空気清浄第 44 巻第 5 号

平成 19 年 1 月 31 日発行

事業継続マネジメント（BCM）の考え方
A Guide to Business Continuity Management (BCM)

黄野吉博、Yoshihiro Kohno

Abstract
Business Continuity Management (BCM) is an ongoing designed to prevent, mitigate, prepare for,respond to and recover from, disruptions or events on supply chains that threaten a business. This reportserves as a guide to BCM compared with disaster preparedness for the development or refinement of amanagement system to effectively address the risks of business interruption. It is intended thatcompanies large and small with discrete or diverse products or facilities benefit through using of themanagement method presented within.

キーワード：
事業継続マネジメント Business Continuity Management (BCM)
事業継続計画 Busienss Continuity Program (BCP)
企業防災 Corporate Disaster Prevention(BCM) の考え方を普及さ せる嚆矢になった。こ の1. はじめに1987年は興味深い年である。米国政府が半導体製

BCM はその後、SEMATECH と SEMI 北米地区が1993 年に第一版を策定した SSQA の 2002 年改訂に造技術を世界一へ回帰させるために SEMATECH(SEmiconductor MAnufacturing TECHnology) を強い影響を与えることになった。
米国の半導体業界が BCM に強く注目したのは、設立し (1)、マサチューセッツ工科大学 (MIT) が基幹
事 業 の 識 別 と リ ス ク 評 価 の た め に Business2001 年 9 月 11 日の米国同時多発テロ事件後である。
これはワールドトレードセンター地区で被災したメリルリ

Continuity Management Teamした(2)。

(BCMT) を設置

ンチ証券他の数社がハリケーン用の事業継続計画書(BCP) を転用し、安否確認、代替オフィスと代替 IT シ

米国政府とインテル社、モトローラ社、TI 社など米国半導体企業各社が設置した SEMATECH は目的の米ステムの確保などを行い、1 週間から 4 週間という短期間で、速やかに事業を復旧させたからであった。(3)

国半導体業界の技術競争力強化を達成し、今は日本のルネサステクノロジーや松下電器産業、韓国のサム

この有効性の確認できた BCM を SEMATECH とSEMI 北米地区が SSQA に組込み、第 4 版としてスン社、台湾の TSMC 社なども会員とする国際組織に変貌している。そして、MIT の BCMT はそれまで別々2002 年秋に公表した。この SSQA 第 4 版が 2003 年から、世界の半導体業界に BCM を拡散させている。なお、に行われていた基幹事業識別とリスク評価・防災・防犯をトータルシステムとして捉える事業継続マネジメント

ＢＣＭ自体は半導体業界に特化したものでなく、金融業、流通業、製造業、航空業などに広く活用されている。

1空気清浄第 44 巻第 5 号

平成 19 年 1 月 31 日発行

2. BCM と BCP

こに BCP 条項が追加されたのは、前述のとおり 9.11 事件の翌年、2002 年の秋からである。

この BCM と BCP は、英国・米国・豪州・カナダにおける英語表示と使用方法に混乱があり、それが翻訳を

以下は SSQA の BCP 条項の抜粋である。全文はSEMI ジャパンのウエブサイト (http://www.semi.org)

経て日本でも混乱をおこしている。本報告書では BCMと BCP を使うが、関係用語を簡単に整理する。

で確認いただきたい。
BCP 項目前文
サプライヤは、緊急時の災害対策、事業継続計画(1) BCM (Business Continuity Management)
翻訳に、「事業継続マネジメント」、「事業継続経営」、「事業継続管理」がある。意味は、つぎのとおりであり、

書 (BCP) と事業復旧計画書を持ち、これを全ての拠点で展開するものとする。

事業継続計画書を作るための上位概念である。
① BCM の導入判断

サプライヤの BCP は、そのサプライチェーン全体を考慮するものとする。

② 各事業（業務）などの優先順位付け判断③ 各種事業継続計画書を改善する判断

また、BCP を維持する PDCA (計画・実行・確認・修正) サイクルを持つものとする。

なお、次の言葉はほぼ同意であるが、COOP は主として行政機関の業務継続マネジメントに使われ、OCMBCP 項目第１項
1. 責任者を定め、BCP を作成する。この BCP には、は民間企業と行政機関両者の事業 (業務) 継続マネジメントに使われる。①と②の BCP は次号の事業継続

事業の継続性の維持ために、次の事項を含む。
1.1 マネジメントの継続性及び主要スタッフの確認計画書と混同しやすいから、要注意である。
① Business Continuity Planning (BCP)

1.2 記録のオフサイト保存
1.3 専門設備の代替性を確保する戦略② Business Continuity Program (BCP)③ Continuity of Operation (COOP)BCP 項目第 2 項
2. BCP は、緊急時対策として次の事項を含む。

④ Operational Continuity Management (OCM)

2.1 緊急時対応及び損害の初期評価
2.2 緊急時宣言に関する責任とプロセス(2) BCP (Business Continuity Plan)
翻訳は「事業継続計画書」である。意味は、BCM に

2.3 詳細な損害評価
BCP 項目第 3 項基づき作成された文書 (最近は電子ファイル) である。
この文書には、事業の優先順位書、使用部品表、輸送

3. BCP は、事業復旧対策として、次の事項を含む。
3.1 被災時状態において最低許容レベルのサービス

経路書、リスク評価表、緊急時対応マニュアル、連絡網、指揮系統図、緊急時財務書、緊急時人事書、IT 復旧に復帰するための手順
3.2 基幹事業部門の回復手順

計画書、事業復旧計画書など関係文書が含まれる。なお、マネジメントで OCM を使う場合は、計画書は OCP

3.3 メディア、株主、行政機関、その他ステークホルダーへの連絡になる。

BCP 項目第 4 項
4. BCP はサプライチェーンの維持に対し、次を検討

3. SSQA（ Standards Suppliers QualityAssessment）すること。
4.1 災害、港湾封鎖、労働争議などにかかわらず、サSSQA はその表題に「Suppliers Quality」とあるようプライチェーン全体において、全ての部材を安定供給する体制への計画に本来の目的は、サプライヤが提供する商品 (材料、部品、サービス、製品など) の継続的品質向上と、品質4.2 供給途絶のリスクを識別するための、部品表の作成と評価を向上するためにサプライヤの経営を継続的に改善することが目的である。この SSQA は、ISO9001 (品質4.3 供給元が 1 社の部材に関する場合は、その部材の在庫計画または、代替計画

ISO、第 3 者認証システム) に追加されてユーザーからサプライヤに求められる第二者認証システムである。こここでの注目点は、BCM は個別事象 (event) につ2空気清浄第 44 巻第 5 号

平成 19 年 1 月 31 日発行

いての対策ではなく、いかなる事象が発生しても、サプライチェーンと安定供給の維持を求めていることである。

4. 企業防災・防犯との相違点

なお、事象とは、災害 (地震、風害、水害、落雷などの自然災害)、事故 (ヒューマンエラー、経年劣化、部品

企業防災・防犯は、本社、工場、研究所などの各拠点の防災・防犯に力点があるが、BCM は海外拠点を欠陥などに起因)、事件 (テロ攻撃、サイバー攻撃、窃盗など意図的攻撃) のことをいう。

含め全社トータルで災害・事故・事件に対応する。この違いを簡略表にすると次のようになる。ただし、最近の2006 年 12 月現在、ISO/TC223 委員会 (社会セキュリティ) が検討している新 ISO 文書は、この SSQA

企業防災にはサプライチェーンを含む考え方も出てきている(8)。の BCP 関係項目をほぼ全部含むと予想している。これは、ISO/TC223 を検討している日本(4)、米国(5)、英国(6)、無論、この簡略表は全てを表していない。しかし、企業防災に比べ BCM がトータルに事象に対応する姿勢

豪州(7)などの各国のスタンダード関係文書に SSQA のこれら項目の多くが既に組み込まれているからである。

があることに注目していただきたい。

企業防災と BCM の比較、簡略表
企業防災

BCM

救急救命

最優先

最優先

地域貢献

最優先

最優先

拠点ごと

全社トータル

災害対策 (地震、風害、火災など)△○

事故対策 (ヒューマンエラー、経年劣化など)△○

事件対策 (意図的攻撃)△○

優先順位付け (事業・製品・業務など)

×○

優先順位付け (ユーザー・サプライヤ)

×○

優先順位付け (輸送システム、港湾・空港)

×○

代替生産計画 (自社の他拠点、他社)△○

データ・重要書類の遠隔地保存△○

初期対策 (初期消火など)△○

全社対策本部の設置△○

現地対策本部の設置△○

緊急時コミュニケーション計画△○

緊急時財務・人事計画△○

最低許容レベル×○

目標復旧時間 (RTO)

×○

事業復旧計画 (BRP)

×

○

項目
A グループ (社会貢献)

B1 グループ (事前対策：事象対策)
対策対象

B2 グループ (事前対策：経営対策)

C グループ (緊急時対策)

D グループ (復旧対策)(凡例) ○・・・考慮する。 △・・・一部考慮する。 ×・・・考慮しない。

3空気清浄第 44 巻第 5 号

平成 19 年 1 月 31 日発行

4.1 事前対策
事前対策は、災害・事故・事件など個別事象への対やかに改訂することが求められる。少なくとも半期に一度は見直しが必要である。

策と、経営対策がある。前者は、事象の発生確率を下げる方法と、発生した場合の被害 (影響度) を少なくす

被災時は、この優先順位の高い事業への影響を見ることになる。優先順位の高い事業への被災はその企業る方法がある。確率を下げる方法は、地震、水害の発生確率が低いところへの移転やヒューマンエラーを除に取り影響度が大きくなる(9)。

去するシステムへの変更などである。影響度を下げる方法は、耐震・免震構造の採用、セキュリティの厳密化な4.3 代替生産どである。日本は企業防災・防犯には長い経験と知識があるが、そ れにも係わらず「△」なのは 、サプライ

合は、自社の他拠点での同一製品の生産、または他社での同一製品の生産が求められる。新聞社、銀行ではチェーンを経由して来る影響への準備が不足しているからである。

被災時における他社での印刷やサービス提供が進んでいる。半導体メーカーも幾つかの経験をしている。

サプライチェーンはグローバル化し、長時間化、長距離化してきている。キーコンポーネントの供給企業の被1999 年 9 月 21 日、台湾の集集地震、半導体工場の被災

災、または、その輸送経路の被災は、そのコンポーネントを使い、製品を製造する企業の製造ラインを止めるこ2000 年 3 月 17 日、米国ニューメキシコ州の半導体工場の火災とになる。IC チップのユーザーである PC、携帯電話、ゲームなどのセットメーカーはこの被害を経験している2004 年 10 月 23 日、新潟県中越地震、半導体工場の被災(9)。また、新型インフルエンザの流行地からの部材供給が止まる可能性もある。これは、流行地の港湾・空港が2005 年 8 月 16 日、宮城県沖地震、半導体工場の被災封鎖、または荷役の人材の確保が困難になるためである。

これらの例では、他社が IC の代替生産を行っている。
ただし、他社での代替生産が長引く場合は、ユーザー次に経営面の事前対策であるが、二つの点で日本企業は遅れている。一つは次項にある「優先順位付け」の移動に繋がることがあるから、事前対策として組み込む際は、その点に留意が必要である。自社の他拠点での高い曖昧性であり、今ひとつは優先事業と最先端設備とのミスマッチである。ミスマッチは設備導入を決めるの代替生産は顧客にも安心感を与えるから、可能であれば、この方法が良い。

時点の市場状況と、設備が導入された時点の市場状況との違いから生じる場合が多い。具体的には、最も販売

4.4 緊急時対策

額・利益額が大きい DRAM 製造ライン用に免震構造を持つ最新設備を計画したが、新設備の竣工時にはシスここでも、サプライチェーン経由での影響を考慮する必要がある。他国のユーザーやサプライヤの被災時に、テム LSI が販売額・利益額でトップになっていたような場合である。この時、不幸にして地震で被災を受けると、現地対策本部を設置した例も IC ユーザーの携帯電話
メ ーカー 、自動車メーカ ーには あ る。同じ サプ ライ

稼ぎ頭のシステム LSI の製造ラインは大きく被災し、それほどでもない DRAM ラインは被災が少なくなる。

チェーン上の他社の被災を、自社の販売減、市場シェアー減に繋げないのが BCM の基本であるが、チェー4.2 優先順位付けンの長時間化、長距離化にともないこのリスクが高くなっている。この事象により、マーケット占有率を大きくこれは、生産能力が 90%、80%、70%と低下した時に、どの事業、どの製品、どの顧客、どのサプライヤを下げた携帯電話メーカー、PC メーカーがある(10)。
地震、台風などの自然災害や火災の場合のように、リ残すかを決めることである。一般的には、その企業に取り一番重要な事業、製品、顧客、サプライヤを最後までスクの顕在化が目に見える場合は、緊急時であるとの判断を下しやすいが、一見小さな現象が拡大化するこ残すことになる。また、事業などを維持するために、どの設備、どの人材などを残すか、これも決めることになる。とがあるから注意が必要である。殊に、ブランドイメージや内部統制違反に繋がる事象は、多くの場合、生産者曖昧にではなく、明確に順位を付け、文書化（電子ファイル化）する必要がある。この順位は必要がある時に速の設備・製品へ直接的被害を与えないから、要注意である。このブランドイメージの低下、内部統制違反によりある拠点が被災し、その生産再開に日数がかかる場

4空気清浄第 44 巻第 5 号

平成 19 年 1 月 31 日発行

市場から撤退した食品メーカー、証券会社もある。
ブランドイメージ、サプライチェーンなどの影響は、時④ 初期対応（初期消火など）⑤ 警察・消防などへの連絡

間経過とともにリスク評価すると良い。時間経過にともない影響が強くなる事象に、早い時点から目を向けること⑥ 二次被害の防止⑦ 従業員、地域住民などステークホルダーへのが必要になっている。

説明復旧対策：事象の拡大が抑えられた時点から始め

4.5 復旧対策
最低許容レベルとは、災害・事故・事件の影響を許る原状復旧対策。サプライチェーン維持の観点か
らは、復旧時間・期間の制約がある。また、被災拠容する最低レベルのことであり、通常の操業度 (販売額) の百分比 (%) と日数で表し、文書化する。影響度点の復旧期間が目標復旧時間を超える場合は、次の判断が求められる。

がこのレベルを超えると「倒産」の可能性が出てくる。
従って、このレベルが低く、長期であるほどその企業は① 自社の他拠点での代替生産② 他社での代替生産

災害・事故・事件に強いことになる。なお、防災にはなかった新しい概念として、RTO、BRP がある。

この BCM で一番重要なことは、「いかなる災害・事故・事件が発生しても、当社はそれを乗り越えて安定供目標復旧時間 (RTO： Recover Time Objective)とは、被災時から通常生産に戻るまでの時間・日数であ給行い、持続的に発展する」という文化を社内、関係先に定着させることである。また、一拠点の企業にあってる。半導体関係の場合は、14 日または 30 日が多い。これは被災時から 14 日または 30 日を経過しても供給がも、「自然災害だから」、「想定外の事故だから」と諦めることなく、他社との連携も視野に入れ、安定供給と持続出来ない場合は、ユーザーは他のサプライヤに移ることを意味する。

的発展を是非目指していただきたい。

事業復旧計画 (BRP: Buseness Recovery Plan)
は、被災した場合に、いつまでに、どのように、復旧させ参考資料るかを文書化したものである。ヒト、モノ、カネ、情報の全ての面での復旧計画が必要となる。

1. http://www.sematech.org
2. http://web.mit.edu/bcmt、なお MIT が世界で始めて BCM を提唱したかは調査中。
3. “CIO Magazine”、2003 年 3 月号、IDG Japan,5． まとめ
以上 BCM と BCP を概観してきたが、企業防災とはInc.
4. 「事業継続ガイドライン-第一版」、内閣府、2005 年異なる諸点があることは理解いただけたと思う。一番の違いは「サプライチェーンの維持」、「安定供給の維持」

7 月及び「事業継続計画策定ガイドライン」、経済産業省、2005 年 3 月の追加である。なお、サプライチェーンを含めた災害・事故・事件対策をまとめると次のようになる。

5. NFPA1600, Standard for Disaster/Emergency
Management and Business Continuity

事前対策：事象の発生確率を下げる、または、影響度を低くする。これは、事象の種類により対策がPrograms
6. BS25999, A standard for Business Continuity

ことなる。また、曖昧性、ミスマッチの排除も重要である。
緊急時対策：事象が発生した直後から、その事象が収まるまで。この対策には事象に係わらず次のManagement
7. HB221, Business Continuity Management
8. 「企業防災 - 被災倒産を避けるために」、NPO 法
人都市防災研究会、2006 年 9 月

ように多くの共通事項がある。
① 発生の事実確認

9. 「事業継続マネジメント入門」、SEMI 日本地区
BCM 研究会、2005 年 1 月、共立出版② 緊急時対策の発動③ 関係者の安否確認

10. The Resilient Enterprise”, Prof. Yossi Sheffi,2005.10, The MIT press

5