1前言

  當(dāng)前，由于自然災(zāi)害及人為事故頻繁發(fā)生，企業(yè)業(yè)務(wù)運(yùn)作的不確定性和風(fēng)險(xiǎn)大幅度增加，而加強(qiáng)企業(yè)的業(yè)務(wù)連續(xù)性管理則成為打造最佳企業(yè)應(yīng)急預(yù)案的必然選擇。 為了滿(mǎn)足企業(yè)對(duì)統(tǒng)一的業(yè)務(wù)連續(xù)性管理國(guó)際標(biāo)準(zhǔn)的需求，ISO公共安全技術(shù)委員會(huì)ISO/TC223，制定了ISO 22301:2012《公共安全—業(yè)務(wù)連續(xù)性管理體系-要求》標(biāo)準(zhǔn)。該國(guó)際標(biāo)準(zhǔn)采納了全球利益相關(guān)方、合作者等各方意見(jiàn)和建議，于最近發(fā)布實(shí)施。

  ISO 22301:2012致力于使公共或私有部門(mén)的組織更具有適應(yīng)性，其管理體系框架能夠幫助企業(yè)制定一套一體化的管理流程計(jì)劃，使企業(yè)對(duì)潛在的災(zāi)難加以辨別分析，幫助其確定可能發(fā)生的沖擊對(duì)企業(yè)的運(yùn)作造成的威脅，并提供一個(gè)有效的管理機(jī)制來(lái)阻止或抵消這些威脅，減少災(zāi)難事件給企業(yè)帶來(lái)的損失。

  本文主要介紹ISO22301:2012的制定背景、目的、意義以及重要條款內(nèi)容，以對(duì)我國(guó)相關(guān)企業(yè)采用該標(biāo)準(zhǔn)提供幫助。

  2背景

  在上世紀(jì)80年代至90年代初，應(yīng)急計(jì)劃和災(zāi)難恢復(fù)很大程度上依靠信息技術(shù)，以對(duì)影響業(yè)務(wù)的自然災(zāi)害和恐怖主義作出響應(yīng)。后來(lái)，人們?cè)絹?lái)越認(rèn)識(shí)到應(yīng)急計(jì)劃和災(zāi)難恢復(fù)應(yīng)該成為業(yè)務(wù)主導(dǎo)的過(guò)程并包含應(yīng)對(duì)各種類(lèi)型的災(zāi)害。因此，業(yè)務(wù)連續(xù)性管理(BCM)成為一門(mén)學(xué)科。 由于政府部門(mén)和立法部門(mén)開(kāi)始認(rèn)識(shí)到業(yè)務(wù)連續(xù)性在降低社會(huì)破壞性事故方面的作用，他們不斷致力于安排適宜的業(yè)務(wù)連續(xù)性關(guān)鍵人員;同樣，行業(yè)認(rèn)識(shí)到，他們應(yīng)相互依靠，即使事故發(fā)生時(shí)，他們也要努力保證關(guān)鍵供應(yīng)商和合作伙伴能持續(xù)提供關(guān)鍵產(chǎn)品和服務(wù)。 因此，需要一個(gè)公認(rèn)的BCM良好規(guī)范基準(zhǔn)和針對(duì)該問(wèn)題的一些國(guó)家標(biāo)準(zhǔn)，這得到了澳大利亞、新加坡、英國(guó)和美國(guó)的支持。英國(guó)發(fā)布了管理體系標(biāo)準(zhǔn)BS 25999，使組織能在第一時(shí)間獲得認(rèn)可的證書(shū)。 ISO于2006年在意大利佛羅倫薩召開(kāi)了“應(yīng)急響應(yīng)”研討會(huì)，ISO 22301標(biāo)準(zhǔn)制定工作就此開(kāi)始啟動(dòng)。同時(shí)許多專(zhuān)家認(rèn)為，其國(guó)家標(biāo)準(zhǔn)最適合制定成為一項(xiàng)國(guó)際標(biāo)準(zhǔn)。這顯然是行不通的，所以，ISO將所有主要專(zhuān)家聚集在一起來(lái)識(shí)別標(biāo)準(zhǔn)之間的相似性，這種協(xié)調(diào)一致的精神促進(jìn)了稱(chēng)之為ISO/PAS 22399:2007《事故應(yīng)對(duì)和連續(xù)性管理》指南文件的發(fā)布。 在制定ISO 22301時(shí)面臨挑戰(zhàn)，因?yàn)橛性S多有關(guān) 此學(xué)科的國(guó)家文件，這在協(xié)調(diào)時(shí)遇到了困難。于是，ISO技術(shù)委員會(huì)在最初制定的草案文本中采用了一些國(guó)家標(biāo)準(zhǔn)的建議，并逐步細(xì)化成為一個(gè)全世界都適用的新的協(xié)調(diào)一致的良好規(guī)范文件。新的ISO 22301 標(biāo)準(zhǔn)采納了來(lái)自澳大利亞、法國(guó)、德國(guó)、日本、朝鮮、新加坡、瑞典、泰國(guó)、英國(guó)和美國(guó)的重要建議，以及許多其他利益相關(guān)方的建議，因此可以說(shuō)，ISO22301標(biāo)準(zhǔn)的發(fā)布是真正的國(guó)際性參與和建議的成果。

  3 目的和意義

  ISO22301：2012《公共安全—業(yè)務(wù)連續(xù)性管理體系-要求》將幫助所有的組織，無(wú)論其規(guī)模大小、地域或開(kāi)展的活動(dòng)如何，在處理任何類(lèi)型的風(fēng)險(xiǎn)時(shí)能更好地應(yīng)對(duì)并更具信心。

  在任何時(shí)候事故都能使組織的業(yè)務(wù)中斷，采用ISO 22301標(biāo)準(zhǔn)將保證組織能夠應(yīng)對(duì)事故并保證其業(yè)務(wù)的持續(xù)運(yùn)行。事故發(fā)生有多種類(lèi)型，從嚴(yán)重的自然災(zāi)害和恐怖主義活動(dòng)到與技術(shù)相關(guān)的事故和環(huán)境事故。然而，許多事故雖然小，但能產(chǎn)生嚴(yán)重的影響，這在任何時(shí)候都與業(yè)務(wù)連續(xù)性管理緊密相關(guān)。

  目前，業(yè)務(wù)連續(xù)性管理已經(jīng)引起全球的關(guān)注，無(wú)論是公共或私有部門(mén)的組織都必須了解如何準(zhǔn)備和應(yīng)對(duì)意外的破壞性的事故發(fā)生。ISO 22301標(biāo)準(zhǔn)為業(yè)務(wù)連續(xù)性管理體系(BCMS)的策劃、建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和持續(xù)改進(jìn)提供了框架。當(dāng)破壞性的事故發(fā)生時(shí)，該標(biāo)準(zhǔn)將有助于組織的防護(hù)、準(zhǔn)備、響應(yīng)和恢復(fù)。

  實(shí)施ISO 22301標(biāo)準(zhǔn)的組織將能夠向立法部門(mén)、執(zhí)法部門(mén)、消費(fèi)者和潛在消費(fèi)者以及其他的利益相關(guān)方證明，他們滿(mǎn)足了BCM良好規(guī)范的要求。同時(shí)，該新標(biāo)準(zhǔn)也可用于組織內(nèi)部按照良好規(guī)范進(jìn)行內(nèi)部檢查，并通過(guò)內(nèi)審員出具管理報(bào)告。

  ISO 22301將幫助組織在設(shè)計(jì)BCMS時(shí)適宜地滿(mǎn)足自身的要求和滿(mǎn)足其利益相關(guān)方的要求，這些要求涉及：法律法規(guī)、組織和行業(yè)因素、組織的產(chǎn)品和服務(wù)、組織的規(guī)模和結(jié)構(gòu)、組織的過(guò)程和其利益相關(guān)方。為了使組織更好地運(yùn)行，ISO 22301標(biāo)準(zhǔn)要求組織應(yīng)完全理解其要求，而不僅僅是一個(gè)項(xiàng)目或制定“一項(xiàng)計(jì)劃”。BCM是一個(gè)連續(xù)的管理過(guò)程，需要有能力的人員來(lái)運(yùn)作，當(dāng)需要時(shí)，應(yīng)提供適當(dāng)?shù)闹С帧?

  ISO 22301是符合新的ISO管理體系標(biāo)準(zhǔn)編寫(xiě)格式的第一個(gè)標(biāo)準(zhǔn)。這將有助于對(duì)標(biāo)準(zhǔn)內(nèi)容的理解，并保證與其他管理體系，如ISO 9001 (質(zhì)量管理體系)、ISO 14001 (環(huán)境管理體系) 和ISO/IEC 27001 (信息安全管理體系) 的一致性。ISO 22301是用于BCM的管理體系標(biāo)準(zhǔn)，適用于所有規(guī)模和類(lèi)型的組織第三方認(rèn)證以及自我評(píng)價(jià)。這些組織將能夠獲得符合該標(biāo)準(zhǔn)要求的全球承認(rèn)的證書(shū)，從而向立法部門(mén)、執(zhí)法部門(mén)、顧客、潛在顧客和其他利益相關(guān)方證明，他們滿(mǎn)足了BCM良好規(guī)范要求。ISO 22301標(biāo)準(zhǔn)也能使業(yè)務(wù)連續(xù)性經(jīng)理向最高管理者表明，已經(jīng)滿(mǎn)足了國(guó)際標(biāo)準(zhǔn)要求。為了幫助用戶(hù)更好地理解標(biāo)準(zhǔn)，該新標(biāo)準(zhǔn)對(duì)BCM關(guān)鍵要素作了簡(jiǎn)要介紹。

  ISO 22301是符合新的ISO管理體系標(biāo)準(zhǔn)編寫(xiě)格式的第一個(gè)標(biāo)準(zhǔn)。這將有助于對(duì)標(biāo)準(zhǔn)內(nèi)容的理解，并保證與其他管理體系，如ISO 9001 (質(zhì)量管理體系)、ISO 14001 (環(huán)境管理體系) 和ISO/IEC 27001 (信息安全管理體系) 的一致性。ISO 22301是用于BCM的管理體系標(biāo)準(zhǔn)，適用于所有規(guī)模和類(lèi)型的組織第三方認(rèn)證以及自我評(píng)價(jià)。這些組織將能夠獲得符合該標(biāo)準(zhǔn)要求的全球承認(rèn)的證書(shū)，從而向立法部門(mén)、執(zhí)法部門(mén)、顧客、潛在顧客和其他利益相關(guān)方證明，他們滿(mǎn)足了BCM良好規(guī)范要求。ISO 22301標(biāo)準(zhǔn)也能使業(yè)務(wù)連續(xù)性經(jīng)理向最高管理者表明，已經(jīng)滿(mǎn)足了國(guó)際標(biāo)準(zhǔn)要求。為了幫助用戶(hù)更好地理解標(biāo)準(zhǔn)，該新標(biāo)準(zhǔn)對(duì)BCM關(guān)鍵要素作了簡(jiǎn)要介紹。

  4 主要內(nèi)容

  ISO 22301標(biāo)準(zhǔn)分為10個(gè)主要條款，前三款分別是范圍、規(guī)范性文獻(xiàn)、術(shù)語(yǔ)和定義，下面介紹該標(biāo)準(zhǔn)的其他主要條款要求。

  4.1 第四款：組織

  首先，組織應(yīng)了解內(nèi)部和外部需求，對(duì)管理體系的范圍劃定明確的界線(xiàn)。這尤其要求組織了解利益相關(guān)方的需求，如立法部門(mén)、顧客和員工的需求。組織尤其必須了解適宜的法律法規(guī)要求，這將保證組織確定業(yè)務(wù)連續(xù)性管理體系(BCMS)的范圍。

  4.2 第五款：領(lǐng)導(dǎo)

  ISO 22301特別強(qiáng)調(diào)了對(duì)合格的BCM領(lǐng)導(dǎo)的需求。這使得最高管理者能保證提供合適的資源、制定政策并任命人員來(lái)實(shí)施和維護(hù)BCMS。4.3 第六款：策劃這一款要求組織識(shí)別BCMS實(shí)施的風(fēng)險(xiǎn),并制定明確的目標(biāo)和標(biāo)準(zhǔn)用于測(cè)量其成效。

  4.4 第七款：支撐

  由于BCMS的實(shí)施需要資源,第七款引入了“能力”這一重要概念。為了業(yè)務(wù)連續(xù)性獲得成功，必須具有相應(yīng)知識(shí)、技能和經(jīng)驗(yàn)的人員從事BCMS的管理并當(dāng)事故發(fā)生時(shí)作出應(yīng)對(duì)。在應(yīng)對(duì)事故方面，所有的員工認(rèn)識(shí)到自己的職責(zé)也是非常重要的，這一條款涉及這方面的所有內(nèi)容。這一條款也涵蓋BCMS溝通的需求，如：告訴顧客組織有適宜的BCM在運(yùn)行并做好事故發(fā)生時(shí)溝通的準(zhǔn)備(當(dāng)正常的渠道中斷時(shí))。

  4.5 第八款：運(yùn)行

  這一款包括業(yè)務(wù)連續(xù)性的主體——專(zhuān)門(mén)技能。組織必須進(jìn)行業(yè)務(wù)影響分析，以了解其業(yè)務(wù)中斷產(chǎn)生的影響及隨時(shí)間發(fā)生的變化。風(fēng)險(xiǎn)評(píng)估致力于識(shí)別業(yè)務(wù)在結(jié)構(gòu)方面的風(fēng)險(xiǎn)，這些風(fēng)險(xiǎn)對(duì)業(yè)務(wù)連續(xù)性戰(zhàn)略的制定將會(huì)產(chǎn)生影響。避免或降低事故發(fā)生的措施應(yīng)與事故發(fā)生時(shí)采取的措施同時(shí)制定。由于無(wú)法完全預(yù)測(cè)和防止所有事故，所以降低風(fēng)險(xiǎn)和對(duì)不測(cè)作出應(yīng)對(duì)計(jì)劃對(duì)于所有意外事故來(lái)說(shuō)是互補(bǔ)的，也就是通常所說(shuō)的抱最好的愿望做最壞的打算。

  ISO 22301強(qiáng)調(diào)需要很好地確定事故響應(yīng)結(jié)構(gòu)。這樣可保證事故發(fā)生時(shí)快速響應(yīng)，被授權(quán)的人能采取必要的有效措施。該新標(biāo)準(zhǔn)還強(qiáng)調(diào)了生命安全，關(guān)鍵點(diǎn)是組織必須與外部可能遭受影響的相關(guān)方溝通，例如：如果事故給周邊公共區(qū)域帶來(lái)有毒或爆炸的風(fēng)險(xiǎn)時(shí)。

  在條款八中也提出了業(yè)務(wù)連續(xù)性計(jì)劃的需求，適合用戶(hù)的簡(jiǎn)明易懂的文件比供審核員使用的冗長(zhǎng)晦澀的文件更有用。因此，小計(jì)劃比龐大的計(jì)劃可能更需要。第八款的最后一部分涉及運(yùn)行和測(cè)試，這是BCM的關(guān)鍵部分。測(cè)試的目的是證明業(yè)務(wù)連續(xù)性管理的一些要素是否有效，例如：有可能測(cè)試發(fā)電機(jī)打開(kāi)以后是否運(yùn)行。運(yùn)行可以包括測(cè)試，通常采用相近的方法模擬應(yīng)對(duì)事故，這通常包括培訓(xùn)要素和樹(shù)立應(yīng)對(duì)具有一定難度的異常破壞性事故的意識(shí)，同時(shí)要弄清程序是否如期運(yùn)行。

  4.6 第九款：評(píng)價(jià)

  對(duì)任何管理體系而言，按照計(jì)劃評(píng)價(jià)性能至關(guān)重要。因此，ISO 22301要求組織應(yīng)按照適宜的性能方法對(duì)自身進(jìn)行評(píng)價(jià)。組織必須進(jìn)行內(nèi)審，還要進(jìn)行BCMS的管理評(píng)審，并根據(jù)評(píng)審結(jié)果采取相應(yīng)措施。

  4.7 第十款：改進(jìn)

  每個(gè)管理體系一開(kāi)始都不可能盡善盡美，組織及其環(huán)境是不斷變化的。第十款提出了隨后改進(jìn)BCMS采取的措施，并保證通過(guò)審核、評(píng)審、運(yùn)行等而提出糾正措施。

  5 結(jié)語(yǔ)

  ISO 22301：2012是以其他管理體系標(biāo)準(zhǔn)所依據(jù)的“計(jì)劃-執(zhí)行-檢查-行動(dòng)”P(pán)DCA循環(huán)模式為基礎(chǔ)創(chuàng)建的，其主要特點(diǎn)有：規(guī)定了業(yè)務(wù)連續(xù)性管理體系(BCMS)的要求; BCMS的采用和取得對(duì)標(biāo)準(zhǔn)實(shí)施的認(rèn)證，可以證明企業(yè)已做好準(zhǔn)備，可以應(yīng)對(duì)災(zāi)難性事件的發(fā)生并且應(yīng)該能夠持續(xù)保持現(xiàn)狀;規(guī)定的要求具有廣泛的適用性，可以適用于任何類(lèi)型或規(guī)模的企業(yè);可以將危機(jī)和災(zāi)難性事件造成的財(cái)務(wù)影響最小化。

  目前，ISO 22301標(biāo)準(zhǔn)已得到國(guó)際上的認(rèn)可，它強(qiáng)調(diào)制定目標(biāo)、監(jiān)測(cè)性能和指標(biāo),對(duì)企業(yè)的管理層提出了更高的期望，對(duì)業(yè)務(wù)連續(xù)性計(jì)劃的制定提出了更高的要求。按照ISO22301：2012的規(guī)定推廣應(yīng)用BCMS要求，將可以使企業(yè)向員工、顧客、供應(yīng)商、股東等利益相關(guān)方證明，企業(yè)已經(jīng)做好應(yīng)對(duì)危機(jī)和災(zāi)難性事件的準(zhǔn)備，否則，可能會(huì)嚴(yán)重影響企業(yè)目標(biāo)的實(shí)現(xiàn)。企業(yè)如果沒(méi)有建立與運(yùn)行BCMS，面對(duì)災(zāi)難性的事件時(shí)將會(huì)措手不及，將會(huì)造成嚴(yán)重的后果,如：客戶(hù)流失、聲譽(yù)受損、資金損失，甚至可能倒閉。

  在當(dāng)今經(jīng)濟(jì)全球化的背景下，面對(duì)巨大的商業(yè)和社會(huì)變化，以及各種災(zāi)害和事故因素的挑戰(zhàn)，理解業(yè)務(wù)連續(xù)性管理體系(BCMS)的目的和價(jià)值具有重要意義。我國(guó)企業(yè)應(yīng)很好地了解ISO 22301:2012標(biāo)準(zhǔn)的要求和內(nèi)涵，建立BCMS管理體系，并且將實(shí)施BCMS作為一個(gè)切實(shí)可靠的策略，用以保護(hù)企業(yè)利益相關(guān)方的利益，同時(shí)將危機(jī)和災(zāi)難性事件造成的負(fù)面影響降至最低。