簡介：歡迎來到營運韌性 (Operational Resilience)

你好！歡迎來到 FRM Part II 課程中最實用且重要的一個章節：營運韌性原則。本章節基於巴塞爾銀行監理委員會 (BCBS) 的指導原則，重點不僅在於避免犯錯，更在於當危機發生時，銀行該如何生存並維持運作。

過去，銀行大多專注於「預防」風險。但現代世界瞬息萬變——試想網絡攻擊、全球大流行或大規模系統故障等情況。營運韌性的思維轉變在於：不再只問「我們如何阻止這些事發生？」，而是問「當這些事必然發生時，我們如何確保最重要的服務持續運作？」。別擔心，如果你一開始覺得這有點抽象，我們會將這七大核心原則拆解成易於理解的小單元。


1. 什麼是營運韌性？

在深入探討各項原則前，我們先定義核心概念。營運韌性是指銀行在遭遇中斷事件時，仍能維持其關鍵業務 (Critical Operations) 運作的能力。這意味著銀行必須夠「強韌」，能夠吸收衝擊、適應變化並迅速恢復。

「橡皮筋」比喻：想像一條橡皮筋。營運風險管理就像是確保橡皮筋不會被拉得太緊（預防措施）；而營運韌性則是確保即便橡皮筋真的被拉扯，它也能彈回原狀，而不是斷裂。

關鍵術語：關鍵業務 (Critical Operations)

關鍵業務是指若該服務或活動中斷，將會對銀行的客戶、銀行的安全，或整個金融體系造成嚴重損害。
例子：處理客戶 ATM 提款是關鍵業務；而翻新員工休息室則不是。

快速回顧：韌性思維的前提是「中斷必然會發生」。目標在於將對客戶和經濟的影響降至最低。


2. 韌性的七大原則

BCBS 列出了銀行應遵循的七大原則。為了方便記憶，你可以使用口訣 "G-O-B-M-T-I-I" (Governance, ORM, BCP, Mapping, Third-party, Incident, ICT)。讓我們逐一了解。

原則一：管治 (Governance)

董事會負有最終責任。董事會必須批准韌性架構並設定中斷容忍度 (Tolerance for Disruption)。這意味著他們要明確決定銀行能承受多少「痛苦」（例如：「我們不能容忍支付系統停機超過 2 小時」）。

原則二：營運風險管理 (Operational Risk Management)

銀行應運用現有的營運風險管理 (ORM) 功能來識別和減輕威脅。韌性並非取代 ORM，而是建立在其基礎之上。你需要利用風險數據來找出系統的弱點所在。

原則三：業務持續計劃 (Business Continuity Planning, BCP)

這是你的「B 計畫」。銀行必須制定 BCP，並針對嚴重但合理的情境 (Severe but Plausible Scenarios) 進行測試。僅僅測試小故障是不夠的，你必須測試當主要數據中心遭遇水災時會發生什麼事。

原則四：映射互聯與相互依賴關係 (Mapping Interconnections and Interdependencies)

如果你不了解系統，就無法保護它。映射 (Mapping) 涉及識別提供關鍵業務所需的所有人員、技術和數據。
真實例子：要處理一筆信用卡支付，你需要伺服器、特定軟體、網路供應商和技術團隊。映射能呈現出這些要素是如何連結在一起的。

原則五：第三方依賴管理 (Third-Party Dependency Management)

許多銀行會「外包」工作（例如使用亞馬遜雲端服務或第三方薪資系統）。此原則指出：你可以外包工作，但不能外包責任。銀行必須確保其供應商同樣具備韌性。

原則六：事故管理 (Incident Management)

銀行需要清晰的流程來偵測、應對並從事故中恢復。這包括一套溝通計劃，以便向公眾和監管機構說明狀況，避免引起恐慌。

原則七：資訊及通訊科技 (ICT)

由於銀行業務運作仰賴電腦，ICT 及網絡韌性至關重要。這包括保護數據免受黑客攻擊，並確保科技系統得到更新且安全。


3. 設定「中斷容忍度」

這對於 FRM 考試是一個至關重要的概念。不同於「風險胃納 (Risk Appetite)」（關於為了獲利願意承擔多少風險），中斷容忍度是針對服務中斷時間所設定的嚴格界限。

如何設定：
1. 識別關鍵業務。
2. 確定中斷的最大可容忍程度（例如：時間、交易量或數據丟失量）。
3. 確保即使在「最糟糕的一天」，銀行也能維持在該界限之內。

避免常見錯誤：不要將「中斷容忍度」與「風險胃納」混淆。風險胃納是主動的（我們想做什麼），而中斷容忍度是被動的（我們能承受什麼）。

總結要點：韌性的核心在於維持服務。董事會設定界限，銀行則透過映射系統，確保在危機期間不會跨越這些底線。


4. 映射與測試

要真正具備韌性，銀行必須做好兩件事：映射 (Mapping) 與 測試 (Testing)。

映射：服務的「解剖圖」

映射不僅僅是一個清單，而是一張流程圖。它識別了：

  • 內部依賴：銀行內部的其他部門。
  • 外部依賴：第三方供應商或市場公共事業單位。

測試：「消防演習」

銀行必須定期測試其韌性。這些測試應符合：

  • 情境基礎：「如果遭受網絡攻擊導致所有客戶檔案被加密，該怎麼辦？」
  • 嚴重但合理：不要只測試 5 分鐘的電力中斷，要測試持續 24 小時的電力中斷。

你知道嗎？許多銀行現在使用「混沌工程 (Chaos Engineering)」（隨機關閉系統部分功能）來查看其韌性計劃在現實中是否真的有效！


5. 總結與最後建議

營運韌性在 FRM 課程中是一個相對較新的重點，反映了全球金融業向數位化轉型的趨勢。以下是你的學習清單：

  • 關注董事會：記住管治是由上而下的。
  • 關鍵業務：永遠優先考慮對客戶或金融體系有影響的服務。
  • 映射：你必須了解你的依賴關係（你依賴誰，以及依賴什麼）。
  • 外包：記住即使供應商出錯，銀行仍負有最終責任。

給你的鼓勵：這章內容非常合乎邏輯。如果你試著以「銀行經理」的角度思考如何在風暴中維持營運，這些原則就會變得非常清晰。你一定做得到的！

快速複習箱：
- 韌性 (Resilience)：吸收衝擊並從中恢復的能力。
- 關鍵業務 (Critical Operations)：絕不能中斷的服務。
- 容忍度 (Tolerance)：董事會決定的「底線」，絕不能被觸及。
- 原則：管治、ORM、BCP、映射、第三方管理、事故管理、ICT。