真正运行起来的业务连续性， 而不只是拿到认证。

ISO 22301:2019 是业务连续性管理体系（BCMS）的国际标准：一套流程，让组织弄清哪些活动最重要、必须多快恢复、将采取什么措施维持或恢复这些活动，以及如何证明这些措施行得通。该标准可认证，认证机构可以审核该体系并颁发证书。任何组织都可以采用，但最常采用的是客户、卡组织或监管机构期望其具备可证明的连续性能力的企业：支付机构和电子货币机构、银行和保险公司、云服务和托管服务提供商、基本服务运营者，以及上述各方的供应商。

标准第 4 至 10 条规定了 45 项要求，每个编号条款对应一项。第 4 条要求理解组织环境、相关方以及法律和合同上的连续性义务，并界定体系范围。第 5 条将领导力、方针和明确的角色落实到最高管理者。第 6 条涉及连续性目标和变更策划。第 7 条涵盖资源、能力、意识、沟通和文件化信息。第 8 条是运行核心：业务影响分析和风险评估、据此选择的策略和解决方案、计划和响应结构、演练计划，以及在测试、事件或变更之后对上述一切的评价。第 9 条要求绩效测量、内部审核和管理评审，第 10 条要求处理不符合项并持续改进。第 1 至 3 条是范围、规范性引用文件和术语，不产生义务；该标准没有附录。

其本身不是。企业采用它，是因为若干对其有约束力的法规预设了可运作的业务连续性能力，却没有说明如何建立。DORA 要求金融实体拥有整体业务连续性方针、业务影响分析、至少每年测试一次的连续性计划、危机管理职能，以及对响应和恢复计划的内部审核（第 11 和 12 条）。NIS2 第 21(2)(c) 条要求基本实体和重要实体具备业务连续性、备份管理、灾难恢复和危机管理，并以国际标准作为衡量适当性的尺度。ISO 27001 附录 A 控制措施 A.5.29、A.5.30、A.8.13 和 A.8.14 预设了 ISMS 本身并未定义的 BIA 和经过测试的 ICT 连续性。经认证的 BCMS 是向监管机构或客户证明这些能力存在的公认方式。

它们是业务影响分析为每项优先活动得出的三个时间值。最大可容忍中断时间（MTPD）是活动停止后其影响对企业变得不可接受的时间点：外部界限。恢复时间目标（RTO）是活动以最低可接受能力恢复的目标时间，它必须留有余量地落在 MTPD 之内，以覆盖发现中断并决定响应所需的时间。恢复点目标（RPO）是可接受的最大数据损失，它决定了活动所依赖的每个数据集的备份间隔和复制延迟。两条规则使分析可审核：每项活动的 RTO 都短于 MTPD；任何支撑系统、供应商或场所的恢复目标都不长于依赖它的活动的 RTO。Venvera 按活动记录这三个值并检查这两条规则。

ISO 27001 是信息安全管理体系，ISO 22301 是业务连续性管理体系。两者共享同一高阶结构（环境、领导力、策划、支持、运行、绩效评价、改进），因此一个整合管理体系可以用一套方针、一个审核计划和一次管理评审同时服务两者。内容则不同：ISO 27001 保护信息的保密性、完整性和可用性；ISO 22301 在业务被迫停止时维持其运转。ISO 27001 附录 A 中的四项控制措施（中断期间的信息安全、业务连续性的 ICT 就绪、备份和冗余）指向只有 BCMS 才能提供的 BIA 和经过测试的连续性安排，这也是 ISO 27001 审核员经常索要 BIA 和 ICT 连续性测试结果的原因。在 Venvera 的交叉映射中，ISO 22301 的计划要求与 A.5.29 和 A.5.30 并列；备份和冗余没有链接，因此真正能同时回答两个标准的记录，需要分别附加到每项要求。

标准只说"按策划的时间间隔"，并未规定频率，但认证实践期望至少每年演练一次，在确定的周期内验证每个响应团队、每项优先活动和每个连续性解决方案，并在重大变更后增加演练。桌面演练验证的是决策；只有技术测试才能验证故障切换或恢复，因此从不进行技术测试的计划并未证明其 ICT 解决方案。每次演练都必须形成正式报告，包含结果、建议和措施，企业必须据此采取行动。对金融实体而言，DORA 第 11(6) 条还规定每年固定测试 ICT 连续性计划以及响应和恢复计划，包括网络攻击和切换场景，并在重大变更后重新测试。Venvera 将演练计划、ICT 恢复测试和计划评审作为带责任人和日期的日历义务来管理。

认证机构分两个阶段对照条款审核 BCMS：先是文件评审，然后是现场或远程审核。审核员会访谈最高管理者和活动负责人，抽查 BIA，从某个 BIA 输出追溯到策略、计划、演练以及由此产生的纠正措施，并检验记录是否表明流程确实在运行而不只是被描述。发现项分为严重不符合、轻微不符合和观察项；严重不符合需要在颁发证书前提交纠正措施计划。证书有效期三年，每年进行监督审核。审核员真正会问的，是标准留给企业自行判断的问题：RTO 是否在 MTPD 之内，业务部门是否确认了 BIA，副手能否照计划执行，演练措施是否已关闭。Venvera 的差距评估正是由这些问题构成的。

它把整个 BCMS 放进一个工作空间，而不是分散在一份计划文件、一张 BIA 表格、某人邮箱里的演练日历和一串发给供应商的邮件中。45 项条款要求各有责任人、状态、专属证据以及关于认证审核员接受什么、拒绝什么的专门指引。43 个问题的差距评估对八个领域的判断进行评分。BCMS 的十四项周期性义务（BIA 评审、风险评估、策略评审、演练计划、ICT 恢复测试、计划评审、供应商保证、意识培训、绩效报告、内部审核、管理评审、方针与目标、环境与范围）进入合规日历，带有责任人、日期和提醒。十个方针模板覆盖体系所需的文件，从方针本身到管理评审程序。在交叉映射中，业务连续性计划要求与 DORA、NIS2、ISO 27001、SOC 2、NIST 及其他框架的连续性要求并列，能力和演练要求链接到 NIST SP 800-53，董事会报告则为最高管理者汇总现状。

对欧盟的支付机构、电子货币机构、银行或保险公司而言，DORA 的 ICT 连续性档案是 BCMS 档案的子集：第 11(1) 条的整体业务连续性方针、第 11(5) 条的 BIA、第 11(2) 和 (4) 条的计划、第 11(6) 条的年度测试、第 11(7) 条的危机管理职能、第 12 条的备份和恢复程序，以及第 11(3) 条对计划的内部审核，全都由 ISO 22301 的条款产生。运行经认证 BCMS 的企业把这些证据当作副产品就拥有了；没有 BCMS 的企业通常只建立一套仅限 ICT 的安排，无法满足第 11(1) 条"整体业务连续性方针"的前提。对 APRA 监管的实体而言，CPS 230《运营风险管理》要求可信的业务连续性计划、关键运营的容忍水平（即 ISO BIA 中的 MTPD、RPO 和最低服务水平，只是名称不同）、年度演练，以及在中断超出容忍水平后 24 小时内通知；ISO 22301 BCMS 满足其结构，只需补充 APRA 特有的事项。在 Venvera 的交叉映射中，计划要求与 DORA 的连续性计划要求相链接；其他 DORA 关联由企业通过附加同一证据自行建立，Venvera 则将连续性义务与 DORA 义务并列跟踪。