營運衝擊分析（BIA）要人資提供什麼？
BIA 識別核心業務流程，評估中斷後的財務損失與最大可容忍停機時間（MTPD），確定優先恢復順序；要辨識的相依資源包括人員、系統、供應商與場地。人資要提供：
| 項目 | 內容 |
|---|---|
| 關鍵職務清單 | 每項關鍵業務要哪些職務才能運作 |
| 最少人力 | 要在可容忍時間內恢復，最少需要幾個人 |
| 技能與授權 | 哪些工作需要特定技能、證照或簽核授權 |
| 替代來源 | 代理人、跨廠區支援、外部人力 |
| 單點依賴 | 只有一個人會的工作 |
營運持續管理是涵蓋人員、流程、技術的整體框架；BIA 做淺了，後面的計畫全是空中樓閣。
關鍵人力與代理人要怎麼安排，才不會「只有他會」？
先用 BIA 找出單點依賴，再依復原優先順序處理：
- 指定代理人：關鍵職務指定第一、第二代理人，寫進營運持續計畫，而不是只存在主管心中
- 代理人實際做過：透過輪調、交叉訓練，或在演練中由代理人實際執行，留下紀錄
- 程序文件化：關鍵作業寫成程序，讓代理人有依據
- 分散配置：同一關鍵職務的人員，避免集中在同一地點或同一班別
- 權限預先核定：代理人需要的系統權限事先核定，啟用與收回都留紀錄，和 ISO 27001 的權限管理共用流程
演練是稽核員最相信的證據：沒有演練紀錄的營運持續計畫，在審查中等同不存在。
颱風、地震停止上班時，可以要求員工上班嗎？出勤與工資怎麼處理？
依勞動部「天然災害發生事業單位勞工出勤管理及工資給付要點」與勞動部說明：
- 未出勤：工作地、居住地或上班必經途中任一轄區首長已通報停止上班，勞工未出勤且非可歸責於勞工時，雇主不得視為曠工、遲到或強迫勞工以事假或其他假別處理，且不得強迫補班、扣發全勤獎金、解僱或為其他不利處分；當日工資宜不扣發
- 照常出勤：業務需要特定勞工照常出勤，須事前經勞雇雙方約定，有工會者應徵得工會同意，無工會者應經勞資會議同意；雇主除照給當日工資外，宜再加給工資，並提供交通工具、交通津貼或其他必要協助
人資長要在營運持續計畫裡事先列出：哪些職務屬於必要出勤、同意程序是否已完成、交通與安全安排，以及加給標準。勞動部也提醒，勞工是否出勤應以安全為首要考量。
復原期間需要員工加班或取消休假，法律上要怎麼做？
勞動基準法對天災、事變或突發事件另有規定：
| 情況 | 規定 | 程序 |
|---|---|---|
| 延長工時（第 32 條第 4 項） | 因天災、事變或突發事件，雇主有使勞工在正常工作時間以外工作之必要者，得延長工作時間 | 延長開始後 24 小時內通知工會；無工會組織者，報當地主管機關備查；事後補給適當休息 |
| 停止假期（第 40 條） | 雇主認有繼續工作之必要時，得停止第 36 條至第 38 條所定假期 | 停止假期之工資加倍發給，事後補假休息；事後 24 小時內詳述理由，報請當地主管機關核備 |
勒索軟體或系統故障造成的停線，是否屬於「突發事件」，要依個案判斷，由法律顧問確認。營運持續計畫可以預先準備通知工會或報主管機關的範本，並指定負責人與時限。
疫情或災害時改成居家或異地上班，出勤紀錄與資安怎麼管？
出勤紀錄：不以打卡為限。勞動基準法施行細則第 21 條，出勤紀錄包括簽到簿、出勤卡、刷卡機、門禁卡、生物特徵辨識系統、電腦出勤紀錄系統或其他可資覈實記載出勤時間工具所為之紀錄；勞動部也說明，勞雇間得約定最適宜雙方之記載方式。出勤紀錄仍應保存五年，逐日記載至分鐘（勞動基準法第 30 條第 5、6 項）。
資安：遠端存取、公司設備與資料帶出，要和 ISO 27001 的控制一起設計。ISO 22301 與 27001 共用 Annex SL 骨架，27001 的中斷期間資安與 ICT 備援控制（A.5.29／5.30）與 22301 直接相通，整合導入可共用文件與稽核。
營運持續演練要人資參與嗎？多久一次？
要。營運持續計畫包含危機溝通程序；員工通知、緊急聯絡名單、人員安全確認，都需要人資的資料與流程。
- 頻率：標準要求定期且在重大變更後執行，實務基準是每年至少一次完整演練，加上情境式桌面推演
- 人員情境：演練情境可以加入「關鍵人員無法到班」，例如某廠區一半人員無法出勤、唯一熟悉某系統的人無法聯繫，驗證代理人與人員調度是否可行
- 紀錄：演練後的檢討改進紀錄，與演練本身同等重要
客戶問的往往不是「會不會出事」，而是「出事之後多快能繼續供貨」；人員能否到位，是這題答案的一部分。
積穗科研怎麼協助人資長處理 ISO 22301？
積穗科研由副總、董事級顧問全程親自輔導、不外包，顧問持有 ISO 22301 主導稽核員資格。
- BIA：以 22301 條款 8 為核心、用 ISO/TS 22317 做 BIA，與業務單位共同完成，據以排定復原順序
- 整合：與 ISO 27001 共用備份與 ICT 備援文件
- 演練：每個專案至少跑一次桌面推演與一次功能演練，紀錄就是驗證與客戶問卷的證據
- 驗證：驗證由第三方機構執行，我們陪同；交付客戶問卷證據包
- 時程（服務頁所列）：四階段通常 4–7 個月；已有 ISO 27001 者約 3–5 個月；BIA 與演練兩段無法壓縮