BCM业务连续性管理程序
业务持续管理(BCM)概述及应用
恢复策略应定期进行审查和更新，以反映组织结构 和业务需求的变化。
测试和演练
测试和演练是验证恢复策略有效性和 可靠性的关键环节。
测试和演练的结果可以作为改进和优 化恢复策略的重要依据。
通过模拟真实场景，测试和演练可以 暴露出恢复计划中的潜在问题，并及 时进行修正。
定期进行演练有助于提高组织的应急 响应能力和员工之间的协调配合。
业务持续管理(BCM)概述及应用
$number {01}
目 录
• BCM 定义及重要性 • BCM 的核心要素 • BCM 的实施步骤 • BCM 的应用场景 • BCM 的挑战与解决方案 • BCM 的未来展望
01
BCM 定义及重要性
BCM 的定义
业务持续管理（BCM）是一种综合性的管理过程，旨在识别潜在的业务风险并制定 相应的策略和措施，以确保组织在面对各种突发事件时能够快速恢复并保持业务运 营的连续性。
推动企业成功实现转型和变革。
05
BCM 的挑战与解决方案
文化和组织挑战
挑战
BCM实施过程中，可能会遇到来自组织内部的文化和组织障碍，如员工对变革的抵触、部门间沟通不畅等。
解决方案
建立清晰的BCM愿景和战略，加强内部沟通与培训，提高员工对BCM的认知和接受度，鼓励团队合作和跨部门 协作。
技术挑战
06
BCM 的未来展望
技术发展对 BCM 的影响
1 2 3
云计算
云计算提供了弹性可扩展的计算资源，有助于企 业更灵活地应对业务中断，提高业务恢复速度。
大数据分析
通过对历史数据和实时数据的分析，企业可以更 准确地预测和评估潜在的业务风险，提前制定应 对策略。
人工智能和机器学习
第十六章业务连续性管理
第⼗六章业务连续性管理第16章业务连续性管理随着信息化的发展、企业、政府对信息系统运作的稳定性和可靠性的要求就越⾼。
本章⾸先将从什么是业务连续性计划及BCP相关概念进⾏了介绍；然后介绍了应急响应概念、如何建⽴安全应急响应管理系统和应急响应流程以及针对事件的发⽣如何处理；最后介绍了灾难恢复计划相关概念和所使⽤的技术以及灾难恢复级别是如何定义和如何制定灾难恢复计划。
本章内容适合参加信息安全⾼级管理师认证的读者。
16.1 概述16.1.1什么是业务连续性计划业务连续性计划(Business Continuity Planning，缩写为BCP)，BCP可被定义为⼀种先知先觉的流程, 它可以帮助企业确认影响业务发展的关键性因素及其可能⾯临的威胁。
由此⽽拟定的⼀系列计划与步骤可以确保企业⽆论处于何种状况下，这些关键因素的作⽤都能正常⽽持续地发挥。
BCP的⽬标是建⽴⼀种合理有效的成本控制⽅案，以平衡由威胁带来的可能的业务或资产的损失及为保证业务连续性运作⽽进⾏的成本投⼊。
业务连续性对确保灾难发⽣时企业的⽣存是⾄关重要的，不过与之同等重要的是要保证企业⽇常的业务运⾏平稳有序。
业务持续管理即BCM是⼀种整体管理流程，它能够确定可能发⽣的冲击及对企业运作造成的威胁，并提供⼀个架构来阻⽌或有效的抵消这些威胁，以保护股东的利益、公司的名誉及品牌。
16.1.2BCP运作流程BCP运作共有6个阶段，分别为：1. 项⽬初始化2. 风险分析及业务影响3. 策略及实施4. BCP开发5. 培训计划6. 测试及维护1. 项⽬初始化(1) 获得管理层的⽀持与投⼊为了确保该程序能够成功，⾼级管理层必须参与其中。
BCP计划必须成为公司的战略性业务计划提供独⽴的预算。
(2) 建⽴团队必须建⽴⼀个团队，⼈员包括财务部，审计部，信息技术部，⼈事部，⾏政部等等。
当灾难开始时，这些部门在继续扮演他们承担的⽀援⾓⾊的同时，也必须实施重⼤的机构转变以援助受影响的区域。
应急预案中的业务连续性管理与保障
应急预案中的业务连续性管理与保障业务连续性管理与保障（Business Continuity Management，简称BCM）是指企业为应对突发事件或灾害，确保业务连续运行的一种管理方法和体系。
它通过系统性的、有计划的措施，保障企业在面临各种内外部风险时，能够继续提供的关键产品和服务。
在应急预案中，业务连续性管理与保障具有重要性，它帮助企业建立完善的应急响应机制，提高企业应对突发事件的能力，保障企业的业务不中断，最大限度地减少损失。
具体来说，业务连续性管理与保障在应急预案中主要包括以下几个方面：第一，制定与更新业务连续性管理计划。
业务连续性管理计划是企业在突发事件发生时，保障业务连续运行的指导性文件，其中包括相关的预警机制、应急响应流程、团队组织、资源调度等内容。
制定业务连续性管理计划需要根据企业的实际情况，确定重要业务的优先级和影响范围，明确各个部门的职责和任务，并定期进行评估和更新。
第二，建立完善的备份与恢复机制。
备份与恢复机制是保障业务连续性的关键步骤。
企业需要建立定期备份关键数据和信息的制度，确保备份的数据安全可靠。
同时，还需要制定数据恢复的详细方案，包括恢复的时间、方式和步骤等，以最短的时间恢复业务运行。
第三，建立灾害恢复团队。
灾害恢复团队是企业应对灾害和突发事件的核心力量，它由各个部门的代表组成，拥有丰富的应急处理经验和专业知识。
灾害恢复团队需要定期进行演练和培训，提高应对紧急情况的能力，保证在突发事件发生时，能够快速有效地响应和处置。
第四，建立与外部机构的合作机制。
突发事件往往超出企业自身的能力范围，需要借助外部资源和机构的支持。
因此，企业在制定应急预案时，需要与相关的政府部门、行业协会、供应商等建立合作机制，明确紧急情况下的合作内容和流程，提高应对突发事件的整体响应能力。
第五，建立监测预警机制。
监测预警机制是防范突发事件和灾害的关键环节。
企业需要建立相应的监测预警系统，及时获得与业务运行相关的信息，提前预警和预防可能发生的风险，为业务连续性管理提供必要的支持。
BCM业务连续性管理-培训教材20190906
DQS Academy
资料提供人：杨兴文
3
机密信息丢失引发信任危机
▪ 2005年6月1日，瑞士银行集团(UBS)日本分行丢失了一张 存有高度敏感客户信息的磁盘。其中可能包含相当机密的 交易、止损单记录以及公司各类客户的敏感信息。
▪ 2005年6月6日，花旗银行390万客户账户资料在快递途中 的神秘失踪。
$ 0.5
$ 1.0
$ 1.5
$ 2.0
$ 2.5
$ 3.0
Source : Deloitte BCM practice report, Network computing, 2001
DQS Academy
资料提供人：杨兴文
12
BCM对组织带来什么好处？
A. 确保组织对生死攸关的灾难性事件，做出及时响应。 B. 合理的BCM计划既满足规范和应对特殊风险的要求，
DQS Academy
资料提供人：杨兴文
10
现代社会风险和BCM的进化
1990
1995
1999
2000
2001 2004 2005
2008
2018
Kobe Earthq. 社会机能复原 重要灾难信息
WWW 实时网络存储
ERM 管理内部 监控器
BCM 总的商务 风险管理
DRP 灾害复原计划
Y2K 业务进程的再设计 (BRP)
DQS Academy
资料提供人：杨兴文
9
BCM能做什么？
• BCM的目标：
防止业务停顿，以及保护重要业务进程不受重大失效或灾难的影响。 (BS7799定义)
• 预防(Prevent) & 恢复(Recovery)
a)一项综合管理流程，它使企业认识到潜在的危机和相关影响，制订响 应、业务和连续性的恢复计划，其总体目标是为了提高企业的风险防范 能力，以有效的响应非计划的业务破坏并降低不良影响。 b)BCM的出发点在于对潜在的灾难危险加以辨别并进行分析，以确定其 对企业实施造成的威胁，并建立一个完善的连续管理计划来防止或减少 灾难事件给企业带来的损失。
中国银行业务连续性管理v10nsfocus
– 建立适用的规程和策略，用于同地方当局协调响应、连续性和恢复活动，以确保符合现行的法 和法规。
中国银行业务连续性管理v10nsfocus
响应 资源
在行动
重装载 数据库
回滚和 再同步
恢复操作系统
恢复的时间
重定位备份
业务 重新 开始
中国银行业务连续性管理v10nsfocus
• 因此，BCM要从企业的业务目标出发，分析企业具 体的业务流程，详细分析支持这些业务流程的应用 系统，分析它们一旦发生危机对业务的影响。根据 上述影响，制定相应的规避方法，包括流程和技术 手段。
中国银行业务连续性管理v10nsfocus
业务连续性管理的国际专业操作步骤(10 Steps)
1. 项目启动和管理
中国银行业务连续性管理v10nsfocus
• 灾难恢复应该是整个应急体系中的最后一道防线。
• 事实上，无论备份等级有多高，任何灾备中心与真 正的业务系统间都还是会存在或多或少的时点差距 的，切换恢复后的业务系统不一定是全部；且系统 切换本身也是要付出时间、人力、物力等高成本代 价的。
• 而我们所该做的，是在灾难发生后尽量将损失降到 最低。
洞，导致4000万用户的银行资料被泄漏，其中包括 MASTER 公司的1390 用户、VISA 的2200万客户。
信任危机
中国银行业务连续性管理v10nsfocus
银行业赖以生存的重要信息资产
• 帐户信息
• 客户资料 • 信用记录
7×24×365
• 交易明细
• 业务数据大集中的同时，客观上也把风险集中和放 大起来。
•硬件故障 •数据残缺 •电信故障 •电力故障 。
安全控制
业务连续性管理 (BCM)实务培训
时间
11
信息系统的恢复与复原
• 如果业务活动完全依赖于IT系统，则对于IT部门而言：
• 业务部门以业务视角分析出系统的恢复目标MTPD、MTDL；
• IT部门应据此制定信息系统的RTO、RPO。
最新的 数据备份点 突发事件
系统中断、实时数据丢失
恢复关键业务 到最低运营水平
业务复原 到完全运营水平
实施临时变通方案 恢 复 复 原 MTPD MTDL -2 小时 RPO 允许的 数据丢失 事件上报与 初判 启用备用资源 -1 小时 0
应急指挥和组织协调
应急执行层
业务条线与信息技术应急处置工作： • 执行业务部门、信息技部门BCP • 启动应急预案 • • • • 资源保障：人、财、物 秩序维护，安全保障，法律咨询，人员安抚 对外宣告、通报、沟通，对外媒体公关 执行保障部门BCP
应急保障层
15
连续性管理的一般实施过程
分析 (Analysis) 设计 (Design) 连续性策略 制定 实施 (Implementation) 风险处置 验证 (Validation) 连续性管理 改进 业务影响分析 风险评估 连续性演练
IT灾难恢复计划：将中断的IT系统服务恢复到可用状态，通常涉及灾备切换。 应急预案：通常由一组具体的故障恢复场景构成，可能包含导致服务中断的严重故障，也有可 能涉及未导致服务中断的一般故障。
9
业务连续性的恢复要求
• 最长可容忍中断时间（MTPD, Maximum Tolerable Period Of Disruption） 交付产品、服务的业务流程与活动的最长可容忍中断时间。 如果超出此时间限制，带来的负面影响将变得无法承受。 • 恢复时间目标（RTO） 基于MTPD，在组织内部协商后制定的恢复时间目标值。RTO应小于MTPD（30%为宜）。 组织应在假设的最坏场景下，通过演练、测试，验证自身达成RTO的实际能力。 • 最长可容忍数据丢失点（MTDL , Maximum Tolerable Data Lost） 交付产品、服务的业务流程与活动中断后再次恢复时，能够容忍的数据丢失时长。即：将数据恢复到中断前多久的状态。
业务连续性管理程序
业务连续性管理程序在现代社会中，企业面临着越来越多的风险和挑战。
面对自然灾害、技术故障、恶意袭击等各种不可预测因素，业务连续性管理程序成为企业保证业务正常运行的重要手段。
它是一种综合性的管理策略，旨在确保企业在面临各种灾难和危机时能够快速恢复业务并保持持续的运营。
首先，一个完善的业务连续性管理程序应该以风险评估为基础。
通过对企业所面临的各种潜在风险进行评估和分析，可以帮助企业确定哪些风险可能对业务造成严重影响，进而制定相应的对策。
比如，在面临自然灾害的地区，企业可以考虑建立备用的生产基地，以应对突发事件对主要生产设施的破坏。
而在面临网络攻击的行业，企业可以加强网络安全防护，提高系统的弹性和韧性。
其次，一个有效的业务连续性管理程序需要建立起一套完善的紧急响应机制。
一旦发生灾难或紧急情况，企业应该能够迅速作出反应，并启动相关的应急预案。
在这个过程中，明确的责任分工和角色扮演非常重要。
各个部门应该清楚自己在紧急情况下的职责和任务，以便能够在最短的时间内恢复业务。
同时，对员工进行紧急情况下的培训和演练也是非常必要的，这样可以提高员工的应变能力和危机处理能力。
此外，一个健全的业务连续性管理程序需要建立起一套完善的备份和恢复机制。
数据是企业最重要的资产之一，及时备份和恢复数据是确保业务连续性的关键。
企业应该建立定期备份数据的制度，将备份的数据存储在安全可靠的地方，以防止遭受数据丢失或损坏。
同时，企业还应该开发恢复数据的系统和方法，以便在需要时能够快速恢复业务并保证数据的完整性。
最后，一个成功的业务连续性管理程序需要进行定期的检查和测试。
只有通过检查和测试，企业才能确保所采取的措施和政策在实践中的有效性。
企业可以定期组织模拟测试或演练，检验业务连续性计划的可行性和有效性。
通过实际操作，可以找出其中存在的问题和不足之处，并采取相应的措施进行改进和优化。
总之，业务连续性管理程序是企业在面临各种风险和挑战时保证业务正常运行的关键所在。
iso22301：2019程序文件业务连续性承诺方针
BCM业务连续性文件编号版本号修改号方针BCM5.3-01A01.目的：为了确保BCM管理体系有效运行，以确保满足法律法规相关方的要求，明确管理目的和方向，特制定BCM管理承诺和方针管理规范，对承诺、方针进行宣传、理解并评审进行规范，必要时改进以提高管理水平。
2.适用范围：适用于BCM体系承诺、方针的制定贯彻和实施。
3.职责：3.1 最高管理者负责确定BCM承诺、审批方针；3.2 各级各部门负责宣传贯彻和实施BCM承诺、方针；3.3 有关人员理解和掌握并贯彻实施BCM承诺、方针。
4.承诺管理4.1 总经理负责制定并落实在BCMS方面的领导力和承诺如下：---确保已经为业务连续性管理体系制定了方针和目标并确保方针目标与组织的战略方向是一致的；---确保业务连续性管理体系的要求纳入组织的业务过程中；---确保业务连续性管理体系所需资源可用；---就业务连续性管理体系的有效性和符合BCMS要求的重要性进行传达；---确保业务连续性管理体系达到预期结果；---指导和支持员工为BCMS的有效性作出贡献；---推动持续改进---支持其他相关管理者在其职责领域内展示其领导作用和承诺。
4.2 总经理通过下列活动为建立实施、运行、监视、评审、保持和改进BCMS的承诺提供证据：---建立业务连续性方针---确保BCMS目标和和计划已被制定；---为业务连续性管理确定角色、职责和能力；---任命一名或多名具有适当权限和能力的BCMS责任人员来负责实施和保持BCMS .4.3 总经理通过下列方式确保相关角色的职责和职权在组织内被授权和传达：----确定风险接受准则和可接受的风险级别；----积极参与演练和测试；----确保BCMS的内部审核被执行；----实施BCMS的管理评审；----证明其对持续改进的承诺。
5.方针管理：5.1方针制定的要求：a)适应组织的宗旨并支持其战略方向；b)为业务连续性目标的制定提供框架；c)包括满足适用要求的承诺；d)包括对BCMS进行持续改进的承诺。
业务持续管理(BCM)概述及应用讲义
无法解决分布式业务的恢复
以自建为主，不习惯采用外包服务
昂贵的成本阻碍了DR建设
与国家标准和规范的要求存在差距
BCM在灾难恢复规划中的应用
BCM用于帮助企业满足国标的要求
针对国标的各项要求，提供具体的实现方法
BCM用于DRP/BCP的制定和管理
解决灾难问题的理论和方法
❖ 风险管理（RM）：风险的分析、预防和控制
➢ 主要用于风险的预防
❖ 危机管理（CM）：危机事件的演变和处理
➢ 主要用于事件的处理
❖ 应急管理（EM）：突发事件的应对和处理
➢ 主要用于公共事件的应对
❖ 灾难恢复（DR）：信息系统的恢复（DRP是BCP的一部分）
➢ 主要用于数据和信息系统的保护
❖ 2004，《关于加强国家重要信息系统灾难备份工作的 意见》
❖ 2005，国信办针对八大行业（银行，电力，铁路，民 航，证券，保险，海关，税务）发布的《重要信息系 统灾难恢复规划指南》
❖ 2007，国信办发布《重要信息系统灾难恢复指南》 ❖ 2007，《重要信息系统灾难恢复指南》升级为国标
《信息系统灾难恢复规范》（GB/T 20988-2007） ❖ 2008，保险业信息系统灾难恢复管理指引 ❖ 将要实施的C-SOX法案《企业内部控制基本规范》
国内主要标准和规范的要求
国内主要标准和规范
《信息系统灾难恢复规范》（GB/T 20988-2007） 《保险业信息系统灾难恢复管理指引》（2008） 《民用航空重要信息系统灾难备份与恢复管理规范》
（MH/T 0026-2005）
主要内容和要求
灾难恢复的范围（灾难恢复规划、灾备中心运维、事件发 生后的响应、恢复、重启，以及灾后的重建和返回）
业务连续性管理业务连续性管理ppt课件
› 对预先计划和计划间的协调性进行演练、并评估和记录计划演练的结果。制定维持连续性能 力和BCP文档更新状态的方法，使其与机构的策略方向保持一致。通过与适当标准的比较来 验证BCP的效率，并使用简明的语言报告验证的结果。
9. 危机联络
› 制定、协调、评价和演练在危机情况下与媒体交流的计划；制定、协调、评价和演练与员工 及其家庭、主要客户、关键供应商、业主／股东以及机构管理层进行沟通和在必要情况下提 供心理辅导的计划，确保所有利益群体能够得到所需的信息。
•文档恢复 战略
•开发测试 目标 •开发成功 准则 •文档所学 教训 •综合至计 划中 •培训人员
计划维护
•审阅和更 新计划 •同内部/外 部组织机构 合作 •控制分发 •文档变更
完整版ppt课件
24
持续性计划内容
计划开发
•综合业务影响分析的发现 •文档记录恢复战略
完整版ppt课件
支持信息
•介绍 •运行操作的概念
完整版ppt课件
19
业务连续性管理的国际专业操作步
骤(10 Steps)
1. 项目启动和管理
› 确定业务持续计划（BCP）实施过程的相关需求，包括获得管理支持、以及组织和管理项目使其符合时间和 预算的限制要求。
2. 风险评估和控制
› 确定可能造成机构及其设施中断的灾难、具有负面影响的事件和周边环境因素，以及事件可能造成的损失、 防止或减少潜在损失影响的控制措施，提供成本效益分析以调整控制措施方面的投资，达到消减风险的目的。 同时，由于风险会随着系统的发展而变化，所以风险管理过程也必须是动态的。
通告/启动阶段
•通告流程 •损害评估 •计划启动
恢复阶段
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
版本
更改说明 修订日期 拟制 审核 批准
1.0 新拟定 ***
*** ***
.
拟制： 部门： 日期：
审核： 部门： 日期：
批准： 日期：
相关部门会签意见栏：会签部门请在□打勾，并填写会签意见。
□管理部 □采购认证部
□质量管理部 □市场营销部
□事业部 □工艺工程部
□物控部 □其他
1.目的
为了防止营运活动的中断,结合应急准备和响应控制程序,将灾难和管理缺失导致的营运
中断情形降低到最低。
2.适用范围
适用于本公司。
3.定义
无
4.职责
4.1 最高管理者（总经理）:
A、危机第一责任人，负责运营策划、实施、保持和持续改进；
B、担任特别重大危机(Ⅰ级)的总指挥；
C、重大危机后接受媒体报告。
4.2 质量负责人:
A、危机第二责任人，负责各事业部运营执行；
B、较大危机(Ⅱ级)及一般性危机(Ⅲ级)的总指挥。
4.3 管理部负责人:
A、人才危机进行预测；
B、收集各部门危机信息进行分析，启动危机预警；
C、危机后人员的安抚及人力的调整；
D、危机后对外信息的发布及媒体沟通；
E、危机后调查反馈报告给最高管理者提供危机所需的后勤保障。
4.4 市场营销部负责人:
A、市场危机进行预测，收集市场信息；
B、危机后负责向客户沟通，稳定市场。
4.5 事业部负责人:
A、对本事业部存在危机信息的收集并汇报；
B、危机后本事业部人员的安抚及人力的调整。
4.6 财务部负责人:
A、财务危机进行预测；
B、危机后提供危机所需的资金保障。
4.7 采购认证部负责人:
A、供方危机进行预测；
B、危机后物料的调配。
4.8 BCM工作小组:
A、进行业务影响分析，识别关键活动及依赖，通过识别、定性或定量分析组织的业务
功能的丧失、中断或损坏所造成的损失，为制定业务持续性策略提供依据；
B、进行风险评估，对那些会导致关键业务中断的一系列的风险和威胁进行识别，通过
分析其影响程度和发生概率，确定风险等级，进行风险排序并采取应对方案和措施，从而将
风险尽可能降到最低；
C、根据业务目标、收益成本和客户要求等因素，结合业务影响分析和风险评估，制定
关键业务流程和恢复策略；
D、依据BCM方法、工具和模板，在风险评估、业务影响和策略选择的基础上,拟制突发
事件应急预案（IMP）和业务连续性计划（BCP）；
E、进行BCM测试及演练，发现其中不足并加以改进；
F、进行维护和改进，不断优化发展，满足公司业务需求。
5.工作程序
5.1 识别公司可能面临营运中断的最大风险,导致的危机，其可归纳于以下几种（不限
于）：
产品质量危机：在生产经营中忽略了产品质量问题，使不合格产品流入市场，导致巨额
索赔造成流动资金周转不灵。
环境污染危机。企业的 “三废”处理不彻底，有害物质泄露，爆炸等恶性事故造成环
境危害，造成停业整顿。
关系纠纷危机。由于错误的经营思想、不正当的经营方式忽视经营道德，员工或供方服
务态度恶劣，而造成关系纠纷产生的危机。
5.1.8 采购危机：采购成本增加，采购供应链中断。
5.1.9 出口管理及运输危机：海关扣货、交通事故等造成巨大损失的危机给企业带来巨
额的赔偿。
5.2 针对识别出来的重大风险可能造成的危机之优先顺序评价出重要风险危机决定将采取策
略，处理风险策略考虑以下方面：
当风险影响极大且在公司发生的概率较高时，购买保险，减少风险发生后复原的负担。
5.3 危机前的管理
A、危机产生的原因是多种多样的，不排除偶然的原因，多数危机的产生有一个变
化的过程, 各部门主管做好日常的信息收集、分类管理，善于捕捉危机发生前的信息，定期
识别及评价危机，建立管理制度进行预防危机产生。
B、建立起危机防范预警机制，制定危机管理的应急预案，在出现危机征兆时，尽快确
认危机的类型，为有效的危机控制做前期工作。
C、树立全员的危机意识, 对员工进行危机教育，定期开展危机管理培训。
根据危机可能造成的危害程度、发展情况和紧迫性等因素，由低到高划分为一般性危机
(Ⅲ级)、较大危机(Ⅱ级)、特别重大危机(Ⅰ级)、并依次采用黄色、橙色和红色来加以表
示。
■预警——黄橙红警示三级威胁
■黄色等级(Ⅲ级一般性危机)：预计将要发生一般性(Ⅲ级)以上危机事件，事件已经临
近，事态有可能会扩大。
■橙色等级(Ⅱ级较大危机)：预计将要发生较大(Ⅱ级)以上危机事件，事件即将发生，
事态正在逐步扩大。
■红色等级(Ⅰ级特别重大危机)：预计将要发生特别重大(Ⅰ级)以上危机事件，事件会
随时发生，事态正在不断蔓延。
■分级——危机分三级处置
■一般性危机(Ⅲ级)：指突然发生，事态比较简单，仅对较小范围内产生威胁或损失，
只需要调度个别部门的力量和资源能够处置的事件。
■较大危机(Ⅱ级)：指突然发生，事态较为复杂，对一定区域或部门财产和安全造成威
胁、已经或可能造成较大人员伤亡、较大财产损失或生态环境破坏，需要调度公司部分力量
和资源进行处置的事件。
■特别重大危机(Ⅰ级)：是指突然发生，事态非常复杂，已经或可能造成特别重大人员
伤亡、特别重大财产损失或重大生态环境破坏，需要调度公司全部力量和资源,或需求助政
府各方面资源和力量进行处置的事件。
■一般性危机(Ⅲ级)、 较大危机(Ⅱ级)：由公司质量负责人负责启动应急预案,协同
BCM工作小组成员负责处理.由质量负责人在2小时负责向最高管理者报告,及4小时内向媒体
发布消息。
■重大危机(Ⅰ级)：由最高管理者负责启动应急预案,协同各BCM工作小组成员负责处
理,最高管理者赶赴现场组建应急指挥部,协调可能调动的一切资源和力量进行处理，在4小
时内向媒体发布消息。
5.4 危机中管理
当危机预警发布后, 一般性危机(Ⅲ级)由部门主管进行信息收集、分析和处理, 确定问
题性质，2小时内向公司质量负责人报告； 较大危机(Ⅱ级)由部门最高主管进行信息收集、
分析及处理,确定问题性质，2小时内向最高管理者报告; 特别重大危机(Ⅰ级)由质量负责人
进行信息收集、分析和确定问题性质，由最高管理者进行决策。
5.4.2 危机控制与解决
(A)取舍原则
a.判断危机的主要影响利益方；
b.始终把对人的影响放在首位；
c.评估三标准：事情的严重性、紧迫性、未来的发展趋势。
(B)决策与执行
a.启用危机管理机构；
b.决定主要人物的介入程度；
c.保证组织内其他部门正常运转。
(C)沟通媒体
a.第一时间口径一致真实披露信息,争取媒体的理解。
5.5 危机后的管理
5.5.2 恢复
在物资上，危机过后，对设施进行重建，设备进行更新，以保证在极短的时间内恢复到
危机来临之前的状态。
在人员上，应对危机过程中发生的人员伤亡，组织好医疗工作和对死者家属的抚恤工
作，并充分满足职工家属的愿望。
在客户订单上，调配分公司资源尽量不影响客户订单交货期,流程详见《业务连续性计
划》。
把公众利益放在第一位。
善待被害者。
争取新闻界的理解和合作。
所谓恢复力，是指危机爆发之后，企业恢复到危机之前的正常状态的能力。
从非正常状态回到正常状态的能力越强，所需要花费的时间和资源也就越少。
发展组织和员工的恢复力，以消除可能存在的危机影响，并且使危机事件影响企业组织
和员工后能得到尽快恢复。
6.附件
附件1:BCM工作小组任命文件
附件2:业务连续性计划
7.相关文件
7.1 《应急准备和响应控制程序》
8.相关表格
无