Не знаю почему, но BCP тема оказалось какой-то сложной.

Я внедрял ранее уже BCP, и не раз, но как оказалось, мои прошлые внедрения были специализированными, узкими.

Сейчас я изучил (т.е. продолжаю изучать) тему, поднял стандарты ISO 22301\22313, разные статьи в инете. И оказалось что BCP можно заниматься почти с такой же нагрузкой и с таким же объемом, как и ИСО 27001. Существует даже сертификация на ИСО 22301.

Сейчас сижу, копаю практическое различие между RA (Risk Assessment) и BIA (Business Impact Analysis).

PS см. результаты страданий в Business Continuity Management — аццкая тема II.