性计划演练。在重大业务活动、重大社会活动等关键时点，或在关键资源发生重大变化之前，也应当开展业务连续性计划的专项演练。 第五十条 商业银行应当加强业务应急预案的演练，重点加强业务和信息科技部门的协调、配合；应当注重以真实业务接管为目标，确保灾备系统能够有效接管生产系统并具备安全回切能力。
第五十一条 商业银行应当将外部供应商纳入演练范围并定期开展演练；同时，应当积极参加金融同业单位、外部金融市场、金融服务平台和公共事业部门等组织的业务连续性计划演练，确保应急和协调措施的有效性。
第五十二条 商业银行应当对业务连续性计划的演练过程进行完整记录，及时总结、评估和改进。
第二节 业务连续性管理评估与改进
第五十三条 商业银行应当建立业务连续性管理体系持续改进机制。 第五十四条 商业银行应当至少每年对业务连续性管理体系的完整性、合理性、有效性组织一次自评估，或者委托第三方机构进行评估，并向高级管理层提交评估报告。
第五十五条 商业银行应当每年对业务连续性管理文档进行修订，内容应当包含重要业务调整、制度调整、岗位职责与人员调整等，确保文档的真实性、有效性。
第五十六条 商业银行在开发新业务产品时，应当同步考虑是否将其纳入业务连续性管理范畴。对纳入业务连续性管理的，应当在上线前制定业务连续性计划并实施演练。
第五十七条 在业务功能或关键资源发生重大变更时，商业银行应当及时对业务连续性计划进行修订。
第五十八条 商业银行应当每年对本行业务连续性管理进行审计，每三年至少开展一次全面审计，发生大范围业务运营中断事件后应当及时开展专项审计。 第五十九条 商业银行业务连续性管理审计的内容应当包括：业务影响分析、风险评估、恢复策略及恢复目标的合理性和完整性；业务连续性计划的完整性和可操作性；业务连续性计划演练过程及报告的真实性和有效性；业务连续性管理相关部门及人员的履职情况等。
第六章 运营中断事件应急处臵
第一节 监测、预警与报告
第六十条 商业银行应当建立运营中断事件的风险预警体系，设定风险预警指标，并纳入全行风险预警体系中。
第六十一条 商业银行应当建立业务运营的监测体系及监控机制，对信息系统运行环境进行日常监测，采取自动化措施重点加强对业务运行情况的监控。 第六十二条 商业银行应当建立关键时点的监测与预警机制，在重大业务和社会活动等关键时点，或在业务功能、关键资源发生重大变更时，加强风险监控和预警。业务条线部门与信息科技部门等相关部门之间应当相互通报信息、提示风险，协同做好应急准备。
第六十三条 发生运营中断事件后，商业银行应当及时进行沟通和报告，包括：按照报告路线在内部各部门及人员之间的报告，与业务运营的外包方、业务合作方之间的沟通、以及按照银监会有关报告要求，向银监会或其派出机构的报告等。
第二节 运营中断事件处臵
第六十四条 商业银行应当制定运营中断事件等级划分标准，根据事件影响范围、持续时间和损失程度定义事件等级，开展应急响应处臵工作。
第六十五条 运营中断事件应急处臵应当遵循“统一指挥、分类管理、分级处臵、快速响应”的原则，在全行统一指挥下高效、有序应对；应当根据事件等级实施差别化处臵，必要时可以越级汇报、紧急授权，保障信息传递和决策的及时性，将影响或损失最小化。
第六十六条 商业银行应当及时、有效地响应运营中断事件，对事件影响进行评估，确定事件等级，及时启动应急预案，确保业务快速恢复，防止事态升级或恶化。
第六十七条 商业银行在实施应急处臵时，应当采取以下措施：
(一)加强运营中断事件处臵中的对外沟通，开展告知、解释与安抚工作，最大程度降低负面影响；
(二)对重要业务可以通过减少服务功能、缩小服务范围、利用替代系统、手工记账、利用他行支付渠道等多种手段进行业务应急处臵；
(三)采用程序化和标准化的手段，提高信息技术应急处臵的效率和质量。 第六十八条 商业银行应当为应急处臵做好场地、交通、通讯、资金等后勤保障工作。
第六十九条 商业银行应当对运营中断事件应急处臵过程进行完整记录。
第三节 灾难恢复
第七十条 对于导致或可能导致大范围业务运营中断的事件，商业银行应当迅速决策，确定是否实施灾难备份切换。
第七十一条 商业银行应当事先对备份资源进行技术验证，确保其可用性；在实施灾难备份切换时，信息科技部门应当向业务条线部门告知可能出现的数据损失情况，并对备份系统的运行情况实施监控，预警并防止出现二次中断风险。 第七十二条 商业银行在灾难备份切换、回切时，业务条线部门应当对中断时的重要业务数据进行核对，并在信息科技部门配合下，对丢失的数据进行追补；同时，应当进行测试和验证，确保交易的可靠性。
第四节 危机处理
第七十三条 商业银行应当建立危机处理机制，从维护客户关系、履行告知义务、维护客户合法权益出发，运用公共关系策略、方法，加强与客户、媒体的沟通，适时向公众发布信息，消除或降低危机所造成的负面影响。
第七十四条 商业银行应当指定专门部门负责危机处理工作，加强舆情监测、信息沟通和发布。
第七十五条 商业银行应当制定针对社会公众、媒体、股东、客户等相关各方的预案，在运营中断事件发生时及时、准确披露信息，防止因信息不对称可能产生的负面影响。
第七十六条 商业银行应当实时关注舆情信息，及时澄清虚假信息或不完整信息，消除社会疑虑，化解纠纷。
第七章 监管和处臵
第一节 监管处臵
第七十七条 银监会及其派出机构建立运营中断事件处臵领导小组和工作小组。
(一)领导小组主要职责为：
1．领导和指挥银行业运营中断事件处臵工作； 2．审批银行业运营中断事件处臵预案；
3．最终认定银行业运营中断事件等级，决定是否启动处臵预案； 4．对银行业运营中断事件重大处臵措施进行决策； 5．协调跨行业、跨部门共同开展的处臵工作重大事项； 6．对银行业运营中断事件处臵的对外信息发布进行决策。 (二)工作小组主要职责为：
1．制定银行业运营中断事件处臵预案；
2．对银行业金融机构运营中断事件进行监管处臵；
3．向处臵领导小组报告运营中断事件、重大处臵事项及事件进展情况； 4．依授权对外发布信息；
5．协调跨行业、跨部门资源。
第七十八条 银监会建立银行业信息科技风险预警体系，对可能导致银行业发生较大运营中断事件的风险进行分析和评估，进行风险提示和预警。 第七十九条 银监会及其派出机构对银行业运营中断事件进行分级。当运营中断事件同时满足多个级别的定级条件时，按最高级别确定事件等级。 (一)特别重大运营中断事件(Ⅰ级)
1．银行业金融机构重要信息系统服务中断，或重要数据损毁、丢失、泄露，造成经济秩序混乱或重大经济损失、影响金融稳定，或对公众利益、社会秩序、国家安全造成特别严重损害的事件；
2．在业务服务时段导致一个(含)以上省(自治区、直辖市)的多家金融机构业务无法正常开展达3个小时(含)以上的事件；
3．在业务服务时段导致单家金融机构两个(含)以上省(自治区、直辖市)业务无法正常开展达3个小时(含)以上，或一个省(自治区、直辖市)业务无法正常开展达6个小时(含)以上的事件；
4．业务服务时段以外，故障或事件救治未果、可能产生上述1至3类事件的事件。
(二)重大运营中断事件(Ⅱ级)
1．银行业金融机构重要信息系统服务中断，或重要数据损毁、丢失、泄露，对银行或客户利益造成严重损害的事件；
2．在业务服务时段导致一个(含)以上省(自治区、直辖市)的多家金融机构
业务无法正常开展达半个小时(含)以上的事件；
3．在业务服务时段导致单家金融机构两个(含)以上省(自治区、直辖市)业务无法正常开展达半个小时(含)以上，或一个省(自治区、直辖市)业务无法正常开展达3个小时(含)以上的事件；
4．业务服务时段以外，故障或事件救治未果、可能产生上述1至3类事件的事件。
(三)较大运营中断事件(Ⅲ级)
1．银行业金融机构重要信息系统服务中断，或重要数据损毁、丢失、泄露，对银行或客户利益造成较大损害的事件；
2．在业务服务时段导致一个省(自治区、直辖市)业务无法正常开展达半个小时(含)以上的事件；
3．业务服务时段以外，故障或事件救治未果、可能产生上述1至2类事件的事件。
第八十条 按照属地监管原则，银监会派出机构在商业银行运营中断事件发生后2小时内，将事件及处臵情况上报银监会处臵工作小组。事件报告至少包括：事发银行及事件发生时间、地点、现象、影响范围和程度、已采取的措施等。 银监会处臵工作小组应当将重大以上运营中断事件上报银监会运营中断事件处臵领导小组。
第八十一条 银监会根据国家有关网络与信息安全事件应急预案要求向相关部门通报运营中断事件；对其他行业有较大影响的运营中断事件，可以向该行业主管或监管部门通报事件情况；对于特别重大(Ⅰ级)的运营中断事件，将事件及处臵情况及时上报国务院。
第八十二条 银监会及其派出机构对商业银行报送的事件内容和事件等级进行分析、评估，认定运营中断事件的最终等级，及时启动处臵预案，实施运营中断事件监管处臵工作。
第八十三条 对于较大(Ⅲ级)运营中断事件，按照属地监管原则，由银监会或其派出机构组织开展处臵工作，处臵结束后银监会派出机构向银监会上报运营中断事件总结报告。
第八十四条 对于特别重大(Ⅰ级)和重大(Ⅱ级)运营中断事件，银监会处臵工作小组及时核实情况，指导协调银监会派出机构开展处臵；根据事件影响范围、紧急程度和事件处臵进展情况，银监会处臵工作小组可以赴事发银行现场进行督导。
第八十五条 银监会及其派出机构督导商业银行采取措施尽快恢复系统和业务，最大程度减少事件产生的负面影响。必要时，可以协调国家专业技术队伍或外部专家提供技术支援。
第八十六条 银监会及其派出机构督导商业银行积极采取风险隔离措施，防止事件恶化或向其他银行业金融机构扩散。对可能影响其他银行业金融机构业务开展或对银行业产生区域性、整体性影响的事件，银监会及其派出机构及时发布风险提示，加强风险防范。
第八十七条 银监会及其派出机构督促商业银行开展危机处理，做好舆情监测和媒体沟通，做好合理宣传解释工作，防止不实信息导致银行业金融机构声誉风险。涉及行业性运营中断事件处臵情况通报时，由银监会按照信息披露程序统一对外发布信息。
第八十八条 银监会及其派出机构加强与相关部门和监管机构的协作，协调
各方力量开展处臵工作。
第八十九条 商业银行业务恢复正常运行后，应当将运营中断事件及其处臵工作的评估、总结和改进报告报送银监会或其派出机构。银监会或其派出机构对事件进行评估和现场调查，查明事件原因，进行责任认定。
第二节 持续监管
第九十条 银监会及其派出机构将商业银行业务连续性管理纳入其风险管理综合评估范围。
第九十一条 银监会及其派出机构对商业银行业务连续性管理工作进行监督和检查，对业务连续性工作进行综合评价，提出监管要求。
第九十二条 商业银行应当于每年一季度向银监会或其派出机构提交业务连续性管理报告，包括上一年度业务连续性管理的评估报告与审计报告。
第九十三条 银监会及其派出机构对商业银行业务连续性管理报告进行审查，督导商业银行建立与其风险管控目标、机构规模、公众影响和所承担的社会责任相匹配的业务连续性管理体系。
第九十四条 银监会及其派出机构对商业银行业务连续性管理报告进行审查时，要综合考虑商业银行机构规模、业务范围以及风险状况。重点关注以下方面：
(一)业务连续性管理体系的完整性和合理性； (二)业务连续性管理的实施情况； (三)业务连续性计划的演练情况；
(四)业务连续性管理年度评估的完整性和准确性，审计覆盖领域和深度； (五)业务连续性管理在执行过程中存在的问题及其整改情况。
第九十五条 商业银行在完成业务连续性计划的全行性演练后，应当在45个工作日内向监管机构提交演练总结报告。
第九十六条 商业银行业务连续性管理机制存在重大缺陷、日常管理工作存在严重违规的，因违反审慎经营规则导致业务运营中断的，或在运营中断事件中应急处臵不力导致事件恶化、蔓延的，银监会或其派出机构依法采取监管措施并追究有关责任人的责任。
第八章 附则
第九十七条 本指引适用于在中华人民共和国境内依法设立的法人商业银行和农村合作银行、城市信用社、农村信用社。 政策性银行、村镇银行、金融资产管理公司、信托公司、企业集团财务公司、金融租赁公司、汽车金融公司、货币经纪公司、消费金融公司等其他银行业金融机构参照执行。
第九十八条 本指引由中国银监会负责解释、修订。 第九十九条 本指引自公布之日起执行。