先分清哪些服務不能中斷
不同服務對客戶、收入、合約和營運的影響不同。準備 ISO 22301 前，要先用業務影響分析界定關鍵流程、可接受中斷時間和最低恢復資源。
ISO 22301 業務連續性管理體系認證
業務連續性管理體系顧問服務
建立營運韌性，守住客戶信任與服務承諾
- 適合關鍵服務不能中斷、需要回應客戶 SLA、供應鏈審查或集團韌性要求的企業，先確認核心業務、中斷情境和恢復目標。
- BIA、RTO/RPO、風險評估、應變方案、人員、場所、系統、供應商及演練紀錄會整理成可追溯韌性證據鏈。
- 由 ISO 審核、項目管理或業務連續性項目經驗人員協助演練；專屬 PM 跟進客戶問卷、整改、透明報價和第三方審核安排。
什麼是 ISO 22301 業務連續性管理體系？
ISO 22301 是業務連續性管理體系標準，用來檢查企業在中斷事件發生時，如何維持或恢復關鍵業務。
企業需要完成業務影響分析、風險評估、恢復目標、策略、計劃、演練和定期檢討。審核員不只看有沒有 BCP 文件，也會看關鍵服務、依賴資源、恢復時間和演練結果是否對得上。
計劃要能回到演練結果
業務連續性文件不能只是一份應急手冊。審核員會看 BIA、RTO/RPO、風險評估、恢復策略、通訊名單、供應商安排和演練改善是否互相對上。
業務連續性顧問團隊的 BIA 演練
先按客戶承諾界定關鍵服務
先核對合約、SLA、客戶審查表和供應鏈要求，判斷哪些服務必須納入 ISO 22301 範圍。
BIA、RTO 和 RPO 先對齊
把 BIA、RTO、RPO、可接受中斷時間和資源需求對齊，避免恢復目標缺少人手、系統或供應商支持。
演練、測試和檢討要留下證據
桌面演練、通訊測試、備援安排、供應商聯絡和改善清單逐項留底，不提交未測試的 BCP。
演練培訓與客戶審查同步管
ISO 審核及業務連續性背景人員安排演練培訓，專屬項目窗口跟進整改、客戶問卷、加急路線、第三方審核和費用邊界。
ISO 22301 對香港企業的實質效益
ISO 22301 的價值在於讓企業知道中斷時先保哪個服務、用哪些資源恢復、誰負責決策，以及怎樣向客戶和管理層交代。
找出真正不能中斷的服務
用業務影響分析確認關鍵流程、依賴資源、客戶影響、合約影響和可接受中斷時間。
把 RTO、RPO 變成可執行目標
讓資訊系統、場地、人員、供應商、資料和替代流程的恢復責任清楚。
用演練找出計劃缺口
透過桌面演練或實際測試驗證通訊、替代安排、決策流程和恢復時間是否可行。
支援客戶連續性及供應鏈審查
以 BIA、風險、恢復策略、演練和改善紀錄回應客戶、供應鏈和集團韌性要求。
適合哪些企業與行業應用
ISO 22301 適合需要向客戶、集團、供應鏈或監管方證明服務不中斷能力的企業。我們會按服務承諾、關鍵流程、系統依賴和供應商安排界定準備範圍。
行業 01IT、SaaS 及外判服務企業
重點在 SLA、系統恢復、資料備份、事故通報、客戶支援和供應商依賴。
行業 02物流、營運及關鍵交付服務
適合需要管理人員、場地、車隊、倉庫、供應商、替代流程和客戶通知的企業。
行業 03金融、專業服務及合約要求較高的企業
常見於客戶要求提交 BCP、演練紀錄、恢復目標和服務中斷處理安排。
行業 04集團、多地點及供應鏈關鍵企業
適合需要統一不同地點、部門、系統和供應商恢復策略的企業。
ISO 22301 的核心管理要求與審核重點
正式審核會看企業是否用 BIA 和風險評估決定恢復策略，並能提供演練、測試、檢討和整改證據。
業務影響分析
確認關鍵服務、最大可接受中斷時間、客戶影響、資源需求和恢復優先次序。
關鍵服務與依賴
檢查人員、場地、系統、資料、供應商、外判服務和通訊渠道等依賴關係。
恢復策略
檢查 RTO、RPO、替代場地、備援系統、手工流程、供應商替代和決策權限。
演練與改善
檢查桌面演練、測試紀錄、復盤、問題清單、糾正措施和管理層檢討。
CertiSafe 可支援的工作
CertiSafe 會按企業現有狀態安排 ISO 22301 認證準備：
- 核對客戶 SLA、關鍵服務、系統、場地、供應商和中斷情境。
- 建立或更新 BIA、風險評估、RTO/RPO、恢復策略和 BCP 文件。
- 整理通訊名單、備援資源、演練計劃、測試紀錄和改善跟進。
- 安排管理層、服務負責人、IT、營運、供應商管理或內部審核員培訓。
- 跟進內部審核、管理評審、不符合事項整改及第三方審核所需資料。
- 協調第三方認證機構，安排審核日期、方式及所需文件。
CertiSafe 負責前期顧問、培訓、內審、整改及審核協調；正式審核、認證決定及證書簽發由具備相關資格的獨立第三方機構負責。
ISO 22301 申請步驟
需求與範圍確認
先確認客戶要求、SLA、公司主體、地址、關鍵服務、系統、場地和需要納入的部門。
標準差距檢查
顧問按現有 BCP、事故紀錄、備份、供應商、服務承諾和演練資料，列出與 ISO 22301 要求之間的差距。
文件與紀錄準備
按企業實際服務建立 BIA、風險評估、恢復策略、BCP、通訊名單和演練紀錄。
培訓與試行
安排管理層、服務負責人、IT、營運、客戶服務、供應商管理及內部審核員培訓。
內部審核與整改
完成內部審核、管理評審和不符合事項整改，整理 BIA、恢復策略、演練和改善證據。
第三方正式審核及後續維護
協調第三方認證機構安排正式審核，跟進審核後的整改及補件，並建立年度演練和維護安排。
常見的準備文件與紀錄
業務連續性文件要回到關鍵服務和中斷情境。實際清單會按 BIA、RTO、供應商、演練和客戶要求調整，常見包括：
BIA 與關鍵服務資料
包括關鍵服務、客戶影響、合約影響、最大可接受中斷時間、RTO/RPO 和恢復優先次序。
依賴資源與恢復策略資料
包括人員、場地、系統、資料、供應商、外判服務、替代流程和備援資源。
恢復策略資料
包括 BCP、通訊名單、事故升級、客戶通知、恢復步驟、決策權限和手工流程。
演練與改善資料
包括桌面演練、測試紀錄、復盤報告、問題清單、糾正措施和管理層檢討。
常見問題
ISO 22301 和一般 BCP 有什麼不同？
一般 BCP 可以只是一份應急計劃；ISO 22301 要求企業建立完整管理流程，包括業務影響分析、風險評估、恢復目標、演練、內審和管理評審。審核員會追問計劃是否試過、誰負責啟動、供應商中斷時怎樣處理。
ISO 22301 是否一定要做系統災難恢復測試？
要按關鍵服務和依賴系統安排。IT 恢復只是其中一部分，場所、人員、供應商、通訊和替代流程也要納入測試。
小公司可以申請 ISO 22301 嗎？
可以。小公司可先選定關鍵服務和必要資源，文件不用寫成大型企業手冊，但要能在中斷時按計劃行動。
業務影響分析要問哪些問題？
常見包括哪些服務不能中斷、客戶可以等多久、依賴哪些人員和供應商、何時會造成合約或財務影響，以及恢復需要什麼資源。
RTO 和 RPO 有什麼分別？
RTO 是恢復服務所需的時間目標；RPO 是可接受的資料回復點。兩者要按服務重要性、系統能力和客戶承諾設定。
供應商中斷也要寫進 BCP 嗎？
要。若外判 IT、物流、場地、支付或關鍵物料會影響服務，應有替代方案、聯絡責任、通知方式和測試紀錄。
演練做一次就足夠嗎？
不一定。演練後要看人員是否知道責任、通訊是否暢通、恢復時間是否達標，再決定下一次演練的範圍和頻率。
多個地點可以共用一套業務連續性制度嗎？
可以共用框架，但每個地點的服務、依賴、資源和恢復方式可能不同。重要差異應在分支文件或場地清單中列明。
可以和 ISO 27001 一起準備嗎？
可以共用風險評估、事故處理、供應商和內審流程。ISO 22301 要再處理業務影響、恢復優先次序和演練證據。
誰負責 ISO 22301 認證？
CertiSafe 可協助建立 BIA、恢復安排、演練和內審資料；正式審核、認證決定及證書簽發由獨立第三方機構負責。
不確定 ISO 22301 是否適合你的關鍵服務？
提交客戶 SLA、服務目錄、系統清單、供應商資料、現有 BCP 或演練紀錄，可先判斷認證範圍、文件缺口、演練安排及下一步審核路線。