原文链接 ↗

业务连续性管理核心概念的演变(一)

概念是人类思维的基本形式，是人们在认识事物的过程中，通过观察、分析、推理等思维形式，把客观事物的本质属性加以抽象概括而形成的；而术语是特定专业领域内用来表达一个概念的语言形式，它与概念同时产生与消失。

业务连续性管理行业在过去三、四十年中不断发展，从最初关注信息技术的停电”灾难”逐步扩展到试图解决关键业务运营问题。随着行业的快速发展，从业者对业务连续性管理的认识也在不断变化。事实上，不同年代、不同领域的BCM标准或规范对术语的定义已发生了不小的变化，有些术语甚至出现了一般意义和专业意义上的明显差异，对学习和理解BCM造成了不必要的障碍。

标准通常汇聚了参与制定者的普遍共识，能反映出一个行业的发展进程。ISO 22301系列国际标准给出了主要的业务连续性管理术语定义，并已获得了各国标准化组织的积极采用和主要业务连续性管理专业团体的广泛认同。下面我们从业务连续性管理及相关标准的发展过程、主要术语定义的变化入手，梳理业务连续性管理核心概念的发展和演化，共同探讨对业务连续性管理核心概念的认识和共识，主要内容分为3个部分：

(一) 业务连续性管理及相关标准的发展概况；

(二) 不同标准对业务连续性管理概念的理解；

(三) 业务连续性管理核心概念的发展和变化。

BCM标准发展过程

一、业务连续性管理及相关标准的发展概况

1.1 业务连续性管理的起源与发展

随着20世纪70年代末，商业灾难恢复方案在美国兴起，IT灾难恢复的第三方咨询服务应运而生。为说服甲方的高层管理人员在可能永远不会发生的事情上进行重大投资，一些天才的咨询顾问创造出了”业务影响分析”(business impact analysis, BIA)方法——通过对业务流程的梳理和量化，确定关键业务流程及优先级、所需的资源和恢复时间要求。一直到今天，BIA仍然是BCM的基石。

20世纪80年代中期，BIA方法在美国得到应用，并很快传入欧洲和澳大利亚。1986年，Ron Ginn首次使用”业务连续性”(business continuity)一词，并在1989年出版的《Contingency Planning》杂志中讨论了业务连续性的概念。由此，灾难恢复开始向业务连续性转变。

随着业务连续性管理的快速发展，为满足经验交流和知识学习的需求，并使业务连续性管理专业人员与其它IT咨询顾问区分开来，1988年，美国的国际灾难恢复协会(Disaster Recovery Institute International, DRII)成立；1994年，英国的业务持续协会(Business Continuity Institute, BCI)成立。BCI成立后，即开始在全球范围内推广”业务连续性管理”理念，并积极推动相关标准的研究和制定工作。

“9.11”事件是业务连续性管理发展的重要里程碑。在付出沉重的代价后，人们认识到IT灾难恢复和业务连续性管理的重要性。这种重大灾难事件一旦发生，整个区域的组织都会受到严重打击，不仅组织自身，与其关系紧密的供应链及其它利益相关方都会受到严重影响。因此，如何从组织整体持续运营的角度来规划业务连续性变得格外重要。

2003年，已成为全球两大业务连续性管理专业团体的国际灾难恢复协会(DRII)和国际业务持续协会(BCI)联合发布了10种业务连续性管理专业实践(Professional Practice)，作为衡量、评估业务连续性管理体系建立和实施有效性的专业准则。很快，英国标准协会(BSI)于同年发布了PAS 56以及后来的BS 25999系列标准，最终促成了ISO 22301系列BCM国际标准和相关技术规范的诞生。

1.2 业务连续性管理相关标准概况

PAS 56、BS 25999、ISO/PAS 22399和ISO 22301系列标准发展过程

图1 PAS 56、BS 25999、ISO/PAS 22399和ISO 22301系列标准的发展过程

PAS 56和BS 25999

同样在2003年，英国标准协会(BSI)发布了PAS 56:2003《业务连续性管理指南》，该规范由BCI和Insight Consulting Limited支持(sponsor)完成，是较早发布的BCM通用框架指南。

PAS 56旨在帮助BCM管理人员理解和实施BCM项目集(BCM programme)，它确立了BCM的流程、原则和术语，描述了BCM涉及活动及成果，提供了良好实践的建议，并概述了评估准则。PAS 56基于BCM项目集生命周期概念，将BCM分为8个部分、36个活动，其输入输出关系和活动间的互动关系颇为复杂。

PAS 56在为BCM提供通用框架方面取得了巨大的进展，但在BCM涵盖的规划范围和基本组成部分方面仍缺乏足够共识。对有些人来说，PAS 56太局限，对另外一些人而言，又太有争议很难被广泛接受。因此，BSI很快开始着手开发一个新的业务连续性管理标准，即BS 25999。

从业者已认识到实施BCM和建立并管理一个有效的BCMS之间有很大区别，因此，BS 25999分为两个部分：其中BS 25999-1《业务连续性管理 第一部分：实用规则》于2006年发布，它确立了BCM的过程、原则和术语，为建立、实施和保持组织的BCM提供了指导；BS 25999-2《业务连续性管理 第二部分：规范》于2007年发布，它规定了建立、实施和保持一个有效的BCMS的要求，并可用于认证目的。

ISO/PAS 22399和ISO 22301系列标准

BS 25999的成功为建立BCM国际标准奠定了基础。ISO采用类似的模式，首先于2007年在英国BS 25999-1、澳大利亚HB 221:2004、以色列SI 24001:2007、美国NFPA 1600:2007和日本JIS Q 2001:2001等国家标准的基础上发布了ISO/PAS 22399:2007《社会安全——业务连续性管理体系指南》，并指定了新的工作组继续开展BCM国际标准的制定工作。2012年，ISO 22301:2012(第一版)正式发布，标志着BCM社会安全系列国际标准化达到了新的高度。

随后，ISO又陆续发布了一系列的BCMS相关标准，主要包括：

  • ISO 22301，作为要求类标准，是ISO 22301系列标准的核心，它基于ISO高层结构(ISO High Level Structure)规定了实施、保持和改进BCMS的一系列要求(最新版的ISO 22301:2019已调整为通用管理体系架构下的标准)；
  • ISO 22313，作为ISO 22301的应用指南，为实现ISO 22301规定的要求提供了实施指导；
  • ISO 22317(业务影响分析)、ISO 22318(供应链连续性)、ISO 22330(人员方面)、ISO 22331(业务连续性策略)和ISO 22332(业务连续性计划和程序)等技术规范，为业务连续性管理关键过程(BIA、策略确定、计划编制和演练)的实施提供了技术指导；
  • ISO 22300，为包括ISO TC292制定的所有标准建立专业词汇表。

目前，ISO 22301和ISO 22313已分别于2019和2020年修订为第2版，ISO 22300于2021年发布第3版，ISO 22317和ISO 22318正在进行修订。

标准中的术语定义

在以上提及的标准中，PAS 56给出了45个术语和17个缩略语；BS 25999-1给出了33个术语，BS 25999-2给出了40个术语，其中30个术语沿用自BS 25999-1，新增10个(3个未公开)；ISO/PAS 22399给出了34个术语，其中有6个为新增术语；ISO 22301:2019第2版给出了51个术语，其中13个是术语应用说明(在ISO 22301:2012给出的27个术语基础上进行了部分调整和扩充)。部分术语在各标准中的变化如下表所示：

术语变化对比表

表1 PAS 56、BS 25999、ISO/PAS 22399和ISO 22301系列标准术语变化

……未完待续