ISO 22301 业务连续性管理体系

运营中断时，需要恢复的不只是电脑系统，还包括人员、场所、供应和对客户的交付。ISO 22301 规划可先从“哪些工作不能停止太久”开始，再判断所需资源、替代方式和决策职责。

服务分类与标准定位

管理系统审核（Management System Auditing, MS）

根据组织范围和适用版本，可规划体系导入、内部审核、供应商审核或外部审核准备。是否颁发证书由受理的独立认证机构按其程序决定。

本项工作聚焦业务影响分析、恢复优先级、连续性策略和演练。

适用对象与启动时机

客户要求持续供货、组织高度依赖单一场所或供应商，或曾发生停工、系统故障等事件时，可检视业务连续性需求。组织重整、服务变更和新增关键系统，也可能改变现有计划的可行性。

企业常见挑战

备份成功，但人员或设备无法到位，业务仍然停摆；恢复时间由单一部门设定，没有对应客户与业务影响；联络表很完整，却没人知道谁能启动计划；演练只按脚本完成，没有检查资源冲突与决策过程。

方法与适用要求

ISO 官方目录列出 ISO 22301:2019 及 2024 年修正案 1，作为业务连续性管理体系要求。管理重点是做好准备、及时响应，并在中断后维持或恢复适当的交付能力，不能描述为保证零中断。

可讨论的范围包括业务影响分析、关键活动与依赖、风险、连续性策略与资源、启动和沟通、持续与恢复计划，以及演练和改进。恢复时间目标需与业务影响及可接受的服务能力相连，不能只用 IT 系统恢复时间取代。

辅导内容与流程

确认需要优先恢复的交付

与业务和支持单位整理中断影响随时间的变化、客户承诺及依赖资源，形成业务影响与优先级记录。

比较可行的连续性策略

讨论替代场所、人力、供应和信息资源，检查能力限制、成本与前置条件，避免提出缺少资源支持的目标。

编写并检视计划

将启动权限、分工、联络和恢复步骤整理成可用计划，选择适当情境开展桌面演练或其他经授权的演练。

跟进演练与变更影响

将演练发现、事件经验与组织变化纳入更新，形成资源缺口、改善责任和管理评审议题。

企业需准备哪些资料

建议准备主要产品与服务、客户交付承诺、部门活动和资源依赖、供应商与场所资料、历史中断事件、现有应变与备份计划，以及演练记录。尚未验证的恢复能力应标注为假设。

时程与费用如何评估

涉及部门、场所、关键活动及演练深度都会影响工期，并需要相关负责人参与决策。备援设备、替代场所、系统改造和实际资源采购应另列预算；制度文件不能代替恢复能力建设。

常见问题

已有资料备份就算完成了吗？

备份只是可能需要的一项资源，还要确认业务、人员、场所和供应能否配合恢复。

一定要先买备援机房吗？

应先了解业务影响与可行策略，再决定是否需要特定设施，避免先采购后找用途。

恢复时间可以由信息部门决定吗？

业务和相关资源单位需要共同确认，目标必须反映交付需求与实际可实现能力。

演练必须停止正式运营吗？

不一定要采用高干扰方式，可根据目的分阶段规划；影响正式运营的测试需另行授权、评估风险并安排恢复。

计划多久更新一次？

除例行检视外，重要活动、资源或职责变动，以及事件和演练发现，都可能需要更新。

完成辅导就能保证取得证书吗？

是否进行认证及其结果由相关机构按程序评估；项目成果应先支持实际连续性能力与改善。