事業継続マネジメントの基礎

1１．事業継続を脅かすリスクとは

自然災害
地震、台風、洪水

事件・事故
火災、設備故障、システム障害、電気・通信・交通インフラの停止

テロ、犯罪行為

SARS、新型インフルエンザなど
2２．事業継続（BC）とは


重要業務が中断したり、操業度が許容限界を超えて低下することを可能な限り回避すること。



重要業務が中断したり、操業度が落ち込んだとしても許容される期間内で、業務を再開して操業度の復旧を図ること。
BC：Business Continuity
3

災害、事件・事故の発生
平常時

復旧期間（BCM実施前）
初動対応＆復旧対応

操業度（製品供給量など）

目標復旧時間（RTO）

最大許容停止時間（MTPD)

許容される期間内に操業度を復旧させる
復旧

目標復旧水準（RPO）
許容限界
時間軸
許容限界以上のレベル
で事業を継続させる

目標と現状の復旧期間の乖離を縮める

BCM実施前の復旧曲線ＢＣM実施後の復旧曲線（注）内閣府「事業継続ガイドライン」資料を一部修正

4

 事業継続マネジメント(BCM)とは災害や事件・事故などの重大なリスクが顕現化した場合に、効果的かつ効率的に事業継続を確保するためのマネジメント・プロセス。
継続的改善ActPlan

BCM
CheckDoBCM：Business Continuity Management5 事業継続計画（BCP）とは災害や事件・事故など重大なリスクが顕現化した場合に事業を継続するための手続きを示した計画。
BCP：Business Continuity Plan
 初動対応計画（IMP）とは重大なリスクが顕現化した場合に初期･初動の対応を示した計画。
IMP：Incident Management Plan方針
IMP

BCM関連文書

BCP

BCP

BCP

（自然災害）（事件事故）（新型インフルエンザ）

マニュアル

マニュアル

マニュアル

6

３．事業継続マネジメント（ＢＣＭ）のプロセス（１）Plan計画

（２）Do実施（３）Check 点検（４）Act改善

基本方針の策定
 事業インパクト分析（BIA）
 リスクアセスメント（RA）
 BC戦略の策定
初動対応計画（IMP）の策定
 事業継続計画（BCP）の策定
 関連マニュアルの整備
 研修・教育訓練の実施
 内部監査の実施
継続的改善7

（参考）内閣府「事業継続ガイドライン」

PlanAct

CheckDo（注）赤字（Plan、Do、Check、Act）は当方で付記。

8

（参考）BS25999-2
０．序文（まえがき）
１．適用範囲
２．用語及び定義
３．計画 Plan

４．導入及び改善Do

３．１概要
３．２確立及び管理
３．３組織文化への定着
３．４文書及び記録
４．１組織の理解
４．２ＢＣＭ戦略の決定
４．３ＢＣＭ対応の開発及び導入
４．４演習,維持及びレビュー

５．監視及びレビュー ５．１内部監査
５．２マネジメントレビュー
Check
６．維持及び改善
６．１予防措置及び是正措置
Act

６．２継続的改善（１）Plan 計画
基本方針の策定

事業インパクト分析
リスクアセスメント
BC戦略の策定
ＩＭＰ／ＢＣＰの策定
関連マニュアル整備
教育訓練（２）Do 実施

訓練の実施
内部監査の実施（３）Check 点検（４）Act 改善

継続的改善
9基本方針の策定

計画（参考）英国規格協会
BS25999-1,BS25999-2

Plan

Plan

（注）赤字は当方で付記。

確立Act
継続的改善

Plan
改善実行

Act

維持及び改善Do

事業インパクト分析（BIA）
リスクアセスメント（RA）

導入及び運営

M
BC

評価

Check

監視及びレビュー

BS25999-2

内部監査の実施の組織文化への定着組織の理解Do

Plan

研修・教育訓練の実施

演習、維持及びレビュー

BCMプログラムの管理

BCM戦略の決定

BC戦略の策定

Check

Check

BS25999-1
Do

BCM対応の策定
及び導入

初動対応計画（IMP）の策定
事業継続計画（BCP）の策定
関連マニュアルの整備

10

（１） Plan 計画


基本方針の策定

 BCM目的の明確化
 経営陣の承認

事業インパクト分析(BIA) 対象事業（製品・サービス）の決定
 目標復旧時間の設定
 重要な業務活動の特定 必要となる経営資源の特定リスクアセスメント（RA） 脅威シナリオの設定
 被害の評価 ボトルネックの洗い出し



BC戦略の検討

 目標復旧時間内に対象事業を再開・復旧するための具体的対応（BC戦略）の検討
11

留意点
基本方針を策定する際は、BCMの目的を明確にすることと、経営陣の承認を得ることが重要。
 事業インパクト分析（BIA）では、BCM対象事業と目標復旧時間を、経営陣の関与の下で決定する。
 そして、 BCM対象事業を支える業務活動のネットワークを詳細に分析し、事業継続に不可欠な業務活動を洗い出し、必要となる経営資源を特定する。
 リスクアセスメント（RA）では、脅威シナリオを設定して、その被害を評価する。
 重要な業務活動における被害を詳細に分析して、目標復旧時間以内の業務再開・復旧を阻害する要因 （ボトルネック）を洗い出す。
 上記を踏まえ、目標復旧時間内に対象事業を再開・復旧するための具体的対応（BC戦略）を決定する
12

BCM対象事業、業務活動、経営資源

事業A
（製品A）

事業B
（サービスB）

業務活動①

経営資源業務活動
②

経営資源

経営資源

業務活動
③

業務活動
④

経営資源

13

BCM対象事業、業務活動、経営資源

事業A
（製品A）

被害の評価

業務活動
①

経営資源

ボトルネック
脅威シナリオ（災害、事件事故）

業務活動
②

経営資源

経営資源

業務活動
③

BC戦略

14

（２） Do 実施
初動対応計画（IMP）

 初動対応の明確化・文書化の策定
事業継続計画（BCP）の策定

 暫定復旧・全面復旧に向けた組織

体制、対応の明確化・文書化 関連マニュアルの整備  復旧対象（拠点、システム、機器等）ごとの復旧手続き、平常時における維持管理手続きの明確化・文書化研修・教育 BCM基本方針、初動対応計画、事業継続計画、関連マニュアルの周知徹底
15

災害、事件・事故の発生
事前

現状の復旧期間操業度（製品供給量など）

事後（初動対応＆復旧対応）
目標復旧時間
最大許容停止時間（ＲＴＯ）（ＭＴＰＤ）
復旧

目標復旧水準（ＲＰＯ）
時間軸

平常時維持管理マニュアル

初動対応（IMP）
アクションリスト

暫定復旧用BCP

全面復旧用
BCP

暫定復旧用
マニュアル

全面復旧用
マニュアル
16

留意点


初動対応計画（IMP）では、災害、事件・事故が発生したときの初動対応を明確化し、アクションリストなどの形で文書化する。
（例）アクションリスト
緊急対策本部の設置
役職員の安否確認
被災状況の確認
業務への影響の確認
関係者への緊急連絡
広報活動
BCP発動の検討

17

事業継続計画（BCP）では、暫定復旧・全面復旧に向けた組織体制、対応を明確化し、文書化する。
（例）・BCP発動後の緊急時体制
・本社・重要拠点の機能確保－代替拠点、システムB/Uを含む・必要な資源の調達・確保－調達先のリストアップ
・具体的対応（BC戦略）の実施手順



教育・研修を実施して、初動対応計画（ＩＭＰ）、事業継続計画（BCP）、関連マニュアルの記載内容について、周知徹底を図る。
18

（３） Check 点検


訓練の実施

 訓練形態の選択
 訓練プログラムの作成
 事業継続計画（BCP）や初動対応計画（IMP）の実効性の評価



内部監査の実施 ＢＣＭ関連文書のレビュー
 関係者へのインタビュー
 訓練結果の検証

19留意点：訓練の実施


訓練の目的は、事業継続計画（BCP）や初動対応計画（IMP）に習熟するとともに、その実効性を検証し、改善を図ること。



事業継続計画（ＢＣＰ）の導入･定着状況を見極めて、訓練計画（中期計画、年間計画など）を策定する。



個別の訓練計画では、その実施目的を明確にして、適切な訓練形態を選択し、訓練プログラムを作成する。



事前に、事業継続計画（BCP）、初動対応計画（IMP）等の実効性を評価する基準・方法を定めて訓練を実施する。

訓練の実施結果を経営陣に報告する。
20

（例）訓練の実施形態
訓練形態
レビュー

実施内容
ＢＣＭ関連文書の検証を通じて、BCP／ＩＭＰの実行可能性や整合性を確認する。

シミュレーション訓練 一定の想定下で、被害状況などを予測し、具体的対応（ＢＣ戦略）を検討する。
はじめから想定を明らかにして行う場合と訓練実施の途中で想定を追加していく場合とがある。
実働訓練

ＢＣＰ／ＩＭＰ、関連マニュアルの手順に従って実際の設備･機器など稼動させて、重要業務の再開・復旧が可能かを検証する。
21

（例）研修・教育とＢＣＰ訓練のスケジューリング

ストリートワイド訓練

難易度

ＢＣＰの実効性の検証
BCM対象事業全体訓練
シミュレーション
操作訓練
ﾊﾞｯｸｱｯﾌﾟｼｽﾃﾑ
切り替え訓練参集訓練

本部設営訓練
レビュー
避難訓練
教育・研修

ＢＣＰの周知徹底22留意点： 内部監査の実施（BCMの導入段階）


BCMの導入段階では、各作業における節目で、BCM関連文書に記載された内容を検証する。
・ 基本方針が策定された時点でのレビュー
・ BIA、RAの結果報告が出た時点でのレビュー
・ BCM戦略が取り纏められた時点でのレビュー
・ 関係者へのインタビュー

23留意点： 内部監査の実施（BCMの実践・運用段階）


BCMの導入段階で、BCM関連文書の検証を完了していれば、BCMの実践・運用段階では、変更部分を中心とする検証を行えばよい。


BCMの実践・運用段階では、むしろ、継続的改善を促す観点から、訓練の計画、実施プロセス、結果報告の検証により重点を移していくのがよい。
・ 訓練の計画、実施プロセス
・ 経営陣への訓練結果の報告
・ 訓練で判明した問題点と改善に向けた取組状況
24

（４） Acｔ 改善


継続的改善

 訓練、内部監査の結果に基づく見直しの実施
 ＢＣＭ対象事業、あるいは、重要業務の変更に伴う見直しの実施
 アクションプログラムの作成と実践
 経営陣の関与とBCM要員の配置

25

留意点


訓練、内部監査の結果に基づき、BCMの見直しを行う。



BCM対象事業や重要業務に変更があったときも、同様にBCMの見直しを行う。


BCM見直しのポイントをアクションプランとして取り纏めて、実践する。
上記アクションプランに関しては、経営層の承認を得ることと、その実施責任者（BCM要員）を明確にして、進捗を管理することが重要。
26

（参考１－１）BCMに関する規格・ガイドライン（国内、翻訳）
内閣府 「事業継続ガイドライン」（2005年8月）
http://www.bousai.go.jp/MinkanToShijyou/guideline01.pdf
経済産業省 「事業継続計画策定ガイドライン」（2005年3月）
http://www.meti.go.jp/policy/netsecurity/downloadfiles/6_bcpguide.pdf
経済産業省 「ITサービス継続ガイドライン」（2008年9月）
http://www.meti.go.jp/press/20080903001/02_it_gl.pdf
中小企業庁 「中小企業BCP（事業継続計画）ガイド」 （2008年4月）
http://www.chusho.meti.go.jp/keiei/antei/download/bcp_guide.pdf
内閣府 「中央省庁業務継続ガイドライン」（2007年6月）
http://www.bousai.go.jp/jishin/gyomukeizoku/pdf/
gyoumu_guide_honbun070621.pdf
BCI Japan Alliance「事業継続マネジメント実践ガイドライン」（BCI Good Practice Guidline2008翻訳）
http://www.bcijapan.jp/documents/BCI_GPG2008.pdf
英国規格協会BS25999-1
英国規格協会BS25999-2（正式な日本語版は日本規格協会より発行）27

（参考１－２）BCMに関する業種別ガイドライン
ＳＥＭＩ JAPAN「半導体産業向け事業継続ガイドライン」（2004年6月）
http://www.semi.org/en/P037064（社）日本建設業団体連合会「建設ＢＣＰガイドライン-首都直下地震に備えた建設会社の行動指針-」 （2006年7月・2006年11月）
http://www.nikkenren.com/publication/index9.html
日本百貨店協会「百貨店のためのＢＣＰガイドライン」（2007年6月）
日本貿易会「商社ＢＣＰガイドライン」（2007年11月）（社）日本ホテル協会「地震発生時の対応活動指針」（2007年12月）（社）不動産協会「不動産協会事業継続計画ガイドライン―オフィスビル賃貸事業編―」（2007年11月）
http://www.fdk.or.jp/k etc/guideline.html
情報通信ネットワーク産業協会/（社）電子情報技術産業協会「電機・電子・情報通信産業ＢＣＰ策定・ＢＣＭ導入のポイント-取り組み事例と課題-」（2008年1月）
http://www.ciaj.or.jp/content/topics/pdf/080115_BCP.pdf
28

（参考２）BCMの標準化・規格化の動向
海 外2003 英国規格協会PAS56
2004 米国・カナダNFPA1600
オーストラリアHB221

日 本
日本規格協会「事業継続管理のための指針」（PAS56翻訳）2005 シンガポールTR19

内閣府「事業継続ガイドライン 第一版」
経済産業省
「企業における情報セキュリティガバナンスのあり方に関する研究会報告書」

2006 英国規格協会BS25999-1

中小企業庁「中小企業のBCP策定・運用指針」

2007 英国規格協会BS25999-2
2008 事業継続協会（BCI）
Good Practice Guidline2008 ※※BCI（Business Continuity Insititute)は事業継続に関する国際組織
2007年初版、逐次改定
2007年3月版でBS25999-1を参照
2008年1月版でBS25999-2を参照
現行は2008年11月版

財団法人日本情報処理開発協会（JIPDEC）が、BS25999-2に基づく BCMS適合性評価制度の準備として、実証運用を開始
BCI Japan Alliance「事業継続マネジメント実践ガイドライン」(BCI Good Practice Guidline2008翻訳）29

（参考３）事業継続マネジメントに関する用語の整理
事業継続（BC）

Business Continuity

事業継続マネジメント

Business Continuity Management

事業継続マネジメントシステム（BCMS）

Business Continuity Management System

事業継続計画（BCP）

Business Continuity Plan

初動対応計画（IMP）

Incident Management Plan

事業インパクト分析（BIA）

Business Impact Analysis

リスクアセスメント（RA）

Risk Assessment

目標復旧時間（RTO）

Recovery Time Objective

最大許容停止時間（MTPD）

Maximum Tolerable Period Desruption

目標復旧水準（RPO）

Recovery Point Objective

BC戦略

Business Continuity Strategy

レジリエンシー

resilience30

（補論１）リスクの計量化とはリスク事象の「影響度」を金額換算し、「発生可能性」を確率であらわす。
 リスク事象の発生シミュレーションや統計的分析により、経営に与える影響を把握する。
金 額

影響度大小低発生可能性

高リスク事象の発生シミュレーション
統計的分析

確 率31

リスクの計量化とBCMへの活用
災害リスクは、統計データ等にもとづいて、計量化することが可能なものが少なくない。

・ 発生頻度（発生確率）・ 影響度（損失額）


リスクを計量化することによって、優先順位を決めたり、経営判断に活かすことが容易になる。
・ リスクの削減（耐震工事、補強工事）
・ リスクの移転（保険）・ リスクの許容
32

（例）地震の損失計測
 大きな損害をもたらす地震シナリオを選定して、それらによる損害額を推定する。
地震シナリオ

損害計測モデル

推定損害額

 震源情報マグニチュード 緯度 経度 深度 発生確率
 施設情報所在地 建物構造 階数 建築年 再調達価格
 損失計測モデル
所在地の震度（揺れ）を算出して、建物の全壊、半壊、一部破壊等を判定。再調達価格を基準にして施設の損失額を推計する。

33

留意点
公的機関が公表している災害シナリオや、過去に実際に起きた災害事例にもとづいて、客観的なシナリオを置くことが多い。
損害関数は、外部専門家のものを利用するときは、計測過程が、ブラック・ボックス化しないように留意する。
損害関数による推計値は、第一次アプローチに過ぎない。
利用目的によっては、詳細な実地調査を行う必要がある。

34

（補論２） 新型インフルエンザ対策


従来のBCPとは、基本的な観点が異なるため、新たなBCPの策定が必要。
方針
IMP

BCM関連文書

BCP（自然災害）

BCP（事件事故）

マニュアル

マニュアル

BCP

（新型インフルエンザ）

マニュアル

35

感染者数
前段階
未発生期

第一段階
海外発生期

第二段階
国内発
生早期

第三段階

操業度（製品供給量など）

感染 まん延期
拡大期

回復期

第四段階
小康期

再燃期

時間軸

36

新型インフルエンザ対策を策定する際の主な観点
 感染拡大に伴う被害の最小化
 役職員、顧客等の生命・健康の確保
 社会機能として維持を要請される業務の有無

 業務を縮小する時期
 業務を縮小する水準

 業務を再開する時期

37

日本銀行金融高度化セミナー「新たな業務継続計画 新型インフルエンザ対策」資料より
38