第二十七条 采用共建模式的灾难恢复建设应至少满足各参与单位的最低灾难恢复能力等级要求，并明确权责，签订相关的合同或协议。
第七章 灾难恢复预案的管理
第二十八条 保险机构应制订灾难恢复预案，预案应包含：灾难恢复组织机构各工作岗位的职责、灾难恢复的整个过程以及灾难恢复所需的资料和配套资源等。预案的结构、内容和步骤清晰明确，适合在紧急情况下使用。
保险机构应加强灾难恢复预案与其它应急预案体系的有机结合。
第二十九条 保险机构所制定的灾难恢复预案，应按照由模拟到实际、从易到难、从局部到整体的原则进行测试和演练，及时总结评估，完善灾难恢复预案，通过演练使得相关人员熟练灾难恢复操作及流程。
灾难恢复预案的演练包括但不限于桌面演练、模拟演练、实战演练、部分演练和全面演练。保险机构应定期组织开展灾难恢复预案的演练工作。灾难恢复预案每年至少演练一次，演练类型可以是模拟演练、实战演练、部分演练和全面演练。
演练工作文档应包含演练计划、现场记录和结论评估，演练工作文档应存档保管。
第三十条 保险机构应安排专人负责灾难恢复预案的日常维护管理，预案可以以多种形式的介质拷贝保存在不同的安全地点，并确保在生产中心以外的安全地点存放灾难恢复预案。灾难恢复预案的调用需进行严格授权。
灾难恢复预案涉及的内容发生重大变更后，应立即更新灾难恢复预案；演练后应根据演练评估结论，立即更新灾难恢复预案；每年应至少组织一次灾难恢复预案的审查和批准工作。
第三十一条 灾难恢复预案的教育和培训应贯穿灾难恢复规划和实施的全过程。保险机构应定期组织预案培训，并保存培训文档。
第八章 应急响应和灾难恢复
第三十二条 保险机构针对信息系统的风险应建立科学的预警机制，在信息系统发生紧急事件后，应建立应急指挥中心，统一领导、协调和指挥所有应急响应工作，加强信息沟通和跨部门协调，提高机构整体的应急响应和应急处置能力；组织灾难恢复专业人员尽快对事件进行响应和评估；采取相应的风险处置和弥补工作，降低可能造成的损失，防范事态恶化；根据对紧急事件的处置和评估结果，决策是否对灾难备份中心发出灾难预警或灾难宣告。
保险机构应加强媒体公关和客户服务工作，避免造成恶劣的社会影响。发生重大灾难事件，应根据有关要求，及时向中国保监会报告。
第三十三条 灾难恢复工作人员应根据灾难恢复预案执行相关的指挥和操作工作，并及时跟踪事态变化和恢复进程，加强沟通，加强恢复工作的统一指挥和管理。
保险机构应保证并合理配置恢复所需的各项资源，确保灾难恢复工作的顺利实施。
第三十四条 保险机构应明确信息系统的重建方案，在进行信息系统重建前应评估灾难造成的损失。根据损失评估情况，结合灾难备份系统运行可接受的最长时间，确定修复或者重新建设方案，执行信息系统的重新建设和功能恢复。
信息系统的回退是指将灾难备份系统的功能转移到新建或恢复的信息系统，各项业务恢复到正常运行状态的过程。加强信息数据安全处理，防止重要信息的泄漏，将灾难备份系统恢复为备用状态。
第三十五条 灾难恢复之后，应及时组织相关人员进行总结，修订灾难恢复策略和灾难恢复预案。
第九章 审计和备案
第三十六条 灾难恢复工作的审计分为内部审计和外部审计。内部审计由保险机构内部人员组织实施。外部审计由具有国家相应监管部门认定资质的中介机构组织实施。
中国保监会可依据法律法规，委托并授权具有资质的中介机构对保险机构进行外部审计。中介机构根据保监会或其派出机构委托或授权对保险机构进行审计时，应出示委托授权书，并依照委托授权书上规定的委托和授权范围进行审计。中介机构根据授权出具的审计报告经中国保监会审阅确定后具备法律效力，被审计保险机构应对该审计报告在规定时间内提出整改意见，并按审计报告中提出的建议进行及时整改。
审计报告应作为风险管控措施的成果进行存档，审计过程所涉及的资料调阅应有交接手续，严格控制审计过程中的涉密资料的保管和发放，中介机构应保守被审计保险机构的商业秘密和风险信息。
第三十七条 审计工作主要包括以下内容：
(一)灾难恢复项目的建立和管理；
(二)风险评估和管控；
(三)组织协作和授权机制；
(四)业务影响分析；
(五)灾难恢复策略；
(六)应急管理和操作；
(七)灾难恢复预案；
(八)培训和认知；
(九)演练和维护；
(十)公共关系和危机通讯。
第三十八条 保险机构应根据信息系统的灾难恢复工作情况，确定审计频率，每三年至少进行一次审计。
第三十九条 保险机构灾难恢复工作报告和审计报告应在中国保监会进行备案。灾难恢复工作报告备案工作在每年的第一季度进行，审计报告备案工作在审计结束后的三个月内进行。灾难恢复工作报告主要内容包括：
(一)短期和中长期灾难恢复规划和策略；
(二)上年度灾难恢复工作以及重大变更情况。
第四十条 中国保监会根据工作需要，可对保险机构的信息系统灾难恢复规划、建设、运营等进行不定期抽查、现场检查。
第十章 附则
第四十一条 本指引由中国保监会负责解释、修订。
第四十二条 本指引自颁布之日起施行。
