引言
小王是一家全国范围经营的服务类公司的IT经理，他们公司的业务对于IT系统非常倚重，不断有各种设备厂商给领导灌输灾备和业务持续管理，老板也认为该考虑这一议题，于是成立一个项目组，委派小王来担纲，并且，听说灾备这个词已经很局限，项目组直接就称作业务持续管理小组。
小王仔细分析了IT系统和业务之间的关联，评估出了关键的IT系统，并分析了这些关键系统所依赖的各种组件，如软件、硬件、数据、网络等等。他考虑到万一发生灾害，那些硬件、通用软件、网络等都是可以用财力和一定的时间再次获取的，只有数据和自有软件是无法单纯靠财力获取，必须花费时间，有些甚至花再多的时间都不能够再次构建，于是小王主张建立一个异地的灾备中心，把应用和数据都实时备份到灾备中心，这样即便主机房遇到如地震、严重火灾等灾难时，都能保证数据不丢失。可是公司没有那么多的预算，老板认为，既然恢复不了的是自有软件和数据，那就把这些东西备份到磁带上，存放到银行的保险箱吧。
虽然是个让步方案，小王依然很尽责，他组织技术人员和业务人员分析，到底哪些信息是必须备份的，确保所有该备的信息都得备妥当。并采购了最新的备份设备和软件，还扩充了核心系统的存储容量。小王还特别组织技术人员在测试系统中作过备份恢复测试，一切都那么的完美和顺利。在与银行的磁带交接都顺畅之后，项目验收了，业务持续管理项目就此告一段落。
突然一天，负责打印和邮寄客户信息的供应商运营场所发生火灾，他们在5天之内都不能恢复服务，正好赶上月末打印和邮寄的高峰，而且小王公司的数据和客户很复杂，不是一般打印服务公司能快速接下这一个任务的。公司一时找不到替代供应商，这一关键服务延误了5天之后才恢复，而后又接二连三地出错，有的根本就没有邮寄，有的寄错了地址，A客户收到了B客户的信息，涉及客户的隐私，一时之间客户投诉不断，甚至有客户扬言要告小王的公司。小王公司的业务虽然还不至于停顿，但是确实受到很大的影响，公司上下都在思考，到底为什么会这么慌乱和措手不及？此时，小王备份好的数据和应用，与这次重大事件好像没有任何关联。
小王很沮丧，供应商的事情，也要连累自己和公司，并且这么个小事件就让公司措手不及，形象和商誉大受影响。甚至有同事开始怀疑，小王到底懂不懂如何进行业务持续管理？单只备份了应用和数据，有什么用？还要建灾备中心，幸亏老板英明，没有花那一大笔冤枉钱。
那么我们提出本文的主题：业务持续管理，到底该怎么管？除了信息系统，还需要关注哪些方面？信息系统做好备份之后，还需要做什么？是不是一定要建立异地的灾备中心？
提及BCM时，首先想到信息系统的灾备计划，这是正确的逻辑，因为IT系统至今依然被认为是最具不确定性的支撑。但是BCM绝不仅仅是一个灾备方案，业务持续管理是一个整体的管理过程，通过识别威胁着组织的潜在冲击，构建有恢复力的管理架构，保护主要利益相关方的利益、自身的声誉、品牌和创造价值的活动。也就是说，对于业务持续性的管理，应该放在组织的管理框架之中，作为日常工作来管理，而不仅仅是一个一次性的项目。需要考虑的方面，也不仅仅是信息系统，而是要涵盖从场地、人员、技术、设备、信息、供应商（链）、利益相关方等方方面面的准备，现在让我们来了解最佳实践所倡导的业务持续管理。
1、 必须是一个管理体系，以保障权责分明，内容持续有效
要确保BCM有效，必须将之纳入管理体系架构当中，我们承袭管理体系的PDCA模型，来展示BCMS的管理框架。
首先作为管理体系的输入，需要考虑四个问题：
a)谁是我的利益相关方；
b)他们对于我的业务持续管理有什么要求(requirement)；
c)他们对于我的业务持续管理有什么期望。
在这三个问题识别清楚之后，再思考一个问题：我依赖于哪些服务商和产品供应商，他们是否能够被依赖。然后就可以开始考虑在管理架构中增添BCM的元素。
A) 界定BCM的范围和目标，从而制定出BCM的方针策略；(P)
B) 定义BCM各环节的职责、角色和权限，并从高层中指派一个人来总体负责BCM的策略和实施，确保有一个或多个人负责实施和维护业务持续管理体系。(P)
C) 提供人力和物质资源，保障管理要求的执行和实现。通过培训等方法，不断提升人员的连续性管理意识。(P)
D) 按照BCM生命周期，开始BCM的实施。(D)
E) 提供检查、审核和评审机制，确保管理持续有效。 (C)
F) 从各种渠道寻找持续改进的机会，并落实改进的效果。(A)
以下，让我们来详述实施阶段的活动
2、 要从了解自己出发，做好业务冲击分析(BIA)和风险分析(RA)
业务冲击分析需要有流程和方法支持，要保证分析可重复，要保证对分析结果定期评审回顾。分析的内容包括：
a) 组织需要识别出支持关键产品和服务的活动；
b) 识别出这些活动所面临的冲击；
c) 这些冲击历经时间后会如何发展；
d) 确定出这些活动所能容忍的最长中断时间；
e) 识别出这些活动所依赖的要素，包括供应商和外包商；
f) 按照恢复的优先级排序并确定出关键活动；
g) 估计出所需要的资源；
h) 设定关键活动的恢复时间目标(RTO)，使其小于最大容忍中断时间。
而风险分析则关注于确认关键活动及其支持资源所面临的外部威胁和自身脆弱性，并知晓当威胁引起事故并可能导致业务中断时的冲击。通过对威胁和脆弱性的识别和分析，建立风险注册表，并识别出损失缓解和风险处理措施方法，风险评估同样要保证可重复执行，要有定期评审回顾的机制。对待风险，可以考虑降低发生的可能性，缩短中断的时间，限制影响的范围来进行缓解和控制。对于那些后果严重者，开始进入持续战略。
3、 重要的是确定BCM的战略
BCM的战略需要确定如何恢复关键活动，同时也需要考虑未被定义为关键的那些活动，至少需要定义一个有效响应和恢复的意外事件响应架构；定义如何在RTO之内把关键业务恢复，以及恢复所需要的资源；确定如何管理与利益相关方的关系，以及与外部团体的关系。
4、 核心是BCM响应方案
响应方案框架可以包括一系列的计划，如事件管理计划（IMP）、业务持续计划(BCP)、危机管理计划（EMP）、灾难恢复计划(DRP)等。写了多少个计划不重要，重要的是在意外发生时，能够有条不紊地执行这些计划。因此需要一个专人来负责意外的响应，他需要有控制局面的能力和沟通协调的能力，要由这个人来决策何时启动BCP，进入应急响应状态。
图二：意外事件发展图
如图二所示，事件发生之后，我们可以把随后的动作分成三个阶段来看待：首先是应急响应阶段，在灾难发生的几分钟到数小时之内，包括确认事件影响的范围，考虑控制和制止事态的发展，与利害相关方沟通。其次是业务持续阶段，在灾难发生的数分钟到数天之内，根据预先的准备，在一定程度上保持业务，并启动恢复的计划。最后是恢复阶段，在灾难发生几周到几个月的周期内，按照预先的准备，把业务全部恢复到原来的水平。
在这些阶段里，需要预先写好的步骤详细的事件管理计划IMP和业务持续计划BCP来指导所有的事项。这些计划中至少要包括：启动的条件、任务和行动列表、应急联络方式、人员的活动、媒体的沟通、利害相关人的关注、恢复所需要的资源等。
5、 演练、测试和维护，确保计划真实可用
由于BCM的内容中，绝大多数是分析出来的，包括IMP和BCP都是头脑思考的产物，因此需要测试和演练来验证其可执行性和适切性。并把所发现的一切问题输入到改进当中。演练的理想方式是真实地全盘演练；在资源有限的情况下可以让步到模拟环境演练或者只对关键部件的演练；对于一般性的业务，也可以采用排练的方式演示计划的可操作性；最低的演练也需要对这些计划进行脑力激荡式的挑战，寻找其中不适切的部分。
针对可能的变化，需要有专门的角色来负责对这些计划的维护，以保证信息的更新，计划的持续适用。
最后还要对计划进行定期的评审，以发现其中的不适切的部分，并对于计划的充分性进行更新和改进。
6、 融入组织文化，成为员工行为习惯
在文化的构建中，管理层通过提升人员的意识、提供有关技能的培训，让人们具备了对BCM的理解和认知。当BCM融入组织的核心价值观当中时，BCM的管理构建能够更加高效，利害相关方会有深的信任，组织变得更有弹性来应对不同的情况，灾害的损失就会被降低。
以上这六个部分构成了BCM的生命周期，我们最后用一个图形来表述这些阶段和过程之间的关系。
图三：BCM的生命周期
小王的故事是虚构的，但是可能随时都发生在我们身边。如果就事论事地分析，小王可以做好两件事，一个是分析出关键供应商，识别出关键供应商缺失时的替代方案，第二个是做好针对供应商事故的内部的响应方案，如果初发现关键供应商发生事故，即便不能找到替代者，也应该做好临时的质量控制，就不至于发生大规模错误的邮寄问题。
从系统性考虑的角度，小王的关键缺失在于：
- 没有放在组织的管理架构里考虑持续管理，而是当作一个项目来执行，因此没有关注业务部门的真实想法，没有让管理层获取足够的信息来评审持续方案；
- 没有进行业务冲击分析，没有界定好范围，他的视线里只有IT系统和数据，业务的关键活动没有被识别出来，也就谈不上风险预防和意外事件响应了。
- 没有找到一套系统化的方法论来指导。
现在，小王可以参考BS 25999标准，对自己公司的业务持续管理进行差距分析，然后进行有针对性的弥补，让BCM从设计到执行都能满足利益相关方的要求和业务的需要，符合国际标准。
结语
BCM管理是需要组织最高层推动的管理活动，一个好的BCM管理框架能够让组织有足够的弹性来应对不同的事件，对于灾害的准备不是浪费，而是让业务的经营更加放心。作为一个公众依赖的组织，或者作为一个可信赖组织，BCM管理是一个必须的考虑。BS 25999为我们提供了管理思路和方法，她的第一部分为我们提供了最佳实践的指南，第二部分为我们提供了管理体系的规范，并且作为一个可审核的标准，组织可以请BSI进行第三方评审，以确定自身的BCM管理水平是否能够符合到标准，并提供对利益相关方的信心。
—完—
作者：BSI 成芳
