防患未然：金融机构业务连续性管理怎么做？-20200304-兴业研究-20页_1mb

金融机构业务连续性管理怎么做？

核心内容

金融机构业务连续性管理（BCM）是确保在重大突发事件下，关键业务职能仍能持续运作的重要机制。其核心在于构建一个动态、闭环的管理流程，涵盖从风险识别到测试演练的全过程。BCM不仅对金融机构自身运营至关重要，还对整个金融体系的稳定性和公众信心有深远影响。

主要观点

• 必要性：金融体系作为经济的“血脉”，必须在突发事件中保持连续运作。BCM的制定是金融机构的“必修课”，以应对自然灾害、疫情、网络攻击等风险。
• 监管要求：美国联邦金融机构检查委员会（FFIEC）在《业务连续性管理手册》中提出了系统的BCM管理框架，要求金融机构建立包括目标设定、风险分析、策略制定、计划建立、培训测试等在内的闭环流程。
• 业务连续性目标：金融机构需确保在大范围业务中断、重要运营地点不可用或职员损失等情况下，关键业务职能能够快速恢复并重新运作。此外，还需通过持续测试确保BCM安排的高置信度有效性。
• BCM内容：主要包括业务连续性管理框架、董事会和管理层责任、业务冲击分析和风险评估、业务连续性策略制定、业务连续性计划建立、培训、演练与测试等环节。
• 关键风险应对策略：金融机构应考虑实体韧性、网络韧性、数据备份与复制、人力资源韧性、第三方服务韧性、通信服务韧性、电力韧性等，以确保在各种情况下业务仍可连续进行。

关键信息

1. 业务连续性管理框架

• 包括设定目标、风险分析、构建计划、培训测试、更新改进等环节。
• 构建一个动态的、不断更新的管理闭环，以适应业务环境的变化。

2. 董事会、管理层责任

• 董事会负责设定BCM总体责任、资源分配、战略与风险偏好结合。
• 管理层需评估风险、制定策略、配置人员与资源、进行培训与测试、审查与更新计划。

3. 业务冲击分析与风险评估

• 识别关键业务职能（如支付结算、交易清算等）及相互依赖关系。
• 风险评估包括识别风险类型、分析可能性和影响，并选择适当的风险应对方式（接受、缓释、转移、避免）。

4. 业务连续性策略

• 以风险为本，考虑技术、人力、通信、电力、数据、第三方服务等多方面。
• 需确保在各种场景下业务仍可恢复，包括极端事件（如疫情、恐怖袭击）。

5. 业务连续性计划（BCP）

• BCP应是一个动态文档，定期更新。
• 包括事件管理、业务连续与恢复安排、基础设施准备、支付系统保障、流动性考虑等。
• 需明确触发事件、恢复优先级、关键业务操作流程、客户身份验证方式等。

6. 培训、演练与测试

• 培训应覆盖所有层级，包括董事会、高管、业务条线负责人和一线员工。
• 演练包括全面演练、有限规模演练和图上作业演练。
• 测试关注系统可靠性、数据恢复能力及流程有效性。
• 演练与测试的频率应根据风险变化进行调整。

7. 运用案例

（一）2003年美国和加拿大大停电事件

• 事件背景：2003年8月14日，美国东北部及加拿大东部发生大范围停电，影响持续2天以上。
• 应对措施：金融机构迅速启动备用电源，部分机构启用备用场地。监管机构与金融机构联合沟通，稳定市场情绪。
• 经验教训：需考虑极端但可能的情景事件，及时公开信息，明确沟通规则。

（二）2003年SARS疫情对中国香港证券市场的影响

• 事件背景：SARS疫情在2003年爆发，导致中国香港地区出现恐慌。
• 应对措施：金融机构减少现场服务、错峰上班、提供交通补贴、设立健康顾问等。
• 经验教训：需重新审视业务连续性计划中的假设，加强信息收集与公开，提升应急响应能力。

总结

金融机构的业务连续性管理是一项系统性工程，涉及多个关键环节与策略。随着金融体系复杂性的提升，BCM的重要性愈发凸显。通过完善的框架、清晰的目标、有效的策略和持续的培训与测试，金融机构可以增强其应对突发事件的能力，确保关键业务的连续性，维护金融体系的稳定和公众信心。