业务连续性计划监管控制自我评估模板

1、风险点子风险点风险控制要求1.高层监督和治理1.1高级经管层监督力度不足1.1.1. 制定策略、流程和职责1.1.2. 业务连续性规划的组织1.1.3. 监测和报告机制1.1.4. 独立评估机制1.1.5. 经管层签报机制2.业务规划与开发2.1.业务连续性规划覆盖范围不足2.1.1.规划的基本原则2.2.无效的业务影响分析2.2.1. 重要部门设置2.2.2. 恢复计划的时间进度表2.3.不完善的业务恢复机制2.3.1. 业务恢复机制2.3.2. 业务连续性规划最低要求2.4.不适当的恢复组织机构设置2.4.1. 危机经管小组2.4.2. 危机经管指挥中心2.4.3. 业务重置和工作小组2.

2、5.缺乏必要的文档记录经管2.5.1. 危机经管流程设置2.5.2. 业务重置2.5.3. 突发事件应急处理联络和恢复工程列表2.5.4. 技术恢复技术方案2.6无效的数据信息恢复2.6.1. 重要信息的定义2.6.2. 重要信息记录经管2.6.3. 联络沟通机制2.7.风险化解和转移措施不足2.7.1.其他风险化解和转移措施风险点子风险点风险控制要求3.备份中心3.1.备份中心的设置缺陷3.1.1. 业务重置备份中心的建设3.1.2. 备份中心的启动就绪要求3.1.3. 技术恢复备份中心的建设3.1.4. 电信网络连接备份3.1.5. 外包备份中心的经管3.1.6. 互惠的业务恢复协议4.测

3、试与维护4.1.测试能力不足4.1.1. 业务连续性规划的测试频度4.1.2. 业务连续性规划的测试范围4.1.3. 测试文档经管4.1.4. 业务连续性规划测试的后评价4.2.缺乏定期维护工作4.2.1. 变更经管4.2.2. 业务连续性规划文档的存取经管4.2.3. 外部服务提供商经管风险点1.高层监督和治理被监管机构的业务连续性规划缺乏高级经管层监督和支持，包括监管、监测、独立评估和可说明性子风险点1.1.高级经管层监督力度不足缺乏可说明性，清晰的指导方向和经管层应承担的义务风险控制要求1.1.1.制定策略、流程和职责高级经管层已建立业务连续性规划的相关策略、规范和流程，经由董事会讨论批

4、准。被监管机构的董事会和高级经管层对业务连续性规划及其实施效果负最终责任。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字弥补性措施最多1000字1.1.2.业务连续性规划的组织高级经管层已明确设立部门负责业务连续性规划的整体流程经管风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多100

5、0字1.1.3.监测与报告机制已制定并实施了正式的业务连续性规划评估、监测和汇报程序。业务连续性规划负责部门定期向董事会汇报业务连续性规划的测试情况。任何业务连续性规划的重要变更均向高级经管层报告。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险点子风险点风险控制要求风险已可控说明原因最多255字现有措施最多1000字1.1.4.独立评估机制被监管机构的内部审计部门或其他独立机构，对业务连续性规划的有效性进行定期评估，并评估业务连续性规划是否与被监管机构的策略和规范相一致

6、。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字1.1.5.经管层签报机制被监管机构的主要负责人向董事会提交正式的年度报告，说明已采用的恢复策略是否有效，已制定的业务连续性规划是否进行了有效的测试和维护。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字2

7、.规划与开发因灾害或突发事件导致特定地点营业停止和服务中断而引发的风险。风险将导致财务损失和声誉受损。2.1.业务连续性规划的覆盖范围不足无法处理大规模或长时间的业务中断211规划的基本件原则被监管机构应充分考虑灾害的严重程度，包括本机构或交易对手和服务提供商的核心建筑、设备被完全摧毁，失去关键人员以及备份设施需要延长使用期限等。被监管机构应建立双层业务连续性规划，一是针对近期问题，可通过提高硬件设施能力快速解决；二是针对长期战略性问题，需要制定书面规划，并逐步实施。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改标题最多50字计划完成日期

8、统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字子风险点2.2.无效的业务影响分析无法确定在灾害发生时哪些重要部门和服务需要被迅速恢复，以及如何恢复风险控制要求2.2.1.重要部门能够定期实施业务影响分析已确定在灾害发生时必须保证持续有效运行的重要业务部门和后台部门。业务影响分析包括了客户、银行人员、声誉、内部运行以及财务和法律等方面的影响。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1

9、000字2.2.2.恢复-计划的时间讲度表根据业务影响分析，业务部门和后台部门可以确定灾害过程中银行对外提供重要服务的最低要求。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字子风险点2.3.不完善的业务恢复机制无法按最低要求对外提供重要银行服务风险控制要求2.3.1.业务恢复机制所有业务和后台部门已根据业务恢复时间进度表和对外重要服务最低要求，制定本部门的恢复措施。措施已充分考虑灾害状况下业务处理量可能超过日常水平。所有部

10、门恢复措施均在业务连续性规划中有书面体现。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字2.3.2.业务连续性规划最低要求所有重要的业务和后台部门已制定业务连续性规划最低要求，以保证基本的业务和技术服务能力。最低要求在制定业务连续性规划前已经高级经管层批准。高级经管层应确保所有新业务在策划和开发阶段已考虑了业务连续性要求。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改

11、计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字子风险点2.4.不适当的恢复组织机构设置因关键人员损失或缺位导致的业务恢复延误，或决策延误。风险控制要求2.4.1.危机事件经管小组被监管机构已建立了危机事件经管小组负责经管各个阶段的危机事件。危机事件经管小组成员应包括高级经管层和主要后台部门负责人（如：基建部门、信息科技部门、办公室和人力资源部门）风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说

12、明原因最多255字现有措施最多1000字242危机事件经管指挥中心被监管机构已建立了指挥中心，为危机事件经管小组提供必要的工作场地和设施。指挥中心与被监管机构的主要运营地点保持足够的物理距离，避免同时受到灾害影响。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字2.4.3.业务重置和工作小组所有相关的业务和后台部门（包括信息科技部门）已建立了恢复工作小组（同时可设立分小组负责业务重新启动流程），并在所有的重要环节指定了替补人

13、员。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字子风险点2.5.缺乏完善的文档记录经管业务连续性规划的规定内容与实际的恢复过程不一致，对实施人员没有提供足够的操作指引。风险控制要求2.5.1.危机事件经管流程业务连续性规划建立了一套危机事件经管流程，以成文形式发布，辅助高级经管层应对突发事件，并有效避免风险向整体业务传导。经管流程应包括：早期的灾害苗头侦测和对危机事件经管小组的快速通知，影响评估和决策制定，业务所在地的撤

14、离和疏散，实施业务连续性规划，采集状况信息，沟通联络和受损设施的恢复。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字2.5.2.如业务连续1最终实现1主规划包括详细的操作守则和程序，动员恢复工作小组恢复并延续重要业务的运行，并k务的正常运转风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件_最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原

15、因现有措施最多255字最多1000字风险详情风险评级绿/黄/红/蓝2.5.3.突发事件应急处理联络和恢复工程列表负责业务恢复人员及备用人员的联系方式，包括下班后的联络信息，并配备至人员手中。制定业务恢复任务列表并纳入业务连续性规划。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字风险控制要求2.5.4.技术恢复技术方案业务恢复过程中，所有业务和后台部门的技术需求在业务连续性规划中均有详细说明。风险详情风险评级绿/黄/红/蓝问

16、题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字子风险点2.6.无效的信息恢复业务恢复所需了解的情况和信息无法得到满足，或信息沟通能力不足风险控制要求2.6.1.定义要信息业务连续性规划对灾害过程中重要业务和后台部门进行业务恢复时需要的重要信息进行了明确定义，重要信息包括存储在电子或非电子介质上的信息。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最

17、多1000字风险已可控说明原因最多255字现有措施最多1000字2.6.2.重要信息记录经管对认定的重要信息档案实行有效备份和异地保管。严格控制重要信息档案的调取，保证其对业务重启的可靠性。制定了相关文件，规定重要信息档案在遗失、受损和破坏的情况下如何进行恢复和再生，以及按何种次序进行恢复和再生。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字2.6.3.联络沟通机制被监管机构与其他重要外部机构建立了正式的联络沟通机制（如：

18、监管部门、投资者、客户、交易对手、商业合作伙伴、服务提供商、新闻媒体和其他股东等），对内部机构的沟通联系机制（如：内部员工、母公司、总部、分支机构等）。业务连续性规划应明确指定灾害期间的对外新闻发言人，重要外部机构的电话号码和电子邮件地址应被妥善保存并易于调用。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字子风险点2.7.风险化解和转移措施不足因保险覆盖范围不足导致损失风险控制要求271其他风险化解和转移措施_被监管机构采

19、取其他形式的风险化解和转移措施，如通过保险降低因灾害产生的财务风险。被监管机构应在业务连续性规划中包括补充流动性的措施。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字风险点3.备份中心业务连续性规划无法实施子风险点3.1.备份中心的设置缺陷因备份中心能力不足或功能缺陷导致业务连续性规划无法实施风险控制要求3.1.1.业务重置备份中心的建设用于业务重置的备份中心应与被监管机构的主中心保持足够的物理距离，以避免同时受到灾害影响

20、（如：使用彼此隔离的电信网络和电力供应）风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字3.1.2.备份中心的启动就绪要求备份中心应保证在业务连续性规划的规定时间内启动使用。被监管机构已安排了备份中心运行所需的各类后勤保障。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措

21、施最多1000字3.1.3.技术恢复备份中心的建设技术恢复备份中心（数据备份中心）应配备足够的技术装备（工作站、服务器、打印机等）在型号、数量和容量等方面满足业务连续性规划的恢复要求。技术恢复备份中心根据规划的要求应配备足够的通信网络和带宽设施，以及预装的网络线路，以应对预计出现的通话和数据传输高峰。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件_最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险说明原因最多255字已可控现有措施最多1000字3.1.4.电信网络连接备份被监管机构已将自己的备份站点与其主要客户、交易对

22、手和服务提供商的备份站点建立了电子网络连接，避免因主中心距离较近而同时受到灾害影响。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字3.1.5.外包备份中心的经管合约条款应包括备份中心的使用期限和备份设施、技术支持或有关硬件的服务承诺。在某些情况下。服务提供商应证明其备份中心在灾难事件中的自身恢复能力。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成

23、日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字3.1.6.百惠的业务恢复协议任何可行的互惠业务恢复协议应经过被监管机构充分的风险评估和备案，并正式提交董事会批准风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字4.测试和维护未审批和过期业务连续性规划子风险点4.1.测试能力不足无法查找潜在问题和保证备份中心对业务的顺利恢复风险控制要求4.1.1.业务连续性规划测试频度被监管机构

24、至少每年进一次业务连续性规划测试风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字4.1.2.业务连续性规划测试的范围业务连续性规划测试的范围应全面覆盖规划的主要组成部分，以及与重要外部机构的衔接部分。业务连续性规划测试已被验证有效：员工撤离和疏散、通讯联系、业务备份中心和技术备份中心的启用，外部机构提供的恢复服务，重要档案的恢复高级经管层实地参与年度测试并了解自己在业务连续性规划中的职责。负责恢复的人员及其替补人员应参加测试以便熟悉相关职责。风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225字整改计划标题最多50字完成日期统一年月日格式整改计划内容最多1000字风险已可控说明原因最多255字现有措施最多1000字4.1.3.测试文档经管建立正式的测试文档经管制度（包括测试技术方案、测试环境、测试流程和测试结果）风险详情风险评级绿/黄/红/蓝问题或差距最多1000字说明性资料最多1000字相关文件最多225