最低限度關鍵活動

「最低限度關鍵活動」是業務連續性管理（BCM）中的核心概念，指在遭遇重大中斷事件（如天災、網路攻擊）時，一個組織為了避免倒閉或造成不可接受的衝擊，所必須維持運作的絕對核心活動集合。此概念源於國際標準 ISO 22301:2019（安全與韌性－業務連續性管理系統）的要求，特別是條款 8.2.2「業務衝擊分析（BIA）」。BIA 的目的在於識別關鍵業務流程及其最大可容忍中斷時間（MTPD），而最低限度關鍵活動就是那些必須在 MTPD 內恢復到最低可接受水準（Minimum Business Continuity Objective, MBCO）的具體作業。它與「關鍵業務流程」的區別在於，後者是整個流程，而前者是該流程在災難期間必須執行的「最精簡版本」，以確保組織能存活並為全面恢復爭取時間。

在實務中，定義最低限度關鍵活動是將業務衝擊分析（BIA）結果轉化為具體應變計畫的關鍵步驟。導入流程如下： 1. **執行業務衝擊分析**：根據 ISO 22301 指引，全面盤點所有業務流程，評估其營運與財務衝擊，並訂定各流程的最大可容忍中斷時間（MTPD）與復原時間目標（RTO）。 2. **定義最低服務水平**：針對 RTO 最短的關鍵流程，與部門主管及利害關係人共同定義災難期間的「最低業務連續性目標（MBCO）」，例如，客服中心的接聽率從 95% 降至 30%，但高風險交易問題必須 100% 處理。 3. **資源配置與計畫制定**：將達成 MBCO 所需的人員、系統、資料與場地等資源，定義為最低限度關鍵活動的應備資源，並據此制定業務連續性計畫（BCP）。 以台灣某金融機構為例，其將「核心交易系統清算」與「監理機關通報」列為最低限度關鍵活動，透過建立異地備援機制，確保 RTO 在 2 小時內，成功將監理合規率維持在 100%，並通過了金管會的年度查核。

台灣企業在導入最低限度關鍵活動時，普遍面臨三大挑戰： 1. **資源與成本限制**：許多中小企業缺乏專職的風險管理人員與充足預算來建置完整的備援系統。 對策：採用分階段導入法，優先針對衝擊最大的活動進行規劃。可利用雲端服務（如 DRaaS - 災難復原即服務）取代高昂的自建機房，將資本支出轉為營運支出，降低初期門檻。 2. **供應鏈依賴性高**：台灣製造業與高科技業供應鏈複雜且環環相扣，難以全面掌握上游供應商的營運韌性。 對策：執行供應鏈風險評估，將關鍵供應商納入 BCP 演練對象。針對單一來源的供應商，應積極開發替代來源或要求其提供營運持續能力證明，並建立關鍵物料的安全庫存。 3. **跨部門協調困難**：業務單位常以本位主義思考，低估流程間的相互依賴性，導致 BIA 結果失真。 對策：成立由高階主管領導的跨部門 BCM 委員會，賦予其決策權力，強制要求各部門協作。透過工作坊形式引導討論，繪製端到端的流程依賴圖，確保分析的完整性。優先行動項目為在 3 個月內完成第一輪的 BIA 與跨部門審查。

積穗科研股份有限公司專注台灣企業minimum vital activities相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact