「BCP対策と言われても何をすれば良いか分からない」という方も多いのではないでしょうか？
自然災害やサイバー攻撃など、ビジネスを取り巻く環境は日々変化しています。それによって企業が直面するリスクも増加しており、BCP対策はますます重要になっています。
そこで本記事では、BCP対策の意味や目的からBCP策定の方法や実際の事例について分かりやすく解説します。
ご自身のビジネスを守るために参考にしていただける内容ですので、ぜひ最後までお読みください。
BCP（事業継続計画）対策とは｜意味と背景を解説
BCP対策は多くの国において、ますます重要になっています。
本章ではBCP対策の意味から重要度が増している背景についても解説します。
BCP対策の意味
BCP（Business Continuity Plan）対策とは、企業や組織が業務継続を確保するための計画や手順を策定し、自然災害や人為的災害、IT関連の障害などの予期せぬ事態が発生した際にも、適切な対応をとることで事業継続を可能とする取り組みです。
具体的には、事業継続計画の策定、災害対応体制の整備、データバックアップ・復旧の体制の整備などが挙げられます。
BCP対策は、災害やトラブルに備えることで、企業や組織の事業継続性を高めることを目的として実施されます。
BCPが注目される背景
BCPが注目される背景として、新型コロナウイルス感染症の流行があります。
新型コロナウイルスの感染拡大により、多くの国や地域でロックダウン措置がとられ、企業活動にも大きな影響を与えました。
代表的な例として、多くの企業は、リモートワークやオンライン会議など、従来とは異なる働き方を導入しました。
また、製造業や物流業など、物理的な作業を必要とする業種では、従業員の安全確保やサプライチェーンの維持など、新たな課題が生じました。このような中で、BCPの重要性が再認識され、多くの企業がBCP策定や見直しを進めるようになりました。
BCP・BCM・防災の違い
BCPと混同されやすい単語として「BCM」・「防災」があります。
本章では「BCM」・「防災」のそれぞれの意味と「BCP」との違いについて解説します。
BCMの意味とBCPとの違い
- BCMとは、Business Continuity Managementの略称で、事業継続性マネジメントを指します。
具体的には、BCMは以下のようなアプローチをとります。
- 方針の策定
- リスク分析とビジネス影響分析
- 事業継続計画（BCP）の設計と評価
- 事前対策及び訓練の実施
- 定期的な評価と改善
BCPはBCMの一部であり、BCMはBCPだけでなく、事業継続に必要なプロセス策定、そしてそれらの訓練・改善も含めた統合的なアプローチを指します。
【引用】事業継続ガイドライン第3版（2013年8月） 解説書｜内閣府防災担当
防災の意味とBCPとの違い
防災とBCPは両方とも災害に備えるための取り組みですが、そのアプローチや目的が異なります。
まず、防災は、地震、津波、台風、火災などの災害に備えて、物理的な被害を最小限に抑えることを目的としています。具体的には、避難計画の策定、建物の耐震化、非常用品の備蓄、防災訓練などが挙げられます。
一方、BCPは、企業や組織が災害などの非常事態に遭遇した場合に、事業を継続するための計画策定を目的としています。
両者は異なる目的を持ち、それぞれが必要な取り組みを行うことで、災害に備えるための体制を整えることができます。
BCP対策の3つの目的
BCPを策定するうえで、策定の目的を認識しておくことは重要です。
本章ではBCP対策の3つの策定目的について解説します。
緊急時に被害を抑えて事業を継続する
災害などの緊急事態が発生した場合には、事業継続に必要な人員や物資、情報システムなどが不足する可能性があります。
そのため、BCP対策を策定することで、緊急事態に備え、事業継続に必要なリソースを備蓄・把握しておくことができます。
先述のコロナウイルスの感染症以外にも、自然災害などが多く発生する日本においては災害・障害が生じることを常に想定して、事業継続について考慮しておくことが重要です。
信頼性が向上する
BCP対策によって、企業は事業継続のプロセスを整備することができ、緊急時には適切な対応を迅速に行うことができます。これにより、以下のような信頼性の向上が期待できます。
- 顧客への信頼性の向上
- 取引先への信頼性の向上
- 株主への信頼性の向上
まず、BCP対策を行っている企業は災害などの緊急時にも顧客サービスを提供できます。これにより、顧客からの信頼を獲得することが期待できます。
次に、BCP対策を行っている企業は、災害などの緊急時にも、取引先に迅速かつ適切な対応ができるため、取引先からの評価が高まります。
最後に、BCP対策の充実により緊急時にも、事業継続を維持することができるため、企業の株価に影響を与えるリスクを軽減することができ、株主からの評価にも良い影響を与えます。
業務の効率化につながる
事業継続計画の策定には、業務プロセスやリソースの把握が必要です。具体的には、各部署の業務内容や責任、システムやデータの管理状況、重要なリソースの在庫状況などを詳細に調査し、リスト化する作業が発生します。
こうした情報を整理することで、業務プロセスの改善やリソースの最適化が可能になります。
前者に関しては、BCP対策を行う中で業務プロセスの整理を行う必要があるため、複雑になったプロセスの簡素化や不要なプロセスの削除などを行うことが想定されます。
後者に関しては、改善されたプロセスに対して、再度適切なリソース配分を練り直すことで人員の削減や配置転換などを行えるようになります。
代表的な災害・障害別のBCPマニュアル例
BCP対策で想定すべき災害・障害は様々です。
本章では代表的な「自然災害」「人為的トラブル」「感染症災害」に絞って、具体的なマニュアル例を解説します。
自然災害
自然災害に対するBCP対策は、地震や洪水、台風などの自然災害が起こった場合にも、事業を継続するための対策を考えることを指します。自然災害に対するBCP対策例として以下のようなものが挙げられます。
- 自然災害が発生した際に、どのような被害が予想されるか、どのようなリスクがあるかを洗い出す
- 社員間や関係者間で、どのような情報を共有するか、どのような手段で共有するか、事前に検討する
- 水や食料、医薬品などの備蓄品を事前に確保し、常に在庫を管理する
- 別の拠点やクラウドサービスなど、オフサイトでの業務継続体制を構築する
- どのような手順で復旧を進めるかを決定する
- 自然災害による被害を想定し、適切な保険に加入する
人為的なトラブル
人為的なトラブルは、テロ攻撃、サイバー攻撃、社員の不正行為など様々な種類があります。これらの災害に対してもBCP対策を策定することで、事業継続性を確保することができます。
人為的なトラブルに対するBCP対策の一例として、以下のようなものが挙げられます。
- テロ・犯罪対策
- サイバー攻撃対策
- 不正行為対策
まず、テロ・犯罪対策に関しては、社内に不審者が侵入した場合や、社内に不審な荷物が発見された場合に備え、警備員の配置や社員の教育・訓練、社内外への緊急情報伝達手段の整備などが対策として想定されます。
また、サイバー攻撃対策としては、コンピューターウイルスや不正アクセスに対して、セキュリティポリシーの策定、パスワードの強化、ファイアウォールの設置、バックアップの取得などの対策が考えられます。
最後に、内部統制の整備や不正行為の監視、調査・報告ルートの整備、社員教育・訓練の実施などを行うことで社員による不正行為を未然に防ぐことが可能です。
人為的なトラブルは、自然災害と異なり、発生が予測しにくいことが多く、予防的な対策が難しい場合があります。しかし、社員の教育・訓練やセキュリティポリシーの策定など、BCP対策を行うことで、被害を最小限に抑えられます。
感染症による災害
感染症に対するBCP対策は、感染拡大防止対策と事業継続対策の両面から考えられます。
まず、感染拡大防止対策では、従業員の健康管理、リモートワークや柔軟な勤務形態の導入、会議やイベントの延期・中止、出張や移動の制限、マスク着用や手洗い・消毒などが挙げられます。これらの対策は、従業員の感染リスクを低減し、感染拡大を防止することにつながります。
次に、事業継続対策では、オンラインツールやクラウドサービスの導入による業務のリモート化、重要業務の優先順位付けやバックアップ体制の整備、サプライチェーンのリスクマネジメントなどが挙げられます。
BCPを策定する4つのステップ
BCP策定には以下4つのステップがあります。
- BCP策定の方針設定
- 中核事業の選定
- リスクの洗い出しと優先順位付け
- 緊急時の体制構築
本章ではそれぞれのステップに関して、詳細に解説しますので、自社でBCPを策定する際の参考にしていただければ幸いです。
BCP策定の方針設定
BCP対策の方針設定は、BCP策定の全体的な方向性を決定する重要なステップです。このステップでは、BCPの範囲や期間、目的、アプローチ、戦略、プロセス、優先順位などについて、事業環境やリスクなどをふまえて、経営層が合意形成します。
特にBCPの目的を経営層がしっかりと合意形成しておくことで、自社の社員にもBCP策定の意図が伝わりやすくなり、スムーズなBCP策定を実現できます。
また、この時点で、緊急時にすべての事業を継続することは出来ず、BCPの範囲を絞る必要があることに関しても関係者間で合意しておくことが重要です。
中核事業の選定
中核事業とは事業継続にあたって最も継続優先度の高い事業です。2つ目のステップではこの「中核事業の選定」を行います。
企業においては、全ての業務に対してBCPを策定することは困難であり、リソースの限られた中で中核的な業務に注力することが必要です。
このステップでは、事業継続に必要な中核事業を明確にすることで、リソースの優先順位を付けることができます。
経営戦略や企業の目的によって異なりますが、例えば、製造業であればメインとする生産ラインの稼働や製品の出荷、金融業であれば入出金業務やATMの運用などが中核事業に該当します。
中核事業の選定は、事業にかかわる社員や顧客、社会インフラの利用者などに影響を及ぼすリスクの度合いを考慮し、経営層の判断や現場の意見を取り入れて行われます。
リスクの洗い出しと優先順位付け
BCP策定における「リスクの洗い出しと優先順位付け」のステップでは、事業継続に影響を及ぼす可能性のあるリスクを洗い出し、その中で優先順位をつけます。具体的には、自然災害や人為的災害、情報漏洩やサイバー攻撃などのリスクを洗い出し、その後に、それぞれのリスクが事業に与える影響や被害の程度、発生確率などを評価し、優先順位を付けることが重要です。
このステップには、内部の社員や専門家、外部のコンサルタントなど、多くの人材の知見を集めることが求められます。
また、新しいリスクの発見や、既存リスクの評価が変化することがあるため、リスクの洗い出しは一度だけではなく、継続的に見直しが必要となります。
緊急時の体制構築
緊急時の体制構築のステップでは、災害発生時にスムーズかつ迅速に事業継続を図るための具体的な対応を策定することが求められます。
まずはBCP策定の中で、緊急時の対応体制を明確化することが必要です。緊急時の対応組織や役割分担、連絡先の確保など、具体的な体制を整備することで、迅速な対応が可能となります。
次に、従業員が被災したり、設備やシステムが損壊する可能性を考慮して、事業継続プロセスを策定することが求められます。例えば、遠隔作業の方法や、代替施設の準備、システムのバックアップや復旧策など、災害発生時に必要な事業継続プロセスを整備することが重要です。
最後に、BCP策定後、実際に緊急時の対応体制や業務継続プロセスが機能するかを確認するために、訓練・演習を実施することが必要です。訓練・演習を通じて、BCPの実効性を高めることができます。
BCP対策の事例 2選
BCPを策定するうえで他社事例を知ることは非常に重要です。
本章では企業におけるBCP対策の事例を2社ご紹介します。
ハナマルキ株式会社
1社目はハナマルキ株式会社の事例です。
ハナマルキ株式会社では導入前に以下4つの課題を抱えていました。
- メールシステムの老朽化：PCとモバイルで同期できない・サーバー容量の逼迫
- セキュリティ：各個人のノートPC内データの紛失・破損のリスク
- ファイル容量の増大：検索性の低下（必要なファイルが見つからない）
- 紙文化：紙の使用量が多く、社内の申請処理に手間と時間がかかる
同社では導入に先立ち、業務改革を目的とした Google Workspace 推進委員会を立ち上げ、取締役3名、情報管理部3名、全国各部門の社員15名の合計21名の委員会が発足しています。
さらに、導入にあたり、社員研修を丁寧に実施し、使えない人を出さないことをこころがけた運用を行っている点も特徴的です。
GoogleWorkspace導入後はとくにスプレッドシートやGoogleMeet を使ったウェブ会議が業務の効率化に繋がっています。これら改善の影響もあり、コロナ禍の緊急事態宣言中は、営業職・事務職とほとんどがリモ ートワークを行っていたそうです。
参照元｜株式会社電算システム 「100年企業が挑む、次の100年を見据えたICT戦略とは？
Google Workspace Enterprise がもたらした、新しい働き方と意識改革」
コープデリ生活協同組合連合会（旧：コープネット事業連合）
2社目はコープデリ生活協同組合連合会の事例です。
同社では、災害時に会員生協役員間の連絡が必要不可欠ですが、2011年に発生した東日本大震災の際、電話が繋がらず会員生協間の連絡が思うように取れなかった経験がありました。
このような事態を受けて震災後、同社ではテレビ会議システムの検討を始めていましたが、コストが100万円以上するため、価格の高さが壁となりペンディングとなっている状況でした。
そんな中、Chromebox for meetingsは対（つい）で購入しても30万円程度で、コスト面で他と比較にならないほど優れていたと言います。
現在は社内会議での使用に留まらず、社外との会議にもChromebox for meetingsを用いており、今や取引先との業務を円滑に進めるために必要不可欠なシステムとなっています。
参照元｜株式会社電算システム ｜ 「比較にならないコスト差！取引先と Chromebox for meetings™ でシステム開発を効率化」
BCP対策の策定が企業の存続を左右する
BCP対策は、企業にとって極めて重要なものです。
自然災害や人為的な災害、新型コロナウイルスなど、何が起こるかわからない世の中で、BCPは万が一の際に企業が存続するための大切な手段となっています。
BCP策定が不十分である場合、災害や緊急事態が発生すると、復旧ができずに企業は存続できないリスクが高まります。
逆に、BCP対策が十分に行われている企業は、緊急事態にスムーズに対応し、早期に事業を再開することができます。
このように、BCPの有無が企業の存続を左右することは明白です。
さらにBCP策定においては、管理職や従業員の意識向上が不可欠であり、全員がBCPを理解し、それに従って行動できるようにすることが、BCPの効果を最大化するための鍵となる点も理解しておく必要があります。
いざ災害が生じた際に、オンプレミスの環境は「遠隔地からアクセスできない」「サーバーの設置場所が集中している」などの観点で大きなリスクを伴います。BCP対策の一環としてオンプレミス環境からクラウド環境への移行を考えている方は以下資料にてクラウド以降の際のメリットと注意点をまとめています。BCP対策の一歩目として何をするべきか悩んでいる方にはおすすめの資料となっておりますので、ぜひご確認ください。
