第二节 应急处臵组织架构
第十八条 商业银行应当建立运营中断事件应急处臵的组织架构，包括应急决策层、应急指挥层、应急执行层和应急保障层。
第十九条 应急决策层由商业银行高级管理人员组成，负责决定应急处臵重大事宜，包括：决定运营中断事件通报、对外报告和公告；批准启动总体应急预案等。
第二十条 应急指挥层由商业银行的业务连续性管理主管部门、执行部门和保障部门负责人组成，负责运营中断事件处臵应急指挥和组织协调，督导应急处臵实施。 第二十一条 应急执行层由商业银行业务连续性管理执行部门组成，负责业务条线与信息技术应急处臵工作。 第二十二条 应急保障层由商业银行业务连续性管理保障部门组成，负责应急处臵所需人力、物力和财力等资源的保障，应急处臵对外报告、宣告、通报和沟通与协调，以及对外媒体公关、秩序维护、安全保障、法律咨询和人员安抚等相关工作。
第三章 业务影响分析
第二十三条 商业银行应当通过业务影响分析识别和评估业务运营中断所造成的影响和损失，明确业务连续性管
理重点，根据业务重要程度实现差异化管理，确定各业务恢复优先顺序和恢复指标。商业银行应当至少每三年开展一次全面业务影响分析，并形成业务影响分析报告。
第二十四条 商业银行应当识别重要业务，明确重要业务归口管理部门、所需关键资源及对应的信息系统，识别重要业务的相互依赖关系，分析、评估各项重要业务在运营中断事件发生时可能造成的经济损失和非经济损失。 第二十五条 商业银行应当综合分析重要业务运营中断可能产生的损失与业务恢复成本，结合业务服务时效性、服务周期等运行特点，确定重要业务恢复时间目标(业务RTO)、业务恢复点目标(业务RPO)，原则上，重要业务恢复时间目标不得大于4小时，重要业务恢复点目标不得大于半小时。
第二十六条 商业银行应当明确业务重要程度和恢复优先级别，并识别重要业务恢复所需的必要资源。 第二十七条 商业银行应当通过分析业务与信息系统的对应关系、信息系统之间的依赖关系，根据业务恢复时间目标、业务恢复点目标、业务应急响应时间、业务恢复的验证时间，确定信息系统恢复时间目标(信息系统RTO)、信息系统恢复点目标(信息系统RPO)，明确信息系统重要程度和恢复优先级别，并识别信息系统恢复所需的必要资源。 第二十八条 商业银行应当开展业务连续性风险评估，识别业务连续运营所需的关键资源，分析资源所面临的各类威胁以及资源自身的脆弱性，确定资源的风险敞口。关键资
源应当包括关键信息系统及其运行环境，关键的人员、业务场地、业务办公设备、业务单据以及供应商等。
第二十九条 商业银行应当根据风险敞口制定降低、缓释、转移等应对策略。依据防范或控制风险的可行性和残余风险的可接受程度，确定风险防范和控制的原则与措施。 第三十条 商业银行应当根据业务影响分析结果，依据业务恢复指标，制定差别化的业务恢复策略，主要包括关键资源恢复、业务替代手段、数据追补和恢复优先级别等。 第三十一条 商业银行应当依据业务恢复策略，确定灾难恢复资源获取方式和灾难恢复等级。
第四章 业务连续性计划与资源建设
第一节 业务连续性计划
第三十二条 商业银行应当依据业务恢复目标，制定覆盖所有重要业务的业务连续性计划。
第三十三条 业务连续性计划的主要内容应当包括： (一)重要业务及关联关系、业务恢复优先次序； (二)重要业务运营所需关键资源； (三)应急指挥和危机通讯程序；
(四)各类预案以及预案维护、管理要求； (五)残余风险。
第三十四条 商业银行应当制定总体应急预案。总体应
急预案是商业银行应对运营中断事件的总体方案，包括总体组织架构、各层级预案的定位和衔接关系及对运营中断事件的预警、报告、分析、决策、处理、恢复等处臵程序。总体预案通常用于处臵导致大范围业务运营中断的事件。 第三十五条 商业银行应当制定重要业务专项应急预案，专项应急预案应当注重灾难场景的设计，明确在不同场景下的应急流程和措施。业务条线的专项应急预案，应当注重调动内部资源、采取业务应急手段尽快恢复业务，并和信息科技部门、保障部门的应急预案有效衔接。
第三十六条 专项应急预案的主要内容应当包括： (一)应急组织架构及各部门、人员在预案中的角色、权限、职责分工；
(二)信息传递路径和方式；
(三)运营中断事件处臵程序，包括预警、报告、决策、指挥、响应、回退等；
(四)运营中断事件处臵过程中的风险控制措施； (五)运营中断事件的危机处理机制；
(六)运营中断事件的内部沟通机制和联系方式； (七)运营中断事件的外部沟通机制和联系方式； (八)应急完成后的还原机制。
第三十七条 商业银行应当要求重要业务及信息系统的外部供应商建立业务连续性计划，证明其业务连续性计划的有效性，其业务恢复目标应当满足商业银行要求。 第三十八条 商业银行应当注重与金融同业单位、外部
金融市场、金融服务平台和公共事业部门等业务连续性计划的有效衔接；同时，应当积极采取风险缓释及转移措施，有效控制由于外部机构业务连续性管理不充分可能产生的风险。
第二节 业务连续性资源建设
第三十九条 商业银行应当开展业务连续性计划所需的资源建设，满足业务恢复目标和重要业务持续运营的要求。
第四十条 商业银行应当重点加强信息系统关键资源的建设，实现信息系统的高可用性，保障信息系统的持续运行并减少信息系统中断后的恢复时间。
第四十一条 商业银行应当设立统一的运营中断事件指挥中心场所，用于应急决策、指挥与联络，指挥场所应当配臵办公与通讯设备以及指挥执行文档、联系资料等。 第四十二条 商业银行应当建立符合业务连续性管理要求的备用资源，如备用业务和办公场所资源、备用信息系统运行场所资源、备用信息技术资源、备用人力资源等，以及电力、通讯、消防、安保等资源。
第四十三条 商业银行选择备用场地时，应当确保不会同时遭受同类型风险；应当综合分析备用场地所在地的自然环境、地区配套设施、区域经济环境、交通条件、政策环境和成本等各方面因素，以及灾难恢复所需的金融服务、通讯、