Resilience Assessment

溫故知新

https://eshmanager.blogspot.com/2016/12/high-reliability-organization-and.html#more

https://eshmanager.blogspot.com/2017/09/resilience-engineering12-academic.html

https://eshmanager.blogspot.com/2017/09/resilience-engineering22-practical.html

https://eshmanager.blogspot.com/2016/03/vulnerabilityresilience.html

評估或衡量系統（包括組織系統）韌性的指標、因素或能力：

關鍵指標與因素：

韌性能力的核心構面 (The Four Cornerstones of Resilience Engineering)： 

• 預期 (Anticipate)： 預期可能發生的事情對偵測和應對意外事件至關重要。這在很大程度上取決於「必要想像力」(Requisite imagination)，即預見未來問題的能力。
• 監控 (Monitor)： 監控系統的變化和風險狀況。
• 回應 (Respond)： 在變化發生期間或之後調整功能和流程。
• 適應 (Adapt)： 事前、期間或事後調整系統功能以維持運作。準備程度對於能夠在事件發生前進行適應和調整功能與流程至關重要。

影響韌性的管理與組織因素： 

• 承諾管理 (Commitment management)、 高層管理承諾 (Top management commitment)
• 報告文化 (Reporting culture)
• 學習/訓練 (Learning/training)意識 (Awareness)。
• 準備程度/預期 (Preparedness/anticipate)。
• 彈性 (Flexibility)： 這同樣被認為是石化廠研究中最重要的一個因素。
• 自我組織 (Self-organization)、團隊合作 (Teamwork)
• 冗餘 (Redundancy)、容錯能力 (Fault-tolerant)
• 組織結構與職責 (Structure and responsability)
• 文件與記錄 (Documentation and records)
• 法律要求 (Legal requirements)
• 危害識別與風險評估 (Hazard identification and risk assessment)
• 危害應對 (Hazard responses)
• 管理稽核與審查 (Management Audit and Management review)
• 採購與合約 (Procurement contracting)
• 管理系統整合 (Management systems integration)
• 持續改進 (Continual improvement)
• 工人參與 (Worker participation)

人為因素(認知與能耐) 

• 必要想像力 (Requisite imagination)
• 個體適應能力 (Individual adaptive capacity)
• 工作滿意度 (Job satisfaction)
• 工作安全感 (Job security)
• 工作壓力 (Work stress)
• 整體工作量 (Overall workload)

Disclaimer: 使用NotebookLM 進行整理

用韌性四大構面：Anticipate (事前準備規劃與計畫)、Monitor (事發前的監測)、Response (事發後的應對與處理) 和 Learning (事後的檢討與改進) 來發想評量問項

一、 Anticipate (預期/事前準備) 

關注組織在事件發生前，預見潛在威脅和機會，並為未來變化做準備的能力。

• 是否會主動預期風險（風險事件）和機會，這種預期是否超越了傳統的風險評估方法？
• 組織是否具備前瞻性 (Foresight) 的能力，系統性地掃描和監控潛在的威脅和機會？
• 組織是否會系統性地探索可能的、合理的、或偏好的未來情境？
• 組織是否鼓勵內部人員預期並注意組織內的潛在問題、錯誤或狀況？
• 組織是否會關注並重視即將發生問題的微弱信號 (weak signals) 和警示跡象？
• 是否具備必要的想像力 (Requisite imagination)，即預見未來問題的能力？ (備註：雖然這是重要因素，但直接評估想像力可能較困難，更多是透過其行為展現來評估)。
• 組織是否具備做好準備的能力 (Preparedness)，能夠「超前」於問題，並為其做準備？
• 組織是否會基於預期來提前建立監測模式和回應模式？
• 組織是否積極參與預期和調整的過程，而不僅僅是完成調整本身？
• 組織是否具有預測或前瞻能力來避免中斷？
• 組織是否會根據預期的結果採取主動行動？
• 組織是否會為長期威脅和變化做好準備？

事件發生前進行規劃、準備與預防計畫

• 風險管理計劃 (Risk management plan)：需要定義正確的範圍、背景和準則 (ISO31000)，並說明風險管理的職權、架構、角色、責任和權責歸屬。
• 風險處理計劃 (Risk treatment plan)：應包含風險處理專案，並授權和分配責任。
• 應變管理方案 (Contingency management program)：需有明確的政策、目標與目的，以及企業架構和執行計劃。
• 危機管理計劃 (Crisis management plan)：應有政策、目標和目的，指派角色、責任和權力，並規定所有任務的架構和授權。
• 營運持續方案 (Business continuity program)：需指派角色、責任與權力，並具備架構、目標、目的和策略。這也包括進行風險評估 (ISO22301) 和業務影響分析 (BIA)。
• 資源分配與預算：資料強調需要為風險處理、應變管理 (演習和計劃) 和危機管理 (準備和危機本身) 分配資源和預算。
• 高階管理者的參與：高階管理者需要參與風險管理會議、宣傳目標、授權以及確認風險管理部門是否直接向他們匯報。資深管理者負責建立風險管理架構、分配資源並協調活動。

二、 Monitor (監測) 

關注組織在事件發生前或期間，監控系統狀態、變化和自身績效的能力。

• 是否會監控自身績效？
• 是否使用指標（例如：防護措施或後果指標）來監控正在發生的情況？
• 管理者和員工是否了解系統的當前狀態以及防護措施的狀態（意識 Awareness）？
• 組織是否保持情境覺察 (situational awareness)？
• 組織是否會監控並審查已經發生的事情並評估變化？
• 組織是否持續監控外部環境和系統運作的相關變化？
• 組織是否同時使用落後指標 (lagging indicators)（回顧性）和領先指標 (leading indicators)（前瞻性、關於員工日常行為）來監控績效？
• 組織是否使用基於績效的監督 (performance-based oversight)（例如：「它有多有效？」）來補充基於規範或合規性的監督？
• 組織是否監控影響系統的力量和條件，以確保系統沒有在安全邊界附近運作？
• 組織是否會觀察並分析第一線人員 (sharp-end) 在日常工作中的適應策略 (adaptive strategies)？
• 組織是否監控組織層面的變化如何影響工作績效？
• 組織是否具有檢測並理解事件發生的跡象或開端的能力？
• 組織是否持續監控並調整其核心功能（自我監控 Self-monitoring）？
• 組織是否具有解讀即將發生問題的跡象，並在出現異常情況時啟動適應過程的能力（必要的解釋 Requisite interpretation）？
• 組織是否監控系統狀態以尋找威脅的線索？
• 「監控、審查與持續改進」是否是組織內持續進行的活動？

關注在事件發生前持續監測潛在的風險和環境變化。

• 定期審查風險管理結果。
• 定期審查剩餘風險 (residual risks) 和新興風險 (emerging risks)。

三、 Respond (回應/因應) 

關注組織在事件發生期間，能夠有效應對、吸收擾動、調整功能並從中恢復的能力。這也包含適應 (Adapt) 的能力。

• 組織是否能夠以穩健且靈活的方式應對常規和非常規威脅？
• 組織的回應能力是否允許其在事件發生期間或之後調整功能？
• 組織內的人員是否會注意到並對威脅做出反應，並有效應對不熟悉或具挑戰性的情況？ （留心行動 Mindful Action）
• 組織是否鼓勵並賦予接近第一線 (sharp-end) 的專家權力，讓他們在關鍵問題出現時做出決策，以加快傷害的緩解？
• 組織是否能夠應對並適應變化和突然的中斷？ 回應中是否強調靈活性 (Flexibility)？
• 組織是否能有效管理正在發生的事件？
• 組織是否有足夠的行動選項（控制多樣性 Control variety）來管理不同的情境？
• 組織是否能區分並執行可以立即啟動的回應，以及那些需要預想和動員的回應？
• 組織是否具備偵測到事件影響後，擁有並調整/動員適當回應模式的能力？
• 組織是否有控制、重建、避免或免疫等回應策略？
• 組織能否快速且靈活地設計和部署回應？
• 組織是否表現出應變能力 (improvisational ability)，能夠快速調整現有資源的使用？
• 系統是否能承受中斷（穩健性 Robustness），例如通過資源緩衝？
• 系統是否能通過重新配置來適應意外的變化？
• 系統是否能從中斷中恢復，盡可能恢復到中斷前的狀態？
• 組織是否會在需要時立即採取行動來調節功能的可變性 (function variability)？

構面涉及事件發生後的即時應對與處理措施，應變管理、危機管理和營運持續管理的核心活動與此緊密關聯：

• 應變計劃 (Contingency plans)：需要包含所有已識別情境的應變計劃，並明確啟動和終止機制。
• 危機管理團隊 (Crisis management team)：應具備有能力的內部成員領導危機，以及外部專家和其替補。危機管理計劃應有啟動和終止機制。
• 營運持續計劃 (Business continuity plans)：應識別主要後果、確保資源並明確啟動和終止機制。
• 事件管理結構 (Incident management structure) (ISO22320)。
• 角色與責任的明確指派：在應變計劃、危機管理計劃 和營運持續方案 中都需要明確指派角色、責任和權力。
• 團隊間的協調：強調在危機中建立應變管理團隊、危機管理團隊和營運持續管理團隊之間的協調機制，例如指派聯絡官和聯合審查機制。
• 資源部署：需要有在危機中及時部署資源的機制，並獲得高階管理者的批准。

四、 Learn (學習) 

關注組織在事件之後，從經驗中學習，並將所學應用於未來準備和改進的能力。這也與適應 (Adaptation) 相關。

• 組織是否從事件和正常工作中學習？
• 組織是否會分析正常工作以學習並傳播成功的工作策略？
• 組織的環境是否鼓勵事件報告並認可適應策略（同時不容忍應受譴責的行為）？
• 組織是否監控程序執行情況，以縮小管理者想像的工作與實際執行工作之間的差距？
• 組織是否投入大量的精力和時間來從經驗中學習，而不僅僅是收集數據？
• 組織是否能從過去的經驗（包括好的和壞的結果）中學習？
• 組織是否會從事件和未遂事件中最大化學習？
• 組織是否能從經驗中學到正確的教訓？
• 組織在第一線執行人員 (sharp-end) 和背後管理者/監督者 (blunt-end) 之間的互動是否良好，這種互動是否支持學習？
• 組織是否會在事件之後根據所學調整系統？
• 組織是否意識到變革的需要，並願意基於學習進行變革？ (備註：對變革的抗拒也可能是影響韌性的因素)
• 組織是否會在事件平息後啟動學習過程，以便為未來做好更充分的準備？
• 學習是否被用來改進監控功能和預期能力？
• 組織是否會從影響其他系統的事件中學習？
• 學習是否被用來在事故發生前指導主動的變革？
• 組織是否持續監控並將變化反映到系統的模型和知識庫中？
• 「監控、審查與持續改進」活動是否用於收集信息，促進學習？

在事件結束後或定期回顧中學習經驗教訓並改進計劃與流程。來源中的「定期審查」和「演習」反映了這一點：

• 定期演習：應變管理需要記錄應變演習，營運持續管理也需要定期演習。危機管理計劃應定期演練。
• 定期審查：包括定期審查風險管理結果、剩餘風險和新興風險、整體風險管理政策 (目標與目的)，以及資源分配。營運持續管理也需進行管理審查。

依據ISO 條文框架與構面，彙整分類韌性的評量問題與問項

4. 組織處境 (Context of the Organization) 

就韌性而言，唇亡齒寒，光談組織自身的韌性是見樹不見林與嚴重誤謬誤導；組織所在的產業環境與供應鏈分析>>組織自身的韌性分析

4.1 組織處境 (Understanding the organization and its context) 

• 企業組織是否已明確需要達成的目標，作為風險管理的基礎?
• 管理系統（如全風險管理）的作業內容是否依企業組織的資源與需求進行客製化?
• 進行應變管理計畫制定時，是否考慮企業組織本身的條件（地點、時間、內外部環境）?
• 應變計畫的內容是否涵蓋情境說明?
• 規劃危機管理能耐時，是否審視、盤點與檢討組織相關資源，包括實體資產、無形資產、結構關係與人力資源?
• 進行危機管理時，是否考慮產業特性、組織規模、資源與後果承受能力的不同?

4.2 關係人需求期待 (Understanding the needs and expectations of interested parties) 

• 全風險管理是否考慮所有風險相關者 (Risk Stakeholders) 的需求?
• 規劃緊急應變計畫時，是否將利害相關者之需求納入考量 (包含主管機關、緊急支援單位、臨廠或鄰近社區民眾等)?
• 營運持續管理是否納入並考量相關單位 (產業鏈上游至下游、政府監管單位、合作夥伴、競爭對手) 的需要與關係?

4.3 管理系統範疇 (Determining the scope of the management system) 

• 風險管理作業是否已建立正確的範圍、內容與條件 (ISO31000)?
• 緊急應變計畫是否已明確說明適用之場所或地點?
• 全風險管理的各項元素（應變、危機、營運持續）是否已在風險管理程序的範圍、內容與條件中建立?

4.4 管理系統 (Management system) 

• 企業組織是否已建立一個系統化的完整架構程序來管理危害?
• 全風險管理是否有效整合傳統的風險管理、應變管理、危機管理與營運持續管理?
• 風險管理是否融入企業組織的管理治理、策略規劃、作業程序、甚至是企業組織的價值與文化中?
• 是否已建立事件管理結構 (ISO22320)
• 營運持續管理是否遵循 PDCA 循環管理程序?

5. 領導與工作者參與 (Leadership and worker participation) 

5.1 領導與承諾 (Leadership and commitment) 

• 成功的風險管理是否源於企業組織高階管理層堅定且長期的支持?
• 高階管理者是否親自參與並宣傳風險管理的目標?
• 高階管理層是否提供所需資源進行風險管理作業?
• 應變計畫管理單位負責人是否由高階管理人員擔任並積極參與，以展現事業主與高階管理層的承諾與決心?
• 危機管理的啟動與執行幾乎是企業組織高階管理層無法規避的責任?
• 全風險管理是否需要企業組織高層的堅定承諾與支持，並進一步需要提供資源的承諾?

5.2 政策 (Policy) 

• 風險管理計畫是否規定風險管理工作的授權和架構?
• 緊急應變計畫是否有明確的政策、目標與目的?
• 危機管理是否有政策、目標和目的?
• 營運持續管理是否有政策、目標、管控、程序及程序?
• 風險管理、應變管理、危機管理、營運持續管理政策是否一致?

5.3 角色、責任與權責 (Organizational roles, responsibilities and authorities) 

• 風險管理計畫是否顯示角色、權力、責任和問責制 ?
• 是否已明確委派權力、責任和問責制?
• 中階管理者是否依據企業組織的目標建立風險管理範圍、內容與條件?
• 緊急應變計畫是否明確說明應變組織之架構、各級人員之角色與權責?
• 緊急應變計畫是否明確訂定應變組織各階層人員的職掌?
• 緊急應變計畫是否明確規範指揮作業系統，包含指揮權移轉?
• 事件管理是否明確指派角色和責任 (ISO22320)?
• 危機管理計畫是否指派角色、責任和權力?
• 危機管理計畫中是否包含所有任務的結構和授權 (例如媒體發言人)?
• 危機管理計畫是否包含決策流程與權責架構 (e.g., 依據團隊成員的角色職務)?
• 營運持續管理是否指派角色、責任和權力?
• 全風險管理作業中，是否已明確各階層人員的責任與角色 (高階管理層、中階管理層、基層人員)?

5.4 關係人諮商參與 (Consultation and participation of workers' representative) 

• 在風險管理程序初始，是否與風險相關單位進行溝通及諮詢?
• 應變計畫規劃是否選擇參與計畫之成員 (跨部門)?
• 定期演練緊急應變計畫時，是否邀請利害相關者參與?

6. 規劃 (Planning) 

6.1 風險與機會鑑別 (Actions to address risks and opportunities) 

• 是否已識別所有風險 (傳統風險管理)?
• 是否已意識到風險有不確定性（後果與機率）?
• 風險辨識作業是否完善，能降低不預期或未知風險的影響?
• 風險辨識是否完整列明所有可能導致無法達成目標的危害?
• 風險分析是否找出所有辨識出危害的各種後果及相對應的機率?
• 風險分析時是否特別注意並降低主觀偏見的影響?
• 風險評價是否根據設定條件提供風險排序?
• 緊急應變計畫是否根據風險評估的結果選擇需要準備應變計畫的風險事件?
• 應變能力與資源評估是否基於危害辨識與風險評估?
• 是否考慮所有已識別情境的應變計劃?
• 營運持續管理是否進行風險評估 (ISO22301)?
• 營運持續管理是否進行業務影響分析 (BIA)?
• 是否識別優先活動 (BCM)?
• 是否考慮所有情境 (應變管理)?
• 是否採用全危害方法 (AHP) (應變管理)?
• 是否以風險管理結果為基礎 (應變管理)?
• 災後復原考量是否納入風險處置方案中?

6.2 目標與達成目標規劃 (Objectives and planning to achieve them) 

• 是否設定危機的目標和目的?
• 風險管理的目標是否明確說明，並與企業組織必須達成的目標區分?
• 風險管理的目標是否與風險管理的範疇有直接關係?
• 緊急應變計畫是否有明確的政策、目標與目的?
• 是否設定緊急應變效能目標?
• 營運持續管理是否有目標和目的?
• 營運持續管理的目標是否設定在回復擾斷事件發生前的原始狀態?
• 是否擁有經高階管理者批准的一致目標和目的 (跨管理元素)?
• 全風險管理的目標是否協助企業組織順利達成本身既定的目標?

7. 支援 (Support) 

7.1 資源 (Resources) 

• 是否為風險處理分配資源 (預算和人力)?
• 是否有指定用於風險處理預算批准的流程?
• 是否有風險處理的預算?
• 應變管理是否有預算 (用於演習和計劃)?
• 是否識別應變管理活動所需的資源?
• 是否考慮事件管理活動和恢復所需的資源?
• 危機管理是否考慮所有可用的資源並進行調度?
• 在危機中是否有經高階管理者批准的及時部署資源的機制?
• 營運持續管理是否確保營運持續的資源?
• 營運持續管理所需的資源是否較高?
• 全風險管理是否需要提供資源的承諾?
• 全風險管理是否旨在提高有限資源的使用效益?

7.2 能力 (Competence) 

• 高階管理者是否了解 ISO31000, ISO 22361:2022，是否能設定危機目標，做出基於風險的決策?
• 資深管理者是否了解 ISO 22361，是否能在危機中制定策略?
• 中階管理者是否了解 ISO31000?
• 緊急應變管理是否需要仰賴應變團隊每一位成員個人的全方位能力建構?
• 企業組織內部應變人員是否需要建立系統協助外部專家盡速展開工作?
• 應變團隊是否具備執行任務的能力?
• 是否對緊急應變小組成員施予必要之教育訓練?
• 危機管理團隊是否有公司內部有能力領導的人員、外部專家及其替補、具備全方位的專業知識?
• 危機管理計畫是否包含具備危機處理經驗的個人和團隊 (或外部支援)?
• 是否培訓危機管理團隊成員使用決策技術工具?
• 是否存在技術人員的培育和訓練不足，導致人力資源與知識管理出現斷層或缺口?

7.3 認知 (Awareness) 

• 全體員工是否接受相關緊急狀況之資訊和訓練?
• 應變演練是否可以提高企業組織的風險意識並強化風險文化?
• 風險管理觀念是否已在企業組織內內化?

7.4 溝通 (Communication) 

• 風險管理程序是否在各階段進行溝通及諮詢?
• 應變計畫是否提供有效的內部與外部通報和溝通機制?
• 緊急應變計畫內容是否包含通報流程?
• 緊急應變計畫是否規範對外發布給政府、鄰近事業單位及社區民眾、媒體等訊息之權責及機制?
• 危機管理是否需要資訊管理與情勢感知?
• 在危機中是否與高階管理者保持不間斷聯繫以匯報進度並獲得所需的執行決策?
• 應變團隊之間是否有溝通與通訊的能力?

7.5 文件化資訊 (Documented information) 

• 是否定期更新和維護風險管理文件?
• 應變管理是否有文件維護?
• 是否建立文件檔案 (演習相關)?
• 緊急應變計畫是否明確說明適用之場所或地點、風險因子的特性、可能發生危害事件的地點、意外緊急事件之本質特性?
• 緊急應變計畫內容是否包含應變組織架構、權責分工、應變的作業流程 (SOP)、資源需求、復原、附錄及附件 (基本資料、潛勢、SOPs、表單)?
• 危機管理是否有計劃 (CMP)?
• 營運持續管理是否有營運持續管理計畫 (BCP)?

8. 運作 (Operation) 

• 組織是否建立並執行運作控制程序 及危害應對計畫？ (此與RE的Respond構面及Hazard Responses項目相關)
• 組織的運作方式是否展現出靈活性 (Flexibility)，能夠在面對變化或中斷時調整功能 [1, Respond]？ (此為RE的關鍵原則/因子之一)
• 組織是否建立並定期演練應變準備與回應程序？ (此與Emergency Preparedness and Response項目相關)
• 系統設計或運作中是否考慮了冗餘 (Redundancy) 和容錯 (Fault-tolerant) 等特性，以提高系統的穩健性 [Source 1, Robustness]？ (此為RE的關鍵因子)
• 組織內人員是否展現出自組織 (Self-organization) 的能力，以應對意外情況？ (此為RE的關鍵因子)

8.1 運作規劃與控制 (Operational planning and control) 

• 中階管理者是否執行風險管理流程?
• 風險處理計畫是否包含風險處理專案並委派權力和責任 ?
• 資深管理者是否協調各部門的風險管理活動?
• 應變管理是否作為風險處置的替代方案?
• 應變計畫是否作為風險處理的替代方案?
• 是否將應變計劃納入危機管理計劃?
• 是否將應變計劃納入營運持續計劃?
• 是否修訂危機管理計劃以包括啟動應變計劃?
• 是否修訂營運持續計劃以包括相關的應變計劃?
• 應變作業、危機處理作業與營運持續作業是否整合納入以 ISO31000 為核心的全風險管理?
• 在危機中是否建立危機管理團隊和應變管理團隊之間的協調機制?
• 在應變管理團隊、危機管理團隊和營運持續管理團隊之間是否建立協調機制（流程）並指派聯絡官?
• 是否集中管理事件、危機和營運持續管理的資源分配和活動管理?
• 營運持續管理的核心是否為作業的規劃與管控及相關作業的評量?

8.2 應變準備 (Emergency preparedness) 

• 災害事件發生時，企業組織管理層是否可立即判斷是否可啟動緊急應變計劃處置?
• 應變計畫是否明確說明啟動和終止機制?
• 危機管理是否有啟動和終止機制?
• 營運持續計劃是否有啟動和終止機制?
• 應變管理作業是否包含應變作業的整備工作?
• 營運持續管理作業及計畫是否在事件發生前準備完成，並進行整備工作?
• 企業因應危機的能耐與準備工作?
• 突發性緊急事件的發生階段是否涵蓋發生階段、現場處置階段、行政處理階段、復原階段?
• 是否定期演練緊急應變計畫?
• 危機管理計畫是否定期演練?
• 營運持續管理是否有定期演習?
• 應變演習是否盡可能與預設現場情境相符?
• 演習是否由預警式的演練到無預警式的測試?
• 是否具有事件管理結構 (ISO22320)?
• 是否建立內部常設緊急應變計畫管理單位並指派負責人?
• 是否建立危機管理所需的危機管理團隊 (CMT)?
• 是否建立聯合審查和協調事件管理和危機管理活動的機制?
• 是否建立聯合審查和協調事件管理、危機管理和營運持續管理活動的機制?

9. 績效評估 (Performance evaluation) 

9.1 監督量測與績效評估 (Monitoring, measurement, analysis and evaluation) 

• 風險管理程序是否在各階段進行監控檢查?
• 是否定期審查風險管理結果?
• 是否定期審查剩餘風險 (residual risks) 和新興風險 (emerging risks)?
• 是否定期檢查營運持續所需資源的庫存和可用性?
• 應變計畫是否應有稽核及定期管理審查的機制?
• 危機管理是否不斷更新收集與更新資訊，建立共同的情勢感知?
• 各項作業是否進行評量 (如 BCM)?
• 演習是否用於測試計畫、程序、整備和日常訓練，並進行驗證?
• 演習是否用於瞭解緊急應變計畫內容的缺失及執行時的缺點與盲點?
• 演習是否包含觀察活動?
• 是否進行後端匯報 (Debriefing)?

9.2 内部稽核 (Internal audit) 

• 未進行風險管理作業的企業組織需將緊急應變計畫的執行納入內稽內控的稽核流程中?

9.3 管理審查 (Management review) 

• 風險管理的風險決策 (特別是資源分配) 經常由高階管理人員負責。
• 風險管理是否定期審查整體風險管理政策 (目標和目的) 以與公司目標一致?
• 是否定期審查所有風險管理的資源分配?
• 應變計畫是否應有定期管理審查的機制?
• 營運持續管理是否有管理審查?

10. 改善 (Improvement) 

10.2 事件、不符合與矯正措施 (Incident, nonconformity and corrective action) 

• 在緊急應變的過程中，是否記錄重要的事項，以備日後製作報告或事件後檢討、究責乃至於司法程序的需要?
• 根據演練結果，是否針對應變組織、應變作業程序的檢討與修正?
• 根據演練結果，是否針對人力資源不足、專業訓練不足、裝備與器材項目與數量或功能不足亦應提出檢討，並及早改善?
• 每次遭遇各種狀況或虛驚事件時，企業組織是否把握機會來練習、提升與強化自身的危機管理能耐?
• 事件發生後內部檢討 (Lessons Learned) 是否用於培育與驗證危機管理能耐?
• 業界相關案例的檢討以及舉一反三 (Case Study) 是否用於培育與驗證危機管理能耐?
• 對於危機的對應措施、計劃程序以及相關設施或資源/支援是否充足妥適，事後都需要加以審視與檢討，以找出潛在的缺陷與可以改進的地方?

10.3 持續改善 (Continual improvement) 

• ISO31000:2018 是否要求將持續改善列入工作內容?
• 是否對各項作業進行評量與持續改善 (風險管理架構)?
• 應變演習是否用於檢討和改進緊急應變計畫?
• 演習和緊急應變能力是否具有持續改進之關係 (ISO 22398)?
• 是否依據演練結果，除了針對應變組織、應變作業程序的檢討與修正?
• 應變計畫執行之記錄是否用於事件後報告及改善程序，重新修訂緊急應變計畫?
• 是否持續改善危機處理的應對措施、計劃程序與相關設施/資源?
• 從真實危機或模擬推演當中是否能汲取教訓，從而使企業組織內的人員、計劃和程序得以持續改進?
• 營運持續管理是否包含維持改善的循環程序?
• 韌性的四項元素原則是否包含持續改善?