bcm业务连续性管理体系认证规则

业务持续性管理（Business Continuity Management）即BCM，是⼀个整体的管理流程，将业务运作所⾯临的风险控制在Zui低⽔平，以及在业务运作中断后⽴即恢复业务运作的业务管理流程。它识别威胁⼀个组织的潜在影响，并提供⼀个构件恢复能⼒和有效的响应能⼒的框架，以保护关键利益、相关的利益、组织的声誉、品牌和价值创造活动。业务连续性管理⼀般包括启动、需求分析、战略规划和实施以及运作管理四阶段。

ISO22301标准分为10个主要条款，前三款分别是范围、规范性⽂献、术语和定义，下⾯介绍该标准的其他主要条款要求。

4.1 第四款：组织

⾸先，组织应了解内部和外部需求，对管理体系的范围划定明确的界线。这尤其要求组织了解利益相关⽅的需求，如⽴法部门、顾客和员⼯的需求。组织尤其必须了解适宜的法律法规要求，这将保证组织确定业务连续性管理体系的范围。

4.2 第五款：领导

ISO22301特别强调了对合格的业务持续性管理领导的需求。这使得Zui⾼管理者能保证提供合适的资源、制定政策并任命⼈员来实施和维护业务持续性管理体系。

4.3 第六款：策划这⼀款要求组织识别业务持续性管理实施的风险，并制定明确的⽬标和标准⽤于测量其成效。

4.4 第七款：⽀撑

由于业务持续性管理体系的实施需要资源，第七款引⼊了“能⼒”这⼀重要概念。为了业务连续性获得成功，必须具有相应知识、技能和经验的⼈员从事业务持续性管理体系的管理并当事故发⽣时作出应对。在应对事故⽅⾯，所有的员⼯认识到⾃⼰的职责也是⾮常重要的，这⼀条款涉及这⽅⾯的所有内容。这⼀条款也涵盖业务持续性管理体系沟通的需求，如：告诉顾客组织有适宜的业务持续性管理在运⾏并做好事故发⽣时沟通的准备（当正常的渠道中断时）。

4.5 第⼋款：运⾏

这⼀款包括业务连续性的主体——专门技能。组织必须进⾏业务影响分析，以了解其业务中断产⽣的影响及随时间发⽣的变化。风险评估致⼒于识别业务在结构⽅⾯的风险，这些风险对业务连续性战略的制定将会产⽣影响。避免或降低事故发⽣的措施应与事故发⽣时采取的措施同时制定。由于⽆法完全预测和防⽌所有事故，所以降低风险和对不测作出应对计划对于所有意外事故来说是互补的，也就是通常所说的抱zuihao的愿望做Zui坏的打算。

ISO22301强调需要很好地确定事故响应结构。这样可保证事故发⽣时快速响应，被授权的⼈能采取必要的有效措施。该新标准还强调了⽣命安全，关键点是组织必须与外部可能遭受影响的相关⽅沟通，例如：如果事故给周边公共区域带来有毒或爆炸的风险时。

在条款⼋中也提出了业务连续性计划的需求，适合⽤户的简明易懂的⽂件⽐供审核员使⽤的冗长晦涩的⽂件更有⽤。因此，⼩计划⽐庞⼤的计划可能更需要。第⼋款的Zui后⼀部分涉及运⾏和测试，这是业务持续性管理的关键部分。测试的⽬的是证明业务连续性管理的⼀些要素是否有效，例如：有可能测试发电机打开以后是否运⾏。运⾏可以包括测试，通常采⽤相近的⽅法模拟应对事故，这通常包括培训要素和树⽴应对具有⼀定难度的异常破坏性事故的意识，同时要弄清程序是否如期运⾏。

4.6 第九款：评价

对任何管理体系⽽⾔，按照计划评价性能⾄关重要。因此，ISO22301要求组织应按照适宜的性能⽅法对⾃⾝进⾏评价。组织必须进⾏内审，还要进⾏业务持续性管理体系的管理评审，并根据评审结果采取相应措施。

4.7 第⼗款：改进

每个管理体系⼀开始都不可能尽善尽美，组织及其环境是不断变化的。第⼗款提出了随后改进业务持续性管理体系采取的措施，并保证通过审核、评审、运⾏等⽽提出纠正措施。

业务持续性管理（Business Continuity Management）即BCM，是⼀个整体的管理流程，将业务运作所⾯临的风险控制在Zui低⽔平，以及在业务运作中断后⽴即恢复业务运作的业务管理流程。它识别威胁⼀个组织的潜在影响，并提供⼀个构件恢复能⼒和有效的响应能⼒的框架，以保护关键利益、相关的利益、组织的声誉、品牌和价值创造活动。业务连续性管理⼀般包括启动、需求分析、战略规划和实施以及运作管理四阶段。

4.1 第四款：组织

4.2 第五款：领导

4.4 第七款：⽀撑