企業風險管理 (ERM) ：是管理組織風險的架構，包含原則與程序，協助組織管理預期風險，保護企業免受危害並創造機遇以改善業務表現。

營運持續管理（BCM）：一個完整的框架（Framework），包含了BCP與DRP，確保企業在不同的情況下能繼續營運。

營運持續計畫（BCP）：轉移系統到另一個備用環境、讓企業用不同的模式繼續營運以及與相關利害關係人、客戶與股東…等互動之計畫。

災難復原計畫（DRP）：回復組織被中斷的IT與通信能力之計畫。

## 風險管理及營運持續計畫 建議書

### 企業風險管理（ERM, Enterprise Risk Management）

目的是通過對企業經營風險的評估和管理，使企業能夠在面臨風險時保持穩定發展。

通過分析和評估企業風險來源、特徵和影響程度，以確定企業風險承受能力的過程。通過健全的企業風險管理和評估，企業能夠有效控制風險，確保經營穩定

#### 企業風險管理四大措施
1. 去風險化精益供應鏈，以管理國際業務中的經濟風險
從新冠肺炎疫情和英國脫歐到蘇伊士運河堵塞和烏克蘭戰爭，接連發生的黑天鵝事件突顯了與精益供應鏈運營模式相關的內在脆弱性和經濟風險。僅在幾年前，“準時制”庫存管理似乎在經濟上頗具合理性。但由於航運瓶頸使供應鏈面臨壓力，汽車生產線因半導體短缺而停產，釀酒業巨頭的啤酒瓶用盡，零售商的貨架空空如也（僅以對三個行業的影響為例）。因此，全球很多公司現在都在重新評估與精益供應鏈相關的風險因素。

我們在疫情期間對全球1000多名企業領導人進行的調查顯示，超過一半（52%）的企業已經學會如何通過縮短供應鏈、囤積庫存和使用貿易信用保險(或稱為應收賬款保險)來管理企業經濟風險因素。

2. 更新老舊基礎設施
對某些人來說，在貿易動盪期間投資新硬體、系統和流程似乎是一種冒險的策略。但是，從很多角度來看，這是企業管理經濟和政治風險的最佳方式。

在數位化轉型項目方面尤其如此。例如，將整個供應鏈數位化將為您提供端到端的可見性，並使您的公司能夠更快、更有效地應對供應鏈衝擊，同時還使其能夠更好地利用業務出口機會。投資製造過程中的物聯網 (IoT) 感測器和互聯互通亦是如此。這使您能夠密切監測各項流程，識別效率低下的環節，厲行節約並創造優質產品。

3. 收集有關您的交易夥伴的資訊
您的交易夥伴有多可靠？他們的財務狀況是否健康，是否有能力履行其已訂立的合同？能夠回答此類關鍵問題並分析正確的財務KPI將有助於您充滿信心地進行交易，向您展示如何管理經濟風險因素並擴展您的業務。

然而，由於多個交易夥伴可能分佈在全球不同市場，因此可能無法在內部實現所需的洞察力水準。貿易信用保險(或稱為應收賬款保險)可以保護您免受客戶資不抵債風險的影響。我們的信用風險評估基於我們專有情報網絡的資料，該網路分析了占全球GDP 92%的企業償付能力的每日變化。憑藉該情報網絡，我們能夠詳細瞭解全球貿易、經濟和信用格局，對企業風險水準進行評級，並就最安全的經營方式向客戶提供建議。

4. 優化您的現金流預測和信用管理
財務洞察力是企業成功的關鍵因素。這種洞察力包括仔細跟蹤公司財務狀況，定期進行現金流預測並進行優化，以確保您的組織有望實現其業務目標。

設定貿易信用上限是限制財務風險敞口和保護企業免受資不抵債風險影響的有效方法。計算信用額度的常用方法包括：

確定您客戶的資產淨值（其資產減去負債）的一個百分比（通常為10%左右）。
使用您客戶以往的貿易征信（通常可以在其信用報告中找到），並根據其信用記錄選擇一個中值。
評估您客戶的真實需求，不要進一步提供信用。
另一種管理國際業務中的經濟風險的策略是確保您始終擁有現金緩衝，以應對緊急情況，例如您的一個主要客戶拖欠付款。

#### 目的

1. 系統性識別、應對可能出現的危機，控制或降低風險，確保企業長期穩定發展。
2. 持續執行的風險管理，能為企業帶來的實質效益包含：提升決策品質、減少財務損失、維持客戶滿意度、乃至於保護企業聲譽。

#### 範圍

《哈佛商業評論》將企業風險分為三大類：

|風險類別|簡述|預防及控制|
|--|--|--|
|內部風險|源於組織之內，屬於相較可預防的風險。例如人為錯誤、系統/設備故障、信用/財務損失等風險，針對工作場所進行流程規範、內稽內控來加以避免。|相對可控|
|戰略風險|營運時未能及時對商業環境變化做出提升競爭力的反應，或投資決策錯誤而衍生的風險。像是數位/串流技術興起，造成底片技術、錄影帶租賃業者的淘汰。|較難預防|
|外部風險|多半在組織外部，超出自身可控制範圍的風險。例如金融海嘯、天災、流行病肆虐、市場崩盤等造成的蝴蝶效應，無法用常理判斷或直接預測的黑天鵝事件。|相對不可控|

<img src="https://hackmd.io/_uploads/HJIm3pshC.png" width="350">

除了以上的分類以外還有的其他風險分類：
> * 信用風險：合作夥伴、客戶因財務問題無力償付貨款，或惡意倒閉導致求償無門。
> * 流動性風險：企業資金調度能力失靈，負債管理、資產變現、緊急流動應對出現危機。
> * 法律風險：契約/合約內容，例如承作業務適法性、外國法令與既有契約產生衝突情況。
> * 資訊風險：資訊系統不當備援、受到駭客攻擊，造成機敏資料外洩、系統當機等情境。

### 營運持續計畫（BCP, Business Continuity Planning）

#### 目的

1. 保護公司營運免受災害和事故的傷害，幫助公司去因應這些風險所帶來的危機。
2. 展現應對風險韌性(Risk Resilience)的能力。

#### 範圍

營運持續計畫的範圍不限於資訊系統，亦包含了人員資產（如某個重要流程負責人，因故無法工作，是否可以找到接替的人員，而不致運作停擺）。當然也包含了天災人禍、地震、颱風、停電、罷工、疫情等的預防與對策。

#### 制定步驟

##### 1. <font color="red">找出公司在現有資源下，必須持續進行的業務有哪些，並規劃應對作法來持續進行這些業務。</font>

a. 甚麼樣的災害可能導致公司面臨破產問題?
b. 公司至少需要多久時間才能從災害中復原?
c. 影響公司營運成長或倒閉的關鍵資源是什麼?
d. 未來的 5 到 10 年間，哪些災害與事故可能會嚴重影響公司的營運狀況?
e. 倘若災害發生，是否公司已有對應的復原措施？

##### 2. 決定持續營運計畫的具體目的、執行範圍與團隊三大基礎要素
a. 具體目的：導入BCP的具體目的
b. 執行範圍：適合導入BCP的組織、業務、辦法或項目
c. 執行團隊：合適的BCP負責窗口與組成人員

<img src="https://hackmd.io/_uploads/B12K_8BnR.png" width="420" border="1">

> PS: 管理高層對BCP的領導與支持，及執行團隊對計畫三要素的瞭解，都事關重大。

##### 3. 決定優先營運項目以及預計復原時間
a. 優先營運項目(Prioritized Activities, PAs)：核心產品與服務

> 例如：某個訂單系統因需要7*24承接來自各國的訂單，中斷的話可能會大幅影響公司營業額，所以這可能就是公司最需要優先恢復的優先營運項目。

將優先營運項目盤點完畢後，接著要去思考，如果優先營運項目全面中斷的話，多久後將對公司產生無法彌補的影響?

這個時期也被稱為最大容忍停機時間 /Maximum Tolerable Downtime, MTD)，在此時間段後，公司運作可能無法恢復。

最後，為了不讓公司停擺，我們需要在最大容忍停機時間將優先營運項目做恢復，所以要去定義各個優先營運項目的預計恢復時間，或是常聽到的復原時間目標(Recovery Time Objective, RTO)。

例如：某應用服務不能用對客戶最大容忍值是一天，RTO就會需要制定小於一天(因為超過一天，客戶可能會抓狂，而影響到公司營收） → RTO為1天。

若優先營運項目是屬於資訊系統類的，除了制定復原時間目標RTO之外，也需要去定義復原點目標(Recovery Point Objective, RPO)。

RPO主要是去定義資訊系統從中斷到重啟期間可忍受的最大資料損失量。

例如：電商網站的具有高頻次的交易資料，允許的資料損失量可能會是以分鐘為單位 --> RPO為5分鐘。

下方表格透過圖示來幫助大家了解RTO/RPO的關係:

##### 4. 潛在風險發生可能性與影響評估

在定義完優先營運項目以及其對應的MTD / RTO / RPO指標之後，接續要辨識與瞭解能嚴重威脅公司持續營運(或可能導致災害性狀況)的風險為何?

一般風險可能會是天災-地震、洪水和颱風; 工業災害-火災、爆炸、停電; 化學物質洩漏或蓄意行為; 及恐怖攻擊。也可能是公司人員或供應廠商操作不當…等人為因素。

藉由辨識出來的風險類別，可以用於分析、評估與排序出因應這些風險的營運持續作法。概念上就是這些狀況發生時，我要如何讓公司的關鍵活動，可以照常運作，而不會影響公司整體營運。

具體作法上需要同時檢視這些風險發生時的可能損害程度，以及需要多少時間才能恢復，將此與前述步驟的RTO/RPO做對應。

例如：與設定預計復原時間RTO相比，所要確保的資源如果需要依賴必要的公共設施(例如電、水、電話等等)才得以恢復，並可能需要花費更久的等待時間，這時可能需要重新思考預計復原時間，並在等待時間內處理其他優先恢復事項。

以下為判斷地震時，各個重要資源所需的恢復期，以便決定是否需要採取額外措施
![230110_bcp_step[1]](https://hackmd.io/_uploads/BJndARI2R.png)

##### 5. 恢復關鍵活動的作法
根據前述步驟，我們會知道哪些風險可能會影響到哪些優先營運項目，以及對應的影響衝擊。

故針對這些影響衝擊，我們會需要針對這些影響衝擊，去建立可恢復關鍵活動的營運持續作法，

在規劃營運持續作法時，也需要思考若干重要概念，以恢復優先營運項目運作。相關策略如下:

策略 1：在受損 / 受影響地點恢復優先營運項目的運作。

策略 2：在備援點(公司內部或外部設施)恢復優先營運項目的運作

策略 3 ：以替代方法(或變通方法)恢復優先營運項目的運作。

作法可能會是類似以下：

###### 人力資源相關：
風險：擔心負責公司重要技術的工程師突然新冠確診，重要公司專案無法被完整執行
營運持續作法：
方法１：提前請該名工程師安排內部教育訓練，讓其他工程師可以學習該技術技能
方法２：找外部熟悉該技術的廠商，透過外包的方式來應急短暫的人力短缺
###### 供應商管理相關:
風險：公司重要原物料來源僅有配合一家廠商，廠商可能會因為需求上漲而減少供貨，或是因為景氣不佳而倒閉
營運持續作法：
方法１：積極向外選商，將原有一間供應商，補足成至少三家
方法２：與公司內部研發團隊合作，透過研發降低最終產品的單位投入原物料，讓產品可以用更少的材料來完成；抑或是尋找替代材料
###### 政策相關:
風險：政府突然宣布因為疫情，全體人員皆不能出門，只能在家辦公
營運持續作法：提前導入雲端服務，包含雲端桌面主機、VPN、配置行動筆電、雲端流程系統，讓員工即使在公司外也能正常辦公
###### 資訊系統相關:
風險：公司生產製造相關系統，因為駭客勒索軟體攻擊，導致生產中斷
營運持續作法：
方法１：事先導入異地備份解決方案，將備份存在異地辦公室或是雲端環境，遭受攻擊後可以透過還原保留原始的資料
方法２：可考慮建立異地的備援站台，將備援機器放置在異地或雲端，若真的災害發生，可以當下將原始服務切換到備援站台運作，以維持營運
方法３：確保公司內部資訊安全措施皆有做好，例如：電腦都有正常更新、帳號登入皆有啟用多因素驗證、電腦上皆有安裝防毒軟體或EDR解決方案…等

**營運持續作法制定的過程中，也需要同時考慮營運持續作法：
1.需要哪些關鍵資源？現有資源是否充足？
2.是否需要向外找尋合作夥伴？**

列出方法時，也建議可以一併列入，以便評估現況與理想的差距，以及評估做法的成本效益。

##### 6. 如何將財務規劃納入營運持續計畫
定義完營運持續作法後，也列上所需的關鍵資源與外部夥伴資源，屆時我們需要將其轉換為成本金額費用，以便評估方法的成本效益，主要的比較關鍵為：

「優先營運項目價值」要能夠大於「投入保護成本」

例如：若我需要保護的機器設備，其價值對於公司來講只有3萬的價值，而若我選擇一個費用超過3萬的方案，就不符合價值成本效益，該作法就該被捨去。

而優先營運項目的價值可以怎麼被定義呢？ 以下提供幾個方向供大家思考：

* 帳面金額：例如當初這台設備購買金額為15萬，扣掉折舊5萬，目前價值會是10萬
* 經濟效應價值：例如公司共有五台生產設備，每年這些生產設備可創造出100萬的營業額，扣除成本50萬，單台生產設備的淨價值就是(100萬-50萬) / 5 = 10萬
* 無形價值：此比較抽象，舉例某優先營運項目，與公司重要訂單供應商有大幅相關，其價值可以用合作價值衡量。例如每年公司與台積電合作的價值，對於公司股價或公司形象，所能額外帶入的客戶，可帶來約200萬的價值。

定義完價值與投入的成本後，即可得出幾項以目前現況來說是最符合的作法。接著，我們要去編列對應項目的預算或是資金來源，以便實現該作法。

#### 透過實際演練，來確認計畫的完整性。

建議可安排半年或一年作為週期，來模擬風險發生時執行營運持續的作法做實際演練。

實際演練則在確保計畫有效發揮作用並達成目標，演習目的不僅在測試表現，更透過提供教育訓練來增進員工的專業能力，下面列出幾個重要的演習類型:

* 疏散演習：測試並演練安全迅速的疏散至指定地點。
* 安全確認演習：測試和演練員工的緊急電話撥打和安全確認。
* 備份資料復原演習：透過備份資料來測試及練習復原程序。
* 營運恢復演習：測試並演練受災後營運中斷的恢復。
* 備援點開始營運演習：測試並演練備援點的營運狀況。

可使用以下表格做填入紀錄：

![230107-bcp-steps-3[1]](https://hackmd.io/_uploads/B1Y3PlO20.png)

表格4: 演習計劃與檢討表

最終，再透過PDCA的方式來定期改善上述所制定的計畫，檢討時可以自問以下問題：

* 先前擬定與定案的營運持續計畫在執行上是否有效?
* 是否存在待改進的工作與問題嗎?
* 是否有思考到影響計畫的內外因素與變化呢?
* 是否有忽略應納入營運持續計畫的任何項目?
![230107-bcp-pdca-2[1]](https://hackmd.io/_uploads/Sk5RPgu30.png)