風控長看 ISO 22301：中斷情境、RTO 與演練怎麼進風險報告？

營運中斷放在風險地圖的哪一格？衝擊要用什麼數字表達？

依《上市上櫃公司風險管理實務守則》第 18 條，營運中斷屬營運風險。BIA 提供風控長評估衝擊所需的三個答案：哪些活動是關鍵、中斷多久開始不可容忍（MTPD）、依賴哪些資源與供應商。BIA 決定恢復順序，也是整套制度的承重牆；BIA 做淺了，後面的計畫全是空中樓閣。積穗以 ERM 風險語言執行 BIA，與企業風險地圖共用情境庫。此守則以上市上櫃公司為對象；非公開發行公司不受此守則規範，可自願參考。

RTO、RPO 由誰拍板？風控長怎麼避免訂了做不到？

由 BIA 的衝擊分析推導、管理階層拍板，再回頭檢驗現有備援能力是否撐得起；撐不起，就是投資決策題，應連同缺口一起提報。常見錯誤是先射箭再畫靶：抄一個好看的 RTO，卻沒有對應能力。

風控長可以把 RTO 達成度當成 KRI 的來源之一：目標、演練實測結果、差距與改善期限，放進同一張風險地圖追蹤。

公司已有 BCP，為什麼委員會和客戶稽核仍不買單？

BCP 是一份計畫文件；ISO 22301 是包含 BIA、策略、計畫、演練與持續改進的完整管理系統，可第三方驗證，證書 3 年週期。稽核與客戶盡調把演練紀錄當作制度真實性的試紙；沒有演練紀錄的 BCP 在審查中等同不存在。

標準要求定期且在重大變更後演練；實務基準是每年至少一次完整演練加情境式桌面推演，演練後的檢討改進紀錄與演練本身同等重要。

演練要選哪些情境？結果怎麼併進年度風險報告？

情境來自 BIA 找出的關鍵活動與相依資源：人員、系統、供應商、場地。服務頁的 ERM 範例也把網路勒索列為高衝擊風險，以 ISO 31000 × ISO 22301 規劃 BCM／IT-DRP 雙軌應對。

守則第 15 條要求至少一年一次彙整提報。ISO 22301 的產出可以直接併入：

• BIA 結果與恢復順序 → 營運風險的衝擊評估
• 演練紀錄與改善追蹤 → 控制有效性的證據
• 內部稽核與管理審查 → 年度執行情形

積穗每個專案至少跑一次桌面推演與一次功能演練，紀錄即驗證與客戶問卷的證據。

導入要多久？哪些步驟不能壓縮？

服務頁所列：四階段通常 4–7 個月；已有 ISO 27001 者約 3–5 個月。

1. 範圍與 BIA（4–6 週）
2. 策略與計畫（4–6 週）
3. 演練與修正（4–8 週）
4. 稽核與驗證（3–6 週）：內部稽核、管理審查、矯正，陪同階段一／二驗證

BIA 與演練兩段無法壓縮。

積穗科研怎麼協助風控長處理 ISO 22301？

• 同一套情境：以 ERM 風險語言執行 BIA，與企業風險地圖共用情境庫
• 方法：以 22301 條款 8 為核心、用 ISO/TS 22317 做 BIA；與 ISO 27001 共用備份與 ICT 備援文件
• 證據：每個專案至少一次桌面推演與一次功能演練；交付客戶問卷證據包
• 角色分開：驗證由第三方機構執行，積穗科研是輔導顧問、不發證
• 誰主導：副總、董事級顧問全程親自輔導、不外包

ISO 22301 營運持續管理、ISO 22301 顧問怎麼選、ISO 22301 預算與時程、ERM 制度輔導。申請免費機制診斷