危机、紧急情况与韧性管理

这为何对公共价值重要

如今每一个公共机构,都在一连串相互叠加、越来越频繁的冲击之中运作:更频繁、更severe的极端天气、疫情、针对关键基础设施的网络攻击、供应链冲击,以及由冲突驱动的人口流离失所。公民评判政府与社会部门组织,依据的与其说是任何单一决策,不如说是这些组织在地动山摇时的表现——医院能否继续运转、疏散命令是否及时到达、食物银行能否在一夜之间扩大规模。这种评判是持久的:一次处理得当、或处理不当的危机,可能重塑一个机构长达一代人的公众信任(见主题4.2——政府信任与公民参与)。

预算逻辑却与做好准备背道而驰。为一场今年可能不会发生的危机所准备的常设应对能力,在每一轮年度预算中,都要与选民和资助方今天就能看到的可见服务交付相竞争。一道维护良好的防洪工程,或一份经过演练的连续性计划,一旦奏效便不会产出任何头条新闻——它的价值只体现在那场没有发生的灾难之中。这正是本主题的核心张力:韧性建设起来代价高昂,一旦成功便不可见,而一旦缺失则毫不留情。

因此,危机、紧急情况与韧性管理不是公共管理之外一个专家附录;它检验的是,一个组织的公共价值主张——它的合法性、它的运营能力、它对公民所宣称的价值——能否在最能揭示它究竟是否真实的那一种条件下站得住脚(见主题1.2——战略三角:合法性、价值与能力)。本主题把韧性,不仅仅当作风险缓解,而是当作一种本身就具有价值的公共价值来对待,一种社会应该愿意像为国防或公共卫生付费一样,提前为之付费的价值。

核心概念

灾害隐患是一种潜在的损害来源——一场洪水、一种病原体、一次网络入侵、一个关键供应商的失效。一种灾害隐患,只有在它压垮了受影响的人与系统的应对能力时,才会变成一场灾难;同样一场洪水,在一座排水良好、投保充分的城市里可能只是一次小小的不便,而没有这些防线,却可能是灾难性的。风险是灾害隐患的可能性、其严重程度,以及它所冲击的对象的暴露程度与脆弱性的组合——评估这种组合的分析工具在别处有完整的论述,本主题建立在它之上、而非重复它(见主题3.10——监管与公共风险管理)。

应急管理是一门降低对灾害隐患脆弱性、并在灾害隐患真正发生时协调应对的学问,围绕一个四阶段的周期加以组织。预防与缓解,在灾害隐患真正冲击之前降低它的可能性或严重程度——建筑规范、防洪屏障、疫苗接种项目、网络加固。准备,建立起在预防失效时能够良好应对的能力——预案、受过训练的员工、储备物资、演练。响应,是事件发生期间及紧随其后的运营阶段,而恢复,则是恢复社区与系统的更长期任务,理想情况下是恢复到一个比之前更不脆弱的状态,而非原样重建。

危机领导力是危机管理这个更广泛领域中人的维度,它在三个方面与常规管理不同。决策必须在严峻的时间压力之下做出,常常以分钟、而非一次正常政策决策所允许的数周为单位;可获得的信息永远是不完整的,在最初几个小时里也常常是错误的,因此领导者必须依据一幅他们知道日后需要修正的工作图景来行动;而审视是即时的、公开的,因此一位领导者可见的举止本身,就成了公众评判这个机构是否掌控局面的一部分。因此,危机领导力同时结合了两项工作:做出手头可获得的最佳运营决策,以及在证据不完整的情况下提供维持公众信任的意义建构。

全灾害种类方式建立起能够跨越许多种灾害隐患类型——洪水、疫情、网络攻击、工业事故——运作的规划、指挥结构与核心能力,而不是为每一种类型维护一份各自独立、彼此隔绝的预案。因为诸如通信、后勤与互助等能力,几乎对每一种灾害隐患类型都是通用的,一套配有针对具体灾害隐患附件的全灾害种类框架,应对没有人为之规划过的那种灾害隐患的能力,远胜过一套由各种单一灾害隐患预案构成的文库。

业务连续性规划是应急管理在组织层面的对应物:让一个组织自身的关键职能持续运转,或在一次事件——可能与一场公共紧急状态毫无关系,例如一处数据中心的火灾、一个关键供应商的丧失、一次罢工——造成中断时迅速恢复它们。参考标准是由国际标准化组织(ISO)发布的ISO 22301,它规定了一套管理体系的要求,该体系防范、准备、响应并从此类事件中恢复。这两门学问相互重叠,却并不相同:一个组织可能为自己的薪资系统制定了一份出色的连续性计划,却没有一份针对影响其整个服务区域的洪水的应急预案。

韧性是预见一次冲击、吸收它、在它期间加以适应,并且——理想情况下——变得比以前更强大的能力。工程韧性关注一个物理系统如何承受损害并恢复功能;社区韧性关注家庭、社区与机构如何应对与恢复,常常同样依赖社会资本、而非仅仅依赖物理资产。一座技术上具有韧性的桥梁,对一个没有韧性的方式抵达它、跨越它疏散,或为其维修提供资金的社区来说,用处不大。

韧性具有公共物品的结构(见主题1.4——公共物品、优值品与价值多元论):一旦一道防洪工事或一套预警系统存在,它的保护性收益在很大程度上是非排他的(处于其覆盖范围内的每一个人都能受益,无论他们是否出资),也是非竞用的(一个家庭获得的保护,不会减损邻居所获得的保护)。若任由个人或市场提供,韧性会被系统性地供给不足,因为没有任何单一行为者能够获得足以证成支付全部成本的收益——这正是集体性、提前出资的韧性投资的公共价值论证。

最后,许多破坏性最强的失败,不是单一的灾害隐患,而是级联式或复合型危机,其中一次失败触发或掩盖了另一次失败——一场风暴切断了电力,导致水处理瘫痪,迫使一家医院转用备用发电机、而后者又发生了故障。社会学家查尔斯·佩罗在他对复杂、紧密耦合系统的分析著作《正常事故》中主张,在这类系统中,无论操作人员多么谨慎,某些事故都几乎不可避免,因为失败在相互依存关系中传播的速度,超过任何人所能干预的速度。只测试一种灾害隐患的规划,永远无法发现由两三种灾害隐患同时到来所引发的那种失败。

最佳实践

1. 把应急管理周期当作一项常设能力,而非一个项目来对待。 预防与缓解、准备、响应与恢复,是持续的、获得资源支持的职能,拥有指定的负责人,按固定周期加以重新审视,而不仅仅在一次事件迫使这个问题浮现之后。
2. 以全灾害种类为基础进行规划,再在其上叠加针对具体灾害隐患的附件。 一次性建立起共同的能力——指挥、通信、后勤、互助——然后再为洪水、疫情或网络事件各自所需的细节加以补充,避免陷入对上一场危机准备得极为出色、却对下一场危机视而不见的陷阱。
3. 在投资应对能力之前先投资监测与预警。 一天的预警时间,常常比一周额外的应对能力更有价值,因为它让人与系统能够撤离危险,而不是从中被救出。预警系统也是韧性公共物品特性最清晰的实例之一:向多一户家庭延伸的成本很低,如果对任何一户人家有所保留就没有用处。
4. 在需要这项能力之前、而非之后加以演练。 桌面演练、职能演练与全面模拟,能揭示出一份书面预案所隐藏的缺口——一份已经过时两年的电话联络树、一个没有人记得存在的权限。要跨越组织边界演练,而不仅仅在一个组织内部演练,因为大多数真实的危机都不尊重组织架构图。
5. 在一场危机之前、而非危机期间预先协商好互助与增援能力协议。 关于共享设备、人员借调与财务后盾的协议,在正常时期也需要数周才能谈成,而在危机压力之下几乎不可能谈成。地方、区域与跨境安排,应该提前签署、提供资金,并加以测试。
6. 用书面形式明确规定指挥层级与决策权限,并检验这项权限是否真的能够运作。 把战略性(目标与优先事项)、战术性(协调应对)与运营性(在现场执行)决策分开,在它们之间设定明确的升级触发条件,如果正在使用一套标准化模型,例如事故指挥系统,就遵循它。清楚地知道——并演练——究竟是谁能在一个公共假日凌晨三点宣布进入紧急状态、启动预案。
7. 为组织自身的关键职能建立并测试一份业务连续性计划。 识别出哪些职能一旦丧失、在数小时内(而非数周内)就无法接受,并专门为这些职能设计恢复安排——备用场地、数据备份、授权代理——遵循一套公认的标准,例如ISO 22301,而不是一份临时拼凑的核对清单。
8. 及早、诚实地,通过单一可信渠道进行沟通。 在一场危机最初几个小时的信息真空之中,谣言与错误信息会填满官方沟通留下的任何空白。说清楚已知的是什么、尚未知道的是什么,以及下一次更新将在何时到来,即便实质性的答案仍然是"我们还不知道"。
9. 设计恢复工作以降低下一场灾难的风险,而不仅仅是重建此前存在的东西。 "更好地重建"是一门纪律,而非一句口号:恢复资金,是大多数公共机构此后能够用于韧性投资的单一最大资金池,把它花在重现昨天的脆弱性上,是一次将会被再次付出代价的浪费的机会。
10. 把韧性作为基础预算中的一条常设科目来资助,而不仅仅通过应急与灾难基金。 反应性的、事后的灾难资金,通常比本可以减少对它需求的缓解性支出昂贵许多倍,但在一个财政紧张的年份,基础预算却常常是韧性投资最先被削减的地方。像国防预算保护常备战备状态那样,保护一份最低配置。
11. 在每一次重大事件与演练之后,运行一次结构化的事后审查,并追踪其发现是否被付诸行动。 一份没有人执行的经验教训报告,从下一场危机的视角来看,与从未审查过任何东西没有区别。为每一项建议指定负责人与截止日期,并汇报完成情况。
12. 保护参与应对工作人员的福祉。 旷日持久的危机会让应对人员在身体上与心理上都精疲力竭,而经验丰富员工的职业倦怠,本身就是一种韧性风险,会掏空这个组织本想保护的那份能力。从一开始就把轮换、休息与事件后支持纳入预案之中,而不要等到人们已经精疲力竭之后才作为事后补救。

与团队讨论的问题

谁有权宣布进入危机状态,我们是否检验过它在一个公共假日凌晨三点真的能够运作? 一种只存在于组织架构图上的权限,与一种在通常的指挥链正在睡觉、正在旅行,或无法联系时仍能运作的权限,是不同的。具体地梳理一下,谁会最先被联系到,如果这个人在15分钟内无法联系上会发生什么,以及谁能实际做出第一个具有后果的决策。许多组织只有在一次真实事件中,才会发现指定的权限持有者已经换了工作、备用联络名单已经过时,或者层级之下没有任何人相信自己可以在没有获得许可的情况下采取行动。在这次检验成为一次真实检验之前解决这个问题。

我们的韧性预算是多少,如果有人要求我们指出它,我们能认出它吗? 大多数组织能够说出自己的灾难应对预算,却很难辨认出自己在一个普通年份,花了多少钱在预防、缓解与准备上。如果连管理它的人都看不见韧性支出,它就会是预算收紧时最先被削减的东西,因为在下一场危机到来之前,没有人会注意到它的缺失。讨论一下,韧性投资是否是一条受保护的、被明确标注的科目,以及谁必须批准削减它。

我们上一次演练自己的业务连续性与应急预案是什么时候,实际上哪里出了问题? 一份从未针对一个现实情景接受检验的预案,是一项假设,而不是一项能力。诚实地回顾最近一次演练或真实事件:哪一项假设被证明是错的、哪一个联系人无法联系上、哪一项依赖关系此前没有被绘制出来。如果什么都没出问题,这本身也值得深究——这可能意味着这次演练要求得不够严苛。

当证据不完整、时钟又在运转时,我们如何做决策? 常规的政策制定可以等待更好的证据;危机领导力不能。讨论一下,当一个团队必须在依据不完全信息立即行动、与等待、以时间为代价之间做出选择时,存在什么权限与默认选项。事先就哪些决策足够可逆、可以迅速做出,哪些决策后果足够重大、即便在压力之下也值得刻意延迟达成一致。

在一场危机中,公众信任的是谁的声音,我们是否有意识地培养了这个人的领导能力? 组织架构图上最高级的那个人,不一定自动就是公众会信任的人,或最适合承担危机领导力所要求的那种意义建构角色的人。讨论一下这个人或这些人应该是谁,他们是否接受过真正的媒体与危机沟通培训,以及这个组织是否已经建立起冗余,使这个角色不依赖于某一个人的可用性。

我们从上一次重大事件中学到了什么,我们能指出因此改变了的某件事吗? 许多组织都会制作详尽的事后行动报告,却只读一次、归档、再也不去翻阅。讨论一份过去审查报告中最后三项建议,具体追溯每一项是否被实施、部分实施,还是被悄悄放弃了。一个无法回答这个问题的组织,无论它的书面审查看起来多么出色,实际上都没有从经验中学习。

实践中的公共价值案例

以下情形是虚构的、说明性的。它不描述任何真实机构。

Rivermouth市,一个虚构的中等规模沿海城市,运营着自己的市政供水公用事业,服务34万居民。在深秋,一个严重的风暴系统在该地区停滞不前,产生了该事业单位40年运营记录中最大的降雨量,河流水位在六小时之内就超过了处理厂防洪工事的设计门槛。与此同时——与这场风暴无关,却利用了它所造成的分心——该事业单位的监控与数据采集(SCADA)系统,即远程操作水泵与阀门的软件,检测到了一次入侵,而一座同时为该处理厂与附近一家医院供电的变电站失去了电力。

该事业单位的应急运营预案,建立在一套配有洪水附件与网络事件附件的全灾害种类模板之上,由值班经理依据预先以书面形式委托的权限加以启动,无需先联系到首席执行官。一个战略指挥小组在20分钟内通过视频集结,设定目标——首先保护饮用水安全与医院电力——而一个战术单元,由该事业单位的工程师、市应急管理办公室与区域电力运营商共同组成,管理着实时的应对工作。由于网络附件恰恰假设了这种复合型失败,SCADA系统在30分钟内被隔离,不再允许远程访问,操作人员转而使用一套在此前18个月内演练过两次的人工控制程序——较慢,但并非临时拼凑。

该事业单位的业务连续性计划早已识别出饮用水处理与医院附近的电力,是那两项一旦丧失、在数小时内就无法接受的职能,这推动了此前对一份移动备用发电机合同与那套如今被证明起到决定性作用的人工备用程序的投资。一位受过训练的发言人每小时向公众提供最新情况,说明已被确认的信息、尚未确认的信息,以及下一次更新的时间,这防止了谣言填补这个空白。在36小时之内,供水服务被确认是安全的,医院电力也通过一条临时线路得到恢复;整个网络的完全稳定又花了五天时间。

三个月后审查这起事件的恢复委员会,并没有简单地按原始规格重建这座处理厂。它依据修订后的气候预测,把防洪工事提升到了一个新的门槛,这类适应措施本主题留给了专门的文献(见主题4.3——气候、可持续性与环境公共价值),资助建立了第二个独立的SCADA控制中心,并要求未来的基础设施升级,必须对照级联式、多灾害情景加以评估,而不仅仅是单一灾害情景。这些支出没有一项会作为公民日常可见的服务出现;它全部的公共价值,都在于下一次不会发生的灾难之中。

四种部门视角

地方政府

地方政府几乎总是第一响应者,也是最接近灾害隐患落地之处的政府层级,这给了它任何更高层级都无法复制的运营知识,但也给了它独自吸收一次重大冲击的最薄弱财政能力。地方韧性通常依赖于相邻市政府、应急服务、公用事业与志愿组织之间的伙伴关系,因为几乎没有任何一个单一地方政府,能够在内部拥有一次严重事件所需要的全部能力。它真正的挑战,是在一套围绕常规服务交付建立起来的员工队伍与预算结构之内,维持专门的战备状态——受过培训的员工、经过演练的预案、维护良好的设备(见主题3.6——公共部门人力资源与劳动力市场)。

国家政府

国家政府设定标准,持有任何单一地方都无法独自证成维护的战略储备,通常也是唯一有权宣布进入国家紧急状态、在各地区与各部门之间协调一种全政府方式,并资助大规模恢复工作的行为者。它特有的风险与地方政府相反:一个国家部委可能产出优秀的原则,却从未在事件真正发生的地方转化为经过检验的能力,因为实施依赖于它并不直接掌控的较低层级。有效的国家韧性,在很大程度上取决于国家与次国家责任是如何被划分与资助的(见主题3.9——政府间关系与联邦制)。

社会部门与非营利组织

非营利与社区组织,常常拥有正规政府难以轻易复制的韧性能力:既有的信任与触及一场危机中最难以服务的人群的能力,以及比一个受制于采购程序的公共机构更快地临时组织交付——食物、庇护、外展——的灵活性。它们特有的脆弱性是资金波动:捐款与紧急拨款在一场可见的灾难之后立即飙升,却在毫不光鲜的准备阶段枯竭,而这恰恰是规划与志愿者基础设施最需要投资的时候(见主题3.8——社会部门与非营利组织管理)。在旷日持久或反复发生的危机中,志愿者的职业倦怠,在这里是一种特有的、反复出现的风险,因为增援能力依赖的是一种并非无限可再生的善意。

多边与国际

多边机构增添了任何单一国家政府都无法独自提供的价值:协调跨境的灾害隐患,例如疫情或跨界洪水;汇集较小国家无法各自独立维持的技术专长;以及运营预先安排的融资机制——应急基金、与灾难挂钩的保险、汇集储备——在众多国家之间分散风险。它们特有的制约是主权:一个国际机构可以提出建议、召集会议并提供资金,却无法强制一个国家政府做好准备,而它的有效性,取决于各国当局是否依据共享的标准采取行动,例如《仙台减少灾害风险框架》,由联合国减少灾害风险办公室(UNDRR)加以协调,作为减少灾害风险领域领先的全球参考标准。

常见失败模式

作为合规文件的预案。 一份书面的应急或连续性计划存在,满足了一项审计要求,却从未被那些将需要使用它的人演练、更新或阅读过。这项代价只有在一次真实事件中才会浮现,那时联络电话、假设与权限,被证明早已过时多年。

不明确或未经检验的指挥权限。 没有人能确信谁真正有权宣布进入紧急状态、启动互助机制,或授权紧急支出,于是一次真实事件最初的几个小时,被花在了确立权限、而非行使权限之上——耗费的正是一场危机无法挽回的资源:最初的时间。

单一灾害隐患的隧道视野。 规划与资源配置聚焦于重新打上一场危机、而非一场不同的或复合型的危机,于是一个为一场洪水准备得极为出色的组织,对随之而来的网络攻击视而不见。佩罗对紧密耦合系统中级联式失败的论述,恰恰描述了这种模式,它在从未为灾害隐患同时到来做过规划的各个领域中反复出现。

英雄式的临场发挥被误认为是准备充分。 一场危机被处理得当,是因为一位格外能干的个人在压力之下临场发挥,而这个组织由此得出结论,认为这套体系奏效了——而实际上它是尽管有这套体系、而非因为这套体系才奏效的。这种脆弱性是不可见的,直到那位能干的个人下一次不在场为止。

沟通真空。 一次事件最初几个小时里官方的沉默,无论是出于谨慎还是流程原因,从来都不是真正的沉默——它会被谣言与错误信息填满,而这些谣言与错误信息,事后要比事先加以预防难以纠正得多(见主题4.4——社交媒体、错误信息与公共传播)。

重建脆弱性、而非重建韧性。 恢复资金恢复了一次事件之前存在的东西,而没有降低下一次事件的风险,因为"更好地重建"比"照原样重建"前期成本更高,而恢复的时间表很少奖励那份耐心。

顺周期的韧性削减。 对缓解与备用能力的常设投资,是一个财政紧张年份最先被削减的一条科目,恰恰因为它的缺失是不可见的,直到一场危机将其暴露出来——于是韧性支出下降最快的时刻,恰恰是财政压力让未来的冲击变得更具破坏性、而非更小的时候。

成熟度模型

检查清单

• 存在一份书面的、全灾害种类的应急预案,配有针对具体灾害隐患的附件,并由一个指定角色负责。
• 指挥权限——谁能宣布进入危机状态并启动预案——被记录在案,并在正常工作时间之外接受过检验。
• 业务连续性计划识别出这个组织的关键职能及其最长可承受的中断时长。
• 与相邻组织或辖区的互助与增援能力协议已经签署、保持现行有效,而不仅仅停留在讨论阶段。
• 过去12个月内至少运行过一次演练(桌面、职能或全面模拟),其发现被追踪至完成。
• 已确定、培训并准备好一位单一的、可信的发言人或沟通渠道,能在一次事件发生的第一个小时内启动。
• 韧性投资在基础预算中作为一条可识别的、受保护的科目出现,而不仅仅出现在灾难或应急基金之中。
• 恢复规划包含一项明确的"更好地重建"要求,而不是默认按原样重建。
• 每一次重大事件与演练之后都进行事后审查,建议被指定了负责人与截止日期。
• 应对人员的福祉——轮换、休息与事件后支持——被内建到预案之中,而不是在人们已经精疲力竭之后才加以补充。
• 对供应商、公用事业与伙伴组织的依赖关系已被绘制出来,使一次复合型或级联式失败不再是一个意外。
• 已检查与风险管理(见主题3.10——监管与公共风险管理)以及在相关的地方与气候特有的韧性(见主题4.3——气候、可持续性与环境公共价值)的交叉引用,是否与本预案保持一致。

关键资料来源

本主题借鉴了国际应急管理文献中的四阶段周期(预防/缓解、准备、响应、恢复)、联合国减少灾害风险办公室的《仙台减少灾害风险框架》作为减少灾害风险的主要全球政策参考、国际标准化组织的ISO 22301作为业务连续性管理体系的参考标准、经济合作与发展组织在风险治理与韧性方面的工作,以及查尔斯·佩罗对复杂、紧密耦合系统中级联式失败的分析。国家层面的实例取自美国联邦紧急事务管理局的《国家战备目标》,以及英国内阁办公室的《韧性框架》,这里将它们作为国家模式的说明性实例引用,而非作为普适模型。

参考文献

1. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
2. Business continuity planning — Wikipedia — https://en.wikipedia.org/wiki/Business_continuity_planning
3. Crisis management — Wikipedia — https://en.wikipedia.org/wiki/Crisis_management
4. Disaster risk reduction — Wikipedia — https://en.wikipedia.org/wiki/Disaster_risk_reduction
5. Sendai Framework for Disaster Risk Reduction — Wikipedia — https://en.wikipedia.org/wiki/Sendai_Framework_for_Disaster_Risk_Reduction
6. Resilience (engineering and construction) — Wikipedia — https://en.wikipedia.org/wiki/Resilience_(engineering_and_construction)
7. Community resilience — Wikipedia — https://en.wikipedia.org/wiki/Community_resilience
8. Incident Command System — Wikipedia — https://en.wikipedia.org/wiki/Incident_Command_System
9. Normal Accidents — Wikipedia — https://en.wikipedia.org/wiki/Normal_Accidents
10. Public good (economics) — Wikipedia — https://en.wikipedia.org/wiki/Public_good_(economics)
11. Whole-of-government approach — Wikipedia — https://en.wikipedia.org/wiki/Whole-of-government_approach
12. What is the Sendai Framework for Disaster Risk Reduction? — United Nations Office for Disaster Risk Reduction — https://www.undrr.org/implementing-sendai-framework/what-sendai-framework
13. ISO 22301:2019 Security and resilience — Business continuity management systems — International Organization for Standardization — https://www.iso.org/standard/75106.html
14. Risk governance — OECD — https://www.oecd.org/en/topics/sub-issues/sustainable-and-resilient-infrastructure/risk-governance.html
15. National Preparedness Goal — Federal Emergency Management Agency (US) — https://www.fema.gov/emergency-managers/national-preparedness/goal
16. The UK Government Resilience Framework — Cabinet Office (UK) — https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1125536/6.8213_CO_Resilience_Framework_FINAL_1_.pdf