英国《金融服务与市场法》的运营韧性要求已于2025年3月生效。然而，众多企业仍在竭力证明其能在设定容差范围内维持关键服务运行。监管机构现正依据英国审慎监管局2026年工作重点及金融行为监管局对消费者保护与市场诚信的关注方向，对相关计划展开审查。监管方提出尖锐质询，要求企业加强测试力度并深化决策机制的嵌入式设计。
好消息是？框架本身已然清晰。挑战在于执行层面。此外，企业必须确保英国运营韧性与欧盟《数字运营韧性法案》（DORA）的协调一致，以支持无缝的跨境运营模式。让我们剖析监管机构的期望、其重要性所在，以及如何构建一套在危机时刻切实有效的应对方案。
英国运营韧性框架的实际要求
英国运营韧性的核心在于保障客户在业务中断期间的权益。监管机构要求企业识别关键服务，设定服务中断的可容忍时限，梳理保障服务持续运行的要素，并验证恢复计划的实际可行性。
该规则于2022年3月31日生效，给予企业三年准备期。截至2025年3月31日，所有适用企业需证明其能够维持每项重要业务服务的影响容忍度，并提交映射与测试的证据。 如今监管机构正密切关注企业应对实际事件的表现，以及书面工作在压力下能否经受考验。关键在于，监管方已明确表示静态PDF文件不再被视为充分证据；企业现需提供动态数据驱动的韧性状态证明。
每个企业都需要的五大基石
-
重要商业服务（IBS）
首先需界定何为重要业务服务。此类服务面向客户，其中断可能对客户造成严重损害、威胁市场完整性或动摇整个金融体系。应着眼于"使客户能够收发国内支付"，而非"维护支付平台"。
每项服务都需要明确的负责人，该负责人需确保服务运行在容差范围内。使用通俗易懂的语言，确保业务部门的任何人都能理解。若董事会无法立即理解某项服务的功能及其重要性，则需重新撰写说明。此外，必须确保IBS映射明确符合FCA要求，尤其要着重说明服务交付如何影响消费者保护和市场稳定。
-
冲击公差
影响容忍度设定可接受的最大中断程度。多数企业采用基于时间的衡量标准，因其在事件发生期间便于监测。部分企业会添加基于事件数量或地理范围的阈值，这些补充措施能切实提升决策质量。
容差成为衡量标准。当问题发生时，关键不在于"情况有多糟"，而在于"是否仍在容差范围内？若超出，应启动哪些应对措施？"。通过规范治理设定容差值，其应反映实际客户损害程度，而非为简化测试而随意选取的数字。 监管机构现要求将这些服务级容差下沉至供应商合同，确保第三方服务等级协议（SLA）在法律层面与贵公司的韧性义务保持一致。
-
依赖关系映射
每项关键业务服务都依赖于多层人员、技术、数据、设施及第三方支持。绘制这些依赖关系图，以便在问题爆发前识别单点故障和集中风险。
构建一个将服务与流程、流程与应用程序、应用程序与基础设施、基础设施与供应商及地点相互关联的体系结构。为有效管理这种复杂性，现代项目正采用组织层级方法。这使企业能够管理并可视化不同业务单元在更广泛组织中的交互方式，确保不会遗漏任何孤岛风险。通过变更控制保持地图实时更新，而非等待年度刷新。若地图过时，在事件发生时便毫无用处。
-
场景测试
通过严苛但合理的场景测试您在容差范围内的操作能力，并记录所获经验。选择能凸显实际弱点的场景：云区域故障、支付系统中断、身份提供商遭入侵或关键站点丢失。每次测试需明确IBS名称、设定目标容差、制定清晰目标、规划恢复步骤，并指定需收集的证据。
-
治理与自我评估
董事会需要掌握整个项目的全局视图。他们应当了解哪些服务在项目范围内，容差标准为何，哪些测试已执行，哪些容差被突破，以及针对这些问题采取了哪些应对措施。
一份自评估文件能将所有内容整合起来。保持简洁明了，确保随时可供决策参考。明确说明评估范围、采用方法、测试内容、符合容差标准的环节以及需要投入的领域。当主管来访时，务必能随时提交这份文件。
韧性如何与您现有的项目相衔接
运营韧性远不止于独立的监督层级，它是企业稳定性的核心引擎。 成熟的运营韧性框架不应与现有孤岛并行存在，而应自动触发业务连续性管理（BCM）、IT灾难恢复（IT/DR）及第三方风险管理（TPRM）的更新。这确保当服务映射发生变化或发现测试缺口时，整个组织的战术恢复计划能实时更新以适应新形势，从而维持持续改进的闭环机制。
常见实施陷阱
距离截止日期已近一年，某些模式已然显现：依赖关系图静静躺在SharePoint中，发布瞬间便已过时；容差值由合规团队设定，而这些团队从未与实际负责服务恢复的人员沟通；测试每次都由同一小群人参与，却忽视第三方故障如何在服务中引发连锁反应；自我评估读起来更像是走过场，而非真实的能力审查。
取得进展的企业将韧性视为一项持续的纪律。在推出服务或引入供应商前，他们会先自问"这对我们的容错能力意味着什么？"。他们将韧性融入变更管理、采购流程及事件复盘环节。
打造真正有效的方案
从治理开始
选择一位具备决策权和调配资源能力的执行赞助人。为每项重要业务服务指派负责的负责人。明确容差和测试的审批流程。设定既能保持管理层参与度又不致使其淹没于细节的汇报频率。对多数企业而言，月度汇报最为适宜。
定义服务并设定公差
与服务所有者及了解客户真实需求的人员开展短期研讨会。每项服务说明用一句话概括。起草容差标准，确保团队外部人员能在实际事件中进行测量。在寻求正式批准前，将提案与运维、风险及合规部门进行沟通。
绘制重要事物
记录维持各项服务运行的关键流程、应用程序、数据、站点及第三方服务。标记代表单点故障的组件。通过变更管理流程保持地图实时更新。当新系统上线或供应商变更时，需立即更新地图。
刻苦训练，快速学习
选择两到三个涉及多项服务或暴露已知弱点的场景。将测试目标与容忍度挂钩。对每个恢复步骤计时。记录实际发生的情况。测试结束后，明确责任人及截止日期登记各项行动。持续跟进直至漏洞修复完毕。
需要现实情景的灵感？我们的指南《压力测试您的运营韧性工具：6个欧洲威胁情景》将带您了解一系列严峻但可信的事件，这些事件旨在测试现代金融服务基础设施的抗压能力。
加强第三方监督
列出每项服务的关键供应商。核查其服务水平协议是否符合您的容差标准。确认事件升级路径。为真正关键的供应商制定退出策略。监控供应商事件，并追踪其对您服务逼近容差阈值的程度。
要了解这种整合的实际运作（特别是外部依赖项如何必须与恢复目标保持一致），请参阅我们的博客文章《为何业务连续性规划必须成为第三方风险管理的核心》。这篇深度解析阐述了孤岛式供应商管理为何存在风险，以及领先企业如何将业务连续性管理直接嵌入第三方风险策略，以确保端到端的服务韧性。
报告要清晰且频繁
构建一个能反映自我评估的仪表盘。展示服务清单、服务状态、容差范围、违规记录、已完成测试及待办事项。在领导层会议和监督谈话中采用统一视图。保持一致性能建立可信度。
