业务连续性+·业务连续性问与答·Q12基于能力的规划过程
问题：如何描述业务连续性能力？它由哪些要素组成？如何规划、确定目标能力？ 回答：业务连续性包括9方面的能力(及能力框架)； 基于能力的规划 (Capabilities-Based Planning) 方法； 业务连续性核心能力参考框架(暂略)
……续上期
2.基于能力的规划 (Capabilities-Based Planning) 方法
虽然不同行业不同规模的组织所面临的风险千差万别，但各类风险的后果具有相似性，因此其应对行动及其所需要的能力也就具有一定的普适性。通过能力来指引业务连续性的方向以及衡量业务连续性准备的程度，就可以将纷繁复杂的不确定性的风险及事件转化为完成一些具体任务的能力需求，从而使抽象的业务连续性使命目标具体化。通过下图所示的“情景—任务—能力—目标”规划分析过程，可以实现从业务连续性能力的界定到业务连续性能力目标的定性与定量表述。
情景-任务-能力-目标分析过程
(1)情景分析基于业务影响分析和风险评估，筛选出业务连续性能力需应对的突发应急事件和运营中断事件情景清单并进行规范化描述。 (2)任务分析依据得到的突发事件和运营中断事件情景清单，对不同使命领域需要完成的通用任务进行分析，得出通用任务框架和通用任务清单。 (3)能力分析根据得到的通用任务清单，进一步分析完成这些任务所需要的业务连续性能力。将这些能力进行必要的合并和规范化处理，得到业务连续性能力清单。 (4)目标分析根据未来一个时期的风险态势和现有能力情况，从业务连续性能力清单中进一步筛选出当前和今后一个时期需要重点加强的核心能力，并为每一个核心能力开发一个定性或定量的能力目标。
• 事件情景分析
情景 (scenario，也有译作 场景 或 想定 ) 是一种思维与沟通的模型，是一种战略规划的工具。情景是对某种对象在未来如何演变的故事化描述，能够给抽象的概念注入活力，帮助我们认识不断变化的环境，并为应对未来的可能局面寻找合适的行动方法。突发应急事件和运营中断事件的情景是对不确定的未来灾难开展业务连续性管理的一种战略性思维工具。透过情景所描述的事件演化过程、后果和需要的应对行动，可以对现有应急资源与能力的差距进行分析、对应急预案和业务连续性计划进行评估和改进，以及为业务连续性培训和演练提供情景基础。
本文中的事件情景是对未来一定时期内组织可能经历的一些重大的突发应急事件和运营中断事件的合理的设想，情景描述的是某一类事件的一种可信的严峻的情形，它通常不局限于某一具体的地理位置或场所，也不是对未来可能发生的特定事件的准确预报，而是对该类事件在设定环境下的一种基于普遍规律的认识表达。在构建重大突发应急事件和运营中断事件时，需要充分考虑当地的公共安全风险水平、经济发展水平、应急管理体制机制等因素及组织所处的经营环境、业务战略和能力现状对情景发生的可能性和后果的影响。
情景筛选与分析 从组织所在区域及行业的突发应急事件和运营中断事件历史案例和现实威胁中，筛选出适当数量的具有代表性的重大事件，以作为当前和未来一个时期的业务连续性管理的重点对象。 重大情景的筛选，要以风险评估和业务影响分析为基础 ，针对后果特别严重的极高、高风险事件类别，结合突发应急和运营中断事件的历史案例和发展趋势，经广泛研讨和专家判断，得出清单。
在筛选事件情景时，制定的筛选标准需要考虑以下因素：具有一定的代表性和典型性、后果的严重性、影响范围和处置难度大、发生的可能性；筛选方法要基于业务影响分析和风险评估结果、综合历史案例分析与趋势预测。
在筛选出重大突发应急事件和运营中断事件情景后，需要根据事件的一般演化规律，构建、描述事件发生、发展的过程；估计包括事件可能引发的次生、衍生事件，事件造成的生命与财产损失、运营中断、经济影响和声誉/形象影响等在内的事件后果；并根据情景事件的演化过程、事件的后果，分析在情景事件条件下需要采取哪些预防、保护与减灾、检测、预警与警报、应急响应、危机沟通、业务恢复和事后重建行动。
情景描述与展现 在筛选并开发出事件情景后，需要对情景的具体内容进行描述与展现，具体包括：情景概要、事件后果、背景信息、演化过程和应对行动等基本要素，如下图所示：
事件情景描述要素
情景概要 包括情景简表、简要描述和发生过程。情景简表通过表格描述情景事件可能造成的人员伤亡、财产损失、运营中断、社会影响、经济影响和声誉/形象影响等情况，可能引起的次生衍生灾害和事件以及应对行动的重点等；简要描述简要交代事件发生的背景、并对事件经过和后果进行简要描述；发生过程对事件发生与应对经过进行概要性的文字描述。
事件后果 包括次生衍生灾害/事件、伤亡人数、资产损失、运营中断、社会影响、经济影响和声誉/形象影响等。次生衍生灾害/事件描述情景事件可能引发的次生、衍生灾害和事件，如地震引发火灾、洪灾和泥石流，以及基础设施被破坏；断电引发信息系统运行中断等；伤亡人数估算此类情景可能导致的死亡和受伤人数；资产损失说明此情景中关键资产—如设施(工作场所)、关键设备、重要信息系统、关键信息(及数据)等—的可能受损情况；运营中断描述此情景中可能导致的产品和服务交付中断情况；社会影响描述情景可能对组织外的相关方(如客户、产业链上下游合作伙伴、社区、监管机构等)的影响；经济影响描述情景可能导致的直接和间接经济损失；声誉/形象影响描述情景可能造成的组织品牌、声誉和形象损失等。
背景信息 包括地理环境和场所信息、业务信息及假设条件。地理环境和场所信息主要适用于突发应急事件情景，描述此情景是否与特定的地理位置和工作场所相关、或者事件的后果与事发地的地理环境和场所是否有紧密的关系等；业务信息主要适用于运营中断事件情景，描述此情景是否与特定的业务有关，并简要找述业务的情况及恢复要求；假设条件说明本情景设计时的一些假设条件，或者列举在对本情景进行修改调整时可以考虑的一些情况。
演化过程 通常是根据情景事件的性质，按照时间顺序，从事前、事中和事后三方面描述事件发生发展的全过程。对于自然灾害、事故灾难和某些公共卫生事件这些非博弈类风险事件来说，事态的动态演化可能具有一定的物理、化学、生物的规律；对于恐怖袭击、网络安全等人为博弈类灾难来说，一般会有较长的前期策划过程、实施过程；对于运营中断事件来说，需要考虑业务、IT、外部供应链和公共服务之间的依赖关联关系。
应对行动 是为了界定情景可能产生的应对资源与能力需求，按照预防、保护与减灾、监测、预警与警报、应急响应、危机沟通、业务恢复和事后重建这8个任务领域，分别简要描述该情景事件应对过程中需要开展的应急、连续性任务。
• 通用任务分析
业务连续性通用任务是业务连续性管理过程中需要由各相关主体执行的一般性任务，它不涉及由谁去执行、执行的时间和达成的效果等。将这些任务分门别类地列出，形成一个清单，就是“通用任务清单”。
通用任务清单是基于能力的业务连续性管理规划的一个重要工具，它为业务连续性规划领域提供了一个共同的任务框架和通用的语言体系。使用通用任务，可以描述不同的突发应急事件和运营中断事件情景需要启动的任务领域；还可以对业务连续性能力进行详细说明。在编制业务连续性规划和预案、组织培训和演练时，使用通用任务清单，有助于对业务连续性管理活动进行规范化描述。
业务连续性管理是包括全灾种、全过程、全组织的系统性工作，就组织而言，某些部门(或分支机构)可能会被预期执行通用任务清单中的某一项任务。但某一区域和业务条线都需要基于自己所面临的风险，被赋予的特定角色、使命和功能，评估并选择自己需要执行的任务。
使命领域分析 对通用任务清单的研究分析，采用使命领域分析(mission area analysis, MAA)方法。使用领域分析提供从业务连续性管理目标需要实现的总体目标开始，自上而下逐步分解为需要开展的各类具体活动的过程，包括如下一系列步骤：
定义业务连续性管理的总体目标 总体目标是对业务连续性管理期望实现的战略愿景的一般性描述。我国《突发事件应对法》的立法宗旨是：“预防和减少突发事件的发生，控制、减轻和消除突发事件引起的严重社会危害，规范突发事件应对活动，保护人民生命财产安全，维护国家安全、公共安全、环境安全和社会秩序。”银监会从“加强商业银行风险管理，提高业务连续性管理能力，促进商业银行有效履行社会责任，维护公众信心和银行业正常的运营秩序”出发，制定了《商业银行业务连续性指引》(银监发[2011]104号)。这也应该是组织应急、连续性管理工作的总体目标。目前在国际应急管理、业务连续性管理的学术研究和实践中，“韧性”(resilience)的概念日益受到重视。韧性是指一个组织吸收并适应变化环境的能力，其宽泛的特征包括系统失误概率的降低、因失误而引发的后果的减轻和系统恢复时间的减少。因此，业务连续性的总体目标也可以归结为提升整个组织运营的韧性。
将业务连续性管理分解为若干使命领域 使命领域 (mission area) 是一些具有明确意图并可清楚地表明要采取的行动及其目标的任务组合。将一项复杂的使命分解为一定数量的使命领域，是系统性思维方法的必然结果，也是科学分类的基本要求。综合国内外应急、连续性的研究和实践，并结合我国的实际情况，我将业务连续性管理的使命领域划分为：预防、保护与减灾、监测、预警与预报、应急响应、危机沟通、业务恢复和事后重建8个领域，基本能涵盖业务连续性管理活动的各个方面。组织可根据自己的具体情况及内部分工，选择、确定组织自己的业务连续性管理使命领域。
定义各使命领域的主要目标 目标是指在给定的时间和空间内，为完成一项战略使命的一系相关操作 (operation) 及其所要达到的效果。将使命领域分解为若干具体目标，有利于使命总体目标的实现。
确定实现使命领域主要目标所需要的功能 功能是指为实现一个共同的目标而由一种能力或多种能力的组合所执行的一类活动 (activity) 。功能只涉及要做什么，不涉及如何做、做的过程、由谁来做。功能既是实现使命领域目的的手段，又是一组相关联活动的集合。
详细分析功能相关的任务 任务是指由个人或组织在完成一项功能时所执行的一项独立的行动 (action) 。任务涉及具体做什么、如何做或各个步骤的活动，但不涉及由谁来做。通过列出业务连续性管理的各项通用任务，可以进一步界定业务连续性管理理论和实践的范围。
将以上各个步骤的结果用一个方框图表示，可得到如下图所示的层次结权图。该层次结构逐步将每个上层级的“做什么”分解为下一个层次的活动，说明“如何”去做。当任务分解全部完成后，该层次结构可以分别自上而下及自下而上进行追踪。自上而下，逐步由要做“什么”变成了“如何”去做；自下而上，每项活动支持上一层级的结果达成，并回答“为什么”要开展此项活动。这样一个业务连续性管理的层次结构也构成了一个科学的分类基础，并可为业务连续性管理领域提供一个标准化的术语体系。
使命领域分析层次结构图
通用任务清单框架 针对所构建的突发应急事件和运营中断事件情景，采用上述使命领域分析方法，分别对预防、保护与减灾、监测、预警与预报、应急响应、危机沟通、业务恢复和事后重建8个使命领域进行目标、功能和任务分析，经归纳汇总后得到组织的业务连续性通用任务框架，具体任务清单将分别列表说明。
通用任务清单明确了在8个业务连续性管理使命领域的关键目标和功能，以及需要执行的通用任务。通用任务清单是基于能力的业务连续性管理方法的一个重要工具，它提供了描述业务连续性管理活动的通用术语和参考体系，为开展业务连续性规划、编制应急预案和业务连续性计划、开发培训和演练项目等提供了基础。通用任务清单可以应用于业务连续性管理中的以下方面：定义任务需求、业务连续性培训规划、业务连续性能力评估以及经验教训分享等。
• 业务连续性能力分析
业务连续性能力通常是指由人(团队)的能力 (ability或competence) 和系统与装备的能力 (capacity) 相结合而成的能力 (capability) ，是在特定条件下以一定的绩效标准完成一项或多项任务的综合实力。能力由经过适当计划、组织、装备、培训和演练的可达成期望结果的人员的合理组合来提供。
每项能力都是用于实现一项或多项特定的功能，因此，由“业务连续性通用任务清单”可以推导出一些需要的业务连续性能力。将这些能力进行必要的合并和规范化处理，就可以得到一个“业务连续性能力清单” (business continuity capabilities list，BCCL) 。
由业务连续性功能推导对应的业务连续性能力时，须遵守以下几个原则： (1) 一项能力可以适用于多个功能，多种能力也可应用于同一个功能；但尽可能使一项能力适用于一个功能；为了避免能力重复，对于适用于不同使命领域的多个功能的能力使用同样的名称，并仅在一处进行描述(在使用该能力的使命领域说明)。 (2) 一项能力针对的是一个结果，而不是一个过程；因此，对应业务连续性通用任务框架中为实现同一结果的不同行动过程的功能，被归并为一项业务连续性能力。 (3) 每项能力都具有一个行动焦点；可能由一项或多项业务连续性活动来实现；每项业务连续性活动可由该功能下的重要任务提供支撑。
业务连续性能力清单框架 将希望形成的业务连续性能力按照准备、预防、保护与减灾、监测、预警与预报、应急响应、危机沟通、业务恢复和事后重建等9个方面分门别类地列出，形成一个清单，就是“业务连续性能力清单”。业务连续性能力框架按照使命领域、战略目标、能力进行组织 (后续文章会给出一个“业务连续性能力参考框架”) 。
对于业务连续性能力清单中的每项能力设计了一个标准化的简要描述的框架，以对能力的主要部件进行描述和为应用提供指导。每项能力的描述框架包含以下要素：能力定义、期望结果、主要活动、关键任务一绩效标准、资源要素与目标水平等。资源要素主要包括组织领导、人员、装备、物资、信息、计划、培训、演练和评估、运行机制等。
业务连续性能力清单的使用 业务连续性能力清单可作为业务连续性准备的重要参考工具，可以帮助各级决策者和管理人员明确他们的准备要求和评估准备的水平。一些可能的用途如下： (1)业务连续性规划。规划能力是准备使命领域的一项重要能力，它为业务连续性规划提供直接支持。此外，每项能力描述中所包含的主要任务与绩效标准和资源要素与目标水平等，也可为业务连续性规划提供重要的参考依据。 (2)业务连续性准备评估。业务连续性能力清单提供了对业务连续性准备进行评估的基础，能力及其主要任务和绩效标准，可以作为业务连续性准备评估的参考依据。 (3)业务连续性培训。依据业务连续性能力清单设计开发培训项目，可以更有针对性地向学员提供知识、技能和能力，以便在执行能力的关键任务时达到足够的能力水平，并实现所需要的能力效果。 (4)业务连续性演练。业务连续性能力清单中定义的主要任务和绩效标准，为演练设计和评估提供了良好基础。基于典型情景和主要任务进行演练设计、实施和评估，可以更好地检验业务连续性能力的水平。
• 核心能力及目标分析
业务连续性核心能力目标是指在一定的空间范围与时间周期内，根据所面临的风险态势和现有能力情况，从业务连续性能力清单中筛选出的当前和今后一个时期需要重点关注和加强的能力。对于已确定的每项核心能力，还要进一步设定一个定性或定量的能力目标。
业务连续性核心能力筛选 业务连续性核心能力的筛选主要依据当前面临的主要风险态势、业务连续性能力的薄弱环节，以及可以投入能力建设的人、财、物资源的数量等。
示例1：假设某研产销价值链齐全的高科技企业未来一个时期所面临的最主要的风险是地缘政治引致的供应链风险，而且业务连续性能力整体比较薄弱，特别是保护与减灾、监测能力的建设需求比较迫切，则未来一个时期的业务连续性核心能力的可能选择是……。
示例2：假设某传统的金融服务机构地处西南，未来一段时期内除受金融科技冲击较大外，还会受到地震、洪水等自然灾害影响，而且业务连续性能力整体偏弱，特别是应急响响应和业务恢复的能力建设需求比较迫切，则未来一段时期的业务连续性核心能力的可能选择是……。
业务连续性核心能力目标设定 能力目标是核心能力的成功标准，它通常根据风险评估或业务影响分析中确定的事件影响后果以及业务连续性管理所期望的结果来确定。
事件影响后果 影响后果与威胁或危险源的规模和复杂度相关。规模越大、越复杂的威胁和危险源越可能引发更大的影响后果。而影响后果越严重，对核心能力的能力目标的要求也越高。 (1)对于应急响应和业务恢复使命领域，影响后果通常可以用在事件发生后可能采取的业务连续性活动来描述，例如，需要在6分钟内疏散车间工作人员；需要在半小时内启动同城灾备系统对外提供服务；需要在4个小时以内恢复所有转账业务。 (2)对于预防、保护与减灾使命领域，影响后果通常可以用在事件发生前阻止它的发生或减轻它的影响而采取的行动来描述，例如，对厂区内所有车间(含办公环境)进行火灾隐患排查、建筑采用防火材料；对所有IT系统进行防病毒保护并对关键应用数据进行实时备份。 对影响后果的分析和描述应该尽量具体、量化。通常可以用以下指标来表示影响后果：受影响地理区域；受影响人群；死亡或受伤人数；关键基础设施服务中断服务情况；直接经济损失金额；对运营造成的影响；对公司声誉造成的影响等。
期望结果 期望结果描述成功提供核心能力的时间表和需要付出的努力程度。例如，应急响应和业务恢复使命领域核心能力的成功，通常需要在指定的时间范围内提供能力，例如，在4小时内恢复所有转账业务；其它使命领域可能会有百分比来表示成功的程度，例如，在授权或拒绝网络访问时确保100%的身份验证。 在考虑预期结果时，不应受制于当前的能力满足时间表或其它成功条件。应该考虑各种类型的基于时间的期望结果，如下表： 结果类型 结果描述示例 完成行动 在4小时内完成附近地区人员的疏散 建立服务 在24小时内为流离失所人群建立饮食和保护操作 服务持续时间 为受灾人口保持1个月的行为筛选检查 综合 在24小时内为流离失所人群提供饮食和安全保护，并在2周内维持服务
开发能力目标 能力目标为每个核心能力定义成功标准和描述想要成到的目标。在业务连续性能力清单的“关键任务和绩效标准”中列出了一些期望结果或能力目标，可在开发具体能力目标时参考。此外，应该结合突发应急事件和运营中断事件情景中的影响和期望结果来开发能力目标。对有些某些核心能力，可能只需要将最大影响与期望结果简单地结合起来就能得到能力目标。而对对于另一些核心能力，不同的威胁和危险源可能对核心能力的不同方面构成压力，因而确定能力目标时可能更为复杂。
估计资源需求 在确定了一项核心能力的目标能力后，可以进一步估计达成该目标能力所需要的资源的类别及数量。在业务连续性能力清单中已初步列出了每项能力的“资源要素与目标水平”，可作为进一步分析的基础。此外，业务连续性资源分类和资源包的标准化将有助于准确估计资源需求。不同的资源组合可能实现同样的能力目标，因此，在估算资源需求时应该考虑资源提供的成本与效益，特别是对一些通过资源共享和互助协议可获得的资源，要尽量加以利用。
业务连续性核心能力及目标的确定，是能力中心的业务连续性管理活动的第一步，也为接下来的能力建设、运用和评估奠定了基础。
……(未完待续，后续文中我们会给出一个“业务连续性能力参考框架”供各类组织使用)
=============== 精采回顾 ==============
0 . 业务连 续性问与答Q 0： 大纲 Ver2.0 业务连续性问与答(大纲 ) Ver1.0，已废弃
第一部分业务连续性是什么？ 1. 业务连续性问与答Q 1 ：不是有应急管理了，怎么又出来个业务连续性管理？它们是一回事吗？ 2. 业务连续性问与答Q 2： 对企业(组织)而言，我们已有信息安全管理、IT灾备、IT服务管理、HSE、企业应急管理以及舆情危机管理、全面风险管理等诸多的安全与风险管理手段，它们和BCM是什么关系？ 3. 业务连续性问与答Q 3 ：业务连续性管理从哪儿来，又将到哪儿去？(上 ) 业务连续性问与答Q 3 ：业务连续性管理从哪儿来，又将到哪儿去？(下 )
第二部分业务连续性为什么？ 4. 业务连续性问与答Q 4：业务连续性管理有什么价值？ 我们 为什么要 做BCM，为什么有人不愿意做BCM?
第三部分业务连续性怎么管？ 一般性讨论 5. 业务连续性问与答Q 5 ：有哪些主要的业务连续性管理知识体系？(上 ) 业务连续性问与答Q 5 ：有哪些主要的业务连续性管理知识体系？(下 ) 6. 业务连续性问与答Q 6： 业务连续性是什么？业务连续性管理和业务连续性管理体系又是什么？ (上) 业务连续性问与答Q 6： 业务连续性是什么？业务连续性管理和业务连续性管理体系又是什么？ ( 下 ) 7. 业务连续性问与答Q 7： 当我们谈安全时，我们谈些什么？当我们 谈风险 时，我们谈些什么？当我们谈韧性时，我们谈些什么？ 8. 业务连续性问与 答Q 9： 对业务连续性的管理涉及哪些关键活动？如何对其进行组织？(上 ) 业务连续性问与 答Q 9： 对业务连续性的管理涉及哪些关键活动？如何对其进行组织？( 中 ) 业务连续性问与 答Q 9： 对业务连续性的管理涉及哪些关键活动？如何对其进行组织？( 下 )
项目集管理和领导力 9. 业务连续性问与答Q 8 ：怎么才能说服领导支持业务连续性管理？(上 ) 业务连续性问与答Q 8 ：怎么才能说服领导支持业务连续性管理？(下 ) 10. 业务连 续性问与答Q 10：领导已决定 启动/ 加强 / 改进业务连续性工作了，我该怎么着手推动呢？ (组织结构与人事篇 )( 上 ) 业务连 续性问与答Q 10：领导已决定 启动/ 加强 / 改进业务连续性工作了，我该怎么着手推动呢？ (组织结构与人事篇 )( 下 ) 11. 业务连续性问与答Q 11 ：领导已决定启动/加强/改进业务连续性工作了，我该怎么着手推动呢？(项目集管理活动篇 )( 上 ) 业务连续性问与答Q 11 ：领导已决定启动/加强/改进业务连续性工作了，我该怎么着手推动呢？(项目集管理活动篇 )( 下 ) 业务连续性问与答Q 11 ： 领导 让我负责单位的业务连续性工作，我想认真了解一下业务连续性经理的工作？(附 )
能力规划 12. 业务连续性问与答Q 1 2 ： 如何描述业务连续性能力？它由哪些构成要素？如何规划、确定目标能力？ ( 上 )
“ 一个好问题，胜过一百个好答案！ ”欢迎你带着问题来，当然，也欢迎你给出更好的答案！(如果你发来的问与答入选均有小礼品赠送)。 由于本公众号注册时正处于腾讯政策调整，公众号未能开通留言功能，希望参与“业务连续性问与答”讨论的朋友，可用微信扫描以下二维码加入知识星球进行留言或讨论。
原文发表于公众号”业务连续性+” | 原文链接