BCPの対策とは？策定する目的や手順を事例とともにわかりやすく解説

BCPの対策はリスクマネジメントに不可欠

　事業のリスクマネジメントには、BCPの対策が不可欠です。まずはBCPの概要と、BCPに関連しているBCMや防災計画の違いについて解説します。

BCPとは

　BCP（Business Continuity Plan）とは、危機や災害の際に事業を継続するため、あらかじめ立てておく計画のことです。

　現代では多くの企業が国際的な分業体制を整えて、「もの」を生産しています。そのため、自社だけでなく、数あるサプライチェーンの1社の工場が停止するだけで、部品などの供給が止まり、自社の事業活動が中断してしまいます。以下は、事業活動が停止する際に見られる主なパターンです。

• 大地震の風水害などの自然災害で、建物や機械が毀損
• 感染症に従業員が感染し、担当する工程が停止
• サイバーテロで業務管理システムがウイルスに感染し、生産ラインが停滞
• 仕入先の操業が停止、原材料が入荷しない
• 国際紛争で原料が輸入できない

　企業は、事業を継続するうえで、事業停止を招く外的要因・内的要因を事前に把握し、対策を練ることが求められます。その際に行われるのが、BCPの対策です。

BCMや防災計画との違い

　BCM（Business Continuity Management）とは、「事業継続マネジメント」や「事業継続管理」を指します。BCPを策定して終わりではなく、継続的に改善を続けて更新していくことです。BCMはBCPの進化形で、BCPはBCMに含まれます。

　防災計画とは、主に災害への備えと発生後の初動対応をスムーズに行うためのものであり、基本的には災害の影響がなくなった時点で完了となります。一方、BCPは、災害の影響によって停止してしまった事業を復旧させるところまで含まれる、という違いがあります。

BCPの対策を実施するメリット3選

　事業を継続するために重要なBCPには、「時間的なメリット」「コスト的なメリット」「会社の存在意義共有のメリット」「業務の生産性向上のメリット」があります。

時間的なメリット

　BCPがあることで、災害発生後、計画に基づいていち早く復旧活動ができ、重要事業の復旧までの時間が短くなります。早期に事業を再開できれば、商品やサービスの供給の再開も早められます。

　BCPがない場合は、災害発生後に対策を考えてから行動しなければいけません。検討に時間がかかり、必要な機材や商材の発注も遅れ、入手までに時間がかかります。遅れが原因で、復旧を待てない顧客が他社に流出して、廃業に至るケースもあり得ます。

コスト的なメリット

　BCPを策定し対策をすることで、災害発生後、事業の復旧までにかかる費用が少なくなります。リスクを分析して対策を実施しているため、被害への影響が小さくなるからです。対策費用はかかりますが、復旧のための緊急修理や緊急調達よりも安い費用で済みます。

　また、事前の資金準備や損害保険加入すれば、緊急の資金調達や自費修繕と比べて、少ない費用で復旧できる可能性があります（リスクファイナンス）。

会社の存在意義共有のメリット

　自社製品が誰の役に立っているかなど、自社の社会的な存在価値を会社全体で共有できます。社会のなかで果たす役割や、災害の際の期待を認識することは、従業員に「働きがい」を感じさせ、同時にリスク意識を高めます。また、BCP対策を行っている会社という評価は、取引先に「安心・安全」という信頼感を与えます。

業務の生産性向上のメリット

　どの事業が一番重要か事業の優先順位が明確になり、災害時に重要事業を優先的に復旧できるよう、業務の定型化や情報共有、マニュアル化、多能工化などが進みます。これは平時の業務にも適用できるため、業務改善や効率化が進み、生産性の向上につながります。

　中小企業庁が取った「事業継続活動を策定した効果」に関するアンケートでは、以下のとおりです。50％以上の企業で、従業員のリスクに対する意識が向上し、事業の優先順位やマニュアル化が進んだという結果が出ています。

BCPを構成する災害別マニュアル

　BCPは災害に応じた個別の計画（マニュアル）で構成されています。ここでは、作成が望ましい個別の計画を説明します。

自然災害への緊急対応

　自然災害は短時間のうちに、建物・設備、人に大きな被害を与える特徴があります。被害を抑えるためにも、災害発生後の緊急対応（インシデント対応）が非常に重要です。

　大規模災害の場合、消防などの対応に時間がかかる可能性があるため、初動対応が被害の大小を左右します。防災計画を作成済みであれば、内容を見直してBCPに統合しましょう。

外的要因による災害への対応（感染症流行の場合）

　感染症は人に被害を与え、サプライチェーンを停止させる特徴があります。被害は長期間、広い地域に及び、行動制限で社会・経済環境が変化し、業績に影響を与える可能性があります。業績に与える影響を最小限にするために、流行の兆候があった時点で「感染症対策マニュアル」を配布し、マスクを備蓄するなど、的確な対策を講じて事業継続を図りましょう。

　行政機関や業界団体のガイドライン、行動制限などの変化に応じて、行動の制限を変える柔軟性も必要です。感染状況の情報共有や、通常業務の代替戦略となるテレワークやオンライン会議への切換えを短時間で開始できるよう環境整備を奨励します。

内的要因による災害への対応（IT災害復旧計画）

　ITの脆弱性を、5つのプロセス（備え／確認、保護、検出、対応、復旧）を強化することでカバーし、事業継続を図ります。

　近年、多くの企業が「個人情報や機密情報の漏えい」「長期間の業務システム停止」などのサイバー攻撃の被害にあっています。被害にあわないように、ウイルス対策ソフト、異常監視、リスクファイナンス、緊急時体制、関係者への報告などの導入を検討しましょう。

　あわせて、システムとデータのバックアップ体制も重要です。バックアップは、クラウドや復旧サイト（ホットサイト、コールドサイトなど）を利用することをおすすめします。もし、それらのシステムが停止した際には、業務停止を回避するために、作業マニュアルの準備をおすすめします。

　また、重要事業の復旧を目指す目標復旧時間（RTO）に基づいて、目標復旧点（RPO）をバックアップの保存間隔として定義します。RPOを短く定めることで、データ復元後に再入力するデータ量が少なくなるメリットがあります。ただし、バックアップを保存する頻度が短いため、保存する回数が増加します。

BCPを策定する手順

　BCPを策定するのは本社ではなく、各事業拠点が主体となって行います。事業拠点の立地や事業内容によって、それぞれリスクが異なるため、BCP策定前に事業拠点毎のリスクを分析します。

リスクを2つの視点から分析する

　まずは、起きる可能性のあるリスクを2つの視点から幅広く分析します。

①リスク評価

　経営資源（ヒト、モノ、カネ、情報）に悪影響を与える可能性のあるリスクの発生確率と影響の大きさを整理し、優先順位を評価します。リスクは自然災害に止まらず、幅広く書き出します。

　優先順位の決め方は、「横軸を確率」「縦軸を影響」とし、リスクをマッピングすると判断しやすくなります。自然災害のリスクは、行政機関が作成した「ハザードマップ」で確認するのがポイントです。そして、実施している対策の有効性を評価し、有効性の低い対策に対してはより効果がある新たな効果を提案します。

②事業影響度分析（BIA）

　事業中断後に、事業に与える影響を定量的、定性的に評価し、最優先する重要事業と目標復旧時間（RTO）を決めます。RTOとは、災害後に、最も重要な事業を復旧する目標時間をいいます。

　まず自社の全ての業務プロセスを確認し、もし中断した場合に顧客、財務、法規制、評判などで最も大きな影響を受ける業務を特定します。同じリスクに直面しても、企業ごとに事業への影響度には差が出るため、自社の業務プロセスで検討することが重要です。

事業継続戦略の開発と計画書の作成をする

　リスク分析に基づいて、事業継続戦略の検討、インシデント対応計画、BCP文書の作成のプロセスに進みます。

①事業継続戦略の検討

　リスク評価と事業影響度分析を踏まえて、重要事業を目標復旧時間内に復旧するための生産や販売の方法を検討します。テレワークや、多能工による代行なども代替戦略の一つです。

　電力など復旧に時間がかかる可能性もあるため、在庫数の見直し、代替生産、他の仕入先など、幅広い視点で検討することが重要です。最終的に費用対効果を分析し、戦略を統合・選択します。

②インシデント対応計画

　災害に応じた個別の対応（自然災害への緊急対応、外的要因による災害への対応、内的要因による災害への対応）を計画します。こちらは、上記「BCPを構成する災害別マニュアル」をご覧ください。

③BCP文書の作成

　BCP文書の作成では、まず計画書の構造と、作成担当を決めます。計画書には災害発生からBCP発動、復旧までの一連のプロセス、対策本部の体制、計画書の配布先と管理手順などを記載します。

　なお、社員名簿や取引先リストなど、変更の頻度が高い資料はBCP文書に含めず、別紙で管理します。

教育、演習、更新で常に「使えるBCP」にする

　教育や演習でBCPを社内に定着させ、更新を続けることで、いつ災害が起きても役立つBCPとして運用していきます。

①啓発と研修

　従業員がリスクと事業継続の重要性を理解して対応できるよう「啓発」し、知識とスキルを高めるために「研修」を実施します。

　BCP教育や演習は、従業員教育のプログラムに組み込み、入社時や異動時に実施しましょう。社内での集会や朝礼などの機会を活用するのも効果的です。

②演習、評価と維持

　最新かつ正しい情報に基づいた対応をするためにも、教育・演習は年一回以上実施しましょう。

　人に対する「演習」と、手順書や機器に対する「テスト」を行うことで、「行動できないこと」とBCP文書の弱点を見つけられます。方法は、避難訓練、安否確認システムのテスト、机上訓練などがあり、毎回被害想定や方法を変えると対応力が向上します。

　教育や演習の実施後は、反省点を評価して、BCPを更新します。他にも人事異動、施設の変動、事業再構築などに応じて見直しましょう。長年更新しなかった場合、古い情報に基づいて間違った対応を行う危険性があります。

BCPの策定事例

　BCPの策定事例を紹介します。

BCMで定めた生産ライン移設を実行し、最大の需要期をカバー

　富士通アイソテック（福島県伊達市）は2011年3月11日、東日本大震災に見舞われ、従業員は全員無事であったものの、デスクトップパソコンの生産ラインが全壊しました。

　富士通は、策定していたBCMの中で、アイソテックの生産ラインが被害を受けた場合の対策を規定していました。想定していたリスクは地震と火災で、半壊と全壊の2つのケースに分けた対策です。

　全壊の場合は、生産ラインをノートパソコンの生産拠点である島根富士通（島根県斐川町）に移設する準備をあらかじめ行っていたのです。富士通は速やかに法人向けパソコンの生産ラインを移設することで、年間の最大の需要期をカバーしました。

　製造用部品の移送、サプライヤーからの納入地変更は順調でしたが、自宅の被災のために要員4人の派遣が難しく、統括部長1人が島根に入りました。島根富士通は3月23日代替生産を開始。並行してアイソテックはラインの復旧を進め、28日から生産を再開しました（参照：パソコン製造における事業継続対応｜富士通株式会社）。

地震と水害のリスクに備えて「特殊鋼の物流BCP基盤」を構築

　特殊鋼の商社「新井ハガネ株式会社」は東京都墨田区に本社、千葉県市川市と福島県三春町に支店（加工・物流センター）の3拠点体制でした。東日本大震災で郡山支店（三春町）が被災、被害は軽微でしたが、BCPの必要性を強く意識しました。

　本社と市川支店は首都圏の大地震や水害のリスクもあります。同社のお客様は基幹産業を支える企業であるため、自社のサプライチェーン上の位置の重要性を認識しました。

　同社はBCP策定を進めると同時に、群馬県太田市に新拠点を建設、最新の生産性の高い加工ラインを設置し、加工・物流を3拠点体制としてリスクを分散しました。立地選択の要因は、①地盤が強固で、自然災害が比較的少ない、②都心より約100㎞圏内、高速道沿い、③大半のお客様から200㎞圏内で、災害時にカバーが可能、の3つです。

　災害時には「ヒト」「モノ」「情報」を太田事業所に集約して、物流機能を継続します（参照：物流機能の強化及びBCP対応 | 新井ハガネ株式会社）。

サプライチェーン全体のBCPを推進（調達BCPの事例）

　機械メーカー大手の「ナブテスコ株式会社」は、災害による被害を最小限にとどめ、速やかに事業を再開するため、自社の主要拠点と調達先（サプライヤー）のBCP強化に取り組んでいます。

　同社は国内拠点全てのリスクを調査した結果、自然災害による操業停止のリスクと、サプライヤー被災による調達不能のリスクを最上位リスクと確定しました。そのうえで、同社が真の事業継続を実現するためには、サプライチェーンの強靭化を図ることが急務と考えました。

　同社は国内のものづくり全拠点（9工場）のBCPを活性化するとともに、サプライヤー各社のBCP構築のサポートを、各事業部の調達部門と連携し進めています。

　BCP構築の入り口として「事業継続力強化計画」認定制度を活用し、出口として「国土強靭化貢献団体認証（レジリエンス認証）」の取得を目標にサプライヤーのBCPを支援しています。なお、2023年3月末現在、25社のサプライヤーがレジリエンス認証を取得しています（参照：BCP〈事業継続〉強化の取り組み | ナブテスコ株式会社）。

BCPを運用する際のポイント

　BCPを運用するための3つのポイントを紹介します。

経営者の全面的な理解と支援

　BCPは事業計画の実行を裏から支える、事業計画と一体の計画です。そのため、経営者はBCP活動を支援し、十分に理解し、経営上重要な取組みとして社内外に説明する役割を担っています。事業計画の変更をBCPに反映させるのも、経営者の務めです。

プロジェクトチームによる運営

　BCP策定と運用は、各部門から業務を熟知したメンバーを集めた運営委員会が推進するのが最適です。運営委員会は災害発生時に対策本部となり、復旧活動の中心になります。

「事業継続力強化計画」の活用

　2019年にはじまった「事業継続力強化計画」といわれる防災・減災の事前対策中心の簡易的なBCP認定制度を有効活用しましょう。

　昨今は中小企業庁「中小企業BCP策定運用指針」、内閣府「事業継続ガイドライン」などでもテンプレートが公開されているため、模倣して策定している企業も多くあります。しかし、企業ごとに立地や事業内容が異なるため、他社のBCPを模倣しても適切な計画は作れません。とはいえ、独自のBCPを策定するには時間がかかるという悩みがありました。

　そこで、事業継続力強化計画を活用することで、短時間で独自のBCPが簡単に策定できるため、中小企業に普及が進んでいます。

日本でのビジネス＝災害と共に生きること

　自然災害が多い日本でビジネスを継続させるには、災害が起きたときの対策を事前に検討しておくことが重要です。

　例えば、日本の国土面積は世界の0.3％であるにも関わらず、世界のマグニチュード6以上の地震の18.5％が発生しています。しかし、BCP策定済みの中小企業はまだ14.7％しかありません（参照：事業継続計画〈BCP〉に対する企業の意識調査〈2022年〉｜帝国データバンク）。

　大規模災害の際は救援対象が多いため、「公助」による支援に全てを期待することは困難です。いち早く事業を復旧するためにはBCPを策定して、事業継続力（「自助」の力）を高め、さらに地域で助け合う「共助」にも力を注げるような「備え」が求められます。本記事がその一助になることを願っています。