· 公众号：业务连续性+ 原文链接 ↗

理解Impact，理解业务连续性与韧性（一）

——业务连续性与韧性的历史演进及其内在逻辑

摘要

业务连续性与韧性（Business Continuity & Operational Resilience，BCOR）今天已经形成了一套相当丰富的专业实践：风险评估、业务影响分析、业务连续性计划、灾难恢复（IT DR）、危机管理、演练与测试等传统工具，以及供应链韧性、重要业务服务（Important Business Services）、影响容忍度（Impact Tolerance）、第三方依赖和运营韧性测试等新近实践。

如果仅从这些工具和术语的演变来看，这个领域很容易被理解为一个不断增加管理要求、扩大管理边界的过程。但如果进一步追问：这些方法为什么会出现？它们究竟试图解决什么问题？就会发现，贯穿其中的一条重要主线，是人们对Disruption所造成的影响（Impact）以及Impact形成机制认识的不断深化。

从早期通过保险补偿营业中断损失，到灾难恢复阶段主动恢复关键技术资源；从现代业务连续性管理通过业务影响分析（BIA）研究Impact随中断时间推移发生的变化，到供应链韧性研究中断如何沿依赖结构传播并形成绩效损失（Performance Loss）；再到运营韧性从重要业务服务出发研究客户、市场和其他相关方所承受的不可容忍危害（Intolerable Harm），BCOR的发展实际上反映了人们对一个更根本问题认识的持续深化：组织为什么能够，或者为什么不能够，在中断情况下继续实现其目标？

本文尝试以Impact为观察线索，重新理解BCOR的历史演进及其内在逻辑。本文认为，BCOR的发展并非简单表现为灾难恢复、业务连续性管理和运营韧性等概念的前后替代，而是人们对Disruption、依赖结构、Impact、组织绩效以及组织连续性与韧性能力（BCOR Capability）的形成机制不断深化认识，并据此逐步采用更加主动、综合和系统化方法管理这种组织能力的过程。

关键词： Business Continuity，Operational Resilience，Impact，Business Impact Analysis，Dependency，Disruption，Capability，Supply Chain Resilience。

零、为什么从Impact重新理解BCOR

业务连续性管理领域有一个看似简单的问题：为什么组织需要业务连续性（Business Continuity）？最直接的回答当然是：因为业务中断会造成损失。但这个答案实际上隐藏了很多问题。

什么叫”disruption”？是设备损坏、IT系统不可用，还是某项业务活动无法开展？业务活动停止以后，为什么有些disruption几乎没有影响，而有些很快演变成企业级危机？Impact究竟是企业损失多少钱，还是生产能力下降多少？

如果企业只损失几十万元，但客户因此损失数千万元，哪个才是我们真正需要关注的Impact？如果某个供应商发生了严重disruption，但企业依靠库存、替代供应商和产能调整完全吸收了冲击，这个Disruption是否真正形成了业务影响（Business Impact）？

再进一步，如果一家企业自身没有遭受严重损失，但它提供的服务中断导致大量客户、市场甚至社会受到严重影响，那么企业应该按照自己的损失设定恢复要求，还是按照相关方能够承受的影响设定要求？

这些问题之所以越来越重要，是因为BCOR的发展，本身就是不断扩大对这些问题认识边界的过程。从今天回头看，可以发现几个基本事实。

第一，Disruption并不等于Impact。

第二，Impact不是Disruption自身固有的属性。同一个Disruption作用于不同组织，可能产生完全不同的结果。1

第三，Impact通常不是瞬间形成的，而是中断作用于特定的依赖结构（Dependency Structure），经过传播、缓冲、替代、适应和恢复以后逐渐形成。

第四，Impact必须回答两个不同的问题：以何种方式产生影响（Impact in what way）和对谁产生影响（Impact on whom）。传统BIA经常讨论财务、运营、法律合规、声誉和战略等影响维度（Impact Dimension）；运营韧性则越来越明确地要求分析客户、市场及其他相关方所承受的影响，即影响对象（Impact Recipient）。

第五，也是最重要的一点：组织最终承受多少Impact，并不仅由Disruption决定，还取决于组织本身具有什么样的连续性与韧性能力。

因此，研究Impact最终会把我们带回BCOR最核心的问题：什么是业务连续性与韧性这种组织能力？这种能力如何形成、如何保持、如何运用，又如何被验证？

如果沿着这条线回顾历史，会发现BCOR过去数百年的发展具有比”灾难恢复—业务连续性管理—运营韧性”（IT DR—BCM—Operational Resilience）这条术语演进路线更深的内在逻辑。

需要先说明的是，本文所称”六个阶段”主要用于描述不同时期占主导地位的认识重点和管理逻辑，并非彼此截然分开的严格年代划分。不同实践长期共存、相互影响，后来的方法也没有取代此前形成的有效工具；这些阶段更适合被理解为相互重叠、逐层累积的分析层级。

一、古典业务连续性管理——先认识Impact，再尝试转移Impact

本文把现代业务连续性管理形成以前，人们主要依靠保险等方式处理营业中断经济后果的阶段称为”古典业务连续性管理”。需要说明的是，“古典业务连续性管理”并不是国际标准或保险行业既有的正式历史分期，而是本文为了理解BCOR能力演变而采用的分析性概念。

从财产损失到营业中断损失

1666年伦敦大火是理解这一历史过程的重要起点。大火摧毁了伦敦大量建筑。灾后，财产保险迅速发展，Nicholas Barbon于1680年成立Fire Office，被London Museum视为现代财产保险发展的重要早期事件。

保险首先解决的是一个直观问题：建筑烧毁了，谁承担重建成本？这主要属于财产损失（Property Loss）。但商业活动的发展很快让人们面对另一个不同的问题：即使保险公司赔偿了厂房和设备，企业在重建期间不能经营造成的损失怎么办？

企业的损失并不会随着受损资产获得赔偿而结束：设备损坏可能导致生产停止；生产停止会导致销售减少；销售减少意味着利润损失；而租金、利息、工资及其他固定成本仍可能继续发生。这意味着人们逐步认识到：资产损失（Asset Loss）与营业中断损失不是同一种损失。

现代意义上的营业中断保险（Business Interruption Insurance，BII）并不是在1666年之后立即形成的，而是经历了长期发展。保险史研究通常把现代营业中断保险追溯到英国的利润损失保险（profits insurance）以及美国后来出现的使用和占用保险（use and occupancy insurance）等实践；随着会计方法逐步成熟，对正常经营情况下应获得的收入、利润以及中断损失进行相对一致的估算才逐渐成为可能。

这一历史过程非常重要。因为在现代BCM出现之前，人们实际上已经认识到了一个今天仍然是BIA核心的问题：业务中断会产生一种超越资产毁损本身的经济后果。

问题在于，当时人们还缺乏足够成熟的方法去主动管理应对这种情况的”业务连续性能力”。因此最现实的方法不是避免Impact形成，而是在Impact发生之后，对其经济结果进行转移和补偿。

可以把这一阶段的基本逻辑概括为：

Disruption
↓
营业中断（Business Interruption）
↓
财务影响（Financial Impact）
↓
风险转移/补偿（Risk Transfer / Compensation）

这里最重要的管理对象是Impact的经济后果。

从今天看，这是一种相对被动的方法，但它实际上完成了BCOR历史上的第一次关键认知：业务中断具有可以被单独识别、分析和管理的风险后果。

二、灾难恢复——从补偿Impact到主动减少Impact

20世纪后半叶，随着企业对大型计算机、数据中心和信息系统依赖不断增加，业务连续性实践出现了第二次重要跃迁。

人们开始认识到，如果能够在关键技术资源失效以后迅速恢复这些资源，就可以主动缩短业务中断时间，从而减少Impact。于是，管理逻辑从Impact发生以后怎样赔偿转向怎样通过恢复关键资源，减少Impact发生的时间和规模。这就是灾难恢复（Disaster Recovery，DR），即IT DR快速发展的基本背景。

ISO在回顾业务连续性的发展时也指出，早期连续性实践在很大程度上受到IT contingency planning和disaster recovery推动，后来才逐步转变为更广泛的业务连续性管理（Business Continuity Management，BCM）。

此时的典型因果模型大致是：

灾难/故障（Disaster / Failure）
↓
技术/设施损坏
↓
停工
↓
业务损失（Business Loss）

对应的管理措施则是：

备份（Backup）
↓
备用场地（Alternate Site）
↓
数据恢复（Data Recovery）
↓
系统恢复（System Recovery）

这代表了一个非常重要的认知进步：Impact不再被看成只能接受和转移的结果，而成为可以通过主动干预减少的结果。但这一阶段对业务连续性这种组织能力的认识仍然相对单一。它隐含着一个非常强的假设：只要关键技术系统和基础设施恢复，业务就能够恢复。而后来实践不断证明，这个假设并不成立。

三、现代业务连续性管理——从技术恢复到综合组织能力

随着企业运营日益复杂，人们逐渐发现：技术恢复（Technology Recovery） ≠ 业务恢复（Business Recovery）。一个IT系统即使恢复正常，如果人员不能到岗、关键供应商无法供货、工作场所无法使用、业务数据不可信、决策权限不清晰，业务仍然可能无法恢复。反过来，即使某个IT系统尚未完全恢复，企业如果拥有替代流程、人工处理能力、备用场所和适当的决策机制，也可能在降级状态下维持关键业务。

于是，业务连续性管理开始从一个主要围绕技术展开的问题，变成一个典型的多要素组织能力问题。

1. 多要素能力：从技术扩展到人员、流程和组织与治理

现代BCM逐步将人员（People）、流程（Process）、技术（Technology）、设施（Facilities）、信息（Information）、供应商（Suppliers）、组织与治理（Organization & Governance）、沟通和决策机制等纳入同一个分析和管理体系。

相应地，专业工具也逐步增加：

  • 业务影响分析（Business Impact Analysis）；

  • 业务连续性策略（Business Continuity Strategy）；

  • 业务连续性计划（Business Continuity Plan）；

  • 危机管理（Crisis Management）；

  • 意识与培训（Awareness & Training）；

  • 演练与测试（Exercise & Test）；

  • 供应商连续性（Supplier Continuity）；

  • 沟通计划（Communication Plan）；

  • 管理评审（Management Review）；

  • 持续改进（Continual Improvement）。

但如果只把这段历史理解成”BCM工具越来越多”，就错过了真正重要的变化。更准确地说：人们开始认识到业务连续性不是某项技术，而是一种由多种要素共同生成的综合组织能力。也正因此，单纯依靠某一个技术部门已经无法管理这种能力。

2. BIA与Impact-over-Time：Impact第一次系统地进入能力规划

如果说灾难恢复的重要贡献是让组织开始主动减少Impact，那么现代BCM最重要的方法论突破之一，则是业务影响分析（Business Impact Analysis，BIA）。

BIA带来了一个非常重要的认识：Impact通常是时间的函数。同样一个业务活动中断，10分钟可能几乎没有明显后果，4小时可能开始导致订单积压，24小时可能触发重大客户问题，3天以后可能出现严重财务、合同、监管或声誉后果。

因此，现代BCM真正关注的不只是”这个活动重要不重要？“而是随着中断时间持续，Impact如何发展，以及什么时候开始变得不可接受？

这就是影响随时间推移而变化（Impact-over-Time）的思想。由此才有最大可容忍中断时间（Maximum Tolerable Period of Disruption，MTPD）、RTO（Recovery Time Objective）、最小业务连续性目标（Minimum Business Continuity Objective，MBCO）以及优先活动（Prioritized Activity）等一系列概念。

3. 优先活动与连续性敞口：优先活动真正解决的是什么问题

这里尤其需要避免一个常见误解：RTO越短的业务活动，就一定越重要。

假设企业有两个活动。业务活动A：

  • RTO = 2小时；

  • 但即使事前什么准备都不做，中断发生后30分钟就可以恢复。

业务活动B：

  • RTO = 2个月；

  • 但按照现有恢复条件，需要6个月才能恢复。

如果只按照RTO排序，A显然更需要被关注。但从业务连续性风险敞口（Continuity Exposure）来看，真正需要优先关注的却是B。A虽然RTO只有2小时，但实际恢复能力已经明显优于要求。B虽然允许中断2个月，但实际恢复需要6个月，存在4个月的能力缺口。

可以把这种关系抽象为：所需恢复能力（Required Recovery Performance）与实际恢复能力（Achievable Recovery Performance）。当实际恢复能力不足以满足业务要求时，才真正形成需要被管理的连续性敞口。这与后来供应链韧性中的TTR（Time-to-Recover）与TTS（Time-to-Survive）思想具有非常明显的相似性。

因此，优先活动（Prioritized Activity）的真正意义，并不是简单建立一张”RTO从短到长”的排序表，而是在于识别那些如果不采取措施，其现有能力将无法在Impact超过容忍度（Tolerance）之前恢复到所需水平的活动。

这也意味着BIA的最终目的，不应停留在得到几个时间数字。BIA真正应该服务于能力要求（Capability Requirement）。

4. 管理体系：从”若干连续性措施”走向”持续生成和保持组织能力”

随着人员、流程、技术、设施、供应商等不同维度被逐渐纳入BCM，人们又遇到一个新问题：即使这些要素今天都准备好了，怎样保证半年、一年、三年以后仍然有效？人员会变化，组织结构会变化，系统会升级，供应商会更换，业务产品会调整，新的依赖关系不断形成，威胁（Threat）也在持续变化。因此，业务连续性能力（Business Continuity Capability）并不是一次项目结束以后就长期存在的固定资产，而是一种易逝的组织能力。

这正是管理体系方法的重要意义。英国BS 25999是现代BCM标准化的重要前身，后来被ISO 22301取代；BSI目前也明确将BS 25999描述为之后ISO 22301的发展基础。2012年发布的ISO 22301第一次建立了国际化的BCMS要求，强调组织需要规划、建立、实施、运行、监控、评审、保持并持续改进业务连续性管理体系（Business Continuity Management System，BCMS）。ISO当时还特别指出，BCM不是一次性”做一个计划”，而是一个需要适当人员、支持和结构长期运行的管理过程。

这一步真正反映的是对BCOR Capability认识的又一次深化：既然业务连续性是一种由多个动态要素共同形成的综合组织能力，那么就必须有一种持续管理这些要素及其相互关系的机制。于是BCM的管理逻辑从建几个备份系统、写几个BCP，上升为持续规划、建设、保持、运用、评估和改进业务连续性这种组织能力。

管理体系不是业务连续性能力本身，它是管理业务连续性能力（Business Continuity Capability）生命周期的机制。

…（待续）

本文是《理解Impact，理解业务连续性与韧性》连载第一篇。下一篇将讨论：当分析边界从单个企业扩展到供应链和运营生态时，Impact如何沿依赖结构传播——为什么”一个组织的Impact，可能成为另一个组织的Disruption”。

《理解Impact，理解业务连续性与韧性》系列

新常安专注业务连续性管理体系（BCMS）建设、业务影响分析（BIA）、演练验证与运营韧性咨询。如您所在的组织正在推进相关工作，欢迎与我们交流：电话 010-5360 5969 ｜ 13001090810（微信同号）；更多资料见资源下载页。

Footnotes

  1. 此外，Disruption也不等于中断，更全面的探讨见公众号文章：“Disruption” ≠ 中断。 ↩