利用第三方服務延展企業(yè)“壽命”

申請免費試用、咨詢電話：400-8352-114

阿姆斯特丹斯特拉提克斯集團的愛倫·德·魯吉最近針對公司壽命所做的一項調查顯示：在日本和歐洲，所有大大小小公司的平均壽命只有12.5年；而在中國，企業(yè)的平均壽命只有3-5年。誠然，這其中包含了歷史的因素和經濟發(fā)展階段的影響，但是在企業(yè)發(fā)展的不同階段，對風險的控制、規(guī)避以及對突發(fā)事件的應對、保障的投入也直接影響了企業(yè)的生命周期的長短。特別是對于那些影響著整個國際民生有著重要影響的大型、超大型企業(yè)和機后，如何保持企業(yè)連續(xù)有效的運作，減少和避免非計劃事件造成的重大損失和影響是一項十分重要的"命題"。

業(yè)務連續(xù)性的概念

業(yè)務連續(xù)性并不是一個新鮮的話題，《左傳·襄公十一年》書中即有"居安思危，思則有備，有備無患" 。憂患意識不僅僅是一個國家一個民族要有，一個企業(yè)也必須保持常備不懈才能夠在激烈的競爭中在變幻莫測的生存環(huán)境中立于不敗之地。

現代意義上的企業(yè)業(yè)務連續(xù)的概念始發(fā)于20世紀70年代中期，隨著計算機系統(tǒng)在企業(yè)支持體系中的重要性逐步提高，企業(yè)對信息系統(tǒng)的依賴性逐步顯現出來，信息系統(tǒng)的信息安全和連續(xù)運行保障成為企業(yè)持續(xù)生存的重點。以信息技術體系保障和恢復為核心的災難恢復的概念被提出和關注。并開始出現了一批提供信息系統(tǒng)災難恢復體系建設服務的專業(yè)服務公司和組織。像美國的SunGuard公司從1978年開始關注于業(yè)務連續(xù)和災難恢復服務，目前已經成為年營業(yè)額超過4億美金，服務于25000個客戶的龐大企業(yè)，在"9.11事件"中由其直接提供災難恢復服務的用戶就達到400家以上。業(yè)務連續(xù)管理的理念就是在災難恢復的基礎上擴充和發(fā)展起來的。

按照現代企業(yè)管理實踐，業(yè)務連續(xù)性管理就是企業(yè)管理者在經營過程中主動識別企業(yè)在運行、管理過程中可能存在的會對企業(yè)的生存發(fā)展帶來重大負面影響的因素，并從設施、人員、培訓、教育、管理體系、制度等方面進行積極改進和提高，建立有效的防范和響應機制，避免企業(yè)的服務能力和持續(xù)發(fā)展過程遭受重大挫折。業(yè)務連續(xù)性管理涉及了風險管理、災難恢復、基礎設施管理、供應鏈管理、質量控制、健康與人身安全、知識管理、應急管理、保密、公眾聯絡與公關等眾多的專業(yè)領域。

業(yè)務連續(xù)性管理的發(fā)展

目前，國外的業(yè)務連續(xù)管理理念經過20多年的發(fā)展，已經比較成熟，在一些發(fā)達國家，大型企業(yè)和重要機構都會建立負責業(yè)務連續(xù)管理的專門機構和專門人員，在遠離生產中心的地方擁有一個甚至多個備用計算中心和其它備用基礎設施，那些對于信息系統(tǒng)依賴程度較高的企業(yè)往往要拿出IT總預算的7%～15%用于備份系統(tǒng)建設。更多的企業(yè)已經開始從IT系統(tǒng)之外的更多領域考慮企業(yè)的業(yè)務連續(xù)管理。

國外的企業(yè)和機構在長期的實踐過程中積累了大量的成功經驗，并形成了國際性的專業(yè)組織，推出了以最佳實踐為基礎的規(guī)范和標準，這其中包括業(yè)務連續(xù)組織（BCI）推出的PAS56（Publicly Available Specification 56 Guide to business continuity management），英國標準組織（BSI）推出的BS25999（PAS56 為最佳實踐指南，2006底推出；BS25999為認證規(guī)范，2007年底推出）等。BS25999將是第一個業(yè)務連續(xù)性管理領域的國際標準。在標準和規(guī)范建設方面，國內的信息主管機關和行業(yè)主管機構也做了很多工作。2003年《國家信息化領導小組關于加強信息安全保障工作的意見》明確要求: 各基礎信息網絡和重要信息系統(tǒng)建設要充分考慮抗毀性與災難恢復，制定和不斷完善信息安全應急處置預案。2005年4月，由國務院信息化辦公室主持編制的《重要信息系統(tǒng)災難恢復指南》（以下簡稱《指南》）出臺，指明了做好信息系統(tǒng)災難恢復工作的基本思路。去年6月，對《指南》進行解讀和補充的《信息系統(tǒng)災難恢復的規(guī)劃及實施》正式出版，對災難恢復相對成熟的理論和方法進行了全面介紹。銀行、保險、證券等行業(yè)也開始著手依據主管機關的要求和《指南》的要求制定本行業(yè)的信息系統(tǒng)災難恢復的規(guī)范。許多國家部委、地方政府、銀行、海關、稅務等對信息系統(tǒng)依賴嚴重、關系國計民生的重點行業(yè)已經開展了災難恢復備份系統(tǒng)的設計、規(guī)劃和實施。

在我國，現代意義上的業(yè)務連續(xù)和災難恢復體系建設工作起步較晚，20世紀末的"千年蟲"事件應該是中國企業(yè)開始關注業(yè)務連續(xù)和信息系統(tǒng)災難恢復工作的一個標志性事件。隨后的911事件更是讓眾多的企業(yè)開始正視信息系統(tǒng)災難恢復和業(yè)務連續(xù)性管理工作的重要意義。雖然，國內許多企業(yè)已經認識到了災難恢復和業(yè)務連續(xù)的重要性，開展了以信息系統(tǒng)為核心的災難恢復體系的建設，但是目前國內的災難恢復和業(yè)務連續(xù)工作還存在一些問題，例如：對災難恢復和業(yè)務連續(xù)體系建設的重要性和必要性認識不足，存在僥幸心理；建設目標不明確，將災難恢復和業(yè)務連續(xù)性管理作為技術問題忽略了業(yè)務需求和流程建制，混淆了數據備份、災難恢復和業(yè)務連續(xù)性的區(qū)別；只重建設不重管理，無法保證災難恢復體系的長期有效性；缺乏統(tǒng)籌規(guī)劃，重復建設，浪費資源; 建設方案缺乏評估和驗證，不能滿足相關規(guī)范和業(yè)務恢復的要求; 缺乏管理流程和制度保證，在災難性事件發(fā)生時無法有效的執(zhí)行切換和恢復；人員培訓和教育不足，缺少專業(yè)管理人員，缺乏風險管理的意識，恢復操作的技能和流程生疏等。

國內企業(yè)如何利用這些國內外的實踐經驗和標準，結合本企業(yè)的實際情況建設符合企業(yè)自身特點和要求的業(yè)務連續(xù)性管理體系呢？

充分利用第三方專業(yè)服務，多快好省地建設業(yè)務連續(xù)性管理體系

在專業(yè)領域依賴專業(yè)公司的專業(yè)服務已經在企業(yè)管理和發(fā)展的各個方面證實是提升企業(yè)管理和服務質量、水平的可靠渠道。在業(yè)務連續(xù)管理領域也不例外。業(yè)務連續(xù)性管理體系建設是一個高投入、低產出的領域，它所防范的是能夠對企業(yè)持續(xù)穩(wěn)定發(fā)展造成重大損害的小概率偶發(fā)事件，卻需要企業(yè)持續(xù)長期的投入以保證體系的有效性。合理規(guī)劃、資源共享、規(guī)范管理是企業(yè)業(yè)務連續(xù)性管理體系建設的必要原則。利用提供專業(yè)服務的第三方資源是企業(yè)成功建立業(yè)務連續(xù)性管理體系的重要手段。

利用第三方專業(yè)服務可以提高工作工作效率，保證工作結果的可行性和專業(yè)性

業(yè)務連續(xù)性體系的規(guī)劃包含以下主要內容：

在建設初期必須詳細了解企業(yè)面臨的風險和已有的方法措施的有效性，了解企業(yè)的業(yè)務目標和突發(fā)事件可能造成的損失，了解企業(yè)現有資源和保障能力，確定企業(yè)業(yè)務連續(xù)管理領域必須遵循的法律和行業(yè)規(guī)范，確定企業(yè)建設業(yè)務連續(xù)性體系的建設目標和衡量標準。

在確定了總體目標后，企業(yè)應當根據總體目標按照總體規(guī)劃、量力而行、分步實施的原則確定業(yè)務連續(xù)性體系建設的階段性目標和建設范圍。在確定了實施步驟和總體要求后，必須規(guī)劃所需資源的獲取策略，業(yè)務連續(xù)性資源可能包括：人力、基礎設施、設備、信息溝通和傳輸網絡、組織流程保障及相關的行動計劃、規(guī)章制度、文檔等。

在規(guī)劃階段，企業(yè)面臨的主要問題包括：

人員的稀缺，目前在國內，業(yè)務連續(xù)性管理體系建設剛剛興起，企業(yè)幾乎無法從國內獲得擁有足夠業(yè)務連續(xù)性管理體系建設和管理經驗的人員，而從國外獲取又面臨成本高昂和對國內情況不夠了解的問題。甚至在國外，也只有那些大型企業(yè)才會安排專職的業(yè)務連續(xù)性管理的職位和人員。人員和經驗不足是目前國內企業(yè)建設業(yè)務連續(xù)性體系的最大障礙之一。

部門間協調困難，業(yè)務連續(xù)管理體系建設規(guī)劃必然會涉及不同業(yè)務管理、技術管理、后勤保障、財務管理、公共關系協調等部門的需求和資源調用，如何打破原有的部門間條塊分割的界限統(tǒng)一的協調需求和資源，是企業(yè)現有體系下難于解決的問題。許多企業(yè)開展業(yè)務連續(xù)性體系建設多年無法取得進展，部門、利益團體間難于協調是重要因素之一。

缺少統(tǒng)一的規(guī)劃方法體系，建設規(guī)劃必須依據統(tǒng)一的規(guī)劃標準和方法體系才能夠得到科學合理的結果。在缺少專業(yè)人員并且難于協調部門間差異的情況下，很難想象通過部門間分工甚至兼職的協作能夠執(zhí)行一個統(tǒng)一的規(guī)劃方法體系。

而通過專業(yè)服務公司就能夠很好的解決以上問題。首先，專業(yè)服務公司在于公司建立合作前就已經有大量專業(yè)人員儲備，而且這些專業(yè)人員不但獲得了基于國外最佳實踐方法的嚴格培訓，而且具有國內其他相關企業(yè)業(yè)務連續(xù)性管理體系規(guī)劃實施的實戰(zhàn)經驗，可以說既有理論基礎又有實踐經驗，能夠大大縮短企業(yè)的建設周期，減少不必要的周折和損耗。其次，專業(yè)服務公司作為企業(yè)外部資源，直接受命于最高管理層，不易受部門間利益體系牽連，具有更好的中立性和權威性。第三，專業(yè)服務方掌握了成功、統(tǒng)一的規(guī)劃方法體系，更容易實現規(guī)劃方法體系的連貫性和一致性，能夠獲得更加科學合理的規(guī)劃結果。

利用第三方專業(yè)服務可以提高資源使用效率，降低整體擁有成本

由于災難事件是小概率事件，各企業(yè)同時發(fā)生災害性問題的可能性很低，利用社會化資源實現資源共享，降低企業(yè)建設使用成本的同時提高資源使用效率，已經被國內外的許多案例證明是建設災難恢復和業(yè)務連續(xù)性體系的最佳選擇，在《國家信息化領導小組關于加強信息安全保障工作的意見》和國務院信息化辦公室主持編制的《重要信息系統(tǒng)災難恢復指南》中也把資源共享作為重要原則進行了闡述。

利用社會化專業(yè)服務資源可以在以下幾個方面實現共享：

  場地共享，例如：機房場地、辦公場地、應急指揮和會議、媒體接待等。
  設備共享，例如：環(huán)境保障設備、信息處理設備、存儲設備、辦公設備、通信網絡設備等。
  服務共享，例如：設備場地巡檢服務、恢復支持服務、演習演練支持、會務及通知通訊服務等。

利用社會化專業(yè)服務資源實現資源共享具有以下好處：

減少初期投入，災難恢復和業(yè)務連續(xù)性體系的建設要求企業(yè)必須具備在災難發(fā)生時能夠使用的備用資源，包括備用的人力資源、場地設施資源、數據處理能力和設備、通信網絡線路等。通過租用的方式獲得這些資源可以大大減輕企業(yè)一次性投入的資金壓力，并且能夠在稅收、財務報表核算指標方面獲得有利的地位。縮短建設時間，與自建方式相比，利用社會化資源可以通過一次商務談判來解決，節(jié)省了土建、裝修、采購、安裝、測試等一系列過程，大大縮短了資源建設和準備的時間。

獲得高標準服務，社會化資源在長期對外服務過程中形成了標準、規(guī)范的服務流程和服務質量管理體系。相對而言，自建設施從建設完成到形成穩(wěn)定服務能力不論是在時間開銷上還是規(guī)范性上都有較大差距。更低的總體擁有成本和更高的使用效率，通過共享不但可以提高資源使用效率，同時還能夠分攤使用成本，使企業(yè)以更低的總體擁有成本獲得專業(yè)的服務。

此外，通過社會化、專業(yè)化的資源共享還可以降低企業(yè)機構復雜度、分攤風險和責任、提高企業(yè)自身的專注度和管理效率。

利用第三方專業(yè)服務有利于促進管理標準、規(guī)范的實施和執(zhí)行

規(guī)范管理是企業(yè)業(yè)務連續(xù)性管理保持持續(xù)有效的必要保證，在企業(yè)獲取了相應的資源后，并不意味著企業(yè)就具有了防范和應對風險事件的能力，除了資源保障外，企業(yè)還必須在組織評估、機構設置、應急響應、災難恢復活動及流程、演習演練、人員培訓、體系維護，審計及改進，企業(yè)文化植入等方面建立規(guī)范的文檔、制度和流程。并根據P(lan)D(o)C(heck)A(ct)的流程進行持續(xù)的改進和提高。

參考自BS25999 Part 2

雖然，在這些方面已經有很多的最佳實踐、規(guī)范和標準可以參考（包括前面提到的PAS56，BS25999）等，但是這些最佳實踐、規(guī)范和標準等都是按照普適性原則開發(fā)的，必須依據國內和企業(yè)的自身情況進行調整和定制。通過第三方專業(yè)服務的協助企業(yè)可以大大縮短制度和流程體系的開發(fā)周期，并可以在第三方專業(yè)服務團隊的幫助下完成制度、流程的落地和實施，使企業(yè)能夠快速的獲得災難性事件的應對及恢復能力，保證企業(yè)持續(xù)穩(wěn)定的發(fā)展。在此階段，第三方專業(yè)團隊可協助企業(yè)完成以下工作：

管理體系的規(guī)劃，第三方專業(yè)團隊可以利用自己的專業(yè)知識和豐富的經驗協助企業(yè)建立起符合法律規(guī)范要求和企業(yè)自身特點的業(yè)務連續(xù)性管理體系框架，保證管理體系框架的完整性和合規(guī)性，為企業(yè)將來的自我完善和提高打好堅實的基礎。

提供較詳盡的樣例、模版和使用指南，用戶可以利用已有的素材在一個相對完備的體系基礎上進行個性化的定制和開發(fā)，避免了大量的重復勞動和人員開銷。人員的培訓和知識技能的轉移，可以通過與第三方專業(yè)團隊的共同工作和相關培訓課程完成企業(yè)內部專業(yè)人員和技能的培養(yǎng)，獲得持續(xù)改進和提高的能力。演練指導和執(zhí)行審計，第三方的專業(yè)團隊可以為企業(yè)提供更加專業(yè)的演習演練管理方法和組織人員，幫助企業(yè)人員獲得實踐經驗和操作技能，并通過定期的審計，為企業(yè)提供更多的改進機會。

意識的教育與統(tǒng)一，業(yè)務連續(xù)必須表現為全體員工具有統(tǒng)一意識的企業(yè)整體意志才能夠得到很好的貫徹和執(zhí)行。第三方專業(yè)團隊可以提供成熟有效的內部教育素材和手段協助用戶完成業(yè)務連續(xù)性管理理念和企業(yè)文化的有機整合。

企業(yè)在選擇第三方專業(yè)服務團隊時應注意的問題

企業(yè)在選擇第三方專業(yè)服務團隊時必須注意以下問題：

專業(yè)服務團隊的專業(yè)和專注，選擇的服務方必須具備專業(yè)的知識和專業(yè)的團隊，業(yè)務連續(xù)性管理涉及了不同領域的多個專業(yè)，專業(yè)服務團隊掌握的知識和技能必須能夠充分涵蓋并且能夠支持業(yè)務連續(xù)性管理體系的規(guī)劃和實施。

專業(yè)服務團隊的服務案例，通過考察服務方的案例，可以增進企業(yè)對服務方在專業(yè)知識、客戶所處行業(yè)以及服務能力方面的了解，相關案例的規(guī)模與數量直接說明了服務方服務團隊的規(guī)模和專業(yè)服務經驗的多寡。專業(yè)服務團隊的市場美譽度，企業(yè)還應該通過不同的渠道了解服務方的市場反映，有時服務方的宣稱和第三方傳言并不可信，如果可能，應直接與服務方的客戶取得聯系，了解實際的情況。

專業(yè)服務團隊的中立性，由于業(yè)務連續(xù)性體系的實施可能會帶來巨大的投入和長遠的影響，專業(yè)服務團隊應保證其在工作過程中的公正性和獨立性，最大可能的代表企業(yè)方的長遠利益，而與項目利益的直接相關方，例如設備生產商或者個別部門/團體利益代表者等可能會損害這種公正性和獨立性。

綜上所述，業(yè)務連續(xù)性管理體系的建設是企業(yè)獲得持續(xù)穩(wěn)定發(fā)展能力以及符合法令規(guī)范要求的必要途徑，通過選擇合適的第三方專業(yè)服務可以令企業(yè)能夠充分利用已有的知識體系和管理經驗，縮短建設周期，降低建設和維護成本，擁有規(guī)范高效的業(yè)務連續(xù)性管理體系，保障企業(yè)業(yè)務目標和社會責任的實現。(萬國數據)