业务连续性问与答Q13(中)·业务影响分析和风险评估5步法、项目规划与管理以及实务中的误区

问题：

如何进行业务影响分析和风险评估？

回答：

业务影响分析和风险评估是众多业务连续性管理活动的基础，可能是业务连续性管理领域最重要的主题了，但同时也可能是最混乱的主题，在其中有太多误解、谬误和疑问，比如下面这些问题：

• 到底是先做RA还是BIA？ (这是一个”老”问题，年年有人问，也有人年年问;-) )
• 怎么识别、确定业务啊？这就象是个不可能完成的任务？
• 业务部门报过来的RTO/RPO全是0，怎么办？
• 几个业务部门报过来的影响都是重大(但数据标准不一)，怎么汇总啊？……
• 按财务、客户、合规和声誉这些维度评估中断对不同业务的影响时，有些业务流程(如向监管机构报告)没有财务影响数据怎么办？ ……

……续上期

业务影响分析和风险评估是专业程度和管理难度都比较高的活动，从分析方法角度，涉及到组织的运营、业务活动、风险等众多要素，专业要求高；从活动管理角度，参与者与相关方众多，管理及协调难度大，因此有必要从分析过程和项目管理两个方面分别进行说明。

3.业务影响分析5步法

根据ISO 22301：2012 3.8 业务影响分析是指”分析活动和业务中断对其可能带来的影响的过程” (process of analyzing activities and the effect that a business disruption might have upon them) ，也就是说，业务影响分析首先是一个过程，是分析组织的活动、以及随着业务中断时间(的增加)对组织造成的影响的过程。

结合业务影响分析/风险评估的原理及行业实践，建议采用以下的5步法进行业务影响分析：

第1步：项目规划与管理； 第2步：收集和分析数据； 第3步：分析结果； 第4步：报告结果； 第5步：建立评审更新机制； 下面对业务影响分析5步法简要描述。

3.1 项目规划与管理

从项目管理角度来看，业务影响分析项目可简单分为项目规划、项目实施以及项目后3个阶段，在这3个阶段各有不同的工作重点。

业务影响分析项目规划工作主要包括：

(1) 确定业务影响分析的项目范围，确定项目发起人(和保证高层管理者)的参与；

(2) 制定项目管理计划，确保业务影响分析实施方法和计划获得认可；

(3) 建立业务影响分析过程中的特定角色和职责(及能力)，建立并获得必要的技能；

(4) 获得业务影响分析项目所需的资源；向业务影响分析过程的参与者传达预期。

业务影响分析项目实施工作主要包括：

(1) 执行业务影响分析过程(5步法)，达成业务影响分析项目的目标；

(2) 定期报告，并按照管理层的预期改进项目工作；

(3) 收集意见、反馈和数据以改进业务影响分析过程。

3.2 收集和分析数据

第1步：影响准则确定 即确定衡量业务影响的指标体系及定性/定量标准。

常用的影响指标类别有财务、运营、声誉、合规等，其中财务指标主要是因业务中断导致财务损失的指标，如订单(减少)、营业收入(下降)、利润(损失)、罚款或惩罚、误工/加班费等，通常可量化为金额，是可量化的指标；声誉指标主要是因业务中断导致的负面公众评价或品牌受损程度，运营指标主要因业务中断而影响到的运营管理方面的问题，如转账/取款/存款时间(金融机构)、教学(学校或教培机构)、投递(物流公司)，合规指标主要包括因违规被起诉问责、被吊销执照/牌照或合同违反等，这三类指标一般较难直接量化为金额，是可定性的指标。

影响指标的量度，定量指标可直接量化，定性指标一般可分为3到5级，如：特别重大、重大、较大、一般、轻微等。无论采用定量还是定性，都应给出相关的描述，以方便分析人员在使用时进行定性或/定量。

影响指标的时间量度，是5分钟、10分钟、30分钟、1小时、2小时，还是1小时、3小时、6小时、12小时、1天等间隔，通常与组织所处的行业及业务运营特征相关，数字化程度越高的行业，对业务中断时间越敏感，时间间隔就越小。

在选择和确定影响指标体系时， 要 ：多与业务/职能/部门的关键人员讨论；兼顾定性与定量指标，同时尽量选择那些可以跨部门有效使用、在组织内相对”通用”的指标项；选定的指标项需要反映并与组织的核心使命 (Mission) 、战略和运营保持一致；最后，是要控制选定指标项的数量不宜过多，建议以上类别各(最多)选3个。如果有可能的话，应听取管理层(团队)的意见，对选定的影响指标排定顺序，并赋定权重。

注意， 不要 ：有太多的影响指标项；选择与组织所处行业无关的影响指标；不重视影响指标量度的确定过程；没有管理层(团队)的参与，或不重视管理层的意见。

第2步：组织业务识别 即识别组织的业务及相互关联关系。

根据ISO 22301：2012，业务 (business) 从广义上解释为对于组织的存在而言具有核心价值的活动 (to be interpreted broadly to mean those activities that are core to the purpose of the organization’s existence) 。组织业务识别，即识别出这些对于组织的存在具有核心价值的业务活动。

业务识别的目的，是确定业务影响分析的对象(甚至于业务连续性管理的对象—业务)，以便：分析随着业务中断时间增长对组织造成影响的变化(当中断时间增长到某个时间点之后对组织造成的影响会变得不可接受)，分析业务恢复时的最小服务水平，管理业务连续性能力建设(包括预案编制、资源建设、人员培训和意识教育、演练与评估等)，应对和管理应急响应和业务恢复等活动……，简而言之，业务识别是业务影响分析以及业务连续性管理的基础。

业务识别可以采用实用法或建模法。实用法是直接列出业务连续性管理范围内每个部门的5到7个重要业务，简要分析业务间的相互依赖与关联关系并汇总整理。建模法是采用行业通用业务参考模型，结合组织实际运营情况建立组织的业务模型。比较而言，实用法的优点在于工作量较小，便于实施，同时，“抓大放小”也符合业务连续性管理的原则；缺点是可能遗漏部分非关键业务，同时对参与调研的人员要求较高(熟悉业务)，在分析业务相互依赖与关联关系时比较复杂。建模法的优点在于过程严谨，得到的业务流程模型层次清晰关联关系明确(得到的业务模型还可以用于其它多种目的)；缺点是工作量大，专业要求高，项目预算及资源可能难以支持。

业务流程参考模型

常见的业务参考模型有：适合主要工业和商业企业的美国生产力和质量中心的流程分类分级框架(APQC PCF)、适合金融服务业的开放银行项目的服务全景视图(BIAN Service Landscape)、适合于供应链中类企业的供应链协会的供应链运作参考模型(SCOR)等。其中，APQC PCF可跨行业使用，影响较大，下面简要介绍。

美国生产力与质量中心(American Productivity and Quality Center，简称APQC)，创立于1977年，是一个会员制的非营利机构，在”业务对标、最佳实践和知识管理研究”领域享有国际盛誉，使命是”发现有效的改进方法，广泛地传播其发现结果，实现个人之间及其需要提升的知识领域之间的连接，从而帮助世界各地的组织提升生产力和质量”。这家机构做了大量的”流程与绩效改善资源”，并进行了大量的分享推广工作。

APQC自1991年开始研究开发流程分类分级框架(Process Classification Framework，简称PCF)，于1992年发布PCF 1.0。PCF由APQC与其会员创立，是一个通过流程管理与标杆分析，不分产业、规模与地理区域，用来改善流程绩效的公开标准。除了跨行业版本外，APQC还陆续提出了10多个行业的流程分类框架，包括电力行业、消费品行业、航空航天和国防行业、汽车行业、传媒行业、医药行业、电信行业、石油行业、石化行业等的流程分类框架。目前，PCF已成为全球最为广泛使用的业务流程框架。

APQC跨行业流程分类分级框架7.2.1

PCF用一套架构和语汇，从流程视角理解一个组织的运行，并逐步细化展示父流程和子流程，而不是展现职能部门的划分(上图是2018年发布的PCF 7.2.1，你在这张总图中看不到组织各个部门的名称)。PCF将组织的流程组织为13个组织级的流程类别(Process Category)，其中运营流程共6类，分别是制定愿景和战略，开发和管理产品与服务，营销和销售产品与服务，交付物理产品，交付服务以及管理客户服务；管理和支持服务流程共7类，分别是开发和管理人力资本，管理信息技术，管理财务资源，采购、建造和管理资产，管理企业风险、合规、修复和韧性，管理外部关系，以及开发和管理业务能力。

当然，这张总图远远不是PCF的全部内容，事实上，与以前各版本的PCF一样，它有5级细化的内容。第一级是13个组织级的流程类别(Category)，第二级是流程群组(Process Group)，第三级是流程(Process)，第四级是活动(Activity)，第五级是任务(Task)。该版本有超过1500个流程和相关的活动及任务。

PCF流程分级

互联网上及微信中有大量华为公司的业务流程管理体系的介绍，有兴趣的朋友可以自行查阅比对APQC PCF与其的联系和区别。

当然，在进行业务流程建模时，也可以使用企业架构(Enterprise Architecture)方法分析业务。有时还可以结合能力视图进行建模。强调动态序列的流程视图给出了应对特定业务场景所需的相互依赖的操作序列，但一般不会详细说明每个操作所需具备的特定能力。而强调静态结构的能力视图在表示响应特定业务事件所需的能力/资源/技能方面特别有用，但它不擅长详细说明调用这些不同能力响应任何特定业务场景时的精确顺序或阈值。为了正确地建模业务活动，经常需要结合静态的能力视图和动态的流程视图。

在进行业务识别时， 要 ：

(1)牢记业务识别的目的，要善于利用已有的分析资源(如有的组织在开发综合管理软件系统或分析操作风险时已进行过业务建模或业务识别，这时就没必要从头开始分析建模工作；也可以从财务系统中已建立科目取得相关信息)，特别是在业务连续性管理体系初建期不建议将过多资源与精力投入到业务建模中(当然，有充裕资源和预算的情况例外)；

(2)对大多数组织，暂不要考虑基于端到端的流程识别业务(因为实际的业务流程也并未按此进行设计和建立)，而是采用先部门、后业务活动逐层进行分析；

(3)对大中型组织，业务流程和活动繁多，根据组织规模和业务复杂度进行适当的分级很有必要，APQC PCF给出了5级(category-group-process-activity-task)分级，华为集团的业务流程体系为6级(Level 1：流程大类，Level 2：流程组，Level 3：流程，Level 4：子流程，Level 5：活动，Level 6：任务)，ISO/TS 22317：2015是3级(产品和服务-流程-活动)都是有益的参考；

(4)业务识别分级真正的关键是业务的颗粒度，在这方面并没有统一的标准，可行的建议是：如果1个业务活动小于5到7个人，就将其与同一场所、使用相似资源的业务活动进行合并；如果一个业务活动涉及的人数大于50人，并且内部有不同的子活动和任务，就应将其进一步拆分。

第3步：恢复目标确定

我们最常听到的恢复目标是恢复时间目标(RTO)和恢复点目标(RPO)，但事实上，恢复目标还应包括如最长可接受中断时间(MAO/MTPD)和最小业务连续性目标(MBCO)等。

在ISO 22301：2012中给出RTO、RPO、MAO和MBCO的定义分别是： 3.45恢复时间目标(RTO)：事件发生后到下列活动完成之间的时间段：产品或服务必须恢复；或活动必须恢复；或资源必须恢复 (period of time following an incident within which: product or service must be resumed, or activity must be resumed, or resources must be recovered) ； 3.44恢复点目标(RPO)：为使活动能够恢复运行，而必须将该活动所用的信息恢复到某时间点 (point to which information used by an activity must be restored to enable the acidity to operate on resumption) ； 3.25/3.26最长可接受中断时间(MAO/MTPD)：不能提供产品/服务，或者活动无法进行可能带来的影响，变得不能接受之前的时间 (time it would take for adverse impacts, which might arise as a result of not providing a product/service or performing an activity, to become unacceptable) ； 3.28最小业务连续性目标(MBCO)：在中断中组织为达到其业务连续性目标可以接受的最低标准的服务和(或)产品 (minimum level of service and/or products that is acceptable to the organization to achieve its business objectives during a disruption) 。

第4步：资源需求分析 即分析为恢复业务运行所必需的各种资源(或要素)。

业务活动的正常运行需要一系列的内外部条件，我们可以把其中不可缺少的那些称为业务要素，包括但不限于关键业务资产、人员、技能、技术(包括工厂和设备)、场地、物资和信息(无论是否为电子格式)等。

突发(应急)事件不一定必然导致运营中断，只有那些造成业务要素出现问题(不能正常使用)的突发应急事件才会导致业务中断。

突发应急事件和运营中断事件

因此，对于需要恢复的每项业务活动，我们需要找出运行(或恢复)该项业务活动时必需的业务要素。一般而言，这些业务要素可以按：人员(及其角色、职责、能力等)，信息和数据，建筑、工作环境和相关公共服务，设施、设备和消耗品，信息通信技术(ICT)系统、交通，财务和资金，以及外部供应商等进行分类(也可以按关键信息系统及其运行环境，关键的人员，业务场地，业务办公设备，业务单据和供应商等进行分类)。

通过汇总整理这些业务恢复所必需的关键业务要素建立起来的资源需求清单将为后续的业务连续性策略选择及资源建设计划建立必要的基础。 (在强监管行业中，业务牌照也应列入关键业务要素进行考虑。)

3.3 分析结果

根据以上定义可知，恢复时间目标RTO必须小于组织不能接受的导致产品/服务停止供应、活动无法执行等负面影响所需的时间，即RTO应小于MAO/MTPD。通常而言，我们可以通过调研(访谈、小型研讨会和问卷调查)分析得到每个业务的最小业务连续性目标(MBCO)和最长可接受中断时间(MAO/MTPD)，如下表可帮助分析最长可接受中断时间(MAO/MTPD)：

最长可接受中断时间(MAO/MTPD)分析

与最长可接受中断时间(MAO/MTPD)主要是通过调研、分析得出，相对”客观”相比，RTO/RPO的确定更多是策略选择，相对”主观”一些，需要结合最长可接受中断时间和业务之间的相互依赖关联关系分析得出可能的最大值，例如在下表的案例中：经调研、分析，业务A、B、C、D的最长可接受中断时间分别是4小时、12小时、1天和2天，业务B依赖于A和C，业务C依赖于业务A，业务D依赖于业务A和B，在确定业务A、B和D的恢复时间目标分别是4小时、12小时和2天后，业务C的恢复时间目标又该是多少呢？( 你可以留言你认为正确的答案给我)

当然，在实际的业务连续性管理工作中，也有相当部分专业人员并未使用最长可接受中断时间的概念，而是直接结合调研数据和业务依赖关系分析得出恢复时间目标。但最小业务连续性目标这个概念最好要用到，因为在业务恢复过程中可以根据情况降级提供服务(并非一定要立即把业务恢复到平时的正常水平)。有了最小业务连续性目标，在后续的业务连续性策略选择时的空间会扩大很多，同时资源建设的投入也会相应减少，资源使用效率也会更高。

业务影响分析的数据收集方法主要包括：文件查阅，(关键)人员访谈，小型主题研讨会，问卷调查以及 基于情景的演练(根据需要，细致策划，谨慎使用) 等。

3.4 报告结果

第5步：BIA报告编制 即编制业务影响分析报告并获得管理层批准/认可。

业务影响分析报告的内容应包括：执行摘要，业务影响分析的方法与过程，业务清单及(恢复)优先级、业务恢复目标(RTO/RPO、MBCO等)，关键支持资源及其它相关信息。下面是一家商业银行业务影响分析报告的大纲(样例)。

某商业银行业务影响分析报告大纲样例

在编制业务影响分析报告时， 要 ：将报告草案发送给参与调研的关键人员，确认报告中的数据，并根据反馈进行必要的调整；准备小型会议向高层管理者汇报业务影响分析的结果，取得管理层对报告结论的正式认可。

3.5 建立评审更新机制

基于以上的业务影响分析5步法，可以制定一个正式的、文件化的 业务影响分析实施过程 。这个正式的、文件化的过程中应包括但不限于以下内容：

(1)业务影响分析的实施过程，需要明确影响指标体系、指标量度分级和时间量度，以及使用工具(电子表格或软件)等；

(2)业务影响分析过程中的角色与职责；

(3)相关法律法规、标准要求或其它参考；

(4)业务影响分析的周期；

(5)产生的文档有哪些？

(6)是否有信息需要保护，如何保护？

(7)在附件的调查问卷中可包括以下信息：关于时间量度的问题，MBCO(最小业务连续性目标)，互依赖性、最长可容忍中断时间(MAO)、最大数据损失(RPO)，恢复所需的资源，对供应商和外包合作伙伴的评估等。

4.项目规划与管理及实务中的误区

业务影响分析和风险评估的结果可以让组织确定和选择合适的业务连续性策略，如：后备工作场所的安排，后备供应链的安排，ICT的恢复选择，后备的人力资源，后备的设备资源，临时(手工)措施和替代程序等。在业务影响分析项目完成后，我们需要让业务影响分析的结果用于开发预案、设计演练场景、提升组织效率、协助制定长期战略和开发新产品计划等，使业务影响分析工作发挥出有效的作用。

业务影响分析实务中的误区

• 未认识到业务影响分析既是过程也是项目(在特定时间)，只重视业务影响分析的专业方法，不重视项目治理工作，未取得领导和相关部门关键人的支持，造成项目迟滞和推进不力；

• 未掌握业务影响分析的概念和基本原理，没有裁剪定制的方法和实施过程细则，没有合适的工具与模板支持，使业务影响分析工作事倍功半，投入精力大，效果并不显著；

• 不重视业务影响分析的项目前期准备工作，没有项目参与人员的选择标准，也没有经过有效的培训(方法、过程及工具使用)就开始项目实施，项目实施过程难以达标甚至造成返工；

• 不重视业务影响分析的项目后工作，BIA成果未得到有效和充分的使用，也就较难获得领域和相关部门人员对业务影响分析工作的认可和正反馈，对后续的业务连续性工作形成新的阻力。

业务影响分析小结

业务影响分析可能是业务连续性管理领域 最重要 ，也是 最混乱 的主题了，它是众多业务连续性管理活动的基础，如果业务影响分析得出了错误或不准确的结论，你就不可能得到预期的业务连续性成果。

因此，在业务影响分析工作中，应做到 4要4不要 ，即： 要 得到管理层和相关方关键人员(在项目最开始时就要得到IT部门)的支持和认可， 要 让”正确的人”参与进来， 要 让BIA结果和组织能力和资源相匹配(或找到差距)， 要 让BIA的成果得到有效和充分的应用； 不要 未进行培训和方法统一就开始项目， 不要 只是通过调查问卷收集信息， 不要 造成前后矛盾的问题和数据，最重要的是，作为业务连续性经理(管理人员)， 不要 只是作为专家参与，而是用管理视角推动项目有效开展。

……未完待续