1前言

  當(dāng)前，由于自然災(zāi)害及人為事故頻繁發(fā)生，企業(yè)業(yè)務(wù)運(yùn)作的不確定性和風(fēng)險大幅度增加，而加強(qiáng)企業(yè)的業(yè)務(wù)連續(xù)性管理則成為打造最佳企業(yè)應(yīng)急預(yù)案的必然選擇。 為了滿足企業(yè)對統(tǒng)一的業(yè)務(wù)連續(xù)性管理國際標(biāo)準(zhǔn)的需求，ISO公共安全技術(shù)委員會ISO/TC223，制定了ISO 22301:2012《公共安全—業(yè)務(wù)連續(xù)性管理體系-要求》標(biāo)準(zhǔn)。該國際標(biāo)準(zhǔn)采納了全球利益相關(guān)方、合作者等各方意見和建議，于最近發(fā)布實施。

  ISO 22301:2012致力于使公共或私有部門的組織更具有適應(yīng)性，其管理體系框架能夠幫助企業(yè)制定一套一體化的管理流程計劃，使企業(yè)對潛在的災(zāi)難加以辨別分析，幫助其確定可能發(fā)生的沖擊對企業(yè)的運(yùn)作造成的威脅，并提供一個有效的管理機(jī)制來阻止或抵消這些威脅，減少災(zāi)難事件給企業(yè)帶來的損失。

  本文主要介紹ISO22301:2012的制定背景、目的、意義以及重要條款內(nèi)容，以對我國相關(guān)企業(yè)采用該標(biāo)準(zhǔn)提供幫助。

  2背景

  在上世紀(jì)80年代至90年代初，應(yīng)急計劃和災(zāi)難恢復(fù)很大程度上依靠信息技術(shù)，以對影響業(yè)務(wù)的自然災(zāi)害和恐怖主義作出響應(yīng)。后來，人們越來越認(rèn)識到應(yīng)急計劃和災(zāi)難恢復(fù)應(yīng)該成為業(yè)務(wù)主導(dǎo)的過程并包含應(yīng)對各種類型的災(zāi)害。因此，業(yè)務(wù)連續(xù)性管理(BCM)成為一門學(xué)科。 由于政府部門和立法部門開始認(rèn)識到業(yè)務(wù)連續(xù)性在降低社會破壞性事故方面的作用，他們不斷致力于安排適宜的業(yè)務(wù)連續(xù)性關(guān)鍵人員;同樣，行業(yè)認(rèn)識到，他們應(yīng)相互依靠，即使事故發(fā)生時，他們也要努力保證關(guān)鍵供應(yīng)商和合作伙伴能持續(xù)提供關(guān)鍵產(chǎn)品和服務(wù)。 因此，需要一個公認(rèn)的BCM良好規(guī)范基準(zhǔn)和針對該問題的一些國家標(biāo)準(zhǔn)，這得到了澳大利亞、新加坡、英國和美國的支持。英國發(fā)布了管理體系標(biāo)準(zhǔn)BS 25999，使組織能在第一時間獲得認(rèn)可的證書。 ISO于2006年在意大利佛羅倫薩召開了“應(yīng)急響應(yīng)”研討會，ISO 22301標(biāo)準(zhǔn)制定工作就此開始啟動。同時許多專家認(rèn)為，其國家標(biāo)準(zhǔn)最適合制定成為一項國際標(biāo)準(zhǔn)。這顯然是行不通的，所以，ISO將所有主要專家聚集在一起來識別標(biāo)準(zhǔn)之間的相似性，這種協(xié)調(diào)一致的精神促進(jìn)了稱之為ISO/PAS 22399:2007《事故應(yīng)對和連續(xù)性管理》指南文件的發(fā)布。 在制定ISO 22301時面臨挑戰(zhàn)，因為有許多有關(guān) 此學(xué)科的國家文件，這在協(xié)調(diào)時遇到了困難。于是，ISO技術(shù)委員會在最初制定的草案文本中采用了一些國家標(biāo)準(zhǔn)的建議，并逐步細(xì)化成為一個全世界都適用的新的協(xié)調(diào)一致的良好規(guī)范文件。新的ISO 22301 標(biāo)準(zhǔn)采納了來自澳大利亞、法國、德國、日本、朝鮮、新加坡、瑞典、泰國、英國和美國的重要建議，以及許多其他利益相關(guān)方的建議，因此可以說，ISO22301標(biāo)準(zhǔn)的發(fā)布是真正的國際性參與和建議的成果。

  3 目的和意義

  ISO22301：2012《公共安全—業(yè)務(wù)連續(xù)性管理體系-要求》將幫助所有的組織，無論其規(guī)模大小、地域或開展的活動如何，在處理任何類型的風(fēng)險時能更好地應(yīng)對并更具信心。

  在任何時候事故都能使組織的業(yè)務(wù)中斷，采用ISO 22301標(biāo)準(zhǔn)將保證組織能夠應(yīng)對事故并保證其業(yè)務(wù)的持續(xù)運(yùn)行。事故發(fā)生有多種類型，從嚴(yán)重的自然災(zāi)害和恐怖主義活動到與技術(shù)相關(guān)的事故和環(huán)境事故。然而，許多事故雖然小，但能產(chǎn)生嚴(yán)重的影響，這在任何時候都與業(yè)務(wù)連續(xù)性管理緊密相關(guān)。

  目前，業(yè)務(wù)連續(xù)性管理已經(jīng)引起全球的關(guān)注，無論是公共或私有部門的組織都必須了解如何準(zhǔn)備和應(yīng)對意外的破壞性的事故發(fā)生。ISO 22301標(biāo)準(zhǔn)為業(yè)務(wù)連續(xù)性管理體系(BCMS)的策劃、建立、實施、運(yùn)行、監(jiān)視、評審、保持和持續(xù)改進(jìn)提供了框架。當(dāng)破壞性的事故發(fā)生時，該標(biāo)準(zhǔn)將有助于組織的防護(hù)、準(zhǔn)備、響應(yīng)和恢復(fù)。

  實施ISO 22301標(biāo)準(zhǔn)的組織將能夠向立法部門、執(zhí)法部門、消費者和潛在消費者以及其他的利益相關(guān)方證明，他們滿足了BCM良好規(guī)范的要求。同時，該新標(biāo)準(zhǔn)也可用于組織內(nèi)部按照良好規(guī)范進(jìn)行內(nèi)部檢查，并通過內(nèi)審員出具管理報告。

  ISO 22301將幫助組織在設(shè)計BCMS時適宜地滿足自身的要求和滿足其利益相關(guān)方的要求，這些要求涉及：法律法規(guī)、組織和行業(yè)因素、組織的產(chǎn)品和服務(wù)、組織的規(guī)模和結(jié)構(gòu)、組織的過程和其利益相關(guān)方。為了使組織更好地運(yùn)行，ISO 22301標(biāo)準(zhǔn)要求組織應(yīng)完全理解其要求，而不僅僅是一個項目或制定“一項計劃”。BCM是一個連續(xù)的管理過程，需要有能力的人員來運(yùn)作，當(dāng)需要時，應(yīng)提供適當(dāng)?shù)闹С帧?

  ISO 22301是符合新的ISO管理體系標(biāo)準(zhǔn)編寫格式的第一個標(biāo)準(zhǔn)。這將有助于對標(biāo)準(zhǔn)內(nèi)容的理解，并保證與其他管理體系，如ISO 9001 (質(zhì)量管理體系)、ISO 14001 (環(huán)境管理體系) 和ISO/IEC 27001 (信息安全管理體系) 的一致性。ISO 22301是用于BCM的管理體系標(biāo)準(zhǔn)，適用于所有規(guī)模和類型的組織第三方認(rèn)證以及自我評價。這些組織將能夠獲得符合該標(biāo)準(zhǔn)要求的全球承認(rèn)的證書，從而向立法部門、執(zhí)法部門、顧客、潛在顧客和其他利益相關(guān)方證明，他們滿足了BCM良好規(guī)范要求。ISO 22301標(biāo)準(zhǔn)也能使業(yè)務(wù)連續(xù)性經(jīng)理向最高管理者表明，已經(jīng)滿足了國際標(biāo)準(zhǔn)要求。為了幫助用戶更好地理解標(biāo)準(zhǔn)，該新標(biāo)準(zhǔn)對BCM關(guān)鍵要素作了簡要介紹。

  ISO 22301是符合新的ISO管理體系標(biāo)準(zhǔn)編寫格式的第一個標(biāo)準(zhǔn)。這將有助于對標(biāo)準(zhǔn)內(nèi)容的理解，并保證與其他管理體系，如ISO 9001 (質(zhì)量管理體系)、ISO 14001 (環(huán)境管理體系) 和ISO/IEC 27001 (信息安全管理體系) 的一致性。ISO 22301是用于BCM的管理體系標(biāo)準(zhǔn)，適用于所有規(guī)模和類型的組織第三方認(rèn)證以及自我評價。這些組織將能夠獲得符合該標(biāo)準(zhǔn)要求的全球承認(rèn)的證書，從而向立法部門、執(zhí)法部門、顧客、潛在顧客和其他利益相關(guān)方證明，他們滿足了BCM良好規(guī)范要求。ISO 22301標(biāo)準(zhǔn)也能使業(yè)務(wù)連續(xù)性經(jīng)理向最高管理者表明，已經(jīng)滿足了國際標(biāo)準(zhǔn)要求。為了幫助用戶更好地理解標(biāo)準(zhǔn)，該新標(biāo)準(zhǔn)對BCM關(guān)鍵要素作了簡要介紹。

  4 主要內(nèi)容

  ISO 22301標(biāo)準(zhǔn)分為10個主要條款，前三款分別是范圍、規(guī)范性文獻(xiàn)、術(shù)語和定義，下面介紹該標(biāo)準(zhǔn)的其他主要條款要求。

  4.1 第四款：組織

  首先，組織應(yīng)了解內(nèi)部和外部需求，對管理體系的范圍劃定明確的界線。這尤其要求組織了解利益相關(guān)方的需求，如立法部門、顧客和員工的需求。組織尤其必須了解適宜的法律法規(guī)要求，這將保證組織確定業(yè)務(wù)連續(xù)性管理體系(BCMS)的范圍。

  4.2 第五款：領(lǐng)導(dǎo)

  ISO 22301特別強(qiáng)調(diào)了對合格的BCM領(lǐng)導(dǎo)的需求。這使得最高管理者能保證提供合適的資源、制定政策并任命人員來實施和維護(hù)BCMS。4.3 第六款：策劃這一款要求組織識別BCMS實施的風(fēng)險,并制定明確的目標(biāo)和標(biāo)準(zhǔn)用于測量其成效。

  4.4 第七款：支撐

  由于BCMS的實施需要資源,第七款引入了“能力”這一重要概念。為了業(yè)務(wù)連續(xù)性獲得成功，必須具有相應(yīng)知識、技能和經(jīng)驗的人員從事BCMS的管理并當(dāng)事故發(fā)生時作出應(yīng)對。在應(yīng)對事故方面，所有的員工認(rèn)識到自己的職責(zé)也是非常重要的，這一條款涉及這方面的所有內(nèi)容。這一條款也涵蓋BCMS溝通的需求，如：告訴顧客組織有適宜的BCM在運(yùn)行并做好事故發(fā)生時溝通的準(zhǔn)備(當(dāng)正常的渠道中斷時)。

  4.5 第八款：運(yùn)行

  這一款包括業(yè)務(wù)連續(xù)性的主體——專門技能。組織必須進(jìn)行業(yè)務(wù)影響分析，以了解其業(yè)務(wù)中斷產(chǎn)生的影響及隨時間發(fā)生的變化。風(fēng)險評估致力于識別業(yè)務(wù)在結(jié)構(gòu)方面的風(fēng)險，這些風(fēng)險對業(yè)務(wù)連續(xù)性戰(zhàn)略的制定將會產(chǎn)生影響。避免或降低事故發(fā)生的措施應(yīng)與事故發(fā)生時采取的措施同時制定。由于無法完全預(yù)測和防止所有事故，所以降低風(fēng)險和對不測作出應(yīng)對計劃對于所有意外事故來說是互補(bǔ)的，也就是通常所說的抱最好的愿望做最壞的打算。

  ISO 22301強(qiáng)調(diào)需要很好地確定事故響應(yīng)結(jié)構(gòu)。這樣可保證事故發(fā)生時快速響應(yīng)，被授權(quán)的人能采取必要的有效措施。該新標(biāo)準(zhǔn)還強(qiáng)調(diào)了生命安全，關(guān)鍵點是組織必須與外部可能遭受影響的相關(guān)方溝通，例如：如果事故給周邊公共區(qū)域帶來有毒或爆炸的風(fēng)險時。

  在條款八中也提出了業(yè)務(wù)連續(xù)性計劃的需求，適合用戶的簡明易懂的文件比供審核員使用的冗長晦澀的文件更有用。因此，小計劃比龐大的計劃可能更需要。第八款的最后一部分涉及運(yùn)行和測試，這是BCM的關(guān)鍵部分。測試的目的是證明業(yè)務(wù)連續(xù)性管理的一些要素是否有效，例如：有可能測試發(fā)電機(jī)打開以后是否運(yùn)行。運(yùn)行可以包括測試，通常采用相近的方法模擬應(yīng)對事故，這通常包括培訓(xùn)要素和樹立應(yīng)對具有一定難度的異常破壞性事故的意識，同時要弄清程序是否如期運(yùn)行。

  4.6 第九款：評價

  對任何管理體系而言，按照計劃評價性能至關(guān)重要。因此，ISO 22301要求組織應(yīng)按照適宜的性能方法對自身進(jìn)行評價。組織必須進(jìn)行內(nèi)審，還要進(jìn)行BCMS的管理評審，并根據(jù)評審結(jié)果采取相應(yīng)措施。

  4.7 第十款：改進(jìn)

  每個管理體系一開始都不可能盡善盡美，組織及其環(huán)境是不斷變化的。第十款提出了隨后改進(jìn)BCMS采取的措施，并保證通過審核、評審、運(yùn)行等而提出糾正措施。

  5 結(jié)語

  ISO 22301：2012是以其他管理體系標(biāo)準(zhǔn)所依據(jù)的“計劃-執(zhí)行-檢查-行動”PDCA循環(huán)模式為基礎(chǔ)創(chuàng)建的，其主要特點有：規(guī)定了業(yè)務(wù)連續(xù)性管理體系(BCMS)的要求; BCMS的采用和取得對標(biāo)準(zhǔn)實施的認(rèn)證，可以證明企業(yè)已做好準(zhǔn)備，可以應(yīng)對災(zāi)難性事件的發(fā)生并且應(yīng)該能夠持續(xù)保持現(xiàn)狀;規(guī)定的要求具有廣泛的適用性，可以適用于任何類型或規(guī)模的企業(yè);可以將危機(jī)和災(zāi)難性事件造成的財務(wù)影響最小化。

  目前，ISO 22301標(biāo)準(zhǔn)已得到國際上的認(rèn)可，它強(qiáng)調(diào)制定目標(biāo)、監(jiān)測性能和指標(biāo),對企業(yè)的管理層提出了更高的期望，對業(yè)務(wù)連續(xù)性計劃的制定提出了更高的要求。按照ISO22301：2012的規(guī)定推廣應(yīng)用BCMS要求，將可以使企業(yè)向員工、顧客、供應(yīng)商、股東等利益相關(guān)方證明，企業(yè)已經(jīng)做好應(yīng)對危機(jī)和災(zāi)難性事件的準(zhǔn)備，否則，可能會嚴(yán)重影響企業(yè)目標(biāo)的實現(xiàn)。企業(yè)如果沒有建立與運(yùn)行BCMS，面對災(zāi)難性的事件時將會措手不及，將會造成嚴(yán)重的后果,如：客戶流失、聲譽(yù)受損、資金損失，甚至可能倒閉。

  在當(dāng)今經(jīng)濟(jì)全球化的背景下，面對巨大的商業(yè)和社會變化，以及各種災(zāi)害和事故因素的挑戰(zhàn)，理解業(yè)務(wù)連續(xù)性管理體系(BCMS)的目的和價值具有重要意義。我國企業(yè)應(yīng)很好地了解ISO 22301:2012標(biāo)準(zhǔn)的要求和內(nèi)涵，建立BCMS管理體系，并且將實施BCMS作為一個切實可靠的策略，用以保護(hù)企業(yè)利益相關(guān)方的利益，同時將危機(jī)和災(zāi)難性事件造成的負(fù)面影響降至最低。