BCPの策定に向けて日本企業がやらなければいけないこととは～未曽有の災害に備えて～
突如メインシステムに重大な障害が発生したり、自然災害や戦災・病災によって現在の事業にトラブルが生じた場合、それでも製品やサービスのような商品の供給を続けなければ事業は回らず、自社だけでなく他の企業、そして社会経済に大きな影響を与えてしまうことになります。そんな中で現在注目が集まっているのは事業継続計画、いわゆるBCPの策定です。
万が一大きなトラブルが生じても、滞りを最小限に留めて事業を継続するためには前もっての準備が欠かせませんが、何から手をつけるべきなのでしょうか。今回はそんなBCPの策定方法についてご紹介します。
- 実効性がなければ意味のないBCP
- BCP対策が進んている企業は日本にはまだ少ない
- リスク管理は先延ばしにせず、できるだけ早い対応を
BCPの概要
Business continuity plan(事業継続計画)、通称BCPは、企業が非常事態に陥っても損害をできるだけ少なく収め、事業を素早く復旧できるようにするための取り組み全般のことを指しています。
「計画」という言葉が含まれている通り、復旧のためのプランと、実際にトラブルが生じた時にプラン通り動くことができるようにするための取り組みも、BCPの一環ということができます。例えば避難訓練や非常時の演習を定期的に行うことで、トラブル発生直後も適切に対処できるよう備えておくこともBCPを考える上では重要になります。
実効性が重要なBCP
形式上以外のものとして、実際に災害等が起きた時にプランが机上の空論とならないよう、データでマニュアルを社員一人ひとりが確認できるよう配布したり、紙媒体のマニュアルを用意しておくこともBCPでは大切です。
いかなる非常時にも対応する必要がありますから、電気の供給が止まった際にもアナログ形式で対応できるよう、連絡先や機器の操作方法を紙ベースに落とし込んでおくことは時として生命線にもなります。
常に見直しが迫られるBCP
もう一つBCPにおいて重要なのが、常に危機管理対応を最新の状態に更新しておくことです。自然災害のような、時代によってトラブルの質が変わらないものもあれば、サイバー犯罪のようにトラブルの質そのものが時代とともに変容していくものもあります。
そのため、災害対応は常に更新し続けなければ、いざという時に効果を発揮できないことも現代では多い、ということを理解した上で、定期的にBCPについて見直しを図る必要があることも覚えておくべきでしょう。
幸いにも災害や犯罪などのトラブルから事業を守る方法も年々進化しているため、BCP対策も本腰を入れれば十二分に行うことができるようになりつつあります。使えるものはどんどん活用して、対策を進めていくよう心がけておきましょう。
BCPの取り組みにおける現状
世間では注目を集めているBCPとはいえ、実際はどれほどの数の企業がBCPを策定し、実践しているのか、あるいはBCPが大切である上で日本における強制力はどれくらいのものなのかを見ていきましょう。
策定の進んでいない現実
帝国データバンクの公開しているデータによると、2017年五月現在でBCPを策定していると答えた企業は2割にも満たない結果となりました。
（参考：https://www.tdb.co.jp/report/watching/press/p170602.html）
策定を検討していると回答した企業を合わせても、BCP対策を行っている企業は半数にも満たないことが分かります。現在の日本企業は、何らかのトラブルが生じた際に、事業継続が困難になるリスクが非常に高い中で活動している、ということになります。
サイバー犯罪への意識の低さ
またBCPを策定している企業にも対策に偏りが見られる節も見られ、危機意識を抱いている災害として、自然災害に注目するあまり、サイバー犯罪のリスクをあまり考えていない、とも受け取れます。近年活発化を見せるサイバー攻撃への意識は先進国の中でも日本が群を抜いて低いとも言われており、この点においてもリスクに見合った対策が取られていないのが現状です。
戦災や感染症、伝染病のリスクも
現在は周辺国との軍事的衝突の緊張感の高まりもあり、戦災への対策の必要性も議論されるようになってきました。日本は国外からの出入りも激しさを増している国である以上、感染症や伝染病で都市の機能がダウンする可能性も増加しています。
日本はあらゆるリスクに囲まれギリギリのバランスで成り立っているのにもかかわらず、そのバランスが崩れた時の準備を全くできておらず、ゼロリスク思考というよりもむしろリスクがゼロであってほしいと願う思考に陥ってしまっているのが現状なのです。
先延ばしが常態化しているBCP
BCP対策は重要事項であるのにもかかわらず、法的拘束力はありません。政府はBCP策定の推進を掲げているものの、結局は企業が実費で行わなければならないため、事業にある程度余裕のある企業でなければ、BCP策定は先延ばしが常態化してしまっていると考えられます。
BCPは決して不必要だから先延ばしにされているのではなく、直接利益にコミットせず、むしろ起こるかもわからないトラブルのためにリソースを割きたくない、という思惑で先延ばしにされているのが現状です。
しかし、未曾有の災害に見舞われた際の損失を考えれば、BCP対策は決して無駄になることはありません。加えてBCP策定をきちんと行っておくことで、企業の信頼性に繋がるケースも見られるため、直接利益を生むことはなくとも、企業のブランド向上に役立てることができる点は踏まえてBCPを捉えるべきでしょう。
BCP策定のサイクル
もう一つBCPについてつまずきがちなのが、どのようにしてBCPを策定するかという問題です。一般的にBCPの策定は以下の5つの項目で構成される一つのサイクルを持って行われます。
- 事業の理解
- BCPの準備・事前対策の検討
- BCPの策定
- BCP文化の定着
- BCPのテスト、状況に応じた維持・更新
事業の理解はBCP策定を行う上で、事業のどの部分が核となり、どのようにすれば最低限の事業継続を可能にするのかを理解する上で重要になります。BCPの準備・検討も、事業を整理して理解しておかなければ、適切なBCPを策定することができません。
事業にはどのような障害の、どのような要素が支障をきたすのかを検証する必要があるからです。
そのような検討を十分に行った上でBCPを策定し、きちんと機能するように訓練やマニュアルの発布を通じて企業にBCPそのものを定着させる必要があります。これを達成できて初めてBCPの策定ができているものとすることができるでしょう。
そして常にBCPに高いパフォーマンスを期待するためには、策定した内容の更新を定期的に行う必要があります。BCP文化が定着したからといって演習や訓練を怠ったり、新たな脅威について研究しないまま放置しておくと、せっかく養ったBCP文化も廃れていってしまいます。状況に応じたBCPのテストや確認を欠かさないことで、常にBCPを意識しておくことも大切になります。
まずは想定内の防災対策から考えてみる
実際の想定できる災害については、「東京防災」のようなハンドブック（参考：http://www.bousai.metro.tokyo.jp/1002147/）や、防災タウンページ（参考：http://www.ntt-tp.co.jp/bousai/）が役にたちますし、細かいケースについては分野ごとにネットで検索すると有益な情報が見つかります。まずは想定できるレベルでの災害や障害について学び、それらが自社の事業にどのようなリスクや障害を与えるのかを照らし合わせながら考えてみるのがBCP策定の一歩につながっていきます。
いつ起こるのか、そもそも本当に起こるのかわからないことについてイメージしたり対策を取ることは難しいことですが、起こってからでは取り返しのつかないことになる可能性もあります。備えあれば憂いなしという言葉通り、少しでも早いうちからBCPの策定に向けて行動しておくことが、万が一の事態に対応するために必要なステップです。
お問い合わせフォームへ
03-6432-0346