业务连续性问与答Q15：如何编制和管理应急预案(和业务连续性计划)？(下)

问题：

如何编制和管理应急预案(和业务连续性计划)？

与此相关的问题还有：

应急预案和业务连续性计划是什么关系，我需要都编写吗？

应急预案有哪些内容，怎么编制和管理？

业务连续性计划有哪些计划？

应急预案是制度文件吗？每年还要修订，如果定为制度的话，那每次修订就太麻烦了。

……

回答：

下面从应急预案和业务连续性计划基础、应急预案体系以及应急预案的编制和管理进行回答。

……续上期(前面我们讨论了应急预案和业务连续性计划的区别和联系，下面我们具体讨论组织级(即单位和基层组织)应急预案的编制和管理，与政府及其部门制定的公共安全应急预案不同的是，组织级应急预案还将包含运营中断事件的应对；同时，由于特定政府机构也是一个组织，因此以下的讨论也适用于政府机构为应对突发应急事件和运营中断事件对其自身造成影响而编制的预案)。

2.应急预案体系构成与主要内容

单位和基层组织应急预案由机关、企业、事业单位、社会团体和居委会、村委会等法人和基层组织制定，侧重明确应急响应责任人、风险隐患监测、信息报告、预警响应、应急处置、人员疏散撤离组织和路线、可调用或可请求援助的应急资源情况及如何实施等，体现自救互救、信息报告和先期处置特点。

组织级应急预案需要具体规定事件应急管理工作的组织指挥体系与职责、事件管理机制、事件的预防与预警措施、处置和恢复程序、保障措施以及事后重建措施等内容，主要由综合应急预案、专项应急预案、现场处置方案、操作指南以及附件构成，如下图：

组织应急预案体系构成

综合应急预案，是组织为应对突发应急事件和运营中断事件而制定的综合性工作方案，是本组织应对突发应急事件和运营中断事件的总体工作程序、措施和应急预案体系的总纲。

专项应急预案，是组织为应对某一种或者多种类型突发应急事件或运营中断事件，或者针对重要生产设施、重大危险源、重大活动保障、应急资源保障等预先制定的专项性工作方案。

现场处置方案，是指组织根据不同应急和中断事件类型，针对具体场所、装置或者设施所制定的应急和恢复处置措施。

操作指南，是组织在编制应急预案的基础上，为重点岗位、人员制定的应急处置程序和措施，应急处置卡是操作指南的一种形式。

组织应根据有关法律法规和相关标准，结合自身组织管理体系、业务特点和生产规模、风险情况和能力现状，与相关预案保持衔接，确定组织应急预案体系的具体构成。综合预案体现战略性，专项预案体现战术性，现场处置预案体现操作性。风险单一、危险性小、业务简单的中小型组织，可以只编制现场处置方案。中大型企业集团可根据相关标准规范和实际工作需要，参照国际惯例，建立本集团应急预案体系，并可根据组织的实际情况，确定是否编制专项应急预案。跨领域、跨区域经营的大型企业集团可根据自身业务情况及区域分工，在总部建立综合预案和专项预案，在区域公司及专业公司建立二级综合预案和专项预案，并在基层一线建立现场处置方案和操作指南。

预案应急响应是否分级、如何分级、如何界定分级响应措施等，由组织根据本单位的实际情况确定。

综合应急预案

风险种类多、可能发生多种类型事件的组织，应当组织编制综合应急预案。综合应急预案主要从总体上阐述事件应对的基本原则、总体组织架构、各层级预案的定位和衔接关系、突发应急事件和运营中断事件的预警、报告、分析、决策、处理、恢复等处置程序，以及应急保障的总体安排等，明确相关各方的职责和任务。

一般情况下，综合应急预案主要内容可包括：

(1)总则，具体包括：编制目的、编制依据、适用范围、应急预案体系、事件应对基本原则；

(2)业务概况和风险描述，具体包括：业务概况及恢复目标，主要风险描述；

(3)应急组织机构及职责，明确应急组织形式及组成单位或人员，可用结构图的形式表示，明确构成部门的职责；

(4)预警及信息报告，根据监测监控系统数据变化状况、事件险情紧急程度和发展势态或有关部门提供的预警信息进行预警，明确预警的条件、方式、方法和信息发布的程序；

(5)应急响应，具体包括：响应分级、响应程序、处置程序等；

(6)业务恢复，具体包括：基础设施恢复、ICT恢复、业务恢复(验证和作业追补)等；

(7)信息沟通，明确向有关新闻媒体、社会公众和关键相关方沟通事件信息的部门、负责人和程序以及沟通原则；

(8)事后重建，主要明确污染物处理、生产秩序恢复、医疗救治、人员安置、善后赔偿、事件评估等内容；

(9)保障措施，主要包括：通信与信息保障、应急和恢复队伍保障、物资装备保障和其他保障等。

专项应急预案

对于某一种或者多种类型的事件风险，组织可以编制相应的专项应急预案，或将专项应急预案并入综合应急预案。可独立编制的专项预案有应急响应(救援)、业务恢复、重要目标保护物、节假日与重大活动期间、重大活动保障、环境保护、媒体公关和应急保障等类型：

针对突发应急事件应对的应急响应(救援)专项应急预案，侧重明确突发应急事件的预警信息传播、组织先期处置和自救互救、信息收集报告、人员临时安置等内容，体现先期处置和自救互救的特点；

针对运营中断事件的业务恢复专项应急预案，侧重明确运营中断事件的信息沟通、损失(资源)评估和控制、备用资源启用、业务恢复及验证等内容，体现业务按恢复优先级和恢复时间目标有序恢复的特点；

针对重要基础设施、生命线工程等重要目标物保护的专项应急预案，侧重明确风险隐患及防范措施、监测预警、信息报告、应急处置和紧急恢复等内容；

针对节假日与重大活动期间制定的专项应急预案，侧重明确节假日与重大活动期间的应急值班、信息报告、业务运营安全保障和应急处置等内容；

针对重大活动保障制定的专项应急预案，侧重明确活动安全风险隐患及防范措施、监测预警、信息报告、应急处置、人员疏散撤离组织和路线等内容；

针对环境保护的专项应急预案，侧重明确现场指挥机制、应急队伍分工、信息报告、监测预警、不同情景下的应对流程和措施等内容；

针对媒体公关的专项应急预案，侧重明确媒体沟通策略、领导小组组成、新闻发言人机制、舆情监测和应对程序等内容；

针对为事件应对工作提供队伍、物资、装备、资金等资源保障的专项应急预案，侧重明确组织指挥机制、资源布局、不同种类和级别事件发生后的资源调用程序等内容。

综合而言，专项应急预案主要规定专项应急指挥机构与职责、处置程序和措施等内容，并明确与该类型专项应急预案相关的风险与事件特点、目标、信息报告和响应分级等，与公共安全应急预案有衔接的专项预案，还应明确指挥权移交、警戒疏散等内容；数字化程度较高的组织可制定独立的IT DR专项应急预案或IT DR综合应急预案(作为二级综合应急预案)；组织也可根据实际情况，将媒体公关专项应急预案扩展为面向多个相关方的(危机)沟通专项应急预案。

一般情况下，专项应急预案主要包括事件风险分析与预案工作目标、应急指挥机构及职责、处置程序和措施等内容：

(1)事件风险与预案工作目标，与专项预案的类型相关，可以明确风险的危害程度、影响范围，预案的工作目标等；

(2)应急指挥机构及职责，根据专项预案类型，明确应急指挥机构负责人及各成员单位或人员的具体职责；

(3)处置程序，明确事件及事件信息报告程序和内容、报告方式和责任人等内容。根据事件响应级别，具体描述事件接收报告和记录、应急指挥机构启动、应急指挥、资源调配、应急救援、扩大应急、业务恢复等应急程序；

(4)处置措施，针对可能发生的事故风险、事故危害程度和影响范围，制定相应的应急处置措施，明确处置原则和具体要求。

现场处置方案

基层(或一线)部门针对具体的场所、装置或设施所,根据风险评估、岗位操作规程以及控制措施灵活制定现场工作方案，主要包括风险分析、应急工作职责、处置措施和注意事项等内容：

(1)风险分析，主要包括事件类型、事件发生的区域、地点或装置的名称，事件发生的可能时间、事件的危害严重程序及其影响范围，事件前可能出现的征兆，事件可能引发的次生、衍生事故；

(2)应急工作职责，根据现场工作岗位、组织形式及人员构成，明确各岗位人员的应急工作分工和职责；

(3)应急处置，主要包括事件应急处置程序、现场应急处置程序、业务恢复程序以及明确报告负责人以及报告电话及上级管理部门、相关外部救援或服务单位联络方式和联络人员，事件报告基本要求和内容等；

(4)注意事项。

操作指南

组织可在编制应急预案的基础上，针对工作场所、岗位的特点，为一线从事应急响应和业务恢复的人员编制简明、实用、有效的操作指南。操作指南的内容主要包括应急处置程序和措施，以及相关联络人员和联系方式。便于重点岗位、重点人员携带和使用的卡片式操作指南也可称为”现场重点岗位作业人员应急处置卡”或”重点岗位应急处置卡”。

附件

组织的应急预案应有附件说明一些重要信息和格式化文本，主要内容可包括：

(1)有关应急部门、机构或人员的联系方式；

(2)应急物资装备的名录或清单，列出应急预案涉及的主要物资和装备名称、型号、性能、数量、存放地点、运输和使用条件、管理责任人和联系电话等；

(3)规范化格式文本，如应急信息接报、处理、上报等规范化格式文本；

(4)关键的路线、标识和图纸，包括：警报系统分布及覆盖范围，重要防护目标、危险源一览表、分布图，应急指挥部位置及救援队伍行动路线，疏散路线、警戒范围、重要地点等的标识，相关平面布置图纸、救援力量的分布图纸等；

(5)有关协议或备忘录，如与相关应急救援部门签订的应急救援协议或备忘录，与合作方分建和运行异地灾备中心的互惠协议等。

当附件信息发生变化时，应及时更新，确保准确有效。

综合预案 专项预案 现场方案 1.总则 1.事件风险与预案目标 1.风险分析/预案目标 2.业务概况和风险描述 3.组织机构及职责 2.组织机构及职责 2.组织机构及职责 4.预警及信息报告 3.应急程序 (应急响应/业务恢复/……) 3.应急处置 5.应急响应 6.业务恢复 7.信息沟通 8.事后重建 9.保障措施 4.应急保障 4.注意事项 10.附则 5.附则 11.附件 6.附件 应急预案体系要素小结

以上简要描述了组织级应急预案体系的构成及主要内容，实务中在设计应急预案体系时还需要考虑以下事项：

(1)组织(单位和基层组织)制定的组织级应急预案体系的总纲一般称为综合应急预案，政府及其部门制定的公共安全应急预案体系的总纲一般称为总体应急预案，但也有例外，如《商业银行业务连续性监管指引》第34条要求，“商业银行应当制定总体应急预案。总体应急预案是商业银行应对运营中断事件的总体方案，……”；

(2)“综合应急预案-专项应急预案-现场置方案”的层级结构便于对预案进行结构化管理，但并未反映应突发事件形态从单一型向复合型、从局部事件向跨部门、跨区域演化的特点，也未考虑需同时启动两个及以上一级专项预案的情形，因此在制定综合应急预案时需考虑其启动条件以应对危机管理的需要；

(3)为保护生命财产安全、社会秩序和公共利益，组织应依法依规制定特定类型的应急预案，可通过编制专项预案或二级综合应急预案的方式予以应对；

(4)根据组织实际情况，某些现场处置方案(具体内容可略调整)可以直接对接综合应急预案，不必拘于形式专门为其制定专项应急预案；

(5)应急预案体系中专项应急预案的对象与类型有关，可以是突发应急事件、运营中断事件、重要基础设施等，现场处置方案的对象是具体的场所、装置或设施，这些预案都涉及多人(3到5人或更多)或多个团队之间的沟通、协调和协作，一般默认应急预案的颗粒度也即如此，由于操作指南(应急处置卡)针对重点岗位、重点人员制定，因此操作指南可视为应急预案体系的有益和必要补充而不是其必需组成部分(IT灾备预案中为单个人员制定的操作指南也一样)；

(6)组织编制的各类应急预案之间应当相互衔接，并与相关政府及其部门、应急救援队伍和涉及的合作伙伴或外包供应商的应急预案相衔接。

3.应急预案的编制和管理

应急预案是组织为应对突发应急事件、运营中断事件和危机而对相关能力进行集成和综合的工作方案，统筹安排事前、事发、事中、事后各个阶段的工作。应急预案的编制和管理——涉及编制和评审发布、宣传培训和演练、以及评估和修订维护——是业务连续性项目集管理的重要组成部分，也是在业务连续性管理委员会领导下的项目或活动(与组织规模、业务复杂度和应急预案体系结构相关)。

3.1 应急管理组织

组织应急管理组织一般由应急管理决策机构、应急管理日常办事机构和应急管理工作机构三类机构组成，具体的构成形式与组织的管理模式相关，以下以常见的组织应急管理组织构成进行描述。

组织应急管理组织构成通常包括：

(1)应急管理委员会，一般为非常设机构，主要负责应急管理重大事项的决策；

(2)应急管理办公室，为应急管理委员会的办事机构，负责应急管理日常工作运行管理；

(3)应急管理日常工作小组，根据各业务条线和专业的需要，成立日常工作组，具体负责对应业务条线或专业领域的预案管理和应急管理工作；

(4)现场处置工作组，在应急事件发生后，由应急管理委员会指定成立，负责应急事件的现场处置工作；

(5)专家组，为非常设机构，主要为应急管理委员会在应急管理中的重大决策提供专业建议和意见，也可为现场处置提供专业技术支持。

3.2 组织应急预案编制过程

单位应根据有关法律、法规和相关标准，结合本单位实际，按照以下过程编制应急预案(完整的应急预案编制过程请参考有关文件，详见附图)：

一般地说，编制应急预案可分为以下六个步骤：

第一步：成立应急预案编制工作组

业务连续性管理委员会应结合组织业务、部门职能和分工，成立应急预案编制小组，如委托或指定专人担任预案编制领导小组组长(可以是组织主要负责人或分管负责人)，指定编制小组负责人，吸收预案涉及主要部门的业务相关人员、有关专家及有现场处置经验的人员参加编制小组，明确工作职责和任务分工，制定工作计划，组织开展应急预案编制工作。

第二步：资料收集、风险评估和应急资源调查

预案编制小组应收集与预案编制工作相关的法律法规、技术标准、应急预案、国内外同行业企业事故资料，同时收集组织的安全生产、环境保护、产品生产或服务运维等相关技术资料，并做好风险评估、业务影响分析以及内、外部应急能力和资源评估，确定能力差距和核心能力目标。

第三步：应急预案编制

组织基于前述预案编制准备工作，编制应急预案。根据需要，预案编制小组可为各级预案编制人员提供应急预案编制模板、格式及编制指南。在预案编制过程中，要注意以下基本要求：

(1)有关法律、法规、规章和标准的规定；

(2)本地区、本组织、本部门的业务特点和能力现状；

(3)本地区、本组织、本部门的风险情况；

(4)应急组织和人员的职责分工明确，并有具体的落实措施；

(5)有明确、具体的应急程序和处置措施，并与应急能力相适应；

(6)有明确的应急保障措施，满足本地区、本组织、本部门的应急和恢复工作需要；

(7)应急预案基本要素齐全、完整，应急预案附件提供的信息准确；

(8)应急预案内容与组织内部以及外部部门和单位相关应急预案相互衔接；

(9)根据法律、法规、规章的规定或者实际需要，征求相关专业应急队伍、公民、法人或者其他组织的意见。

第四步：推演和桌面演练

组织应基于编制的预案开展推演和桌面演练，对预案内容进行检验并根据检验结果进行修正完善。

第五步：应急预案评审和批准发布

评审分为内部评审和外部评审，内部评审由组织主要负责人牵头进行，外部评审邀请外部有关专家和人员进行评审。评审专家可包括应急预案涉及的相关政府管理部门人员、相关行业协会代表和相关专业领域的专家等。根据需要，组织还可以开展应急预案演练进行检验。

应急预案经评审或者论证后，由组织主要负责人签署，向组织内部人员公布，明确应急预案实施的具体时间、负责制定(修订)与解释的部门，并及时发放到组织有关部门、岗位和相关应急救援队伍。

第六步：应急预案实施

组织应按照应急预案的规定，落实应急指挥体系、应急救援队伍、应急和恢复物资及装备；对重大危险源登记建档，定期检测、评估、监控；建立应急和恢复物资、装备配备及其使用档案，并对应急和恢复物资、装备进行定期检测和维护，使其处于适用状态，随时准备应对突发应急事件和运营中断事件。

并组织对与应急预案实施密切相关的管理人员、应急响应和业务恢复人员等开展应急预案培训，并根据组织的业务和风险特点，制定年度(或跨年度)应急预案演练规划(项目集)，通过演练检验应急预案并进行持续改进。

3.3 应急预案的管理

应急预案的管理遵循”谁编制、谁管理”的原则，由预案编制部门负责从预案编制、演练、评估、修订到预案废止全生命周期的管理。

关于预案编制计划，组织每年年底应制定下一年的应急预案编制(含修订)计划，明确每个预案编制任务的目标、范围、资源、质量标准和交付时间，并指定预案编制负责人。

关于预案评审，应急预案编制完成后，编制部门应组织内部评审，评审通过后报应急管理办公室组织外部评审或专家评审。对于特定行业的组织，外部评审或专家评审是法定要求。

关于预案发布、备案，应急预案通过评审后，由组织主要负责人(或分管负责人)签发，并根据相关要求进行备案管理。组织应按照国家有关规定将本组织重大危险源及有关安全措施、应急措施报有关部门备案。

关于预案培训，组织应将应急预案培训纳入年度培训计划，针对各级各类应急响应人员分层分类开展应急预案培训，使有关人员了解应急预案内容，熟悉应急职责、应急处置程序和措施。

关于预案演练，组织应根据预案类型及实际情况制定演练计划，每年至少组织一次综合应急预案或专项应急预案演练，每半年至少组织一次现场处置方案演练，并对演练效果进行评估，提出改进建议。

关于预案评估与修订，组织应建立预案周期性评估机制，对预案内容的针对性、实用性和可操作性进行分析，并定期或不定期地根据法律法规要求、组织结构变化、风险评估结果、演练和实战中发现的问题对应急预案进行修订。

关于预案废止，当预案所涉及的业务、组织、流程、系统等发生根本性变化时，预案编制部门应按照程序对预案进行废止处理，并及时发布废止通知。