業務持續管理(Business Continuity Management，BCM)是一套一體化的管理流程，它涵蓋了風險管理、應急管理、IT災難恢復等多項內容，已成為應對災難事件的有效方法和國際通行準則。目前，BCM的理念和方法已被我國多個行業、領域和學術組織接納，政府有關的監管部門也開始在法律、法規方面逐步引入。
基本介紹
- 中文名：業務持續管理
- 外文名：BCM
什麼是業務持續管理（BCM）,BCM的三個基本要素,業務持續管理的免疫四步法,第一步：分清敵友,第二步：評估風險,第三步：消除感染,第四步：形成抗體,10個國際最佳專業慣例,
什麼是業務持續管理（BCM）
BCM（Business Continuity Management, 業務持續管理）是一個一體化的（holistic）管理流程。通過這一流程可以識別那些威脅組織機構的潛在衝擊；提供一個指導性框架來建立組織機構為有效應對衝擊而必備的恢復能力；保護利益相關者的財產及組織機構的信譽並使其生產活動能夠持續進行。
BCM的三個基本要素
事件發生前：為減小風險，你應該做些什麼準備
事件發生時：為減少損失，你應該如何進行回響
事件發生後：為恢復正常，你應該採取什麼措施
業務持續管理的免疫四步法
第一步：分清敵友
我們每天要遭遇多少細菌？空氣中的，水裡的，桌子上的，食物中的，可以說，人類被各種細菌包圍著。
一聽到細菌，大家的第一反應是，問題。其實，細菌的種類有很多，細菌背後也不是疾病，我們的生活其實因為各種細菌的存在才能繼續下去。比如唾液中的酶，讓人們有了消化分解 美食的基礎。
對於人體的免疫系統來說，當遭受細菌攻擊的時候，第一個動作是判斷。判斷這細菌是良性的還是惡性的，是從外部來的還是內部來的，它是攻擊人的血液，還是攻擊人的大腦。對細菌做一個最基本的判斷，有利於免疫系統迅速啟動並將危害減低到最小。
在用戶的業務連續性管理(BCM)過程中，第一步就是要對業務流程進行分類。畢竟，企業資源是有限的，如果保證所有的業務都享有最高的服務級別那是不可能的，所以，應該把有限的資源放在最需要緊急回響，一刻都不能停的地方。換句話說，業務中哪些是最重要的，必須一有問題馬上回響？哪些又是不用24小時不間斷運行的，這種分類，是進行BCM的基礎。
很容易想到，事關用戶主營業務的流程自然是第一位需要保護的。比如，24小時的生產流水線，24小時的客戶服務電話及客戶服務網站，而一些非主營業務則可以在服務級別和服務回響時間上有一定的冗餘，比如辦公自動化，一些非業務部門的內部業務，也完全可以不要那么高的回響級別和那么高業務連續性要求。
但是，分出級別和實際上設計他們需要的服務是兩回事，因為這牽扯到業務連續性的投資問題。對於有的用戶來說，最高級別的服務也未必是24小時不間斷，一些有明確營業時間的用戶，比如超市等，在非營業時間發生的問題，完全可以控制在上班前解決，這樣的設定就可以在不影響主營業務，獲得同樣收益的前提下大大節約IT成本，節約回響成本，提升IT部門的效益。因此，對於用戶來說，將自己的業務進行分類後，判斷出業務需要的回響級別必不可少。
還需要指出的是，分類並不是簡單的歸類，而是有相對明確的分工和要求，最好有一張詳細的說明表。比如說，將服務級別分為五類，每類里明確具體的業務是什麼，有什麼連續性要求，甚至具體到為什麼這樣分類，如何保障業務需求等。有了這一張大表，以後當有新業務發生時，也可以“按圖索驥”，找到新業務應該處於的分類。另外，這種分類也不是一成不變的。在企業發展的不同時期，或者是不同特殊階段，分類的規則和某些具體業務有可能會發生調整，相應的服務級別會有調高或調低。而這種調整，都依賴於該業務的重要性，以及每個分類的具體細則。
第二步：評估風險
新加坡業務持續計畫協會亞太區主席余紹強認為，BCM就像保險一樣，也是隨需訂製，量身定做的。在進行業務風險分析後，企業可以根據自身的情況來選擇適合自己的BCM，選擇哪些業務、採取哪種方式都由企業自己決定。
那么怎么隨需訂製，量身定做呢？需要對企業進行事前評估。事前評估涉及風險評估、投資評估以及業務影響分析等等。項目啟動後，只有通過評估，才能確定一個企業究竟需要怎樣的業務連續性戰略與計畫。
如果把企業比作人體，那么BCM不啻於是保護肌體的免疫系統。我們可以拿人體免疫系統來對比一下。
有一種特異性免疫能力是這樣工作的:當“敵人”進入人體後，與作為“士兵”的免疫活性細胞相接觸。這些分工精確的“士兵”有的吞噬“敵人”，有的把“敵人”的特性暴露出來，這是識別“敵人”的階段。之後，免疫活性細胞才能被“激活”，去“殺滅”“敵人”。這一過程叫作“反應階段”，也即準備“武器”階段。
我們發現，BCM的事前評估和免疫系統工作過程類似。事前評估，首選是風險評估和預防。其目標是評估潛在的業務風險，然後評估如何才能在風險發生前預測到風險並將其減到最小。其次是業務影響評估和漏洞分析。通過與業務流程部門的負責人進行溝通，確定哪些流程是最關鍵的，然後確定災難可能發生時帶來的潛在影響。同時對已有BCM產品和服務進行評估也是非常重要的，這樣可以確定還需要哪些投資、制度或服務來填補漏洞。這一過程類似於免疫系統的識別階段。之後，才能根據以上分析，制定業務連續性策略。這就類似於免疫系統的反應階段。
以建設呼叫中心為例，大部分企業將精力放在了設備和軟體上，對風險防範和容災恢復缺乏足夠的重視，結果令危險越積越大，最後導致一發不可收拾。呼叫中心每天需要處理龐大的話務，保存了大量的重要數據，一但出現諸如“斷電癱機、伺服器崩潰”等事故，將給企業造成難以估計的損失。
對呼叫中心來說，實現BCM的事前評估主要指預計可能存在的風險及分析對業務的影響，另外還包括對周邊環境的評估。
要想合理制定評估體系，首先要進行風險評估。按照國際通行的風險公式，RISK(風險)=發生風險所帶來的損失×風險發生的機率。用戶需要列出影響呼叫中心的每一種風險，並統計出它出現的機率及帶來的損失，然後才可以分析出它對業務的影響。
接下來還要進行環境評估。對呼叫中心而言，地理位置十分講究。一般來說，最好可以自成園區，保全、物業、供電、供水必須由自己控制；選擇有雙路市政供電加發電機的寫字樓。且周邊不能有重大工程、軍事目標等的存在。選址離市區光纖距離50公里左右、交通方便、距機場30～60分鐘車程的位置最為合適。這樣既能有效地防範大面積停水、停電等災難的波及，又能方便外地專家和技術人員在災難發生後迅速趕到現場。
第三步：消除感染
免疫系統對外部攻擊進行分類和評估之後，就該制定相應的策略和計畫，把攻擊消滅在萌芽狀態。在攜帶傳染病的細胞侵入時，免疫系統會啟動防禦功能，抵抗病原體感染。在一些極端危險的情況下，免疫系統甚至可以做出“丟車保帥”的決定。科學家就發現，某些蛋白可通過誘導被攻擊地點的細胞發生細胞程式性死亡，以局部獻身換取整體生存。
企業的BCM行動和人體免疫系統的行動原理一樣，要根據前面的分類和評估，制定相應的行動策略和計畫。不同的業務，相同中斷時間造成的損失不同；相同的業務，恢復時間越短所需要的投資成本就越大。為了實現最大化的業務恢復價值，而又能節省投資，企業決策層會對業務規定相應的恢復級別。
在衡量業務恢複方面，有兩個量化的指標——恢復時間目標(RTO)和恢復點目標(RPO)。前者指的是使系統恢復所需要的時間，即在某個事件發生後，系統的信息系統、服務和流程迅速恢復運行所需的時間，其中包括套用和數據的恢復以及接入這些套用的最終用戶的恢復。後者是可接受的數據損失程度，RPO標誌著在哪個時間點以內，企業還可以利用備份、日誌或交易記錄來恢複數據。它定義了可以接受的數據丟失程度。許多企業認為，如果發生災難，它們將利用最後的備份進行恢復，但這可能耗時很長。
例如，對於通信運營商來說，營業系統直接面向最終用戶，是業務受理和用戶感受通信服務的直接視窗，其重要性不言而喻。所以，最先考慮的應是營業系統的連續性，保證在遭受災難之後，營業活動能在最短時間內恢復。計費系統涉及到用戶的實際費用的收取，是用戶賬單產生的主要來源之一，尤其是現在很多移動運營商基於計費系統開展了很多省內預付費業務，如果計費系統處理不及時，將會造成大量話費損失，因此計費系統的業務連續也很重要。再者，在線上指令直接關係到用戶業務受理的最終實現，也必須考慮納入業務連續性的建設範圍。而統計查詢等非關鍵業務則可根據各自的情況來具體考慮。
第四步：形成抗體
德國漢堡大學醫學部科研人員曾經做過一項調查，他們發現農村里經常在外玩得一身泥巴回來的孩子，很少發生食物過敏症，而生活在城裡的孩子時常會對某些食物產生過敏症狀。研究表明，農村的孩子由於經常在野外玩耍，他們感染寄生蟲的比例比城市的孩子高出許多，血液中的抗體值也較高，從而形成一種免疫機制，因此抑制了過敏症狀的發生。
人體免疫機制的建立能夠在大多情況下，抵制病毒、細菌的侵害，保障身體健康。與此相似，其實業務連續性管理也同樣需要合理的“免疫”機制，來抵禦日常工作中“病毒”、“細菌”的入侵，防止可能發生的業務“過敏”症乃至“病死”症。
南方一家企業曾早在上個世紀90年代末，就引入BCM理念。當時，企業專門就其業務中存在的潛在威脅進行了分析歸類，並實施了評估、制定了相應的策略。在完成這些工作之後，剛開始，企業還能根據制定的策略常抓不懈，但是當業務順暢運轉幾年未發生差錯時，企業認為有了現有的應對策略就已經足夠，開始放鬆了對業務連續性管理的更新工作。
但是，企業外部各種可能對企業業務構成威脅的潛在因素，卻如同生活中不斷出現的新病菌那樣層出不窮。放鬆連續性管理的這家企業，不久竟然在一次大面積的網際網路病毒攻勢中“中招”，許多財務數據毀於一旦。
直到此時，企業管理人員才明白，企業BCM的實現，需要企業不斷實施威脅分類、評估威脅、制定策略這樣的循環往復過程，才能真正增強企業的“免疫”能力。正如人需要不斷地鍛鍊，不斷地適應不同的環境，才能獲得免疫功能一樣。
應當說，BCM是一個系統化工程，它不只涵蓋到企業的風險管理、應急管理、IT災難管理、供應鏈管理等多個方面，還必須不斷在這些方面實施有針對性的免疫鍛鍊。如果一個企業在一次性實施完BCM項目建設之後，就認為可以萬事大吉的話，那么這個錯誤認識將讓企業走入誤區，缺乏鍛鍊的BCM甚至會給企業帶來比沒有實施BCM建設的企業更嚴重業務損害。
事實上，目前國內引入BCM概念的企業還相對很少，即使部署了BCM，也往往建設規模不大，很大程度上並不能真正讓企業實現業務連續性管理。而在許多傳統行業里，用戶剛剛邁進從單項套用到整合套用的過渡期，業務對IT的依賴性剛剛顯現，因此對BCM的需求並不迫切。更多的企業則對BCM的理解仍停留在災備等技術層面，尚未上升到管理和業務層面。
同時，市場上也缺乏BCM的系統性研究和規範性指南。這些都給進行BCM建設的企業造成了許多困惑與誤導，往往認識不到BCM自身需要良好的歷練機制。
但是，正如在經歷“9.11”、“非典”、 地震 海嘯等重大災難事件後，世界各國政府開始加緊行動來建立和改善國家的災難應對應急機制一樣，企業也需要建立業務受災的應對策略，企業不應該直到其業務蒙受損害時，才考慮為自己定製“防護服”。應當及早實施BCM，並不斷地實施良好的鍛鍊機制，最終讓企業擁有一個“健康的體魄”去面對市場競爭浪潮。
10個國際最佳專業慣例
1、項目啟動與管理
2、風險評估和控制（RA）
3、業務衝擊分析（BIA）
4、制定業務持續策略
5、應急回響和措施
6、編制和貫徹執行業務持續計畫
7、認知和培訓計畫
8、維護及演練業務持續計畫
9、危機溝通
10、與外部機構的協調
