基于业务连续性的企业风险管理研究

吴娟

摘要：风险管理是现代企业内部管理的重要内容。面对自然灾害、事故灾难、公共卫生事件、社会安全事件和国际贸易争端等内外部各类重大突发事件的风险和挑战，在企业推行业务连续性体系建设已势在必行。在这样一个不确定性和不连续性交替攀升的环境下，保证“可持续经营”将是企业风险管理的重要课题，“业务连续性”的风险管理理念也具有了前所未有的重要意义。本文阐述了企业推行业务连续性体系建设的必要性，对目前管理存在的不足进行了深入思考，并且详细分析了基于业务连续性的企业风险管理探索的新思路，为企业实现可持续发展提供建议。

关键词：风险管理;业务连续性;对策;建议

1.引言

党的十九大报告强调“统筹发展和安全，增强忧患意识，做到居安思危，是我们党治国理政的一个重大原则”。目前，防范和化解重大风险已成为党和国家领导人的共识。当下量大面广的中小型企业是最具活力的市场主体，是扩大就业、改善民生的重要支撑，是高质量发展建设共同富裕示范区的重要基础。因此，开展业务连续性的企业风险管理新课题，对企业乃至整个社会长期可持续发展都具有深远的意义。风险管理事关企业的生死存亡，是管理者必须加以重视的事情。新常态下全球动荡源和风险点显著增多。除了重大突发事件影响外，中国自从加入世贸组织以来，不断面临来自国际上的各种挑战，典型的比如华为制裁事件、中兴断供事件等都是中国企业的“警醒剂”。我们必须加快形成系统化的风险处理体系，选择恰当的管理方法，才能最大限度规避企业的风险。如今越来越多的企业正在适应潮流，积极建立自己的灾难恢复计划。从长远来看，业务连续性管理是企业风险管理中的重要环节。它的价值不仅是企业应对灾难、提高生存能力的工具，也是企业改善经营管理、承担社会责任的基本准则，更是企业提高风险应对能力，适应需求变化和威胁，保持竞争优势的重要基础。

2.基于企业业务连续性的视角加强风险管理的思路

新的风险管理理念已将企业的业务连续性职能纳入公司风险管理范畴。业务连续性管理作为全面风险管理和操作风险管理的重要组成部分，已成为企业发展安全持续运营的必然要求。

业务连续性管理（Business Continuity Management，简称BCM）：是指识别对组织的潜在威助以及这些威胁一旦发生可能对业务运行带来影响的一整套管理过程。该过程为组织建立有效应对威胁的自我恢复能力提供了框架，通过制订响应、业务和连续性的恢复计划，提高企业的风险防范能力，以有效地响应非计划的业务破坏并最大限度地降低不良影响。从全球业务连续性管理实践来看，BCM的发展依赖于灾难事件的驱动。由于全球海啸、龙卷风、地震等自然灾害，以及恐怖主义、网络攻击等的不断升级，促使各国提高防灾意识，主动推进BCM。新课题下的BCM≠应急管理，应急管理是亡羊补牢，BCM是防患于未然，是从业务影响分析（BIA）、诊断风险（RA）、业务连续性计划（BCP）到应急预案制定、再到实施应对的一整套方法与机制。

为了企业更好地适应市场的变化环境，基于业务连续性来进行企业风险管理建设是目前的当务之急，这就需要我们以一个更全面的视角来定义风险管理，不仅能看到业务中断可能导致损失的风险，还能看到风险中的机会、机会中的风险以及机会本身。企业风险内控与风险外防的紧密结合既是被社会倒逼所致，也是风险治理的必然策略，实施业务连续性管理目的在于增强组织应对此类突发事件的确定性，这是我们在这类不确定事件来临前真正能够做的。2019年，中美贸易战使得全球贸易受到了不同程度的影响，美国对中国的各种消费品征收新的进口关税，多种产品的核心技术或重要零部件被美国企业掌握，导致重要材料的供应在高峰时段面临中断风险。我们永远不会忘记华为遭受芯片断供，自行研发的麒麟芯片作为备胎一夜转正的事。华为能扬眉吐气就是多年前实施了BCM，在识别业务中断风险时，芯片断供和其它风险一并被识别并提交管理层，任正非将其称为不可接受的战略性漏洞而启动自主芯片研发项目。

3.长期持续管理的视角对企业风险管理现状

3.1企业风险管理理念落后

企业风险管理理念落后，业务连续性管理仍游离在企业的日常经营管理活动之外，没有将两者有机融合。目前国内大部分企业只知道传统的网络安全事件应急管理体系，对于业务连续性管理的重要性认识不足，模拟的中断场景大多偏向IT因素，没有重视非IT因素造成的业务中断。将业务持续性管理等同于信息系统的灾难恢复、日常故障处置的模糊意识大量存在，参与的多为IT部门。当重大公共卫生事件暴发时，企业无法及时作出反应，导致部分业务中断，造成大量经济损失。这反映出目前企业的业务连续性管理体系侧重于信息系统灾难备份，在体系实用性方面亟需完善。

3.2企业风险管理制度不完善

政府未出台相关法律法规，只是在个别行业，如银行业、保险业等，银监会和保监会逐渐提到用BCM或者BCP加强行业风控，并未建立符合中国国情的企业业务发展需要的BCM体系，企业风险管理制度不完善。企业在业务连续性管理的风險评估（RA）和业务影响分析（BIA）中，往往只遵循固有的风险评估和业务影响分析方法，未系统化考虑在不同场景下，各风险点的影响程度差异，机械的业务连续性方法论在复杂多变的外部环境中缺乏适用性。

3.3企业风险管理投入不足

目前，几乎所有的企业都在风险管理系统上投入不足。例如。许多上市公司风险管理主要将目光聚焦于合规风险，却对更重要的战略风险和业务连续性风险视而不见，而BCM体系建设的基础就是搭建风控系统。实际应用中BCM还停留在纸面，场地、设备、网络等重要备用资源建设尚未落地，缺乏涵盖业务、技术和后勤保障等方面的全方位应急演练。大部分企业虽有牵头部门主导，但具体工作实施落地需要其他业务部门的大力配合。由于企业内部BCM管理人员缺乏，相关培训、应急演练较少，相关部门对于业务应急的重要性和价值认识不足，主观能动性不能充分发挥，业务连续性牵头部门可调动的资源非常有限，开展相关工作较为困难。

4.业务连续性体系下对推进企业风险管理的对策与建议

企业的风险管理必须与推进业务连续性体系建设与时俱进，以一种全新的现代企业管理要求来搭建业务连续性管理体系。2017年美国COSO委员会颁布的新版《企业风险管理框架》（COSO-ERM）提出了新的管理思路，新的COSO框架强调：“组织在创造、保持和实现价值的过程中，结合战略制定和执行，来进行管理风险的能力和实践。”这就要求企业必须识别业务中断的各种情景，提高风险管理水平。

4.1进一步出台政策鼓励企业风险管理创新

在国家现有政策的基础上，政府或有关机构应积极推动制定如COSO《企业风险管理—整体框架》那样的BCM管理框架，构建符合我国国情和产业发展环境的BCM行业标准以指导我国企业的风险管理，实现企业风险管理的创新发展。同时，企业应积极借鉴国外先进的企业风险管理理念和方法，内外兼顾，建立和完善风险管理体系，通过持续的风险管理来评估决策和业务中断后的风险，制定企业的风险管理方针和制度，结合实用的风险管理软件，形成切实可行、易于操作、收效突出的方法论。

4.2建立战略储备促进价值链全面升级

企业安全是风险管理工作的根基。企业活下去必须保持业务连续性，更准确地说，是保持价值循环连续性。为防范特殊经济环境下企业可能出现经营问题，可以建立战略储备，准备抗风险储备资金，保障企业生产和供货安全以促进价值链全面升级。企业价值链连续性管理主要覆盖研发和采购阶段以及制造供应和备件储备阶段，可通过提升“多源化方案”、“分场景储备”、“战略伙伴关系”等能力建设，持续优化和完善业务连续性机制，坚持“多元化、多路径”的风险策略，确保企业的主力产品供应都有多元化方案。无论外部环境如何变化，企业都有信心确保对客户的供应、交付和服务。

4.3提升业务连续性管理人才队伍专业能力

危机感是企业的底层文化。新的风险管理理念要求风险管理应从企业的使命和核心价值出发，将风险管理定位为提升企业的价值和绩效的手段，强调加强业务连续性管理人才队伍建设，塑造企业员工共同价值观。将风险管理工作从“一个流程或程序”提升到“一种能力和实践、一种企业管理文化”。通过扩大业务应急专业人员队伍力量，纳入人才库进行专项培养，引导管理人员加强政策研究、掌握工作方法，提升工作能力。针对重要业务和重要环节安排AB角或多人备岗轮岗，强化业务连续性管理的意识，提升应急应变能力。

4.4加强业务连续性数字化智能化建设

企业需加大风险管理系统投入，加强业务连续性数字化建设，搭建业务连续性应急预案，建立有效的风险事中和事前防控机制，将风险评估、业务影响分析、应急预案更新、应急演练全部通过系统实现，原以便于管理人员日常操作、提升效率，统筹掌握工作进度。比如通过对关键风险控制节点预设预警功能，增强对早期风险信号的敏感性;及时对接企業内部相关业务监控系统，在系统故障发生时提示业务人员第一时间参与应急处置等，都能让技术和业务的协作应急处置更加迅速、便捷，避免突发事件造成的风险进一步扩大。

4.5建立健全业务连续性管理的制度体系

鼓励企业提高风险意识，基于业务连续性发展，按照系统、科学的管理方法建立健全风险管控制度，积极探索在推行安全、质量、内控等管理体系基础上与BCM体系进行深度整合，融入公司风险管理体系框架。根据不同业务特点，对业务链的脆弱性及可能受到威胁等风险进行识别、分析，以确定有效的预防措施规避潜在造成业务链中断事件的发生。再根据薄弱点建立相应的应急措施计划，以将业务中断带来的影响降至最小。

4.6开展真实有效的业务连续性演练

在重大突发公共卫生事件下，企业随时可能面临办公大楼无法使用的极端背景，尽早开展真实有效的全要素、多场景、全流程业务连续性演练，可以在实际应对突发事件时更加从容，将风险降到最低。比如备用资源不能有效启用或者许多应急措施无法执行或达不到预期效果等等问题。再者，行业主管部门可充分利用信息技术，对各行业全生命周期中的脆弱性与风险进行分析，从而制定诸如关键原材料零部件的科研攻关、产业化、标准制定、合格评定程序设定、财税、贸易等政策，形成综合应急预案指引，以练促战，防患于未然，引导行业发展，提升产业链安全。

5.结语

在北京冬奥会、冬残奥会总结表彰大会上，习近平总书记谈到在特殊背景下举办冬奥盛会的一条重要经验——“坚持主动防范应对各种风险挑战”，“把困难估计得更充分一些，把风险思考得更深入一些，下好先手棋，打好主动仗”。

惶者生存，危机意识的存在，可以让企业预防失败，保持持久而旺盛的战斗力，这也是企业风险管理的内涵。基于业务连续性的企业风险管理研究，正是居安思危，正是未雨绸缪。业务连续性管理体系本身是一个适应性强，能与企业经营环境同步进化的管理体系，但若只是简单套用相关标准所发布的广义内容无法满足企业复杂与快速发展的要求。在全面风险管理的框架下，企业需要专注于对未来的各种可能性做出情景分析，对不同可能性带来的后果做出多维度的风险评估，制定各种应对的预案，这样才能更加主动地应对“黑天鹅”的突然打击。

参考文献：

[1]宋华，杨晓叶.供应链风险管理文献综述[J].供应链管理，2020，1（3）：33-45.

[2]王丹.全面风险管理在企业管理中的运用探讨[J].经贸实践，2018（18）：259

[3]黄翔宇.BCM核心能力模型的构建及与企业绩效的相关性研究[J].辽宁工业大学学报（社会科学版），2017，19（06）：49-52.

[4]陈建新.中国业务连续性管理发展研究报告2017[M].北京：科学出版社，2017，11.

[5]王金玉.业务连续性管理（BCM）国家标准诞生的背景与现实和历史意义[J].办公自动化（学术版）2014，6：30-32.

[6]魏军，赵海.全面认识业务连续性管理体系[J].质量与认证，2014，5：39-40.