總經理看 ISO 22301：廠區停擺幾天還撐得住？RTO 由誰拍板？

客戶問「出事之後多快能恢復供貨」，總經理要拿什麼回答？

服務頁的說法是：客戶問的不是「會不會出事」，是「出事後多快能繼續供貨」。能回答這題的，是三份紀錄：

• BIA 報告：哪些活動是關鍵、中斷後的財務損失、最大可容忍停機時間（MTPD），以及據此推導的 RTO／RPO
• 營運持續策略與計畫：人員、場地、設備、ICT 與供應商的備援，以及應變、危機溝通與復原計畫
• 演練紀錄：稽核員與客戶都把演練紀錄當作制度真實性的試紙

驗證階段服務頁所列的交付包含客戶問卷證據包。總經理要確認的，是對客戶承諾的恢復時間，有沒有 BIA 與演練撐著；沒有的話，承諾本身就是風險。

RTO、RPO 由誰決定？備援撐不起時，投資要怎麼決策？

依服務頁：

1. 先訪談確定關鍵活動，以及依時間推移的衝擊，設定最大可容忍中斷時間（MTPD）。
2. RTO 必須短於 MTPD；RPO 依資料變動頻率與可容忍的資料損失設定。
3. 最後由管理階層核定，並回頭檢驗現有備援撐不撐得起；撐不起就是投資決策。

常見錯誤是先抄一個好看的 RTO，卻沒有對應能力。總經理拍板時可以要求三樣東西放在一起看：BIA 估出的中斷損失、補強備援的方案與成本、以及不補強時要對客戶與董事會揭露的殘餘風險。費用與財務影響的認列，由財務主管與簽證會計師判斷。

公司已經有 BCP，為什麼董事會或客戶還要 ISO 22301？

• BCP 是一份計畫文件；ISO 22301 是包含 BIA、策略、計畫、演練與持續改進的完整管理系統，可第三方驗證（3 年週期）。
• 沒有演練就不算數：沒有 BIA 推導的 RTO 與演練紀錄，計畫在稽核與客戶審查中等同不存在。
• 演練頻率：ISO 22301 條款 8.5 要求依方案定期演練，並在重大變更後執行；服務頁所列實務基準是每年至少一次完整或功能演練，加上情境式桌面推演。
• 現行版本：ISO 22301:2019 加上 2024 年第 1 號修正（組織須判定氣候變遷是否為相關議題）；第 3 版仍在委員會草案階段、尚無出版日，現在導入仍以 2019 版為驗證依據。

是否取得驗證可依客戶要求決定；BIA 與演練是不論驗證與否都該有的基本盤。

營運中斷風險要怎麼放進董事會的風險報告？

• 風險類別：《上市上櫃公司風險管理實務守則》第 18 條把風險分為策略、營運、財務、資訊、法遵、誠信與其他新興風險；營運中斷屬於營運風險。
• 同一套語言：服務頁的做法是以 ERM 風險語言執行 BIA，與企業風險地圖共用情境庫，營運持續風險納入 ERM 風險地圖。
• 報告節奏：推動單位至少一年一次彙整提報（守則第 15 條），演練紀錄與 BIA 結果可以直接放進同一份報告。
• ESG 評鑑 G-18：要求由審計委員會或董事會層級功能性委員會督導風險管理，且至少一年一次向董事會報告；題型 AA，得分者總分另加一分。

此守則與 ESG 評鑑只適用於上市櫃公司；非公開發行公司不受此規範，可自願參考。

關鍵供應商斷鏈時，總經理要先確認什麼？

服務頁建議用 ISO/TS 22318 的方法把 BIA 延伸到供應鏈：

• 辨識關鍵供應商與單一來源
• 評估其中斷對 MTPD 的影響
• 建立替代來源與合約中的持續條款
• 要求關鍵供應商提供其 BCP 或演練證據

這也是客戶問卷最常問的題。跨部門分工上，採購負責替代來源與合約條款，生產與業務提供中斷衝擊，IT 負責 ICT 備援；總經理要做的是核定哪些供應商算關鍵，以及是否投資第二來源。

歐盟客戶提到 NIS2、DORA 的韌性要求，ISO 22301 用得上嗎？

用得上，但要分清楚證書與法定措施：

• NIS2 第 21 條：要求營運持續（備份管理、災難復原）與危機管理措施。
• DORA 第 11、12 條：要求金融實體的 ICT 營運持續政策、衝擊分析、備份與復原程序，以及每年測試；DORA 自 2025 年 1 月 17 日起直接適用歐盟金融實體，台灣 ICT 供應商多由合約承接要求。
• 兩部法律都不發證書，但 ISO 22301 的 BIA、策略、計畫與演練，正好是這些措施的證據；驗證可選，措施必須有。

總經理可以先確認：公司是受規範實體本身，還是客戶的供應商，再決定要做到驗證，還是先把措施與證據做齊。

積穗科研怎麼協助總經理處理 ISO 22301？

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們。

• 誰主導：積穗科研是輔導顧問、不發證，由副總、董事級顧問全程親自輔導、不外包；驗證由第三方機構執行，我們陪同
• 方法：以 22301 條款 8 為核心、用 ISO/TS 22317 做 BIA，與 ISO 27001 共用備份與 ICT 備援文件，營運持續風險納入 ERM 風險地圖
• 演練是交付的一部分：每個專案至少跑一次桌面推演與一次功能演練，紀錄即驗證與客戶問卷的證據
• 時程（服務頁所列）：範圍與 BIA（4–6 週）、策略與計畫（4–6 週）、演練與修正（4–8 週）、稽核與驗證（3–6 週），通常 4–7 個月
• 第一步：第一次機制診斷免費

深入：ISO 22301 營運持續管理、ISO 22301 顧問怎麼選、ISO 22301 預算與時程、ERM 制度輔導、風控長角色頁