BCPとは何か？

BCPとは英語の「Business continuity plan」の頭文字を取った略語のことで、日本語では「事業継続計画」と呼称されています。BCPという言葉には様々な意味が込められているため、まずは三つの視点でBCPについて解説をします。

　概念としてのBCPとは、「非常事態に強い企業の経営手法」としての意味を指します。BCPを策定する目的は、自社にとって望ましくない事態（自然災害・大事故・不祥事など）が生じた際に、被害を最小限におさえつつ、最も重要なビジネスを素早く再開させることで、損害の発生を最小限に留めることです。何があっても事業を止めないための事前計画と本番い向けた準備が、概念としてのBCPであると言えます。

　物理的な成果物としてのBCPとは、災害や大事故など実際に緊急事態が生じた際に用いる、「非常時対応マニュアル」のことを指します。災害直後の人命救助や安否確認、停止した事業を代替設備で仮復旧させるための手順、これらを実施するために必要な、連絡先一覧リストや業務マニュアルなどの関連資料を、非常時用のドキュメントとしてまとめておきます。なおこのマニュアルは停電に備えて紙のファイルとしても用意します。

　行動あるいは業務としてのBCPとは、「非常時対応マニュアルの保守・運営業務全般」のことを指します。マニュアルとして準備している情報は、時間がたつと内容が古くなりイザという際に役立たなくなる恐れがあります。また平時から訓練や演習を繰り返して、従業員にスキルを付与したり、事前準備として抜け落ちている項目がないかを確認したりする必要があり、BCPを活用するための重要な業務として継続することになります。

BCP策定は義務か？事業継続計画を取り巻く法律と条令

　一般の企業に対して、BCP策定を直接義務づける法律や条令は現在の所存在しません。もちろん国や各業界団体はBCPの策定を推奨していますので、ガイドラインを策定したり支援事業を展開したりと、BCP普及のための支援策を様々に講じています。しかしこうしたサポートを受けるかどうかは企業次第で、BCPは企業が独自に導入をする経営手法のひとつとして位置づけられています。

　その一方、例えば実際に大きな災害が生じた際、防災対策や避難計画が不足していたため従業員の死傷者を出てしまった場合。あるいは事業再開の計画が不十分で商品を納品できなかった場合。こうした状況が発生した場合、遺族から安全配慮義務違反で訴えられたり、取引先から契約違反を問われて違約金を請求されたりする可能性があります。BCP策定の義務はありませんが、存在しなければ困るという存在でもあるのです。

なぜBCPが必要か？事業継続計画を策定すべき理由とは

　前述の通りBCPの策定は法律で義務づけられたものではありませんが、BCPを導入する企業数は増加しています。これは、企業を取り巻くリスクが増加傾向にある一方、企業構造は弱体化しており、さらに外部圧力が高まって来ているという背景によるものです。

　1995年（平成7年）の阪神・淡路大震災以降、日本では大地震や噴火の発生頻度が増加しており、当面はこの状況が続くと考えられています。さらに強毒性の新型インフルエンザや国内でのテロ発生など、新たな脅威の発生も指摘されています。また食中毒やリコールを初めとする不祥事を起こしてしまった場合、インターネットやソーシャルネットワークを用いて従来よりも速い速度で情報が拡散するようにもなっており、この対応も必要になります。

　サプライチェーンマネジメントやジャストインタイム生産方式による供給連鎖の最適化、あるいは自社のコア業務以外を外部に委託するアウトソーシングの拡大やクラウドソーシングの活用による事業の効率化が広がっています。平時には効果がある手法ですが、どこか一カ所の連鎖が断ち切れると関連する企業全体の操業が停止するという虚弱性を波乱でいるため、自社だけでなく広い範囲でBCPを導入し全体を守る必要があるのです。

またBCPの導入は規模の大きな企業ほど積極的に行う傾向がありますが、2013年（平成25年）時点で大企業の七割以上が策定済み・策定中となっており、系列会社や子会社・孫会社に対するBCP導入の圧力が今後高まって行くことが考えられます。さらに2012年（平成24年）に事業継続マネジメントの国際規格であるISO23001が発行したことも、今後BCP策定の圧力が高まる要素となっています。

BCPはいつ使うか？事業継続計画の想定リスク

　BCPを用いるのはむろん非常時ですが、防災対策と異なりその対象は自然災害だけにとどまらず、テロなどの外部リスクや、自社の不祥事などの内部リスクにまで及びます。

　BCPを用いる状況として最も分かりやすいのが自然災害です。近い将来の発生が想定されている首都直下地震や南海トラフ巨大地震、火山の噴火、台風や集中豪雨による水害、あるいは土砂災害、温暖な地域における大雪、直接備えることは難しいですが落雷や竜巻などが該当します。また新型インフルエンザによるパンデミックなど、感染症についても自然災害の一種としてBCPの対象として扱います。

BCPが防災対策と異なるのが自然災害以外のリスクを対象とする点です。まず無差別の外的リスクとして、電力会社の不具合による突然の停電、原子力事故、テロの発生などが考えられます。さらに自社を狙った外的リスクとして、恐喝や営業妨害、自社に対するサイバー攻撃などが考えられます。また重要な取引先や無くてはならない部品を製造している仕入れ先の倒産、災害による操業停止などもBCPの対象となります。

　またBCPの特長として、自社を原因とする内的なリスクにも対応することが上げられます。典型的な例としては、食中毒、製品のリコール、異物混入などの問題が発生した場合。また従業員による個人情報の持ち出しや流出、コンプライアンス違反、粉飾決算、またいわゆるバイトテロ問題など、サービスではなく組織に問題があるケースもあり得ます。また不祥事ではありませんが、ワンマン中小企業における経営者の入院、重要なキーマンの退職や引き抜きなど、人的な問題もBCPの対象として考える問題です。

BCPと防災対策の違いは？事業継続計画の特長

　防災対策はBCPにおける取り組みのひとつであり、BCPを策定する前提に防災対策の実施があるとも言えます。細かな違いは多々ありますが、大きくは次の三点となります。

　「BCPは無いが防災対策はしている」という企業は多いですが、防災対策はBCPの一要素であり代替手段ではありません。防災対策では自社の設備や建物を主に自然災害から守るために、災害の種類ごとに一対一で対策を講じます。一方BCPはモノではなく事業を守ることが目的となるため、守る対象は自社だけではなく取引先やライフラインなど社外に渡り、またテロや自社の不祥事など自然災害以外への対応も求められます。

　防災対策を実施する際には、原則として対象とする災害毎に異なる内容の対策を講じます。地震対策であれば建物の補強や機械の固定をしたり、洪水対策であれば土のうの準備をしたりといった具合です。一方BCPでは、前述の通り守るべき事業にとって望ましくない事象は全て対象となりますので、テロによる人為的な事故、重要な取引先の倒産、自社を原因とする不祥事など、「ありとあらゆるリスク」に備える必要があります。

　そこでBCPでは、防災対策が失敗したり、想定外のリスクが発生したりしてそもそも防災対策を講じていないような状況を前提として、「再調達」を重視した対策を講じます。設備を災害からまもるのではなく、その設備が何かしらの原因で失われた場合に備えて、予備機材を準備したり、レンタルの計画を立てたり、手動対応の検討をしておくといった具合です。防災対策と再調達を組み合わせてBCPは計画を進めます。

BCPの種類は？事業継続計画を策定する各種方法

　BCPには大きく分けると「自由に作る」か「ISO23001」を取得するという、二つの作り方があります。「非常時の事業継続」という目的は同じですが、現状は自社独自に策定をするケースが大半を占めています。

　現在策定されているBCPの大多数は独自作成によるものです。「非常時に事業を守る」という目的はいずれも同じですが、書籍やガイドラインを参考に自社のBCP担当者ががんばって作成する場合、行政や各種団体が用意しているテンプレートを用いて作成する方法、専門家やコンサルタントに依頼をしたり一緒に策定したりする方法などがあります。特別な理由がない場合は、この「自社独自のBCPを策定する」方法をとります。

　一方、今後増加をすると考えられているのが国際規格の認証を受ける方法です。従来、策定したBCPの確からしさを対外的に証明するためには、英国規格協会（BSI）から発行されている事業継続マネジメントに関する英国国家規格「BS25999」か、情報システムに特化した国際規格である「ISO27001」を取得することが必要でしたが、2012年（平成24年）にBCPの国際規格である「ISO23001」が発行され、今後の普及が考えられています。

BCPの内容－事業継続計画の構成要素

　BCPを導入する際に実際に「作るもの」は様々ですが、最も重要なものは実際に災害などが発生した際に用いる「非常時対応マニュアル」です。さらにこのマニュアルを維持するために、「事前分析」と「保守運用」の資料をまとめて更新していきます。

 「初動対応計画」は、自然災害や事故などの発生が確認された直後に行う活動で、被害を最小にとどめるための防災対策と、その後の仮復旧へつなげていくための準備作業に大別します。前者としては、発災直後の応急救護、救助活動、消火活動など、主に業務時間中に自然災害が発生した場合の対応をまとめます。後者としては、安否確認、緊急連絡、情報収集、被害状況の確認、対策本部設置判断などを行うための手順をまとめておきます。

　初動対応が落ち着いた次の段階で必要になるものが、「仮復旧計画」です。具体的には、代替設備や非常用電源の準備、バックアップシステムの立上げ、業務委託先や仕入れ先の一時的な切り替え対応、主担当者以外による業務継続のための引き継ぎなどになります。本格的に復旧に先立ち、業務を仮に再開させるために必要な資材・設備・手順書などを事前計画としてまとめておくものです。

　本格復旧計画は、仮復旧により暫定的な対応を行っていた各種の業務、また代替品を用いていた設備などを平常時の状態に戻していくための準備です。この段階というのは、初動対応や仮復旧対応のように一分一秒を争う状況ではありませんので、読むだけで対応できる精度のマニュアルを作成する必要はありません。設備を購入した際の納品書、サービス導入時の契約書などをまとめておき、参照できるようにしておきます。

　また非常時にBCPを活用するためには日々のメンテナンスが欠かせないため、例えば緊急連絡先や安否確認用リストの更新、防災備蓄用品の入れ替え、避難訓練の実施や非常時対応マニュアルを用いた事前演習などを継続実施する必要があります。これら平時から行うBCPの保守・運用活動の全般は、BCPの上位概念であるBCM（Business Continuity Management）と呼ばれることもあり、BCPを構成する重要な要素として実施されます。