GB∕T30146-2023 《安全与韧性 业务连续性管理体系 要求》“4.4业务连续性管理体系“理解与实施指导材料.docxVIP

“4.4业务连续性管理体系“理解与实施指导材料

PAGE1

PAGE1

GB∕T30146-2023《业务连续性与韧性业务连续性管理体系要求》

“4.4业务连续性管理体系”理解与实施指导材料

过程预期结果

建立、实施、保持并持续改进BCMS，包括所需的过程以及过程间的相互作用，管理业务连续性风险并提升业务连续性绩效，实现BCMS预期结果。

有关BCMS及其过程术语及其理解

要素

构成事物的必要因素。

在此明确为过程是构成体系系统的要素。过程由要素点构成。

体系

相互关联或相互作用的一组要素

管理体系

组织建立方针和目标以及实现这些目标的过程的相互关联或相互作用的一组要素

一个管理体系可以针对单一的领域或几个领域，如业务连续性管理、财务管理或环境管理；

管理体系要素包括组织结构、角色和职责、策划和运行；

管理体系的范围可能包括整个组织，组织中特定的职能或特定的部分，以及跨多个组织的一个或多个职能。

业务连续性管理体系（BCMS）

用于建立和实现业务连续性方针和目标的管理体系或管理体系的一部分。

BCMS组织用于建立业务连续性方针和业务连续性目标以及实现这些目标的过程的一组相互关联或相互作用的要素。

BCMS是组织为确保在面临中断事件时，关键业务能够持续运行而建立的一套管理体系。它包含相互关联的要素，旨在识别风险、制定预防和恢复策略。BCMS帮助组织快速应对中断，最小化业务影响，确保稳健运营。

过程

利用输入实现预期结果的相互关联或相互作用的一组活动。

一个过程的输入通常是其他过程的输出，而一个过程的输出又通常是其他过程的输入。两个或两个以上相互关联和相互作用的连续过程也可作为一个过程。组织通常对过程进行策划，并使其在受控条件下运行，以增加价值；

单一过程指组织流程中的一个具体、独立的部分或环节，它有自己的输入、输出和活动；

两个或两个以上相互关联和相互作用的连续过程也可作为一个过程；

过程在组织的内部或外部为顾客生产产品或提供服务的互相联系的活动。活动的“预期结果”称为输出，还是称为产品或服务，随相关语境而定；

组织通常对过程进行策划，并使其在受控条件下运行，以增加价值。

过程方法

将相互关联的过程作为一个体系加以理解和管理，有助于组织有效和高效地实现其预期结果。这种方法使组织能够对体系过程之间相互关联和相互依赖的关系进行有效控制，以增强组织整体绩效。

建立、实施、保持和持续改进BCMS

基本要求

组织应根据GB∕T30146-的要求，建立、实施、保持并持续改进BCMS，包括所需的过程以及过程间的相互作用；

BCMS包括组织环境、领导力、策划、支持、运行、绩效评价和改进等要素；

使用策划（建立）、实施（执行和运行）、检查（监控和评审）和改进（保持和改进）(PDCA)循环来建立、保持并持续改进组织BCMS的有效性。

策划（Plan):

起始于对组织当前BCMS环境的理解，包括业务需求、连续性要求以及合规义务；

评估和确定潜在的业务连续性风险，这些风险可能源自内部或外部因素，对业务运营产生负面影响；

制定业务连续性目标，这些目标应与组织的整体战略和方针相一致，并明确为实现这些目标所需的过程和策略。

实施（Do):

根据策划阶段制定的目标和策略，具体计划和实施相应的BCMS活动；

这包括建立必要的组织结构、分配角色和职责，以及实施相关的培训和沟通活动，确保所有人员了解并遵循BCMS的要求；

在此阶段，还需要建立和维护必要的成文信息，以支持BCMS的运行和持续改进。

检查（Check):

监视和测量BCMS的实施效果，包括业务连续性绩效和BCMS与预设目标和要求的符合性；

进行定期的内部审核和管理评审，以评估BCMS的有效性和识别潜在的改进机会；

报告监视和测量的结果，包括任何不符合项和纠正措施的建议，以供管理层审核和决策。

改进（Act):

基于检查结果，识别BCMS中的不符合项和潜在改进点，并采取相应的纠正措施和预防措施；

持续改进BCMS，以提高业务连续性绩效和满足不断变化的业务需求和连续性要求；

将改进活动纳入下一个PDCA循环的策划阶段，确保持续改进成为BCMS的固有部分。

建立、实施、保持和持续改进BCMS及其过程

确定BCMS过程所需的输入和期望的输出：在构建BCMS时，应首先识别并定义每个业务连续性过程的关键输入和预期输出。输入应涵盖为维持业务连续性所必需的信息、资源和能力，而输出则应确保业务在面临中断时能够快速恢复并保持连续；

确定BCMS程的顺序和相互作用：识别并确定BCMS中各个过程之间的逻辑顺序和相互依赖关系，确保在业务中断时，这些过程能够按照既定的优先级和顺序迅速启动和协调。这应通过详细的业务连续性计划、恢复策略以及清晰的沟通机制来实现；

确定和应用所需的准则和方法（包括监视、测量