随着银行业在我国的国民经济中扮演越来越重要的角色，在银行业建立全面风险管理体系，并为风险加权资产配置充足的资本成为摆在银行面前无法回避的问题。2007年银监会将“业务连续性计划的监管控制”作为一个独立的评价部分，要求各家银行进行自我评估并相继出.台了一系列旨在针对信息系统安全稳健运行的监管指引。2011年底，银监会正式发布了104号文《商业银行业务连续性监管指引》，该《指引》对商业银行实施业务连续性管理提出了具体的管理要求和实施时点要求。

　　虽然根据监管要求及内部管理需要，我国部分商业银行和金融机构已着手开展业务连续性规划入口工作和实施工作，但业务连续性管理工作对国内银行业而言是全新领域，目前国内金融机构此项工作还处于“摸着石头过河”的阶段，各家机构资源投入、开展情况各不相同。

　　金融机构BCM现状

 　　致同企业风险服务合伙人李辉介绍，我国金融机构相较于海外同行们在业务连续性管理（BCM）相对起步较晚。从2001年“911事件”之后，国内才开始真正重视业务连续性方面的工作，并快速经历了从探索到实践的发展过程。我国金融机构在IT系统的连续性计划方面做了不少工作，不少机构投入大量资源建立灾难备份中心，也积累了一定的宝贵经验。但从总体上看，在21世纪伊始，我国绝大部分金融机构对于BCM的主要工作和意识仍停留在IT系统灾难恢复的技术层面，仍未建立以全面业务恢复为目标的全面业务连续性管理的需求规划、应急响应策略、流程和持续维护等机制。

　　对于在华外资银行来说，由于其海外母行已拥有相对成熟和全面的BCM体系、制度、组织架构以及管理工具，它们中的绝大多数机构目前均在此基础上构架了相应的BCM管理体系，并已通过运用诸如业务影响分析、风险评估、演练评估等管理工具和手段，对于BCM系统进行持续改进。虽然目前在BCM管理本土化方面，特别是应对本土监管最新要求方面，在华外资金融机构仍有一些针对性工作有待完成，不过总体上而言它们目前已处于持续提升阶段，在国内BCM方面属于领先者。

　　李辉继续介绍，对于我国大型商业银行（以工农中建交五大行及部分大型股份制银行为代表），由于其已积累了丰富和大量的IT系统灾难恢复工作，同时为了达成新资本协议的相关目标，进一步走上了国际化、综合化的道路，它们在BCM体系建设方面也起步较早，目前已基本完成了业务连续性管理体系、制度、组织架构等上层框架的搭建，并在此前提下逐步重点推进了各环节工作在执行层面的落实。

　　而我国众多的中小型商业银行由于在基础建设、人员意识、社会影响度等方面与大型银行存在的差距，目前对于BCM尚处于加强认识和统一意识，并出于应对逐步严苛的监管要求的目的，开始着手进行BCM体系规划和实施的工作。“因此目前大量的中小型银行正根据自身不同的发展周期，计划开展有针对性的BCM建设工作，但在与他们中的一些机构开展的项目合作以及交流沟通中，我们也深刻地认识到BCM在此类组织中发展相对较为缓慢，建设中遇到的困难也较为复杂多样，例如无法有效使用BCM管理工具和手段，距离形成完善的BCM管理体系尚需大量的工作。”李辉强调。

　　国际上，BCM也是从上世纪80年代至90年代初的应急计划和IT灾难恢复的雏形中逐渐完善形成的，并随着时间的推移，商业组织逐渐意识到应急计划和灾难恢复应该成为以业务持续运营为主导的过程，BCM作为一门学科逐渐得到社会的重视。尤其是在2001年美国911恐.怖事件后，BCM在应对在灾难，保障业务持续运作方面的作用更是得到了充分的验证。这里我们有必要反观这些领先组织的BCM管理在实践中所起到的效果。NYBOT（纽约商品交易所）曾经历了世贸中心车库爆炸案（1993），从此吸取了经验教训，自身制定了相应业务连续性计划，并坚持10年演练。其在9.11事件几个小时后就在长岛开始恢复交易，在异地恢复了运营。NYBOT劫后逢生的关键，便是其对于BCM体系的建设以及长期的持续改进和坚持贯彻。而据美国权威机构统计，那些在9.11事件发生后在两周内未恢复正常运营的机构，已有逾7成于2-3年之内宣告破产。

 

就目前我国金融机构业务连续性管理现状水平是否能够有效应对类似的事件，并且像海外同行一样快速进行业务持续运营？对于绝大多数我国金融机构，李辉的答案可能并不是非常乐观。“目前我国业务连续性仍处于初级阶段，特别是中小型银行和其他金融机构，在与国际标准与领先实践上存在不小差距，亟待得到提升，这不仅仅是出于监管合规目的。”

　　差距的根源

　　在李辉看来，许多金融机构在实际落实监管要求过程中，往往形式重于实质，侧重于应对形式上的达标，而非真正地从提供企业业务连续性管理能力的角度出发进行管理体系的构建和运作。这一方面与我国金融机构业尚未真正经历过类似“911事件”的灾难性事件，缺少潜意识层面的切肤之痛有一定关系，同时也与我国BCM仍处于初级阶段，从监管、监督到行业自律方面也尚未形成相对严厉的BCM监管气氛有关。这也是银监会发文至今，仍有部分银行刚刚，甚至是尚未，启动BCM相关建入口划的原因。不过相信随着我国BCM不断地发展以及金融机构面临越来越复杂和脆弱的经营环境，无论是监管机构还是机构自身均将给予更为密切的关注。

　　其次从单一机构而言，目前我国大部分金融机构的业务连续性管理的专业能力尚处于起步阶段，无论从体系战略与规划、组织机构与职责、体系培训与企业文化等整体层面还是到体系建设需求分析、体系资源建设与保障等管理流程层面均存在专业能力不足，缺乏系统性全面管理的方法和经验。李辉举例，如银行可能已经投入大量资源进行了各关键资源的灾备建设，同时也可能已经编制了大量的应急预案，但是相应的灾备建设未有效进行需求分析，同时与恢复策略及应急预案中衔接度不够，进而又在预案演练时自信心不足无从下手，无法有效对预案进行检验，这类“重资源建设、轻需求分析”、“重体系建立，轻体系维护”的现象是李辉经常会在项目建设和培训交流中发现的。

　　最后，李辉认为最为至关重要，也是直接导致了差距的根本关键是，我国金融机构未能真正将业务连续性管理植入到组织之中。其实业务连续性管理如同其他管理体系一样，诸如质量、健康安全、环境、风险管理等，都需要以类似的方式植入组织，同时为了BCM体系能够真正发挥积极作用也必须融入到组织的日常经营的各个环节。即使某个机构刚刚完成了BCM体系的搭建，但仍会存在“这种事情不可能发生”或“没有BCM我们也能解决”等声音。面对这种情况，重要的一点是关注员工和管理层如何看待业务持续，从而找出各种方法，让他们致力于业务持续的发展并了解其重要性。通过有效地宣传并采取更加强化的管理方法，向其展示BCM的价值，那么传播并植入BCM相关知识再组织内容也并非难事。这时李辉通常会建议他们尝试以下一些方法和手段以帮助BCM意识在企业文化中的植入，比如一是抓住高管的眼球，在向高管层进行BCM汇报时，避免过多的管理工具细节陈述，而是更多地融入一些增值性的明确的建议，如风险管理职能优化调整，业务连续性管理与其他关键管理职能的整合，将组织业务连续性建设与组织绩效表现进行挂钩；二是进行持续的高频度高聚焦度的BCM宣传活动，例如定期更新完善各部门BCM职能和个人职责，进行计划性的演练安排以及非计划的突击检查（通过偶然因素增加演练检查的趣味性），积极鼓励全员拥有并展示他们的BCM技能等等；三是仍可通过继续聘请专业咨询机构进行BCM的体系持续改进，培训宣导，以及深化推广等咨询项目。实践证实，大部分机构通过上述手段的长时间运用是能在组织内部成功植入BCM。“可惜，部分机构并没有这样地衷心和耐心去进行这些不间断的持续的工作。”李辉感慨道。

　　目前，在组织内部设立专门的业务连续性管理团队被认为是一项高投入低回报的工作。 这些因素都制约了我国金融机构建立全面业务连续性管理的进程。由李辉和团队撰写的相关专业书籍《业务连续性管理——从一本书开始》也即将付梓发行，此书的初衷便是希望由浅及深地介绍和分享业务连续性管理方面的最新监管要求和实务操作，并通过具体生动的案例解析和实战应用，揭示业务连续性管理对当代商业企业和非盈利性组织的深刻意义和价值， 给广大读者在各自企业开展业务连续性管理工作中给予一定的启发和帮助。

　　业务连续性管理的价值

　　李辉认为，业务连续性管理给机构带来的价值其实会体现在诸多层面之上，主要包括两方面，一是增强运营中断事件的应对能力，二是完善企业日常管理。

　　在增强运营中断事件的应对能力方面而言，如今，众多机构都面临着恐.怖主义、流行性疫病、自然灾害和气候变化等全球性风险的挑战，还需要防范防御黑客攻击、防范人为操作失误，排查信息技术障碍。人类左右不了大自然的喜怒无常，也无法抵挡一切灾难疫病的发生，更难有天衣无缝的入口可以防止百密一疏的人为失误。业务连续性管理体系中重要的贡献就是增强了机构应对运营中断事件的能力。

　　从单个机构的角度来讲，通过建立业务连续性管理体系，在发生运营中断事件后，机构内各部门可以根据确定的恢复优先顺序、所需最低关键资源投入、事件处理和危机沟通机制，有条不紊地在目标时间内开展应急恢复或采取替代性措施。业务连续性管理的实施将有助于机构更快更有序的恢复，使机构业务中断和损失最小化，最大程度地减小数据的丢失、收入的损失、客户的流失，增强投资者、股东和消费者的信心上海vi入口公司；维护机构的形象和声誉。

　　李辉仍以“9·11”事件举例，在受影响的1200家企业中，有400家企业迅速启动了业务连续性计划，从而将损失降到最低水平。同时，世界金融界也创造了两个令人惊讶的奇迹。其一是在世贸大厦中占据最多楼层的摩根士丹利公司，在恐.怖袭击事件发生后迅速启动业务连续性管理应急预案，第二天早上9点便宣布重新全线营业，一共25层楼中的3700名员工，只有15名员工失踪。其二，是德意志银行通过其于1993年开始建立的一套业务连续性计划，在灾难发生后调动4000多名员工及全球分行的资源，短时间内在距离纽约30公里的地点恢复了业务运行，并在“9·11”当天完成3000亿美元以上的巨额交易。两家银行能迅速化解灾难，正是源于完善的灾难备份系统。它们迅速恢复营业的能力，既增强了投资者的信心，又为企业树立了优良的形象。而同样位于世贸大厦的纽约银行由于数据中心位于现场附近，进而造成了连续性的业务中断，据其声明，恐.怖袭击破坏了其部分计算机系统，一些分支机构被迫关闭，其第三季度的利润因此下降了33%。

　　而从就整个行业或体系、甚至社会来讲，随着经济、金融全球化和信息技术发展加速，行业中各机构的关联度也逐步提升，甚至国家与国家之间的外部依赖度也不断加强，单个机构的运营中断可能产生蝴蝶效应，使风险迅速大范围扩散，这点在金融行业体现尤为突出。上述示例中，摩根士丹利公司通过BCM体系，不仅在关键时刻拯救了其自身，也在一定程度上挽救了全球的金融行业。由此可见，业务连续性管理的实施对于提高整个金融行业的抗风险性和稳定性，对整个行业长期、可持续健康发展具有深远的意义。

　　同时金融行业的抗风险性和稳定性对于整个社会在公共安全事件发生时的运行稳定，又是至关重要的一个环节。在汶川地震时，首家银行进入灾区已是3天以后；而经过随后银行业业务连续性管理的不断完善，在雅安地震时，雅安地区291个银行业金融机构网点中有152个网点受灾，四川银监局局长王筠权已要求各级银监机构和银行业金融机构立即启动应急预案，而各机构也通过抢修开通以及开设帐篷银行、汽车流动银行等多种形式，在银监部门指导协助下，24小时内部分银行业金融机构网点就已恢复营业。借用市场调研公司Strategic Research Corp的研究报告的内容，在社会所有行业中，银行业等金融机构是在业务中断时受到经济影响最为重大的行业，每小时可能带来的经济损失高达6.5亿美元之巨。您可以计算一下从3天到24小时的恢复时间的变化，所带来的经济上的效应。

　　李辉补充到，除了上述作用，BCM亦可在诸如人力资源管理等领域获得意外的收获。在整个业务连续性管理体系中，离不开的一个关键核心资源就是“人”。在业务连续性管理体系中，员工是企业最重要的资产之一，业务连续性管理体系将综合分析和评估对员工人身安全产生威胁的事件，并制定各事件项下的应对策略，更好的保护员工的生命安全，也让员工有更强烈的安全感、归属感和忠诚度，更好地为机构服务，服务社会。例如2013年，上海遭遇1999年来最大暴雨，这场暴雨考验的不只是城市排水系统、政府应急机制或是个人的“防水”能力，也可能影响着员工对公司在“人性化程度”上的打分，而公司是否有采取“人性化措施”的机制，往往取决于公司突发事件的应对能力。例如某银行在知悉暴雨预警后就启动了暴雨应急预案，除了做办公场所和营业网点的设备等资源做了必要的灾备措施以外，启用相应的业务恢复策略机制，通过行内OA邮件系统发送关键岗位远程办公及非关键岗位人员休假的通知。 而部分未建立相应BCP（业务连续性计划）机上海宣传画册入口制的银行员工，他们中的很多人次日扔顶风冒雨踏水上班，而甚至有些员工到达公司后才被告知可以停工休息。两相比较，员工的归属感必然高低立显。

　　从长远来看，业务连续性管理的价值并非仅仅是企业应对灾难、提高生存能力的工具，在许多发达国家，业务连续性管理已成为改善经营管理、承担社会责任的基本准则，是机构提高风险预测和快速应对能力，适应需求变化和威胁，保持竞争优势的重要基础。

　　最后，李辉用一组数据来说明各行业对于BCM的价值认同。根据CMI组织近年对英国国内全行业的BCM开展情况的调查，发现：已有85%的银行业、保险业机构采用了业务连续性管理（BCM）理念管理企业运营中断风险。其主要驱动力为企业内部管理需要，外部监管及法律法规要求，以及审计需要。其中69%的企业采用了业务影响分析（BIA）作为BCM的基础，81%的受访经理表示业务连续性管理以及BCP的建立对其企业的稳定运营有极大的帮助运营，且BCM在中断事件时发挥的减损效益大于其实施成本。