中小企業如何避免營運中斷？3步做好應變計畫
BCP 是 Business Continuity Plan 的縮寫，中文譯為「營運持續計畫」或「企業營運持續計畫」；OECD 報告用的是 Business Continuity Planning，強調規劃這個動作本身；日文寫作「事業継続計画」。三種寫法指同一件事：公司事先想好危機發生時要靠什麼把核心業務撐住或拉回來。
中小企業 BCP 可以先抓三件事：找出不能停的工作、替人員與供應商準備切換路徑，再用演練確認真的做得到。兩頁、能執行的版本，通常比放在雲端卻沒人看過的厚文件有用。遇到斷料、停電、資安事故或關鍵員工突然缺席，公司才有機會守住出貨、收款與客戶服務。
旁邊還有兩個常一起出現的詞。BCM 是 Business Continuity Management，營運持續管理，指整套持續規劃、執行、監測、檢討與改進的管理作為；ISO 22301 是這套管理系統的國際標準；BCP 則是被寫下來的那份計畫。實務上先做出 BCP 就好，要不要往上做成管理系統甚至取得驗證，看客戶與供應鏈有沒有要求。
本文的資料來源是 OECD 2026 年出版的《Tracking Progress in the Governance of Critical Risks》，以 2022 至 2025 年間的兩項問卷調查為基礎，檢視各國在 2018 至 2024 年落實 2014 年《關鍵風險治理建議書》的情況。它評估的是國家層級制度，不是中小企業操作手冊，但報告對雙向衝擊、核心功能、備援與演練的描述，改成企業版本並不困難。
一、中小企業 BCP 為何要先處理供給與需求的雙向衝擊
OECD 對 BCP 的定義相當直接：它是降低商品與服務供應中斷的關鍵手段，在電力、天然氣、供水、運輸、電信、糧食與醫療這些維生系統尤其重要。報告也寫明，不論公部門或私部門，第一步都一樣，先模擬危害會對組織全部活動造成什麼影響與後果，再區分哪些是必要功能與資產、哪些可以暫時擱著。
報告以 COVID-19 說明中小企業的處境。供給面上，員工生病或要照顧停課的孩子、人員移動受限，加上供應鏈中斷造成零件與中間財短缺；需求面上，訂單與營收突然消失，流動性壓力隨即出現。觀光與運輸受創最重。報告認為這些衝擊已影響到許多 OECD 國家中小企業的資金部位，甚至存續。
想像一家十人的零件商。採購只熟悉一家供應商，報價檔存在老闆電腦裡，付款還要老闆本人核准。只要原料延遲、電腦中毒或老闆一時聯絡不上，三個看起來各自獨立的小問題，就會在同一天把出貨堵住。這種單點故障平常很省事，危機時卻會把整條流程一起拉停。
跨國資料顯示，政府這幾年主要靠文件和演練在推。27 個回覆者中有 21 個會發布標準或工具包，協助企業管理營運與核心服務的風險，2016 年是 34 個中的 28 個，比例略為下滑。強制力並不高：只有 9 個回覆者說所有關鍵基礎設施業者都必須具備 BCP，同樣有 9 個說是自願，其餘只對特定產業或業者強制。對台灣中小企業來說，壓力多半來自客戶與供應鏈，而非法規。
盤點從訂單往回追，逐項寫下客戶、材料、人員、資料與現金中斷後的後果。可容忍中斷時間是管理判斷，不是填一個好看的數字，合約違約、客戶流失、法規責任與安全影響要一起算進去。
表1：中小企業 BCP 核心流程與單點故障盤點表
| 核心流程 | 常見中斷 | 最先出現的損失 | 可容忍時間 | 最低可行替代方案 | 負責人 |
| 接單與客服 | 網路或客服系統停擺 | 客戶找不到窗口、訂單漏接 | 公司自填 | 電話轉接、離線訂單表、第二聯絡窗口 | 業務主管 |
| 採購與供料 | 主力供應商停工或物流中斷 | 缺料、延遲交貨 | 公司自填 | 合格備援商、替代料號、切換前置天數 | 採購主管 |
| 生產或交付 | 設備故障、場地停用 | 產能下降、合約違約 | 公司自填 | 外包名單、替代場地、優先訂單規則 | 營運主管 |
| 資料與系統 | 勒索軟體、雲端服務異常 | 無法查單、開票或收款 | 公司自填 | 離線備份、還原帳號、人工作業表單 | 資訊窗口 |
| 付款與決策 | 授權人失聯、銀行服務中斷 | 薪資、貨款或緊急採購卡住 | 公司自填 | 代理授權、雙人覆核、備用付款流程 | 負責人／財務 |
表格製作：夢想智賦
填的時候把公司實際的五到六條核心流程放進去。出現兩個以上只有單一人員、單一設備或單一供應商能完成的流程，就該優先處理。替代方案要一併寫出切換前置天數與所需權限，否則名單看起來完整，真正出事時還是用不上。
二、BCP 企業營運持續計畫的三個步驟
能執行的 BCP 有一條很務實的順序：先排核心工作的恢復優先級，再準備切換路徑，接著用情境演練修正。這和 OECD 描述的起點一致，也符合 ISO 22301 把營運持續當成持續檢討改進的管理系統。小公司保留這個邏輯，從最小版本做起就好。
步驟一 鎖定核心工作並設定恢復目標
先問一句：哪一項工作停掉，會最快造成不可接受的損失？製造業可能是特定產線與出貨文件，電商可能是接單、庫存同步與退款，顧問公司則可能是客戶資料和排程。
每項核心工作至少填兩個時間。最大可容忍中斷時間代表超過多久損失會難以接受，恢復時間目標是團隊承諾多久內把最低服務拉回來。客戶合約若允許停 24 小時，內部目標就設得更短。
步驟二 為人員、供應商、系統與資金設計切換路徑
備援名單要能用，光留電話不夠。第二供應商的最低訂購量、單價、交期與認證要先確認，資料備份要真的還原過一次，代理簽核人要有銀行、系統與合約權限。切換條件也要寫清楚，例如主供應商逾期 48 小時仍無法承諾交期，就由採購主管啟動替代料評估。
資金準備要連回恢復時間。坊間常見「至少保留 3～6 個月預備金」的說法，OECD 這份報告並沒有提出適用所有企業的固定月數。穩妥的做法是用 4、8、12 週的情境估算薪資、租金、必要採購、還款與延遲收款，再決定現金緩衝、信用額度與保險配置。保險條款和貸款核准各有條件，不能當成一定會到位的現金。
步驟三 用演練找出文件以外的漏洞
演練可以從 45 分鐘的桌上推演開始。宣布一個情境，例如週一早上訂單系統遭到鎖定，主要供應商同時通知延遲五天，讓團隊照計畫聯絡人員、取回備份、決定訂單優先級並通知客戶。過程中記四個數字：多久完成通知、多久找到資料、多久做出切換決策、哪些權限拿不到。
報告中，30 個回覆者有 24 個會與民間部門辦理緊急準備演練，典型內容是演練公司的 BCP、危機溝通、應變架構壓力測試與即時決策，這四項剛好能當成中小企業桌上推演的檢查項目。這些數字談的是政府與關鍵基礎設施的合作，不能代表一般中小企業的成效，但它說明計畫要靠演練才知道有沒有用。每次演練後只改三到五個最大的漏洞，下一季再測一次。
圖1：各國政府協助關鍵基礎設施推動營運持續的措施
圖片來源：OECD（2026），Figure 4.8，第 97 頁；原始資料為 2022 OECD Questionnaire on the Governance of Critical Risks。
回覆數最高的是提供風險管理標準與工具包（21），其次為與業者分享風險資訊（17）、建立支援營運持續的特定能力（10）、現場派駐第一線應變人員（7）；溝通法規要求（3）、社區型企業誘因（2）與其他（2）偏少。這是國家層級措施的次數統計，不能解讀成企業存活率。
三、日本、韓國與澳英經驗，怎麼變成 30 天可執行版本
各國制度給中小企業的啟發集中在三件事：把版本做簡單、用誘因推動、指定一個人負責看住。
日本的資料最完整。內閣府 2013 年發布《事業継続ガイドライン》第三版，2019 年的實況調查顯示，已完成 BCP 的大型企業從 2018 年的 64% 升到 68%，中堅企業從 31% 升到 34%；已完成與正在制定合計，兩者約為 83% 與 53%。「53%」的正確說法是中堅企業已完成或正在制定，不能寫成超過半數已正式導入。
日本另有一套第三方認證，把積極投入營運持續規劃的公司認定為「有助國家韌性的組織」，截至 2021 年 3 月底共 213 個組織取得。制度靠專家評核與每兩年定期更新維持品質，搭配 11 項誘因，包括日本政策金融公庫的 BCP 貸款優惠利率。每兩年更新這個設計值得單獨看一眼，計畫最容易壞在放著不動。
韓國採混合做法：提供必要且具戰略性商品與服務的特定公私營企業必須具備 BCP，其他企業以鼓勵為主，用保險費折減與租稅優惠推動。兩國的共同點是，沒有一國把中小企業的 BCP 當成單純的法遵義務。
澳洲與英國共同推動的供應鏈韌性架構，給了一個好記的四模組順序：辨識與評估風險、採取相稱且有效的緩解行動、建立監測與定期檢討機制、指定專責單位負責治理。這是國家層級設計，縮小成一家公司的版本毫不勉強，最後一項尤其實用，計畫必須有人具名負責。
規模更接近的制度是日本中小企業廳的「事業継続力強化計画」，企業把風險認識、災損推估與發災初動程序寫成計畫並經經濟產業大臣認定後，可適用防災減災設備的稅制優惠、金融支援與補助金加分。這段屬 OECD 報告以外的補充，內容以中小企業廳公開資料為準。
表2：中小企業 BCP 30 天執行清單
| 期間 | 工作焦點 | 要完成的內容 | 建議負責人 | 驗證標準 |
| 第 1～7 天 | 找核心工作 | 找核心工作 | 老闆＋部門主管 | 每項流程都有優先級與一名代理人 |
| 第 8～14 天 | 補切換路徑 | 確認備援供應商、資料還原、替代場地與代理權限 | 採購＋資訊＋財務 | 至少完成一次電話、帳號或還原測試 |
| 第 15～21 天 | 寫兩頁計畫 | 整理啟動條件、聯絡順序、決策權限與客戶通知模板 | 營運主管 | 不問老闆也能找到最新版與聯絡方式 |
| 第 22～30 天 | 桌上演練 | 模擬斷料、停電或資安事件，記錄四項時間與卡點 | 全體核心人員 | 會後指定修正人、期限與下次測試日 |
表格製作：夢想智賦
把它當成四週的專案排程，每週只推一件事，週末用最右欄的驗證標準檢查完成度。四週跑完只會得到最小可行版本，有多廠區、跨境供應商或受監理資料的公司，第 22～30 天的演練通常會指出還要再加一輪；十人以內、單一據點的公司，前兩週的產出多半就夠用。
交付物很簡單：一張流程風險表、一份兩頁計畫、一次演練紀錄。設備採購與正式驗證排進後續預算，前 30 天先確認誰能決定、資料放在哪裡、替代路徑啟不啟得動。
四、中小企業 BCP 常見問題FAQ
Q1：小公司人少、預算有限，真的有必要做中小企業 BCP 嗎？
有必要，而且可以從兩頁版本開始。人越少，報價、密碼、供應商關係與簽核權限越容易集中在同一個人身上。先寫出核心流程、代理人、備援聯絡方式與啟動條件，就能降低單點故障。設備、保險或驗證要不要再投入，依風險與成本決定。
Q2：BCP 是什麼的縮寫？和消防演練、災害應變計畫有什麼不同？
BCP 是 Business Continuity Plan 的縮寫，中文稱營運持續計畫。消防演練優先處理人員安全與疏散，BCP 接著處理公司怎麼維持或恢復核心工作。兩者會在聯絡與指揮系統上重疊，但 BCP 還要涵蓋訂單、供應商、資料、付款、客戶通知與恢復順序。人員安全仍應放在所有營運決策之前。
Q3：公司應該準備幾個月的緊急預備金？
沒有一個適合所有中小企業的固定月數，OECD 這份報告也沒有提出 3～6 個月的通用標準。先做 4、8、12 週的現金流壓力測試，把必要支出、收款延遲、可暫停的成本與融資到位時間算進去，再設定緩衝。
Q4：BCP 多久要演練或更新一次？
法規或客戶契約若有規定，依適用要求辦理；一般中小企業可以把「至少每年一次」當成管理起點，日本第三方認證制度採每兩年定期更新，節奏類似。換系統、搬廠、增加重要供應商、核心人員異動或演練失敗時，不必等年度檢查，立刻更新相關頁面並重新測試。
Q5：公司做 BCP 一定要申請 ISO 22301 驗證嗎？
不一定。ISO 22301 是營運持續管理系統的國際標準，取得驗證通常是為了回應客戶、供應鏈或治理要求，沒有驗證也能先做核心流程盤點、備援與演練。OECD 調查顯示，多數國家連關鍵基礎設施業者都未全面強制要求 BCP。投標條件或關鍵客戶明確要求時，再評估範圍、成本與導入時程。
五、參考資料
企業經營的每個階段，幾乎都會遇到需要外部資源與專業協助的時刻，只是多數人並不確定，該從哪裡開始。關於夢想智賦｜你的公司資源加速器我們致力於成為企業成長的最佳推手，提供一站式的企業資源整合服務。累計至今，我們已成功輔導超過 60 家企業完成創新研發佈局與經營規模擴張，累計已幫企業取得超過新 台幣 1.2 億元的政府補助資源，我們是企業轉型升級最堅實的後盾。 【資金媒合】協助申請政府補助、財務募資，讓好點子有錢執行。【顧問陪跑】提供數位轉型工具與專業諮詢，解決經營卡關難題。【品牌曝光】舉辦活動與媒體宣傳，讓更多人看見你的品牌。不論你是新創公司、中小企業還是想要數位轉型，我們提供多元顧問團隊來幫你找到對的成長資源！► 想免費獲得第一手關鍵情報資源？免費加入【官方會員】獲得會員專屬電子報＋【官方LINE帳號】，最新資訊不漏接，我們陪你一起把公司做大！
