今回紹介する本は、「BCPの見直し・訓練・展開がわかる本（SOMPOリスクマネジメント(株)著 中央経済社）」です。
![[商品価格に関しましては、リンクが作成された時点と現時点で情報が変更されている場合がございます。]](https://hbb.afl.rakuten.co.jp/hgb/474bc9b5.aae640e7.474bc9b6.8b0594b0/?me_id=1213310&item_id=20389521&pc=https%3A%2F%2Fthumbnail.image.rakuten.co.jp%2F%400_mall%2Fbook%2Fcabinet%2F8415%2F9784502388415_1_2.jpg%3F_ex%3D240x240&s=240x240&t=picttext "[商品価格に関しましては、リンクが作成された時点と現時点で情報が変更されている場合がございます。]")
本書は、以下の4部構成になっています。
- BCPを作る
- BCPを見直す
- BCPの訓練をする
- BCPを展開する
- BCPの策定は相当程度進んできた現時点において、策定よりもむしろ、その後の改善に焦点を当てて書かれている。
1．BCPを作る
「BCPを作る」では、主に以下のことが述べられています。
1．BCPとは
（１）BCP・BCMの概念
- BCPとは、Bussiness Continoity Plan（事業継続計画）の略で、災害等の事象が発生した場合においても、あらかじめ定めた製品・サービスの供給を中断させないもしくは中断しても目標復旧時間内に再開させるための対応や必要な事前対策を記載した計画のこと。
- この計画をPDCAサイクルを回すこと等によって、的確に運用するための取組をBCM（Bussiness Contioity Management：事業継続マネジメント）という。
- 防災と事業継続の取組は、目的や内容が異なる。
（２）BCPの必要性
- 企業がBCPが必要な理由について、外的要因の１つとして、企業を取り巻くリスクが変化していることが挙げられる。
自然災害、感染症以外に個別企業を狙ったサイバー攻撃や、工場・倉庫・店舗における大規模火災など、企業を取り巻くリスクが多様化・多発化・激甚化している。
もう一つとして、顧客については、仕入れ先メーカーに対して納入先メーカーが要請する場合や、仕入先メーカーに対して小売企業が要請する場合等、監督官庁については、金融機関、電力・水道・ガス業界、交通機関等に対して、BCPの策定およびBCPに基づく取組みの実施を要請する場合などが挙げられる。 - 企業の内的要因としては、ひとたび業務リソースが被害を受けた場合、影響が広範囲に広がることを示しており、企業の業務環境がリスクに対して脆弱になっている。
リスクが顕在化した場合においても、あらかじめ定めた優先的に継続・復旧すべき製品・サービスの供給が中断しない、もしくは中断しても目標復旧時間内に再開させるための取組が求められる。
（３）BCPの普及
- 2019年度のBCPの策定率は策定中も含め、大企業で8割以上、中堅企業では半数以上がBCPの策定を行なっており、取組が進んでいる。
2．BCPの策定
- BCP策定のステップ
（1）取組方針→（2）事業影響度分析→（3）リスク分析→（4）事業継続戦略→（5）有事対応→（6）事前対策→（7）運用計画→（8）文書化
（1）取組み方針
- BCPを策定するにあたってまず、以下のような取組み方針を明確にし、関係者へ説明できるように明示する．
1.目的、2.検討の対象範囲・進め方、3.対象リスク、4.実施体制、⒌実施スケジュール
- 目的
- BCPを策定する目的を明確にして共有する。
例としては、社会的責任を果たす、取引先（顧客）との取引を維持する、自社の経営を維持するなどが考えられる。
- BCPを策定する目的を明確にして共有する。
- 検討の対象範囲・進め方
- 検討対象範囲としては、特定の機能（本社機能、生産機能など）事業、関連会社などが挙げられる。
- 対象リスク
- 発生自体を回避できない事前災害（地震、水害など）や、頻度は低いが起きると深刻な影響を及ぼす（感染症、サイバー攻撃、火災など）が挙げられる。
- 自社が被災しない場合でも、サプライヤの被災により事業が停止する事例も多く、サプライヤ停止に備えた取組も必要。
- 実施体制
- BCPの実施体制として、主管部門・プロジェクト参画部門、および外部専門家の参加有無などを決定する。
- 実施スケジュール
- 2、3の内容にもよるが、一般的には外部専門家を入れる場合では、6ヶ月程度で策定する場合が多い。自社で策定する場合でも、長期間にわたると担当者の異動や緊張感が持続しない恐れがあるため、1年以内を目途にすることが望ましい。
（2）事業影響度分析
- 事業影響度分析（BIA：Bussiness Impact Analysis）とは、以下のステップによって優先的に製品・サービスの再開目標を設定し、製品・サービスの供給に必要なリソースを洗い出す取り組みを指す。
1.製品・サービスの評価、2.BCP目標の設定、3.重要業務の選定、4.業務リソースの洗い出し- 製品・サービスの評価
- BCP策定対象の機能・事業において、製品もしくはサービスの供給が停止した際における影響を時系列で評価する。
- 顧客への影響、社会への影響、市場シェアへの影響、自社への影響の観点から対象製品・サービスの各期間における影響度を評価して、供給中断がいつまでなら耐えられるかの限界（許容限界）を検討する。
- BCP目標の設定
- “1”で検討した許容限界内で、製品・サービスの供給を再開する目標として、目標復旧時間（RTO）および目標復旧レベル（RLO）を設定する。
- ここで定めたBCP目標は、実現可能かどうかはこの段階ではわからないため、「（4）事業継続戦略」「（5）有事対応」まで検討した後に再度見直す。
- ここまでの検討結果で特に優先される製品・サービスを、それぞれ「重要製品」「重要サービス」という。
- 「重要製品・サービス」の検討にあたっては、評価対象を製品とするのか、製品群とするのか、また供給先の顧客別とするのか、評価する目的などに応じて選択する。
- 重要業務の選定
- “2”で目標を設定した製品・サービスの供給に必要なすべての業務を洗い出す。
- “2”で設定したBCP目標の達成にあたって、各業務の目標復旧時間を設定する。
- 業務リソース
- “3”で選定した業務について、業務の実施にあたって必要なリソースを漏れなく洗い出す。
- 洗い出す際は、従業員や設備といった社内リソースのみにとどまらず、社外リソース（電力、水道、サプライヤ、委託先など）も含めて、漏れなく洗い出すことが必要。
- 製品・サービスの評価
（3）リスク分析
- （1）“3”で特定した対象リスク顕在化した場合に、（2）“4”で洗い出した各リソースが受ける被害や確保できる見通しを想定する。想定にあたっては、ハザードマップなども踏まえて、対象リスクの顕在時に各リソースの被害状況を具体的にイメージすることが重要。
- これらの被害想定をもとに重要製品・サービスが停止する期間を想定し、（2）“2”で定めたBCP目標とのギャップを確認する。
- 目標に対する現状のギャップを解消するため、次の（4）以降で事前の取組および有事の際の行動の両面から検討する。
- 被害を受けると想定されるリソースの中で、大きなギャップの要因となっていて、確保しないと当該重要製品・サービスの供給再開を早めたり、供給レベルを上げたりすることができない特定のリソースを「ボトルネック」として把握する。
（4）事業継続戦略
- 対象リスクが顕在化したとき、（2）で設定したBCP目標（RTO、RLO）を達成するために、どのように重要製品・サービスを継続・再開するかの方針（＝事業継続戦略）を検討する。
- 現地戦略
業務リソースの被害が軽微もしくは復旧を待てる程度に抑えられている前提で、通常時に創業している拠点にて、重要製品・サービスの供給を早期に復旧・継続させる戦略。 - 代替戦略
通常時に使用している業務リソースに被害が発生した場合に、通常時に操業している拠点以外で、重要製品・サービスの供給を継続・再開させる戦略。
- 現地戦略
- ここで検討した戦略によって、(2)で設定したBCP目標が実現できるかを確認する。
検討した戦略よって目標が実現できない場合は、目標を修正する。
（5）有事対応
- 対象リスクが顕在化したときに、「誰が」「いつ」「どのように」行動するかを整理する。
これまで洗い出された重要業務の実施手順と合わせて、対象リスクが顕在化した場合の態勢や初動手順についても整理する。 - ここで検討した対応によって、“2”で設定したBCP目標（RTO、RLO）が実現できるか再度確認する。検討した対応によって、目標が実現できない場合は、目標を修正する。
（6）事前対策
- （4）や（5）を「絵に描いた餅」に終わらせず、実際に実行できるようにするために、必要な事前対策を検討する。
- ソフト対策
BCPに関するルール・手順書などの策定・見直しのことで、従業員の安否確認手順や拠点の被害確認手順、重要業務の実施手順などが挙げられる。 - ハード対策
建物・設備・機器・備品類に関する取組み。- 建物・設備の耐震化等
- 必要な設備・機器類（非常電源、通信手段等）の整備
- スキル対策
教育と訓練に分けられ、ともに継続して実施することが重要。- 教育の内容としては、BCPに関する基礎知識（BCPの必要性・概念、自社のBCPの内容など）や特定のスキルに関するものが挙げられる。
- 訓練は、対象者・目的に応じて設定する。
- ソフト対策
（7）運用計画
- 策定したBCPの実効性を向上・維持するための平時の取組みについて定めたもの。
具体的には、教育・訓練、BCPの見直し、展開、経営層への報告等のBCMの活動を年度内のスケジュールに落とし込んだもの。
（8）文書化
- これまで検討してきた内容を文書化する最後のステップ。
3．BCPの運用（BCM）
（1）推進体制の整備
- 推進部門
BCMの取組み（BCPの策定や策定したBCPの全社への浸透および教育・訓練等による実効性の維持・向上を図る取組み）にあたっては、担当する部門を明確にして取り組みを進める必要がある。 - 経営層の関与
経営層の責任および積極的な関与の下、取り組みを進める必要がある。 - 外部専門家の活用
外部専門家を活用する段階としては、主に「1」BCPの策定、「2」策定したBCPに見直し、「3」訓練が挙げられる。- BCPの策定
BCPを効率よく策定できるメリットがあるが、BCP策定時のノウハウが組織内に蓄積されないので、BCPの見直しが特に自社単独で実施できないという事態が起こり得る。 - 策定したBCPの見直し
場合によっては、外部専門家を活用するのもあり。 - 訓練
難易度の低い訓練は自ら企画して実施する企業も少なくないが、比較的難易度の高いロールプレイング訓練やワークショップ訓練を実施する場合は、外部専門家に依頼すると効率的に訓練を実行できる。
- BCPの策定
（2）BCMのプロセス
- BCMは、作成したBCPをPDCAのサイクルによって、実効性を維持・向上させる取り組みとなる。
- Pは、BCP及びBCPの運用計画の策定
- Dは、BCP策定時に検討した事前対策の実施や、策定したBCPに基づく教育・訓練の実施
- Cは、訓練などによってルールや対策の有効性・妥当性の点検。経営者によるレビューを合わせて行うことも多い。
- Aは、Cでの点検・評価結果に基づいて、BCPを改善することを指す。
2．BCPを見直す
「BCPを見直す」では、主に以下のことが述べられています。
1．見直しの必要性
- 一度BCPを作ればその有効性がいつまでも続くわけではない。
- 見直しが必要となる理由としては、次のようなことが挙げられる。
（1）元々のBCPが不完全だったことによるもの
- 不完全には、次のようないくつかの場合がある。
- BCPの検討対象とした組織、業務が一部にとどまっていること
- 既存のBCPが社内組織や業務の全体をカバーして検討されていない場合は、カバー範囲を広げる。
- 防災対応止まりで、事業継続まで踏み込んでないこと
- BCP本来の目的である「自社の重要業務を目標復旧時間以内に、いかにして復旧継続させるか」という肝心な部分が抜け落ちている。
- 事業継続戦略が具体化されていないこと
- 重要業務の選定やRTOの設定、事業継続戦略など、BCPの基本要素までは決められているものの、事業継続戦略の実行を担保する行動手順、あるいは必要な事前対策が実施されておらず、BCPが“絵に描いた餅”でしかないものも多い。
- 事業戦略に無理があるのであれば、BCPの基本要素（重要業務、BCP目標、事業継続戦略）を思い切って見直す必要がある。
- BCPの検討対象とした組織、業務が一部にとどまっていること
（2）組織の変化によるもの
- 組織の変化に応じたBCPの見直しも必要となる。年1〜2回程度見直すべき。
- 重要業務の実行に不可欠な委託業者やサプライヤも現状にあっているか点検する。
（3）重要業務の変化、その継続方法の変化によるもの
- BCPは、自社の経営上重要な製品・サービスの提供に必要な業務を「重要業務」として定め、重要業務の早期復旧・継続に全力を挙げるための計画。
- BCP策定時は重要であった製品やサービスも、ニーズの変化や技術の進化、あるいは企業商品戦略の変化などにより、時間の経過とともに必ずしも最優先でなくなることがある。
- 逆に従来は重要製品・サービスや重要業務として認識されていなかったものが、売上や市場シェアの拡大によって、その企業にとって最重要となることもありうる。
- 重要業務の継続方法についても、見直しが必要となることもある。
（4）想定していない新たなリスクの発見によるもの
- 新たなリスクに備える場合は、一定の見直しが必要となる。
（5）実際の事業継続対応を通じて改善点が顕在化したことによるもの
- 実際の対応経験や見直しを踏まえて、より良いBCPにしていくというBCM活動を前提とし、改善の必要性が明らかになった箇所は地道に潰していくしかない。
- BCPがうまく機能しなかった理由として、想定より実際の被害の方が大きかったケースと逆に想定していたより実際の被害が軽微で、BCPに則った対応では過剰なため対応を一から考える必要があったというものもある。
2．基本事項の見直し
- 以下、BCPの基本事項それぞれを見直した事例。
（1）重要業務を見直す場合
- 次のようなケースでは重要製品・サービスや重要業務を特定することは困難なことが多く、重要業務を特定してみたもののすっきりしないと感じているケースが多い。
- 食品や日用品の卸売業などの場合、取扱品目が非常に多い。以下のような理由から、自分たちではあらかじめ重要商品を特定できないことも多い。
- 実際の有事の際に、小売りから強く要請されたものが最優先の商品である
- 重要かどうかはともかく、出せる商品からまずは出すのが一般的である
- 災害発生時の気象・季節や発生地域の違いも最優先商品に影響を与える
- 受注生産やOEM生産受託をもっぱら行うメーカーの場合、災害が起きたその時でなければ、また発注者の意向を確認しなければ、重要製品が決まらない。
- 製品のライフサイクルが短い場合、あらかじめ重要製品を決めても意味がない。
半年後には製品が陳腐化している。
- 食品や日用品の卸売業などの場合、取扱品目が非常に多い。以下のような理由から、自分たちではあらかじめ重要商品を特定できないことも多い。
- この場合は、特定の製品・サービスや業務を無理にあらかじめ選ぶのではなく、「BCP方針を決定すること」を重要業務とすることも考えられる。
- BCP方針として決定すべき内容は、その時の状況を考慮した上で、供給・復旧する製品・サービスの優先順位づけ、BCP目標（時間（RTO）、数量・仕様・顧客（RLO））の決定、そのための事業継続戦略（現地復旧、代替など）の選択が含まれる。
（2）BCP目標を見直す場合
- 現在の事前対策の進捗状況に合わせて、実現可能なRTOへの見直しも必要となる。
- RTOを達成できるような事前対策が適切に取られていない場合、RTO（目標を緩和して）実態に合わせることが必要。
- 時間だけでなくRLO（数量・仕様・顧客）の目標も加えれば、具体的で理解しやすい。
- RTO、RLOを定義する際の切り口としては、次のようなものが考えられる。
- 数量：最初の1個／必要最低量／被災前の全量
- 仕様：複数提供しているサービス・内容の全て／一部分
- 顧客：優先的に重要製品・サービスを提供する顧客
（3）事業継続戦略を見直す場合
- 組織の変化がある場合や代替戦略ができなくなってきていることから、事業継続戦略の見直しが必要となる。
3．対象リスクの見直し
（1）水害
- 外水氾濫、内水氾濫、高潮の3つに分けられる。
- 外水氾濫
河川から水があふれることによって、河川周辺の低地を中心に浸水する事態。 - 内水氾濫
排水能力を上回る雨が降り、排水が追いつかないことによって、周囲と比べて低い土地が浸水する事態。 - 高潮
台風等の低気圧による海水の吸い上げ効果、吹き寄せ効果によって、海岸付近の低地が浸水する事態。
- 外水氾濫
- （外水氾濫の）被害の特徴
- 被害を受けるケース
- 浸水した範囲内の従業員（住居含む）、拠点の施設・設備・情報システム、ライフライン（電力、水道、ガス等）まで多岐にわたることが特徴。
- 被害を受ける地理的範囲
- 氾濫した河川周辺の低地一帯が浸水するため、地理的な範囲としては、他のリスクと比較した場合小さい。
- 被害を受ける期間
- 水害で浸水した場合、周囲よりも低い場所では浸水が長期化する。
- 水が引いた後でも、一度水に浸かった建屋や設備はすぐには使用できず、復旧に長期間かかるケースが多い。
- ライフラインの復旧にも長期間かかる場合がある。
- 予兆
- 台風や活発化した前線などの時空間スケールの大きな現象の場合、被害発生のタイミングを一定程度前（2、3日前など）予測することができる。
- 局地的大雨の場合は、直前にならないとわからない場合もある。
- 被害を受けるケース
- 被害事例
- 近年、気象の変化と都市化により、水害が多発化・激甚化している。
- 気象の変化として、多量の雨が降る頻度が増えている。
- 都市化としては、コンクリート建造物やアスファルト舗装の路面の増加で雨が地中に浸透しにくくなり、低地に水が集まって浸水したり、河川・用水路に水が集中して水位が急激に上昇しやすくなった。
- 近年、気象の変化と都市化により、水害が多発化・激甚化している。
- 策定のポイント
- 水害を想定したBCPを策定する際のポイントは以下の通り。
- 浸水危険性の事前確認・・・「リスク分析」に関連
- 対象拠点の立地について、浸水の危険性があるかどうかを確認することが重要。
- 確認方法は、ハザードマップもしくは洪水浸水想定区域図を用いる。
- タイムラインの有効性・・・「有事対応」に関連
- 水害の発生については、一定程度事前に予測することが可能であるため、発生が予測される段階から何をすべきかをあらかじめ整理しておくことで、有事の際に迅速かつ漏れなく行動することができる。
- 災害の発生が予測される際に、「いつ」「誰が」「何をするか」に着目して、必要な防災活動とその実施主体を時系列で整理した計画をタイムラインという。
- 必要な行動・・・「有事対応」に関連
- 水害BCPに盛り込むべき特有の行動は、災害発生前の直前対応と災害発生後の事後対応に分けられる。
- 直前対応
防災の観点から行う人的・物的被害の発生防止・軽減策が挙げられる。- 浸水対策
- 排水溝の状況確認・清掃
- 重要資産の上階への移動、水漏れ防止対応
- 強風対策
- 飛散する恐れのある物品の収容
- 車両の転倒防止
- シャッターの閉鎖
- ガラス窓の飛散防止対策
- 人的被害の防止・軽減
代表的な行動例は以下の通りで、上記物的被害の発生防止・軽減策の完了後に実施することが多い。- 従業員の早期帰宅許可
- 従業員の施設残留（安全に帰宅できないなど）
- 翌日以降の出社指示
- 浸水対策
- 事後対応
安全に出社できるようになった段階で、拠点へ出社し、まずは安全確認・二次災害防止に向けた以下の対応をとる。- 従業員の安否確認
- 施設・設備の被害確認、復旧対応
- 二次災害の恐れがある場合は、適切な処置
- 直前対応
- 最低限の安全が確保された後、事業継続に向けた取り組みに移る。
- 被害情報（ライフライン、自社拠点、取引先の状況など）の収集
- 関係先への情報発信
- 他拠点での代替対応
- 水害BCPに盛り込むべき特有の行動は、災害発生前の直前対応と災害発生後の事後対応に分けられる。
- 事前対策
拠点の浸水防止に向けた対策としては、効果の大きなもの費用もかかるため、拠点で想定される浸水深などの情報も踏まえて、経営判断としてどこまで水害対策を実施するかの意思決定を行う必要がある。 - その他・・・「事業継続戦略」に関連
選択可能な事業継続戦略は、地震などと同じく、他拠点があって、代替が可能であれば、代替戦略が挙げられる。
- 浸水危険性の事前確認・・・「リスク分析」に関連
- 水害を想定したBCPを策定する際のポイントは以下の通り。
（2）感染症
- 感染症流行による被害の特徴
感染症BCPを考える際の基本は、感染症流行の脅威を知ること。- 人への被害・影響が大きい
- 感染者および濃厚接触者は入院や自宅待機の措置が取られるため、従業員が感染した場合は、多くの人が自宅待機となり、業務が停止する恐れがある。
- 学校の休校などにより、出勤できる人が限られる可能性もある。
- 被害が徐々に拡大し、影響が長期間続く
- 感染リスクにさらされながら事業を継続する必要がある。
- 日本国内で感染拡大（国外で発生した場合、国内へのウイルスの流入）には時間がかかるため、発生後に一定の準備ができる点が地震等と異なる。
- 流行が終息するまでの期間も長期となるため、需要回復までに資金が続かず、倒産することもあり得る。
- 被害・影響の範囲が全世界となる
- 地震や水害等に比較して、感染症では被害や影響が及ぶ範囲が圧倒的に広い。
したがって、世界規模で需要と供給のバランス崩壊やサプライチェーンの途絶が起こる。
- 地震や水害等に比較して、感染症では被害や影響が及ぶ範囲が圧倒的に広い。
- 国や自治体から外出自粛が要請される
- 感染拡大防止のために、「営業自粛」「出社自粛」等の形で、人同士の接触をできるだけ減らすことで国や自治体の要請に応えることが期待される。
- 人への被害・影響が大きい
- 被害事例
過去にインフルエンザやSARS、MERS、新型コロナウイルスの感染症の例がある。 - 感染症流行による影響
新型コロナウイルス感染症流行で生じた事業継続への影響は以下の通り。- 休業要請
緊急事態宣言では、休業を求める業種が示された。 - 消費者の外出・消費自粛の影響
観光・宿泊業、外食業、小売業等は、消費者の外出・消費自粛や都道府県からの飲食店の営業時間短縮等の要請により、大きな打撃を受けた。 - 人手不足
入国制限により、外国人技能実習生が来日できず、農業や漁業の人手不足に追い打ちをかけた。 - サプライチェーンの途絶
中国の製造技術拠点の相次ぐ操業停止、物流停滞等により、中国以外の製造拠点においても原材料、部品等の調達が困難となった。 - 業種別の影響
前記の影響を受けた業種がある一方で、外出自粛による巣ごもり消費により、需要が大きく伸びた業種もあった。
- 休業要請
- BCP策定のポイント
- 感染症BCPの考え方
- 感染リスクを低減するために、出勤や外出の制限、対面業務の自粛が必要となる。それに伴い、事業活動に制限を受けることから、継続すべき業務に人的・物的資源を集中する必要があり、そのためにはその他の計画を縮小・休止するという考え方が基本となる。
- 感染症BCPに必要となる３つの視点
感染症BCPを管変える際には、次の3つの視点のバランスよく考慮することが必要。- 安全第一
従業員・家族、顧客や取引先等の関係者の安全を第一に考えること。 - 事業の継続
自社および顧客や取引先と協力・連携して、社会や自社にとって継続すべき業務については事業継続を図ること。 - 社会的責任
テレワークの推進や営業時間の短縮等の国や自治体の対策に協力すること。
- 安全第一
- BCP策定のプロセス
- 事業影響度分析
- 感染症の場合は、上記の感染症BCPに必要となる３つの視点を勘案して、感染が流行している中でも継続すべき重要業務を選定する。
- なお、感染症は段階的には状況が悪化していくため、早めに休止する不急業務、蔓延時は休止する一般業務、蔓延時にも継続すべき重要業務のように3つ程度に区分したほうがよい。
- リスク分析
- 感染症は業務のリソースでいえば、人への被害が主となる。
物的被害が大きい地震や風水害、火災等とは大きく異なる点。 - 業務実施時の人の感染リスクを評価し、できる限り感染リスクを低減することが必要。
- 第一に出金が可能かどうかを確認する。
出勤が可能な業務は、感染リスクが高いとされる3密（密集、密接、密閉）が回避できないか検討する。
- 感染症は業務のリソースでいえば、人への被害が主となる。
- 事業継続戦略
- 感染症BCPにおいて継続すべき重要業務は、感染リスクを極小化しつつ継続するというのが基本。
これに当てはまる業態は、食品・衣料品・日用品等の製造・流通、物流、金融、ライフライン、医療・介護等のいわゆるエッセンシャルワーカーがあり、これらの事業者の採るべき事業継続戦略は現地戦略（継続）となる。 - コロナが営業自粛した飲食店や観光業等の事業者にとっては、「重要業務の継続」よりむしろ、休業しても資金繰りを確保し雇用を維持しつつ、事態が改善するまで組織を持ちこたえさせる持久戦略が必要。
- 飲食店がデリバリーやテイクアウトに活路を見出すといった事業転換戦略も、事業継続戦略の選択肢として考えられるのが、感染症BCPの特徴。
- 感染症BCPにおいて継続すべき重要業務は、感染リスクを極小化しつつ継続するというのが基本。
- 対策
- 感染症流行中においても、出勤して事業を継続するためには、感染者を発生させない対策と感染者が発生しても事業を止めないための対策の両方を検討することが必要。
- 事業影響度分析
- 第二波、第三波への備え
いったん流行が収束しても、次の流行に備えた対策を行う必要がある。
- 感染症BCPの考え方
（3）サイバー攻撃
- サイバー攻撃を想定したBCPの必要性
- サイバー攻撃による事業停止が大きなリスクになっている。
- サイバー攻撃による影響は、自然災害のように地理的な分散が意味をなさない。
- サイバー攻撃に対応したBCP対策を講じる重要性は日増しに高まっている。
- サイバー攻撃の特徴
- 昨今のサイバーセキュリティに係る状況が書かれている。
- サイバー攻撃の被害事例
- サイバー攻撃の被害事例について書かれている。
- BCP策定のポイント
サイバー攻撃が発生した際の対応には、インシデント対応、事業継続対応の2つの要素がある。- インシデント対応
セキュリティインシデントが起こった際の原因の特定や除去、システムの復旧、社内外の関係者との連絡や調整といった対応全般の取り組みを指す。 - 事業継続対応
サイバー攻撃が発生した場合でも、重要な業務を継続しまたは早期再開するための対応。
一般には普段利用しているシステムやネットワークが使えないことを想定した事業継続方法を検討しておくことが必要。
- インシデント対応・・・「有事対応」に関連
- サイバー攻撃の検知
以下の取り組みが重要。- 最新のサイバー攻撃手法を定期的にチェックする
- 攻撃検知や監視システムやツール等を導入する
- サイバー攻撃を受けたと思われるときの行動について、従業員への教育を行う。
- 緊急度判断
- サイバー攻撃発生直後に、被害の範囲や原因等を正確に把握することは難しいことから、一般的には被害拡大防止のため、積極的に外部との接続を遮断することが多い。
- ネットワークやシステムの遮断は事業の停止につながるので、緊急度を判断する場合の情報の伝達先や判断材料、権限者等をあらかじめ整備しておくことが重要。
- 封じ込め・被害拡大防止
- 封じ込め・被害拡大防止には、ネットワークやシステムの停止措置がかかせないため、その対象や範囲について検討しておくことが必要。
停止措置の範囲は「外部との通信遮断」「社内システムの利用停止」「パソコンの利用停止」など様々。 - サイバー攻撃を受けた場合、どこに被害が生じるかあらかじめ確認し、攻撃を受けた際に迅速な措置をとることができるように準備する。
- 封じ込め・被害拡大防止には、ネットワークやシステムの停止措置がかかせないため、その対象や範囲について検討しておくことが必要。
- 対策本部の設置
- サイバー攻撃を受けることを前提に、全社的な危機的対応、組織の構築が不可欠。
- 被害の把握・原因の究明
- 被害の把握と合わせて復旧目途を確認することが、BCPの観点では重要。
- ウイルス駆除・システム復旧
- 原因及び被害を確認後、ウイルスを駆除し、システムの業務や復旧（事業の継続）に向けた活動を行う。
- 対外広報
- 個人情報の漏えいなどステークホルダーに迷惑をかける恐れがる場合、サイバー攻撃の被害範囲などが不明でも速やかに情報をステークホルダーに伝えることが基本となる。
- サイバー攻撃の検知
- インシデント対応・・・「有事対応」に関連
- 事業継続対応・・・「有事対応」に関連
- 業務に必要なシステムやネットワークの使用可能・復旧見込み等に基づき、事業停止による影響を見極めて、代替手段を用いた業務継続方法を検討・決定する。
- 復旧の優先順位が高い業務に業務リソースの集中を図ることが重要。
- システムやネットワーク復旧の見込みによっては、それらの復旧を待って業務を再開することも選択肢の一つ。
- インシデント対応
- 対策
サイバー攻撃の被害は、情報資源（ネットワーク、システム、データ）であるため、必要な対策は次の2つに分類される。
いずれも守るべき（早期復旧すべき）情報資源を明らかにすることが必要で、この守るべき情報資源は、BCPで定めた重要業務と整合が取れていなければならない。- 技術的対策
サイバー攻撃による被害の防御や被害軽減を図るための、情報システムの脆弱性対策 - 事業継続のための対策
サイバー攻撃により情報資源が使えない場合でも、事業を継続・早期再開するための方法を検討し、実現するために対策
- 技術的対策・・・「事前対策」に関連
技術的対策は以下の3つに分類される。
従来は「入口対策」が重視されていたが、完全に侵入を防げない前提に立ち、侵入されても機密情報を外部に出さないことに着目した対策が、「内部対策」と「出口対策」それぞれの対策をバランスよく実施することが望まれる。- 入口対策
マルウェアによる内部ネットワークへの侵入を防ぐ対策 - 内部対策
不正侵入を早期検知する対策や、不正侵入したマルウェアから情報を守る対策 - 出口対策
不正侵入したマルウェアによる外部への情報漏えいや、外部感染を防ぐ対策
- 入口対策
- 事業継続のための対策・・・「事業継続戦略」に関連
この対策は、サイバー攻撃により情報資源が使えない場合でも、重要業務を目標復旧時間内に再開するための方法をあらかじめ考えておくことが基本。
- 技術的対策・・・「事前対策」に関連
- 技術的対策
（4）大規模停電
- 東日本大震災を受け、それ以前に発表されていた被害想定が更新される格好で南海トラフ巨大地震及び首都直下地震の被害想定が発表された。
- これらの被害想定が発表される前にBCPを策定した企業が、これらの想定をもとにBCPを見直す際のポイントについて、以下解説されている。
- 被害の特徴
- 南海トラフ巨大地震
南海トラフ地震の被害の特徴として、以下が挙げられる。- 津波被害の大きさ
東日本大震災を上回る規模が想定されている。 - 被害域の広さ
震源域が広いため、強い揺れに見舞われる地域も広くなることが想定されている。広い地域が同時に被災するめ、行政等による支援が行き届かない可能性や、関連する取引先が多数被災する可能性がある。 - ライフラインの長期停止
- 電力・上下水道・ガスなどのライフライン施設が広範囲にわたって被災するため、ライフラインが途絶の影響が広範囲かつ長期化する可能性がある。
- 鉄道・道路などの交通網も、太平洋・瀬戸内海沿岸の地域を中心に広範囲で被害を受け、復旧までに長期間かかることが想定される。
- 時間差での地震発生
過去、数時間から数年の時間差で発生している。
- 津波被害の大きさ
- 首都直下地震
- 政府はマグニチュード7クラスの地震を防災・減災対策の対象地震として、甚大な被害が想定されるマグニチュード8クラスの地震を津波避難の対象地震としている。
- 被害の特徴として、以下が挙げられる。
- 大規模火災
- 古くから住宅地では、木造建築の密集地域が多く存在し、地震後に一度火災が発生すると、建物の倒壊によって細街路がふさがり、避難や消防車による消火などが困難となる状況が想定されている。
- 都心部が大きな被害を受けた場合、都市近郊の広範囲で同時多発的に火災が発生することが想定されている。
- 多数の帰宅困難者
- 多数の帰宅困難者が発生することが想定され、無理して帰宅すると途中で被害に巻き込まれる可能性が高く、また一斉に帰宅することで、道路渋滞を引き起こし、緊急車両の通行を妨げたりすることになる。そのため、従業員を職場にとどまらせるための取り組みが必要となる。
- ライフラインの長期停止
- 停電は地震発生から1週間後で約5割復旧、1か月後で約9割の復旧と想定されている。
- 上下水道は、1週間後、1か月後の断水率はそれぞれ18％、3％と想定されている。
- 津波被害の大きさ
- 相模湾および房総沖の地域で津波による被災が想定されており、津波の高さは最高20ｍ、最短到達時間は1分となっている。
- 大規模火災
- 南海トラフ巨大地震
- 見直しのポイント
- 南海トラフ地震
- 津波避難手順・・・「有事対応」に関連
津波浸水を受けるエリアでは、以下の観点をもとに津波避難の行動を明確にし、訓練で検証・周知する必要がある。- 想定されている被害の確認
ハザードマップなどで想定されている事態（津波の浸水深、津波到達時間）を確認する。 - 津波避難場所の検討
津波到達時間までに、想定される津波の高さよりも高い場所へ避難する方法を検討する。
- 想定されている被害の確認
- 時間差で地震発生に備えた行動力の検討・・・「有事対応」に関連
現在政府では、南海トラフ地震の規模・形態に応じ、後発地震に備えた防災対応を、以下の3ケースに分けて検討している。- はん割れ（大規模地震）／被害甚大ケース
- 一部割れ（前震可能性地震）／被害限定ケース
- ゆっくりすべり／被害なしケース
- 停電対策・・・「事前対策」に関連
被害を受ける地域では、長期化する停電に備えて発電機の確保が望ましい。 - 非被災地域からの応援・業務代行・・・「有事対応」に関連
西日本での被害が広範囲かつ長期間にわたることから、国内に複数の拠点を持つ企業においては、特に日本海側や東日本の拠点からの支援対応や一部業務の代行について検討することが必要。 - 取引先被災への対応・・・「有事対応」に関連
自社が被害を受けなくても、サプライヤが被災して自社の業務継続に影響を及ぼす恐れがある。- サプライヤ被災時には、当該サプライヤとの関係性によって、以下の対応が必要となる。
- 被災サプライヤに対する復旧支援（応援要員の派遣、支援物資の輸送）
- 代替サプライヤへの発注
- なお、サプライヤーチェーン強化にあたっては、事前対策が欠かせない。
- サプライヤ被災時には、当該サプライヤとの関係性によって、以下の対応が必要となる。
- 津波避難手順・・・「有事対応」に関連
- 首都直下地震
以下の対策を検討しておく。- 帰宅困難者対策・・・「有事対応」に関連
- 条例により、都内の企業および大規模集客施設においては、それぞれ以下の観点などででの検討が必要。
- 従業員・施設利用者の待機・宿泊スペース
男女別の設定、体調不良者を考慮したスペース設定 - 配付する備蓄品とその配付方法（従業員、施設利用者別）
- トイレや廃棄物の片づけ対応
- 従業員・施設利用者の待機・宿泊スペース
- 帰宅を希望する従業員を無理に引き留めることはできないため、帰宅を認める場合の対応もあわせて検討しておく（帰宅者の記録、帰宅完了時の報告義務付けなど）
- 条例により、都内の企業および大規模集客施設においては、それぞれ以下の観点などででの検討が必要。
- 本社機能の代替・・・「事業継続戦略」に関連
- 停電が長期化することを前提に、首都圏の本社のある企業の本社機能が長期間（1週間程度）停止する事態に備えて、本社機能の首都圏以外の拠点における代替機能を検討する。
- 本社機能については、最低限必要かつ代替可能な業務を選定しておく。
例：- 従業員の安否確認結果の集約
- 自拠点の被害確認
- 社内、社外の情報発信
- 社外からの問い合わせ受付
- 帰宅困難者対策・・・「有事対応」に関連
- 南海トラフ地震
- 被害の特徴
（5）火山噴火
- 富士山噴火を対象に火山噴火に対するBCPについて解説されている。
- 被害の特徴
- 噴石
- 降灰
- 火砕流・火砕サージ
- 溶岩流
- 火山ガス
- 空振
- 降灰後の土石流
- 融雪型火山泥流
- 富士山噴火時の被害想定
- 被害範囲
富士山近くで噴石・火砕流による被害が想定されている一方、首都圏の広範囲にわたって降灰による被害が想定されている。 - 被害対象
鉄道、道路、電力、通信、上下水道、建物、健康被害など - 被害期間
数日から数年単位で影響を受ける。
- 被害範囲
- 策定のポイント
- 想定される被害・噴火警戒レベルの確認・・・「リスク分析」に関連
拠点が火山周辺に位置する場合、まず火山ハザードマップを確認し、拠点および周辺で想定されている被害を確認する。 - 必要な対応・・・「有事対応」「事業継続戦略」に関連
- 避難
- 生命に危険を及ぼす火山現象による被害が想定されている場合は、まず安全に避難するのが最重要となる。
- 避難計画を作成して、いつでも避難できるように準備しておく。
- 降灰対応
従業員の健康被害防止と、建物・設備の被害拡大防止に向けた対応を検討しておく。 - 拠点機能の継続
富士山の大規模噴火に対しては、首都圏直下型地震以上に、拠点の長期停止を前提とし、首都圏以外の拠点での代替戦略を検討することが求められる。 - サプライヤ対応
自社拠点が直接被害を受けなくても、サプライヤが被災すると自社の操業に影響を及ぼす可能性があるため、サプライヤ対応が必要となる。
- 避難
- 想定される被害・噴火警戒レベルの確認・・・「リスク分析」に関連
- 被害の特徴
（6）オールリスクBCP
- 様々な事態への対処を網羅するためのBCP
- 結果に着目
- オールBCPでは、原因は特定せず、重要業務を実施するための業務リソースすべてについて、それぞれのリソースが何らかの原因により結果として使えなくなったら、重要業務をどのように復旧・継続するかを考える。
- 各リソースに対して事業継続戦略を用意
- オールリスクBCPでは、すべての業務リソースそれぞれに対し、それらが確保できない場合の事業継続戦略を考える。
- 業務リソースを確保できない時間や量の長短・大小に応じて、複数の事業継続戦略を用意しておくことが望ましい。
- 複数の事業継続戦略から1つを選択する時の判断要素や判断者について、決めておくと良い。
- 初動対応手順はリスク別に必要
- オールリスクといっても、あらゆる事象に対して1つの手順で事象の発生から収束まで対応できるわけではなく、実際の対応手順はリスクによって異なる。
- 初動対応については、オールリスクBCPとは別に、それぞれのリスクに対して用意しておく必要がある。
リスクを問わずに共通できるのは、対応態勢、重要業務とBCP目標（RTO、RLO）等。 - 事業継続戦略は、すべてのリスクに対して1つの戦略で対応できるわけではないので、リソースごとに1つ以上の戦略をあらかじめ用意しておくことになる。
- 優劣はない
- オールリスクBCPについて、個別リスクBCPと比べてどちらが絶対的に優れているというものではないので、自社を取り巻くリスク評価を踏まえ、どちらかを選択すると良い。
- 結果に着目
3．BCPの訓練をする
「BCPの訓練をする」では、主に以下のことが述べられています。
1．訓練のやり方
（1）実技
- 災害対応の過程における特定の動作について、実際に身体を動かしてやってもるもの。
（2）読合わせ
- 規程やマニュアル等の文書を対象に、参加者で記述内容を読んで確認する訓練。
- 文書の内容を理解したり、あるいは抜け漏れを見つけたりするのに向いている。
- シナリオを設定し、そのシナリオ下での記述・行動を確認するやり方もある。
（3）ロールプレイング
- マニュアル等で規定されている有事の各自の役割になりきって、訓練内で与えられた状況下で、その役割に期待される行動をする訓練。
（4）ワークショップ
- ワークショップでは、参加者間の「議論」に主眼を置く。
- 訓練企画者が、参加者に議論して一定の答えを出してもらいたいテーマ（設問）を、訓練企画の段階で用意し、訓練当日は一定の前提条件や関連情報を与えられた上で議論してもらうやり方となる。
（5）その他
- 自社のサプライチェーンを構成する企業や、あるいは同業他社と連携して同時に行う訓練もある。
2．訓練のプロセス
- PDCAのサイクルを則のがよい。
- やって終わりではなく、結果を適切に評価し、改善につなげることで、訓練の効果が最大化される。
（1）計画（PLAN）
- 訓練の目的、ねらいを明確にし、訓練のやり方等の方針を決定する。
（2）実施（DO）
- 訓練の本番。
（3）評価（CHECK）
- 課題を洗い出し、改善点を検討する。
（4）評価結果を活用した改善（ACTION）
- 評価結果に基づき、改善を要する事項を抽出して改善を行う。
- 順次対策を実施した上で、次回以降の訓練でその効果や実行性について検証することが、訓練のPDCAサイクルにおいては理想的。
3．各プロセスの詳細
（1）計画
- 目的を明確に設定する
訓練の結果として、マニュアル通りに動けるか、マニュアルにも抜け漏れがないか等、得たいものを明確にする。目的のない訓練に成功はない。 - 目的に即した参加者を選定する
目的が決まったら、訓練の参加者や参加組織を選定する。 - 目的に即した訓練のやり方を選択する
訓練目的を達成するために、最適な訓練のやり方を選択する。 - 目的を達成できるように設計する
具体的にどのような内容とすれば、目的を達成したことになるのか考えなければならない。 - 実施するための資料を作る
設計した内容を、訓練当日に用いる資料に落とし込む作業。
（2）実施
- 当日の流れ
まず、簡単に訓練の目的・流れについて、訓練事務局より参加者に説明してから、訓練を開始する。 - 準備、役割分担
会場の設営を行い、使用する機材の動作確認を行うとともに、当日の参加者に配布する資料の準備を行う。 - 趣旨・実施手順の説明
参加者に訓練の目的や期待する成果といった趣旨や、前提条件、流れを説明する。 - 訓練の実施
本番。
訓練中に事務局が観察すべきポイント、すなわち評価・講評を行うための着眼点を事務局内で明らかにしておくとよい。 - 参加者による内容の共有、振り返り会
参加者間で検討結果や判断内容を発表することで、課題や参加者の気づきを共有できる。 - 講評
訓練の講評にあたっては、訓練全体を総括するとともに、今後の取組み方向の示唆となるようにする必要がある。
（3）評価
- 訓練の実施後、得られた成果や目的の達成等について、訓練事務局が中心となって評価を行い、改善すべき課題を抽出し、今後の改善について整理を行う。
（4）評価結果と活用した改善
- 評価結果を活用し、改善につなげていくことが肝要。ころこそが訓練の重要な目的の一つ。
活用には次のような方向がある。- ハード対策の充実につなげる：資機材、非常用設備の充実等
- ソフト対策の改善につなげる：規程、マニュアルの見直し等
- スキル対策の強化につなげる：次回の訓練計画に反映等
4．BCPを展開する
「BCPを展開する」では、主に以下のことが述べられています。
- BCPの取組みは、自社だけでなく、グループ会社やサプライヤも含めて検討することが必要。
- 海外拠点への展開は、国内以上に難しい。
1．グループ会社への展開
- グループ会社のBCPの必要性は調査により十分認識されていないことがわかる。
- 親会社とグループ会社がバリューチェーンを形成している場合、親会社のBCPと整合を図る必要があるため、グループ会社のBCPを策定する際は、親会社の関与が必要となる。
（1）グループ内でBCPの整合を図る
- 有事におけるグループ全体の危機対応の整合
- 親会社とグループ会社間で連絡を撮る際の窓口を定め、親会社が必要とする情報と子会社が＼報告する情報について整合を図っておくことが必要。
- 被害状況
- 復旧見込みと事業への影響 等
- 親会社が判断すること、グループ会社に判断を任せることを明確にしておくことが必要。
- 親会社とグループ会社間で連絡を撮る際の窓口を定め、親会社が必要とする情報と子会社が＼報告する情報について整合を図っておくことが必要。
- 重要製品・サービス、目標復旧時間の統一
- どの製品・サービスを優先するのか、いつまでに再開する必要があるのかといった、グループ会社を含めたバリューチェーン全体としての優先度や目標等を、方針として定める必要がある。
- グループ会社は、その方針に沿ってBCPを策定すると、全体で生合成のあるBCPを策定することが可能となる。
（2）展開方法を事例
- ガイドラインの作成
- 多くのグループ会社を抱える企業グループでは、BCPの策定方法や文書例を示したガイドラインを作成して、グループ会社に配布することによりBCP策定を推進する事例が多い。
- ガイドラインの作成のメリットは、多くのグループ会社に対して効率的にBCPの取組みを展開でき、BCPの文書構成の統一性や一定程度の品質が確保できるといったことが挙げられる。
- 直接指導
- 現地に出向いて直接指導したり、一緒にBCPを策定したりする事例がある。
この場合は、BCP策定を支援できるスキルを持った人材を育成することが必要である。
- 現地に出向いて直接指導したり、一緒にBCPを策定したりする事例がある。
2．海外拠点への展開
（1）展開時の留意点
- リスク管理体制の成熟度
- 展開先の状況やリスク管理の成熟度を考慮して、計画的に進めていくことが必要。
- 取り巻くリスクの多様性
- 海外では地震のリスクが極めて小さい国や地域もあるため、日本で策定した地震BCPを参考に進めることが適切でない場合もある。
- 海外では事業継続を阻害する危機が多種多様で、BCPで対象とするリスクを特定すること、または危機ごとにBCP策定することが実態と合わない場合がある。
この場合は、オールリスクBCPがおすすめ。
3．サプライヤへの展開
- サプライヤへはグループ会社のように要件を提示したり、直接指導することができないことが多い。BCP策定を取引の条件とすることもある。
- サプライヤへのBCP展開の事例
- 防災・BCPの取組みに関するアンケート調査
- BCP普及・啓発セミナー
- 防災・BCPの取組み状況の監査
- バイヤーへの被害状況報告に関する取り決め
- 合同訓練の実施
- 業界ガイドラインの作成
- BCP認定制度の活用
4．サプライヤの被災を想定したBCPの取組み
- バイヤーが、サプライヤからの供給途絶に備えて、BCPに取り組むことも必要。
（1）サプライチェーン強化に向けた取組み事例
- サプライチェーンの把握
- 2次、3次と広がるサプライチェーンの場合、自社の重要製品・サービスと紐付けて重要なサプライヤに限定するなど、対象範囲を十分検討することも推奨される。
- サプライヤ被災情報の早期把握
- サプライヤに被災情報を24時間以内に報告するなど、報告期限を取り決めている事例もある。
- 自社から復旧支援部隊を派遣する体制を準備している企業もある。
- 複数社からの購買
- 1つの部品を複数社から調達する取組み。
- 単一サプライヤの生産拠点の二重化も複数購買化と同じ効果を期待できる。
- 在庫の積増し
- コスト削減に反するため最終手段。
- 実施する場合でも、製品の優先順位をつけて対象を限定することが望ましい。
- 購入品の共有化
- 部品を共通化することで、サプライヤ数や部品数が削減され、有事においてサプライヤ被害確認等の負担を削減できる。
- 有事におけるバイヤー対応
- 迅速かつ効率的に対応するために、あらかじめ対応体制や手順を整備しておくことが望ましい。
最後に
BCP策定及びその後の活動に焦点を当てて詳しく書かれています。
自然災害から感染症、サーバー攻撃に関するBCPについても詳しく書かれています。
BCP策定及びBCP策定後の見直し、訓練そして展開等の活動の参考になると思われます。
詳しくは、本書をご覧ください。
コメント