(高清版)GB∕T 38299-2019 公共安全 業(yè)務(wù)連續(xù)性管理體系 供應(yīng)鏈連續(xù)性指南

GB/T38299—2019/ISO22318國(guó)家市場(chǎng)監(jiān)督管理總局國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)IGB/T38299—2019/ISO22318: Ⅲ 1 1 14供應(yīng)鏈連續(xù)性的重要性 44.1總則 44.2供應(yīng)鏈描述 44.3供應(yīng)鏈的動(dòng)力 6 7 7 84.7保持供應(yīng)鏈連續(xù)性的重要性 8 95.1總則 95.2分析供應(yīng)鏈的注意事項(xiàng) 9 95.4分析的結(jié)構(gòu) 95.5開展分析 5.6分析的輸出 5.7供應(yīng)鏈分析關(guān)鍵點(diǎn) 6SCCM策略 6.2連續(xù)性策略選擇 6.4SCCM所有權(quán) 6.5連續(xù)性策略選擇關(guān)鍵點(diǎn) 7供應(yīng)鏈中斷的管理 7.1總則 7.2事件發(fā)生之前 7.3事件的發(fā)現(xiàn)與通報(bào) 7.4事件中 7.5業(yè)務(wù)恢復(fù)常態(tài) Ⅱ7.6管理供應(yīng)鏈中斷的關(guān)鍵點(diǎn) 8績(jī)效評(píng)價(jià) 8.1總則 8.2與供應(yīng)商深度合作 8.4持續(xù)分析 8.5績(jī)效評(píng)價(jià)的輸出 8.6績(jī)效管理的關(guān)鍵點(diǎn) ⅢGB/T38299—2019/ISO22318:2015本標(biāo)準(zhǔn)使用翻譯法等同采用ISO22318:2015《公共安全業(yè)務(wù)連續(xù)性管理體系供應(yīng)鏈連續(xù)性指——GB/T30146—2013公共安全業(yè)務(wù)連續(xù)性管理體系要求(ISO22301:2012,IDT)心、北京市勞動(dòng)保護(hù)科學(xué)研究所、南方電網(wǎng)科學(xué)研究院有限責(zé)任實(shí)施的V實(shí)施的策劃和控制第5章第6章第8章1GB/T38299—2019/ISO22318:2本標(biāo)準(zhǔn)給出了理解和擴(kuò)展GB/T30146和GB/T31595中供應(yīng)商關(guān)系管理的BCM原則的方法。供應(yīng)鏈管理針對(duì)向組織供應(yīng)產(chǎn)品或者服務(wù)相關(guān)的各項(xiàng)活動(dòng)。本標(biāo)準(zhǔn)重點(diǎn)關(guān)GB/T30146和GB/T31595給出了制定業(yè)務(wù)連續(xù)性計(jì)劃和建立業(yè)務(wù)連續(xù)性管理體系的相關(guān)指導(dǎo)。下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引ISO22301公共安全業(yè)務(wù)連續(xù)性管理體系要求(Societalsecurity—Businesscontinuitymanagementsystems—Requirements)[ISO22300:2012,定義2.1.8]2GB/T38299—2019/ISO22318:2015[ISO22300:2012,定義2.4.8][ISO22300:2012,定義2.1.15]識(shí)別對(duì)組織的潛在威脅以及這些威脅一旦發(fā)生可能對(duì)業(yè)務(wù)運(yùn)行帶來(lái)的影[ISO22301:2012,定義3.5]3用于指導(dǎo)組織在業(yè)務(wù)中斷時(shí)進(jìn)行響應(yīng)、恢復(fù)、重新開始和還原到預(yù)先確定的業(yè)務(wù)運(yùn)行水平的形成文件的程序。相關(guān)方interestedparty對(duì)決策或活動(dòng)產(chǎn)生影響，受到影響，認(rèn)為被影響的個(gè)人或組織。在中斷中組織為達(dá)到其業(yè)務(wù)連續(xù)性目標(biāo)可以接受的最低標(biāo)準(zhǔn)的服務(wù)和(或)產(chǎn)品。為了實(shí)現(xiàn)目標(biāo)形成的具有自身職能，按照一系列職責(zé)、權(quán)限和相互關(guān)系安排的個(gè)人或一組人員。把組織的部分職能或過程安排給外部組織。產(chǎn)品和服務(wù)productsandservices組織提供給顧客、服務(wù)對(duì)象和相關(guān)方的有益成果，例如制成品、汽車保險(xiǎn)和社區(qū)護(hù)理。事件發(fā)生后到下列活動(dòng)完成之間的時(shí)間段：——產(chǎn)品或者服務(wù)必須恢復(fù)；——活動(dòng)應(yīng)恢復(fù)；——資源應(yīng)復(fù)原。為了運(yùn)行和實(shí)現(xiàn)目標(biāo)，組織在需要時(shí)可供使用的所有資產(chǎn)、人員、技能、信息、技術(shù)(包括工廠和設(shè)4GB/T38299—2019/ISO22318:2無(wú)論屬于預(yù)期(比如罷工或者颶風(fēng))或者非預(yù)期的(比如大停電或者地震)在供應(yīng)鏈中實(shí)施業(yè)務(wù)連續(xù)性管理。1級(jí)供應(yīng)商Tier1supplier2級(jí)供應(yīng)商Tier2supplier間接通過1級(jí)供應(yīng)商向組織提供產(chǎn)品或者服務(wù)個(gè)人或?qū)嶓w。本章關(guān)注的是與SCCM實(shí)施架構(gòu)相關(guān)的各項(xiàng)因素。隨著供應(yīng)鏈的日益復(fù)雜、范圍擴(kuò)大(經(jīng)常延展要SCCM。圖2給出了一個(gè)簡(jiǎn)單的供應(yīng)鏈模型。5GB/T38299—2019/ISO22318:2組織內(nèi)部外部客戶外部供應(yīng)關(guān)系。不同供應(yīng)商的關(guān)系因組織控制這種關(guān)系的靈活程度與能力的不同而不同(見圖3)。信息、耗材、移動(dòng)資產(chǎn)(人員，車輛)6 7描述管理關(guān)系授予報(bào)價(jià)1)設(shè)定必要的優(yōu)先級(jí)別與標(biāo)準(zhǔn)；8GB/T38299—2019/ISO22318:2015——供應(yīng)商在供應(yīng)鏈中的距離與可見性(地理位置分散以及供應(yīng)鏈——在組織內(nèi)部跨越相關(guān)方職能和在供應(yīng)鏈中跨越組織去定義并嵌——從供應(yīng)商獲得產(chǎn)品或者服務(wù)供應(yīng)連續(xù)性安排方面的信心(供應(yīng)商是否在出現(xiàn)短缺的情況下將供應(yīng)品轉(zhuǎn)移至其他客戶);c)供應(yīng)鏈中斷可能會(huì)嚴(yán)重影響組織執(zhí)行關(guān)鍵業(yè)務(wù)流程的能d)供應(yīng)鏈通常是由大量的供應(yīng)商組織成線(如鏈)或網(wǎng)(如網(wǎng)狀)。這些相互關(guān)系以及f)組織負(fù)責(zé)(而不是供應(yīng)商)減輕其供應(yīng)鏈風(fēng)險(xiǎn)和應(yīng)對(duì)供應(yīng)鏈中斷。9GB/T38299—2019/ISO22318:2商對(duì)于組織活動(dòng)的關(guān)鍵程度以及其面對(duì)的風(fēng)險(xiǎn)級(jí)別將決定分析的深入c)分析意外事件的沖擊及其對(duì)于同時(shí)供應(yīng)相同產(chǎn)品或者服務(wù)的大量非關(guān)鍵供應(yīng)商的影響。1)組織期望各類供應(yīng)商在最低供應(yīng)水平，包括最低業(yè)務(wù)連續(xù)性目標(biāo)(MBCO2)供應(yīng)商證明合規(guī)性/能力所需的具體證據(jù)。e)分析的廣度需要考慮根據(jù)關(guān)鍵性判斷分析全部供應(yīng)商還是部分供應(yīng)商，分析的深度需要考慮g)在當(dāng)前供應(yīng)商管理以及今后任何采購(gòu)策略中采納的具組織可使用供應(yīng)鏈分析流程圖(見圖5)進(jìn)行如下分析：GB/T38299—2019/ISO22318:2015收集相關(guān)信息收集相關(guān)信息風(fēng)險(xiǎn)評(píng)估(5.2)分析輸出建設(shè)性關(guān)系分析解決方案組織宜識(shí)別供應(yīng)鏈的級(jí)別(見圖2),從BIA中獲取信息去識(shí)別高優(yōu)先級(jí)活動(dòng)或過程，MBCO與——供應(yīng)商的MBCO/RTO是否與支持活動(dòng)或進(jìn)程的組織相一致。GB/T38299—2019/ISO22318:2015組織宜確保分析的輸出是面向每位供應(yīng)商的可以審計(jì)的、基于證據(jù)的——供應(yīng)商的連續(xù)性安排并證明其BCM安排對(duì)于被要求的MBCO/RTO范圍內(nèi)恢復(fù)能力是可e)標(biāo)準(zhǔn)應(yīng)包括分析過程和對(duì)供應(yīng)商f)分析過程的主要輸出包括對(duì)供應(yīng)鏈和h)整個(gè)分析過程宜定期重復(fù)。一個(gè)適當(dāng)?shù)幕謴?fù)策略(見6.2)宜能被每個(gè)供應(yīng)商辨識(shí)。選擇最合適的一個(gè)或多個(gè)策略時(shí)SCCM需要考慮4.6所確定的挑戰(zhàn)。組織宜使用分析結(jié)果(見5.5)來(lái)確定以下內(nèi)容： GB/T38299—2019/ISO22318:2015——限制供應(yīng)商可能調(diào)用的不可抗拒力條款而非組織宜識(shí)別供應(yīng)商關(guān)系管理以及保障和監(jiān)控供應(yīng)鏈連續(xù)性保證情況的部針對(duì)BCM的更大范圍的安排緊密相連。組織宜要求SCCM的管理權(quán)由負(fù)責(zé)購(gòu)買產(chǎn)品或者服務(wù)的人員轉(zhuǎn)交給管理合同或開展運(yùn)營(yíng)的相關(guān)人員。組織宜確保采取的控制措施不會(huì)隨著時(shí)間的推移而降級(jí)。如與兩個(gè)供d)供應(yīng)商應(yīng)具備一個(gè)有效的業(yè)務(wù)連續(xù)性解決方案，供應(yīng)合同中應(yīng)包含供應(yīng)鏈。在簽f)應(yīng)認(rèn)識(shí)到最好的方法生效需要一定的時(shí)間，在此期間內(nèi)可能需要采取部分其他方法減輕中按照第5章的規(guī)定對(duì)供應(yīng)鏈進(jìn)行了分析并按照第6章的要求制定適用的策略，為管理任何中斷事與關(guān)鍵供應(yīng)商保持深度合作十分重要，以確保連續(xù)性管理安排的管理達(dá)成這一目標(biāo)的最有效方法是確保在各方之間進(jìn)行定期和開放GB/T38299—2019/ISO22318:2015 提前發(fā)現(xiàn)具有破壞性的事態(tài)可以使響應(yīng)高效、及時(shí)和適當(dāng)。這要求組織斷或可能的中斷告知其客戶。延遲通報(bào)可能增加組織面臨的——安排的互惠性質(zhì)是當(dāng)組織是事件的根源時(shí)，供應(yīng)商需要對(duì)其受到中斷影響組織宜處理好供應(yīng)商在評(píng)審中與其他供應(yīng)商分享敏感信息的擔(dān)心，與2)使用關(guān)鍵績(jī)效指標(biāo)(KPIs)/度量標(biāo)準(zhǔn)持續(xù)監(jiān)測(cè)；5)對(duì)組織的采購(gòu)過程進(jìn)行評(píng)審以確保包含了BCM要求；GB/T38299—2019/ISO22318:2015——將供應(yīng)商SCCM績(jī)效評(píng)價(jià)過程納入BCM審核范圍?！u(píng)估每個(gè)供應(yīng)商符合組織BCM要求的程度； 組織宜在與供應(yīng)商的BCM安排有重大事宜時(shí)，評(píng)審與供應(yīng)商的關(guān)系和/或SCCM策略(見第6a)保護(hù)其高優(yōu)先級(jí)活動(dòng)與過程的SCCM條件被保持是組織e)績(jī)效評(píng)價(jià)包括SCCM安排的監(jiān)測(cè)、驗(yàn)證、確認(rèn)和評(píng)審，激勵(lì)持續(xù)的改進(jìn)和提供供應(yīng)鏈的績(jī)效[2]ISO28000Specifi[3]ISO28002Securitymanagementsystems