论文部分内容阅读
摘要：《业务连续性的高级原则》对于金融业开展新冠肺炎疫情防控具有较大 的指导意义和参考价值。要使应对流行病暴发成为金融机构风险管理的有机组成部分，发挥 业务连续性管理对于提高金融行业危机应对能力和业务恢复能力的作用，为有序复工复 产提供坚强后盾。
关键词：业务连续性管理 高级原则 危机应对能力
基于重大疫情的业务连续性管理（BCM）高级原则
2005年，巴塞尔银行监管委员会（BCBS）、国际证监会组织（IOSCO）和国际保险监督官协会（IAIS）联合发布了《业务连续性的高级原则》（以下简称“高级原则”）。2006年，国际货币基金组织（IMF）在此基础上发布了《禽流感大流行对全球经济金融的影响以及IMF的作用》。上述两个文件将适合各行业的通用政策、标准和程序，聚焦到金融行业应对重大疫情（禽流感）上，对于当前新冠肺炎疫情防控具有较大的指导意义和参考价值。
（一）原则一：董事会和高级管理层的职责
原则一要求，金融管理部门和金融机构（以下简称“相关主体”）应采取有效和全面的措施进行业务连续性管理，并由董事会和高级管理层承担最终落实责任。
1.业务连续性管理应成为全面风险管理的组成部分
相关主体应制定业务连续性管理策略、标准和流程，并将其嵌入关键操作中。业务连续性管理不仅涉及技术层面，还涉及人员层面。要认识到员工及其家人都会受到疫情影响，员工安全是业务连续性管理的首要考虑因素。
2.人事与团队
相关主体应建立高级危机管理团队，向董事会和高级管理层报告与业务连续性管理有关的事项，包括业务连续性管理的执行情况、事件报告、测试结果和行动计划，以提升相关主体的应变能力或业务恢复能力。高级危机管理团队的工作组应定期（每月一次或更多次）向高层管理小组报告。相关主体可以考虑聘请危机管理和卫生保健方面的外部专家、顾问来指导工作。
3.其他与顶层设计有关的事项
第一，确定可靠的信息来源，指定负责监测关键信息来源的部门，掌握准确的信息对于决策至关重要。第二，将市场风险分析纳入战略规划和准备工作之中。进行业务连续性管理通常需要关注业务中断后恢复的速度，而较少进行市场风险分析。第三，确定相关主体的准备工作应达到何种水平。通过成本效益分析来衡量相关主体各部门的盈利能力及所需开展的投资，根据疫情变化情况确定优先次序。
（二）原则二：重要业务运营中断
原则二要求相关主体应将主要业务中断的风险纳入业务连续性管理，并制订应对方案。原则二旨在解决疫情期间基础设施中断以及人员缺勤情况下的日常管理问题。这些措施包括流动性管理、维护支付系统运行、管理金融市场和交易对手风险敞口、保持自助取款机（ATM）正常运行等。
1.针对疫情的不同阶段设计应对措施
第一阶段：没有出现人传人。储存重要用品，在关键领域设立工作团队以便进行详细规划、协调和测试，应确保这项工作的筹备费用已列入常規预算。
第二阶段：确定出现人传人。应尽可能转移到其他安全地点开展业务活动，工作人员也应从该地区撤离，但采取该措施的成本较高。
第三阶段：在母公司所在国出现个别疫情。筹备工作应加快推进，工作人员开始分散，即便付出高昂的成本，也必须执行这些措施。
第四阶段：疫情影响关键生产区域或关键设施。该机构的所有计划都必须得到执行。
第五阶段：在业务恢复期，员工复工，企业复产，需继续监测疫情的控制情况，总结相关教训。
2.确定核心活动或最低基本服务
相关主体可以确定其在每个阶段停止提供服务或缩减活动的范围，且根据疫情进展情况随时进行调整。此外，应确定为这些关键服务提供支持的关键员工和用品。
3.创建关键员工的“双团队”
将关键员工分成两个部门，在不同地点开展业务，培训相关业务辅助人员（包括外包商和退休人员）。制订人员配置计划，确定必须在办公室完成的工作和可以在家完成的工作。根据可能的缺勤率制定工作流程。
4.集中办公及交通
相关主体应设立远程设施和备份设施（包括交易室和财务部门）以满足必要的集中办公需要。如果上述设施位于人口密集地区，则应采取措施保护现场免受疫情影响。如果员工被转移到远程设施办公，应确定他们是否需要往返于家和办公场所之间。确定员工何时会被疏散，以及家属是否会一同搬走。相关主体应定期对人员或远程设施、设备和程序进行测试。
5.扩大网络使用，确保安全的距离
保证网络安全，提前考虑因使用不同地点的设备可能带来的安全问题;检查网络带宽对大规模线上作业的承载能力;确定是否有足够的员工拥有远程计算能力，包括访问关键程序、所需数据和端口;通过两班倒或三班倒的方式来减轻服务器的压力。
6.合规
应明确员工访问关键程序、数据、端口是否已得到授权;研究远程计算监控技术，确保内部控制质量，必要时可以与监管机构讨论对审慎监管规则进行修改，以确保在家工作符合要求（如进行交易报告等）。
7.业务模式受到冲击时的应对
在可能发生运输中断的情况下，确定和维护关键物资的库存。鉴于时间和储存成本的不确定性，应考虑在关键服务提供商不可用时如何应对上述问题。在此情况下，客户对现金的需求可能会急剧增加，金融机构应储备现金，确定向分支机构和ATM提供现金的方式。如果业务发生转移或范围出现缩减，应明确如何通知客户以及如何在远程办公地点为客户提供服务。应针对支付系统故障或中央银行无法提供关键服务的情况制订应急方案。
（三）原则三：恢复目标
原则三要求相关金融业参与者（如金融基础设施）制定恢复目标，以反映它们对金融系统运作（承担或者可能造成）的风险。这些恢复性目标可与金融管理部门协商或由金融管理部门制定。为金融系统提供关键服务的市场参与者（如为大额支付系统和证券结算体系提供服务的机构）在发生重大业务中断时，有更大的义务确保金融系统的运行弹性。金融管理部门应对这些参与者制定与其风险承担能力相一致的恢复目标。 1.恢复目标的设定
金融基础设施等关键参与者应设定最高的恢复目标，其他参与者可确定不太短的恢复时间。强烈建议金融管理部门考虑失败交易、流动性混乱、偿付能力问题和信心丧失等风险来评估恢复目标的合理性。
2.恢复水平和恢复时间
在确定恢复目标时，还应该确定实现这些目标的衡量标准，包括恢复水平和恢复时间。虽然这些目标并不是在任何情况下都能实现，但为金融业参与者提供了测试其业务连续性管理有效性的基准。
3.金融基础设施（支付系统和证券结算系统）的特别要求
相关主体应确保支付系统和证券结算系统具有迅速和有效的恢复能力。应确定在缺勤率上升的情况下，为保证继续提供付款和结算服务所需的最低限度的关键活动和最低数量的工作人员。确定可以通过远程方式开展的活动，且需要在便携式终端和通信技术方面做好准备，确保通信安全，在安全协议的范围内考虑访问数据以及远程使用专有软件。
（四）原则四：沟通
原则四要求相关主体应明确在发生重大业务中断时的内外部沟通程序。原则四强调，在重大业务中断期间，有必要进行清晰、定期的沟通，以管理危机并维持公众信心。
1.建立沟通团队
沟通团队可能包括高级管理人员、公共事务人员、法律和合规顾问，以及负责实施业务连续性管理的人员。这个团队应该能够与位于独立地点、分散在多个地点或远离主要业务地点的人员进行沟通。
2.确定沟通方式
确定能够充分沟通的方式，包括手机、卫星电话、固定电话和个人电子邮件。确定并及时更新与员工、供应商和客户沟通的平台和备份系统，以便及时进行联系。
3.沟通事项
通知员工有关机构的基本业务守则，如何实施计划，如何监督准备工作的开展，以及制定与交易对手（客户）、监管机构沟通的政策。应建立并保持联系名单。为了确保最小程度的业务中断，交易对手应该能够获得关于机构将要提供什么服务、在什么条件下提供这些服务以及这些安排是否有变化的信息。明确供应商以及供应中断时的应对策略。
4.制订员工教育计划
提醒员工洗手的重要性，培养健康的饮食习惯，注重体育锻炼。处于高危状况的员工需要得到特别照顾。强烈建议员工在感到不适时不要去上班。相关主体应为员工提供宽松的休假政策和非惩罚性的病假政策。
（五）原则五：跨境沟通
原则五要求在发生跨境重大业务中断时，相关主体应与其他司法管辖区的金融管理部门进行沟通。由于全球金融市场的相互依赖程度不断加深，重大业务中断的影响越来越有可能带来额外的复杂性，相关主体可提前签署协议。
金融管理部门应在其业务连续性计划中纳入协议，以便在发生影响（或可能影响）国际金融系统运行的重大业务中断时，与其他司法管辖区的金融管理部门进行沟通。这包括一套原则和程序，可在金融管理部门之间共享信息、意见和评估情况，以及制订应急计划，开展压力测试和模擬演习。这些协议应该建立在现有的跨境关系和多司法管辖协议的基础上，明确联系人且定期更新。
鼓励金融管理部门之间定期讨论可能造成重大跨境影响的事件，包括各自市场中断的影响及其传染效应，主要市场的紧急关闭或暂停，变更交易时间或者清算结算周期，以及任何可能被延长的监管期限，等等。
（六）原则六：测试
原则六要求相关主体测试其业务连续性计划，评估其有效性，并适时更新。这种测试应该定期进行，其范围和频率取决于业务功能的关键程度、机构在市场中的功能、外部环境的重大变化等。应聘请独立机构，例如内部或外部审核机构，评估机构测试计划的成效，检视测试结果，并向高级管理层及董事会报告。
金融管理部门应鼓励金融行业参与者在其备选地点与相关的关键市场参与者（如支付系统、证券结算系统等基础设施）进行测试，评估市场弹性水平和个体参与者业务恢复的兼容性。
（七）原则七：金融管理部门对业务连续性管理进行审查
原则七要求金融管理部门对业务连续性管理进行审查和评估，确保其能够反映原则一和原则三所确定的恢复目标。中央银行和监管机构在危机管理和规划中发挥着重要作用，应将业务连续性管理审查纳入其对金融业参与者的评估框架，审查的范围和频率取决于监管要求，使疫情对支付、结算业务和其他金融市场的干扰最小化。
基于重大疫情的业务连续性管理方法一一检查清单法
基于重大疫情的业务连续性规划要把员工安全放在首位，明确关键人员的补充策略，在高缺勤率条件下保证关键业务正常运转，尽量减少员工之间、员工与客户的接触，对制订业务连续性计划加强培训和演练。疫情与地震、火灾、恐怖袭击等灾难有很大的差别。第一，后者导致的破坏集中在硬件设备和设施上，因而重点关注场所、数据和设备的恢复方案;前者会导致人力资源的不断损耗，应定位在人力资源的补充与储备方面。第二，后者专注于针对一个短暂的事件来恢复基础设施和关键功能，而对于前者，则很难预计其持续的时间和覆盖的范围，因此要细分场景，做好打持久战的准备。第三，后者针对灾难发生地，前者可能蔓延至整个地区，并发展成为全球性的灾难，等等。在实践中，检查清单方法非常实用。例如，日本央行发布了《有效的业务连续性管理：检查表和指导实践》（2008）。以下参考美国国土安全部《大流感中核心基础设施和关键资源的准备、响应和恢复指南》（2006），以疫情暴发前的规划阶段为例，针对几个重点步骤予以示例。
第一，确定核心活动或最低基本服务（见表1）。
第二，确定人员补充计划（见表2）。
第三，确定员工支持和保护（见表3）。
总结
在当前全球新冠肺炎疫情蔓延的严峻形势下，将重大疫情纳入全面的业务连续性管理是题中应有之义，具有重要性和紧迫性。疫情越是吃紧，就越需要金融行业发挥积极的作用。要使应对流行病暴发成为金融机构风险管理的有机组成部分，发挥业务连续性管理在提高金融行业危机应对能力和业务恢复能力中的作用，为有序复工复产提供坚强后盾。
责任编辑：印颖 鹿宁宁
关键词：业务连续性管理 高级原则 危机应对能力
基于重大疫情的业务连续性管理（BCM）高级原则
2005年，巴塞尔银行监管委员会（BCBS）、国际证监会组织（IOSCO）和国际保险监督官协会（IAIS）联合发布了《业务连续性的高级原则》（以下简称“高级原则”）。2006年，国际货币基金组织（IMF）在此基础上发布了《禽流感大流行对全球经济金融的影响以及IMF的作用》。上述两个文件将适合各行业的通用政策、标准和程序，聚焦到金融行业应对重大疫情（禽流感）上，对于当前新冠肺炎疫情防控具有较大的指导意义和参考价值。
（一）原则一：董事会和高级管理层的职责
原则一要求，金融管理部门和金融机构（以下简称“相关主体”）应采取有效和全面的措施进行业务连续性管理，并由董事会和高级管理层承担最终落实责任。
1.业务连续性管理应成为全面风险管理的组成部分
相关主体应制定业务连续性管理策略、标准和流程，并将其嵌入关键操作中。业务连续性管理不仅涉及技术层面，还涉及人员层面。要认识到员工及其家人都会受到疫情影响，员工安全是业务连续性管理的首要考虑因素。
2.人事与团队
相关主体应建立高级危机管理团队，向董事会和高级管理层报告与业务连续性管理有关的事项，包括业务连续性管理的执行情况、事件报告、测试结果和行动计划，以提升相关主体的应变能力或业务恢复能力。高级危机管理团队的工作组应定期（每月一次或更多次）向高层管理小组报告。相关主体可以考虑聘请危机管理和卫生保健方面的外部专家、顾问来指导工作。
3.其他与顶层设计有关的事项
第一，确定可靠的信息来源，指定负责监测关键信息来源的部门，掌握准确的信息对于决策至关重要。第二，将市场风险分析纳入战略规划和准备工作之中。进行业务连续性管理通常需要关注业务中断后恢复的速度，而较少进行市场风险分析。第三，确定相关主体的准备工作应达到何种水平。通过成本效益分析来衡量相关主体各部门的盈利能力及所需开展的投资，根据疫情变化情况确定优先次序。
（二）原则二：重要业务运营中断
原则二要求相关主体应将主要业务中断的风险纳入业务连续性管理，并制订应对方案。原则二旨在解决疫情期间基础设施中断以及人员缺勤情况下的日常管理问题。这些措施包括流动性管理、维护支付系统运行、管理金融市场和交易对手风险敞口、保持自助取款机（ATM）正常运行等。
1.针对疫情的不同阶段设计应对措施
第一阶段：没有出现人传人。储存重要用品，在关键领域设立工作团队以便进行详细规划、协调和测试，应确保这项工作的筹备费用已列入常規预算。
第二阶段：确定出现人传人。应尽可能转移到其他安全地点开展业务活动，工作人员也应从该地区撤离，但采取该措施的成本较高。
第三阶段：在母公司所在国出现个别疫情。筹备工作应加快推进，工作人员开始分散，即便付出高昂的成本，也必须执行这些措施。
第四阶段：疫情影响关键生产区域或关键设施。该机构的所有计划都必须得到执行。
第五阶段：在业务恢复期，员工复工，企业复产，需继续监测疫情的控制情况，总结相关教训。
2.确定核心活动或最低基本服务
相关主体可以确定其在每个阶段停止提供服务或缩减活动的范围，且根据疫情进展情况随时进行调整。此外，应确定为这些关键服务提供支持的关键员工和用品。
3.创建关键员工的“双团队”
将关键员工分成两个部门，在不同地点开展业务，培训相关业务辅助人员（包括外包商和退休人员）。制订人员配置计划，确定必须在办公室完成的工作和可以在家完成的工作。根据可能的缺勤率制定工作流程。
4.集中办公及交通
相关主体应设立远程设施和备份设施（包括交易室和财务部门）以满足必要的集中办公需要。如果上述设施位于人口密集地区，则应采取措施保护现场免受疫情影响。如果员工被转移到远程设施办公，应确定他们是否需要往返于家和办公场所之间。确定员工何时会被疏散，以及家属是否会一同搬走。相关主体应定期对人员或远程设施、设备和程序进行测试。
5.扩大网络使用，确保安全的距离
保证网络安全，提前考虑因使用不同地点的设备可能带来的安全问题;检查网络带宽对大规模线上作业的承载能力;确定是否有足够的员工拥有远程计算能力，包括访问关键程序、所需数据和端口;通过两班倒或三班倒的方式来减轻服务器的压力。
6.合规
应明确员工访问关键程序、数据、端口是否已得到授权;研究远程计算监控技术，确保内部控制质量，必要时可以与监管机构讨论对审慎监管规则进行修改，以确保在家工作符合要求（如进行交易报告等）。
7.业务模式受到冲击时的应对
在可能发生运输中断的情况下，确定和维护关键物资的库存。鉴于时间和储存成本的不确定性，应考虑在关键服务提供商不可用时如何应对上述问题。在此情况下，客户对现金的需求可能会急剧增加，金融机构应储备现金，确定向分支机构和ATM提供现金的方式。如果业务发生转移或范围出现缩减，应明确如何通知客户以及如何在远程办公地点为客户提供服务。应针对支付系统故障或中央银行无法提供关键服务的情况制订应急方案。
（三）原则三：恢复目标
原则三要求相关金融业参与者（如金融基础设施）制定恢复目标，以反映它们对金融系统运作（承担或者可能造成）的风险。这些恢复性目标可与金融管理部门协商或由金融管理部门制定。为金融系统提供关键服务的市场参与者（如为大额支付系统和证券结算体系提供服务的机构）在发生重大业务中断时，有更大的义务确保金融系统的运行弹性。金融管理部门应对这些参与者制定与其风险承担能力相一致的恢复目标。 1.恢复目标的设定
金融基础设施等关键参与者应设定最高的恢复目标，其他参与者可确定不太短的恢复时间。强烈建议金融管理部门考虑失败交易、流动性混乱、偿付能力问题和信心丧失等风险来评估恢复目标的合理性。
2.恢复水平和恢复时间
在确定恢复目标时，还应该确定实现这些目标的衡量标准，包括恢复水平和恢复时间。虽然这些目标并不是在任何情况下都能实现，但为金融业参与者提供了测试其业务连续性管理有效性的基准。
3.金融基础设施（支付系统和证券结算系统）的特别要求
相关主体应确保支付系统和证券结算系统具有迅速和有效的恢复能力。应确定在缺勤率上升的情况下，为保证继续提供付款和结算服务所需的最低限度的关键活动和最低数量的工作人员。确定可以通过远程方式开展的活动，且需要在便携式终端和通信技术方面做好准备，确保通信安全，在安全协议的范围内考虑访问数据以及远程使用专有软件。
（四）原则四：沟通
原则四要求相关主体应明确在发生重大业务中断时的内外部沟通程序。原则四强调，在重大业务中断期间，有必要进行清晰、定期的沟通，以管理危机并维持公众信心。
1.建立沟通团队
沟通团队可能包括高级管理人员、公共事务人员、法律和合规顾问，以及负责实施业务连续性管理的人员。这个团队应该能够与位于独立地点、分散在多个地点或远离主要业务地点的人员进行沟通。
2.确定沟通方式
确定能够充分沟通的方式，包括手机、卫星电话、固定电话和个人电子邮件。确定并及时更新与员工、供应商和客户沟通的平台和备份系统，以便及时进行联系。
3.沟通事项
通知员工有关机构的基本业务守则，如何实施计划，如何监督准备工作的开展，以及制定与交易对手（客户）、监管机构沟通的政策。应建立并保持联系名单。为了确保最小程度的业务中断，交易对手应该能够获得关于机构将要提供什么服务、在什么条件下提供这些服务以及这些安排是否有变化的信息。明确供应商以及供应中断时的应对策略。
4.制订员工教育计划
提醒员工洗手的重要性，培养健康的饮食习惯，注重体育锻炼。处于高危状况的员工需要得到特别照顾。强烈建议员工在感到不适时不要去上班。相关主体应为员工提供宽松的休假政策和非惩罚性的病假政策。
（五）原则五：跨境沟通
原则五要求在发生跨境重大业务中断时，相关主体应与其他司法管辖区的金融管理部门进行沟通。由于全球金融市场的相互依赖程度不断加深，重大业务中断的影响越来越有可能带来额外的复杂性，相关主体可提前签署协议。
金融管理部门应在其业务连续性计划中纳入协议，以便在发生影响（或可能影响）国际金融系统运行的重大业务中断时，与其他司法管辖区的金融管理部门进行沟通。这包括一套原则和程序，可在金融管理部门之间共享信息、意见和评估情况，以及制订应急计划，开展压力测试和模擬演习。这些协议应该建立在现有的跨境关系和多司法管辖协议的基础上，明确联系人且定期更新。
鼓励金融管理部门之间定期讨论可能造成重大跨境影响的事件，包括各自市场中断的影响及其传染效应，主要市场的紧急关闭或暂停，变更交易时间或者清算结算周期，以及任何可能被延长的监管期限，等等。
（六）原则六：测试
原则六要求相关主体测试其业务连续性计划，评估其有效性，并适时更新。这种测试应该定期进行，其范围和频率取决于业务功能的关键程度、机构在市场中的功能、外部环境的重大变化等。应聘请独立机构，例如内部或外部审核机构，评估机构测试计划的成效，检视测试结果，并向高级管理层及董事会报告。
金融管理部门应鼓励金融行业参与者在其备选地点与相关的关键市场参与者（如支付系统、证券结算系统等基础设施）进行测试，评估市场弹性水平和个体参与者业务恢复的兼容性。
（七）原则七：金融管理部门对业务连续性管理进行审查
原则七要求金融管理部门对业务连续性管理进行审查和评估，确保其能够反映原则一和原则三所确定的恢复目标。中央银行和监管机构在危机管理和规划中发挥着重要作用，应将业务连续性管理审查纳入其对金融业参与者的评估框架，审查的范围和频率取决于监管要求，使疫情对支付、结算业务和其他金融市场的干扰最小化。
基于重大疫情的业务连续性管理方法一一检查清单法
基于重大疫情的业务连续性规划要把员工安全放在首位，明确关键人员的补充策略，在高缺勤率条件下保证关键业务正常运转，尽量减少员工之间、员工与客户的接触，对制订业务连续性计划加强培训和演练。疫情与地震、火灾、恐怖袭击等灾难有很大的差别。第一，后者导致的破坏集中在硬件设备和设施上，因而重点关注场所、数据和设备的恢复方案;前者会导致人力资源的不断损耗，应定位在人力资源的补充与储备方面。第二，后者专注于针对一个短暂的事件来恢复基础设施和关键功能，而对于前者，则很难预计其持续的时间和覆盖的范围，因此要细分场景，做好打持久战的准备。第三，后者针对灾难发生地，前者可能蔓延至整个地区，并发展成为全球性的灾难，等等。在实践中，检查清单方法非常实用。例如，日本央行发布了《有效的业务连续性管理：检查表和指导实践》（2008）。以下参考美国国土安全部《大流感中核心基础设施和关键资源的准备、响应和恢复指南》（2006），以疫情暴发前的规划阶段为例，针对几个重点步骤予以示例。
第一，确定核心活动或最低基本服务（见表1）。
第二，确定人员补充计划（见表2）。
第三，确定员工支持和保护（见表3）。
总结
在当前全球新冠肺炎疫情蔓延的严峻形势下，将重大疫情纳入全面的业务连续性管理是题中应有之义，具有重要性和紧迫性。疫情越是吃紧，就越需要金融行业发挥积极的作用。要使应对流行病暴发成为金融机构风险管理的有机组成部分，发挥业务连续性管理在提高金融行业危机应对能力和业务恢复能力中的作用，为有序复工复产提供坚强后盾。
责任编辑：印颖 鹿宁宁