白皮书 | 整合的风险评估与业务影响分析方法论 v2.0

Integrated Risk Assessment – Business Impact Analysis v2.0 (IRA-BIA v2.0) ——面向复杂结构与动态风险环境的结构化风险评估框架

前言

风险评估（Risk Assessment, RA）与业务影响分析（Business Impact Analysis, BIA）长期以来是业务连续性和韧性建设的核心工具。然而，在多数组织实践中，两者往往各自运行：

• RA 以危险或威胁为起点，关注”发生的可能性”及其”后果”；
• BIA 以业务为中心，假设”中断已经发生”，评估其影响并制定恢复目标。

当环境相对稳定、系统结构较为简单的条件下，这种分离方式尚能满足基本管理需求。然而在当前高度数字化、依赖关系复杂、跨职能协同日益增强的背景下，风险影响呈现出显著变化：

• 冲击不再是孤立的单点事件，而是沿依赖网络传播；
• 影响存在时间延迟，并可能被结构放大；
• 低概率高影响风险（Low-Probability High-Impact，LPHI）成为业界与监管机构关注的重点。

为此，IRA-BIA 方法持续演进：

• v1.0 解决了 RA 与 BIA 之间的结构衔接问题；
• v2.0 进一步引入了影响表达的动态化机制。

一、方法演进与总体逻辑

1.1 从 RA 与 BIA 到 IRA-BIA v1.0

传统实践中存在三类典型问题：

• 风险清单无法直接映射至业务优先级；
• 影响评估与风险概率之间缺乏逻辑关联；
• 演练场景选择缺乏结构性依据。

IRA-BIA v1.0 通过引入以下传导模型加以解决：

危险/威胁 → 资产 → 业务 → 影响

该结构使风险优先级与业务重要性之间形成清晰映射，强调风险排序的结构合理性，并为管理层提供可解释的决策依据。

1.2 v1.0 的局限

随着组织结构和外部环境复杂度的提升，v1.0 遇到以下挑战：

• 静态时间切片无法有效表达影响的动态演化过程；
• 影响系数过于简化，难以揭示结构传播机制；
• 脆弱性和依赖关系的线性假设无法反映现实中的级联效应。

因此，v2.0 的核心升级在于：将”静态评分机制”升级为”动态传播模型”，使IRA-BIA不仅局限于静态影响评分，而能够反映影响的演化路径与结构传播过程。

二、IRA-BIA v2.0 的总体结构

IRA-BIA v2.0 建立在如下逻辑基础之上：

• 风险通过资产传导至业务；
• 资产与业务在结构网络中相互依赖；
• 冲击沿结构网络传播并随时间演化；
• 最终体现为可衡量的动态严重性。

该逻辑可分解为四个层次：

1. 风险发生层（Probability Layer）
2. 冲击映射层（Shock Scenario Layer）
3. 动态影响层（Dynamic Impact Layer）
4. 风险聚合层（Risk Aggregation Layer）

本方法的核心原则是：概率空间与状态空间分离。 风险发生的概率，与风险发生后的状态演化，属于两个不同维度，必须明确区分，并分别建模与分析。

三、风险发生层（Probability Layer）

3.1 风险识别

风险来源包括：

• 危险（Hazard）：自然或技术性事件；
• 威胁（Threat）：人为或对抗性事件。

组织应建立统一的风险分类体系，明确风险清单，为结构化评估奠定基础。

3.2 概率估计

风险概率可采用多种方法估计，如：

• 泊松模型；
• 对数刻度映射；
• 专家判断结合行业数据。

例如，泊松模型表达为：

其中 λ 为基于历史频率与趋势修正后的参数。

本层的作用在于：确定风险发生的概率，但不直接参与动态传播建模。在本层，概率仅作为后续风险聚合与排序的权重。

与 v1.0 的关系：风险识别与概率估计方法在 v2.0 中保持一致。

四、冲击映射层（Shock Scenario Layer）

在 v2.0 中，冲击不再被抽象为简单评分，而被定义为一个结构化的冲击场景（Shock Scenario）。每个冲击场景包括：

• 受影响节点；
• 初始能力下降比例；
• 持续时间；
• 恢复速度；
• 缓冲消耗机制。

例如：

冲击场景	受影响节点	初始能力	持续时间
勒索软件攻击	核心系统	0.2	5 天
洪水	数据中心	0	7 天

冲击场景的定义，使风险成为可推演的结构输入，而非主观评分。

五、动态影响层（Dynamic Impact Layer）

这是 v2.0 的核心升级部分。

5.1 结构依赖网络

企业被建模为一个依赖网络，由以下要素构成：

• 节点：资产、系统、关键业务流程；
• 边：依赖关系；
• 依赖类型：
  • HARD：瓶颈型依赖
  • SOFT：加权型依赖

5.2 风险传播与能力演化

节点能力随时间演化，节点能力函数 C_i(t) 受以下因素影响：

• 上游节点状态；
• 传播延迟；
• 缓冲能力；
• 冲击函数；
• 策略干预。

风险传播遵循三项基本原则：

1. 上游能力限制下游能力；
2. 瓶颈节点优先触发系统约束；
3. 缓冲资源耗尽后影响加速传导。

传播计算公式如下：

当某节点能力下降时：

• HARD 依赖形成”最弱环节限制”；
• SOFT 依赖形成加权影响；
• 缓冲能力延迟传播；
• 恢复速度影响演化曲线。

这意味着：风险传播并非瞬时扩散，而是沿结构路径逐步演化。

这一模型并非用于预测未来，而是用于分析：冲击沿结构传播时，系统将如何反应。

5.4 生存约束函数（Threshold-Based Survival Model）

生存约束模型用于判定系统是否进入生存风险区。通过监控关键财务和运营指标实现，例如：

• 现金余额 ≤ 最低运营现金储备；
• 关键业务能力 ≤ 最低连续性水平；
• 关键客户流失比例 ≥ 设定上限；
• 监管指标或声誉指标触及红线。

生存定义为：

该函数使生存风险具备明确触发条件，并与组织风险承受能力形成对应关系。

六、动态严重性指标

每个冲击场景输出的动态指标包括：

• 累计损失
• 最大损失
• 生存时间
• 恢复时间

动态严重性可定义为：

亦可根据组织需求采用其他指标。

本层回答的问题是：若风险发生，其影响严重程度如何？

七、风险聚合

7.1 条件严重性

7.2 期望风险

7.3 双排序机制

采用双排序机制：

• 条件严重性排序：识别极端风险；
• 概率加权排序：识别高频风险。

此机制避免低概率高影响风险（LPHI）被低估。

八、计算示例

示例一：银行场景

业务：支付清算 资产：核心支付系统

冲击场景A：勒索软件攻击 — 发生概率 0.4

• 核心支付系统能力降至 20%
• 持续 5 天
• 存在 2 天缓冲

传播结果：

• 第 2 天缓冲耗尽后，业务能力迅速降至 20%
• 第 5 天开始恢复
• 累计损失：500
• 生存时间：30 天

冲击场景B：区域洪水 — 发生概率 0.05

• 数据中心完全停摆 7 天
• 无替代节点

传播结果：

• 第 1 天业务能力降至 0%
• 第 7 天恢复
• 累计损失：1200
• 生存时间：15 天

排序结果：

• 条件严重性排序：区域洪水 > 勒索软件攻击
• 期望风险：勒索软件攻击 > 区域洪水

风险传播差异清晰体现：勒索软件攻击受缓冲影响；区域洪水为结构性瓶颈。

示例二：高科技制造企业场景

业务：高端芯片生产 关键结构：单一物料来源 + MES系统（调度核心）

冲击场景A：供应链中断 — 发生概率 0.1

• 单一供应商停供
• 无替代来源

传播结果：

• 生产线逐日降速
• 第 5 天产能跌破 50%
• 第 20 天触达生存阈值
• 累计损失：800

冲击场景B：网络攻击 — 发生概率 0.3

• MES 系统停摆 3 天
• 存在人工调度缓冲

传播结果：

• 产能下降至 60%
• 第 3 天恢复
• 累计损失：600

排序结果：

• 条件严重性：供应链中断更严重
• 期望风险：网络攻击优先

这充分体现了结构差异在风险评估中的价值。

九、方法边界

IRA-BIA v2.0 适用于：

• 结构化风险评估；
• 动态影响分析；
• 风险排序；
• 监管与董事会报告。

不适用于：

• 精确预测企业破产；
• 战略投资优化；
• 精细化财务建模。

本模型旨在支持管理判断，而非替代管理决策。

结语

IRA-BIA v2.0 的价值不在于增加复杂度，而在于逻辑升级与结构清晰。

它将风险管理从”静态评分逻辑”推进至”结构传播逻辑”。

在复杂结构环境下，理解传播途径往往比提升单点评分精度更具管理意义。

IRA-BIA v2.0 为 BCM 向运营韧性演化，提供了一种结构化、可解释、可扩展的方法基础。

实施说明

本方法涉及结构依赖建模与动态推演计算。

在实际应用中，为保证参数设定与传播逻辑的一致性，通常需要借助结构化计算工具或建模支持。

组织可依据本白皮书所述原理自行构建辅助工具进行实践，亦可结合专业支持开展系统化应用。

附录 A：对象模型

对象：

• 业务（Business）
• 资产（Asset）
• 危险（Hazard）
• 威胁（Threat）

关系：

• 业务 → 资产（依赖）
• 危险/威胁 → 资产（冲击）
• 资产 → 业务（传导）
• 节点 → 节点（结构传播）

输出：

• 风险矩阵；
• 动态严重性指标；
• 风险排序表；
• 传播路径图。

附录 B：核心公式汇总