Q：地震的危害是显而易见的，但是我们在国内很少看到有银行、证券、保险、电力、通讯运营商把地震作为经营风险进行分析、评估的，也没有企业对地震灾害作为应急预案开发场景的？您对此怎么看？
汪琪：其实，在“9.11”事件发生之前，不仅在中国，在国外，也没有人认真考虑过把地震作为应急预案的开发场景，或者说把地震作为重要风险。因为地震影响范围太大，如果以地震作为预案开发场景，房屋倒塌，人员大量伤亡，地区的电力、交通、通信、供水设施中断，其所需要付出的成本代价和技术实施难度都非常高。所以，以前不管是政府、非盈利组织、还是企业都很少把地震作为应急预案开发场景。
“9.11”事件之后，美国对灾难发生的场景进行了大量反思和应急措施改进。美国金融监管三大机构美联储、美国货币监理署和美国证券交易会于2003年5月28日发布的《关于增强美国金融系统灾难恢复能力的可靠措施的跨部门白皮书》，对金融机构在遭到大范围灾难打击之后的恢复能力提出了明确的措施和实施时间的要求。
其实，银行、证券、保险企业在应急预案开发过程中，如果能够将地震危害、业务影响分析透彻、考虑周全，制定适当的应急预案还是可以帮助灾后快速恢复的。比如针对绵竹市被摧毁的那家大型商业银行营业网点来说，一旦交通恢复，是否可以使用移动营业车深入灾区，采用卫星通信方式对外提供金融服务。当然，最有效的应急手段不是灾后恢复，而在于灾前制定针对所面临风险的应急预案，并进行不断地复审、演练，以保证应急预案的有效性。
Q：对这次地震所暴露出的应急管理问题看，应该怎样建立、完善应急预案、应急体制、应急机制和应急法制建设？
汪琪：这是一个非常大的问题，对于应急体制、应急机制和应急法治可以自上而下的进行建设，比较容易达成共识和见到成效，但是应急预案的编制将是一件长期的、专业性极强的工作。应急预案必须结合具体的灾害场景和当地的人文、地理环境、组织情况等进行编制，并且必须符合相关灾害防范、抢救、抢修和灾后安排的技术和科学要求。
我举个例子，比如美国在国家层面就有非常强力的组织：政府曾组建联邦应急管理署（FEMA），在该机构内，不仅有自己的雇员，有自己的预算，甚至有自己的飞机、轮船、汽车以及大量的救援物资，甚至可以调拨国民警卫队，在应急管理方面发挥了巨大作用，实践了“综合性应急管理”全风险管理和全过程管理的应急管理理念（“9.11事件”后，联邦应急管理署被并入国土安全部）。
在应急管理方面，中国政府、企业和非盈利组织也做了很多工作，但还没有这样一个强力部门（机构）来统一协调处理这些事情，未来由统一机构协调、处理应急工作必将是一种趋势。
另外，从实际行动看，国家标准（如《信息系统灾难恢复规范》）、行业标准（如《银行业信息系统灾难恢复管理规范》）以及各行业监管机构制定指引、规范（如《保险业信息系统灾难恢复管理指引》）已经非常多，但有多少企业真正按照标准去实施了，有多少达到标准要求了，这是企业在灾后需要认真反思的。
第三，就是监管方面，可以肯定，管理机构、监督检查机构以前做了很多工作，但能不能进一步完善，把监督机制建立、完善起——我国并不是缺少相关方面的法律、法规，而是缺少监督、检查机制，缺乏执行力度。未来，我们在监督机制建设方面是不是应该行动了？这是我们在灾后需要认真思考的问题。
2008年并不平静，我们已经经历了很多突发应急事件，比如年初发生在南方地区的暴雨雪天气、发生在山东的火车相撞事件以及发生在四川地区的地震事件，它们在警示我们，现在是该对应急管理反思的时候了。我们需要时刻警醒：面对突发性事件，我们准备好了吗？
Q：另外，您作为国家标准《信息系统灾难恢复规范》（GB/T20988-2007）第一作者，国家金融行业标准《银行业信息系统灾难恢复管理规范》（JR/T0044-2008）主要起草人之一，国家安全标准化委员会“信息系统灾难恢复规划”课题组组长，请简单介绍一下这些标准的作用和意义？
汪琪：国家标准《信息系统灾难恢复规范》、国家金融行业标准《银行业信息系统灾难恢复管理规范》等为相关行业企业提供了一套信息系统灾难备份、恢复的方法论。
这些标准具有三大特性，首先是完整性，它将组织架构、恢复职责、恢复流程都做了明确规定，对于怎样作风险分析、业务影响分析，怎样制定应急预案，也都有详细规定，是一套非常完善的方法论。其次是针对性，这些标准都是针对信息系统灾难备份、恢复的，它的适用范围是各个行业、各个企业信息系统以及与信息系统相关的业务灾难备份和灾难恢复，并不适用于企业整体的功能性恢复和公众机构服务的恢复。第三，具有很强的可执行性和可操作性。
这些标准是我国几十年灾难备份及业务连续性管理经验的总结和归纳，按照这套方法去做风险分析、业务影响分析、制定应急预案，我们不会有疏漏的地方。企业应根据这套方法去研究、去分析可能面临的地震、水灾、火灾、恐怖袭击等风险以及对业务的影响程度，以此制定相应的应急预案。
它不能代替企业本身要做的事情。对可能面临灾难的预案开发和应急演练是一项复杂、系统的工程，没有包治百病的“灵丹妙药”。
另外，需要说明的是，这些标准本身也需要不断完善。比如，目前制定的标准大都是针对信息系统方面的灾难恢复，未来，更应该针对业务连续性管理制定相关标准和规范——这将是迈向灾难恢复理论前沿的一大步。
