|
2004年9月13日，第五屆中國金融信息化發展論壇在北京展覽館報告廳召開。以下為本次論壇實錄：
主持人：感謝袁先生的演講，剛才袁先生介紹了一下在網絡時代銀行IT的構架應該以網絡為中心，同時介紹了sun公司在這方面采取的技術和策略。今天上午第六位也是最后一位演講嘉賓是中國信息化推進聯盟的高級顧問，BCP Asia資深設計師黃守吉先生，黃先生
是新加坡業務持續計劃副主席，BCP國際機構資深講師，他和他的團隊以其豐富的經驗為多家機構和企業提供了完美的服務。他演講的題目是《中國信息化發展的必然趨勢—BCP》。希望歡迎黃先生演講。
黃守吉：各位領導、專家、女士們、先生們，早上好。首先我很感謝主辦方給我這個機會從新加坡到貴國與各位專家以及朋友交流。我今天要講的題目是業務持續計劃或者是BCP。很多朋友問我什么是BCP，他們都認為BCP就是ITDR，而ITDR就是BCP，所以今天我所談的重點是BCP與ITDR不同的關聯和角色與BCP的運作流程，和我們現在所面對的問題。我們要問自己，為什么有些企業經過9.11這么嚴重的災難事件后，可以在他們所定義的目標恢復時間調動幾千名員工，調動他們的資源到不同的異地備份、恢復以及持續他們的關鍵系統以及業務，他們是如何實行的？像9.11事件，其實他們采用了BCM的反案，讓他們成功恢復關鍵業務。(見圖)我們看一下BCM的圖表，不僅包括ITDR，也包括企業的管理，風險管理、緊急管理、人力資源一系列的管理方案，從這里我們可以看看緊緊的ITDR是不足夠可以讓公司或者企業恢復他們的關鍵資料。我很高興得到德意志銀行BCP小組的批準，讓我在這里的討論會放短短十分鐘的短片，讓您參考德意志銀行在應對9.11事件后的小組的應對情況，與我所談的BCM方案按照計劃與最快速度調動和保護他們的相關資源，他們如何調動4000多名員工順利撤出大廈，并利用全球分行的資源與電腦和教育系統分擔紐約的嚴肅性，以緩解業務的壓力，并在紐約30公里的地方有辦公區，讓他們員工在最短的時間內恢復業務，整套的合理流程得到銀行內部和外部的好評，甚至外界不敢相信德意志銀行能以如此快的速度恢復，通過這件事情以后，他們的員工和客戶以及企業對他們更加有信心了。(短片)
看完這個影片，你們可以多了解BCP的好處以及它的價值在哪里？假設德意志銀行沒有BCP的計劃，9.11事件發生后就有意想不到的后果。所以BCP定義是一套完整的解決方案，用來消滅或降低突發事件，重點是易保反映機制，啟動緊急業務，業務的持續性以及目標恢復時間。接下來看圖是，我們解釋BCP的系統以及策略，如銀行的交易部門是一個關鍵業務，他們一個小時或者一個月之內的營業額是多少？所需要的關鍵交易系統又是什么？結帳系統可能是稅務系統。所以我們做了一個業務數據分析，如果這種關鍵系統癱瘓了，他們的損失將在一小時到一個月之內的損失將會是多少？同時也可以令他們無法交易，使財務受到損失，而且使客戶失去信心。從這個圖可以看出，他們的業務損失情況。那么我們如何調整應對策略，如果恢復時間是一個小時，將要采用什么方法解決這個問題。這說明BCP計劃的投入以及沒有BCP計劃所造成的損失的比例。從圖可以看出業績分析和業務中斷時間的長久，以及恢復時間長久對業務沖擊的對比。
我們再看一下業務是怎么樣主導整個BCP的流程，可以先從風險、業務沖擊做出分析，如銀行的稅務系統，如果癱瘓了，就無法吊銷交易財政損失，從這里可以看出我們確定他們需要恢復的前臺和后臺的關鍵系統，我們也可以讓BCP主導RTO項目，以確保業務持續，確保業務是否在關鍵時間內進行重新運作。我們花了這么多時間，到底BCP的價值在哪里？它包括：股東的利益、公司的名譽及品牌，資產、設施等等。有了BCP計劃，我們就可以以我們所分析的危機做出預防和阻止災難的發生，如果災難真的發生之后，我們可以利用BCP的方案很快恢復以及持續我們關鍵的業務。從圖面來看，一旦我們的設施癱瘓了，我們的客戶、用戶應該怎么辦？我們是否有持續的計劃進行我們的恢復計劃？第一，我們可能要恢復的是IT系統，恢復了IT系統是否足夠呢？不足夠。我們需要進行業務持續計劃，像人員重新部署，電話轉機恢復，因為我們不能跟客戶失去聯系，因此這個電話轉機非常重要，還有員工有沒有BCP的理念和知識，一般機構能夠很快的恢復關鍵業務。這就是我們整套的業務持續管理。
您的企業是否擁有真正的BCP計劃呢？其實很多企業都說我已經進行保險了，已經有計劃了，可是他們沒有顧慮到公司的發展、生存等因素，就像我們看到的這個圖面，如果沒有BCP計劃，企業根本不能生存下去。我們進行業務分析，像BIA扮演的角色是BCP計劃的基礎，BIA能夠幫助我們定制恢復時間的目標，那么企業所需要的最低運作要求是什么？業務的要求是什么？恢復的策略又是什么？從BIA中可以看到，一個完善的BIA流程到底是怎樣？德意志銀行就是靠國際上的流程儲備了BIA技術。準備流程有五個階段：
第一，是BCP的初始化，首先是如何進行團隊培訓，各部門如何做BCP工作來確定BCP目標。
第二，包括風險分析，鑒定周邊環境所存在的風險。比如說德意志銀行在1993年的爆發事件作出了風險的預測，所以9.11事件時他們有很好的防范方法以恢復他們的業務。
第三，業務分析，就是如何確定業務和具體的恢復時間，確定所需的資源。在計劃內確認恢復策略以達到指定要求。
第四，計劃的開發和實施，對公司所有的部門員工一定要進行嚴格測試的操作性嘗試的培訓，實行小組詳細的恢復以及業務持續工作，制定開發ITDR的計劃。
第五，培訓以教育我們的員工是經常被忽略的可是在這個項目里，不能被忽略，我們希望我們的員工真正了解BCP項目，以跟客戶溝通。有了BCP的經驗，我們少不了做檢驗，在實行完善項目的時候，建立實時演戲計劃，以確定項目實施是否有效和是否有可靠性，原來我們有很完整的技術文件，當然不是說有了文件就不管了，其實德意志銀行每半年或者一年都做恢復與保持，如果更改的話，他們都要從第一階段開始，就是怎么恢復和完善BCP的運作流程。為什么現在還有很多人沒有進行BCP呢？也說過很多機構誤解了BCP的用處，他們以為BCP就是ITDR，ITDR就是BCP，我們的重點是了解BCP和ITDR的關聯到底是什么？所以我們要做充分的BCP計劃，而要開發BCP的難點是什么呢？其實很多機構都覺得這種BCP項目應該轉交給IT部門管理，可是IT部門是以系統恢復為主，而往往忽略了關鍵業務。所以它們需要一個高層的支持，各個相關部門的參與和配合，以及他們要了解到BCP整個流程是什么樣的。
如何解決以上問題？需要學習同類企業的當今先進做法，也可以借鑒德意志銀行的做法，我們可以按照標準執行，或聘請有資質的人士做BCP的計劃，當然啟動BCP計劃在企業里有相關人員，目的是更好的做好交流和顧問客戶工作。有人問我有沒有指導BCP的國家呢？比如說新加坡管理局，還有韓國、日本、馬來西亞，以上提到的國家都與銀行系統有具體的標準要求。新加坡管理局出了七個原則，董事會和高層領導應該對所的BCM企業負責。他們也知道BCP應該和其他部門有良好的結合，而且BCP計劃進行完整、有意義的測試。他們應該指定恢復時間作為一種標準。企業應該避免和各部門之間的依賴型以避免依賴型帶來的恢復風險。企業應該為大面積嚴重災難做好準備，企業應該準確異地辦公計劃已避免人員集中帶來的風險。
我的演講就到這里，謝謝大家。
提問：作為中國BCP的顧問，你覺得業務持續，BCP在中國發展的區域和前景如何？
黃守吉：我們世界發生這么多的災難事件之后，我們也不能忽視水災、火災等等一系列的災難，如果真的銀行設備癱瘓了，不能持續的業務將對中國的經濟有影響。所以我覺得BCP對銀行界或者對中國的重要性是特別高的，而我覺得中國的經濟和信息技術發展得特別快。所以我認為，BCP在中國的前景是特別好的。
| 
