東日本大震災前のBCP
一昨年の東日本大震災以降、注目されるようになった事業継続計画(BCP)ですが、実は震災以前から、大企業や行政を中心に導入が進んでいました。 しかし、その実態は、BCP文書だけは作成してあるという形式的なもので、機能しているとは言えない状態のものが多かったようです。社会的責任のある組織 であれば、有事の際における対応を決めていないという訳にはいかず、BCP文書だけを一部の部署で作り、取引先からの問い合わせの際に、それを引っ張り出 すというのが実情のようでした。
その後、震災をきっかけに、それまでのBCPが“絵に描いた餅”だったことが判明した組織が多く見られました。不測の事態に対応するはずのBCP が、震災では全く役に立たなかったのです。特に、サプライヤーの供給停止や電力供給不足を受けた節電対策などで、甚大な機会損失を被ったケースが多発しま した。
震災時にBCPが機能しなかった理由
BCPが機能しなかった理由として、BCPを策定していたものの、その内容が経営者や現場の社員にほとんど周知されていなかったということが挙げられます。
実際に不測の事態が起きた際に、対応策を迅速に決定すべき立場にあるのは経営者であり、対応を求められるのは現場の社員です。それにもかかわらず、その両者を巻き込まずに一部の担当者だけで策定したBCPが、機能すべき時に機能しないのは当然のことと思われます。
また、BCP文書を作成しただけで、想定外の事態への対応力の向上を怠ってきたことも問題でした。仮に「けが人は何人でます」と想定したところで、 想定どおりに物事が起きるわけではありません。いざという時の対応を社員一人ひとりが自分の頭で考え、適切に行動できるよう、日頃から訓練しておくことが 重要となります。
こうした反省をもとに、震災後は、BCPを単なる絵に描いた餅に終わらせないためにも、BCPの見直しを行い、訓練を実施するなどしっかり取り組むべきだという動きが、企業の大小を問わず強まっています。
BCP導入の際の指針としてISO22301を有効に活用する
企業がBCPを導入する際に、まず何から始めればいいのか戸惑うことも多いでしょう。そこで活用したいのが、「事業継続マネジメントシステム規格ISO22301」です。
これはマネジメントシステムの国際規格の一つで、事業継続をする上で考えるべきポイントが規定されています。自社の組織や事業はどのようなもので、 それを支える活動や経営資源にはどのようなものがあるのか(事業影響度分析)、それらが脅威に直面したとき、どのようなリスクがあるのか(リスクアセスメ ント)、BCP対象事業に紐付く業務にはどのような経営資源が必要とされ、その業務が停止した際の影響を分析し、どのような復旧目標を立てるのか(業務影 響度分析)、そして、その目標に対してどのような対策があるのか─。
これらの分析評価をもとに作成したBCPを演習を通じて改善し、事業継続マネジメントが組織のニーズに合致しながら継続的に行われていくことなどがポイントとして挙げられています。
ISO22301は、事業継続マネジメントシステムに対する第三者機関による認証規格を取得する際の要求事項です。ただし、誤解されがちなのです が、この規格は「この基準を満たせば合格」といった具体的な基準を示しているわけではありません。ですから、例えば「取引先を二重化すればBCPとして安 全」だと保証するものではないのです。事業継続マネジメントシステム規格とは、企業が事業継続に必要な活動を理解し、事業継続の達成のために継続した改善 活動を行うための方法や仕組みを規定している指針なのです。
このように、規格は具体的な基準を示すものではありませんが、その代わりに、企業がどのような考えに基づいてBCPを策定していけばよいかを示しています。自社にとっての優先順位を網羅的に判断する指針として、この規格は有効です。
震災後は、行政が発表したハザードマップや建築物の耐震性能評価をもとに、オフィス移転や耐震補強を検討する企業が増えています。しかし、耐震性能 が不足しているからといってオフィス移転を経営課題の優先事項に掲げることが、その企業にとって最善の策なのかは一概には言えません。
例えば、製造業と私どものようなコンサルティング会社とでは、建物や施設の重要性は大きく異なります。製造業の場合は、工場が被災すれば製品供給が滞って しまいますが、コンサルティング会社の場合は、人さえ無事ならば建物が壊れても事業継続性を確保することは可能です。むしろ、新型インフルエンザが流行っ て社員が働けない状態になることの方が、脅威となる面もあるでしょう。
規格では、経営資源として考えるべき要素として、「従業員」「建物」「設備」「サプライヤー」「IT」などを挙げていますが、何が重要な経営資源か は企業によって異なります。自社のビジネス形態はどうなのか、脅威に直面したときにどのような影響があるのかなどを網羅的に考えていくことが必要とされま す。そして、時間をかけてあれもこれもやろうとせずに、優先順位の高いものから、あるいはできることから取り組むのが現実的でしょう。
事業継続策をどのように検討していくべきか
いざという時の事業継続策を具体的に検討する時、何が妥当な策なのかは判断が難しい場合もあります。
例えばデータセンターを持つにしても、自社内に設置するのか、外部のデータセンター内のスペースを借りるのか、業務全体をアウトソーシングしてしまうのか、さらには設置も1ヶ所にするのか2ヶ所にするのかなど、様々な選択肢に悩む企業が多いようです。
ここには明らかな正解があるわけではありませんが、リスクが及ぼす影響をどう評価するかによって対応策が見えてきます。データセンターの機能が停止 しても、元データの損傷さえなければ当面は手作業や電話、ファックスなどの別の手段で代替できるケースもあるかもしれませんし、データセンターの損傷が社 会的インフラや人命にかかわるような場合は、企業の社会的責任として、莫大なコストを払ってでも堅牢なシステムを構築しておく必要があるかもしれません。
優先順位をつけて取り組むには内的要因と外的要因で評価する
リスクが及ぼす影響を評価する際には、内的要因と外的要因に分けて考えてみるとよいでしょう。内的要因をもとに評価するというのは、事業停止による売上や将来性への影響など、自社の理由を基準に判断するというものです。
一方、外的要因をもとにした評価とは、従業員や顧客、取引先、さらにはその先の消費者などすべてのステークホルダーに対する影響を考慮することにな ります。例えば、代替品が存在しない特別な薬を販売している製薬会社の場合では、たとえその事業が全社の売り上げの1%にも満たず、事業停止が自社の経営 には問題ないとしても、外部への影響は計り知れないものになります。自社の事業を内的要因と外的要因の両方で評価し、外部への影響を最小限に抑えるのが企 業としての使命だと言えるところもあるでしょう。
強い企業を作るための武器としてBCPを捉えてみる
企業の担当者と話をすると、BCPの重要性を理解しつつも、目の前の利益を挙げることに精一杯で、BCPの活動をどのように継続していくかに悩んで いる企業が多いようです。その一方で、BCPに積極的に取り組んでいる企業は、BCPを単なる守りのツールではなく、戦略的な攻めのツールとして捉えてい ます。
今は大企業の多くが、傘下取引先のBCP戦略の見直しを行い、契約にあたっても、事業継続能力の向上を求めています。ある中小企業は、顧客20社の うち10社からBCPに関するアンケート調査を求められ、特に重要な業務を請け負っている顧客2社からは、監査員による調査が行われたといいます。監査員 による調査では、オフィスや倉庫の現状をごまかすことができません。
逆に、そこで「当社はこのような考え方で立地や建物を選び、災害時はこのように対応します」とアピールすることができれば、営業力強化にもつながります。
BCPの本来の目的は危機対応能力を高めることにありますが、見方を変えれば、平常時における想定外の出来事や変化にも対応できる組織を作るための 活動だと捉えることができます。特にグローバル化が進む現在、海外マーケットの中でのビジネスでは、日本国内では考えられないような突発的な事象が起こり ます。予期しない事態にも対応できる強い会社を作る、あるいは企業競争力を高めるための武器としても、BCPは非常に有効なのです。
※免責事項
本稿は、「オフィスジャパン」2013年春季号に掲載されたものです。本稿の内容は、具体的な事案によって対応が異なってくる場合もありますので、実際の 事案では、専門家に相談することが必要です。出典元よび当社は本稿の説明についていかなる責任も負うものではありません。