「機能する」BCP。その策定と運用のポイントとは？

　事業継続性（BC：Business Continuity）の確保は、複雑にからんだサプライチェーンによって構成される現代社会においては、企業の大小を問わず、重要な経営課題となってきています。　
　すでに欧米ではBCPの有無が取引契約の条件となっていたり、企業評価の重要な指標の一つともなっており、国際標準化(ISO)に向けた動きも活発になっています。

　日本でも、2005年に内閣府より「事業継続ガイドライン（第1版）」が策定され、企業の「事業継続計画（BCP：Business Continuity Plan）」を策定するための指針が打ち出されています。また、こうした状況を受け日本政策投資銀行をはじめ、いくつかの金融機関でも企業の防災への取り組みを評価して金利を優遇する「防災 格付け融資」がスタートしているなど、具体的な動きも活発化してきています。

　事業継続計画（BCP）とは、従来より従業員や近隣の避難、安全の確保を主眼に運営されてきた「防災計画」をふまえたうえで、その目標を
「停止してはならない重要な業務を途切れないようにするにはどのような対処をしておけばいいのか」
「停止してしまった業務をいかに早く再開させ事業を復旧させるのか」

などの様に企業の存続性を対象にしたものになります。
そのために事前事後にどのようなことを行うのかを具体的に記載した、いわば業務回復のための行動計画書であり、初動および全体の統制管理の手順書であるといえます。

　だからこそ、BCPは策定することが目的ではなく、時間経過と共に変化する社会的、経済的な状況に対応するために、PDCAサイクルに従った継続的な取り組みが重要であり、確実な事業継続性を実現するにあたっては、経営者自らが先頭に立った、全社的な取り組みが必要となります。

　BCPを考える上では、テロや自然災害等リスクの発生要因にかかわらず、例えば
「経営者が不在になり決済が不可能になった場合」
「本社ビルが使用できなくなった場合」
など発生したリスクそのものに対して事業継続性を如何に確保するのかというのが考え方の基本ですが、内閣府のガイドラインでは日本における最大のリスクであり複合的なリスクともなる「地震」を想定して進めることを推奨しています。

　なぜなら、「地震」をターゲットとすることで、リスクイメージが浮かびやすいということと同時に、「最悪の事態」ではどの様になるのかを明確にしておくことが重要になるためです。これが曖昧だと後の議論で、「そこまでは考えていなかった」「そんなの知らなかった」などということが起こって、検討が中断したり、遡ってやり直しということになりかねないからです。

　BCPは経営へのインパクトという観点から最悪の事態を想定し、予期し得ないリスクに対してもビジネスを継続できるようにするための計画書です。
　そのため、まずは事業継続計画(BCP)を検討する最初の時点で、自社の置かれている状況を知り、現状の対応能力を測定し共通認識としておくことは対策を考える上でも非常に重要なことです。
　

　企業においては、大小様々な事業と、それを構成する複数の業務がありますが、大災害や大事故の発生時には、対応できる人員や資機材は限定されてしまいます。そのため、より確実な事業継続性を確保するには最優先に対応すべき重要業務の特定が大変重要になります。

　特定された重要業務に対しては、２つの視点から対策をとります。
　一つは、事前対策の視点で、それは「減災」を施すことです。

　減災の考え方には、「補強」「分散」「代替え（バックアップ）」「保険」等がありますが、特定された重要業務のファシリティ（建物や機器、什器など）への依存度が高い場合は、それらへの「補強対策」がまず必要になります。
　特に、重要業務が旧耐震基準の建物を中心に行われている場合は、崩壊・倒壊を防ぐための「耐震補強」は最低限必要な対策と言えるでしょう。また、補強はそのレベルによっては、重要業務への影響度自体も低減することが可能になり、目標回復時間（RTO）の短縮にも貢献します。

　もう一つの視点は事後対策の視点で、対応のレベルを時間軸等に沿って細かな段階で考えるということです。これは、予防段階も含め「PR４」と呼ばれています。（左図参照）

　リスクの発生直後は、人的にも物理的にも対応のためのリソースは限定され、しかも日常よりも大幅に少なくなってしまいます。このため、あらかじめ特定した重要業務にもプライオリティをつけておくとともに、業務を構成する要素を分析し、それぞれの要素に影響があった場合の回復手段を確保しておくことが重要になります。

　また、回復においても、実際には発災直後の「緊急対応」から始まり「業務再開」「業務回復」から「全面復旧」といくつかの段階があり、各段階での目標や回復すべき対象、必要なリソースも異なります。実効性のあるBCPにはそれぞれの段階に応じた計画としておくことが重要です。

　策定したBCPを有効に機能させるためには、まずBCPの発動基準を明確にするとともに、発動されたことが関係者に明確に認知されなければなりません。発動されたか、されていないのかよくわからないような状況では、所定の対応を迅速に実行することができず、最悪の場合、目標復旧時間内に中核事業を復旧させられない結果となることも考えられます。

　このため、BCPの発動は、
「○○地方（企業の立地場所等）で震度５強以上の地震が発生した場合」
という様に、何らかのわかりやすい基準を設け自動的に発動する様に設定しておく必要があります。また、安否確認システムなどを起動させて関係者に認知させる等も有効な手法といえます。

　発動後はそれが十分に機能するようBCP自体をいつでもどこでも取り出せる状態になっていることも重要です。そして、BCPには各業務を行う部門の変更やそれに伴う各種ファシリティ等の変更など、事業構成要素の変化が反映され、常に最新の状態にしておく必要があります。
　このため、BCPはファシリティに関する各種図面、従業員の所在等の連絡網、消火器や避難経路などの膨大な資料/データなどとともに、一元的、日常的に管理・運営されていく必要があります。

過去の災害でも、対策マニュアルがありながらも、「どこにあるのかわからなかった」、「情報が古くて役に立たなかった」といったことが原因で被害を広げてしまったケースはけっして珍しくありません。
　常時ファシリティの情報を管理しているCAFMなどのファシリティマネジメントシステムにBCPを統合することで、可能な限り最新の情報を、必要なときに、必要な人に、必要な内容が確実に利用できる形で最新のBCPを管理、運用することが可能になり、災害発生時にも各部署、各従業員の行動、対策について、情報の錯綜や混乱を最小限に抑え、スムースに行えるようになります。

　「可能な限り」最新の情報を把握することは、平素の状態を常に管理しておくことに他なりません。平常時から非常時との断絶がリスクであるとするならば、そのギャップを埋めるための平常時のコンディション把握こそが、非常時への対応のベースであり、「機能するBCP」のポイントであるといえます。

　BCPは企業を救う魔法の杖ではなく、緊急事態の発生に対して、いかに保有するリソースを機能させるか、あるいはそのために何を準備しておくかということに他ならないのです。
　これまで述べてきた様に、BCPの策定プロセスでは、事業影響分析（BIA）を通し、重要な業務の特定やその脆弱性が明らかになってきます。そしてそのリスク軽減策やプライオリティの検討は業務そのものを見直すある種のきっかけを与えることにもなります。

　BCPの策定を中心とした事業継続への取り組みは、単に防災体制の強化ということだけではなく、常に事業全体を把握し、見通すイノベーション手法としても、これからの質・量ともに激化するビジネスにおいて有効な手段となるのではないでしょうか。