金融企业的业务连续性不只要满足客户预期，还要符合监管对风险管理和应急报告的要求。做ISO 22301时，如果合规义务清单只抄了几条通用法规，很难应对体系审核中的追问。
这份清单应该围绕业务连续性这条主线，把监管要求、行业规则和内部制度串起来，并落到演练、报告和复盘记录上。
金融企业ISO 22301合规义务清单应以监管连续性要求和关键业务恢复承诺为主干，逐条落到演练、报告和复盘记录上。
清单是否可用，可以从来源、覆盖和证据三个角度检验，见下表。
| 判断项 | 常见做法 | 容易出问题的做法 | 怎么判断 |
|---|---|---|---|
| 来源完整 | 法规、监管规则、合同三层来源齐全 | 只列通用法规 | 看是否覆盖客户合同中的连续性承诺 |
| 关键业务覆盖 | 每条义务关联关键业务 | 清单与业务影响分析脱节 | 对照业务影响分析表核对业务范围 |
| 证据可验 | 每条义务对应记录 | 证据类型写“相关材料” | 抽查三条能否在当天取出 |
三项都能通过，清单就可以作为体系运行的抓手，否则应回到业务影响分析重新梳理。
金融企业的连续性风险源包括信息系统中断、第三方数据中心故障、人员集中缺岗和外部事件冲击。合规义务的来源则有监管部门要求、行业自律规定和客户合同。
识别时建议由风险管理部牵头，联合业务、IT、合规和运营部门，按业务线逐条过，避免只盯技术层面。
符合性评价可按完全符合、基本符合、不符合三档，并标注对业务的影响程度。影响程度可以参考业务影响分析中的恢复时间目标和最大可容忍中断时间。
评价记录要写清评价人、评价日期和依据材料，避免结论随时间失效却无人复核。
对不符合项，措施应与业务连续性计划联动，例如调整备份策略、增加异地人员、与关键供应商补充连续条款。每项措施都要有责任人和完成时间。
金融企业常把措施写进年度应急管理计划，建议同时在ISO 22301体系文件里建立映射，方便审核时对应查找。
清单建议至少每年评审一次，并在重大业务变化、外包调整或监管要求更新时触发临时评审。验证方式可以结合演练结果和事件复盘。
相关方需求和风险的落地方法可参考金融企业相关方需求和风险怎么落地。
下面以金融企业常见的几类业务为例，说明清单条目怎么写才方便审核时核对。示例只给出结构，具体法规名称和合同条款以企业实际适用为准。
| 业务条线 | 合规义务要点 | 对应证据 | 责任部门 |
|---|---|---|---|
| 核心交易系统 | 中断事件按监管要求报告 | 事件报告单、复盘记录 | 运维与风险 |
| 线上开户业务 | 关键业务恢复时间目标承诺 | 业务影响分析、演练评估 | 业务与运营 |
| 外包数据中心 | 供应商连续能力与审计权 | 外包合同、巡检记录 | 采购与科技 |
| 客服呼叫中心 | 备用场地与人员替补安排 | 启用记录、培训签到 | 客服中心 |
这张表放在清单首页，评审时先看业务条线覆盖是否完整，再逐条翻证据，效率会比按条款号查高很多。
每条义务还应写明更新触发条件，例如监管新规发布、产品上线或外包合同续签。触发后由责任部门提出修订，合规部门复核，避免清单长期停留在旧版本。
通常需要，外包合同中关于恢复能力和审计的条款属于合规义务，应列入清单并检查证明材料。
不是，清单用于识别和评价义务，应急预案用于中断时的响应，两者各自独立但相互引用。
常见做法一年一次，遇重大变化时临时补充，具体频次可在程序文件中约定。
客户合同中约定的审计权、报告义务通常需要纳入，作为合同类来源单独登记并落实。
清单的价值在于让合规审查、演练和整改三件事互相支撑，而不是在审核前临时拼凑。把业务和监管要求对齐，运行会更顺畅。同创云长期做 ISO 体系认证咨询与审核辅导，官网 https://www.shtcyun.com。具体认证要求、审核安排和证书状态，以认证机构及国家认监委（CNCA）官方最新通知为准。
配套的内审记录要求可看金融企业ISO 22301内审记录保留什么，标准页见体系认证标准页，栏目见体系认证常见问题栏目。
本文由同创云体系认证研究中心整理，内容参考相关管理体系标准与认证认可通用规则；具体政策以认证机构和监管部门官方最新通知为准。