网络安全和业务连续性管理·业务连续性问与答·Q4

问题：

BCM有什么价值，即为什么要做BCM，或为什么不愿意做BCM？

简答：

业务连续性管理可以增强组织应对运营中断事件的能力，完善组织日常的运营管理；业务连续性管理是管理层而非股东的直接职责，可以帮助降低收益波动，提升股东价值，促进高管人员的职业和财产安全。下面予以详明说明(另附我国业务连续性管理水平不高的原因分析)。

1. 业务连续性管理可以增强组织应对运营中断事件的能力，完善组织日常的运营管理

我们知道，业务连续性是一种组织能力，这种组织能力使得组织在中断发生后，能在预先确定的可接受的水平上持续交付产品或提供服务；业务连续性管理则是一整套的管理过程，它可以识别一旦发生可能对业务运行带来影响的潜在威胁，并为组织建立有效应对威胁的自我恢复能力提供了框架，以保护关键相关方的利益、声誉、品牌和创造价值的活动。业务连续性管理体系是组织管理体系的一部分，用于建立、实施、运行、监视、评审、保持和改进业务连续性。

增强组织应对运营中断事件的能力

今天，众多组织都面临着自然灾害、恐怖主义、流行性疾病和极端天气等全球性风险的挑战，还需要防范黑客攻击、人为操作失误，排查信息技术障碍。人类左右不了大自然的喜怒无常，也无法阻挡灾难疫情的发生，更不可能防止百密一疏的人为失误。乌卡(VUCA)时代的到来，更是让组织极易陷入顾此失彼、左支右绌的境地，而业务连续性管理增强了组织应对运营中断事件的能力，极大的缓解了组织的此种困境。

业务连续性管理的根本目标是通过理顺治理机制，形成应对突发事件、灾害灾难的多部门协同体系，保障业务的持续运营。构建业务连续性管理体系首先需要分析组织内外部环境现状，管理层明确风险偏好以及整体战略。通过建立合理的业务连续性治理机制，使焦点聚焦于关键高风险领域。基于确定的业务板块开展业务影响分析、风险评估、资源和能力评估，可以帮助组织更好地了解可能造成运营中断的主要因素，为管理者制定行之有效的业务连续性策略提供决策支撑。基于以上策略和自身特点，不同组织可以结合自身的特点和发展阶段规划符合自身需求的信息系统、工作流程、组织结构及应急预案。并定期开展业务连续性演练和测试来验证预案的可行性、可用性和完整性，检验组织面对运营中断事件的应对能力，发现某些环节存在的问题和缺陷，促进业务连续性能力的持续改进。

对特定组织来说，通过建立业务连续性管理体系，在发生运营中断事件后，组织各部门可以根据确定的恢复优先顺序、所需最低关键资源投入、事件处理和危机沟通机制，有条不紊地在目标时间内开展应急响应和业务恢复工作，通过危机沟通维护组织形象，消除其它利益相关方的顾虑。业务连续性管理的实施有助于组织更快更有序地恢复，使组织业务中断损失最小化，最大程度地减少收入的损失、客户的流失、市场份额的减少以及法律诉讼等，保护品牌形象，并给社会大众展现良好的企业管理形象。

对行业来说，随着经济、金融全球化和信息技术发展的加速，行业中各组织的关联度也逐步提升，甚至国家与国家之间的相互依赖度也不断加强，单个组织的运营中断可能产生蝴蝶效应，使风险迅速大范围扩散。业务连续性管理的实施将提高全行业的抗风险能力和稳定性，对行业长期、可持续健康发展具有深远的意义。

“人是万物的尺度”，在业务连续性管理体系中，“人”仍处于关键资源的中心。首先，员工是组织最重要的资产之一，业务连续性管理体系将综合分析和评估对员工人身安全产生威胁的事件，并制定各事件下的应对策略、预案和措施，更好地保护员工的生命安全，也让员工有更强烈的安全感、归属感和忠诚度。其次，组织业务连续性管理体系的建设、实施、运行、监视、评审、保持和改进，都需要高素质、高责任心的员工来参与。在业务连续性管理体系建立和运行的过程中，将极大促进员工对业务及支撑要素的理解，增强员工的使命感和参与感。

小知识：VUCA时代

曾经我们生活在一个非常有序的社会里——农耕社会。在农耕社会里，我们所做的就是循着先祖们的道路，按他们所总结出来的道理而行事。没有太多变迁，一切都非常有序。“芒种”播种，“清明”插秧，一切活动都按照时节而行。春种秋收，日出而作，日落而息，如此循环往复,千载不变。

但是，人类社会进入工业社会以后，开始步入了快车道，尤其是在当前伴随着信息社会的到来，越来越加速进入VUCA时代。VUCA时代？它到底是什么呢？

VUCA是指组织处于多变(Volatile)、不确定(Uncertain)、复杂(Complex)和模糊(Ambiguous)的状态中。

VUCA的概念是由美军在20世纪90年引入用来描述冷战结束后更加多变、不确定、复杂和模糊的多边世界。在2001年9月11日恐怖袭击后，这一概念和首字母缩写才真正被确定下来。随后，“VUCA”被商业领袖用来描述已成为”新常态”的、混乱、动荡和快速变化的商业环境。

在《世界是平的》一书中，托马斯·弗里德曼指出，当今世界改变的速度已与过去不同，每当文明经历颠覆性的技术革命时，都给世界带来了深刻的变化。从各方面来看，商业中混乱的”新常态”是真实的。例如，2008 - 2009年的金融危机使许多商业模式过时，全世界的各类组织都陷入了类似于军方面临的动荡环境。与此同时，随着社交媒体等新技术发展的爆发，世界人口继续增长和老龄化，以及全球经济重心的转变，未来似乎变得更加不可预测，所以组织比以往任何时候都更需要业务连续性管理。

VUCA时代的变化经常呈现跳跃性和震荡性，会产生很多破坏性的现象，比如信息爆炸、突发事件频繁、资源紧缺、员工投入度低等，给组织带来更多的风险，很多组织如不能及时调整方向，无法快速适应新的环境，就会因为错误的假设而迷失，因为错误的航标而消失。

完善组织日常的运营管理

随着业务连续性管理的概念得到越来越多行业的重视，监管部门也陆续出台了相关的规章制度来规范行业业务连续性管理，并不断加强检查力度。另一方面，越来越多的企业将非核心业务进行外包，导致外包风险日益突出。此外上下游企业依赖程度高的行业中，供应商或物流运输渠道过分集中，有较高的集中度风险。这两种风险的共同点就是外部第三方服务中断时对企业经营造成影响。组织通过建立业务连续性管理体系，可系统化地识别和管理这些运营风险，维护组织日常运营的健康稳定。

此外，在业务连续性管理体系策划、建设、实施、运行、保持和改进过程中，组织需要了解组织内外部环境现状，主动识别主要危险场景、运营中断的影响，明确产品和服务的重要程度以及最低交付水平，评估业务的脆弱性，并根据业务之间的依赖关系确定恢复顺序，这些知识能够让高管团队、业务部门更深入地了解业务及其支撑要素，从而有效改进业务运营效率。

从长远来看，业务连续性管理的价值并非仅仅是组织满足合规要求、应对灾难、提高生存能力的工具，在许多发达国家，业务连续性管理已成为改善经营管理、承担社会责任的基本准则，是组织提高风险预测和快速应对能力、适应需求变化和威胁，保持竞争优势的重要基础。

银行业为什么对业务连续性管理格外关注？

从内部看，如何化险为夷躲过”灭顶之灾”，把灾难造成的影响降到最低，是关于银行生死存亡的大计。首先是运营中断可能造成的巨大(的财务)损失，这包括业务损失，员工误工成本，为业务恢复所投入的软、硬件、人员及第三方服务成本，可能的监管罚款(和评级下调)，因损失引发的客户索赔及诉讼等。其次是风险的日趋集中，网络时代的来临，给银行带来了数据大集中的深入发展以及以网络银行、移动支付等新兴电子渠道的广泛应用，导致银行运营中断事件的风险点日趋集中，一旦发生运营中断，其影响往往是全国性的、区域性的。

从外部看，银行的业务中断可能引发”蝴蝶效应”，波及整个社会。试想有一天客户无法提取存款，无法向亲朋好友汇款，无法通过网上银行进行支付，无法缴付水电费、燃气费，无法进行股票、基金交易；企事业单位无法进行工资发放，无法正常进行交易资金交付；国家无法进行国库资金的集中支付，生活将是如何混乱。在不知不觉中，这些银行服务已经渗透到政治、经济以及居民日常生活的各个领域，影响着人们的生活方式和思维方式，银行业务中断对整个社会的影响是广泛和深远的。

笼统而言，业务连续性管理是通过一系列企业资源和流程安排，使一个组织在突发风险事件前能够迅速作出反应，确保关键业务功能可以持续有效，从而避免业务中断或控制中断的负面影响。业务连续性管理的长期回报显而易见。首先是稳定投资者和存款客户的信心，消除对银行能否持续经营的顾虑；其次是避免对金融体系的负面外部影响，履行社会责任；再次是借助控制业务持续开展的手段，发现改善关键业务流程薄弱环节的方法；此外，从合规性角度看，使本组织适应当前趋严的监管制度，以减少或避免因运营中断不能及时有效应对而造成财务损失和监管处罚。

其它关键基础设施及公共服务行业、供应链中的”链主”企业在运营中断风险面前的处境类似，也都(应该)对业务连续性格外关注。

2. 业务连续性管理是管理层的直接职责，可以帮助降低收益波动，提升股东价值，促进高管人员的职业和财产安全

业务连续性管理可以通过降低企业运营中断的可能性或者快速恢复中断业务，最小化运营中断带来的损失，阻止企业陷入财务困境时的大额成本来增加公司价值；从公司信誉和竞争力等无形价值资产角度考虑，良好的业务连续性管理可以充分保护利益相关人利益，提高和维护公司信誉及利益相关人信任，有助于全面提高企业竞争力。除此以外，至少还有以下理由可以说明业务连续性管理的重要性。

第一：管理运营中断风险是管理层而不是股东的直接职责。本质上，投资者可以自行通过分散的投资组合来降低风险，但即使专业的基金经理也不可能获取到有效风险管理所需要的足够的内部信息(包括有关风险/收益的历史资料、波动率和相关性，企业当前的风险敞口和集中度，可能改变公司风险特征的未来经营和投资计划等)。对企业的管理层，虽然他们能优先知晓有关信息并有风险管理系统和专家可以利用，但股东和其他利益相关方仍然希望他们通过风险管理来降低企业价值的波动幅度，以尽量减少令投资人不安的意外，因此管理运营中断风险是管理层而不是股东的直接职责。

第二：业务连续性管理可以帮助降低收益波动。对运营中断风险进行主动管理的公司，在应对运营中断事件时将可以更为从容地根据预先确定的策略、准备的资源和预案进行应急响应和业务恢复，使自身利益最大化。反之，那些未对运营中断风险进行有效管理的企业只能疲于奔命，采取临时应对措施，给运营带来困难，有统计表明，在经历大型灾难而导致业务中断的企业中，有40%再也没有恢复运营，剩下的也有近1/3在两年内破产，可见运营中断风险给企业带来损害之大。

第三：业务连续性管理可以帮助提升股东价值。除了降低收益波动外，业务连续性管理还可以帮助企业达到它的经营目标来提升股东价值。在实务中，业务连续性管理可以通过以下方式提升股东价值：

(1)促使各业务的目标与企业的整体经营目标、风险目标保持一致；

(2)保障业务运营底线最小化投入成本、充分获取业务的风险收益；

(3)防止大的损失和对公司声誉品牌的损害。

此外，积极的业务连续性管理还可以减少商业活动的不确定性支持公司效益的全面增长。

第四：业务连续性管理促进高管人员的职业和财务安全。就个人层次来看，业务连续性管理最引人注目的益处是它有助于高管人员的职业和财务安全。随着法律法规和监管要求的完善，公司董事、监事和高管人员面临越来越大的责任和职业风险，除了原公司法规定的民事责任和刑事责任外，他们还有可能承担因关联交易损害公司利益而承担的赔偿责任，公司对外担保和投资业务中的赔偿责任，因签订和管理合同不当或合同履行不力带来的赔偿责任，因公司不正当竞争行为带来的连带赔偿责任，因信息披露违法违规带来的连带赔偿责任等多重风险。

通过有效的业务连续性管理，可以使管理者积极作为，对可能造成重大损失的风险事件事先制定应对方案及应急预案，在损失发生前尽力降低风险发生的可能性，在损失发生后，使其破坏力最小化，结果使管理者的利益和股东利益同一化。在一定程度上，业务连续性管理可以提供给管理者更高程度的职业安全并且保证他们在公司里的价值，使其手中的期权更有价值。可以说，“业务连续性管理的最大价值就在于帮助降低收益波动，阻止企业陷入财务困境时的大额成本”。

下表给出了业务连续性管理的特点、优点、好处和影响(即FABI)：

特点(Feature)	优点(Advantage)	好处(Benefit)	影响(Impact)
建立和实施业务连续性管理体系	BCM是一项持续性、常态化的管理活动	一旦发生事故，通过动员和启动应急处理程序，将更有序和高效地处置事件，最大程度地降低损失	业务损失降到最低；避免企业破产倒闭，员工失业，树立企业形象，提升客户信心
日常管理	帮助组织主动识别和分析关键业务及其依赖性，采取持续改进的管理措施；推动对现有管理和流程改进；促进各职能部门间协调运转；建立体系化的风险应对措施，减少人为判断的各种失误	日常运营各环节更有保证；减少管理决策的失误率；更顺畅地跨部门和跨层级沟通管理；更加从容地应对监管及外部审计检查	促进组织运营更健康、更高效、更稳健
开展业务连续性培训和演练	提高员工风险防范意识和应急处置技能；发现现有预案、流程和资源的合理性，发现差距予以改进	培养员工的安全意识和归属感；提高应急处置效率，降低现场处置压力	培养组织积极的风险文化，增强组织的凝聚力
建立业务连续性管理组织	展现管理层对业务连续性的重视和承诺；明确各层级、各部门的职责和权限；优化资源配置	充分调动和利用现有资源，不造成重复投入；增强相关方的信心；有效推进和监督BCM各项工作的开展	利于优化组织资源，展现组织保障持续运营的能力和信心

附：为什么我国的业务连续性管理水平不高，有待进一步发展

目前，我国除了银行业(强行业监管)、部分外资企业(因总部要求)、部分外向型企业(因客户要求)及面向公众服务的服务型业务(因竞争需要)外对于业务连续性管理的认识和意识显然尚处于低洼地带。即使在银行业，仍有相当一部分中小商业银行停留在IT灾备和应急管理阶段，对于业务灾备场地、人员备份、备用通信设施等方面少有准备；在商业银行中除了少数推动业务连续性管理体系建设的部门或主管外，大部分业务条线和职能部门参与程度不高，意识和技能尚待提升。业务连续性管理的重要性和价值，任重而道远，主要原因分析如下。

首先，中西方信息化发展程度的不同使业务连续性管理体系的认识起点和基础不同。欧美发达国家的信息化始于20世纪60年代，而我国的信息化始于20世纪80年代后期，20年的建设和发展的优势，使欧美发达国家建立起了较为成熟的系统灾备体系，并进一步展开了更为广泛的现代业务连续性管理的研究，将业务连续性管理不仅作为全面风险管理的组成部分之一，更是创造核心竞争力，实现业务发展的重要手段。而我国银行业自2008年才开始从IT灾备向业务连续性管理的转换，其它行业起步更晚，尚未进入快速发展轨道。

其次，中西方企业所有制体制的不同，对业务连续性的发展起到了不同的影响。西方先进企业绝大部分实行私有制，这决定了其必然以追逐企业价值最大化为根本目标，而灾难事件对于企业的伤害轻则是财产损失和声誉损失，重则招致倒闭的灭顶之灾，面对关乎生死存亡的大计，企业自然有动力推进并完善业务连续性管理体系建设工作，以最小化灾难事件给企业带来的影响。而我国重要的大型企业的大股东通常是政府或国有企业，其核心经营目标是企业发展和保持社会稳定，并不是股东财富最大化，灾难事件带来的影响大部分不会直接作用于制定战略的经营者利益上，也无法通过有效的市场竞争和淘汰机制来传递经营好坏的信号。

第三，文化差异也是导致国内灾难防范意识薄弱的重要原因。从历史来看，西方文化把人和自然各自独立分别加以研究，而中国文化重视和强调人与自然的和谐统一，推崇人与自然的因果轮回。这样的文化基础，使西方人更多地诉诸于”求己”，研究自然规律以及天灾人祸的发生机理，从而加以克服应对；而中国人自古以来更多地寄望于”求神”，通过祭天、祭地等祭祀活动，或是怀着侥幸心理，希望灾难不要发生，实难发生也不去多想。