企业往往是在付出灾难性的代价之后，才会意识到自己应对飞来横祸的能力原来如此脆弱。跻身欧洲主要防御及商业航天集团行列的British Aerospace（简称：BAe）就是在1981年的一场大火之后才吸取了教训。这次火灾发生在该公司设在英国的一个储备仓库，造成1.12亿美元的损失。这是当时英国保险史上最大的一笔损失。

    火灾使BAe深切体会到，意外事故会给公司运营造成多么大的打击，更不消说对其供应商和合资伙伴的影响了。公司的审计评估和发展主管Nick Hubbard在位于伦敦西南Farnborough镇的公司总部工作。他后来回忆道：“对我们来说，当时真是一个不折不扣的转折点。”

    许多年之后，灾难还会再次降临的恐惧仍时时萦绕在BAe经理人的心头，他们不辞辛苦地制订了一个又一个的应急计划。他们兢兢业业，不停地献计献策。“我们当时满脑子都是各种各样的应急计划，”企业风险高级工程师Eric Goulding回忆道，“我们要做的就是把这些计划拢在一起。”

    1997年，在BAe公司新任财务总裁George Rose的大力支持下，Hubbard、Goulding和企业风险管理部的其他成员开始重组公司关于防灾、减灾及灾后恢复的方式。他们打算设计一个覆盖整个企业的框架。BAe公司分布在世界各地的八大分支机构各司其职，制订自己的灾害恢复战略，如恢复供应链管理到电脑磁盘恢复计划等，并纳入到该框架中来。同时，这一计划还鼓励各个单位在实施计划时开展合作，相互支持。Goulding说：“对于企业关乎我们生死存亡的环节，我们感到需要对它们进行保护。我们把所有保护措施纳入一个流程。”

    该流程名为企业抗灾变持续发展计划（BCP）。与传统的灾害恢复计划不同，它更加侧重信息技术问题。BCP规划要求经理人站在整个公司的高度看待灾害管理，不能只拘泥于某个具体职能部门。它倡导经理人不仅要把精力集中在公司内部，同时也要兼顾供应商与客户的利益。

独力完成

    这听似常识，但是，已经实施完善BCP项目的企业依然少之又少。“企业的目光太短浅了，”企业抗灾持续发展职业人士的全球性会员组织Survive的主席Andrew Hiles叹息道。每年，全世界30%的大中型企业都要遭受可能引发灾难的运作事故或安全破坏。但是，据Hiles估计，其中只有半数企业制订了某种恢复计划。而且大部分计划可能只涉及某一具体部门或职能。

    因此，毫不奇怪，当BAe的企业风险管理人员开始搜集其他企业的BCP方案作为榜样时，居然找不到任何合乎他们心中标准的参考蓝本。而且，当BAe在公司各环节包括供应链落实这一方案时，公司的顾问竟无法提供能帮助他们的工具。因此Hubbard的团队决定自力更生，放手自己干。

    他说，结果他们因祸得福。通过完全由内部人员完成该项目，在企业的各个环节就此迅速达成了一致。

    风险管理人员花了六个月的工夫找出关乎公司的主要威胁，并排出优先顺序来。然后，他们集中精力把这些讯息传播到公司的其它环节。过去九个月来，他们一直同来自各经营单位的高级代表举办了一系列专题研讨会。

    研讨会一开始采用了Goulding戏称的“恐怖战术”来贯彻BCP方案的实施。比如，他们会向员工表明，企业对灾害的反应能力可直接影响企业股票的价格。

    研讨会主持人同时强调，相互交流优秀经验对公司各方面都大有裨益。

    Goulding说：“我们对企业各经营单位进行了解，发现公司上下到处都积累了大量优秀经验。很多员工做了不少出色的事。”这些研讨会突出强调了一点：不同运作单位的人经常担心同一个问题，例如对外部供应商的过度依赖等。

损失控制

    实施BCP项目要求风险管理人员与参与者密切合作，在整体框架的基础上制订各自的灾害防御计划。“其中的关键是确定减灾措施，”Goulding说道。他把整个BCP比作一个衣帽架，每个经营单位都要把各自制订的解决方案挂在架子上。所谓减灾措施是指为减少未来灾变损失现在可以采取的措施。

    例如，位于英国Chester市的BAe Major Component Centre中心，负责生产空中客车（Airbus）飞机机翼上的大型零部件。制造中心的经理人把BCP计划的预防重点放在原材料供应、机器加工、化学处理流程和软硬件方面。由于制造的机翼部件较大（通常有2.5米长）,因此无法迅速运送给分包商。

    于是，制造中心的经理人与全球风险部门一起，仔细分析了每个制造环节，弄明白会出什么差错、改正差错的代价及减少损失的各种方法。减灾战略中还有很多简单易行的方法，比如对于重要的电脑文件建立一个异地备份文档系统、确保重要人员不得同乘一架飞机旅行、挑选后备供应商以防内外部原料供应的突然断档。

    参加研讨会后，要求参加人员回到各自单位后，会同其经理人确定他们所面临的风险，并估量这些风险对公司整体的影响。之后，他们再与那些实际“承担”风险的人员进行深入讨论，如监督数据输入的信息技术经理人或负责飞机零部件制造的一线经理人，以了解他们担心的问题并确定出问题的环节。正是在这一阶段，人们酝酿出一般的灾害恢复手段，包括命令链系统计划、应急程序与交流方式。

    这就意味着对每个经营单位制订的预备计划反复核实，以确保所有重要环节都包括在计划之内，而且同企业风险管理人员就所需资源达成一致意见。Hubbard回忆道，BAe公司一经营单位在了解灾害发生后，让一核心客户支持中心迅速投入运营所需的资源时，该单位经理人估计总共需要75台个人电脑。但Hubbard听着不对劲。于是，他的团队对此进行深入研究，以找出确保客户支持系统迅速恢复的关键因素。“最后，我们把电脑数量降到了22台，”他说，“如果没有这一程序，我们也就可能大笔一挥，签字批准了事。”

协作是关键

    共享是该公司BCP战略的关键。Hubbard说道，通过研究整个公司所面临的风险现状，各个经营单位对彼此的优势与弱点都有了更加深刻的了解。他们在准备各自的计划时，也开始合作。这样一来，他们就能找出万一发生意外时可以共享的资源，比如富余的办公空间或工作人员。

    这一流程并不仅限于单个的经营单位。由于BAe的业务多半要靠外包，因此公司的风险管理人员深切感到，与公司利益攸关的是“协助供应商自救”，正如Hubbard所说，“况且，我们无法独自完成这项工作。”

    专家认为，富有成效的抗灾变持续发展计划必须具备如下四个因素：

    达成一致同任何企业范围的项目一样，BCP只有获得关键职员的全力支持，才能有效。上至公司总部的高层经理人，下到各经营单位的经理人，他们能将危机管理意识贯彻到基层。

    在这一流程中，公司内部审计职能也会起到重要作用。企业减灾专业人士的环球论坛Survive International的理事长Peter Barnes说：“内部审计人员是极好的盟友，他们能够制订量化的报告，并可以把报告提交董事会。”

    富有远见BCP需要侧重点，而确定侧重点首先要进行企业经营影响分析。专门从事信息技术咨询的Gartner Group的研究分析专家Simon Mingay认为，在企业内部，某些工作决不能停顿。哪怕仅仅停止24小时，就会使企业不仅蒙受经济损失，而且影响到公司在客户与供应商中的信誉。把这些方面找出来，是至为关键的。

    资源投入企业需要决定对一个项目中分配多少时间与投资。“你可以根据需要自行安排。”Mingay说。他强调，BCP的规模取决于企业的大小和受经营风险威胁的程度。但是，在现今很多企业经营讲求精练的情况下，说服企业经营单位经理人把日渐短缺的资源投入BCP项目绝非易事。根据Gartner Group估计，在这方面做得最好企业将数据中心预算的近6%投入BCP项目，而全球平均投入只有4%。

    有时候，企业高层经理人会被各种时髦术语迷惑，误以为安全问题上可以高枕无忧了。“有些计划的可行性是极其靠不住的，”Mingay说，“企业在这方面的表现如何，对计划测试的频率和水平才是明证。”

    事实上，对安全计划的测试无论怎样频繁都不过分。如果不能定期更新与测试，企业兼并、系统升级、新产品投产、新客户或任何影响企业职能的事件，都能使计划变得陈旧过时。当然，人们无法准确预料到将会出现何种危机，而且任何测试也无法保证完全保护企业免受意外事故的损害。

原文摘自CFO Europe杂志Janet Kersnar所著 In Case of Emergency...一文。朱小凡译。