危機、緊急情況與韌性管理

這為何對公共價值重要

如今每一個公共機構,都在一連串相互疊加、越來越頻繁的衝擊之中運作:更頻繁、更severe的極端天氣、疫情、針對關鍵基礎設施的網路攻擊、供應鏈衝擊,以及由衝突驅動的人口流離失所。公民評判政府與社會部門組織,依據的與其說是任何單一決策,不如說是這些組織在地動山搖時的表現——醫院能否繼續運轉、疏散命令是否及時到達、食物銀行能否在一夜之間擴大規模。這種評判是持久的:一次處理得當、或處理不當的危機,可能重塑一個機構長達一代人的公眾信任(見主題4.2——政府信任與公民參與)。

預算邏輯卻與做好準備背道而馳。為一場今年可能不會發生的危機所準備的常設應對能力,在每一輪年度預算中,都要與選民和資助方今天就能看到的可見服務交付相競爭。一道維護良好的防洪工程,或一份經過演練的連續性計劃,一旦奏效便不會產出任何頭條新聞——它的價值只體現在那場沒有發生的災難之中。這正是本主題的核心張力:韌性建設起來代價高昂,一旦成功便不可見,而一旦缺失則毫不留情。

因此,危機、緊急情況與韌性管理不是公共管理之外一個專家附錄;它檢驗的是,一個組織的公共價值主張——它的合法性、它的運營能力、它對公民所宣稱的價值——能否在最能揭示它究竟是否真實的那一種條件下站得住腳(見主題1.2——戰略三角:合法性、價值與能力)。本主題把韌性,不僅僅當作風險緩解,而是當作一種本身就具有價值的公共價值來對待,一種社會應該願意像為國防或公共衛生付費一樣,提前為之付費的價值。

核心概念

災害隱患是一種潛在的損害來源——一場洪水、一種病原體、一次網路入侵、一個關鍵供應商的失效。一種災害隱患,只有在它壓垮了受影響的人與系統的應對能力時,才會變成一場災難;同樣一場洪水,在一座排水良好、投保充分的城市裡可能只是一次小小的不便,而沒有這些防線,卻可能是災難性的。風險是災害隱患的可能性、其嚴重程度,以及它所衝擊的物件的暴露程度與脆弱性的組合——評估這種組合的分析工具在別處有完整的論述,本主題建立在它之上、而非重複它(見主題3.10——監管與公共風險管理)。

應急管理是一門降低對災害隱患脆弱性、並在災害隱患真正發生時協調應對的學問,圍繞一個四階段的週期加以組織。預防與緩解,在災害隱患真正衝擊之前降低它的可能性或嚴重程度——建築規範、防洪屏障、疫苗接種專案、網路加固。準備,建立起在預防失效時能夠良好應對的能力——預案、受過訓練的員工、儲備物資、演練。響應,是事件發生期間及緊隨其後的運營階段,而恢復,則是恢復社群與系統的更長期任務,理想情況下是恢復到一個比之前更不脆弱的狀態,而非原樣重建。

危機領導力是危機管理這個更廣泛領域中人的維度,它在三個方面與常規管理不同。決策必須在嚴峻的時間壓力之下做出,常常以分鐘、而非一次正常政策決策所允許的數週為單位;可獲得的資訊永遠是不完整的,在最初幾個小時裡也常常是錯誤的,因此領導者必須依據一幅他們知道日後需要修正的工作圖景來行動;而審視是即時的、公開的,因此一位領導者可見的舉止本身,就成了公眾評判這個機構是否掌控局面的一部分。因此,危機領導力同時結合了兩項工作:做出手頭可獲得的最佳運營決策,以及在證據不完整的情況下提供維持公眾信任的意義建構。

全災害種類方式建立起能夠跨越許多種災害隱患型別——洪水、疫情、網路攻擊、工業事故——運作的規劃、指揮結構與核心能力,而不是為每一種型別維護一份各自獨立、彼此隔絕的預案。因為諸如通訊、後勤與互助等能力,幾乎對每一種災害隱患型別都是通用的,一套配有針對具體災害隱患附件的全災害種類框架,應對沒有人為之規劃過的那種災害隱患的能力,遠勝過一套由各種單一災害隱患預案構成的文庫。

業務連續性規劃是應急管理在組織層面的對應物:讓一個組織自身的關鍵職能持續運轉,或在一次事件——可能與一場公共緊急狀態毫無關係,例如一處資料中心的火災、一個關鍵供應商的喪失、一次罷工——造成中斷時迅速恢復它們。參考標準是由國際標準化組織(ISO)釋出的ISO 22301,它規定了一套管理體系的要求,該體系防範、準備、響應並從此類事件中恢復。這兩門學問相互重疊,卻並不相同:一個組織可能為自己的薪資系統制定了一份出色的連續性計劃,卻沒有一份針對影響其整個服務區域的洪水的應急預案。

韌性是預見一次衝擊、吸收它、在它期間加以適應,並且——理想情況下——變得比以前更強大的能力。工程韌性關注一個物理系統如何承受損害並恢復功能;社群韌性關注家庭、社群與機構如何應對與恢復,常常同樣依賴社會資本、而非僅僅依賴物理資產。一座技術上具有韌性的橋樑,對一個沒有韌性的方式抵達它、跨越它疏散,或為其維修提供資金的社群來說,用處不大。

韌性具有公共物品的結構(見主題1.4——公共物品、優值品與價值多元論):一旦一道防洪工事或一套預警系統存在,它的保護性收益在很大程度上是非排他的(處於其覆蓋範圍內的每一個人都能受益,無論他們是否出資),也是非競用的(一個家庭獲得的保護,不會減損鄰居所獲得的保護)。若任由個人或市場提供,韌性會被系統性地供給不足,因為沒有任何單一行為者能夠獲得足以證成支付全部成本的收益——這正是集體性、提前出資的韌性投資的公共價值論證。

最後,許多破壞性最強的失敗,不是單一的災害隱患,而是級聯式或複合型危機,其中一次失敗觸發或掩蓋了另一次失敗——一場風暴切斷了電力,導致水處理癱瘓,迫使一家醫院轉用備用發電機、而後者又發生了故障。社會學家查爾斯·佩羅在他對複雜、緊密耦合系統的分析著作《正常事故》中主張,在這類系統中,無論操作人員多麼謹慎,某些事故都幾乎不可避免,因為失敗在相互依存關係中傳播的速度,超過任何人所能干預的速度。只測試一種災害隱患的規劃,永遠無法發現由兩三種災害隱患同時到來所引發的那種失敗。

最佳實踐

1. 把應急管理週期當作一項常設能力,而非一個專案來對待。 預防與緩解、準備、響應與恢復,是持續的、獲得資源支援的職能,擁有指定的負責人,按固定週期加以重新審視,而不僅僅在一次事件迫使這個問題浮現之後。
2. 以全災害種類為基礎進行規劃,再在其上疊加針對具體災害隱患的附件。 一次性建立起共同的能力——指揮、通訊、後勤、互助——然後再為洪水、疫情或網路事件各自所需的細節加以補充,避免陷入對上一場危機準備得極為出色、卻對下一場危機視而不見的陷阱。
3. 在投資應對能力之前先投資監測與預警。 一天的預警時間,常常比一週額外的應對能力更有價值,因為它讓人與系統能夠撤離危險,而不是從中被救出。預警系統也是韌性公共物品特性最清晰的例項之一:向多一戶家庭延伸的成本很低,如果對任何一戶人家有所保留就沒有用處。
4. 在需要這項能力之前、而非之後加以演練。 桌面演練、職能演練與全面模擬,能揭示出一份書面預案所隱藏的缺口——一份已經過時兩年的電話聯絡樹、一個沒有人記得存在的許可權。要跨越組織邊界演練,而不僅僅在一個組織內部演練,因為大多數真實的危機都不尊重組織架構圖。
5. 在一場危機之前、而非危機期間預先協商好互助與增援能力協議。 關於共享裝置、人員借調與財務後盾的協議,在正常時期也需要數週才能談成,而在危機壓力之下幾乎不可能談成。地方、區域與跨境安排,應該提前簽署、提供資金,並加以測試。
6. 用書面形式明確規定指揮層級與決策許可權,並檢驗這項許可權是否真的能夠運作。 把戰略性(目標與優先事項)、戰術性(協調應對)與運營性(在現場執行)決策分開,在它們之間設定明確的升級觸發條件,如果正在使用一套標準化模型,例如事故指揮系統,就遵循它。清楚地知道——並演練——究竟是誰能在一個公共假日凌晨三點宣佈進入緊急狀態、啟動預案。
7. 為組織自身的關鍵職能建立並測試一份業務連續性計劃。 識別出哪些職能一旦喪失、在數小時內(而非數週內)就無法接受,並專門為這些職能設計恢復安排——備用場地、資料備份、授權代理——遵循一套公認的標準,例如ISO 22301,而不是一份臨時拼湊的核對清單。
8. 及早、誠實地,透過單一可信渠道進行溝通。 在一場危機最初幾個小時的資訊真空之中,謠言與錯誤資訊會填滿官方溝通留下的任何空白。說清楚已知的是什麼、尚未知道的是什麼,以及下一次更新將在何時到來,即便實質性的答案仍然是"我們還不知道"。
9. 設計恢復工作以降低下一場災難的風險,而不僅僅是重建此前存在的東西。 "更好地重建"是一門紀律,而非一句口號:恢復資金,是大多數公共機構此後能夠用於韌性投資的單一最大資金池,把它花在重現昨天的脆弱性上,是一次將會被再次付出代價的浪費的機會。
10. 把韌性作為基礎預算中的一條常設科目來資助,而不僅僅透過應急與災難基金。 反應性的、事後的災難資金,通常比本可以減少對它需求的緩解性支出昂貴許多倍,但在一個財政緊張的年份,基礎預算卻常常是韌性投資最先被削減的地方。像國防預算保護常備戰備狀態那樣,保護一份最低配置。
11. 在每一次重大事件與演練之後,執行一次結構化的事後審查,並追蹤其發現是否被付諸行動。 一份沒有人執行的經驗教訓報告,從下一場危機的視角來看,與從未審查過任何東西沒有區別。為每一項建議指定負責人與截止日期,並彙報完成情況。
12. 保護參與應對工作人員的福祉。 曠日持久的危機會讓應對人員在身體上與心理上都精疲力竭,而經驗豐富員工的職業倦怠,本身就是一種韌性風險,會掏空這個組織本想保護的那份能力。從一開始就把輪換、休息與事件後支援納入預案之中,而不要等到人們已經精疲力竭之後才作為事後補救。

與團隊討論的問題

誰有權宣佈進入危機狀態,我們是否檢驗過它在一個公共假日凌晨三點真的能夠運作? 一種只存在於組織架構圖上的許可權,與一種在通常的指揮鏈正在睡覺、正在旅行,或無法聯絡時仍能運作的許可權,是不同的。具體地梳理一下,誰會最先被聯絡到,如果這個人在15分鐘內無法聯絡上會發生什麼,以及誰能實際做出第一個具有後果的決策。許多組織只有在一次真實事件中,才會發現指定的許可權持有者已經換了工作、備用聯絡名單已經過時,或者層級之下沒有任何人相信自己可以在沒有獲得許可的情況下採取行動。在這次檢驗成為一次真實檢驗之前解決這個問題。

我們的韌性預算是多少,如果有人要求我們指出它,我們能認出它嗎? 大多陣列織能夠說出自己的災難應對預算,卻很難辨認出自己在一個普通年份,花了多少錢在預防、緩解與準備上。如果連管理它的人都看不見韌性支出,它就會是預算收緊時最先被削減的東西,因為在下一場危機到來之前,沒有人會注意到它的缺失。討論一下,韌性投資是否是一條受保護的、被明確標註的科目,以及誰必須批准削減它。

我們上一次演練自己的業務連續性與應急預案是什麼時候,實際上哪裡出了問題? 一份從未針對一個現實情景接受檢驗的預案,是一項假設,而不是一項能力。誠實地回顧最近一次演練或真實事件:哪一項假設被證明是錯的、哪一個聯絡人無法聯絡上、哪一項依賴關係此前沒有被繪製出來。如果什麼都沒出問題,這本身也值得深究——這可能意味著這次演練要求得不夠嚴苛。

當證據不完整、時鐘又在運轉時,我們如何做決策? 常規的政策制定可以等待更好的證據;危機領導力不能。討論一下,當一個團隊必須在依據不完全資訊立即行動、與等待、以時間為代價之間做出選擇時,存在什麼許可權與預設選項。事先就哪些決策足夠可逆、可以迅速做出,哪些決策後果足夠重大、即便在壓力之下也值得刻意延遲達成一致。

在一場危機中,公眾信任的是誰的聲音,我們是否有意識地培養了這個人的領導能力? 組織架構圖上最高階的那個人,不一定自動就是公眾會信任的人,或最適合承擔危機領導力所要求的那種意義建構角色的人。討論一下這個人或這些人應該是誰,他們是否接受過真正的媒體與危機溝通培訓,以及這個組織是否已經建立起冗餘,使這個角色不依賴於某一個人的可用性。

我們從上一次重大事件中學到了什麼,我們能指出因此改變了的某件事嗎? 許多組織都會製作詳盡的事後行動報告,卻只讀一次、歸檔、再也不去翻閱。討論一份過去審查報告中最後三項建議,具體追溯每一項是否被實施、部分實施,還是被悄悄放棄了。一個無法回答這個問題的組織,無論它的書面審檢視起來多麼出色,實際上都沒有從經驗中學習。

實踐中的公共價值案例

以下情形是虛構的、說明性的。它不描述任何真實機構。

Rivermouth市,一個虛構的中等規模沿海城市,運營著自己的市政供水公用事業,服務34萬居民。在深秋,一個嚴重的風暴系統在該地區停滯不前,產生了該事業單位40年運營記錄中最大的降雨量,河流水位在六小時之內就超過了處理廠防洪工事的設計門檻。與此同時——與這場風暴無關,卻利用了它所造成的分心——該事業單位的監控與資料採集(SCADA)系統,即遠端操作水泵與閥門的軟體,檢測到了一次入侵,而一座同時為該處理廠與附近一家醫院供電的變電站失去了電力。

該事業單位的應急運營預案,建立在一套配有洪水附件與網路事件附件的全災害種類别範本之上,由值班經理依據預先以書面形式委託的許可權加以啟動,無需先聯絡到執行長。一個戰略指揮小組在20分鐘內透過影片集結,設定目標——首先保護飲用水安全與醫院電力——而一個戰術單元,由該事業單位的工程師、市應急管理辦公室與區域電力運營商共同組成,管理著實時的應對工作。由於網路附件恰恰假設了這種複合型失敗,SCADA系統在30分鐘內被隔離,不再允許遠端訪問,操作人員轉而使用一套在此前18個月內演練過兩次的人工控制程式——較慢,但並非臨時拼湊。

該事業單位的業務連續性計劃早已識別出飲用水處理與醫院附近的電力,是那兩項一旦喪失、在數小時內就無法接受的職能,這推動了此前對一份移動備用發電機合同與那套如今被證明起到決定性作用的人工備用程式的投資。一位受過訓練的發言人每小時向公眾提供最新情況,說明已被確認的資訊、尚未確認的資訊,以及下一次更新的時間,這防止了謠言填補這個空白。在36小時之內,供水服務被確認是安全的,醫院電力也透過一條臨時線路得到恢復;整個網路的完全穩定又花了五天時間。

三個月後審查這起事件的恢復委員會,並沒有簡單地按原始規格重建這座處理廠。它依據修訂後的氣候預測,把防洪工事提升到了一個新的門檻,這類適應措施本主題留給了專門的文獻(見主題4.3——氣候、可持續性與環境公共價值),資助建立了第二個獨立的SCADA控制中心,並要求未來的基礎設施升級,必須對照級聯式、多災害情景加以評估,而不僅僅是單一災害情景。這些支出沒有一項會作為公民日常可見的服務出現;它全部的公共價值,都在於下一次不會發生的災難之中。

四種部門視角

地方政府

地方政府幾乎總是第一響應者,也是最接近災害隱患落地之處的政府層級,這給了它任何更高層級都無法複製的運營知識,但也給了它獨自吸收一次重大沖擊的最薄弱財政能力。地方韌性通常依賴於相鄰市政府、應急服務、公用事業與志願組織之間的夥伴關係,因為幾乎沒有任何一個單一地方政府,能夠在內部擁有一次嚴重事件所需要的全部能力。它真正的挑戰,是在一套圍繞常規服務交付建立起來的員工隊伍與預算結構之內,維持專門的戰備狀態——受過培訓的員工、經過演練的預案、維護良好的裝置(見主題3.6——公共部門人力資源與勞動力市場)。

國家政府

國家政府設定標準,持有任何單一地方都無法獨自證成維護的戰略儲備,通常也是唯一有權宣佈進入國家緊急狀態、在各地區與各部門之間協調一種全政府方式,並資助大規模恢復工作的行為者。它特有的風險與地方政府相反:一個國家部委可能產出優秀的原則,卻從未在事件真正發生的地方轉化為經過檢驗的能力,因為實施依賴於它並不直接掌控的較低層級。有效的國家韌性,在很大程度上取決於國家與次國家責任是如何被劃分與資助的(見主題3.9——政府間關係與聯邦制)。

社會部門與非營利組織

非營利與社群組織,常常擁有正規政府難以輕易複製的韌效能力:既有的信任與觸及一場危機中最難以服務的人群的能力,以及比一個受制於採購程式的公共機構更快地臨時組織交付——食物、庇護、外展——的靈活性。它們特有的脆弱性是資金波動:捐款與緊急撥款在一場可見的災難之後立即飆升,卻在毫不光鮮的準備階段枯竭,而這恰恰是規劃與志願者基礎設施最需要投資的時候(見主題3.8——社會部門與非營利組織管理)。在曠日持久或反覆發生的危機中,志願者的職業倦怠,在這裡是一種特有的、反覆出現的風險,因為增援能力依賴的是一種並非無限可再生的善意。

多邊與國際

多邊機構增添了任何單一國家政府都無法獨自提供的價值:協調跨境的災害隱患,例如疫情或跨界洪水;彙集較小國家無法各自獨立維持的技術專長;以及運營預先安排的融資機制——應急基金、與災難掛鉤的保險、彙集儲備——在眾多國家之間分散風險。它們特有的制約是主權:一個國際機構可以提出建議、召集會議並提供資金,卻無法強制一個國家政府做好準備,而它的有效性,取決於各國當局是否依據共享的標準採取行動,例如《仙台減少災害風險框架》,由聯合國減少災害風險辦公室(UNDRR)加以協調,作為減少災害風險領域領先的全球參考標準。

常見失敗模式

作為合規檔案的預案。 一份書面的應急或連續性計劃存在,滿足了一項審計要求,卻從未被那些將需要使用它的人演練、更新或閱讀過。這項代價只有在一次真實事件中才會浮現,那時聯絡電話、假設與許可權,被證明早已過時多年。

不明確或未經檢驗的指揮許可權。 沒有人能確信誰真正有權宣佈進入緊急狀態、啟動互助機制,或授權緊急支出,於是一次真實事件最初的幾個小時,被花在了確立許可權、而非行使許可權之上——耗費的正是一場危機無法挽回的資源:最初的時間。

單一災害隱患的隧道視野。 規劃與資源配置聚焦於重新打上一場危機、而非一場不同的或複合型的危機,於是一個為一場洪水準備得極為出色的組織,對隨之而來的網路攻擊視而不見。佩羅對緊密耦合系統中級聯式失敗的論述,恰恰描述了這種模式,它在從未為災害隱患同時到來做過規劃的各個領域中反覆出現。

英雄式的臨場發揮被誤認為是準備充分。 一場危機被處理得當,是因為一位格外能幹的個人在壓力之下臨場發揮,而這個組織由此得出結論,認為這套體系奏效了——而實際上它是儘管有這套體系、而非因為這套體系才奏效的。這種脆弱性是不可見的,直到那位能幹的個人下一次不在場為止。

溝通真空。 一次事件最初幾個小時裡官方的沉默,無論是出於謹慎還是流程原因,從來都不是真正的沉默——它會被謠言與錯誤資訊填滿,而這些謠言與錯誤資訊,事後要比事先加以預防難以糾正得多(見主題4.4——社交媒體、錯誤資訊與公共傳播)。

重建脆弱性、而非重建韌性。 恢復資金恢復了一次事件之前存在的東西,而沒有降低下一次事件的風險,因為"更好地重建"比"照原樣重建"前期成本更高,而恢復的時間表很少獎勵那份耐心。

順週期的韌性削減。 對緩解與備用能力的常設投資,是一個財政緊張年份最先被削減的一條科目,恰恰因為它的缺失是不可見的,直到一場危機將其暴露出來——於是韌性支出下降最快的時刻,恰恰是財政壓力讓未來的衝擊變得更具破壞性、而非更小的時候。

成熟度模型

檢查清單

• 存在一份書面的、全災害種類的應急預案,配有針對具體災害隱患的附件,並由一個指定角色負責。
• 指揮許可權——誰能宣佈進入危機狀態並啟動預案——被記錄在案,並在正常工作時間之外接受過檢驗。
• 業務連續性計劃識別出這個組織的關鍵職能及其最長可承受的中斷時長。
• 與相鄰組織或轄區的互助與增援能力協議已經簽署、保持現行有效,而不僅僅停留在討論階段。
• 過去12個月內至少執行過一次演練(桌面、職能或全面模擬),其發現被追蹤至完成。
• 已確定、培訓並準備好一位單一的、可信的發言人或溝通渠道,能在一次事件發生的第一個小時內啟動。
• 韌性投資在基礎預算中作為一條可識別的、受保護的科目出現,而不僅僅出現在災難或應急基金之中。
• 恢復規劃包含一項明確的"更好地重建"要求,而不是預設按原樣重建。
• 每一次重大事件與演練之後都進行事後審查,建議被指定了負責人與截止日期。
• 應對人員的福祉——輪換、休息與事件後支援——被內建到預案之中,而不是在人們已經精疲力竭之後才加以補充。
• 對供應商、公用事業與夥伴組織的依賴關係已被繪製出來,使一次複合型或級聯式失敗不再是一個意外。
• 已檢查與風險管理(見主題3.10——監管與公共風險管理)以及在相關的地方與氣候特有的韌性(見主題4.3——氣候、可持續性與環境公共價值)的交叉引用,是否與本預案保持一致。

關鍵資料來源

本主題借鑑了國際應急管理文獻中的四階段週期(預防/緩解、準備、響應、恢復)、聯合國減少災害風險辦公室的《仙台減少災害風險框架》作為減少災害風險的主要全球政策參考、國際標準化組織的ISO 22301作為業務連續性管理體系的參考標準、經濟合作與發展組織在風險治理與韌性方面的工作,以及查爾斯·佩羅對複雜、緊密耦合系統中級聯式失敗的分析。國家層面的例項取自美國聯邦緊急事務管理局的《國家戰備目標》,以及英國內閣辦公室的《韌性框架》,這裡將它們作為國家模式的說明性例項引用,而非作為普適模型。

參考文獻

1. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
2. Business continuity planning — Wikipedia — https://en.wikipedia.org/wiki/Business_continuity_planning
3. Crisis management — Wikipedia — https://en.wikipedia.org/wiki/Crisis_management
4. Disaster risk reduction — Wikipedia — https://en.wikipedia.org/wiki/Disaster_risk_reduction
5. Sendai Framework for Disaster Risk Reduction — Wikipedia — https://en.wikipedia.org/wiki/Sendai_Framework_for_Disaster_Risk_Reduction
6. Resilience (engineering and construction) — Wikipedia — https://en.wikipedia.org/wiki/Resilience_(engineering_and_construction)
7. Community resilience — Wikipedia — https://en.wikipedia.org/wiki/Community_resilience
8. Incident Command System — Wikipedia — https://en.wikipedia.org/wiki/Incident_Command_System
9. Normal Accidents — Wikipedia — https://en.wikipedia.org/wiki/Normal_Accidents
10. Public good (economics) — Wikipedia — https://en.wikipedia.org/wiki/Public_good_(economics)
11. Whole-of-government approach — Wikipedia — https://en.wikipedia.org/wiki/Whole-of-government_approach
12. What is the Sendai Framework for Disaster Risk Reduction? — United Nations Office for Disaster Risk Reduction — https://www.undrr.org/implementing-sendai-framework/what-sendai-framework
13. ISO 22301:2019 Security and resilience — Business continuity management systems — International Organization for Standardization — https://www.iso.org/standard/75106.html
14. Risk governance — OECD — https://www.oecd.org/en/topics/sub-issues/sustainable-and-resilient-infrastructure/risk-governance.html
15. National Preparedness Goal — Federal Emergency Management Agency (US) — https://www.fema.gov/emergency-managers/national-preparedness/goal
16. The UK Government Resilience Framework — Cabinet Office (UK) — https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1125536/6.8213_CO_Resilience_Framework_FINAL_1_.pdf