BCM实施指南-PPT课件

1、内容提要1解读BCM2BCM项目实施方法3BCM实施难点与对策4BCM实施策略讨论1内容提要1解读BCM2BCM项目实施方法3BCM实施难点与对策4BCM实施策略讨论2何为BCM3业务连续性（Business Continuity）：业务中断事件发生后，在预先确定的可接受水平上持续交付产品或提供服务的能力。业务连续性管理（Business Continuity Management）是一套整体的管理流程，用以：识别潜在威胁，以及这些威胁对业务持续运行带来的影响；建立有效应对威胁的自我恢复能力，保护关键相关方的利益、声誉、品牌和创造价值的活动。BCM是一个跨多个专业领域的综合性体系45BCM标准

2、发展新加坡标准SS540英国标准BS25999国际业务持续协会（BCI）业务持续管理良好实践指南BCM GPG理论基础理论基础升级中国国家标准GB/T301462013年12月17日正式发布国际标准ISO223012012年5月15日正式发布对应商业银行业务连续性监管指引 2011年12月28日正式发布ISO22301标准全文结构64.组织环境5.领导力6.策划7.支持8.实施9.绩效评价10.改进理解组织及其环境理解相关方的需求和期望定义BCMS的范围BCMS领导力与承诺管理承诺方针应对风险和机会的措施业务连续性目标和实现计划资源能力意识沟通文件化信息实施策划与控制业务影响分析和风险评估业务

3、连续性策略建立和实施业务连续性程序演练和测试监视、测量、分析和评价内部审计管理评审不合格项和纠正措施持续改进计划（Plan）执行（Do）检查（Check）改进（Action）组织角色、职责和权限监管指引与国际标准对应关系ISO22301:2012（GB/T30146-2013）商业银行业务连续性监管指引4 组织环境5 领导力6 策划7.1 资源7.4 沟通7.5 文件化信息9 绩效评价10 改进第一章总则第二章业务连续性组织架构7.2 能力7.3 意识第一章总则（第九条）8.2 业务影响分析和风险评估8.3 业务连续性策略第三章业务影响分析8.4 建立和实施业务连续性程序第四章业务连续性计划与

4、资源建设第六章运营中断事件应急处置8.5 演练和测试第五章业务连续性演练与持续改进-第七章监管和处置7业务连续性与IT服务连续性8业务流程、业务活动IT服务（信息系统、IT基础设施）技术支撑业务连续性（Business Continuity）：关注于一个组织提供产品、服务的业务流程、业务活动的持续运行。业务不连续的后果：客户量/业务量减少、产品报废、合同违约、监管违规、财务损失、利益相关方施压、社会谴责（环境/健康等）、丧失竞争力、破产业务连续性计划（BCP）：从业务层面恢复中断的业务流程和活动。IT灾难恢复计划（IT DRP）、应急预案通常用于支撑BCP。IT服务连续性（IT Service

5、 Continuity）：关注于保障信息系统、IT基础设施持续运行。IT服务不连续的后果：直接表现：IT基础设施瘫痪、信息系统停止服务；间接表现：依赖IT系统的业务活动停滞，部分业务切换到人工操作。IT灾难恢复计划：将中断的IT系统服务恢复到可用状态，通常涉及灾备切换。应急预案：通常由一组具体的故障恢复场景构成，可能包含导致服务中断的严重故障，也有可能涉及未导致服务中断的一般故障。信息化技术越来越多地承载了组织的业务流程运行。业务连续性的恢复要求9最长可容忍中断时间（MTPD, Maximum Tolerable Period Of Disruption）交付产品、服务的业务流程与活动的最长可

6、容忍中断时间。如果超出此时间限制，带来的负面影响将变得无法承受。恢复时间目标（RTO）基于MTPD，在组织内部协商后制定的恢复时间目标值。RTO应小于MTPD（30%为宜）。组织应在假设的最坏场景下，通过演练、测试，验证自身达成RTO的实际能力。最长可容忍数据丢失点（MTDL , Maximum Tolerable Data Lost）交付产品、服务的业务流程与活动中断后再次恢复时，能够容忍的数据丢失时长。即：将数据恢复到中断前多久的状态。恢复点目标（RPO）基于MTDL，在组织内部协商后制定的恢复点目标值。RPO应小于MTDL （30%为宜）。组织应通过适当的备份机制，确保备份间隔时间小于R

7、PO，并通过演练、测试，验证备份的有效性。业务最低运营要求维持业务运营的最低性能与容量要求；保证最核心的业务流程/活动/产品/服务/职能/区域恢复运行通常会作为灾备建设依据业务运营能力时间业务完全运营要求最低运营要求与完全运营要求如果缺乏BCM按预期要求复原10最长可容忍中断时间 MTPD24小时目标恢复时间RTO16小时最长可接受复原时间7天目标复原时间5天业务中断突发事件0借助BCM快速恢复如果业务活动完全依赖于IT系统，则对于IT部门而言：业务部门以业务视角分析出系统的恢复目标MTPD、MTDL；IT部门应据此制定信息系统的RTO、RPO。允许的数据丢失时间复原 RTO业务复原到完全运营

8、水平3天11恢复 RTORPO恢复关键业务到最低运营水平最新的数据备份点-1小时4小时MTPD6小时MTDL-2小时事件上报与初判执行恢复启用备用资源复原或重建实施临时变通方案信息系统的恢复与复原突发事件0系统中断、实时数据丢失商业银行业务连续性监管指引要求的BCM治理结构条款要求条款理解日常管理组织架构决策机构：董(理)事会高级管理层、业务连续性管理委员会主管部门：风险管理部门或其他综合管理部门执行部门：业务条线部门、信息科技部门保障部门：办公室、人事、公共关系、财务、法律合规、后勤保卫内部审计部门：定期开展审计工作各部门：制定/执行本部门业务连续性计划明确BCM日常组织架构最高管理层参与全

9、行各部门参与BCM主管部门牵头运行BCMS信息科技部门是最关键的执行部门应急处置组织架构应急决策层：高级管理层代为决策应急指挥层：主管部门及各部门负责人应急执行层：执行部门应急保障层：保障部门根据全行组织级BCP、部门级BCP的定义，各层级、各部门各司其职，负责具体应急处置工作12“业务连续性治理结构” 日常组织13治理层级角色职责BCM决策层理事会承担BCM最终责任BCM管理层业务连续性管理委员会执行决策层批准的BCM方针、方案统筹协调、落实各项BCM职责BCM执行层BCM主管部门风险管理部门或其他综合管理部门组织开展全行业务连续性管理工作，指导、评估、监督各部门执行工作BCM执行部门各业务

10、条线部门业务影响分析；风险评估；确定恢复策略；负责业务条线重要业务应急响应与恢复（制定业务部门BCP）信息科技部门信息技术应急响应与恢复（制定信息科技部门BCP、IT连续性计划）BCM保障部门办公室、人力资源部门、公共关系部门、财务部门、法律合规部门、后勤部门、保卫部门人力、物力、财力以及安全保障、法律咨询、对外媒体公关（制定保障部门BCP）“业务连续性治理结构” 应急组织14应急管理层级角色职责应急决策层高级管理人员决定运营中断事件通报、对外报告和公告；批准启动BCP/总体应急预案应急指挥层BCM主管、执行和保障部门负责人应急指挥和组织协调应急执行层BCM执行部门：各业务条线部门信息科技部门

11、业务条线与信息技术应急处置工作：执行业务部门、信息科技部门BCP启动应急预案应急保障层BCM保障部门：办公室、人力资源部门、公共关系部门、财务部门、法律合规部门、后勤部门、保卫部门资源保障：人、财、物秩序维护，安全保障，法律咨询，人员安抚对外宣告、通报、沟通，对外媒体公关执行保障部门BCP连续性管理的一般实施过程15识别业务活动评估业务活动中断后随着时间推移的影响分析业务活动在最低可接受水平上的可容忍中断时间MTPD，确定恢复目标RTO，排定恢复顺序识别业务活动依赖关系，确定恢复与复原所需资源业务影响分析风险评估针对需要优先恢复的关键业务活动（CBF）：识别可能导致中断的风险；识别中断发生后，

12、业务活动及相关资源面临的阻碍持续运行的风险；分析、评价风险；识别与RTO、RPO相适宜的风险处置措施。连续性策略制定明确风险偏好，制定风险处置计划：明确业务活动恢复的策略（灾备建设要求、连续性计划的制定要求）；保障相关资源的配置。风险处置连续性计划制定实施、跟踪连续性风险处置；编制连续性计划（BCP、IT DRP），包括：预警、响应、沟通上报、恢复、复原。连续性演练连续性计划培训；排定演练计划；连续性计划测试、演练。连续性管理改进演练总结，识别改进机会；连续性管理改进优化。分析(Analysis)设计(Design)实施(Implementation)验证(Validation)资源 包括但不

13、限于：人、信息/数据、设备设施耗材、IT系统、交通工具、资金、供应商/合作方。影响 例如：合规、声誉、相关方利益、产品服务质量、社会责任、财务Source：ISO22313商业银行业务连续性监管指引要求条款要求条款理解 & 待完成工作业务影响分析（BIA）识别重要业务，明确重要业务归口管理部门、所需关键资源及对应的信息系统确定重要业务恢复时间目标(业务RTO)、业务恢复点目标(业务RPO)确定信息系统恢复时间目标(信息系统RTO)、信息系统恢复点目标(信息系统RPO)业务部门负责识别关键业务（CBF）、关键资源（关键资源包括关键信息系统及其运行环境，关键的人员、业务场地、业务办公设备、业务单据

14、以及供应商）业务部门负责业务影响分析（业务RTO、业务RPO，相当于信息系统的MTPD、MTDL）信息科技部门负责信息系统RTO、RPO（应低于MTPD、MTDL）针对关键资源的连续性风险评估（RA）业务部门负责风险评估处置关键资源面临的风险（预防性措施）制定差别化的业务恢复策略关键资源恢复、业务替代手段、数据追补和恢复优先级别BCM策略：承上（BIA、RA）：恢复要求关键资源备份、选择恢复方式、恢复优先顺序设置应急指挥中心（EOC）场所启下（BCP）：BCP的总前提、总框架16银行业务（某国有银行样例）17业务类别业务名称公司金融业务存款业务贷款业务金融机构业务国际结算及贸易融资业务其他公司

15、金融业务个人金融业务储蓄存款业务个人贷款业务个人中间业务“XX理财”服务私人银行业务银行卡业务渠道建设业务类别业务名称金融市场业务全球投资全球交易资产管理债务资本市场基金代销与托管企业年金管理银行业务（某城商行样例）18业务条线业务产品个人条线个人账户业务个人贷款业务个人支付结算业务代理缴费POS收单个人理财公司条线公司账户业务公司贷款业务公司支付结算业务公司类代收代付公司理财国内信用证/保函国内保理小企业条线小企业账户业务小企业贷款业务小企业支付结算业务小企业类代收代付业务条线业务产品资金条线债券交易拆借交易（本币）同业存放/存放同业（本币）贴现转帖与再贴现买入返售/卖出回购理财和信托投资交

16、易国际业务条线同业存放/存放同业（外币）同业拆借（外币）结售汇外汇买卖代客外汇买卖国际保函国际贸易融资互联网金融条线互联网支付业务网络预填单业务彩富业务业务影响分析(BIA)示例XXX业务的关键业务时段：58（工作日9:00-17:00）19业务活动影响业务中断时长MTPDRTO5分钟30分钟1小时4小时8小时1天3天1周XXX业务客户影响223344551小时45分钟内部相关方影响12223455合规影响11112333声誉/竞争优势影响11112344财务影响11112344业务活动影响数据丢失时长MTDLRPO5分钟30分钟1小时4小时8小时1天3天1周XXX业务客户影响33344455

17、5分钟3分钟内部相关方影响12333455合规影响33333455声誉/竞争优势影响11233455财务影响12334455示例BIA/RA（样例）示例ICT为企业的业务持续做好准备（IRBC）Source：ISO/IEC 27031:2011 ISO27031 : 2011 是企业业务持续管理的重要组成部分 遵循PDCA方法论 可以与企业的业务务持续管理体系进行整合 IT部门主导21XXX系统最低运营要求分析22示例商业银行业务连续性监管指引要求条款要求条款理解 & 待完成工作制定业务连续性计划（BCP）BCP应覆盖所有重要业务各部门编写本部门BCP下属应急预案针对运营中断事件，应急预案中的

18、沟通、上报机制应满足运营中断事件等级划分标准BCP编写、演练、回顾、改进：业务部门、信息科技部门、保障部门负责专项应急预案，并编写本部门BCP主管部门负责汇总组织级BCP23BCP（样例）示例商业银行业务连续性监管指引要求条款要求条款理解 & 待完成工作业务连续性管理文档修订每年修订业务功能或关键资源发生重大变更评估与审计至少每年对管理体系评估1次对管理体系各项活动，每年审计1次，每三年全面审计作为管理体系，必不可少的组成部分：文档管理评估、审计持续改进机制25内容提要1解读BCM2BCM项目实施方法3BCM实施难点与对策4BCM实施策略讨论26GPG、ISO22313最佳实践项目实施阶段1BCM方案管理1项目启动与管理2理解组织（BIA、RA）2评估与调研 3决定BCM策略3策略与设计 4开发与实施BCM响应（BCP）4开发与实施 5演练、维护和评审5推广与演练 6体系维护与评审6将BCM融入组织文化中7培训与知识转移 BCM项目实施方法27项目实施阶段28时间预估1-2周6-8周2周6-8周4-6周2周阶段1：项目启动与管理阶段2：评估与调研 阶段3：策略与设计 阶段4：开发与实施 阶段5：推广与演练 阶段6：体系维护与评审阶段7：培训与知识转移 6个月以10个部门/条线的规模为例：内容提要1解读BCM2BCM项目实施方法3BCM实施难点与对策4BCM实施策略讨论29BCM