商業銀行業務連續性管理問題探析

【摘要】業務連續性管理在國內剛剛起步，對商業銀行而言是一個全新的課題。本文對業務連續性管理的重要意要義、國內商業銀行業務連續性管理發展狀況和存在的問題進行了研究分析，并結合監管指引和國際最佳實踐，提出了加快業務連續性管理建設的相關建議。

【關鍵詞】商業銀行 業務連續性管理 研究

近期，媒體相繼曝光國內多家商業銀行服務中斷事件，其中不乏影響較大者。如：5月12日10時至10時37分，招商銀行借記卡業務系統故障，客戶無法正常辦理ATM、POS、網銀等業務；6月23日10時38分至11時23分，工商銀行上海數據中心主機系統故障，不僅柜面業務無法正常辦理，ATM、網銀、手機銀行等電子渠道業務也不能正常使用。兩起事件按照《商業銀行業務連續性監管指引》（銀監發〔2011〕104號）第七十九條有關運營中斷事件的規定，均屬重大運營中斷事件。

早在2008年，現任銀監會副主席郭利根就曾經指出，國內銀行業存在著信息技術基礎建設滯后、軟硬件及核心技術受制于人、系統管理粗放等問題，特別是在業務連續性規劃、業務恢復機制、風險化解和轉移措施、技術恢復方案等方面存在著明顯的短板。時至今日，頻繁發生的銀行服務中斷事件再次提醒我們，形勢仍不容樂觀，加快商業銀行業務連續性管理建設迫在眉睫。

一、業務連續性管理及其重要意義

業務連續性管理是一項綜合管理過程，不僅包括對業務活動和業務恢復的持性管理，還涉及到相關培訓、演練和評估等環節，是商業銀行全面風險管理體系中的重要組成部分。國際業務連續性協會將業務連續性管理界定為：能夠識別出可能的潛在威脅，以及這些威脅發生時對業務運營帶來的負面影響，同時提供一套有效的反饋和恢復體系，從而對股東利益、公司聲譽和價值創造活動進行有效的保護。國內《商業銀行業務連續性監管指引》則進一步明確為：商業銀行為有效應對重要業務運營中斷事件，建設應急響應、恢復機制和管理能力框架，保障重要業務持續運營的一整套管理過程，包括策略、組織架構、方法、標準和程序。以此觀之，建立完善的業務連續性管理，將有利于商業銀行的持續運營，有益于保障重要業務的快速恢復、降低損失和消除影響，增強競爭力和可持續發展能力。

在商業銀行的生命周期中，銀行業務運營會隨時受到來自內外各種因素的影響，嚴重的甚至會造成重要業務的非正常中斷。重要業務意外中斷，不僅意味著商業銀行須為此付出沉重的代價和承擔嚴重的后果，如果處置不當，還可能發酵成一場可怕的災難。有關研究資料顯示，以每小時業務中斷所造成的損失進行比較，銀行業的損失遠居各行業之首；如果發生業務中斷兩周內仍無法恢復，75%的企業將因此而停業，43%的企業將無法再開展業務，災備措施不完善的企業將在2～3年內破產。因此，為保障業務的持續穩定運營，商業銀行尤其需要行之有效的業務連續性管理。銀監會發布的《商業銀行業務連續性監管指引》，對商業銀行業務連續性管理的組織架構、業務影響分析、業務連續性計劃與資源建設、業務連續性演練與持續改進、運營中斷事件應急處置等相關體系建設和工作內容提出了明確的監管要求，將促進商業銀行進一步加強風險管理，有效履行社會責任，對維護公眾信心和提高商業銀行業務持續運營能力將發揮積極的引領作用。

二、國內商業銀行業務連續性管理發展狀況和存在的問題

業務連續性管理在國外發展較早，其歷史可追溯到上世紀60年代，國內雖然起步較晚，但發展很快。通過國家連續發布《銀行業信息系統突發事件應急管理規范》、《商業銀行數據中心管理規范》、《商業銀行操作風險管理指引》、《商業銀行信息科技風險管理指引》等一系列指導性文件，國內銀行業對業務連續性管理的認識不斷深入，尤其是國有大型商業銀行在業務連續性管理的信息系統技術方面已經較為成熟，基本接近國際先進水平。如，2008年汶川發生大地震后，震后三天工商銀行即在都江堰災區建立了應急帳篷銀行，僅一臺ATM在幾天內就成功辦理了76萬元對公結算和20筆取款業務。

隨著《商業銀行業務連續性監管指引》的發布，國內商業銀行愈加重視和積極推進業務連續性管理的建設。

一是初步構建了應急管理體系，確立了組織管理架構，加強了職能部門的協調配合，形成了統一的應急響應流程和通知報告程序，增強了應對突發事件的處置能力。

二是加快了災備建設，建立了同城/異地災備中心，積極推進“兩地三中心”的建設，對核心業務數據和核心系統恢復的保障能力進一步增強。

三是開展了應急響應和災難恢復演練，與通訊、電力等外部機構的聯動協作有所強化，應對突發事件、危機管理的能力有了提高。

盡管如此，與國外先進銀行相比，國內商業銀行還有較明顯的差距，主要存在以下幾個方面的問題：

（一）認識尚有差距，系統建設的主動投入略顯不足

由于對業務連續性管理的研究運用時間較短，商業銀行對其重要性還缺乏具體形象的認識，停留在為了滿足監管要求和信息系統災備恢復等較粗淺的層次上，沒有真正意識到業務連續性管理對提升銀行競爭力和價值創造的積極作用。具體表現為部分商業銀行，尤其是中小股份制商業銀行還普遍存在著業務連續性管理“投入大、收益小”的認識偏差，主動推進的意愿不強。

（二）管理尚有差距，未將之完全融入企業文化之中

缺乏足夠的認識，缺少了管理層和相關部門強有力的支持，一方面導致商業銀行將全行性的業務連續性管理工作僅僅只落實到個別部門身上，沒有做到全員性參與，極易形成管理上的盲點；另一方面，忽視了通過必要的流程開展全員風險意識教育和技能培訓，遇到業務中斷事件，既便有了應急計劃和預案，也會由于缺少必要的教育培訓、相關人員未能充分理解掌握操作要求，從而導致既定的流程和機制難以發揮預期作用。

（三）風險識別尚有差距，業務影響分析不充分，資源保障和災難恢復的有效性不足

一是缺乏對各項業務和業務系統的全面科學評估，業務分類、事件分級以及由此而制定的業務恢復目標還不盡合理，在應急預案設計、備用資源保障和人員配置等方面存在不足；二是偏重對設備設施、數據信息和業務運營的保護，對員工安全、企業聲譽等其他重要資產的保護和重視程度不夠，存在低估風險的傾向，風險緩釋和預防應對措施針對性不強。

（四）預案體系建設尚有差距，應急響應的合理性和可操作性不強

商業銀行業務多樣、管理復雜，業務連續性管理的建設難度大、周期長，需要針對可能的風險或潛在的影響進行事前縝密的分析，才能結合實際科學論證和制定預案。即使是規模較小的商業銀行，要建立起能夠全面？蓋重要風險、相對完整的預案體系，也需要制定出不少于幾千份的各類預案。在國有商業銀行當中，目前預案建設最為完備的是建設銀行，達到了4000多份。但相比國外先進銀行，如美國銀行預案就多達7000余份，國內商業銀行在預案體系建設上還任重道遠、差距較大。

（五）持續改進尚有差距，預案演練的針對性和有效性不足

一是對業務連續性預案的日常演練不充分或流于形式，不能全面有效地檢驗其操作性和有效性，難以做出具有針對性的完善和改進；二是偏重對信息系統的災備演練，針對業務、流程和人員方面的演練不充分，一定程度上還存在著重建設、輕維護的現象；三是盡管多數國內商業銀行業務系統已實現了“同城雙活”，并開始向“兩地三中心”發展，但由于業務連續性管理尚存諸多的不完善，欠缺足夠的經驗積累，未能針對業務系統的實際切換開展必要的演練，在災難發生時難以保證重要業務的正常切換和回退。

三、加快業務連續性管理建設的幾點建議

（一）繼續深化認識，切實將業務連續性管理作為改善經營、提升競爭力的有效途徑

首先，應清醒地認識到，商業銀行肩負著保障金融安全和社會穩定的重要責任，能否從容應對突發事件，迅速控制不良影響和防災減損，既體現了商業銀行的風險管控水平，也是履行社會責任、展現銀行價值的實際體現；其次，商業銀行激烈的市場競爭，伴隨著各種難以逆料的風險，來自于各項業務活動的運營風險、操作風險不斷拷問銀行的管理能力。完備而健全的業務連續性管理，可以使商業銀行更好地適應瞬息萬變的市場環境，更有效地提高預防風險、應對風險的能力，能夠大幅提升銀行的持續運營水平和競爭力。

（二）積極落實《商業銀行業務連續性監管指引》，健全適應業務發展的管理政策和體系

一是按照監管指引要求，持續完善業務連續性管理的政策、制度，健全高效運行的組織管理架構，落實部門管理職責，明確責任；二是依照監管指引的規范標準，科學建設，加快應急響應及業務系統建設，建立常態化管理評估維護機制，健全業務連續性管理體系；三是從業務角度出發，以業務連續為目標，強化系統性設計，形成各個部門協調統一的管理體系。

（三）將業務連續性管理融入企業文化，使之成為經營管理的有機組成部分

充分結合銀行文化環境特點，制定長期的業務連續性管理文化融入計劃，通過多種途徑、多種方式持續推進。一方面依靠管理層，通過管理層對業務連續性管理宣講或座談的參與來積極推動；另一方面，制定詳細的人員培訓計劃，將責任分解落實到各部門，定期開展全員性的業務連續性管理意識教育和技能培訓，將其真正融入到企業文化中，使業務連續性管理成為員工主動參與的自覺行為。

（四）提高風險評估、業務分析水平，加快預案體系建設，提升持續運營的保障能力

一是借鑒國際最佳實踐和先進經驗，區分不同業務完善風險評估、業務分析的工具方法，全面識別重要性業務，準確評估突發事件及其影響，并以此確定業務恢復目標和風險等級，進而重檢修訂或制訂出詳細合理、操作性強的操作流程和操作手冊；二是全面識別業務持續運營所需的關鍵資源，對其風險類型及其風險暴露程度做出準確評估，結合業務開展連續性的管理分析；三是建立健全包括了業務連續性計劃、總體預案和具體預案的三位一體預案體系，制定出事態定義明確、風險描述清晰、處置操作步驟具體的應急響應預案，使之能夠覆蓋所有重要業務及重大風險領域，不斷完善應對業務中斷事件的機制流程；四是注重可用資源、備用場所的建設維護，保障各類資源的可靠性和可用性，并加強操作人員的培訓，提高應對業務中斷事件的處置能力。

（五）定期演練，及時評估和持續改進

一是按照監管指引要求，有序規劃，合理安排，定期開展桌面、摹擬和實戰相結合的綜合性業務演練，通過演練來檢驗應急預案的合理性和可操作性，及時發現問題，總結評估，持續改進；二是結合監管要求和業務發展，持續改進演練機制和演練模板，既要針對具體業務實際編制演練計劃，認真組織開展演練，也要根據演練結果，從演練方法的科學性、演練頻率的合理性、預案流程的有效性等各個方面，對演練計劃和應急預案進行持續的改進完善。