业务连续性管理的概念与意义

”业务连续性管理（Business Continuity Management, BCM）是一项综合性的管理活动，通过识别组织所面临的潜在风险，评估风险可能对组织造成的影响，建立一套组织、流程和资源相互配合的体系，以提升组织对风险事件的应对能力和恢复能力，保障组织价值创造活动的持续进行，有效维护组织的品牌声誉和相关方利益。“这是本书开篇的第一段话，写明了业务连续性管理的概念和意义。目前国内银行业金融机构主要在银监会2011年12月发布的《商业银行业务连续性监管指引》的指导下开展和推进业务连续性管理工作，《商业银行业务连续性监管指引》是国内第一个行业业务连续性管理监管要求，是检查商业银行业务连续性管理工作合规性的主要依据，也是指导商业银行开展业务连续性管理工作的规范性文件。

业务连续性管理通常归属于风险管理范畴，同时业务连续性管理与组织的应急管理紧密相关，但由于其关注的核心重点是业务的中断，所以其方法论与传统的风险管理和应急管理方法有所不同。

业务连续性管理起源于欧美国家，最终于形成国际标准和规范（ISO 22313-2012、ISO 22301-2012），按照国际标准，业务连续性管理的内容应包括：清楚产品、服务以及交付；了解恢复优秀级及其所需资源；了解受到的威胁、依赖关系和恢复失败的影响；有准备好经过测试的可靠恢复方案和确保恢复计划定期评审和更新。

02

业务连续性管理的起源与发展

业务连续性管理起源于20世纪的欧美国家，最早其关注的重点也只是信息系统的灾难备份恢复。2004年之前的几年中，国内尚未引入业务连续性管理的概念，也只关注灾难中心建设，这导致当业务当业务连续性管理概念引入后，许多人误以为业务连续性管理只是信息系统灾备建设的扩充。

03

业务连续性管理基本原理概述

业务连续性管理对核心业务进行保护的全过程可以概括为6个阶段，即Reduce (减小)、Respond (响应)、Recover (恢复)、Resunme (重启)、Restore (重建)和Return (返回)阶段，称为业务连续性管理6R模型，如下图所示。

（1）Reduce (减小)：此阶段主要完成风险预防任务。包括消除隐患、避免中断，风险预警，为响应和恢复做好必要准备。

（2）Respond (响应)：快速响应来减少损失；对事态进行损失评估；为管理层提供决策依据，以便预计无法按时恢复时及时宣布灾难，并启动后续恢复计划。

（3）Recover (恢复)：当中断事件严重到无法在响应阶段处理时启动。主要针对技术和设施；与Resunme(重启)配合进行。

（4）Resunme (重启)：计要针对业务恢复；通常与Reconver(恢复)同时启动并互相配合

（5）Restore (重建)：主要指的是灾后重建（包括重建损坏的永久场所及其技术设施）；与恢复的主要区别：重建是永久场所，恢复是临时场所；

（6）Return (返回)：将业务运营从临时场所返回到永久场所，进而一切从头开始，由此循环往复。

“

对于银行机构来说，关键要做好风险的预防和应急准备，核心业务需要通过预防阶段的有效措施来消除隐患；经常发生的中断事件，主要依靠响应阶段的处置来快速恢复运行；只有发生了设施不可用的场地灾害，才需要启动灾难恢复。

银行机构不仅要重视灾难恢复建设（第三道防线），更要重视日常预防工作和做好应急响应准备。

第一道防线：风险预防，由减小阶段的计划来完成

第二道防线：应包响应，由响应阶段的预案来完成

第三道防线：业务恢复，由恢复和重启两个阶段的恢复计划来完成

三道防线并不孤立存在，而是相互关联和配合的

”

04

业务连续性计划

业务连续性管理保护业务的具体行动都是通过相关的计划、预案和程序来完成的，它们组成了完整的业务连续性计划。

05

业务连续性管理国际最佳惯例

目前国际上制定业务连续性计划的各种方法都是基于国际灾难恢复协会（Disaster Recovery Institute International, DRII）于2003年发布的10个国际最佳惯例发展起来的。

（1）规划启动与管理（Program Initiation and Management, PIM）：了解组织的风险和脆弱性；制定恢复策略；制定响应、恢复和重建计划。目标是获得组织的支持和资金；明确业务连续性管理的范围和目标；建立组织架构（最高领导机构（业务连续性管理委员会）；牵头负责部门；管理执行部门；保障部门）

（2）风险评估与控制（Risk Evaluation and Control, REC）：识别那些内在的和外来的、对组织及其资源或形象会有不利影响的风险、威胁及脆弱性；对识别到的风险进行评估，评估发生可能性及其可能导致的影响程度；组织重点针对那些发生可能性高并且影响大的事件，确认采取必要的措施来减小事件发生的可能性及改善资产所存在的脆弱性。

（3）业务影响分析（Business Impact Analysis, BIA）：识别潜在影响；定义用来度量和评估影响的标准（财务、运营、客户、法规和名誉影响）。统一定义每一流程的恢复时间目标(RTO)和恢复点目标(RPO),利用这一分析的结果来确认时间敏感流程的恢复优先级以及在组织可接受的时间段内恢复这些流程的要求。

（4）业务连续性策略（Business Continuity Strategies, BCS）：利用业务影响分析和风险评估时所收集的数据来确认组织的运营和技术有哪些可用的连续性策略和恢复策略，这些策略必须满足BIA中确认的RTO和RPO目标。

（5）应急准备响应（Emergency Preparedness and Response, EPR）：确定了制定和实施组织应急响应计划的要求，该计划是用于响应那些可能会影响组织的员工、来访者或其他资产安全的紧急情况；写明了组织应该如何以协调一致的、及时有效的方式来响应紧急情况，从而能够在专业的或外部的急救人员到来之前保护好人员的安全并稳定紧急事态。

（6）业务连续性计划编制和贯彻实施（Business Continuity Plans Development and Implementation, BCPI）：是一套文档化的流程和程序，它能使组织将时间敏感流程保持连续运行，或在可接受的时间内恢复到组织可接受的最低程度。

（7）认知和培训计划（Awareness and Training Programs, ATP）：制定并实施一个计划来建立和维护对BCM规划的认识，并培训组织员工，提高他们对业务连续性管理的认知，帮助他们掌握在业务连续性计划中所应承担的职责，使他们在事件发生时，已做好响应准备

（8）业务连续性计划演练、审计和维护（Business Continuity Plan Exercise, Audit, and Maintenance）：建立一个演练、测试、维护和审计规划，为了持续有效，BCM规划必须制定定期的演练时间表，才能在整合组织对可预期并可重复的恢复能建立信心。

（9）危机沟通（Crisis Communication）：提供了一个框架来识别、开发、说明及演练危机沟通计划，从而解决组织在事件发生前、事件发生时以及事件发生后如何进行沟通。

（10）与外部机构的协调（Coordination with External Agencies）：建立指导方针和程序，来与本地的、区域的和国家级的外部机构进行协调，从而完成响应、连续性和恢复活动，确保符合法律法规要求。

06

业务连续性管理体系建设的问题与挑战

（1）对业务连续性管理的认识不清

（2）业务连续性管理协同性不高

（3）演练验证不充分

（4）业务连续性管理的持续改进不足

  （文章来源：外部稿件）