陈建新：各位嘉宾、女士们、先生们大家下午好。很高兴参加今天2008IT运维与管理高峰论坛，这个平台给我提供了一个交流的机会。我今天讲的题目是“融合BCM管理，迎接未来挑战”。
题目从IT管理走向业务管理，我的题目是要进一步从业务管理走向业务持续管理。首先我把我讲的内容提纲说一下，第一个内容是前言，讲的自己的体会。第二个讲BCM发展的历史背景，第三个讲讲BCM基本理念和方法，第四个讲应用和未来的发展。最后讲讲迎接挑战。
我的体会是IT在10多年之前，首先是服从于业务的需求。我记得我做IT的那个时候，很多业务部门是不接受IT系统，网线拉到办公室给你们拿出去，那个时候是为了满足业务的需求要服从于它。但是，随着时间的推移，我们慢慢从IT的服从走向了对于服务于业务的发展。今天又不一样了，业务对信息的依赖程度逐步加深了。所以形成了一种推动力，IT大家知道是重要的生产力之一，所以在推动业务。同时，业务也带动IT良性地发展。两者互为补充，互相推动，持续往上发展。
第二个观点，我感觉到作为我们企业的管理来说，一个组织、企业，它的管理很重要的在于规范它的业务，提高它的效率，保证业务的安全，来推进企业的发展。所以某种意义上讲，管理业务就是管理IT。
今天我要讲的内容是BCM，什么是BCM，要把这种理念从IT管理走向业务管理，要进一步持续管理。今天上午很多专家谈到了很多管理，ITLI的管理等等。企业随着信息化的支持，很多管理方法、管理理论在实用。BCM跟这些管理，比如说跟ITLI的管理，是互相补充、互相有共享。所以要把这种理念融入到IT的管理里面去，所以我的题目是融入企业的管理。
今天才能讲这句话，是因为我们企业信息化的发展到了现在比较高级的阶段。在以前或者是更早的时候不能提这样的题目，所以今天非常高兴在这里谈论BCM。
首先我要讲一下BCM为什么会发展？是因为BCM在国外有十几二十年的历史，为什么现在知道这个概念？谈BCM首先要谈到灾难。对灾难的含义可以从这几个方面来考虑。什么是灾难？诸如地震、飓风自然灾害，还有战争、疾病、网络攻击、社会系统故障和人为破坏等等，对我们造成大的事件的，都属于灾难的范畴。我会谈到计算机的系统，很小的软件灾难会引起大型地灾难，灾难的含义因此比较广。
为什么有灾难，它的发生背景，是因为灾难唤起了人们对BCM的提升。2002年发生了SASR、08年1月初，南方雨雪冰冻灾难损失了很多钱，如果我们有了灾难的预示，损失会大大地。我们遇到了灾难之后，是在事后补救，事先的防范几乎没有。但是，也有个别企业，比如说摩托罗拉，在南方雪灾的时候，事先有准备，他们基本上没有损失。所以，是由于灾难提升了我们巨大的认识。
恐怖事件9.11大家都知道，对世界造成了影响，在9.11当中，特别是曼哈顿地区的企业由于受到了9.11的冲击，80%的企业都不存在了，幸存了20%，20%当中有两万个消失了，而且上万个人失去了工作，这是恐怖事件给我们造成的灾难。
假如说跟今天会议比较接近的是系统，设备系统的故障也会引起大的灾难。据IDC统计，美国在近10年间遭遇过灾害事件，因为数据的丢失，换句话说我们信息的丢失，这些公司当中，由于数据丢失无法造成业务持续进行有55%的公司马上倒闭。另外有29%的公司在两年之内停业，所以仅存很少的公司生存。
走近一点，我们很多企业，在我们国内来看，因为缺乏BCM机制，给社会造成的损失和影响极大。不点名地举个例子，06年4月，某个银行转帐系统发生了通信故障，数小时之后系统才恢复了正常。它殃及了全国70余家营业开户的证券开户的200万股民无法进行转帐交易，而受到了经济损失，这种损失在国内当前是没有责任的。股民没有责任，找谁去算帐？在国外就不行，我下面会谈到。
我们也看到，像图片上民航也是06年1月11日，某个航空公司总部服务器故障，导致系统死机20分钟，这20分钟造成了成都双流机场40分钟之后才恢复正常，上千名旅客延误行程，这种事件在国内是多见的，为什么因为缺乏BCM的机制。
从我们灾难企业来说，企业业务可能遭遇了几种灾难，我们统计分析了一下，洪水、地震、飓风是自然灾难，火灾可能是人为的也是自然的。其中里面断电时期，也有外界、人为、内部的因素。污染是比较小的，跟我们直接关系是软件错误是占了8%，硬件故障是占了14%，网络故障，定期的升级故障等等加起来超过了1/3。我们真正遇到自然灾难的情况并不多，但是频繁地遇到的。
据我们行业的统计，一小时21个行业停机，带来的损失是巨大的，其中能源、电信、制造业、金融等等居上。所以我们系统的宕机造成的损失也是巨大的。
下面谈到的是灾难的问题，在9.11能够幸存下来的企业给了我们很大的启示。摩根斯坦利、德意志银行在9.11当中由于采用了BCM的机制，制定了业务持续计划BCP和实施灾难恢复计划DRP，他们损失降低到最小程度。摩根斯坦利在两个小时之后恢复了正常，这给了我们很大的启示。正因为这样，摩根斯坦利在9.11当中的幸存和做法赢得了很大的信誉，所以BCM这种灾难人们引起了极大的关注和牺牲，这是灾难带给我们的。
第二个BCM是企业或者是组织信息化建设的高级阶段，所以我们今天在这里讲这个问题是可以的，在几年前讲还不行。我个人经历当中，比如说在中国有一个信息化建设的阶段，65、75、85，在70年代的时候，我们也搞信息化。那个时候我们着重在基础应用，当时有一句话：计算机当打字机，只能当报表打印报表，即使用也是信息孤岛。
到了80年代的时候，我们开始了信息化的建设，那个时候是属于管理驱动阶段。慢慢走向管理，这个阶段有很大的问题是信息共享，从信息孤岛进入到信息共享，我们进入了5年甚至是更长的时间。在这之后，我们有了一定的基础，企业对信息化的依赖逐渐加深，认识到信息化是推动企业向前发展的重要生产力。那个时候我们就开始信息化规划，进行信息化的总体规划。
到了90年代末期，以银行金融业为标志，叫做数据大集中，叫全国的各个省的数据全部集中在北京来，叫做数据大集中，这要进行系统地整合。当然数据大集中之后，风险也集中了。
在往前到了2000年之前，慢慢地我们信息化发展到了一个战略发展的阶段，在这个阶段，不仅仅是系统的整合，从系统到应用的整合，最终应用是最重要的东西。这里面，我们也经历了很漫长的过程，比如说ERP叫了10年了很艰难。最近好了一些，很多单位实施了上线，做得很好。这个有标志性的是上午公司介绍了ITLI，在企业里面，要各种管理都开始进行，包括信息安全、ISO20000、ISO27001等等，都开始进行。
今天，或者是我们在最近的时期，我个人认为，我们信息化的进程到了一个高级阶段，这个阶段要体现他的价值，所以价值的整合，价值阶段在这个时候，或者说我今天能够来有机会交流业务持续管理，是高级阶段要保证业务持续管理，从IT管理走向持续管理。
第三个发展历史背景，随着国家法律法规的完善，对企业要提出审计和监管的要求，刚才我说了，银行当今股民损失很大。民航系统瘫痪、旅客滞留他们不负责任，现在民航开始负点责任。一个企业完蛋了之后，有问题之后，对股民没有任何地责任，这是不行的。
第二个因为我们国家目前BCM的阶层刚刚开始，但是有发展的阶段，很多国家发展有一个历程。首先是灾难恢复，一个企业受到打击的时候，或者是损失的时候，它的信息要保存起来，信息要恢复起来，业务要恢复起来，有一个灾难恢复的问题。我们国家当前重点重视在灾难恢复和灾备。
从03年开始我们国家发布了一系列的文件加强基础信息网络和重要信息系统建设，要充分考虑抗毁性与灾难恢复，制定和不断完善信息安全应急处理预案。2004年9月，国务院信息化办公室下发了《关于做好国家重要信息系统灾难备份工作的通知》，2005年5月，国务院信息化办公室已发布《重要信息系统灾难恢复指南》。中国人民银行制定了《银行数据中心灾难备份管理规范》，银行、电力、铁路、民航、证券、保险、海关、税务八大行业以及中国电信、中央国债已经正在建容灾系统，并开始推进BCM的机制。为什么谈到，因为这个领域刚刚进来。所以从三个方面，它的历史发展，一个是灾难从这里开始提升它。一个是最后，到了我们整个监管的条例，我们国家目前还没有硬性地条例来监管、要求。我相信不久之后会有。现在银行开始自己要求自己必须要具备BCM，有一些上市公司在国外已经这样做了，不经历BCM不能上市，因为承担着社会的责任。
今天时间有限，我把BCM的理念和方法做简单的介绍。什么是BCM，美国一个经典的定义是“对潜在的灾难、危机加以辨别并进行分析，确定其对企业运作造成的威胁，并建立一个完整的恢复计划来防止或减少灾难事件给企业带来的损失。”同时，也可以这样理解，BCM是一个灾难预防及反应机制，可以在指定的时间内重新启动应急业务运转流程，保证其业务的持续性。
什么叫BCM，我就很简单地答复他，BCM就是在一个企业和组织遇到任何突发性事件的时候要如何保持自己的业务不中断，持续进行，把损失降到最低限度，就这很简单。
这里面BCM更倾向于建立业务持续管理机制，而不仅仅是灾难恢复的实现技术。我们国内很小，一提到BCM就是灾难、恢复。我这里强调一下，这是国际上走过来，当前在发达国家他们强调的是BCM业务持续性管理。发展中国家像我们这样的讲的是灾难恢复计划，DRP，这有很大的区别，我们要慢慢往前走。所以BCM不等同于灾难恢复。
这里面有一个图说明一下，最核心的部分是IT备份与恢复，这里面包括了灾难恢复的资源、灾备中心的管理、切换运行等等，这最核心的部分。所以一旦遇到了问题之后，是一个灾难备份的计划DRP，再拓展一下，如果包括了我们灾难恢复计划到业务持续计划的时候，包括了我们恢复的方案、业务影响的分析，业务的预案和人员组织结构。在往下走就是BCP业务持续计划，涵盖了灾难事件的一些应急响应组织，包括上下游的供应链的管理。再往外走是BCM，BCM是一个涵盖更加宏观地管理更多的概念，包括了紧急事件的应急响应处置。
这里面有几个概念，一般来讲，叫做灾难恢复计划DRP，什么意思？是面向信息系统所支持的功能从灾难造成的故障和瘫痪状态恢复到可接受状态。业务持续计划BCP是面向企业关键业务的持续、有效运作，是灾难事故的预案和反应机制。BCM是更高层，是面向企业潜在的风险，考虑内部风险控制及外部利益相关单位来建立一个完善、完整的机制预案来减少损失。
所以，要保持和建设一个业务持续系统建设的目标保持业务的持续运行，包含了有一组防范灾难风险的指标，一套灾难恢复的策略及备份恢复方案，同时要有一直执行团队可以处理应急和灾难恢复的工作，也包括建立一套业务持续性计划文档的流程。
实施BCM的目标是什么？包括两个方面，一个是灾前的预防和灾后的恢复，这是跟一般的不一样的。所谓的灾前的预防，灾难发生之前，我们对企业潜在的风险要进行评估、分析，根据分析的基础上，要制定相应的预防灾难的措施来降低灾难发生的概率之前要做的工作，强调是之前做的工作。就像我们的南方发生冰雪之前做的工作很少。
在灾难后恢复需要制定一套完整的管理流程，灾难发生后，根据BCM流程能够在要求的时间内恢复业务，将损失降到最低，并确保业务的持续性。
以前的灾难恢复的范围，我们一般来说，都是讲的是IT电脑系统。包括我们恢复中心等等。当今，我们指的BCM灾难恢复的范围很广泛，我们包含了整个的企业。
整个关键是保持不仅是IT的恢复，最后还要保持业务的持续性。这个图可以看到，一旦企业灾难发生之后，很有可能在异地把信息系统恢复起来，在异地进行办公，有工作区，把重要的文件、重要的数据备份很快地恢复起来。所以摩根斯坦利在两个小时之后在异地进行办公。现在在国外这样的企业已经很多了，在异地设置了恢复中心、异地设置了办公室，准备应对这种突发事件的发生
什么叫做BCM，我们说BCM是一个一体化管理过程，包含了危机管理、风险管理、灾难恢复、设施管理、供应链管理、质量管理、安全管理、知识管理、应急管理、沟通和公共关系、人力资源管理、环境管理。随着我们对BCM的实践，可能要进一步地发展、发挥。
有一个经典的周期，BCM的管理跟别人不一样，它的是周而复始地不停地进行运行，有一个周期，有六个阶段，第一是项目管理，第二是通过BCM认识你的企业，第三认识之后来制定你的业务持续的策略，通过策略来开发你的持续计划，通过持续计划的制定。它的BCM跟别的不一样，必须要建立一个企业文化，整个企业从上到下都要对BCM的概念要认识清楚。还有一个观念不一样的是演练、维护和审计。
这是刚刚谈的第一个阶段，制定它的计划来协调整个BCM的管理，包括它的整机，贯彻当中。
第二个里面很重要的是两件事情，要进行风险分析。认识这个企业之后，要对潜在的风险进行分析，还有一个很重要的地方是业务冲击分析BIA，对我们最薄弱的环节进行分析，通过冲击分析来确定灾难事件的影响，来确认各关键业务的恢复时间目标RTO需求。同时要确认各关键业务系统恢复点目标RPO需求，同时要确定各关键业务系统的恢复需求等级、最低资源、保持业务的持续性。
第三个阶段是制定恢复策略，这有很多内容，保证企业关键部门在目标恢复时间内达到业务持续的基本要求，这样的话，确定当前系统恢复能力与恢复事件目标的差距。
第四个阶段，开发并执行业务持续计划的一系列计划，包括BCP、CMP等等不详说。
第五个阶段形成了我们BCM的文化，对于一个企业来说需要做到的。
第六是要演练、维护、审计，这是一般管理上所不具备的东西。
完了之后，要周而复始地不停地进行继续的进行第二个生命周期。刚才说了灾难恢复是发展中国家，业务持续管理是发达国家。
第四讲它的应用和未来的发展。目前来说，这已经形成了国际通用的规则，国际上已经成立了相关的机构。国际上开展对我们很多业务特别是金融业进行了监管。
从国际发展来看，谈了新加坡、英国的很多政策，特别是强调了04年出台了《萨班斯法案》要求很多企业要具备BCM，这是很多国家政府的介入。中国什么样，BCM在中国刚刚开始，还是一个新的概念，我们很多部门只是知道一个概念，跟国际上的差距太大。
在中国BCM专委会从04年成立到现在，经历了5年的时间在不断地推进BCM的发展，我们很多企业刚才说的八大系统包括海关、电信等等都在加紧建设我们的BCM系统。
从趋势可以看出来，我们将从最基础的IT里面的备份走向我们的BRP、BCP一直到BCM，我相信我们国内大型企业，500强和上千家企业逐步地会在BCM领域做很大的推进。
最后一个问题是迎接挑战，我想BCM和灾难准备和灾难恢复，正在演变成为一个主导性的全球挑战，我就不解释了。对于BCM的投资和回报，将体现在成功的持续性，它的价值是无限的。有效的IT治理体现在服务管理、安全管理和业务持续管理BCM。我相信一个企业或者是一个组织实施BCM无疑是将提升它的形象、信誉，增强社会责任提高它的竞争力。
谢谢大家。 | 
