非常態(tài)下商業(yè)銀行業(yè)務(wù)連續(xù)性（BCM）風險管控及應(yīng)對策略

一、培訓背景

業(yè)務(wù)連續(xù)性管理（Business Continuity Management，BCM）是一項綜合性的管理活動，通過識別組織所面臨的潛在風險，評估風險可能對組織造成的影響，建立一套組織、流程和資源相配合的體系，提升組織應(yīng)對風險的能力，保障組織價值創(chuàng)造活動的持續(xù)進行，有效提升組織的品牌聲譽和相關(guān)方利益。

2011 年 12 月底，中國銀監(jiān)會曾發(fā)布《商業(yè)銀行業(yè)務(wù)連續(xù)性監(jiān)管指引》，指引中明確規(guī)定了商業(yè)銀行應(yīng)當將業(yè)務(wù)連續(xù)性管理納入全面風險管理體系，建立與本機構(gòu)戰(zhàn)略目標相適應(yīng)的業(yè)務(wù)連續(xù)性管理體系。2020 年初，新冠肺炎在我國爆發(fā)。中國全民上下共同抗擊此次疫情。我國銀行業(yè)也積極響應(yīng)，陸續(xù)調(diào)整金融政策和服務(wù)策略以便為中小微企業(yè)、零售客戶提供各類更為快捷、適當?shù)慕鹑谥С趾徒鹑诜?wù)。在此背景下，各類商業(yè)銀行更應(yīng)構(gòu)建起真正有效的應(yīng)對危機事件的業(yè)務(wù)連續(xù)性管理體系，使業(yè)務(wù)管理和系統(tǒng)管理實現(xiàn)科學化、快捷化、網(wǎng)絡(luò)化，這是保證銀行業(yè)務(wù)連續(xù)運行、可持續(xù)發(fā)展的重要依據(jù)。

隨著商業(yè)銀行業(yè)務(wù)和機構(gòu)的不斷擴張，銀行系統(tǒng)及業(yè)務(wù)的信息化程度提升，而系統(tǒng)運行和業(yè)務(wù)經(jīng)營、金融環(huán)境也日益復雜。商業(yè)銀行在面連續(xù)性風險管控與應(yīng)對、如何更加有效地進行商業(yè)銀行全面風險管理，從而保證國家金融安全穩(wěn)定發(fā)展，是我國金融監(jiān)管部門和銀行經(jīng)營管理者共同關(guān)心的重大課題。

二、培訓方案

Vuca－volatility（易變性），uncertainty（不確定性），complexity（復雜性），ambiguity（模糊性）

本培訓設(shè)計為一天（6 小時）。

第一天：業(yè)務(wù)連續(xù)性風險“規(guī)范標準篇”+“管控流程篇”

通過業(yè)務(wù)連續(xù)性風險事件視頻素材與態(tài)勢分析，引出實施金融業(yè)業(yè)務(wù)連續(xù)性風險管理的思考。

講解和剖析國內(nèi)外金融業(yè)業(yè)務(wù)連續(xù)性風險管理的行業(yè)規(guī)范與標準，并提出適合于參訓機構(gòu)、具可操作性的業(yè)務(wù)連續(xù)性風險管理規(guī)范與標準。

從戰(zhàn)略層面和三道防線層面講解國內(nèi)外金融業(yè)業(yè)務(wù)連續(xù)性風險管理實施的流程，并提出適合于參訓機構(gòu)的、具可操作性的業(yè)務(wù)連續(xù)性風險管控流程。

第二天：業(yè)務(wù)連續(xù)性風險“工具實踐篇”+“策略實施篇”

以銀行信息系統(tǒng)和金融數(shù)據(jù)、銀行業(yè)務(wù)的“生命周期”為主線，講解不同階段對應(yīng)的業(yè)務(wù)連續(xù)性風險管理工具與方法，并比較不同工具與方法的優(yōu)劣。

講解國內(nèi)外金融監(jiān)管機構(gòu)的業(yè)務(wù)連續(xù)性風險監(jiān)管規(guī)范、監(jiān)管科技工具、監(jiān)管要求與要素等。

從監(jiān)管要求視角，講解商業(yè)銀行應(yīng)如何進行業(yè)務(wù)連續(xù)性風險管控策略與方案的設(shè)計（BCP）等。

三、培訓要點

一是業(yè)務(wù)連續(xù)性風險管理規(guī)范標準。通過信息與資料梳理、視頻素材分析，解析國際和國內(nèi)金融業(yè)在業(yè)務(wù)連續(xù)性風險控制、風險評級、信息安全和網(wǎng)絡(luò)安全、系統(tǒng)安全和數(shù)據(jù)安全、科技及業(yè)務(wù)項目管理、信息資產(chǎn)與基礎(chǔ)設(shè)施、信息科技外包管理等方面的管理框架、行業(yè)標準和最佳實踐，分析比較國際與國內(nèi)金融業(yè)業(yè)務(wù)連續(xù)性風險管理方面的特點、趨勢和可借鑒之處。

二是業(yè)務(wù)連續(xù)性風險管控實踐。（1）從戰(zhàn)略層面、戰(zhàn)術(shù)層面和操作層面三個視角，分析國內(nèi)外金融業(yè)信息科技治理結(jié)構(gòu)的架構(gòu)、信息科技管控流程的構(gòu)建和信息科技系統(tǒng)管控的實施等；（2）從三道防線視角，即信息科技部門、業(yè)務(wù)連續(xù)性風險管理部門、信息科技審計（稽核）部門，分析國內(nèi)外金融業(yè)如何進行業(yè)務(wù)連續(xù)性風險管控的有效協(xié)作、資源與信息共享、數(shù)據(jù)傳遞等；（3）從全面風險管控流程視角，分析國內(nèi)外金融業(yè)如何實現(xiàn)對業(yè)務(wù)連續(xù)性風險的感知與識別、評估與計量、應(yīng)對等。

三是業(yè)務(wù)連續(xù)性風險管控工具實踐。以銀行業(yè)務(wù)、金融數(shù)據(jù)和信息系統(tǒng)的“生命周期”為主線，從信息科技立項與需求分析、科技項目采購與招投標、項目開發(fā)、項目時間與質(zhì)量管控、成本控制和資源管控、溝通管理、信息科技測試與運行等不同階段講解適用的各類業(yè)務(wù)連續(xù)性風險管控工具與方法；從業(yè)務(wù)連續(xù)性風險存在的不同載體——系統(tǒng)、設(shè)備、網(wǎng)絡(luò)、數(shù)據(jù)和人員等視角，講解防范信息系統(tǒng)單項風險和綜合風險的工具與方法。

四是業(yè)務(wù)連續(xù)性風險監(jiān)管與對應(yīng)實施策略。講解國外金融業(yè)監(jiān)管機構(gòu)（巴塞爾委員會、COSO）、國內(nèi)金融業(yè)監(jiān)管機構(gòu)（人民銀行、銀保監(jiān)會、證監(jiān)會）以及相關(guān)機構(gòu)，實施業(yè)務(wù)連續(xù)性風險監(jiān)管的具體標準和規(guī)范、實施要素和要點等，從而提出針對商業(yè)銀行特點的業(yè)務(wù)連續(xù)性風險管理對應(yīng)策略。

四、培訓特點

一是以業(yè)務(wù)、系統(tǒng)與數(shù)據(jù)的“生命周期”為剖析主線，邏輯清晰。

本培訓內(nèi)容將針對公司治理、業(yè)務(wù)循環(huán)、系統(tǒng)循環(huán)和數(shù)據(jù)循環(huán)等不同階段和環(huán)節(jié)，系統(tǒng)性、動態(tài)性的分析業(yè)務(wù)連續(xù)性風險管理的特征與規(guī)律。

二是將業(yè)務(wù)連續(xù)性風險管理的理論與實踐相結(jié)合，理實結(jié)合。

本培訓系統(tǒng)性的分析業(yè)務(wù)連續(xù)性風險及風險管理的規(guī)范、行業(yè)標準、方法與工具、金融監(jiān)管的國際、國內(nèi)前沿發(fā)展和最佳實踐，并結(jié)合業(yè)務(wù)連續(xù)性風險管理案例信息、視頻素材、數(shù)據(jù)資料進行剖析講解。

三是提出業(yè)務(wù)連續(xù)性風險管理的實施體系與建議，具指導性。

本培訓基于風險管理三道防線、 業(yè)務(wù)－數(shù)據(jù)－系統(tǒng)”生命周期，系統(tǒng)性提出金融機構(gòu)實施業(yè)務(wù)連續(xù)性風險管理的實施體系與建議方案，具有可操作性、指導性。

五、培訓收益

本培訓通過系統(tǒng)講解金融業(yè)（包括人民銀行、銀保監(jiān)部門、商業(yè)銀行、證券業(yè)及保險業(yè)等）業(yè)務(wù)連續(xù)性風險管理體系與框架、信息管理科技風險特征與分布、業(yè)務(wù)連續(xù)性風險的生命周期追蹤、業(yè)務(wù)連續(xù)性風險管理具體技術(shù)及方法、業(yè)務(wù)連續(xù)性風險治理、業(yè)務(wù)連續(xù)性風險監(jiān)管等方面的最新發(fā)展和最佳實踐，提出適合于參訓機構(gòu)實施業(yè)務(wù)連續(xù)性風險管理的實施方案和體系建議，有效提升參訓機構(gòu)的業(yè)務(wù)連續(xù)性風險管理能力。工具、營銷策略，全面提升商業(yè)銀行零售金融的營銷能力。

六、授課對象

各類商業(yè)銀行、互聯(lián)網(wǎng)公司、類金融企業(yè)等機構(gòu)的信息技術(shù)部、電子銀行部、網(wǎng)絡(luò)金融部、風控合規(guī)部、集中運營部、零售業(yè)務(wù)部和公司業(yè)務(wù)部等部門的管理者、技術(shù)人員和業(yè)務(wù)人員等。

七、授課形式

課件講授：制作培訓課件，并以課件作為授課主線。

視頻解析：通過播放業(yè)務(wù)連續(xù)性風險管理的相關(guān)視頻，引發(fā)并組織參訓人員對業(yè)務(wù)連續(xù)性管理進行思考和討論。

案例分析：通過對中外商業(yè)銀行的業(yè)務(wù)連續(xù)性管理真實案例，進行解讀和剖析，引發(fā)參訓人員思考。

情景設(shè)置與實戰(zhàn)演練：通過預設(shè)金融場景或引入真實場景，組織參訓人員進行業(yè)務(wù)連續(xù)性風險管理思維培訓，并設(shè)計出相應(yīng)的敏捷銀行服務(wù)方案。

八、培訓內(nèi)容

(一) 基礎(chǔ)認知篇

1. 視頻與案例素材剖析

n 國外*業(yè)務(wù)連續(xù)性風險事件視頻與案例剖析

n 國內(nèi)*業(yè)務(wù)連續(xù)性風險事件視頻與案例剖析

2. 業(yè)務(wù)連續(xù)性管理內(nèi)涵及發(fā)展

n 業(yè)務(wù)連續(xù)性管理的起源與內(nèi)涵（BCM）

n 業(yè)務(wù)連續(xù)性風險內(nèi)涵、種類與全域風險視圖

n 國內(nèi)外業(yè)務(wù)連續(xù)性風險管理專業(yè)慣例

n 突發(fā)事件及應(yīng)急對銀行業(yè)務(wù)連續(xù)性的影響

(二) 規(guī)范標準篇

1. 業(yè)務(wù)連續(xù)性國際實踐規(guī)范標準

n BS 25999（2002；2005）

n ISO 17799（2005）

n 信息安全管理：ISO27001

n 業(yè)務(wù)連續(xù)性管理：ISO22301

n ISACA: COBIT5

n IT 服務(wù)管理：ISO20000 和 ITIL V3

n DRI:業(yè)務(wù)連續(xù)性管理

2. 業(yè)務(wù)連續(xù)性國際實踐規(guī)范標準

n 人民銀行

ü 《銀行業(yè)信息系統(tǒng)災(zāi)難恢復管理規(guī)范》

ü 《銀行集中式數(shù)據(jù)中心規(guī)范》

ü 《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》

ü 《金融行業(yè)信息系統(tǒng)信息安全等級保護》

n 銀保監(jiān)會

ü 《商業(yè)銀行業(yè)務(wù)連續(xù)性風險管理指引》

ü 《銀行業(yè)金融機構(gòu)信息科技外包風險監(jiān)管指引》

ü 《商業(yè)銀行業(yè)務(wù)連續(xù)性監(jiān)管指引》

ü 《銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)急管理規(guī)范（試行）》

ü 《商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引》

ü 《銀行業(yè)金融機構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法》

n 其他相關(guān)規(guī)范

ü 網(wǎng)絡(luò)安全法

ü 國家網(wǎng)信辦、公安部、國家保密局、國家密碼管理局

ü 關(guān)鍵基礎(chǔ)設(shè)施風險評估

ü 網(wǎng)絡(luò)安全等級保護

ü 《中華人民共和國突發(fā)事件應(yīng)對法》

ü GBT20988—2007《信息系統(tǒng)災(zāi)難恢復規(guī)范》n

(三) BCM 風險管控流程篇      

1. 當前 BCM 存在的主要問題 n

2. BCM 風險管控戰(zhàn)略/戰(zhàn)術(shù)/操作  

n BCM 治理架構(gòu)的構(gòu)建與實施

n BCM 管控流程的構(gòu)建與實施

n BCM 管控系統(tǒng)的構(gòu)建與實施

3. BCM 風險管理三道防線

n 信息科技部門職責與協(xié)作

n 風險管理部門職責與協(xié)作

n 信息科技審計部門職責與協(xié)作

4. BCM 風險管控流程及系統(tǒng)

n 業(yè)務(wù)連續(xù)性風險感知與識別

n 業(yè)務(wù)連續(xù)性風險評估

n 業(yè)務(wù)連續(xù)性風險計量

n 業(yè)務(wù)連續(xù)性風險監(jiān)測

n 風險情境恢復與業(yè)務(wù)恢復（6R 模型）

n 業(yè)務(wù)連續(xù)性風險管理系統(tǒng)構(gòu)建

5. BCM 風險管控國內(nèi)外實踐

n 國外商業(yè)銀行 BCM 風險管控實踐

n 國內(nèi)商業(yè)銀行 BCM 風險管控實踐

(四) 工具實踐篇

1. 業(yè)務(wù)-數(shù)據(jù)-系統(tǒng)(BDS)生命周期

n 銀行業(yè)務(wù)及產(chǎn)品生命周期管理

n 金融數(shù)據(jù)生命周期管理

n 信息系統(tǒng)/項目生命周期管理

n 全生命周期管理模式與工具

2. 各階段 BCM 風險管控工具與方法

n BDS 需求與設(shè)計階段/案例解析

n BDS 項目立項階段/案例解析

n BDS 開發(fā)與測試階段/案例解析

n BDS 運行與維護階段/案例解析

n BDS 外包階段/案例解析

n BDS 業(yè)務(wù)連續(xù)性管理/案例解析

3. 單項與綜合 BCM 風險管控工具

n 系統(tǒng)與設(shè)備安全方面/案例解析

n 網(wǎng)絡(luò)安全方面/案例解析

n 數(shù)據(jù)安全方面/案例解析

n 人員與操作風險方面/案例解析

(五) 策略實施篇

1. 國內(nèi)外 BCM 監(jiān)管實施情況.

n 巴塞爾委員會、COSO 監(jiān)管情況

n 人民銀行、銀保監(jiān)會等監(jiān)管情況

2. 國內(nèi)外 BCM 審計實施情況

n 國外信息科技審計實施及案例

n 國內(nèi)信息科技審計實施及案例

3. BCM 風險管控策略實施建議

n 公司治理與全面風險管理視角建議

n 經(jīng)營策略與業(yè)務(wù)模式建議

n 金融科技創(chuàng)新與應(yīng)用建議

n 管理數(shù)據(jù)及業(yè)務(wù)數(shù)據(jù)管理建議

n BCP 計劃編制與實施步驟建議