先给结论
业务连续性不是"防灾减灾"，而是"有准备地应对中断"。无论是因为自然灾害、网络攻击、供应链断裂还是公共卫生事件，业务中断对企业的财务和声誉损失都是巨大的。ISO 22301的价值在于：让企业在中断发生后，不是慌乱应对，而是按计划、有条不紊地恢复核心业务。
对于金融、医疗、物流、互联网平台和大型制造企业，业务连续性管理体系已成为客户和监管机构的基本要求。
核心概念
业务连续性（BC）
在中断事件发生后，在预定时间内恢复核心业务到可接受水平的能力。不是保证所有业务不中断，而是确保最重要的业务能在可接受时间内恢复。
恢复时间目标（RTO）
业务必须恢复的最长时间。例如："核心交易系统RTO=4小时"意味着中断发生后4小时内必须恢复运行，否则将造成不可接受的业务损失。
恢复点目标（RPO）
数据可以接受的最大丢失量（以时间衡量）。例如："数据库RPO=1小时"意味着最多接受丢失1小时的数据，需要每小时至少备份一次。
ISO 22301:2019的核心要求
业务影响分析（BIA）
BIA是BCMS的基础。需要访谈各业务负责人，评估每个业务职能的中断影响：
- 财务影响：收入损失、罚款、合同违约处罚
- 声誉影响：客户流失、品牌损害、市场份额下降
- 合规影响：监管处罚、业务资质暂停
- 运营影响：生产停顿、供应链断裂
根据影响程度，确定各业务的RTO和RPO。
风险评估
识别可能造成业务中断的威胁：
- 自然灾害：洪水、地震、台风、雷电
- 技术事故：IT系统故障、电力中断、网络中断
- 网络攻击：勒索软件、DDoS攻击、数据破坏
- 供应链断裂：关键供应商停供、物流中断
- 人为事件：火灾、爆炸、恐怖袭击
业务连续性策略
基于BIA和风险评估结果，为每个关键业务制定恢复策略：
- 备用站点：冷备（需要时启用）、温备（几小时内可用）、热备（分钟级切换）
- 远程工作安排：关键岗位可在远程工作模式下运行
- 供应商替代方案：关键物料有多家供应商
- 数据备份和恢复方案：异地备份，RPO可达成
业务连续性计划（BCP）和IT灾难恢复计划（DRP）
BCP关注业务层面的恢复，DRP关注IT系统的恢复。两个计划必须协调一致。
认证审核的关键证据
- BIA分析报告和RTO/RPO设定依据是否经过管理层批准
- 风险评估报告和风险处置计划是否与BIA结果对应
- BCP/DRP文件的完整性——是否覆盖所有关键业务
- BCP/DRP是否定期更新，更新记录是否保存
- 演练计划和历次演练报告——是否至少每年一次
- 员工培训记录和能力验证
认证审核常见不符合项
- BIA分析不完整，未覆盖所有关键业务
- RTO/RPO设定缺乏依据，未经过业务负责人确认
- BCP内容与企业实际恢复能力不匹配
- 演练记录不完整，或演练后未进行改进
- 未将BCMS绩效纳入管理评审
与灾难恢复（DR）的关系
业务连续性（BC）涵盖范围更广，包括IT和非IT的所有业务恢复。灾难恢复（DR）专注于IT系统的恢复。ISO 22301体系包含了DR的范围，但不是只做DR就满足了BCMS的要求。
常见问题
ISO 22301认证需要多长时间？
从启动到拿证约6-12个月。已有业 务连续性实践或BCM基础的企业周期较短。体系运行至少3个月后才能申请认证审核，建议运行6个月以上。
中小企业适合做ISO 22301吗？
适合。标准强调适用性——体系复杂度应与企业规模匹配。中小企业可以聚焦核心业务和有限的资源，建立简化但有效的BCMS，而不是照搬大企业的繁复体系。
ISO 22301和ISO 27001有什么关系？
两者有协同关系。信息安全事件是业务中断的重要来源之一，ISO 27001的信息安全管理措施有助于减少业务中断风险。很多企业选择同时建立两个体系，整合审核节约成本。