守住企业风险管理的防线

文/杨 泉

随着全世界对企业业务连续性管理（BCM）这个话题关注度的不断增加，以及企业对BCM重视程度的日益加深，BCM体系的实施被越来越多的企业提上日程，成为一种必然的企业管理趋势。时至今日，面对日益复杂和多变的运营环境，企业已经开始对BCM的制定提出了更高的要求。2012年5月15日，国际标准化组织(ISO）发布了最新的BCM国际标准ISO 22301，而它的前身BS 25999也将于2012年9月正式被ISO 22301取代。

作为企业风险管理的防线，BCM国际标准——ISO 22301管理体系框架能够帮助企业制定一套一体化的管理流程计划，使企业对潜在的灾难加以辨别分析，帮助其确定可能发生的冲击对企业运营造成的威胁，并提供一个有效的管理机制来阻止或抵消这些威胁，减少企业损失。

一、标准升级突出四项重大改变

英国标准协会（BSI）始终倡导企业应尽早改变对BCM的态度，将该问题提上最高管理层的议程，并准备好应对由于政治不稳、社会动荡和经济崩溃可能导致的业务风险。伴随着全新标准的发布，BSI将在全世界范围内帮助现有客户从BS 25999升级转换为ISO 22301。相较于BS25999，ISO 22301突出了以下四项重大改变：

1.从管理体系的角度提出业务连续性管理的要求。ISO 22301从社会安全的角度表达观点，更强调组织的责任，这从该标准的全名“社会安全——业务连续性管理体系——要求”上便能够明确反映出来。

2.第一个遵循ISO Guide 83的国际标准。ISO 22301是根据标准撰写导则83（ISO Guide 83）撰写的，同时也是全球首个根据ISO Guide 83撰写的ISO标准，未来全球所有ISO标准（包括2013年即将改版的ISO 27001）都要遵循ISO Guide 83。

3.强调目标的制定和监视测量。与BS 25999相比，ISO 22301拥有更高的国际认可度，它强调制定目标、监测表现和指标，对企业管理层提出更加清晰的期望值，对业务连续性计划的制定提出更高的要求。

4.国际BCM最佳实践的统一，适用于全球范围的各种组织。ISO 22301的适用范围更加广泛，适用于任何类型的组织。ISO 22301是业务连续性管理领域的巨大进步，它不仅决定了企业在业务中断的情况下服务客户的能力，同时也体现了组织在任何情况下对内部人员的关怀义务。

二、业务连续性管理领域的进步

BSI业务连续性技术委员会主席 Rick Cudworth表示：“ISO 22301是业务连续性管理领域的巨大进步。它将简化企业制定应急计划的任务，并赋予企业在出现突发状况时迅速作出反应的能力。随着ISO 22301在全球范围内获得普遍认同，未来将成为一个全球性的统一标准，因为企业能否取得成功并实现可持续发展，很大程度上取决于企业内部所实施的预防计划。”

运营恢复力公司（Operational Resilience(Oprel)Ltd）主管Dave Austin也评论道：“新标准ISO 22301，有助于业务连续性管理关键原则的良好实践并达成国际共识，全球的企业将第一次能够通过权威认证向利益相关方及高管层展示其业务连续性管理能力。该标准以BCM规范为基础，并将取而代之。”

三、帮助我国企业建立国际桥梁

在国内，各行各业的企业面对不断频发的自然灾害及人为事故，其业务运作的不确定性和风险将随之增加，加强企业业务连续性管理已经成为打造最佳企业应急预案的优先选择。ISO 22301的出现，不仅能够帮助我国企业建立风险管理流程，从而减少灾害带来的损失，还能够帮助这些企业建立国际最先进的管理体系。ISO 22301适用于所有行业中的大、中、小型公有及私有组织，并且特别适用于处于高风险和高度监管环境下的行业，例如金融业、IT通信业、制造业等。

四、不要忽视演练和测试

此外，仅购买新的ISO标准是远远不够的，企业还应该遵循国际公认的良好实践——采用系统化的方法来测试和演练ISO 22301管理体系规划。为了更好地向企业阐释BCM的重要性，BSI提出了有助于企业应对重大业务中断的五点建议：确保高管层不间断地参与和投入业务连续性管理工作；不要忽视演练和测试；开展彻底的风险评估和业务影响分析；通过实施系统化的业务连续性方案确保BCM的优势；遵循国际良好实践。

作为世界上认可度和采纳度都非常高的BCM标准，BS 25999已经在100多个国家得到实践，并在43个国家获得认证许可。现在取而代之的ISO 22301将进一步构建起企业风险管理的坚固防线，确保企业在日益复杂的内外部环境下，仍能保持业务连续性，实现可持续发展。