【打一场居安思危、有备无患的战役】企业落实BCM是因应武汉肺炎最佳策略

由于台湾在庚子年春节起，都一直在武汉肺炎疫情笼罩下，尤其，中央流行疫情指挥中心在2月16日傍晚，公布台湾第一起因为武汉肺炎死亡的第十九例确诊病例，随即引发社会大众对于是否会爆发社区感染的恐慌。毕竟，武汉肺炎若爆发社区感染进一步扩展到社区传播时，就会演变成“只要出门就是人人自危的时刻”。

对于企业而言，当然营运上会受到很大的影响。在中央流行疫情指挥中心陆续公布第20到23例武汉肺炎确诊病例，以及相关的疫调内容时，随之出现的这则公告，证实台中潭子地区有一家木业公司，就是因为公司员工家属确诊为武汉肺炎，导致全公司20多人都必须自主健康管理14天。也因为员工不能到公司上班，连带公司的订单出货也必须暂时中断，直到3月1日相关人等解除自主健康管理后，才能恢复正常运作。

另一个例子，则是新加坡最大的星展银行总部，也出现一名员工确诊武汉肺炎，造成同部门300人必须隔离、净空并消毒办公司，所有员工则要开始实行远距上班。

从台湾到新加坡的案例，其实都是对企业的警讯。我们必须自问：如果公司有一个员工直接或间接受到感染武汉肺炎的影响时，公司还有办法继续营运吗？可继续提供服务吗？

如果这个案例就发生在自家公司身上，明天所有员工都因为武汉肺炎而不能到公司上班的话，公司到底有没有办法面对这一场突如其来的风暴呢？

“居安思危、有备无患”就是营运持续管理的精髓

《左传》：“居安思危，思则有备，有备无患。”公司在危急时刻若能持续营运，重点就是，要准备的够多、想的够深远才行，这背后的逻辑，就是营运持续管理（Business Continuity Management，BCM）的概念。

以标准验证公司台湾BSI为例，该公司首席运营官谢君豪表示，为了确保未来有员工直接或间接感染武汉肺炎，或届时台湾爆发大规模社区感染，该公司还可以提供最低水准的服务，因此，早在第10例武汉肺炎确诊案例公布后，台湾BSI便决定展开为期约莫两周的营运持续管理（BCM）正式演练。

他们演练的方式，就是实施分批上班政策，以及在家上班政策。包含全公司各个部门员工及主管在内，其中一半的员工和主管，于周一、三、五上班，另一半则是周二、四上班，当天若是不用到公司上班的员工和主管，则“强制”在家上班。

谢君豪说：“这次分批上班、远距上班其实就是该公司BCM的正式演练，唯有真正透过一段时间的实际演练，才能发现在日常运作中，有没有系统连不上、计划不周全，以及可以进一步修正改进之处。”

爆发第一起武汉肺炎死亡案例后，因为这是社区感染的重大警讯，也促使许多台湾企业必须尽快执行BCM的演练，他们希望一旦员工必须在家远距上班时，公司相关系统能够有周全的配套措施，以防万一。例如，线上音乐公司KKBox就决定在2月20日，强制全公司同仁必须在家上班一天，实测各种云端服务和VPN连网能否正常运作，确认包含视讯会议在内的系统都可正常运作。

透过设定夸张高风险情境，决定关键优先项目

台湾勤业众信风险管理咨询公司副总经理田嘉雯表示，关于BCM的定义，大致可解释为：“当公司无预警遇到大型灾害事件时，公司是否有能力做灾害控管。”然而，这其中也有一个但书，那就是：做了BCM，不表示可以保百年平安，重点在于认清现实、不要“铁齿”。

“BCM的范围最重要，”田嘉雯指出，很多公司会直接把BCM的工作丢给IT部门，但真正的BCM还是要跨到业务部门才完整。

台湾勤业众信风险管理咨询公司执行副总经理曾韵表示，要落实BCM，可以分成三个阶段来看。首先，从分析阶段了解公司面临的各种情境，进行风险评鉴（RA）和营运冲击分析（BIA）；再者，透过发展阶段，从组织与政策的建立，了解各种可用资源和紧急应变计划、业务持续计划、危机管理等阶段；最后，透过实作阶段，进行相关的教育训练和演练测试。

田嘉雯进一步解释，RA会先设定一些相关的高风险情境，这可以参考金融业自评时常见的高风险情境，包括：天然灾害的地震、风灾和水灾等，人为灾害的疾病与传染病、火灾与爆炸、网络连线通讯中断等，或是资讯系统异常的骇客入侵、电脑病毒攻击或资讯系统程式逻辑错误等。

她指出，RA的目的在于辨识高风险概率，决定哪一些是优先或关键的业务项目，如果公司过去曾经发生过高风险、导致公司营运或服务中断的情境，这些都必须要先条列清楚。

但田嘉雯也观察到，许多企业在进行风险评鉴时，往往情境设定都相对保守、不敢大胆假设，如此一来，反而无法从各种极端案例、同业经验，或是英国BSI的地平线扫描报导等，去思考相应对方式。

BIA要设定最大可容许中断时间和最低可接受服务水准

RA是许多国际标准都有的环节，但BIA则是参照ISO 22301才有的项目。而透过设定不同的高风险情境后，田嘉雯说：“接下来要关注的就是，当公司的服务中断后，会对公司营运带来多大的冲击，这就是营运冲击分析（BIA）。”这是一种自我了解评估的手法。“RA和BIA要一起做，可以利用问卷的方式，也是一种组织自评的过程。”她说。

BIA主要目的有二，首先，要决定“时间”：最大可容许中断时间（MTPD），目的就是要把重要的业务服务和优先级列出来；第二，就是确定恢复程度，怎么样是最低可接受的服务水准。

若要衡量哪些业务优先级，就得订定全公司一致的衡量标准，标准包括：1、影响多少业务量；2、影响多少营收；3、影响多少赔偿金额；4、影响多少商誉损失；5、影响多少法遵要求等。至于如何计算MTPD合理的时间，最常见的标准作法就是，将上述衡量业务优先级5个标准中，列出每一个标准真正无法接受的时间，那就是MTPD。

而MTPD会根据产能和服务来设定，关键点在于“有多少成本”和“有多少资源”投入。例如，当实体店面无法营运时，单一店面提供多少服务？牵涉多少客户？是否有其他线上服务可以取代等？这也涉及究竟需要提供多少办公室的后勤服务，以及有多少资讯系统作为复原中断服务的支撑等。

但田嘉雯也说，台湾很多产业并没有规定最大可容许中断时间（MTPD），而MTPD要个别订定，且是当企业不得已中断服务后，最核心的业务应该在多久时间内恢复的最短时间。

像是纳莉风灾引发的水灾，当年就对台北市某些银行的营运服务造成中断，而这些银行要在多久时间内，恢复银行最低程度的运作（例如找到其他场地、人力、系统等），就是MTPD。

简而言之，MTPD就是高风险情境中的最大可容许中断时间，相较于一般金管会要求银行某些业务中断，必须要4小时内恢复的概念，MTPD是不同的。

不过，要达到MTPD，曾韵认为，必须要从资源调度的角度来看，如何设定不同的工作项目的复原时间目标（RTO），恢复每个产品和服务的最低服务水准。

举例而言，金融业必须在4小时内启用异地办公室，其MTPD就是4小时，但从接获通知、移动到异地办公室、到班人员清点与座位分配、记录回报作业恢复状况，直到协助组员申请异地办公室门禁，每个工作项目都会设定不同的RTO，而且，因为不同工作项目有些时候会平行作业，透过甘特图看不同作业的RTO之余，要注意其绝对不能超过MTPD的作业时间规定。

但田嘉雯则提醒，每一个工作项目的RTO，例如，开机下指令的RTO必须在5分钟内要完成，就必须清楚标注RTO是5分钟，提醒执行任务的人员注意时间。

BCM不仅要人和资源投入，实际演练更不可少

田嘉雯表示，不管是RA或是BIA的问卷填写，通常建议由资深同仁填写，这么做，可以知道过往发生的历史事件和业务重点，而代表各部门填写的人员，也必须了解业务中断对业务带来的冲击；而资源分配与投入上，则包括：业务、场地（行政）、IT系统（AP、Infra、系统相依性等）。

若要成功推动BCM的必备因素，可包括：公司全员参与；高阶主管由上而下的支持，加上适当的资源准备才行。

田嘉雯进一步解释，推动BCM时，公司每个层级和部门都必须有代表参与，包括：业务、IT、人资、财务、行政及采购等，其中，要挑选参与的代表，就要找比较有影响力的人，或者是比较敢跟上级主管报告的人来担任。例如，有一个酒商BCM的主管就是财务主管，因为包括IT和财务采购等部门，都在该名主管辖下。

另外，企业也可以找曾经推动过其他ISO制度认证的单位来帮忙，都很适合作为推动ISO 22301的单位。做完RA 和BIA后，高阶主管必须要针对相关的备援方案制定决策。田嘉雯认为，高阶主管的心态很重要，例如：针对各种分析，都不要铁齿，而当风险发生时要愿意承担风险、敢做敢当。同时，要记住，认赔杀出也是接受风险的一种手段，不可以超过MTPD。

最后，资源准备度不可以太差。因为面对不同风险情境、不同MTPD和最低可接受服务水准，企业要投入的资源和成本是不一样的，尤其针对高风险，更必须要有额外投入资源的心理准备。她指出，如果没有资源投入，就要花时间开始准备，不必一口气到位，但如果没有开始投入，就永远无法落实BCM。

完整的BCM包括紧急应变计划（IMP），目的是希望可以将灾害控制住，针对风险情境做RA；业务持续和业务复原计划，则是透过BIA列优先级和资源，包含人、地、系统等，再透过业务复原计划，像是条列式的检核表、有各种联络清单、资源盘点表（座位、笔电、Token等），不论人员是谁，他们皆可按表操课；最后则是危机管理，这里面包含公关沟通和新闻稿撰写。

有了计划，还必须要透过演练，去确认计划是否可行。田嘉雯表示，演练分成桌面演练和实际演练，以桌面演练而言，目的在于集思广益，但问题在于真实性太差、可验证性太低；至于实际演练，可验证度优于桌面演练，但风险也较高，受影响的客户可以事先通知，但要考虑的风险，还包括系统切换回来、恢复正常运作的时间。田嘉雯提醒，演练没成功可以接受，但演练引发的风险则不可接受，例如：影响客户、业务和服务等。

根据英国营运持续机构（BCI）发表的“2019年地平线扫描报告”，去年对全球带来最昂贵的营运冲击是“健康安全卫生事件”（Health and Safety Incidents），造成的损失高达11.86亿美元（近新台币370亿元），要对抗武汉肺炎这样的传染病带来的损失，针对BCM投入的资源，永远不会太迟。

 相关报导  武汉肺炎长期抗疫怎么做？