自武汉发现不明原因肺炎患者以来，各种信息流传、真假难辨，尤其在初期，医疗机构和管理部门也难取信于公众。在这疫情恐慌和谣言漫天中，有两个主体从未被质疑：钟南山院士和世界卫生组织。中国人对钟南山院士不陌生，世界卫生组织却是“众所周知的陌生人”，常有耳闻但了解远远不够。很多公益行业的专家学者，对其功能、作用和全球运作机制也是一知半解。幸好我们身处网络时代，“透明”原则已被国际组织落实到位。当新冠肺炎被宣布为“全球关注的突发公共卫生事件”、四周一团忙乱的时候，我带着满脑子疑问打开了世界卫生组织的官方网站（www.who.int）。我惊喜地发现，这是一个知识宝库，我们在这次疫情中面临的很多混乱、难题和解决方案，世界卫生组织早有准备。我们需要做的，就是翻译、传播、学习，然后根据抗疫需要采取行动。在此，国际公益学院公益研究中心团队本着将知识转化为抗疫力量的初衷开设“向WHO取经”专栏，带着我们的问题从国际顶级专业机构的知识宝库里寻找答案和启发。本期，我们探讨公益组织如何通过风险管理机制建设减少危急事件对重点业务的影响。接下来的两个月，我们将逐一分享世界卫生组织的危急事件快速响应机制、应急响应协作网络建设与运营、非国家合作伙伴关系建设、危急沟通之道、筹资之道、能力建设策略、公信力建设、研究活动管理、全球领导力。国际公益学院公益研究中心 程芬新冠肺炎突如其来，打乱了中国人的2020年春节计划，也影响了节后开工安排和年度计划推行。处于各种“隔离”状态的职场人士，一面期待“拐点”到来，一面准备复工。没有人料到我们会遭遇“全球关注的突发卫生公共事件”。但是疫情既然已经爆发，除了应对，我们别无他法。当最初的不确定和恐慌过后，很多人开始反思：我们的教训是什么？我们有没有为这样的危机做好准备？我们要怎样尽可能减少疫情对组织发展和服务对象的不良影响？类似的问题，在过去和现在、在其他地方，都有人考虑过。实际上，21世纪早已被贴上了“风险社会”的标签，“危机治理”已经发展为一个日益重要的理论潮流，在国际社会和很多国家方兴未艾。“突发公共卫生事件”是一种典型危机，尤其是全球性流行病，更被视作未来社会的头号威胁。为了最大程度地降低其伤害，世界卫生大会在2005年修订通过了新版世界卫生条例。世界卫生组织作为联合国在健康领域的牵头机构，陆续推出各类指导性文件、不断完善全球卫生应急响应机制。《世界卫生组织业务持续计划指南》（WHO guidance for business continuity planning，简称BCP或《业务持续指南》，点击“阅读原文”可下载）是若干文件之一，用于建议本系统和各国办公室采取系列行动来备战所有类型的紧急情况，并最大程度地减少对WHO运营的干扰。什么是业务持续计划？“业务持续计划”（business continuity plan ，BCP）的本质是一个管理文件，考虑在非常态化的服务中断期间如何维持关键业务运营的问题。这个概念产生于20世纪70年代早期，由灾难恢复计划发展而来，但内容更全面，包含业务流程、资产、人力资源和业务合作伙伴的意外情况等可能影响业务的各方面因素。在上世纪70年代，灾难恢复工作几乎总由火灾、洪水、风暴或其他物理性破坏触发。当时，最典型的“业务持续性”需求来自银行和保险公司等金融机构，他们必须保护大量业务数据和客户资料，比如制作备份磁带、将其存储在另外的保护点。80年代，在共享基础上提供计算机服务的商业恢复站点有所增长，但重点仍然是IT恢复。90年代，企业全球化和数据访问的普及程度使得“业务持续计划”急剧增加。业务部门不仅要考虑灾难恢复，还要更全面地考虑整个业务持续性过程。一些有先见的公司意识到，如果没有完整的的业务持续计划，自己可能会失去客户和竞争优势。[1]后来，“业务持续计划”渐渐被推广到公共服务部门和国际组织等非商业领域。联合国也将“业务持续性”纳入管理框架，与危机管理决策和业务协调框架、安全支持和响应、危机沟通、大规模人员伤亡事件响应、IT灾难恢复、对员工和幸存者及其家人的支持等一起构成联合国复原力系统（ORMS 2015）的七个核心要素。在世界卫生组织的“人道主义术语表”中，“业务持续性”指有效和有用的生存。“业务持续性”是个人的生理和心理需求（生存本能），也是社区的经济和文化需求，至少在地方一级如此。一旦进入国家层面，这种必要性就不那么明显和脆弱了。根据定义，在“新的”或“脆弱的国家”，以及在短命的机构中，特别是在跨文化机构中，它是脆弱的。其“业务持续性”需要通过强有力的领导、团队建设、明确的任务书等来培养（Loretti，2005）。[2]卫生服务事关生命安全。近几年，尤其在埃博拉疫情的应对过程中，世界卫生组织亦在探索推进脆弱国家卫生系统的复原力，其中包括紧急状态下卫生服务的“业务持续性”。《业务持续指南》有哪些干货？这个指南是2016年由世界卫生组织紧急卫生项目（Health Emergency Programme, WHE）国家卫生应急准备部联合国际卫生条例部与WHO所有区域办事处、其他总部部门、多个国家办事处共同制定的。其主要内容如下：目标：1）减轻紧急情况对WHO职员、房屋、资产和项目计划的影响；2）维持关键项目和活动；3）确保WHO能够作出迅速而有效的紧急响应。责任制：业务持续计划的责任人为WHO各办公室负责人，他／她负责该计划的制定、维护、测试和实施。指导原则：务实可行、简单易行、以需求为导向有效利用资源、强调流程、定期测试和验证、根据不断变化的风险和需求进行监控并定期更新计划。计划准备：要点是进行风险评估，识别概率高和危害大的风险，根据风险评估矩阵和风险分值确定需要优先采取措施的风险。（下图为风险矩阵和风险分级表）人员、房屋、资产和运营的安全保障：内容非常具体，比如针对人员安全，要备份所有人员的个人资料、明确紧急集合点和疏散路线流程、员工卫生设施及服务备忘、安全培训认证等；对于房屋要准备仓库及备用办公室定位、定期评估办公室结构安全、搬迁标准作业流程；对于资产要建立关键和高价值资产的清单、将各类协议和关键记录及文件清单保管在其他更安全的地方、疏散时需要销毁或带走的机密文件清单等。确定需要继续的关键业务和功能：高风险国家的关键业务可能已经通过联合国计划得以识别。其他情况以救命活动、基本卫生服务的维持、与卫生部及东道国政府及其他合作伙伴的关键联络、后勤保障为依据，将业务功能分为至关重要（需要在本国继续）、可以重新安排（比如远程执行）、可以暂时搁置三类。然后，明确执行关键计划所需的最少人力和最低资源；确定公共和私营部门以及其他联合国机构的伙伴，他们在业务持续性计划激活后可以提供特定的优势、资产或资源由世卫组织办事处集中或使用，比如，红十字国际委员会（ICRC）可能有帐篷、医疗设备和仓储空间；当地大学医院的医学生可以充当事件管理团队的翻译。应对突发公共卫生事件：应急响应将根据《WHO应急框架》启动，业务持续计划应至少包括以下方面的标准流程：进行快速的风险和需求评估，以告知等级；激活WHO事件管理系统（IMS）并根据IMS的六项职能重新安排工作人员、重新规划资金；获得新的紧急资金、急救人员、预定用品等；与政府、捐助者、合作伙伴和媒体就该事件和世卫组织的行动进行沟通。（本栏目后续文章将介绍WHO应急响应机制） 激活和停止业务持续计划：世卫组织办事处负责人决定激活和停用“业务持续计划”。这个过程一般分为激活、运行、停用（恢复正常运行）、行动审查四个阶段，如下图：训练和维护业务持续计划：一个有效且可靠的业务持续计划需要不断测试、改进，因此演练和风险更新是计划不可或缺的组成部分。世卫组织办事处负责人在批准业务持续计划之前要先进行测试，然后每年更新、审查、演练。WHO为此制定了演练手册，以验证应急计划、系统和程序是否适当；使所有员工熟悉计划、流程和系统；加强紧急情况下办公室的功能；识别和纠正上述缺陷；维护和更新业务持续计划。工作模版和术语解释：《指南》对照上述工作内容，提供了文件、表格等模板，可以帮助参与方更好地落实计划。术语包括责信、行动后审查、应急、事件、应急运作中心、重大事件管理系统、灾害、风险、复原力、备战、响应等，这些必要的解释则能帮助读者熟悉联合国及世界卫生组织的内部工作系统，同时储备必要的应急管理理论知识。《业务持续指南》对我们有何启示？根据笔者观察，国内很少有公益组织建设系统性和操作性强的风险管理制度，对组织如何响应紧急状况也极少形成明文制度，更别说对“业务持续性”投入精力和资源。世界卫生组织的这套机制和文件，不仅可以启发我们的思维、开阔视野，在管理原则和方法技能上也有很多值得借鉴的地方。启示一：风险管理是现代组织管理活动的重要组成部分，公益组织要树立风险意识、做好危机应对准备，提高组织“复原力”。在社会上升时期和日益激烈的竞争中，所有的组织体都会尽其所能提高业务创新能力或服务能力，扩大市场、提高收入或影响力，这是组织的本能。但是在充满不确定性的“风险社会”，复原力（Resilience）也至关重要，应该成为组织能力建设的重要目标。笔者在国际公益学院讲授“风险治理”课程期间，发现只有极少数经历过危机的公益组织针对特定事件（比如舆论危机）和风险（比如志愿服务）建立了预案制度，大多数组织没有经历过重大危机也没有风险防控的意识。未雨绸缪，注重风险排查的组织更能“防患于未然”、避免“不测风云”。笔者认为，“复原力”可以帮助组织机构抵御灾难并维持核心业务的运转、最大限度地实现组织对客户或服务对象的承诺，甚至“转危为机”找到组织转型和快速成长的契机，是任何追求“基业长青“的组织必须强化的底层能力。启示二：员工是现代组织最重要的资产，公益组织要将员工安全列入风险管理的主要目标。知识型社会与工业社会相比，最大的区别就是专业工作者（德鲁克称之为知识工作者）成为最重要的资产，因此在风险管理体系里，员工安全应该排在首位，知识成果、无形资产、固定资产排在后面。世界卫生组织非常强调这一点，在其组织体系里有专门的职员安全服务（Staff Security Services，SEC），其他管理文件也体现了对员工安全的重视。比如，本指南中从业务持续计划准备阶段，就不厌其烦地提示和强调对员工的关注和信息更新清单及流程。“生命高于一切”的理念已在我国得以普及，但是还需要贯彻到管理过程中。笔者发现不少公益组织常在涉及“免责条款”的时候讨论员工及志愿者的安全问题，其表述方式常常给人“逃避责任”的嫌疑，与公益组织的价值观不一致。在保障员工安全方面，我们跟世界卫生组织相比，差距很大但可以逐渐靠拢。比如，先参照上述操作，逐步跟进风险管理制度流程设计来确保员工的生命安全和身心健康。启示三：公共服务部门和公益组织要始终关注“服务对象”，确保有能力在危急情况下实现核心服务承诺、尽可能减少受益人的损失。世界卫生组织作为全球卫生领域的领导者和全球公共卫生事件管理的协调者，必然受《希波克拉底誓言》影响，并秉承人道主义精神，不分种族、地域、宗教、文化，一视同仁地尊重每个人的身心健康和生命安全。他们认为，对紧急情况作出迅速反应并尽快恢复关键行动的能力，对于在合作伙伴和利益相关者眼中保持信誉至关重要。因此其业务持续计划的三大目标，不仅包含世卫组织员工和自身运作的持续性，同样也包括在危害中能够作出迅速而有效的紧急响应。为此，指南在前言中强调，如果某一突发事件影响到所服务人群的健康，那么世卫组织应针对该事件的影响启动全新的、至关重要的、挽救生命的措施。我们的公益组织，通常也能坚守初心、不忘使命，重视信誉、尽量帮助受益人。然而，面对突发危机，难免顾此失彼，一旦遇到危害或变故，常常无暇顾及项目或服务，后果严重的还因项目或服务的突然中止或临时中断，让受益人失去关照或支持机会，从而引发不良后果乃至安全健康问题。这绝不是公益人的初衷，但若有必要的风险管理和业务持续性计划，可以就至关重要的项目服务做好应急预案，将相关损失最小化。启示四：好制度需要不断调试、迭代、升级，公益组织亟需建立内部制度审查流程，确保合规和与时俱进。世界卫生组织业务持续计划基于不确定的风险而设计，应对的是“可能”发生的危害。但是指南并不因此而忽视其有效性，要求办公室负责人每年进行审查、开展相应的测试和演练，然后更新计划内容。为了做到这一点，指南还提供了配套的审查、测试、演练、更新、行动方案工作模版，要求落实到位。世界卫生组织官网的其他政策、指南也是如此，大多数都是近几年的更新版本。反观国内公益组织的官网，笔者发现很多制度文件多年不更新，明显跟不上慈善法生效以来的监管要求，在合规运营上存在很多漏洞。更别提在操作流程上迭代升级、让制度和流程服务于业务。现实中，不少公益组织的管理制度让有原则和基本判断力的活人被未经测试的、不合理的、过时的条条框框束缚住，效果适得其反。我们确实亟需建立起组织制度和管理流程的审查制度，指定负责人，将其作为一项常规工作，定期更新制度、优化流程。否则，那些看上去很美的文件只是摆设，却在关键时刻掉链子。 附录：《世界卫生组织业务持续计划指南》双语目录（上下滑动查看） 目录1.简介目的和目标责任制 危害范围指导原则2.指南根据世卫组织风险管理政策和联合国组织复原力管理系统进行规划准备业务持续计划工作人员、房舍、资产和运营的安全和保障确定需要继续的关键业务和功能谅解备忘录（MoU）应对紧急情况激活和停用业务持续计划训练和维护业务持续计划3.业务持续计划模板现状确保员工、房舍和资产安全的风险应对措施关键业务运营应对紧急情况激活和停用业务持续计划训练和维护业务持续计划行动计划4.业务持续计划词汇表5.参考资料和最佳实践 TABLE OF CONTENTS1. IntroductionPurpose andobjectivesAccountabilityScopeGuidingprinciples 2. GuidancePlanningunder the WHO corporate risk management policy and the UN OrganizationalResilience Management System Preparing forbusiness continuity planningSafety andsecurity of staff, premises, assets and operationsIdentifyingcritical operations and functions that need to be continuedMemorandum ofunderstanding (MoU)Responding toan emergencyActivatingand deactivating the business continuity planExercisingand maintaining the business continuity plan 3. Template businesscontinuity planCurrentsituationRisk responseactions for ensuring the safety of staff, premises and assetsCriticaloperationsResponse tothe emergencyActivationand deactivation of the business continuity planExercisingand maintenance of the business continuity planAction plan 4. Business continuity planglossary5. References and goodpractices [1] 参考Adapt and respond to risks with a businesscontinuity plan (BCP)，By IBM Services，3 July 2019，https://www.ibm.com/services/business-continuity/plan[2] 参见Glossary ofHumanitarian Terms – ReliefWeb，https://www.who.int/hac/about/definitions/en/ *声明：除特别说明，本文内容和图表根据《世界卫生组织业务持续计划指南》翻译整理。本文未经世界卫生组织审核，所有谬误均为作者个人责任。
了解详情
