業(yè)務管理及監(jiān)管控制自我評估模板

1、目 錄風險點子風險點風險控制要求1.高層監(jiān)督和治理1.1高級管理層監(jiān)督力度不足 1.1.1. 制定策略、流程和職責1.1.2. 業(yè)務連續(xù)性規(guī)劃的組織1.1.3. 監(jiān)測和報告機制1.1.4. 獨立評估機制1.1.5. 管理層簽報機制2. 業(yè)務規(guī)劃與開發(fā)2.1.業(yè)務連續(xù)性規(guī)劃覆蓋范圍不足2.1.1. 規(guī)劃的基本原則2.2.無效的業(yè)務影響分析2.2.1. 重要部門設置2.2.2. 恢復計劃的時間進度表2.3. 不完善的業(yè)務恢復機制2.3.1. 業(yè)務恢復機制2.3.2.業(yè)務連續(xù)性規(guī)劃最低要求2.4. 不適當的恢復組織機構設置2.4.1. 危機管理小組2.4.2. 危機管理指揮中心2.4.3. 業(yè)務重置

2、和工作小組2.5.缺乏必要的文檔記錄管理2.5.1. 危機管理流程設置2.5.2. 業(yè)務重置2.5.3. 突發(fā)事件應急處理聯(lián)絡和恢復項目列表2.5.4. 技術恢復方案2.6無效的數據信息恢復2.6.1.重要信息的定義2.6.2. 重要信息記錄管理2.6.3. 聯(lián)絡溝通機制2.7.風險化解和轉移措施不足2.7.1. 其他風險化解和轉移措施3. 備份中心3.1. 備份中心的設置缺陷3.1.1. 業(yè)務重置備份中心的建設3.1.2. 備份中心的啟動就緒要求3.1.3. 技術恢復備份中心的建設3.1.4. 電信網絡連接備份3.1.5. 外包備份中心的管理3.1.6. 互惠的業(yè)務恢復協(xié)議4. 測試與維護4

3、.1. 測試能力不足4.1.1. 業(yè)務連續(xù)性規(guī)劃的測試頻度4.1.2. 業(yè)務連續(xù)性規(guī)劃的測試范圍4.1.3. 測試文檔管理4.1.4. 業(yè)務連續(xù)性規(guī)劃測試的后評價4.2. 缺乏定期維護工作4.2.1. 變更管理4.2.2. 業(yè)務連續(xù)性規(guī)劃文檔的存取管理4.2.3. 外部服務提供商管理風險點1.高層監(jiān)督和治理被監(jiān)管機構的業(yè)務連續(xù)性規(guī)劃缺乏高級管理層監(jiān)督和支持，包括監(jiān)管、監(jiān)測、獨立評估和可說明性子風險點1.1. 高級管理層監(jiān)督力度不足缺乏可說明性，清晰的指導方向和管理層應承擔的義務.風險控制要求1.1.1. 制定策略、流程和職責高級管理層已建立業(yè)務連續(xù)性規(guī)劃的相關策略、標準和流程，經由董事會討論批

4、準。被監(jiān)管機構的董事會和高級管理層對業(yè)務連續(xù)性規(guī)劃及其實施效果負最終責任。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字彌補性措施最多1000字1.1.2. 業(yè)務連續(xù)性規(guī)劃的組織高級管理層已明確設立部門負責業(yè)務連續(xù)性規(guī)劃的整體流程管理風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多

5、1000字1.1.3. 監(jiān)測與報告機制已制定并實施了正式的業(yè)務連續(xù)性規(guī)劃評估、監(jiān)測和匯報程序。業(yè)務連續(xù)性規(guī)劃負責部門定期向董事會匯報業(yè)務連續(xù)性規(guī)劃的測試情況。任何業(yè)務連續(xù)性規(guī)劃的重要變更均向高級管理層報告。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字1.1.4. 獨立評估機制被監(jiān)管機構的內部審計部門或其他獨立機構，對業(yè)務連續(xù)性規(guī)劃的有效性進行定期評估，并評估業(yè)務連續(xù)性規(guī)劃是否與被監(jiān)管機構的策略和標準相一致。風險詳情風險

6、評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字1.1.5. 管理層簽報機制被監(jiān)管機構的主要負責人向董事會提交正式的年度報告，說明已采用的恢復策略是否有效，已制定的業(yè)務連續(xù)性規(guī)劃是否進行了有效的測試和維護。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字風險點2.

7、 規(guī)劃與開發(fā)因災害或突發(fā)事件導致特定地點營業(yè)停止和服務中斷而引發(fā)的風險。風險將導致財務損失和聲譽受損。子風險點2.1. 業(yè)務連續(xù)性規(guī)劃的覆蓋范圍不足無法處理大規(guī)模或長時間的業(yè)務中斷風險控制要求2.1.1. 規(guī)劃的基本性原則被監(jiān)管機構應充分考慮災害的嚴重程度，包括本機構或交易對手和服務提供商的核心建筑、設備被完全摧毀，失去關鍵人員以及備份設施需要延長使用期限等。被監(jiān)管機構應建立雙層業(yè)務連續(xù)性規(guī)劃，一是針對近期問題，可通過提高硬件設施能力快速解決；二是針對長期戰(zhàn)略性問題，需要制定書面規(guī)劃，并逐步實施。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字

8、整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字子風險點2.2. 無效的業(yè)務影響分析無法確定在災害發(fā)生時哪些重要部門和服務需要被迅速恢復，以及如何恢復風險控制要求2.2.1. 重要部門能夠定期實施業(yè)務影響分析已確定在災害發(fā)生時必須保證持續(xù)有效運行的重要業(yè)務部門和后臺部門。業(yè)務影響分析包括了客戶、銀行人員、聲譽、內部運行以及財務和法律等方面的影響。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已

9、可控說明原因最多255字現有措施最多1000字2.2.2. 恢復計劃的時間進度表根據業(yè)務影響分析，業(yè)務部門和后臺部門可以確定災害過程中銀行對外提供重要服務的最低要求。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字子風險點2.3. 不完善的業(yè)務恢復機制無法按最低要求對外提供重要銀行服務風險控制要求2.3.1. 業(yè)務恢復機制所有業(yè)務和后臺部門已根據業(yè)務恢復時間進度表和對外重要服務最低要求，制定本部門的恢復措施。措施已充分考慮

10、災害狀況下業(yè)務處理量可能超過日常水平。所有部門恢復措施均在業(yè)務連續(xù)性規(guī)劃中有書面體現。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字2.3.2. 業(yè)務連續(xù)性規(guī)劃最低要求所有重要的業(yè)務和后臺部門已制定業(yè)務連續(xù)性規(guī)劃最低要求，以保證基本的業(yè)務和技術服務能力。最低要求在制定業(yè)務連續(xù)性規(guī)劃前已經高級管理層批準。高級管理層應確保所有新業(yè)務在策劃和開發(fā)階段已考慮了業(yè)務連續(xù)性要求。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字

11、說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字子風險點2.4. 不適當的恢復組織機構設置因關鍵人員損失或缺位導致的業(yè)務恢復延誤，或決策延誤。風險控制要求2.4.1. 危機事件管理小組被監(jiān)管機構已建立了危機事件管理小組負責管理各個階段的危機事件。危機事件管理小組成員應包括高級管理層和主要后臺部門負責人（如：基建部門、信息科技部門、辦公室和人力資源部門）風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日

12、期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字2.4.2. 危機事件管理指揮中心被監(jiān)管機構已建立了指揮中心，為危機事件管理小組提供必要的工作場地和設施。指揮中心與被監(jiān)管機構的主要運營地點保持足夠的物理距離，避免同時受到災害影響。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字2.4.3. 業(yè)務重置和工作小組所有相關的業(yè)務和后臺部門（包括信息科技部門）已建立了恢復工作小組（同

13、時可設立分小組負責業(yè)務重新啟動流程），并在所有的重要環(huán)節(jié)指定了替補人員。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字子風險點2.5. 缺乏完善的文檔記錄管理業(yè)務連續(xù)性規(guī)劃的規(guī)定內容與實際的恢復過程不一致，對實施人員沒有提供足夠的操作指引。風險控制要求2.5.1. 危機事件管理流程業(yè)務連續(xù)性規(guī)劃建立了一套危機事件管理流程，以成文形式發(fā)布，輔助高級管理層應對突發(fā)事件，并有效避免風險向整體業(yè)務傳導。管理流程應包括：早期的災害

14、苗頭偵測和對危機事件管理小組的快速通知，影響評估和決策制定，業(yè)務所在地的撤離和疏散，實施業(yè)務連續(xù)性規(guī)劃，采集狀況信息，溝通聯(lián)絡和受損設施的恢復。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字2.5.2. 業(yè)務重置業(yè)務連續(xù)性規(guī)劃包括詳細的操作守則和程序，動員恢復工作小組恢復并延續(xù)重要業(yè)務的運行，并最終實現業(yè)務的正常運轉風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃

15、標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控風險詳情說明原因最多255字最多1000字現有措施風險評級綠/黃/紅/藍2.5.3. 突發(fā)事件應急處理聯(lián)絡和恢復項目列表負責業(yè)務恢復人員及備用人員的聯(lián)系方式，包括下班后的聯(lián)絡信息，并配備至人員手中。制定業(yè)務恢復任務列表并納入業(yè)務連續(xù)性規(guī)劃。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字風險控制要求2.5.4. 技術恢復方案業(yè)務恢復過程中，所有業(yè)務和

16、后臺部門的技術需求在業(yè)務連續(xù)性規(guī)劃中均有詳細說明。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字子風險點2.6. 無效的信息恢復業(yè)務恢復所需了解的情況和信息無法得到滿足，或信息溝通能力不足風險控制要求2.6.1. 定義重要信息業(yè)務連續(xù)性規(guī)劃對災害過程中重要業(yè)務和后臺部門進行業(yè)務恢復時需要的重要信息進行了明確定義，重要信息包括存儲在電子或非電子介質上的信息。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最

17、多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字2.6.2. 重要信息記錄管理對認定的重要信息檔案實行有效備份和異地保管。嚴格控制重要信息檔案的調取，保證其對業(yè)務重啟的可靠性。制定了相關文件，規(guī)定重要信息檔案在遺失、受損和破壞的情況下如何進行恢復和再生，以及按何種次序進行恢復和再生。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施

18、最多1000字2.6.3. 聯(lián)絡溝通機制被監(jiān)管機構與其他重要外部機構建立了正式的聯(lián)絡溝通機制（如：監(jiān)管部門、投資者、客戶、交易對手、商業(yè)合作伙伴、服務提供商、新聞媒體和其他股東等），對內部機構的溝通聯(lián)系機制（如：內部員工、母公司、總部、分支機構等）。業(yè)務連續(xù)性規(guī)劃應明確指定災害期間的對外新聞發(fā)言人，重要外部機構的電話號碼和電子郵件地址應被妥善保存并易于調用。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字子風險點2.7.

19、風險化解和轉移措施不足因保險覆蓋范圍不足導致?lián)p失風險控制要求2.7.1. 其他風險化解和轉移措施被監(jiān)管機構采取其他形式的風險化解和轉移措施，如通過保險降低因災害產生的財務風險。被監(jiān)管機構應在業(yè)務連續(xù)性規(guī)劃中包括補充流動性的措施。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字風險點3. 備份中心業(yè)務連續(xù)性規(guī)劃無法實施子風險點3.1. 備份中心的設置缺陷因備份中心能力不足或功能缺陷導致業(yè)務連續(xù)性規(guī)劃無法實施風險控制要求3.1

20、.1. 業(yè)務重置備份中心的建設用于業(yè)務重置的備份中心應與被監(jiān)管機構的主中心保持足夠的物理距離，以避免同時受到災害影響（如：使用彼此隔離的電信網絡和電力供應）風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字3.1.2. 備份中心的啟動就緒要求備份中心應保證在業(yè)務連續(xù)性規(guī)劃的規(guī)定時間內啟動使用。被監(jiān)管機構已安排了備份中心運行所需的各類后勤保障。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文

21、件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字3.1.3. 技術恢復備份中心的建設技術恢復備份中心（數據備份中心）應配備足夠的技術裝備（工作站、服務器、打印機等）在型號、數量和容量等方面滿足業(yè)務連續(xù)性規(guī)劃的恢復要求。技術恢復備份中心根據規(guī)劃的要求應配備足夠的通信網絡和帶寬設施，以及預裝的網絡線路，以應對預計出現的通話和數據傳輸高峰。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險

22、已可控說明原因最多255字現有措施最多1000字風險控制要求3.1.4. 電信網絡連接備份被監(jiān)管機構已將自己的備份站點與其主要客戶、交易對手和服務提供商的備份站點建立了電子網絡連接，避免因主中心距離較近而同時受到災害影響。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字3.1.5. 外包備份中心的管理合約條款應包括備份中心的使用期限和備份設施、技術支持或有關硬件的服務承諾。在某些情況下。服務提供商應證明其備份中心在災難事件

23、中的自身恢復能力。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字3.1.6. 互惠的業(yè)務恢復協(xié)議任何可行的互惠業(yè)務恢復協(xié)議應經過被監(jiān)管機構充分的風險評估和備案，并正式提交董事會批準風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字風險點4. 測試和維護

24、未審批和過期業(yè)務連續(xù)性規(guī)劃子風險點4.1. 測試能力不足無法查找潛在問題和保證備份中心對業(yè)務的順利恢復風險控制要求4.1.1. 業(yè)務連續(xù)性規(guī)劃測試頻度被監(jiān)管機構至少每年進行一次業(yè)務連續(xù)性規(guī)劃測試風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字4.1.2. 業(yè)務連續(xù)性規(guī)劃測試的范圍業(yè)務連續(xù)性規(guī)劃測試的范圍應全面覆蓋規(guī)劃的主要組成部分，以及與重要外部機構的銜接部分。業(yè)務連續(xù)性規(guī)劃測試已被驗證有效：員工撤離和疏散、通訊聯(lián)系、業(yè)務備份中心和技術備份中心的啟用，外部機構提供的恢復服務，重要檔案的恢復高級管理層實地參與年度測試并了解自己在業(yè)務連續(xù)性規(guī)劃中的職責。負責恢復的人員及其替補人員應參加測試以便熟悉相關職責。風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多225字整改計劃標題最多50字完成日期統(tǒng)一 年月日格式整改計劃內容最多1000字風險已可控說明原因最多255字現有措施最多1000字4.1.3. 測試文檔管理建立正式的測試文檔管理制度（包括測試方案、測試環(huán)境、測試流程和測試結果）風險詳情風險評級綠/黃/紅/藍問題或差距最多1000字說明性資料最多1000字相關文件最多22