「システム監査と事業継続マネジメントシステム（BCMS）～重大事故事例をレピュテーションリスクの観点から研究～

59[ 研究奨励賞 ]システム監査と事業継続マネジメントシステム（BCMS）～重大事故事例をレピュテーションリスクの観点から研究～
BCMS: Business Continuity Management System－ Study the Serious Accident Case from the View Point of Reputation Risk

足立憲昭

Noriaki Adachi

森宮康Yasushi Morimiya

黒澤兵夫

Takeo Kurosawa

リスクマネジメント研究プロジェクト
Risk Management Research Project

概要
当研究プロジェクトは、事業継続マネジメントシステムについて JRMS2010 成熟度モデルを活用して、各レベルにおけるマネジメントスタイルを研究してきた。具体的には、大震災などの重大事故を時間軸（事故発生後の対応スピード）や組織軸（組織の成熟度レベル）から整理し、併せてレピュテーションリスクの観点からも検討した。その結果、サプライチェーンにおいて、許容される復旧時間があり、これを超えると新しいサプライチェーンが生まれて、復旧が遅れた企業に大きなダメージを与えてしまうことが分かった。また、従業員・取引先・地域との日常の関係性が、復旧時間のスピードに大きな影響を及ぼしていることが推測され、「日常訓練の定期的な実施」と「従業員を人財として大切にすること」が復旧につながり、レピュテーションリスクの観点からも重要である。
キーワード：組織の成熟度モデル活用、３軸（時間軸、組織軸、公共機関連携軸）で有効度評価、事業継続マネジメントシステム（BCMS）、事業継続計画（BCP）、レピュテーションリスク・マネジメント（RRM）、リスクマネジメントシステム（RMS）、リスク情報の共有化

1. はじめにこの研究プロジェクトの報告は、平成 19 年から続いており、繰り返し発生している事故・事件の背景や原因を探ることを重点に行なっている。
また、資金・人材面で厳しい中小企業で実行可能な「 事 業 継 続 マ ネ ジ メ ン ト シ ス テ ム（ 以 下BCMS）構築」を念頭に、検討しているため、「論理的な検証」より「現場の実効性」に重点がおかれている。

1-2．検討の結果①「許容される復旧時間」があり、これを超えると新しいサプライチェーンが生まれて、復旧が遅れた企業に大きなダメージを与えること。
②従業員、取引先、地域との日常の関係性が復旧時間のスピードに大きな影響を及ぼすこと。
③従業員を大切にしている企業が RM の観点からも優位にたつこと。

1-1．研究目標
重大事故を 3 軸（時間軸、組織軸、公共機関連携軸）で整理し、さらに、レピュテーションリスク・マネジメント（以下 RRM）の観点からも検討し、BCM 構築の課題を考察する。

1-3．中小小売業の BCMS 定着の課題（図表 1）①スタッフ要員・ハード投資の余裕がない。
② BCP を作成したが改訂されない。
③従業員の退職率が高く、長く勤められる環境が弱い

投稿受理日
再投稿受理日2017 年 8 月 21 日
2017 年 12 月 27 日

60

シ ス テ ム 監 査（図表1）（中小小売業におけるＢＣＭＳ定着の課題㻌 その1）

特別なスタッフ要員・ハード投資の余裕がない
成熟度モデルの活用で身の丈に合ったＢＣＭＳを目指す（中小小売業におけるＢＣＭＳ定着の課題㻌 その2）コンサルに依頼してＢＣＰを作成したが改訂されず共通ＭＳ(ﾏﾈｼﾞﾒﾝﾄｼｽﾃﾑ）を組織全体に浸透できない

1-6．外部環境が変化し続ける（図表 4）
中小企業も「外部環境の変化」が激しく、その変化に適応し続けることが重要である。更なる変化が訪れている。その「見えない変化との不適合」の候補になりそうなものが、「オムニチャネルやフィンテック」である。

（図表4）（中小小売業におけるＢＣＭＳ定着の課題㻌 その3）

従業員の退職率が高く、長く勤められる環境が弱い顕在化している不適合

従業員の働きがいある経営風土がBCMS構築に繋がる

図表 1見える不具合を除去する処置

中小小売業の BCMS 定着の課題

外部環境の変化を感知できる組織！
何が起こっているのか予測（リスクマップ）！

SA

1-4．BCMS 構築の課題（図表 2）①成熟度モデルを活用し成長度に応じて構築する。
②組織が他のマネジメントシステムを活用する。
③従業員の力量をあげ取引先と協働する。従業（図表2）
員・取引先・地域社会にとり大切な会社になる。
ＢＣＭＳ監査で、成熟度モデルを参考にする⇒どの企業規模でも成熟度Ⅴの状態を目標とする

ＢＣＭＳ監査で、ＩＳＯ共通要求事項を参考にする⇒独自リスクへの対応とＭＳの構築状況をみる
ＢＣＭＳ監査で、利害関係者の立場から評価する⇒従業員・取引先・地域の目線で会社を評価する
図表 2

SAICTの変革（クラウド活用・コア/ノンコア区分）

ローカルピーク【レベル3】㻌 組織的な対応
㻌 取締役会へ報告⇒責任体制※縦型命令組織（トップダウン）㻌

【レベル1】㻌 個人経験で対応
㻌 ベテラン従業員の経験に依存㻌 暗黙知（見える化がない）

図表 3

図表 4

【再構築】創造的な破壊（改革）㻌 全従業員の意識・知識変革SA㻌 内部コミュニケーションの変革
㻌 多様な人材の登用（内部・外部）
㻌 情報の共有化（ﾈｯﾄﾜｰｸ型組織）
㻌 外部の独立的立場から審査

成熟度モデルの活用

高年齢化
若者不足

外部環境が変化し続ける

2．新しい環境の変化
2-1．変化に対応できる組織能力（図表 5）
ＴＱＭや QC サークルなど、現場改善力が大きな強みであったが、今後、企業戦略・長期戦略を実行計画に落とせるスペシャリストが必要である。
（図表5）
経営方針・事業戦略（中長期計画）㻌

新しい段階の基準【レベル5】ステークホルダーとWinWin
㻌 SCMとして一体でRM方針
SA㻌 従業員・取引先・顧客と一体化㻌㻌 地域・公共機関との連携【レベル4】㻌 ﾌｨｰﾄﾞﾊﾞｯｸ（PDCA）
㻌 情報共有化による迅速な対応
㻌 定期及び不定期の訓練実施
㻌 定量的な分析とﾏﾈｼﾞﾒﾝﾄﾚﾋﾞｭｰ

Eｺﾏｰｽ
ｵﾑﾆﾁｬﾈﾙ
ﾌｨﾝﾃｯｸ

見えない変化（潜在化）不適合

BCMS 構築の課題

1-5．成熟度モデルの活用（図表 3）
レベル３の段階において、「創造的な破壊」を行うことが重要である。中小企業では、ここが大きな転換点である。大規模災害時は利害関係者（従業員・取引先・地域住民・公共機関等）と連携訓練することが速やかな復旧につながる。
（図表3）【レベル2】㻌 定義されている
㻌 主管部署が対応に当たる
㻌 部門のリスク意識にばらつき

グローバル社会へ変化

プロセス（組織）の能力新しい外部環境の変化
リスク（危害と機会）
想定外災害への対応
新しい機会を捉える人財

これまでの基準

経験のデータベース構築
事件・事故の再発防止
現場の力量（日常管理と監視）

時間

図表 5

変化に対応できる組織能力

2-2．新しい外部環境と BCMS（図表 6）
BCMS は、経営層、ミドル層、現場層がそれぞれの役割で日常管理することが重要である。
協力企業（アウトソーシング先）と組織の経営層、ミドル層・現場層の連携が重要である。

「システム監査と事業継続マネジメントシステム（BCMS）～重大事故事例をレピュテーションリスクの観点から研究～

61

（図表6）

事業継続計画（BCP）の責任
新しい外部環境の経営方針

協力
企業（アウトソー
シング先）

経営Top㻌 Level

SA

事業継続計画の推進ﾘｰﾀﾞｰ
新しい環境で要求される知識・技術を習得する

ミドル層
Middle㻌 Management
Level

SA

事業継続計画の実践者
新しい環境で要求される
日常管理技術の訓練

現場層Floor Level

図表 6

新しい外部環境と BCMS

3．事件・事故の検討
3-1．繰り返す事件・事故（図表 7）
事件や事故の教訓が活かされず、繰り返し、同様（図表7）
事件・事故の発生
お詫びの記者会見
事故報告書
（形骸化）

想定外災害への対応

過去の考え方

現在・将来の考え方

・災害は努力すれば2度と起こらないようにできる。

・災害は努力しても、技術レベルに応じて必ず㻌 起こる。

・災害の主原因は人である。
・技術対策よりも人の対策を優先。

・災害防止は、技術的問題である。
・人の対策よりも技術対策を優先。

・管理体制を作り、人の教育訓練をし、規制を強化
㻌 すれば安全を確保できる・人は必ず間違いを犯すものであるから、技術力の㻌 向上が無ければ安全を確保できない。

・安全衛生法で、人および設備の安全化を目指し、
㻌 災害が発生するたびに、規制を強化

・設備の安全化とともに、事故が起こっても重大災㻌 害に至らない技術対策
・災害のひどさ低減化技術の努力。
ダメージ管理・安全は基本的に、ただである。

・安全は、基本的に、コストがかかる。

・安全コストを認めにくい
・目に見える「具体的危険」に対して最低限のコスト㻌 で対応し、起こらないはずの災害対策に、技術的
㻌 深耕をしなかった。

・安全にはコストをかける。
・危険源を洗い出し、そのリスクを評価し、評価に㻌 応じてコストをかけ、起こるはずの災害の低減化
㻌 努力をし、さまざまな技術、道具が生まれた。

・見つけた危険をなくす技術（危険検出型技術）

・論理的に安全を立証する技術（安全確認型技術）

・度数率（発生件数）の重視

・強度率（重大被害）の重視

想定外災害への対応

出典：向殿政男：「国際化時代の機械システム安全技術」㻌 日刊工業新聞（2000）

大事件・大事故に発展（再発）

マスコミ取材
第3者委員会設置

図表 9・事業継続マネジメント・㻌 システムの導入
・レピュテーション・リスク
㻌 マネジメントの導入

ﾘｽｸ情報のﾃﾞｰﾀﾍﾞｰｽ化（ヒヤリ・ハット）の事件・事故が発生している。
図表 7

将来の安全管理の考え方

謝罪広告（新聞・HP）

再発防止策（信用回復）事故情報ﾃﾞｰﾀﾍﾞｰｽ化（自然・機械・人災）

現場の眼
日常管理
事実を記録

3-3．将来の安全管理の考え方（図表 9）
過去は、主原因を人に置き、「技術対策」よりも「人の対策」を優先してきた。これからは、品質保証（管理）・システム・物流・経営管理・総務（法務）などの専門的にナレッジマネジメントが重要となる。技術力の向上と事故は起こることを前提に、減災を重点にする。
（図表9）繰り返す事件・事故

3-2．BCMS の位置づけ（図表 8）
BCMS において、復旧時間（レリジェンシー）が、復旧後の経営に大きな影響を与える。RMS は、認証システムではないが、組織内にこの考え方が定着している企業とそうでない企業の差は、大災害・大事故（パンデミック含む）・不祥事の発生時に出てくる。
（図表8）
想定外災害への対応

3-4．RRM（図表 10）
レピュテーションリスク・マネジメントが重要になっている。東日本大震災後、宅配便やコンビニの存在が地域住民にとって大きな役割を果し、その後、復旧時間の重要性から、災害時の物流方法が大きく改善されている。熊本地震発生時の支援物資の配送では、東日本大震災の教訓が活かされ、さらに進化している。テーマパークでは、訓練された従業員が顧客の立場にたって行動し、その後、サービス分野において日常訓練の重要性が見直されている。
（図表10）

想定外災害への対応

企業の「実態」を修正し、レピュテーションリスクを最小化する

良い「企業価値」の変化※ﾚﾋﾟｭﾃｰｼｮﾝというｽﾃｰｸﾎﾙﾀﾞｰからの認知やｲﾒｰｼﾞのように、具体的な形を持たない対象が、企業経営にとって重要な要素とみなされるようになった。

ステレーピクュ
テホ※広報活動に優れて、良いﾚﾋﾟｭﾃｰｼｮﾝ ー ルダシーを受けていても、大地震等の災害時に従業員・顧客の安全、重要業務の復旧、 ョ かン
地域への支援活動が期待通りで無けられば大きなﾘｽｸとなる。の㻌経営の責務

東日本大震災後（企業価値が向上）

㻌 コンビニの存在（重要性）が地域住民に内部監査㻌
（ﾓﾆﾀﾘﾝｸﾞ）㻌

内部統制ｼｽﾃﾑ㻌（ｷｰ・ｺﾝﾄﾛｰﾙ）㻌

SA

事業継続ＭＳ㻌
復旧時間㻌
（ﾚﾘｼﾞｪﾝｼｰ）㻌

ﾘｽｸ・ﾏﾈｼﾞﾒﾝﾄ㻌
ｼｽﾃﾑ構築㻌（持続的経営）㻌

悪い

図表 10

図表 8

BCMS の位置づけ

企業の実態

悪い

見直されその後の成長につながった。
㻌 テーマパークでは、訓練された従業員の顧客対応が高く評価された。

コミュニケーション活動を強化し、レピュテーションを向上させる

RRM

良い62

シ ス テ ム 監 査（図表13）

4．BCMS の有効性
4-1．BCMS の有効度評価（図表 11）
時間軸 ( 復旧時間）、ヒト・組織軸（成熟度）に、新しい軸として公共機関軸のようなものが産まれてきた。今後 3 軸で、BCMS の有効度を評価する。

想定外災害への対応

1
日常管理

2

（平常時演習）
お客様安全
従業員教育
安全確保

3

緊急時対応
ＢＣＰ発動
応援指示
特別態勢

収束後対応
復旧時間
信頼強化
特別支援

（図表11）

事業継続ﾏﾈｼﾞﾒﾝﾄｼｽﾃﾑの有効性評価
RM研究プロジェクトの話し合い
から新しい軸の必要性を認識した（今後、分析を深める）

時間軸（復旧時間）
㻌 レベル1㻌 30分以内回復
㻌 レベル2㻌 ～3時間以内
㻌 レベル3㻌 4～24時間以内
㻌 レベル4㻌 72時間以内
㻌 レベル5㻌 1週間以内
㻌 レベル6㻌 1か月以内㻌

ヒト・組織軸（熟練度）
㻌 レベル1㻌 個人レベル

㻌 レベル2㻌 部門レベル
㻌 レベル3㻌 会社全体レベル
㻌 レベル4㻌 モニタリング機能
㻌 レベル5㻌 外部と共存共栄

図表 11

公共機関軸
（連携度）

4-2．東日本大震災で学んだこと（図表 12）
東日本大震災で学んだことは、サプライチェーンが被害を受けて、調達ルートが壊滅したときに、どのように商品提供や物資提供を行うかが、地域における「存在価値」を決めるということである。
従業員応援、取引先支援といった人海戦術が重要である。

（図表12）

1.被災店舗のお客様
・従業員安全確保（人命第一）

2.サプライ・チェーン被害⇒ルート壊滅2.物流確保
従業員応援
取引先支援（人海戦術）

3.被災地
臨時店舗
販売開始
（従業員応援）

想定外災害への対応

組織軸による解析

図表 12

時間軸による解析

図表 13

東日本大震災で学んだこと

日常管理レベルが、収束後のレピュテーションを変える㻌 レベル1㻌 公共行事へ参加
㻌 レベル2㻌 公共の役割分担
㻌 レベル3㻌 公共の協定締結
㻌 㻌 㻌 㻌 㻌 㻌 㻌 （地域インフラ）㻌

BCMS の有効度評価

商流・物流崩壊（本部機能崩壊）

仕入先連係
地域連携
従業員尊重

4-4．事業影響度分析（仮説事例）（図表 14）
Ａ社の仮説事例は図表 14 のようになる。評価が変わったことと、「地域への義務」や「公共機関連携」などが加わった。阪神淡路大震災、東日本大震災、熊本大震災と重要性が増している。
（図表14）
重要業務

業績への影響

顧客への影響

従業員へ影響取引先へ影響地域への義務

公共機関連携総合の重要度

商品調達大大大大大大大配送センター

大大大大大大大加工センター

中中中

大中

中

中

店舗荷受け

中

中

中

大中

中

中

店内片づけ

中

中

中

小中

中

中

駐車場確保

中

大

大中

大中

中

販売（レジ）

大

大大大中

中

大

クレジット処理

大大

大

大

中

中

大

弁当・惣菜

中

中

小中

中

中

中

生鮮食品

中

中

小

中

中

中

中

缶詰・水

大

大大大大

大

大

日用品・医薬

大

大大

大

大大

大

商品代金支払

中

小

中

大中

小

中

給与支払

中

小中

小中

小中

図表 14

社会インフラとして物流機能

電子マネー・ポイントカードの急成長！

社会インフラとして備蓄機能

事業影響度分析（仮説事例）

4-5．深刻な人口減（５年後の市町村）（図表 15）
インフラの復旧時間がかかると、新たなサプライチェーンが代替構築され、これまでいた人々の職場が失われ、5 年後に深刻な人口減を起こしている。
（図表15）
時間軸による解析

4-3．日常管理レベルが、収束後のレピュテーションを変える（図表 13）
大震災が起こった後、緊急時対応までは、ほぼ同様に行われるが、収束後の対応で大きく差がつく。仕入先、従業員、地域が「その会社を継続させたい（大切にしたい会社）」と損得を越えて支援するかは、日常のつながり（関係性）にかかってくる。

ダメージ管理ダメージ管理出典：河北新報

図表 15 深刻な人口減（５年後の市町村）

「システム監査と事業継続マネジメントシステム（BCMS）～重大事故事例をレピュテーションリスクの観点から研究～

63（図表18）

②
事
業
影響分
析

③
リス
ク分
析

④
対策の
検討と
事
業
継続戦
略の決定

⑤
実対施策
計の画詳の細策決定定と対応計
画・策定フロー⑧対策の検討と
事
業
継続戦
略の決定

⑥
対策の実施

⑦の教実育施・訓練㻌

（図表16）

取締役会①
現状認
識と方針決定㻌㻌5．今後の課題
5-1．BCMS の標準化：ISO22031（図表 16）
BCMS において難しいことは、Check から Actに向かうところ、運用・監視とマネジメントレヴューの実施である。
「大きな PDCA サイクル」を確実にするため、経営トップの支援が必要であり、トップマネジマン
トの重要領域と言える。

実施運用フロー

⑨経営者による見直しと改善
方針見直し

ISO22031参照

Plan計画及び確立

図表 18 BCP の策定・実施運用フロー図

BCMS
事業継続
マネジメントシステム

Act
維持及び改善ﾙｰﾙ見直しDo導入及び運用ｺﾝﾄﾛｰﾙ

Check
監視及びﾚﾋﾞｭｰ
ﾏﾈｼﾞﾒﾝﾄﾚﾋﾞｭｰ

内部監査
ISO22031参照

第3者監査

図表 16

BCMS の標準化：ISO22031

5-2．ISO22031 の目次構成 （図表 17）
ISO 22301 の重要なポイントは PDCA プロセスを業務の中に取り入れることである。取締役会でしっかりと Plan（計画）をつくり、運用は現場がルールに沿って実践する。この前提として、システム監査が行われ、パフォーマンス評価結果並びに残存リスクの表明がされる。
（図表17）
ＩＳＯ22301の目次
㻌 㻌 まえがき㻌 㻌 0.序文
㻌 㻌 1.適用範囲
㻌 㻌 2.引用規格㻌 㻌 3.用語と定義㻌 㻌 4.組織の状況
㻌 㻌 5.リーダーシップ㻌 㻌 6.計画立案
㻌 㻌 7.支援（サポート）㻌 㻌 8.運用㻌 㻌 9.パフォーマンス評価
㻌 10.改善

図表 175-4．今後の課題（図表 19）
当研究プロジェクトでは、実務活用できるものが多く見つかっている。RRM が、BCMS の質的向上にとって重要要素であること、不祥事から会社を守り事業継続するためには、パートタイマー等が理解できる教育の追求が必要である。
今後の課題としては、以下の図表 19 が挙げられる。
（図表19）
新版㻌 システム管理基準（平成16年基準策定版）

㻌 Ⅰ.情報戦略㻌 5.事業継続計画との整合性を検討
㻌 ⇒基準（対象範囲・組織的体制・従業員訓練）とRM研究㻌 㻌 プロジェクトの話し合い内容と比較してみる
熊本地震（2016.4/14～）の対応状況を今回の軸で考察㻌 ⇒時間軸（復旧時間）、ヒト・組織軸、公共機関軸で整理
㻌 㻌 事業継続計画の課題を考察してみる㻌

データ改竄不正（杭打ちデータ、燃費データの偽装）㻌 ⇒ステークホルダー（従業員、取引先、地域、公共機関）
㻌 㻌 の立場で、独立的・専門的に監査する（SAの重要性）

図表 19

取締役会ＰｌａｎＤｏ

SAＣｈｅｃｋ
Ａｃｔ

ISO22031 の目次構成

5-3．BCP の策定・実施運用フロー図（図表 18）
中小企業では、トップマネジメントのリーダーシップを前提に、実施運用フローが行われる。このとき、教育・訓練の実施を続けることがポイン
トであり、次の段階へ全体がスパイラルアップする。

今後の課題参考文献
・日本規格協会 ISO22301：2012 事業継続マネ
ジメントシステム 要求事項の解説
・日本規格協会 ISO31000：2009 リスクマネジ
メント 解説と適用ガイド
・日本規格協会 ISO/IEC27001：2013 情報セキュ
リティマネジメントシステム 要求事項の解説
・日刊工業新聞社 初心者のためのリスクマネジメ
ント Q&A100（2011 年版）インターリスク総研
・同文舘出版 事業継続マネジメント－災害に強い企業をつくるために－（2008 年版）
・オーム社 昆 正和著：「実践 BCP 策定マニュア
ル－事業継続マネジメントの基礎」（2009 年版）

64

シ ス テ ム 監 査

・オーム社 中村昌允著：技術者倫理とリスクマネジ
メント－事故はどうして防げなかったのか？－・オーム社 防火管理者必携 防火・防災 安全計画
Q&A
・大阪市防火管理協会 大阪市消防局監修：3 訂版
防火・防災管理のススメ（2012 年版）
・講談社 畑村洋太郎著：失敗学のすすめ（2000年版）
・東洋経済新報社 遠藤 功著：現場力を鍛える－「強い現場」をつくる 7 つの条件
・日経ＢＰ社トム・コネラン著：奇跡の成功を生み出した「感動」の企業理念 ディズニー 7 つの法則
・三笠書房 稲盛和夫著：働き方「なぜ働くのか」「いかに働くのか」・日本経済新聞社 朝永久見雄著：セブン＆アイ
HLDGS.9 兆円企業の秘密 世界最強オムニチャ
ネル
・秀和システム ㈱日本総合研究所 最新 CSR がよ～くわかる本（2005 年版）
・日本経済新聞社 小河光生著：ISO26000 で経営はこう変わる－ CSR が拓く成長戦略－（2010年版）
・英知出版 ロバート・キーガン著：なぜ人と組織は変われないのか－自己変革の理論と実践－
・英知出版 ピーター・M・センゲ著：学習する組織－システム思考で未来を創造する－・ 日 本 再 興 戦 略 改 訂 2013、 改 訂 2014、 改 訂2015
・( 財 ) 日本情報処理開発協会 システム管理基準、システム監査基準