采用业务持续管理有效减少企业风险（下）

（5）供应协议（Vendor Agreements）
    供应协议需要建立、维护主要设备和服务供应商的名单。名单上所有的供应商都被视为是关键的。组织可基于RTOs和RPOs，对它的供应商进行安排和调整，与其在服务水平协议方面达成一致。组织可以在客户服务协议中体现它们对供应商BCM的准备情况和实施意愿进行审计的权利，用于强调由于供应商关键业务中断可能给供应链带来的风险。
    （6）认知和培训（Awareness and Training）
    BCM认知和培训需求的内容和时间根据不同类型员工的角色不同而有区别。这些角色可能包括：执行层和BCP指导委员会、危机管理团队、职能部门经理、BCM实施团队、内部审计、普通员工。
    （7）测试和演练（Testing and Exercising）
    该阶段主要是通过深度讨论、培训和演习，评估和确认政策、规程的充分性与完整性。演练应该包括目标导引、审查设施和业务流程的风险状况、现有风险减少机制的充分性、满足RTOs的能力和灾害恢复规程。
    演练一般有两种类型：基于讨论的演练源于讨论，如桌面推演等，包括仿真模拟（如博弈），专注于“what-if”情景的分析；基于运作的演练源于行动，如演习、部门演练、大规模演练等，需要资源和人员的部署。根据演练实际效果，通过提供评估运作和计划的方法、澄清角色和责任、开发个人表现、加强团队合作、提高部门间协调等措施提高灾害准备程度，不断完善业务持续管理。
    （8）审查和维护（Review and Maintenance）
    由董事会和内外部审计人员进行BCM审查。在BCP里应明确界定BCM审查流程并形成正式文件。审查的目的是核实组织的BCM能力，确保它的连续性、匹配性、充分性和有效性。
    BCM维护流程也应在BCP里明确界定并形成正式文本。BCM维护的目的是确保组织BCM的胜任力和能力，保持其有效、可靠，并且随着组织的变化得到及时更新。
    2.事中应对阶段
    当灾害来临时，下面的活动被执行以管理灾害事件。
    （1）应急响应（Emergency Response）
    应急响应的主要目标是确保人员安全、保护财产；监督和协调应急反应。
    应急响应活动包括：人员的通知和逃生、联系公共安全管理部门（如警察、消防）、医疗救治和减少损害。这些应急响应活动在指挥部和应急运作中心的帮助指导下进行。在灾害现场建立指挥部，以提供全面指导并协调所有的应急响应活动。在大灾害中，应急运作中心建立在远离灾害现场的地方，以监控和协调组织层面的应急响应活动。
    （2）与公共管理部门协调（Coordination with Public Authorities）
    启动应急响应后，应该通报公共安全管理部门（如：警察、消防、应急办等）灾害情况。一旦他们到达灾害现场，这些部门将接管指挥部。高层人员应负责与公共管理部门进行协调沟通。
    （3）损害评估
    损害评估主要是对损失程度的评估，一般分成两个阶段。第一阶段，进行初始损害评估，决定激活恢复选择方案类型，启用BCP以帮助危机管理团队决策。第二阶段，全面评估灾害对设备、设施和数据等的损害程度。损害评估活动由损害评估与物资救援团队执行，这个团队应由机修工、电工、水管工、助理医师和基础设施信息技术人员等多种专业背景的人员组成。
    （4）事发现场抢救物资
    在事发现场开始抢救物资前，必须把灾害事件告知有业务联系的保险公司，给保险公司现场调查的机会。抢救物资的运作需要专业技能，负责抢救硬件、设施和文件。不同的设备需要不同的抢救方案。因此，抢救规范应提供一般性的指导。损害评估与物资救援队伍应该有相关专家的联系方式，并能联系上他们。企业应该保护好必要的抢救运作文件材料，以符合保险和相关法律的要求。
    （5）第二地点（或备份点）运作
    当事发现场进行救援时，对于关键业务运作的恢复，应遵循BCM文件中确定的灾害恢复程序，在第二地点（或备份点）进行重启。第二地点（或备份点）的类型有：冷地点（Cold site），这些地点没有任何资源，但是可以装备空调、电线、不间断电源（uninterruptible power supply，UPS）和通信设施的替代场所。暖地点（Warm site），这些地点有部分装备；热地点（Hot site）。在灾害事件中，具有恢复关键业务功能所需的装备和资源的替代场所。
    （6）公共关系（public relations）
    灾害中的公共关系应由培训过、有经验的官方发言人，根据预先确定的计划，在灾害现场进行处理。官方发言人应对媒体有合适的表现，以避免任何媒体危机。
    （7）保险成本追踪（Insurance Cost Tracking）
    损害评估和物资救援团队应特别注意保险公司的要求。需要采集并保留有关灾害场景及受损设备、设施和文本文件等的图片，认真地对损失和抢救物资进行彻底细致的计算，评估灾害损失及维修成本。同时应意识到损失发生时，保险政策的具体要求以及索赔时保险公司需要提供的记录和文件的类型。否则，企业可能不能充分支持它的保险索赔，而这将导致赔偿延误或赔偿范围缩小。
    3.事后持续管理阶段
    下面是灾后业务的持续性所需要完成的工作。
    （1）事发现场的运作恢复
    当事发现场已经稳定下来了，应向全体员工发布企业已回归正常的正式通告。在事发现场应从首先启动最不关键的业务功能运作开始恢复和重建工作，以避免任何可能对关键业务功能的影响。只有事发现场所有业务功能都恢复了，才可以认为灾害已经结束。
    （2）审查
    业务持续计划应定期审查，以确保可用性、有效性、可靠性以及符合管理层期望。审查可通过内部审计或管理人员审核。无论什么时候，只要业务、业务战略、联系名单或IT环境发生变化，就应该启动审查工作。高层管理人员应能够获知不同的组织问题，并负责运作和计划。他们每个季度都应花几个小时来审查BCM项目，并提供适当的战略指导。
    （3）计划更新
    根据审查中确认的变化的结果对业务持续计划进行更新。需要更新的有联系人员名单、人员的详细联系方式、人员及其负责的恢复任务、备份和恢复规范。典型的BCP更新时机有两类：根据日历。BCP应该一年一次或根据业务持续管理政策中确定的时间进行审查和更新。基于事件。当特定的事件发生时，BCP就需要更新。这些事件包括但不限于：组织重构、业务计划改变、政策或标准变化、法律或法规变化、设备或系统变化、地点或设施变化、产品变化、流程变化、供应商变化和审计观察的结果。
    （4）保险解决（Insurance Settlement）
    提交在保险成本追踪中产生的图片、记录和文本等相关文件，进行保险索赔。
    （四）权衡选择灾害恢复战略
    在BIA阶段确定的业务功能或流程的恢复时间目标（RTO）将指导不同灾害恢复战略的选择，这些灾害恢复战略用来在约定的RTOs内，恢复业务流程和信息技术，并继续组织关键业务功能。为了提高组织的弹性，并确保业务联系，企业可选择适当的业务持续战略方法：（1）防范风险评估中确定的风险，降低威胁突然发生引起中断的可能性，减少中断的严重性；（2）开发反应流程，包括应急反应和事件管理，以便管理部门能对灾害做出快速响应，保护人员和资源。
    可选择的灾害恢复战略有：什么也不做；降低服务水平或推迟行动；手工加工；提供替代的产品资源；提供连续性加工；提供多个加工地点；提供替代地点，可能是冷、暖、热、移动、镜像或它们的混合物；签署快速再供货合同；提供异地存储；远距工作；签订互惠协议；保有缓冲库存；只提供替代品；提供额外的能力；设计并发展企业弹性；实施人员储备或交叉培训计划；通过保险安排或合同协议转嫁风险。
    结语
    根据业务线、流程的复杂度和管理要求，企业可以选择一个或多个灾害恢复战略。但是企业在选择实施灾害恢复方案前，需要在各替代恢复战略和所涉及成本间权衡。
    参考文献：
    [1] Naill M. Momani. Business Continuity Planning：Are We Prepared for Future Disasters[J].American Journal of Eco- nomic and Business Administration 2010，2（3）：272-279.
    [2] Julie D Nosworthy. A Practical Risk Analysis Approach： Managing BCM Risk[J].Computers & Security，2000， （19）： 595-614.
    [3] Rama Lingeswara， Tammineedi. Busi-ness Continuity Management： A Stan-dards-Based Approach[J].InformationSecurity Journal：A Global Perspective， 19：36-50，2010.
    [4] Michael Power.The risk management ofnothing[J]. Accounting，Organization and Society，2009，（34）：849-855.
    [5] 王德迅。业务持续管理的国际比较研究[J].世界经济与政治，2008，（6）。
    （作者系燕山大学经济管理学院副教授、博士）