了解/ISO 22301 業務連續性管理體系知識及流程

業務連續性管理體系（BCMS）是組織整體管理體系的一個部分，用于建立、實施、運行、監視、評審、保持和改進組織自身業務連續性，是識別對組織的潛在威脅以及這些威脅一旦發生可能對業務運行帶來的影響的一整套管理過程。該過程為組織建立有效應對威脅的自我恢復能力提供了框架，以保護關鍵相關方的利益、聲譽、品牌和創造價值的活動。其核心是以信息技術為基礎，保障企業業務持續運行，跨越了風險管理、災難恢復、緊急時間管理、安全管理、知識管理、危機通信和公共關系等多個學科。能夠提高企業的風險防范能力，以有效地響應非計劃的業務破壞并降低不良影響，保證企業良好發展。

  1

業務連續性管理是什么

業務連續性管理的概念起源于上世紀70年代，與計算機技術的發展密不可分，隨著計算機技術在各行各業的廣泛應用，業務連續性管理活動在業務運營過程中的重要性被逐漸意識到，并發展成為一門學科。政府和立法部門則從降低社會破壞性事故方面的作用對該學科予以肯定。

業務持續性管理(Business Continuity Management)即BCM，是一個整體的管理流程，將業務運作所面臨的風險控制在最低水平，以及在業務運作中斷后立即恢復業務運作的業務管理流程。業務連續性管理一般包括啟動、需求分析、戰略規劃和實施以及運作管理四階段。

  2

業務連續性管理中常見問題有哪些

類別1：企業并未意識到業務連續性的重要性，并未制定相應的計劃。

類別2：一是理解上錯誤，將應急響應預案錯誤理解為業務連續性計劃，或者是范圍理解錯誤，只針對關鍵的原輔料供應商進行了管理，比如對于關鍵原輔料要求有2家供應商。二是是模板化，比如采用了標準化的模板作為企業內部的業務連續性計劃(從網上找的模板)，并未根據企業的實際情況進行編制。

類別3：企業編制了簡單的業務連續性計劃，但未進行業務影響分析以識別關鍵的業務流程、活動等，也并未進行風險評估以識別潛在的威脅、或者未進行業務連續性有效性的驗證。

  3

如何實施ISO22301

具體實施時，將分為10個步驟進行實施：

1、啟動調研

通過對企業的組織架構、管理流程、業務運作模式和IT支持系統進行考察和調研，以確定業務持續性管理(BCM)過程或功能的需求。

2、風險評估

確定可能造成機構及其設施中斷和災難、具有負面影響的突發事件和周邊環境因素，以及事件可能造成的損失、防止或減少潛在損失影響的控制措施。提供成本效益分析以調整控制措施方面的投資達到消減風險的目的。

3、業務影響分析

確定由于中斷和預期災難可能對機構造成的影響以及用來定量和定性分析這種影響的技術。確定關鍵功能、其恢復優先順序和相互依賴性以便確定恢復時間目標。

4、容災策略制定

在本階段，結合以上各階段的分析成果，以及在容災上的投入能力，制訂企業系統短期、長期范圍內的容災策略和目標，并有意識地將本身的人員組成和組織架構做出調整以適應策略要求。

5、容災技術方案設計

根據容災策略，以及業務連續性計劃和各系統的RTO和RPO指標，考慮成本和收益平衡原則，分別設計容災方案。

6、容災設施資源及 IT 系統建設或整改

對容災中心的設施資源進行詳細的規劃和設計，容災中心的建筑工程、中心環境(外部與內部)、機房結構、物理安全、交通流向組織、電力供應與保障等環節都要按照容災的實際需求進行科學的分析，最終達到容災的實際要求。

7、業務連續性計劃及災難恢復計劃的制定與維護

業務恢復團隊和業務恢復團隊分別執行應急響應計劃、災難恢復計劃、業務恢復計劃，運營管理團隊負責容災系統的運營管理和日常維護、問題收集和解決、系統變申和測試演練等工作，后勤保障和人力資源保障提供支持，從而達到容災設計的目標。

8、容災系統運行維護

運行業務連續性計劃，包括日常管理和首次演練等，并建立相應的管理制度。

9、演練及測試

對預案和預案間的協調性進行演練、并評估和記錄預案演練的結果。制定維持持續性能力和 BCP文檔更新狀態的方法使其與機構的策略方向保持一致。通過與適當標準的比較來驗證 BCP的效率，并使用簡明的語言報告驗證的結果。

10、審核

培訓內審員，進行內部審核，并在適當時機邀請外部審核機構對業務連續性管理體系進行審核。

  4

ISO22301認證依據是什么

認證依據為ISO 22301：2019《安全性和彈性 業務連續性管理體系 要求》，2019年10月發布，是ISO22301首次修訂。

2006年，ISO/PAS 22399：2007《事故應對和連續性管理》指南文件成功發布。2012年，ISO22301：2012發布，作為真正的國際性標準，參考了澳大利亞、法國、德國、日本、朝鮮、新加坡、瑞典、泰國、英國和美國的重要建議。我國于2013年等同采用發布了《公共安全 業務連續性管理體系 要求》國家標準(GB/T )，并于2014年5月1日起實施。目前，全球的企業在通過的第三方認證向相關方展示其業務連續性的管理能力。

  5

ISO22301的適用對象有哪些

ISO22301適用于所有行業中的大、中、小型公有及私有組織，并且特別適用于處于高風險和高度監管環境下的行業，例如金融業、IT通信業、制造業等。各行各業的企業面對國際及中國地區不斷頻發的自然災害及人為事故，其業務運作的不確定性和風險都被大幅度增加，而加強企業業務連續性管理則成為了打造zuijia企業應急預案的必備選擇。

以金融行業為例，目前我國中小型銀行和其他金融機構，在業務連續性管理上與guojibiaozhun存在不小差距，急需要得到提升，保證金融業務連續性成為金融機構不斷增強服務品質并實現業務轉型的關鍵。

  6

企業辦理ISO22301申請所需材料清單

包括但不限于：

1、企業法人營業執照

2、臨時場所清單

3、適用法律法規清單；

4、取得相關法律法規規定的行政許可文件

5、業務影響分析報告、風險報告和業務連續性計劃；

6、BCMS系統文件，包括：政策、目標、范圍、組織為過程運行和溝通而維護的信息，必須提供：組織概況、組織結構（組織結構圖）、人員情況和職能部門，工藝路線圖/工藝流程圖/工藝說明（應明確描述關鍵工藝和特殊工藝）及相關工藝文件；

7、管理體系認證申請。