理解Impact，理解业务连续性与韧性（二）
——业务连续性与韧性的历史演进及其内在逻辑
…续上期：《理解Impact，理解业务连续性与韧性（一）》
四、供应链韧性——依赖关系进入中心
现代BCM虽然已经明确识别人员、技术、设施和供应商等资源依赖，但随着全球供应链复杂度上升，人们越来越清楚地认识到：企业不是由若干孤立活动组成的清单，而是一个复杂的依赖网络（Dependency Network）。一个业务活动依赖多个资源，多个活动可能依赖同一个系统，一个供应商可能同时支撑多个产品，不同工厂可能依赖同一家上游芯片企业。一个看似采购金额很小的零部件，一旦缺失却可能使整条生产线停产。
因此，中断的真正机理不再只是资源失效（Resource Failure） → 业务活动停止（Activity Stops），而开始表现为：
Local Disruption
↓
依赖关系失效（Dependency Failure）
↓
传播/涟漪效应（Propagation / Ripple Effect）
↓
绩效损失（Performance Loss）
↓
影响（Impact）
1. TTR/TTS：中断是否能够穿透系统韧性
David Simchi-Levi等人在供应链风险研究中提出恢复时间（Time-to-Recover，TTR）及风险敞口指数（Risk Exposure Index，REI）等方法，以节点恢复时间和中断后供应链表现为基础识别传统采购金额和概率分析难以发现的”隐藏风险”。随后，TTR与生存时间（Time-to-Survive，TTS）的比较成为供应链韧性分析中的一个非常有解释力的方法。
Dmitry Ivanov进一步明确指出，在这种分析框架下，如果TTS > TTR，供应链可以被认为具备足以应对此类disruption的韧性；反之，如果TTR > TTS，恢复时间超过系统能够维持运行的时间，则disruption将穿透现有缓冲能力。这揭示了一个重要的BCOR规律：Disruption并不必然形成Impact。
假设一家关键供应商停产10天。如果企业拥有20天库存，同时存在替代供应和产能调节：TTS = 20天，TTR = 10天。那么即使供应商确实发生了严重Disruption，但对于下游企业而言，实质业务影响（Material Business Impact）可能几乎没有形成。反过来，如果TTS只有2天，供应商恢复需要30天，那么disruption很快就会穿透企业的吸收能力。
因此，Impact不是Disruption自身的固定属性，而是Disruption作用于特定依赖结构后，经由现有韧性能力（Resilience Capability）吸收、适应和恢复之后形成的结果。
这一步对理解Impact的意义极大。传统BIA更容易将一个业务活动（Business Activity）单独拿出来分析；供应链韧性则迫使我们开始研究：业务活动、资源和企业之间的依赖结构，以及Impact如何沿这些依赖结构传播。
这也构成了作者近年来将传统RA与BIA进一步整合为整合风险评估与业务影响分析（Integrated Risk Assessment—Business Impact Analysis，IRA-BIA）方法的基本出发点，本文将在后文回到这一问题。
2. 两层Dependency Structure
依赖关系（Dependency）视角还带来了一个更重要的认识。
企业内部本身是一个依赖网络：
业务活动（Activity）
↓
人员、技术、信息、设施、供应商等
同时：
业务活动A
↓
业务活动B
↓
产品/服务
但当分析边界向外扩展时，企业本身又成为更大产业链中的一个节点：
二级供应商（Tier 2 Supplier）
↓
一级供应商（Tier 1 Supplier）
↓
制造商
↓
分销商
↓
客户
于是出现了两个嵌套的依赖结构：第一层是组织内（Intra-organizational）依赖结构，第二层是组织间/供应链网络（Inter-organizational / Supply Network）依赖结构。
这带来一个非常有意思的结果：一个组织的Impact，可能成为另一个组织的Disruption。上游供应商停产，对供应商自身而言是Disruption；它使某制造企业无法生产，对制造企业而言是Impact；但制造企业不能交货，又成为下游分销商面对的新Disruption。
因此，随着分析边界扩大：Impact和Disruption并不是绝对身份，而是网络中相对于观察节点而言的不同角色。这就是传播（Propagation）成为韧性分析核心问题的原因。
五、运营韧性——从内部过程扩展到运营、服务与相关方
运营韧性（Operational Resilience）的兴起并不意味着传统BCM失效。更准确地说，它代表了对组织连续性与韧性能力认识的进一步深化。尤其在金融业监管实践中，这种变化十分明显。2018年以来，英国监管机构逐步建立起以重要业务服务（Important Business Service）和影响容忍度（Impact Tolerance）为核心的运营韧性框架；2021年英国金融行为监管局（FCA）正式发布相关政策，要求受监管机构识别重要业务服务、设定影响容忍度，并通过映射（Mapping）和测试（Testing）识别其运营韧性弱点。
本文以英国金融监管实践作为运营韧性制度化发展的典型样本，并不意味着运营韧性仅存在于金融行业，或其全部理论内涵均来源于英国监管框架。
这里至少发生了三项值得注意的变化，以及一个随之而来的核心问题。
1. 端到端Operation / Service：从单个过程扩展到端到端运营与重要服务
传统BIA往往从业务活动（Business Activity）/业务流程（Business Process）开始分析。运营韧性则更加关注组织最终必须持续交付什么运营（Operation）或服务（Service）。这意味着分析对象进一步端到端化。
一个重要服务的交付可能跨越多个过程，多个部门，多个技术，人员，设施，信息和多个第三方。因此，运营韧性并不否定过程，而是不再把单个过程看成最终分析对象。
2. 第三方依赖：第三方从”外部资源”变成运营结构的一部分
传统BCM从来没有忽略供应商。但是运营韧性将第三方依赖（Third-party Dependency）提升到了更加显式的位置。
Basel Committee 2021年的《运营韧性原则》（Principles for Operational Resilience）明确要求银行识别关键运营（Critical Operations），映射（Mapping）支撑这些运营所需的人员、技术、流程、信息、设施以及内部和外部依赖关系，同时把第三方依赖管理（Third-party Dependency Management）作为运营韧性框架的重要组成部分。
这意味着第三方不再只是BIA表格里的一项”外部依赖关系”（External Dependency），而被看成关键运营（Critical Operation）自身结构的一部分。这正是依赖结构思维进一步成熟的表现。
3. Impact on whom：对谁产生Impact？
运营韧性带来的另一个重要变化，是把影响对象（Impact Recipient）进一步显式化。
传统BIA常见的Impact类型包括财务、运营、合规、声誉和战略，这些类型回答的是以何种方式影响（Impact in what way），但没有充分回答对谁产生影响（Impact on whom）。
ISO 22301从管理体系逻辑出发，一开始就要求组织理解利益相关方（Interested Parties / Stakeholders）的要求。ISO在2012年发布标准时明确指出，BCMS应结合组织产品与服务、法律监管环境、组织结构和相关方要求（Stakeholder Requirements）设计。
但这里需要严格区分两种思想。第一种是相关方需要我们提供什么（What do interested parties require from us），第二种是我们的中断会给他们带来什么危害（What harm will our disruption cause to them）。前者是管理体系中的相关方要求，后者才是今天运营韧性越来越强调的相关方影响/危害（Stakeholder Impact / Harm）。英国金融行为监管局目前对于运营韧性的实践要求已经非常明确：金融机构应理解重要业务服务中断何时会对消费者形成不可容忍伤害，或者威胁市场完整性，并据此校准影响容忍度。
于是Impact分析出现了第二个坐标轴。过去主要分析影响维度（Impact Dimension），现在还需要分析影响对象（Impact Recipient）。
因此，一个更完整的Impact模型至少应该包括组织、客户、员工、供应商、市场、社会以及不同对象所承受的财务/运营/安全（Safety）/法律/合规/战略等Impact。换句话说，Impact不能只问”有什么影响”，还必须问”影响落在谁身上”。
4. 企业影响 vs 相关方影响：为什么相关方影响会改变BCOR管理要求
假设一家支付服务机构发生4小时服务中断。企业自身可能只损失100万元。但数万家商户可能无法收款，大量消费者无法支付，一些依赖实时资金流的业务受到进一步影响。这意味着，企业影响（Enterprise Impact）和相关方影响（Stakeholder Impact）可能完全不在一个数量级上。
同样的问题也存在于制造业。一家汽车电子供应商停止交付某个关键部件8小时，自身直接财务损失可能非常有限。但如果下游整车制造商采用JIT/JIS生产方式且库存很低：
供应商不能交货
↓
线边库存耗尽
↓
整车生产线停止
↓
下游订单和交付进一步受到影响。
从事发企业内部看，这可能只是一项几百万人民币的业务损失；从产业链角度看，却可能形成远大于这一数字的相关方影响。
于是，BCOR必须面对一个重要问题：我们应当按照企业自身能够承受的Impact设定连续性要求，还是按照依赖我们的客户和市场能够承受的Impact设定要求？
运营韧性实际上推动了将第二种视角纳入正式管理框架。这不是取消由内向外看的韧性（Inside-out Resilience）。恰恰相反，成熟的BCOR需要把两种视角连接起来，由内向外看（Inside-out）：我的资源、活动、过程、技术、第三方发生什么问题，会怎样影响我的运营和服务？由外向内看（Outside-in）：客户和市场依赖我提供什么服务？如果服务中断，他们什么时候会承受不可接受的Impact？为了避免这一结果，我内部哪些依赖关系必须保持？两者在重要服务（Important Service） / 关键运营（Critical Operation）处汇合。
六、系统级/生态系统级韧性——Impact成为网络传播问题
如果继续沿依赖结构向外扩展，BCOR最终会进入一个目前仍处于发展中的领域：系统级/生态系统级韧性（System / Ecosystem Resilience）。此时分析对象已经不只是单一企业，而是相互依赖的网络（Interdependent Networks）。
一个金融机构依赖云服务商，云服务商依赖电力、电信、DNS、软件供应商和数据中心，多个金融机构又可能共同依赖同一个云服务商，消费者和其他企业又依赖这些金融机构。于是一个局部中断可能通过网络形成系统性影响（Systemic Impact）。Basel近年来持续强化对第三方、集中度风险以及深层依赖关系的关注，本质上就是这种系统性认识不断加深的结果。
但是，与企业内部BCOR相比，系统级韧性管理存在明显困难。
第一是可见性（Visibility）。企业通常能够较好理解内部流程和一级供应商，但往往难以看清二级（Tier 2）、三级（Tier 3）甚至更深层供应链关系。
第二是责任制（Accountability）。企业内部基本可以找到过程责任人（Process Owner）、系统责任人（System Owner）、业务责任人（Business Owner）和管理层责任人。产业链却不存在一个统一CEO。
第三是激励一致性（Incentive Alignment）。承担最大Impact的主体，未必是造成Disruption的主体；有能力降低风险的主体，未必是承担损失最大的主体；承担韧性建设成本的主体，也未必是主要受益者。
因此，企业内部韧性更多表现为管理问题，而产业链和生态系统韧性越来越表现为治理问题。这一点也决定了企业韧性（Enterprise Resilience）与系统级韧性（Systemic Resilience）虽然共享依赖关系（Dependency）、传播（Propagation）和Impact等底层逻辑，却不可能简单使用完全相同的管理方法。
…（待续）
本文是《理解Impact，理解业务连续性与韧性》连载第二篇。完结篇将离开历史，进入理论提炼：六个阶段背后真正的深层逻辑是什么？在ISO 22300定义的基础上，Impact究竟如何形成？它为什么处在BCOR能力规划的中心？作者如何用它重新理解BCMPF框架？
《理解Impact，理解业务连续性与韧性》系列
新常安专注业务连续性管理体系（BCMS）建设、业务影响分析（BIA）、演练验证与运营韧性咨询。如您所在的组织正在推进相关工作，欢迎与我们交流：电话 010-5360 5969 ｜ 13001090810（微信同号）；更多资料见资源下载页。