王 珂,李聰聰,田貴超,汪洪濤
(1.上海大學管理學院,上海 200444;2.上海科技管理干部學院,上海 201800)
在企業的生產經營過程中,通常面臨著各種各樣的風險及突發破壞性事件的威脅,如原材料供應中斷、生產安全事故、工人罷工等。這些事件一旦造成業務中斷,可能對企業帶來毀滅性的打擊。例如,2017年9月,舍弗勒 “緊急求助函”事件引發了社會的廣泛關注。舍弗勒因其唯一冷拔鋼絲供應商因環保問題被勒令停產,不得不調動全球資源來保證生產業務的持續,并聲稱其業務一旦中斷將造成中國汽車產業約3000億人民幣的損失。雖然事件最后在可控的影響范圍內得以解決,但也反映出業務的持續性對于企業的生存與發展甚至整個相關產業鏈的重要影響。
此外,由于以下原因現代企業所面臨的各類風險及潛在損失也越來越大。首先,在經濟全球化及高度分工合作的環境下,企業間的聯系日益緊密,一個企業的業務中斷將可能導致整條供應鏈及其相關企業的一系列中斷,間接損失不可預計[1];其次,準時制生產方式及精益化管理思想在世界范圍內的大力推廣,使得企業及供應鏈變得更加脆弱[2];另外,信息技術的發展在提高企業效率的同時也帶來了風險,企業運營對信息系統的高度依賴使得其一旦出現故障則業務被迫中斷。在上述背景下,如果沒有采取恰當的措施來正確應對各類風險及破壞性事件,保證其核心業務的持續性,企業將失去客戶,遭受巨大損失甚至破產。
為了有效應對各類風險及破壞性事件,災難恢復[3]、應急管理、彈性[4]等相關理念被引入到企業經營管理中。然而,這些理念都側重于風險發生之后企業如何盡快恢復生產,對于風險發生之前的預防措施關注較少。于是,業務持續管理(Business Continuity Management,BCM)作為一種整體的、綜合的風險管理理念,近年來受到了越來越多的關注。并且由于有相關標準的指導,BCM具有很強的實用性和可操作性。在實踐中,沃達豐、英杰華、殼牌等世界著名企業集團都與國際業務持續協會合作實施BCM并取得了良好的效果。與此同時,關于BCM的學術研究也不斷深入,為企業實施BCM提供了重要的理論參考[5]。相比之下,BCM在國內企業的實踐應用及理論研究都還未受到足夠的關注[1]。
BCM這一概念由國際標準化組織于2012年在ISO22301中正式提出,是指識別對組織的潛在威脅以及這些威脅一旦發生可能對業務運行帶來的影響,并為保護關鍵相關者的利益及組織的聲譽、品牌和價值創造活動而建立有效應對威脅的組織自我恢復能力的一整套管理過程[6]。
BCM是企業運營與業務管理中應對風險和突發事件的一種有效手段,由DR發展而來。20世紀70年代,美國為了應對自然災害、保護企業信息系統,在實踐中逐漸產生了DR的理念。早期(90年代以前),DR主要是指為了將信息系統從災難造成的故障或癱瘓狀態恢復到可正常運行狀態、并將其支持的業務功能從災難造成的不正常狀態恢復到可接受狀態而設計的活動和流程[7]。后來,DR逐漸發展成為企業全面的應急計劃,以應對企業面臨的突發破壞性事件。但是,DR對于災前預防風險、災中控制風險方面關注不夠,不能滿足企業規避損失的需求,于是在實踐應用過程中逐漸引入了 “業務持續(Business Continuity,BC)”的思想。國際業務持續協會主席Ginn最早提出了業務持續規劃(Business Continuity Planning,BCP)的概念[8],成為BCM的雛形。
BCM是在企業實踐中從DR中剝離出的概念,它們有一些相似之處。BCM和DR都作為應急計劃,幫助企業恢復生產,減少損失。同時,從發展歷程看,BCM和DR最早都是用來應對信息系統的故障,后來才逐漸發展為企業全面的應急計劃。但是,BCM和DR在管理理念上有著本質差別,BCM關注災前如何預防災難發生,災中如何減少損失,災后如何盡快恢復到可接受的業務水平,更注重短期內的快速恢復和業務的持續運營。DR則強調災后企業如何全面恢復生產,從而達到災前的業務水平。BCM的優勢在于幫助企業識別關鍵業務流程,建立組織彈性,提高組織監控威脅和準確反應的能力,減少恢復可接受業務水平的時間,保證企業在緊急情況下的基本運轉。
在實施BCM時通常關注兩個重要指標,即災后業務水平的恢復點目標和恢復時間目標,且恢復點目標需要大于所設定的最小業務連續性目標,同時將恢復時間目標控制在最長可容忍中斷時間內,否則實施BCM的效果就不夠顯著。這些關鍵指標的具體含義及關系如表1和圖1所示[6,9,10]。圖1中A點表示實施BCM的關鍵目標,即災后業務水平在規定時間內恢復到規定的目標水平,B點表示企業可接受的業務水平恢復最低要求。通常,未實施BCM的企業其BC能力不能達到B點的最低要求。

表1 BCM實施中的關鍵指標

圖1 BCM實施中的關鍵指標及關系
為了加深對BCM的理解,除DR外,有必要對可持續發展管理、企業可持續發展等相關概念與BCM進行區分。1987年世界環境與發展委員會在 《我們共同的未來》中正式提出可持續發展的概念,系統闡述了其內涵,認為 “在最廣泛意義上的發展,是指能滿足當代人的需要,又不對后代人滿足其需要的能力構成危害的發展”。此后,陸續產生了可持續發展管理、企業可持續發展的相關理念。可持續發展管理實質上是利用各種管理手段對可持續發展復雜系統的運行過程、演化方向和速度進行調節和控制[11,12],注重環保問題,是社會層面的概念。而企業可持續發展則是從微觀經濟主體的角度出發,指企業在追求自我生存和永續發展的過程中,既要考慮企業經營目標的實現和提高企業市場地位,又要保持企業在已領先的競爭領域和未來擴張的經營環境中始終保持持續的盈利增長和能力的提高,保證企業在相當長的時間內長盛不衰[13]。三者的具體區別見表2。
20世紀90年代,隨著計算機技術的迅速發展,企業的信息系統逐漸普及。當信息系統遭遇停電、火災等突發破壞性事件時,企業尤其是對信息系統依賴程度較高的金融企業往往遭受巨大損失。因此,在一些規范的學術研究之前,關于BCM的探討主要來源于企業管理人員的實踐經驗總結,并主要針對企業的信息系統進行保護并預防其崩潰。
澳洲航空技術公司經理Smith[14]將BCP和服務水平協議結合起來,以增強澳航信息系統的安全。德安華公司的Smith等[15]利用BCP預防信息系統的中斷并及時恢復系統功能。值得注意的是,實施BCP過程中的業務影響分析(Business Impact Analysis,BIA)已成為BCM的重要分析工具,被寫進了國際標準ISO22301中。渣打銀行總經理Heng[16]基于渣打銀行信息系統的實踐應用,在Smith和 Sherwood的基礎上完善了BCP的流程與方法,使其形成一個循環進行不斷改進。畢馬威咨詢師Karakasidis[17]則重點強調了DR和BCP應用的區別,指出正是因為DR不能減少企業面臨的風險,所以需要應用BCP使企業在應對災難時能夠不中斷的運行,并首次提出企業需要建立BCP委員會,強調了在BCP實施中形成專門組織的重要作用。畢馬威咨詢師Morwood[18]進一步強調了員工培訓和測試在BCP實施中的重要性,認為如果企業不能培養員工的BCP意識,那么企業實施BCP不會取得良好的效果。

表2 可持續發展管理、企業可持續發展和BCM的區別
可以看出,BCM理論的形成最初是由BCP的實踐發展而來的。雖然早期的BCP應用主要是為了保護企業內部信息系統,但為BCP發展到企業全面的風險管理階段奠定了基礎。BCP的理念在實踐應用中得以不斷發展和完善,逐漸形成了BCM的理論體系,向規范的學術研究方向發展。
進入21世紀之后,特別是在美國911事件的影響下,各國政府開始持續關注BCM的實施和應用,并制定了一系列相關的國家標準與規范,進一步推進了企業BCM的實施。根據Herbane[19]的劃分,BCM標準規范的確立伴隨著BCM理念的發展經歷了四個主要階段(見表3)[19]。
在標準制定方面,英國走在世界的前列。2002年,英國業務持續協會頒布了 《BCM:最佳實踐指南》;2003年,英國標準協會頒布了 《BCM指導方針》,為企業實施BCM提供參考標準;2006年,該協會又進一步推出了有關BCM的國際標準BS25999,成為ISO22301的前身。美國政府在911事件之后高度重視對突發破壞性事件的應對。2004年,美國聯邦緊急事務管理局頒布了 《聯邦準備規章》,要求聯邦政府和各州政府制定BC和DR計劃,以應對各種突發性災害和事件。與英國為企業提供規范不同的是,美國BCM重點聚焦于政府和基礎設施支持部門,一些非營利組織也響應政府號召,制定具有可操作性的BCM標準。澳大利亞政府則通過財政政策來推進BCM的發展。2000年,澳大利亞審計署頒布了 《BCM指導方針》,要求政府部門、企業等實施BCM并進行具體的檢查。2004年新潟地震之后,日本政府也高度重視BCM,投入大量資源并取得了顯著的效果。日本政府先后制定了 《BCP指導方針》和 《中小企業BCP運用指導方針》,并將相關標準列入法律,要求上市公司及其關聯公司加強內部控制,保障內部數據的安全可靠性,以達到BC的目的。
相比之下,中國的BCM應用和研究起步較晚。2004年,中國信息化推進聯盟成立了 “中國業務持續管理專業委員會”,該組織先后舉辦了八屆BCM高峰論壇,有效地推動了BCM理念在中國的傳播。2005年,國務院信息化工作辦公室頒布了 《重要信息系統災難恢復指南》,為災難恢復工作提供了一個操作性較強的規范性文件。一些行業領域也推出了相關的行業規范,如2008年中國保監會制定了 《保險業信息系統災難恢復管理指引》。可以看出,目前國內關于BCM實施標準與規范方面的工作仍主要側重于信息技術及信息系統層面。

表3 BCM標準規范的發展階段劃分
由于前述企業間的關聯和依賴性、精益化管理的傾向及對信息系統的高度依賴,使得現代企業面臨的風險及潛在損失越來越大。而科技型企業因其科技研發和技術創新高投入、高風險的特點,除了需要應對其他企業可能遭遇的各類風險外,通常還面臨更大的技術風險。例如2018年2月成功完成火箭回收的SpaceX公司吸引了全世界的目光,但在這次成功之前,SpaceX公司也因技術不成熟經歷了數次失敗,差點破產倒閉。無獨有偶,特斯拉由于電池技術問題和工廠的遲延交貨使得其電動汽車Model 3產量及交付量未達預期。此外,由于技術不成熟導致業務中斷或失敗也是科技型中小企業高死亡率的一個重要因素。
然而,雖然科技型企業的風險問題已受到了眾多關注,但其關注的焦點都主要聚焦于風險投資、融資與信貸等方面,而基于業務持續視角的企業運營全面風險管理還未得以普遍的實施和應用。BCM作為一種全面的風險管理思想和一整套切實可行的管理過程,有助于科技型企業提升其業務持續能力,建立應對風險的自我恢復能力,從而保護企業品牌、聲譽及價值創造活動。
另外,科技型企業由于處于行業領域的前沿而面臨更加復雜動蕩的外部環境。而這些企業通常又比較年輕,制度不夠健全和完善,進一步放大了各種外部突發性風險的影響。正如前述BCM實踐經驗的總結,從企業組織和人員意識層面加強風險管理是BCM的一個重要理念。因此,科技型企業實施BCM還能幫助培養員工風險意識,形成一種具有風險應對能力的組織和文化,使企業得以持續發展。
BCM在上述實踐發展的同時,其自身理論體系也得以不斷完善和豐富,成為一個新的研究領域。下面將基于文獻計量分析,對該領域的研究現狀、熱點及關鍵研究進展進行評述。
(1)數據來源與研究方法。本研究分別以中國知網 (CNKI)和美國科學情報研究所Web of Science (WOS)核心合集作為國內外文獻數據源。采用主題檢索方式,在中國知網以 “業務持續管理”為主題詞進行檢索,截至2018年6月30日,共得到中文文獻記錄89條,其中期刊文獻64篇。為了消除統計偏差,去除了一個長達27篇次的專欄連載及明顯與本主題無關的文獻后,共得到36篇有效中文期刊文獻。在WOS核心合集中以 “business continuity management”為主題詞進行檢索 (精確匹配),截至2018年6月30日,共得到英文文獻155篇。
將檢索得到的36篇中文文獻與155篇英文文獻作為樣本數據,按照發表年度進行對比如圖2所示。可以看出,BCM領域的國外 (英文)發文量總體呈穩定增長的趨勢,且近年來遠高于國內的中文文獻發文量。因此,WOS數據庫文獻更能全面反映當前BCM的國際研究現狀和趨勢。鑒于此,本文應用CiteSpace軟件進一步對155篇英文文獻進行關鍵詞分析和引文網絡分析來探尋BCM研究現狀、熱點與趨勢。

圖2 BCM領域的國內外(CNKI與WOS數據庫)年度發文量
(2)關鍵詞分析。將155篇英文文獻導入CiteSpace進行Term關鍵詞分析,將文獻題目、摘要、作者、關鍵詞、系統分配關鍵詞 (KeyWords Plus)進行分詞提取后得到前十大高頻次關鍵詞如表4所示。關鍵詞出現的頻次越高,表明其受關注度越大,通常也是該領域的研究熱點。由表4可以看出,BCM研究的熱點涉及彈性、業務持續計劃、風險管理、業務影響分析、業務流程等。

表4 BCM研究的十大高頻次關鍵詞
(3)引文網絡分析。利用CiteSpace對115篇英文文獻進行引文網絡分析,對于引文網路的關鍵詞聚類反映了該領域知識基礎的總體分布情況。該155篇文獻共有引文3545篇,按照軟件設置選取每年TOP50的被引用文獻進行篩選后顯示了2337篇引文5050次引用關系(見圖3)。在引文網絡基礎上,對引文關鍵詞進行聚類,其模塊化程度 (Modularity)值為0.91表明分類效果顯著。聚類后根據各小類文獻關鍵詞利用系統的LLR算法標注分類標識,每一類代表了一類相關的知識。根據圖3,當前BCM領域的知識基礎主要涉及組織彈性、危機管理、風險評估、過程失效、信息技術與IT治理,以及各種場景的應用 (如供應鏈、銀行、原油儲備庫)。

圖3 BCM文獻的引文網絡分析
(4)BCM的理論體系。根據上述文獻分析及BCM的實踐發展,構建BCM的理論體系、上述研究熱點及相關知識領域在其中的位置與關系如圖4所示。其中,由規劃(Plan)、實施(Do)、檢查(Check)、改進(Action)構成的PDCA循環代表了BCM持續改進的管理流程,其核心是幫助企業構建組織彈性及恢復能力,實現業務持續目標。當前的理論研究主要聚焦于BCM的整體框架及規劃和實施兩階段的管理工具和分析方法,涉及風險分析與評估、業務影響分析、業務持續計劃、應急處置、危機管理、災害恢復等。企業運營與業務管理、企業風險管理、組織文化、信息技術及關鍵設施則從不同層面為BCM提供了基礎和支撐。
另一方面,根據研究視角和方法的不同,目前的BCM研究又可以分為BCM的戰略角色探討、定性框架研究、量化標準與模型構建、案例研究等四類。下面結合圖4的理論體系對這四類研究及主要研究進展進行簡要介紹。

圖4 BCM的理論體系
(1)戰略角色探討。BCM自提出以來,企業更多的是將其作為避險工具使用,很少將它作為一種戰略來實施。因此,一些學者對它的戰略角色進行了探討。Herbane等[20]通過對六家金融服務公司的調查分析,表明在實踐中企業已經無意識地將BCM作為一種戰略實施,但是如何從戰略角度發揮BCM的更大作用,需要進行進一步研究。Selden等[21]通過對煙草公司Gallaher的案例分析,展示了企業如何進行風險應對,從而明確地將業務連續性目標與它的戰略目標結合起來。他們提出結構化的BIA方法不僅滿足了Gallaher的保險和公司治理需求,而且還為企業彈性提供了解決操作障礙的建議與實施計劃,提高了Gallaher的經營靈活性和彈性,實現了確保公司品牌地位的戰略目標。此外,Wong[22]討論了BCM在戰略管理中的作用,論述了BCM在企業長期規劃和未來競爭力保護方面的重要性。Sawalha[23]將BCM戰略和組織績效相聯系,討論了BCM的戰略背景和組織績效的關系以及BCM如何實現優化,并通過約旦銀行的案例說明BCM如何幫助改善組織績效。這些研究明確了BCM在企業發展中的戰略地位及重要意義。
(2)定性框架研究。目前,對BCM探討最多的是其實施框架。許多學者從不同視角或基于不同的應用領域提出了不同的實施框架并分析了其有效實施的關鍵因素。具有代表性的研究如,Cerullo等[24]最早提出了一個完整的綜合的BCP框架模型,即首先運用BIA方法識別風險,然后制定DR計劃,最后進行員工培訓及計劃的有效性測試,并指出測試是評估BCP有效性的重要部分,沒有測試則無法驗證BCP的效果,可能導致企業遭遇災難時破產。Gibb等[25]提出了在首席信息官主導下的BCM實施流程,主要包括公司立項、項目啟動、風險分析、選擇風險緩釋策略、監測控制、實施、測試、教育培訓和審查這9個環節,這一結構成為后續BCM研究的一個重要基礎。Tammineedi[26]則根據英國BS25999標準描述了BCM的具體執行步驟與方法。江穎俊等[27]介紹了基于PDCA持續改善的BCM實施框架。Zsidisin等[28]將BCP應用到供應鏈風險管理領域,是對BCP應用的一個重要推廣。
BCM的具體實施會受到企業文化及人員意識的影響。因此,一些學者還在其框架模型中重點探討了這些因素。Alesi[29]提出將BC功能集成到日常業務文化和技術中,通過將BCP責任分配給業務管理人員,從而實現BCP由管理集成分解到正常的業務流程中,培養組織的彈性文化。Lindstr?m等[30]提出了一個由高管、IT經理和員工參與的BCP方法,以強化高管對BCP的重要性意識并鼓勵員工參與。該研究基于能力成熟度模型,從高管、IT經理和員工三個層次提出了BCP實施方案,構成企業整體的BC計劃。
(3)量化標準與模型構建。針對BCM的具體實施,一些學者將定性框架與量化評估結合起來。這部分研究與BCM框架定性分析不同的是,將研究重點聚焦于BCM的量化分析方法上。自2014年以來,Torabi和Sahebjamnia研究團隊[9,10,31-33]在這一方向開展了系列研究,為BCM實施從概念模型到量化分析提供了重要參考。首先,Torabi等[31]基于多屬性決策技術為BCM中的BIA提出了一種系統的分析方法,并利用網絡層次分析及模糊決策方法來識別關鍵產品,進而通過產品結構分解來識別關鍵生產環節,然后對BC的關鍵指標MTPD和MBCO進行評估。隨后,Torabi等[32]又提出了一個強化的風險評估框架,并給出了風險分析、風險評估和風險應對的具體量化分析方法,最終利用利潤成本分析方法確定資源分配的優先級。Sahebjamnia等[9]將BCM與DR相結合提出了集成的BC與DR計劃,包括戰略層面的組織彈性特征識別、戰術層面的風險應對資源分配及操作層面風險應對后的再評估,并運用多目標混合整數線性規劃模型來對該計劃進行優化。該研究主要針對單個破壞性事件的應對,在此基礎上,他們又進一步提出了針對多個可能同時發生或順序發生的破壞性事件的BC與DR計劃,以建立組織彈性[33]。Rabbani等[10]還采用模糊的收益成本分析法量化比較了保險、外包和BCM三種風險應對策略的有效性,為企業根據自身特點選擇最優風險應對策略提供了分析方法。
此外,量化分析BC策略或計劃的典型模型和方法還有:Asnar等[34]提出了BC分析的多層模型,通過分析所有情景的可能性并采取措施來降低風險以保證不確定情況下的BC,并結合成本效益分析來選擇最經濟的應對方法。Tjoa等[35]提出風險驅動的流程評估方法來加強BIA和風險評估,該方法基于風險感知業務流程模型,采用模擬的手段對關鍵業務流程、單點失效、資源擾動進行分析,模擬結果為確定MTPD和RPO目標提供了必要的信息。Zeng等[36]提出了一個集成的BCM模型,該模型將企業應對風險的措施分為四類,分別為在災前的保護措施,災中的緩解措施,災后的緊急措施和恢復措施,通過定義BC值并利用故障樹、事件序列圖和半馬爾科夫鏈進行計算。在此基礎上,Zeng等[37]又提出兩個重要的度量方法,BC成就價值和BC降低價值來比較不同BC措施的重要性,并推導了兩個重要措施的置信區間,以減少仿真誤差的影響。
上述這些模型與方法為BCM應用提供了許多可操作的量化分析工具。但也可以看出,這些研究及所提出的模型與方法相對獨立,來自于不同的視角或應用背景,尚未形成一套完善的系統的理論體系。
(4)案例研究。因為BCM具有很強的實踐性,部分BCM研究主要著眼于案例分析。這些案例涉及各種不同行業的廣泛應用,如金融、信息通訊、汽車制造、基礎設施等。如Mahal等[38]研究了阿聯酋銀行業的BCM成熟度模型,從五個方面 (組織文化、流程、人員、技術和設施管理)和四個層次 (企業戰略/政策、戰術/組織、工具/方法、檢查/測試/提升機制)衡量組織彈性,評估業務中斷情況下的脆弱性,幫助銀行衡量BCM的實施效果。類似的,Hamed等[39]將BCM和DR結合開發成熟度模型,并用于衡量沙特阿拉伯信息通信行業的BCM和DR能力。楊寶華[40]則將BCM和保險產品創新結合,希望能推進國內營業中斷保險。
供應鏈環境下的BCM通常比單個企業或組織的應用更復雜。Montshiwa等[41]認為傳統BCP不適用于復雜的汽車行業供應鏈,因此用風險等級來代替風險評估,并將供應鏈合作的概念引入到BCP中。通過對亞洲和北美75家汽車零件制造商進行的研究表明BIA對于風險應對和BCM影響最大,供應鏈合作也具有顯著的影響。
BCM的思想也廣泛應用于基礎設施及安全事故管理領域。如Parise等[42]基于BCM通過對電力系統關鍵操作進行全面控制以減少風險。袁娜[43]結合BCM框架與貝葉斯網絡構建了液氨泄漏事故情景,并對某一化工企業進行案例分析,考慮高概率事故和最嚴重事故兩種情景,保證企業業務的連續性和及時快速的反應能力。田敬秋等[44]將BCM與傳統應急管理體系相融合應用于煤礦應急管理中。這些案例研究證實了BCM的價值及潛在的經濟和社會效益。
通過上述對BCM發展歷程和相關研究的回顧,可以看出,BCM的發展及當前研究現狀主要有以下特點:①BCM具有很強的實踐和應用性特點,早期的發展主要源于實踐應用的推動,一些成熟的實踐經驗被以國家標準和規范文件的形式得以推廣,并引發了廣泛的理論探討;②BCM已經從早期關注信息系統的保護,發展成為一種全面的風險管理理念,為企業或組織應對風險提供了一整套有效的管理技術和方法,對于科技型企業也具有重要的應用價值;③BCM具有廣泛的應用范圍,不同的應用需考慮其特定環境制定有針對性的BCM方案,許多學者已經從不同視角或基于不同的應用領域提出了一些有效的實施框架及量化分析模型;④比較而言,BCM在國內的實踐應用和理論研究都相對滯后,目前國內關于BCM實施標準與規范方面的工作仍主要側重于信息技術及信息系統層面。
關于BCM的未來研究和發展:理論研究方面,當前對于BCM理念、概念模型、框架、案例的定性討論已相對充分,但BC能力的量化評估、BCM管理績效評價、具體管理工具開發等核心問題的研究還遠遠不夠,這也將是未來研究關注的重點;實踐應用方面,國內BCM的企業應用目前還處于初步探索階段,可以從標準、規范的頒布與實施和關鍵行業的示范應用兩方面加強引導和推廣,增強國內企業全面風險管理意識,提升業務持續能力。