文/新浪财经意见领袖专栏作家 鲁政委

　　从金融机构创设发端之初，业务连续性计划的设置便成为金融机构所需要面对的课题。随着历史的进程，金融机构的运作方式也愈发的电子化、自动化，在这一过程中，业务连续性管理的内涵和要求也不断地更新，各金融机构也通过不断在实践之中测试、启用、改进业务连续性管理。

　　2020年1月底以来，新型冠状病毒肺炎疫情对我国的日常生产生活造成了较大影响。不仅全国春节假期统一延长，部分地区还进一步延长了不得复工的日期。然而，正所谓“经济是肌体，金融是血脉”[1]，“肌体”或许可以短暂休息、暂停运动，“血脉”的流动和运转却一刻也不能中断。因此，金融机构和金融基础设施自2月3日以后便开始恢复运转。本次疫情，不仅对正常的经济生活进行了冲击，各类企业也开始思考针对重大自然灾害、疫情等突发事件的应对预案。作为经济的“血脉”，金融体系面对各类突发事件不能终止关键金融服务，因而提前制定业务连续性计划，确保各类情况下金融机构业务能够连续进行成为了金融机构的“必修课”。本文将以美国监管机构对金融机构业务连续性管理要求为基础，解构金融机构业务连续性管理的具体内容、必要性和运用案例。

　　一、金融机构制定业务连续性计划的必要性

　　（一）金融机构业务连续的意义

　　根据国际清算银行（BIS）等监管组织的定义，对于金融机构而言，业务连续性（Business Continuity）指的是业务连续的、不中断的持续运营状态。按照美国联邦金融机构检查委员会（FFIEC）的定义，业务连续性管理（Business Continuity Management）指的是金融机构为保护员工、客户的利益以及产品服务不会中断而进行韧性、连续性、危机响应等相关举措的管理流程。

　　2006年8月，巴塞尔银行监管委员会（Basel Committee on Banking Supervision）及国际证监会组织（IOSCO）等国际监管组织组成的联合论坛（Joint Forum）发表了《业务连续性的高级别原则》（High-Level Principles for Business Continuity，以下简称“《原则》”），首次在国际层面统一对金融机构业务连续性提出了要求。《原则》详细解释了金融机构和金融体系确保业务连续性的重要意义，指出业务连续性是金融行业参与者和金融监管机构一直以来的最高任务（Ongoing Priority）。《原则》认为，确保金融体系在重大突发事件之下仍能保持韧性是金融机构和金融监管机构共同的利益所在，这主要是有以下几个因素所导致的：

　　一是金融体系对经济活动的重要支撑作用。在当前的全球经济模式下，金融中介所提供的服务对于便利和促进经济稳定运行起到了重要的作用，包括支付结算服务、存贷款服务、有效的转账服务和募集资金等投融资服务。

　　二是绝大多数金融体系里清算和结算服务的集中性。如若在突发事件中金融体系的清算和结算服务发生了中断，将可能导致金融体系的重要参与者无法完成资金转移、难以偿付其应偿资金，从而对金融体系产生重大的负面影响。

　　三是境内外金融机构的关联性日益紧密。随着资金和证券交易速度的加快，金融机构之间的相互关联性（Interdependencies）也进一步增强。关联性的增强，使得结算风险、信用风险、流动性风险在金融体系之中扩散的风险加大。因此，即使是单一金融机构业务中断，也有可能导致其他金融机构产生相应风险。更为严重的是，随着金融市场的全球化，单一司法辖区（Jurisdiction）的业务中断可能会导致全球金融市场的传染性影响。

　　四是各类非传统安全风险和突发事件的概率有所提升。随着恐怖袭击等非传统安全因素风险的上升，金融体系基础设施被作为袭击目标的可能性也在上升。与此同时，随着气候变化等因素的影响，各类突发事件频率的提升对于金融体系保持业务连续性也提出了挑战。

　　五是金融体系稳定运转对保持公众信心的作用。如果金融体系经常发生故障或长时间的中断，那么金融消费者对于金融体系乃至更广泛体系的信心也会下降。这将有可能会导致境内外的金融市场参与者从该金融体系中撤出投资的资金。

　　值得注意的是，随着金融体系的复杂性进一步上升，相应的操作风险也有所提升，因此保证金融体系具有一定热韧性以确保业务连续性的难度也进一步增大。例如，随着科技的发展，金融体系对于电脑、自动化、信息系统的依赖程度越来越高，进而对于这些信息系统的第三方提供者物理基础设施（如电力、电信网络）的依赖也愈发严重。与此同时，随着普惠金融惠及面的进一步拓展相比于以往，金融体系关键金融服务业务连续性也面临着比以往更为严重的挑战。

　　（二）金融机构业务连续的目标

　　随着时代的变迁，金融机构所要应对的可能造成业务中断的风险因素时刻在发生着变化。例如，恐怖袭击等非传统安全风险，使得此前单纯应对自然灾害等突发事件的业务连续性计划无法充分应对。由此，金融机构业务连续性的目标也发生了相应的变化。2001年911事件发生之后，美国金融监管机构与金融机构就金融机构业务连续性的管理进行了讨论，形成了《加强美国金融体系韧性的有效实践》（Interagency Paper on Sound Practices to Strengthen the Resilience of the U.S． Financial System，以下简称“《有效实践》”）。《有效实践》指出，根据911事件后金融市场参与者与金融监管机构的讨论，共同认为金融市场业务连续性有三个最为重要的目标：

　　一是当面对大范围业务中断（Wide Scale Disruption）时，关键业务职能（Critical Operations）能够快速恢复并及时重新开始。

　　二是当面对一个或更多重要运营地点无法进入或损失该运营地点的职员后，关键业务职能（Critical Operations）能够快速恢复并及时重新开始。

　　三是通过持续和有效的测试，来确保金融机构内外部业务连续性安排是高置信度有效和合适的。

　　联合论坛（2006）认为，关键业务职能或服务（Critical Operation or Services）指的是：如若某职能或服务的中断，会对其他金融行业参与者、金融监管机构或金融体系相关方业务持续运作（continued operation）产生实质性（material）影响，那么该职能或服务则应被认定为关键业务职能或服务。在不同机构和金融市场环境之下，关键业务职能或服务的范畴也可能有所差异。一般而言，数据中心（Data Center）是绝大多数金融机构中的关键业务职能。除此之外，关键服务往往还包括了大额支付、交易清算和结算以及交易对账等服务。

　　二、金融机构应该如何制定业务连续性计划

　　为了更好地了解发达国家监管机构是如何要求金融机构制定业务连续性计划，我们考察了美国联邦金融机构检查委员会（Federal Financial Institutions Examination Council，FFIEC）[2]最新发布的《业务连续性管理手册》（Business Continuity Management，以下简称“《手册》”）[3]。虽然，FFIEC发布《手册》的主要目的只是为金融监管部门检查各机构业务连续性管理时的重点进行指导，但是通过《手册》的检查重点，可以从侧面了解监管部门对金融机构业务连续性管理的关注点和期望所在。

　　（一）业务连续性管理框架

　　《手册》指出，金融机构的业务连续性管理流程应形成从设定目标、风险分析、构建业务连续性计划、培训与测试直至检测与更新的有机闭环。《手册》将业务连续性的管理分为了10个步骤，具体为：一是管理层对于金融机构整体业务韧性、业务连续性和应急响应能力的监督和执行。二是将业务连续性管理的各个要素与机构战略目标等进行有机结合，使得业务连续性管理的目标、措施符合金融机构的特性和目标。三是通过业务影响分析（Business Impact Analysis）来确定关键业务职能（Critical Functions），分析与其他机构和企业的关联性，并评估影响。四是通过风险评估来识别确定风险、评估不同风险造成的业务中断的可能性和潜在影响。五是构建有效的业务连续性策略（Business Continuity Strategy）来确保业务韧性和恢复目标的实现。六是在前期分析和研判的基础上，基于业务连续性策略形成完备的业务连续性计划（Business Continuity Plan），其中包括事件响应（Incident Response）、灾害恢复（Disaster Recovery）以及危机管理（Crisis/Emergency Management）等组成部分。七是针对员工和其他利益相关方进行业务连续性的培训。八是通过演练和测试确保业务连续性相关流程能够有效支持此前建立的目标。九是对业务连续性策略、计划等进行整体的审查和更新，以此来反映最新的业务和市场情况。十是监测并同时向管理层汇报业务连续性管理的整体情况。