ISO 22301:2019 營運持續管理系統內部稽核員培訓課程
ISO 22301:2019 營運持續管理系統內部稽核員培訓課程
ISO 22301:2019 是營運持續管理系統（BCMS）要求標準，協助組織準備、回應及恢復中斷事件，讓重要產品與服務能在預先設定的可接受能力下持續交付。參考:https://www.iso.org/standard/75106.html?browse=tc&utm_source=chatgpt.com
本課程適合管理代表、營運、資訊、資安、廠務、人資、採購、供應鏈及內部稽核人員。透過業務衝擊分析、計畫與演練紀錄查核，確認企業的持續安排是否具備實際執行能力。
本課程應採用哪些標準與修訂內容？
課程以 ISO 22301:2019 為核心，納入 Amd 1:2024 氣候行動修訂，並可搭配應用指引與管理系統稽核方法。
| 參考依據 | 課程用途 |
|---|---|
| ISO 22301:2019 | 營運持續管理系統要求與查核 |
| Amd 1:2024 | 組織情境及相關要求的確認 |
| ISO 22313 | 理解營運持續管理的實施方式 |
| ISO 19011 | 稽核規劃、執行與人員能力 |
2024 年修訂要求組織考量氣候變遷是否為相關議題。企業應依場所、服務與供應鏈情況作出判定，而非直接套用相同措施。參考:https://www.iso.org/standard/88412.html?utm_source=chatgpt.com
課程是否涵蓋法規要求？
可依企業所在地與產業，納入適用法規、合約及客戶要求的管理案例。ISO 22301 不會取代個別產業的強制應變、通報或持續營運義務。
營運持續、緊急應變與災難復原有什麼差別？
三者可以互相連結，但管理目的不同。只有消防演練或資訊備份，仍不足以證明重要業務能持續運作。
| 項目 | 主要目的 | 查核重點 |
|---|---|---|
| 緊急應變 | 處理事件初期，保護人員並控制影響 | 通報、疏散、現場處置 |
| 營運持續 | 維持或恢復重要活動與交付 | 優先順序、資源及替代安排 |
| 災難復原 | 恢復資訊系統與相關技術能力 | 系統、資料、設備與恢復測試 |
| 危機管理 | 支持重大事件決策與溝通 | 權責、決策及關注方溝通 |
有資料備份，還需要營運持續計畫嗎？
需要確認。資料可恢復，不代表人員、場所、設備、物流與供應商都能配合恢復。
例如，系統已恢復，但關鍵人員無法到場或原料未到貨，企業仍可能無法交付。
本課程會學到哪些內容？
課程以「理解需求、查核分析、確認能力、追蹤改善」為主軸，將條文連結到企業實際活動。
| 課程單元 | 學習重點 | 實務演練 |
|---|---|---|
| 範圍與組織情境 | 產品、服務、責任及適用要求 | 確認管理邊界 |
| 業務衝擊分析 | 中斷影響、活動優先順序與資源 | 判讀 BIA 資料 |
| 風險評估 | 中斷風險與既有措施 | 核對風險及處理 |
| 策略與解決方案 | 替代場所、人力、設備與供應 | 評估可行性證據 |
| 計畫與程序 | 啟動、指揮、溝通及恢復 | 查核情境案例 |
| 演練與能力評估 | 目標、結果及改善 | 判讀演練紀錄 |
| 內部稽核實務 | 抽樣、訪談、缺失與報告 | 編製檢查表及報告 |
演練會使用什麼情境？
可依需求選擇停電、場所無法使用、資訊服務中斷、關鍵人員不足或供應商停供等情境。
演練重點是確認既有安排能否支持業務需求，而不是只讓人員熟悉計畫名稱。
業務衝擊分析與風險評估應如何查核？
業務衝擊分析（BIA）著重中斷隨時間產生的影響，風險評估則分析可能造成中斷的情況。兩者應共同支持持續策略與計畫。
| 比較項目 | 業務衝擊分析 | 風險評估 |
|---|---|---|
| 核心問題 | 中斷多久會造成不可接受影響？ | 哪些情況可能造成中斷？ |
| 主要資料 | 活動、影響、時間與依賴關係 | 風險、可能性、後果及措施 |
| 主要成果 | 恢復優先順序與資源需求 | 風險處理方向 |
| 查核重點 | 判定是否有依據 | 是否反映實際環境 |
恢復時間目標如何確認？
恢復時間目標（RTO）應依中斷影響與業務需求設定，再核對人員、技術及供應商是否能支持。
稽核應確認目標有合理依據與能力證據，避免所有部門一律填寫相同時間。
RTO 與 RPO 有什麼不同？
| 指標 | 基本意義 | 應用重點 |
|---|---|---|
| RTO | 恢復活動或服務的目標時間 | 恢復速度與所需能力 |
| RPO | 資料需要恢復到的時間點 | 可接受資料損失與備份安排 |
RPO 常用於資料恢復規劃，不宜把它當成所有非資訊活動都需要填寫的指標。
持續策略與供應商安排應檢查哪些證據？
應確認策略能否在需要時啟用。列出替代方案，不代表已具備人力、容量或使用權。
| 管理項目 | 建議確認的證據 |
|---|---|
| 替代場所 | 可使用條件、設備及啟動方式 |
| 人力替補 | 技能、授權及可用人員 |
| 資訊服務 | 恢復安排、測試與依賴關係 |
| 供應商 | 持續能力、合約與溝通機制 |
| 設備與物料 | 備援、庫存及取得時間 |
| 物流與交付 | 替代渠道及限制 |
| 資源安排 | 預算、責任及維護 |
備援供應商是否一定能降低中斷風險？
不一定。若兩家供應商依賴同一上游、地區或物流，仍可能同時受影響。
查核應確認替代來源的能力、限制及共同依賴，而非只檢查名單是否有兩家。
營運持續計畫與演練應如何查核？
計畫應能讓人員在中斷時知道何時啟動、由誰決策、如何執行及何時恢復正常。演練則用來確認安排與能力。
| 查核項目 | 建議問題 |
|---|---|
| 啟動條件 | 是否明確，相關人員是否理解？ |
| 指揮與替代 | 負責人不在時，誰可決策？ |
| 聯絡與溝通 | 名單、渠道及訊息核准是否可用？ |
| 持續作業 | 是否符合活動優先順序與資源需求？ |
| 恢復正常 | 是否有轉回正常作業的安排？ |
| 演練結果 | 是否達成目標，記錄限制與缺口？ |
| 改善追蹤 | 是否指定責任並確認有效性？ |
每年辦一次演練就足夠嗎？
不能只依次數判定。應確認演練方案是否涵蓋重要能力、目標及相關變更。
可使用桌上推演、通訊測試、技術恢復或作業切換等方式，依風險逐步驗證，避免只留下簽到表與照片。
內部稽核如何執行與判定缺失？
依重要活動、風險、變更及以往結果規劃，並安排具備能力且能維持客觀性的人員查核。
| 步驟 | 主要工作 | 預期成果 |
|---|---|---|
| 1. 規劃 | 確認範圍、準則與優先流程 | 稽核方案 |
| 2. 準備 | 選擇活動、計畫與演練樣本 | 計畫及檢查表 |
| 3. 查核 | 訪談、紀錄與能力證據核對 | 查核紀錄 |
| 4. 報告 | 描述要求、事實及證據 | 稽核報告 |
| 5. 追蹤 | 確認原因、措施與成效 | 結案證據 |
缺失如何寫得具體？
例如，企業核准的重要服務 RTO 為四小時，但恢復測試超過六小時，且未評估差距或安排改善。
報告應記錄目標、測試條件及結果。改善不宜只是把目標改長，而應重新確認業務需求與恢復能力。
課程需要多久，費用如何評估？
一般建議安排 2 天實務培訓；初學者或加入企業 BIA、計畫與演練案例者，可規劃 3 天。
| 課程形式 | 建議時間 | 適合需求 |
|---|---|---|
| 基礎認知 | 1 天 | 理解標準及部門責任 |
| 內部稽核實務 | 2 天 | 條文、查核與報告演練 |
| 基礎加企業案例 | 3 天 | 較完整的應用訓練 |
| 培訓加差距檢查 | 另行評估 | 結合現有制度與改善 |
上述為課程規劃建議，並非標準指定時數。費用依人數、語言、授課方式及文件審查、評量與课後追蹤範圍評估。
第三方驗證、指定資格考試及實際切換演練費用應另行確認。
報名前，客戶常見疑問有哪些？
沒有資訊背景，可以參加嗎？
可以。營運持續涉及整個組織，不限於資訊部門，業務、採購、廠務及人資都可參與。
小型企業需要導入嗎？
可依規模與需求採用適當安排，優先管理重要活動及資源，不必直接套用大型企業架構。
已有 ISO 27001，可以整合嗎？
可以共用部分文件、稽核與改善流程，但仍需補足 BIA、持續策略、計畫與能力驗證。
課程可以使用企業文件嗎？
可以，應先確認保密範圍，並遮蔽敏感聯絡、場址與系統資訊。
完成課程就取得組織認證嗎？
不能。培訓建立人員能力，組織認證仍需完成系統實施與第三方審核。
能保證通過稽核或營運不中斷嗎？
無法保證。營運持續管理旨在提升中斷時的應對能力，實際成效取決於資源、措施與持續驗證。
延伸閱讀：可以搭配哪些課程？
ISO/IEC 27001 資訊安全管理：降低資訊相關中斷風險。
ISO/IEC 20000-1 IT 服務管理：連結服務交付與恢復需求。
ISO 19011 管理系統稽核指南：強化抽樣與判定能力。
供應商第二方稽核：確認外部依賴與持續能力。
下一步如何執行？ODI MORGAN 可以提供哪些服務？
先提供重要產品與服務、參訓人員及目前待改善問題，再規劃課程。現有 BIA、持續計畫、演練結果及稽核缺失，可作為演練依據。
ODI MORGAN 可依需求安排 ISO 22301:2019 內部稽核員培訓、BIA 與風險查核演練、持續計畫差距檢查，以及桌上演練、模擬稽核與改善輔導服務。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，將營運持續要求落實到重要活動與資源安排，提升中斷應對及內部查核能力。
