BCP（事業継続計画）とは
自社が遅れを取らないためにすべきこと
BCP・災害対策コラムは、企業のBCP・災害対策に役立つ基礎知識をご紹介します。
BCPとは何か。「いまさら聞けない」というBCP担当者のために、その大枠と作成にあたってのガイドラインやポイントを解説。また近年の災害が与えた経済損失や、それを受けたBCPの変化、依然として変わらないBCP担当者の抱える課題と対策などトレンドをまとめています。
BCP（事業継続計画）とは何か
BCP（事業継続計画 Business continuity planning）とは、災害などの緊急事態が発生したときに、企業が損害を最小限に抑え、事業の継続や復旧を図るために立てる計画のことを言います。似た言葉で、BCM（事業継続マネジメント Business Continuity Management）がありますが、これは、BCPの策定だけでなく、実際にその運用を行い、適宜、見直しをかけていく包括的な事業継続のための「マネジメント」のことを指します。
BCMという言葉が出てきたのは、BCP＝計画を立てて満足するのではなく、それを実際に運用・改善し、自社の事業にフィットするようにして初めて意味をなす、という示唆を大いに含んでいるものと言えるでしょう。激甚災害や新型コロナウイルスなど、さまざまなリスクが顕在化する今、企業の事業継続の分野は、BCPからBCMへとひとつステージを上げる段階に来ています。
さて、BCPの策定にあたっては、内閣府が提示する「事業継続ガイドライン」が参考になります。
内閣府のガイドラインでは、青の線を現状の復旧曲線とし、これをBCP（とBCM）によって、赤い復旧曲線にしましょう、と説いています。つまり、現状だと災害発生後、操業度がガクンと0%程度まで落ち込んでしまい、そのまま一定期間を費やしてしまいます。その後、少し復旧するものの、しばらくは低空飛行を続け、さらに一定期間後にやっと100%にまで復旧するのですが、この期間中に被る経営インパクトが非常に大きいわけです。
この最初の落ち込みをいかに小さくし、復旧までの時間をいかに短くするか、そのためにBCP（とBCM）が必要だという理論です。読み解くのが少々難解なこの図ですが、とかく費用対効果などを理由に軽視されがちなBCPについて、経営層にその意義を伝えるためにも押さえておくべき基本的な概念です。
また内閣府のガイドラインによれば、具体的なBCP策定フローとして以下の段階を推奨しています。
① 方針の策定
② 事業影響度分析（BIA）・リスク分析
③ 事業継続戦略・対策の検討と決定
④ 計画（BCP）の策定
⑤ 教育・訓練の実施
⑥ 見直し・改善
概説すると、まずBCP/BCMの方針を定め、経営層を含めて合意しておくことが重要としています。方針とは、自社が果たすべき社会的な責任は何であり、そのために優先すべき重要な事項は何か、誰か（株主、取引先、従業員など）といった「ビジョン」に近いことを明確にします。その上で、事業影響度分析（BIA）として、自社の事業が止まった場合、何が最も影響度合いとして高いかを考え、どれを優先して復旧させていくかを明らかにします。さらに、リスク分析として、何をリスクとして想定するか、地震なのか、台風なのか、感染症なのか、はたまた基幹システムの障害なのか、などなど、具体的に定義し、さらにそれに対して、どう対応するかの検討を行っていきます。…ただ、主力製品が限られた中小企業であればまだ具体化しやすいですが、多くの事業を展開している大企業ほど、このあたりの設定が難しくなるところで、BCP担当部署としては、まず本社機能の維持・継続など、より横断的・根底的な部分から始めることになると思われます。
このような検討を行うことは大事でありつつも、重要なのは、この一連のBCP策定の流れを、粒度はともかく、できるだけ早く回して、「⑤教育・訓練」や「⑥見直し・改善」のPDCAサイクルを開始することです。BCP/BCMに、いわゆる正解というものはなく、企業の業種や規模によってさまざまな形があります。要は、リスクが発生したとき、できるだけコア事業を止めずに、経営インパクトを最小限にする――。そのために、よくよく想像を膨らまし、そのための準備を行うこと＝アクションの量が重要です。
また、ひとつのゴールとして、ISO 22301というBCMの国際規格の取得を目指す、というアプローチもあります。これは部門単位で取得することも可能なため、自社のコア業務をひとつ選定し、その部門を巻き込むことで、BCP担当部署だけで根を詰めるよりも、より実践的なBCP/BCMになります。また取引先の信用を得られるなど、対外的アピールにもなるため、経営からの理解も得やすいのではないでしょうか。
近年、事業の存続に影響を与えた災害
2019年は世界的に見ても自然災害で大きな経済損失を出した年でした。アメリカの保険仲介大手エーオンがまとめたところによると、2019年に発生した自然災害のうち経済損失額が最も大きかったのは、10月に東日本の広い範囲に被害をもたらした台風19号で、約150億ドル（約1兆6500億円）だったそうです。
また、同じく日本で9月に発生した台風15号も約100億ドル（約1兆1000億円）の経済損失があったと評価されています。なお、日本損害保険協会によれば、台風15号と19号により大手の支払保険金額は1000億円以上と言われており、かつては地震大国・日本としてBCPのメインは地震と考えられていましたが、近年は台風や新型コロナウイルスなど、事業継続の対象リスクは多岐に渡り、BCP担当者を悩ませています。
これを受け、近年の企業のBCPにも変化が現れています。特に顕著なのが、鉄道事業者が実施した「計画運休」です。台風15号・19号では、鉄道事業者の保有施設にも様々な被害が発生した一方で、大きな社会的混乱がなかったのは、ある意味「無理に事業継続しない」という敢えての選択をしたことが大きく、東日本大震災で浮き彫りになった「帰宅困難者への対応」といった課題や反省から、「帰れなくなる前に帰宅させる」という具体策に至ったPDCAのひとつの成果と言えるでしょう。また小売業界においても、コンビニエンスストアが加盟店オーナーの判断で自主的に休業するなどの動きがみられました。
その数も、セブンイレブンジャパンが約4000店舗、ファミリーマートが約2500店舗、ローソンが約2200店舗と決して少なくなく、「24時間365日営業」に必ずしもこだわらない柔軟な姿勢が見て取れ、またそのような企業の姿勢が、社会的にも評価されるようになっています。
また視点を変えて、近年は主要業務にクラウドサービスを利用する企業が増え、それがそのまま災害時のバックアップとしての機能を持つようになっています。契約書や顧客リストを紛失してしまう／データが消失してしまう事態は事業継続の面では甚大な影響を及ぼします。
以前はセキュリティや、非常時につながらないかもしれないといったリスクから敬遠されていたクラウドが、むしろデータの安全な保管先として見直されています。万が一、ネットワークの障害で数日間データが参照できなかったとしても、「データが消えるよりはまし」という考え方も、完璧を求めないしなやかな災害対応と言えるでしょう。
災害時に事業と従業員を守るために必要なソリューション
一方で、これらの事例のように計画的に業務を停止して災害をやり過ごしたとしても、やはり被害は発生します。特に電気、ガス、水道、燃料、または交通など、生活のライフラインを担う企業においては、一時的に業務停止したとしても、災害が過ぎれば早期復旧を求められる社会的責任を担っています。
また製造業においても、細かな部品から組み立てまで、多くの企業がサプライチェーンでつながっており、自社の納品遅れが多くの企業に影響を与えてしまうなど、やはり早期の業務復旧が経営として必要になります。
企業として、従業員を守るためにヘルメットや備蓄物資を十分用意するといった対策のほか、安否確認メールシステムを使った情報収集もかなり導入が進んでいます。また先に述べたように、事業を守るために重要なデータを安全なクラウドに退避させるバックアップ策も浸透しつつあります。しかし、企業のBCP担当にはその先にまだ大きな仕事が待ち構えています。
大混乱の中、スピーディかつ正確な被害情報の収集と報告を行い、意思決定者の判断・指示を引き出し、さらに具体的な対応を推進しなければなりません。しかし、この段階になると、電話・メール、はたまた戦国時代のような伝令係による情報伝達を行い、またそれらの情報はホワイトボードが真っ黒になるまで記録し、さらに模造紙を壁一面に張り出した状況で、「さあ30分後に災害対策本部会議だ」といった、非常にアナログな対応に終始しているのが一般的です。
そうは言っても、安否確認メールで集められる情報は社員の安否のみで、拠点の被災情報や、社員からのリクエスト、取引先からのクレーム、問い合わせなど雑多な情報は（その中に重要情報が紛れていても）、結局のところ、電話やホワイトボードでしか取り扱えないのは、地方自治体における災害対策本部のバタバタを目の当たりにしてきた筆者には非常によくわかります。
このように、混乱する災害時の対応において、有効なツールとして考えられるのは、上述したようなアナログ対応の良さを踏まえたITツールです。
ホワイトボードに記録するのはほぼ全てと言っていいほど、時系列で記録される活動情報であり、これをホワイトボードではなく、PCやスマートフォンから入力してリアルタイムにクラウド上にデータ化できれば、BCP担当者はひっきりなしに鳴る電話対応から解放され、経営者もクラウド上の最新情報を見ながらスピーディかつ正確な意思決定が可能になります。
現在、数多くの企業にて導入されている「クロノロジー（時系列）型危機管理情報共有システム 災害ネット」は、災害時のドタバタの中で、誰もが抵抗なく情報を入力できる「災害情報の箱」を提供することで、「情報はBCP担当者＝人に集めるのではなく、クラウド上の箱に集め、全員がそれを見る」というシンプルかつ非常に効率的な情報管理体制を構築することができます。
BCP担当は鉄人ではなく、体力的・精神的な限界もあれば、そもそも人数も数多く配置されているわけではありません。事業継続を支える従業員の一人であるBCP担当者をまず守る手段として、災害ネットのような情報管理ツールは非常に有効なものではないでしょうか。
＊記載の会社名および商品名は、各社の商標または登録商標です。