ISO 22301 系統簡介

近年來因為經濟情勢不穩定與氣候異常等因素，使得營運持續管理受到高度重視，而營運持續管理系統(BCMS)目標為防止或降低營運活動中斷的機會，經由實施營運持續管理作業及營運持續緊急應變計畫，將意外事故和流程異常中斷(可能是由於天然災害、營運流程意外或設備故障等)造成的營運中斷情況降低到可接受的水準。

組織導入的利基點

1. 降低營運持續運作的風險。
2. 讓員工了解營運風險，進而提高危機意識。
3. 降低營運中斷損失的成本。
4. 強化組織整體競爭力。

系統架構

一、瞭解組織

組織應對其營運流程進行鑑定與分析，從可能引起營運過程中斷的事故開始，如天然災害、營運流程意外或設備故障等，可採用下列兩種方法來分析營運中斷之衝擊與風險：

1. 風險評估(RA, Risk Assessment)
   鑑別、定義與評估組織資產所面對的威脅、弱點及其風險值，以便確立可接受風險程度以及管理風險行動計劃。
    
2. 營運衝擊分析(BIA, Business Impact Analysis)

• 決定關鍵營運流程 (Critical Business Processes)；
• 確認關鍵營運流程中斷對組織造成之損失情況；
• 決定關鍵營運流程及復原作業可接受水準，包含復原目標時間(RTO, Recovery Time Objective)、流程可重新運作目標RPO（Recovery Point Objective）及可接受最大服務中斷時間MTD（Maximum Tolerable Downtime）。

      
二、決定營運持續策略

瞭解組織可能的風險後，應針對風險優先順序決定將採取之處置策略。在決定處置策略前應仔細考量組織的營運目標、資源、文化、流程及投入成本。而處理風險的策略可以從下列方向思考：

1. 避免風險。
2. 降低風險。
3. 轉移風險。
4. 接受風險。

      
三、營運持續計畫(BCP, Business Continuity Plan)

組織應發展BCP計畫以維護營運持續管理的操作，或在關鍵營運過程中斷或故障後在期望的時間內恢復營運，營運持續管理計畫包含：  

1. 計畫啟動條件。
2. 職責與定位說明。
3. 緊急程序流程。
4. 備援與復原程序。
5. 時間表。
6. 認知及教育訓練。

      
四、建立和灌輸持續營運文化

建立持續營運管理的文化是長期的過程，必須透過有計畫的教育訓練及宣導活動，讓參與者瞭解營運持續過程，使組織建立持續營運管理的文化，使危機風險意識深入到員工的內心。
      
五、營運持續計畫之演練、維護及稽核

1. 對BCP計畫進行測試：
   營運持續計畫應定期測試，確保符合最新狀況及有效性，這類測試應先確保復原小組的所有成員，以及其他測試相關單位人員瞭解計畫內容。
   營運持續計畫測試時間表，應指出各部分計畫的檢查方式和時間，應採用各種技術確保計畫能在實際狀況中運作，這些技術包括：

• 針對各種情況進行沙盤推演。
• 狀況模擬。
• 復原測試。
• 測試異地復原。
• 測試供應商的設施和服務。
• 完整演練。

2. 計畫的維護和稽核：
   各個營運持續計畫的定期審查應分配的責任；若稽核或維護時發現營運持續計畫尚未反應營運作業的變更時，應對計畫作適當的更新，正式的變更管制應確保所公布的計畫都是最新版本，並且利用對整體計畫的定期審查來確保計畫處於最新狀況。

為何要推行ISO 22301?

組織可透過營運持續管理系統(BCMS)的導入，瞭解組織目前營運管理風險的優先順序，進而提出有效對策，降低或減少營運危機的風險。 

營運可能發生的風險：

1. 自然災害。
2. 內部流程失效。
3. 營運成本增加。
4. 市場占有率喪失。
5. 人員安全風險(如火災)。
6. 違反道德責任。
7. 喪失營運或環境控制能力。
8. 供應商不易管控。
9. 財務失效。
10. 違反法律、法規或標準。
11. 政治或法人造成的困境。
12. 喪失商譽及形象。
13. 國際經濟環境不佳.....等等。

 

預期效益

1. 營運持續風險評估、營運衝擊分析(BIA)與營運持續計畫(BCP)作業流程的導入，讓組織相關人員了解營運流程重要管制點。如果發生重大事故時，就可提高處理營 運服務中斷的反應效率，降低營運持續運作的風險。　
2. 藉由營運持續管理系統的導入，讓員工了解自己與組織其他流程中的營運風險，進而提高危機意識。
3. 提高意外事故的處理效率，相對降低營運服務中斷的成本損失。
4. 同樣的事故會發生在組織內，也可能發生在不同行業裡，藉由營運持續管理系統的導入，就可強化組織在業界的整體競爭力。

與其它系統關連性

1. 了解組織：ISO 9001。
2. 持續營運策略：內部營運流程分析、外部情勢分析（員工、財務狀況、國內外經濟、天然災害、政治、競爭者、全球發展趨勢…等等）。
3. 風險分析：ISO 14001、OHSAS 18001、ISO 27001、PIMS、ISO 31000…等等。
4. 建立持續營運計畫：ISO 27001、ISO 31000…等等。
5. 建立和灌輸持續營運觀念：ISO 9001。
6. 演續、維持與稽核：ISO 27001、ISO 31000、ISO 9001…等等。
7. 持續營運管理：ISO 9001（日常管理）。