中斷事件處置程序，包括預警、報告、決策、指揮、響應、回退等；

（四）運營中斷事件處置過程中的風險控制措施；

（五）運營中斷事件的危機處理機制；

（六）運營中斷事件的內部溝通機制和聯繫方式；

（七）運營中斷事件的外部溝通機制和聯繫方式；

（八）應急完成後的還原機制。

商業銀行應當要求重要業務及信息系統的外部供應商建立業務連續性計劃，證明其業務連續性計劃的有效性，其業務恢復目標應當滿足商業銀行要求。

商業銀行應當注重與金融同業單位、外部金融市場、金融服務平台和公共事業部門等業務連續性計劃的有效銜接；同時，應當積極採取風險緩釋及轉移措施，有效控制由於外部機構業務連續性管理不充分可能產生的風險。

商業銀行應當開展業務連續性計劃所需的資源建設，滿足業務恢復目標和重要業務持續運營的要求。

商業銀行應當重點加強信息系統關鍵資源的建設，實現信息系統的高可用性，保障信息系統的持續運行並減少信息系統中斷後的恢復時間。

商業銀行應當設立統一的運營中斷事件指揮中心場所，用於應急決策、指揮與聯絡，指揮場所應當配置辦公與通訊設備以及指揮執行文檔、聯繫資料等。

商業銀行應當建立符合業務連續性管理要求的備用資源，如備用業務和辦公場所資源、備用信息系統運行場所資源、備用信息技術資源、備用人力資源等，以及電力、通訊、消防、安保等資源。

商業銀行選擇備用場地時，應當確保不會同時遭受同類型風險；應當綜合分析備用場地所在地的自然環境、地區配套設施、區域經濟環境、交通條件、政策環境和成本等各方面因素，以及災難恢復所需的金融服務、通訊、設備、技術等外部服務供應商資源情況。

商業銀行在建立備用業務和辦公場所時，應當配備業務操作和辦公所需資源，並確保其能夠迅速啓用。

商業銀行應當建立災備中心等備用信息技術資源和備用信息系統運行場所資源，並滿足銀監會關於數據中心相關監管要求。

商業銀行應當明確關鍵崗位的備份人員及其備份方式，並確保備份人員可用，降低關鍵崗位人員無法及時履職風險。

商業銀行應當開展業務連續性計劃演練，檢驗應急預案的完整性、可操作性和有效性，驗證業務連續性資源的可用性，提高運營中斷事件的綜合處置能力。

制定業務連續性演練計劃時，商業銀行應當考慮業務的重要性和影響程度，包括客户範圍、業務性質、業務時效性、經濟與非經濟影響等，演練頻率、方式應當與業務的重要性和影響程度相匹配。

商業銀行應當至少每三年對全部重要業務開展一次業務連續性計劃演練。在重大業務活動、重大社會活動等關鍵時點，或在關鍵資源發生重大變化之前，也應當開展業務連續性計劃的專項演練。

商業銀行應當加強業務應急預案的演練，重點加強業務和信息科技部門的協調、配合；應當注重以真實業務接管為目標，確保災備系統能夠有效接管生產系統並具備安全回切能力。

商業銀行應當將外部供應商納入演練範圍並定期開展演練；同時，應當積極參加金融同業單位、外部金融市場、金融服務平台和公共事業部門等組織的業務連續性計劃演練，確保應急和協調措施的有效性。

商業銀行應當對業務連續性計劃的演練過程進行完整記錄，及時總結、評估和改進。

商業銀行應當建立業務連續性管理體系持續改進機制。

商業銀行應當至少每年對業務連續性管理體系的完整性、合理性、有效性組織一次自評估，或者委託第三方機構進行評估，並向高級管理層提交評估報告。

商業銀行應當每年對業務連續性管理文檔進行修訂，內容應當包含重要業務調整、制度調整、崗位職責與人員調整等，確保文檔的真實性、有效性。

商業銀行在開發新業務產品時，應當同步考慮是否將其納入業務連續性管理範疇。對納入業務連續性管理的，應當在上線前制定業務連續性計劃並實施演練。

在業務功能或關鍵資源發生重大變更時，商業銀行應當及時對業務連續性計劃進行修訂。

商業銀行應當每年對本行業務連續性管理進行審計，每三年至少開展一次全面審計，發生大範圍業務運營中斷事件後應當及時開展專項審計。

商業銀行業務連續性管理審計的內容應當包括：業務影響分析、風險評估、恢復策略及恢復目標的合理性和完整性；業務連續性計劃的完整性和可操作性；業務連續性計劃演練過程及報告的真實性和有效性；業務連續性管理相關部門及人員的履職情況等。

商業銀行應當建立運營中斷事件的風險預警體系，設定風險預警指標，並納入全行風險預警體系中。

商業銀行應當建立業務運營的監測體系及監控機制，對信息系統運行環境進行日常監測，採取自動化措施重點加強對業務運行情況的監控。

商業銀行應當建立關鍵時點的監測與預警機制，在重大業務和社會活動等關鍵時點，或在業務功能、關鍵資源發生重大變更時，加強風險監控和預警。業務條線部門與信息科技部門等相關部門之間應當相互通報信息、提示風險，協同做好應急準備。

發生運營中斷事件後，商業銀行應當及時進行溝通和報告，包括：按照報告路線在內部各部門及人員之間的報告，與業務運營的外包方、業務合作方之間的溝通、以及按照銀監會有關報告要求，向銀監會或其派出機構的報告等。

商業銀行應當制定運營中斷事件等級劃分標準，根據事件影響範圍、持續時間和損失程度定義事件等級，開展應急響應處置工作。

運營中斷事件應急處置應當遵循“統一指揮、分類管理、分級處置、快速響應”的原則，在全行統一指揮下高效、有序應對；應當根據事件等級實施差別化處置，必要時可以越級彙報、緊急授權，保障信息傳遞和決策的及時性，將影響或損失最小化。

商業銀行應當及時、有效地響應運營中斷事件，對事件影響進行評估，確定事件等級，及時啓動應急預案，確保業務快速恢復，防止事態升級或惡化。

商業銀行在實施應急處置時，應當採取以下措施：

（一）加強運營中斷事件處置中的對外溝通，開展告知、解釋與安撫工作，最大程度降低負面影響；

（二）對重要業務可以通過減少服務功能、縮小服務範圍、利用替代系統、手工記賬、利用他行支付渠道等多種手段進行業務應急處置；

（三）採用程序化和標準化的手段，提高信息技術應急處置的效率和質量。

商業銀行應當為應急處置做好場地、交通、通訊、資金等後勤保障工作。

商業銀行應當對運營中斷事件應急處置過程進行完整記錄。

對於導致或可能導致大範圍業務運營中斷的事件，商業銀行應當迅速決策，確定是否實施災難備份切換。

商業銀行應當事先對備份資源進行技術驗證，確保其可用性；在實施災難備份切換時，信息科技部門應當向業務條線部門告知可能出現的數據損失情況，並對備份系統的運行情況實施監控，預警並防止出現二次中斷風險。

商業銀行在災難備份切換、回切時，業務條線部門應當對中斷時的重要業務數據進行核對，並在信息科技部門配合下，對丟失的數據進行追補；同時，應當進行測試和驗證，確保交易的可靠性。

商業銀行應當建立危機處理機制，從維護客户關係、履行告知義務、維護客户合法權益出發，運用公共關係策略、方法，加強與客户、媒體的溝通，適時向公眾發佈信息，消除或降低危機所造成的負面影響。

商業銀行應當指定專門部門負責危機處理工作，加強輿情監測、信息溝通和發佈。

商業銀行應當制定針對社會公眾、媒體、股東、客户等相關各方的預案，在運營中斷事件發生時及時、準確披露信息，防止因信息不對稱可能產生的負面影響。

商業銀行應當實時關注輿情信息，及時澄清虛假信息或不完整信息，消除社會疑慮，化解糾紛。

銀監會及其派出機構建立運營中斷事件處置領導小組和工作小組。

（一）領導小組主要職責為：

1．領導和指揮銀行業運營中斷事件處置工作；

2．審批銀行業運營中斷事件處置預案；

3．最終認定銀行業運營中斷事件等級，決定是否啓動處置預案；

4．對銀行業運營中斷事件重大處置措施進行決策；

5．協調跨行業、跨部門共同開展的處置工作重大事項；

6．對銀行業運營中斷事件處置的對外信息發佈進行決策。

（二）工作小組主要職責為：

1．制定銀行業運營中斷事件處置預案；

2．對銀行業金融機構運營中斷事件進行監管處置；

3．向處置領導小組報告運營中斷事件、重大處置事項及事件進展情況；

4．依授權對外發布信息；

5．協調跨行業、跨部門資源。

銀監會建立銀行業信息科技風險預警體系，對可能導致銀行業發生較大運營中斷事件的風險進行分析和評估，進行風險提示和預警。

銀監會及其派出機構對銀行業運營中斷事件進行分級。當運營中斷事件同時滿足多個級別的定級條件時，按最高級別確定事件等級。

（一）特別重大運營中斷事件（Ⅰ級）

1．銀行業金融機構重要信息系統服務中斷，或重要數據損毀、丟失、泄露，造成經濟秩序混亂或重大經濟損失、影響金融穩定，或對公眾利益、社會秩序、國家安全造成特別嚴重損害的事件；

2．在業務服務時段導致一個(含)以上省(自治區、直轄市)的多家金融機構業務無法正常開展達3個小時(含)以上的事件；

3．在業務服務時段導致單家金融機構兩個(含)以上省(自治區、直轄市)業務無法正常開展達3個小時(含)以上，或一個省(自治區、直轄市)業務無法正常開展達6個小時(含)以上的事件；

4．業務服務時段以外，故障或事件救治未果、可能產生上述1至3類事件的事件。

（二）重大運營中斷事件（Ⅱ級）

1．銀行業金融機構重要信息系統服務中斷，或重要數據損毀、丟失、泄露，對銀行或客户利益造成嚴重損害的事件；

2．在業務服務時段導致一個(含)以上省(自治區、直轄市)的多家金融機構業務無法正常開展達半個小時(含)以上的事件；

3．在業務服務時段導致單家金融機構兩個(含)以上省(自治區、直轄市)業務無法正常開展達半個小時(含)以上，或一個省(自治區、直轄市)業務無法正常開展達3個小時(含)以上的事件；

4．業務服務時段以外，故障或事件救治未果、可能產生上述1至3類事件的事件。

（三）較大運營中斷事件（Ⅲ級）

1．銀行業金融機構重要信息系統服務中斷，或重要數據損毀、丟失、泄露，對銀行或客户利益造成較大損害的事件；

2．在業務服務時段導致一個省(自治區、直轄市)業務無法正常開展達半個小時(含)以上的事件；

3．業務服務時段以外，故障或事件救治未果、可能產生上述1至2類事件的事件。

按照屬地監管原則，銀監會派出機構在商業銀行運營中斷事件發生後2小時內，將事件及處置情況上報銀監會處置工作小組。事件報告至少包括：事發銀行及事件發生時間、地點、現象、影響範圍和程度、已採取的措施等。 銀監會處置工作小組應當將重大以上運營中斷事件上報銀監會運營中斷事件處置領導小組。

銀監會根據國家有關網絡與信息安全事件應急預案要求向相關部門通報運營中斷事件；對其他行業有較大影響的運營中斷事件，可以向該行業主管或監管部門通報事件情況；對於特別重大（Ⅰ級）的運營中斷事件，將事件及處置情況及時上報國務院。

銀監會及其派出機構對商業銀行報送的事件內容和事件等級進行分析、評估，認定運營中斷事件的最終等級，及時啓動處置預案，實施運營中斷事件監管處置工作。

對於較大（Ⅲ級）運營中斷事件，按照屬地監管原則，由銀監會或其派出機構組織開展處置工作，處置結束後銀監會派出機構向銀監會上報運營中斷事件總結報告。

對於特別重大（Ⅰ級）和重大（Ⅱ級）運營中斷事件，銀監會處置工作小組及時核實情況，指導協調銀監會派出機構開展處置；根據事件影響範圍、緊急程度和事件處置進展情況，銀監會處置工作小組可以赴事發銀行現場進行督導。

銀監會及其派出機構督導商業銀行採取措施儘快恢復系統和業務，最大程度減少事件產生的負面影響。必要時，可以協調國家專業技術隊伍或外部專家提供技術支援。

銀監會及其派出機構督導商業銀行積極採取風險隔離措施，防止事件惡化或向其他銀行業金融機構擴散。對可能影響其他銀行業金融機構業務開展或對銀行業產生區域性、整體性影響的事件，銀監會及其派出機構及時發佈風險提示，加強風險防範。

銀監會及其派出機構督促商業銀行開展危機處理，做好輿情監測和媒體溝通，做好合理宣傳解釋工作，防止不實信息導致銀行業金融機構聲譽風險。涉及行業性運營中斷事件處置情況通報時，由銀監會按照信息披露程序統一對外發布信息。

銀監會及其派出機構加強與相關部門和監管機構的協作，協調各方力量開展處置工作。

商業銀行業務恢復正常運行後，應當將運營中斷事件及其處置工作的評估、總結和改進報告報送銀監會或其派出機構。銀監會或其派出機構對事件進行評估和現場調查，查明事件原因，進行責任認定。

銀監會及其派出機構將商業銀行業務連續性管理納入其風險管理綜合評估範圍。

銀監會及其派出機構對商業銀行業務連續性管理工作進行監督和檢查，對業務連續性工作進行綜合評價，提出監管要求。

商業銀行應當於每年一季度向銀監會或其派出機構提交業務連續性管理報告，包括上一年度業務連續性管理的評估報告與審計報告。

銀監會及其派出機構對商業銀行業務連續性管理報告進行審查，督導商業銀行建立與其風險管控目標、機構規模、公眾影響和所承擔的社會責任相匹配的業務連續性管理體系。

銀監會及其派出機構對商業銀行業務連續性管理報告進行審查時，要綜合考慮商業銀行機構規模、業務範圍以及風險狀況。重點關注以下方面：

（一）業務連續性管理體系的完整性和合理性；

（二）業務連續性管理的實施情況；

（三）業務連續性計劃的演練情況；

（四）業務連續性管理年度評估的完整性和準確性，審計覆蓋領域和深度；

（五）業務連續性管理在執行過程中存在的問題及其整改情況。

商業銀行在完成業務連續性計劃的全行性演練後，應當在45個工作日內向監管機構提交演練總結報告。

商業銀行業務連續性管理機制存在重大缺陷、日常管理工作存在嚴重違規的，因違反審慎經營規則導致業務運營中斷的，或在運營中斷事件中應急處置不力導致事件惡化、蔓延的，銀監會或其派出機構依法採取監管措施並追究有關責任人的責任。

本指引適用於在中華人民共和國境內依法設立的法人商業銀行和農村合作銀行、城市信用社、農村信用社。 政策性銀行、村鎮銀行、金融資產管理公司、信託公司、企業集團財務公司、金融租賃公司、汽車金融公司、貨幣經紀公司、消費金融公司等其他銀行業金融機構參照執行。

本指引由中國銀監會負責解釋、修訂。

本指引自公佈之日起執行。