BCMS適合性評価制度の概要
経営者と管理者のための事業継続の手引き

国際規格ISO 22301対応

BCMS

一般財団法人 日本情報経済社会推進協会

Business Continuity Management
1 BCMS適合性評価制度の目的

BCMS（Business Continuity Management System）適合評価制度（以下、BCMS制度という）は、国際的に整合性のとれた事業継続マネジメントシステムに対する第三者適合性評価制度である。組 織における重 要 業 務 が 継 続される仕 組 みが 確 立・維 持されていることを、国 際 規 格ISO22301の要求事項との適合性について、第三者である認証機関が評価を行うことで、利害関係者に対して保証する。BCMS制度の目的は次の通り。
●BCMSの普及・啓発活動を通じて、産業界における事業継続の取組みを拡大させること。
●わが国産業の健全な発展に貢献すること。
●BCMS：マネジメントシステム全体の中で、事業継続の確立、導入、運用、監視、レビュー、維持及び改善を担う部分。
※マネジメントシステムには、組織の構造、方針、計画作成活動、責任、手順、プロセス及び資源が含まれる。
（ 出典ISO 22301）

2 事業継続計画策定とBCMS構築の目的

地震や火災、新型インフルエンザといった自然災害、人的災害、取引先の破綻、システム障害等の脅威が発生した場合、事業継続を実現する上で影響を及ぼす様々なリスクに対してどのように対応を図っていくかは、組織にとって大きな課題である。
このような業務の中断・阻害に対応するために事業継続計画（BCP）策定が必要である。BCMSは、様々な環境の変化に対し、BCPを最新で有効に維持・管理する仕組みのことである。それぞれの目的は、次の通りである。

BCP策定の目的
脅威の発生に伴う事業の中断・阻害に対応し、経営者が望む時間・レベル内に重要な事業機能の継続を確実にすること。

BCMSを構築することの目的
事業の中断・阻害に対するBCPの運用を経営の仕組みと一体化させ、様々な環境の変化に応じた見直しを行い、効率的、効果的に維持・改善し続けること。
※事業継続計画（BCP）：業務の中断・阻害後に対応し、事業を復旧し、再開し、あらかじめ定められたレベルに回復するように組織を導く文書化された手順。
（ 出典 ISO 22301）

3 認証取得のメリット

BCMS認証を取得することで、主に以下のメリットを得ることが可能となる。
●BCMSの専門家である第三者からの認証を得ることで、対外的な信頼性が向上する。
●BCMS専門家からのBCMSに関する指摘を受けて、より有効なBCMSの構築・運用に向けた改善に結び付けられる。
●定期的な審査を受けることによりBCMSの形骸化を防止する。

1

System
4 BCMS制度の仕組み
BCMS制度のスキーム
BCMS制度の組織構成は、評価希望組織が認証基準に適合しているかを審査し登録する「認証機関」、審査員の資格を評価登録する「要員認証機関」、及びこれらの各機関がその業務を行う能力を備えているのかを審査する「認定機関」からなる。
申請

申請

認証機関

要員認証機関
審査（認定）

審査（認定）
評価

申請

認定機関

審査（認証）

承認

JIPDEC
情報マネジメント推進センター

審査員希望者

申請

証明書
発行
意見・苦情

評価希望組織

申請

受講

審査員研修機関

評価希望組織がBCMS認証を取得するまでの一般的な流れ
評価希望組織における認証申請から認証登録証発行までの流れを以下に示す。
BCMS認証審査（初回認証審査）
申請

契約第一段階審査

第二段階審査認証・登録認証機関に対し認証申請をする

見積りを承諾し、認証審査の契約を交わす

要求事項が文書化されているかの審査を受ける

B C ＭＳの運用状況の審査を受ける

合格すると認証登録となる

BCMS認証審査の区分
BCMS認証審査には、以下の区分がある。
初回認証審査組織が認証取得希望を初回に申請した場合に、初回認証審査が実施される。審査
結果が認証規格の要求事項に適合している場合に、認証登録される。

サーベイランス審査

認証登録は、初回認証審査の登録から3年間有効となる。そのため、認証登録後、（維持審査）

通常1年を超えないサイクルで組織が引き続きBCMSを有効に維持されているかどうかのサーベイランス審査が実施される。

再認証審査（更新審査）

初回認証審査から3年目には、組織が引き続き認証登録を維持する場合に再認証審査が実施される。

2

Business Continuity Management
5 BCMS認証基準
BCMS制度の認証基準
国際規格 ISO 22301は、BCMS制度において、認証を希望する組織の適合性を評価するための基準である。
●ISO 22301:2012 Societal security - Business continuity management systems - Requirements
ISO 22301:2012は、ISO Guide 83※に則して策定された、最初のマネジメントシステム規格であり、今後の全てのマネジメントシステム規格の共通領域と同じ用語及び条項構成が用いられる。ISO Guide83は規格策定者に対するガイドである。今後発行もしくは改訂されるマネジメントシステム規格は、全てISO Guide83に則して規格を策定することとなる。
※ISO Guide83の共通要素は、2012年5月1日に発行されたISO/IEC Directives（ 専門業務用指針）のSupplement（補足指針）の付属書SLに盛り込まれている。

6 BCMSの概要
ISO 22301の構成

事業継続
マネジメントシステムの継続的改善

Plan
4 組織の状況
5 リーダーシップ
6 計画
7 支援Do8 運用
8.1
運用計画及び管理
8.2
事業影響度分析及びリスクアセスメント
8.3
事業継続戦略8.5
演習及び試験の実施確立利害関係者

事業継続の要求事項

利害関係者
導入及び運用維持及び改善監視及びレビュー

8.4
事業継続手順の確立及び導入

Check
9 パフォーマンスの評価注）図中の数字は、ISO 22301の箇条番号を示している。

3

Act
10 改善

管理された
事業継続

System
ISO 22301のBCMSプロセスに適用されるPDCAモデルの説明
計画（確立）

組織の全般的方針及び目的に沿った結果を出すための、事業継続の改善に関連した事業継続の方針、目的、目標、管理手法、プロセス及び手順を確立する。

実行（導入及び運用）

事業継続の方針、管理手法、プロセス及び手順を導入し、運用する。

点検（監視及びレビュー） 事業継続の方針及び目的のパフォーマンスを監視し、レビューする。また、その結果をレビューのために経営陣に報告し、修正及び改善のための処置を決定し、承認する。
処置（維持及び改善）

マネジメントレビューの結果に基づいて是正処置を実施し、またBCMSの適用範囲並びに事業継続の方針及び目的を再評価することにより、BCMSを維持し、改善する。

ISO 22301「8 運用」におけるフェーズと内容フェーズ8.1 運用計画及び管理

内容
ISO 22301の要求事項に基づきBCPを作成・維持・管理していくための運用プロセスを決定する。

8.2 事業影響度分析及びリスクアセスメント【事業影響度分析】
組織が提供する製品・サービスが何らかのインシデントにより中断したと仮定し、その影響を様々な観点(法令、売上、経営戦略など)から評価。そしてどの業務をどの時点でどのレベルまで復旧する必要があるのかを明確にし、活動の優先付けをする。これらの決定は業務の依存関係や関連資源（人、情報、施設、ICTシステム、サプライヤなど）を考慮する。
【リスクアセスメント】
製品・サービス提供の中断を引き起こすリスクを特定。そのリスクの大きさを算定し、組織としてどのように対応していくのかの対応方針(リスクの破棄、受容、移転、軽減など)を決定する。

8.3 事業継続戦略

製品・サービス提供の中断を引き起こす可能性のあるリスクに対して、発生確率の低減、中断時間の短縮化、中断による影響の軽減など、復旧要求を満たす事業継続戦略を策定する。

8.4 事業継続手順の確立及び導入

製品・サービス提供の中断を引き起こす可能性のあるリスクが発生した際のBCPを作成する。計画には、以下の内容が挙げられる。
●インシデント対応体制の整備●通信手段の確保と組織内部・外部へのコミュニケーションの確立●設定した時間枠内で業務継続、または復旧するための手順の確立●メディアへの対応●インシデント終息後の活動

8.5 演習及び試験の実施作成したBCPが組織の目標を満たすものであることを、演習及び試験を実施して確認する。
演習及び試験は組織が定めた範囲と目的に合致している形で実施し、BCPの妥当性を確認し、終了後は、改善につなげるための活動を行う。
また演習及び試験はあらかじめ定めた間隔で、組織内もしくは必要に応じて外部提供先なども含めた形で行う。

4

Business Continuity Management
7 BCMS適合性評価制度の基準・手順・ガイド等■ 認証関連文書
文書名ISO 22300

内容
社会セキュリティ

社会セキュリティに関する用語の定義について規定したもの。

社会セキュリティ

効果的な事業継続マネジメントシステム（BCMS）を策定し、運−用語

ISO 22301−事業継続マネジメントシステム−要求事項営するための要求事項を規定したもの。BCMS制度の認証基準である。

ISO/DIS 22313

社会セキュリティ−事業継続マネジメントシステム−指針

組織が業務の中断・阻害に備え、対応し、復旧するための文書化したマネジメントシステムの計画、確立、運用、監視、レビュー、維持及び継続的改善の国際的なベストプラクティスに基づくガイダンス。

ＢＣＭＳユーザーズガイド

BCMSの構築を検討もしくは開始している組織において、実際−ＢＳ ２５９９９-２：２００７ 対応−にBCMSの構築に携わっている担当者 あるいはその責任者、（ＪＩＰＤＥＣ発行）

そ し て 経 営 者 を 対 象 とし た ガ イド。BCMSの 規 格 で あ る
BS 25999-2に則して解説をしており、BCMSを理解する上での一助となり、BCMSを構築・運用する上で参考となる解説書。
【ISO 22301対応のガイドは作成中である。】■ 認定関連文書
文書名内容

BCMS認証機関認定基準及び指針

BCMS認証機関の認定審査及び登録を行う際の認定基準及び（JIP-BCAC100-1.3）

この認定基準の要求事項に適用する指針。

IMS認証機関認定の手順

認証機関として認定を受けるための手順と、認定を申請する機（JIP-IMAC110-2.5）

関及び認定された機関の権利と義務について規定したもの。

BCMS審査員の資格基準に関する指針

各BCMS審査員（審査員補、審査員、主任審査員）についての資（JIP-BCAC401-2.0）

格要件を規定したもの。

BCMS審査員研修コース基準に関する指針

BCMS審査員研修コースの基準に対する指針を規定したもの。

（JIP-BCAC221-2.0）

備考：BCMS適合性評価制度の最新情報は、下記サイトを参照されたい。
（http://www.isms.jipdec.or.jp/bcms.html）

5

System
8 ISO/TC 223のWGとワークプログラム■ WG 1：社会セキュリティのマネジメントに関するフレームワーク（議長国：日本）
ISO 22397

社会セキュリティ ― 官民連携 ― 組織間協定構築の指針

ISO 22398

社会セキュリティ ― 訓練と試験の指針■ WG 2：用語（議長国：カナダ）
ISO 22300

社会セキュリティ ― 用語

■ WG 3：危機管理（議長国：ドイツ）ISO 22320

社会セキュリティ ― 危機管理 ― 危機対応に関する要求事項

ISO 22322

社会セキュリティ ― 危機管理 ― 警報

ISO 22324

社会セキュリティ ― 危機管理 ― 色コードによる警報

ISO 22351

社会セキュリティ ― 情報共有のためのデータ要素及びコード作成の一般原則

ISO/TS 22352

社会セキュリティ ― 情報共有のためのデータ要素及びコード

ISO 22325

社会セキュリティ ― 組織の緊急事態対応能力評価の指針■ WG 4：緊急事態準備と事業継続（議長国：オランダ）
ISO 22301

社会セキュリティ ― 事業継続マネジメントシステム ― 要求事項

ISO 22313

社会セキュリティ ― 事業継続マネジメントシステム ― 指針

ISO/PAS 22399

社会セキュリティ ― 緊急事態準備と業務継続マネジメントガイドライン■ WG 5：ビデオサーベランス（議長国：フランス）
ISO 22311

社会セキュリティ ― ビデオサーベランス ― データのエクスポートの相互運用■ WG 6：集団避難（議長国：英国）
ISO 22315

社会セキュリティ ― 緊急事態における集団避難

備考：最新情報は、日本規格協会下記サイトを参照されたい。
（http://www.jsa.or.jp/stdz/mngment/security03.asp）※凡例：
WG 作業グループ
IS 国際規格／ PAS 公開仕様書／ TS 技術仕様書※WGや規格の名称は仮訳※は既にISOとして発行されている規格

6

BCMS

● BCMS制度に関する問合せ先 ●〒106-0032

東京都港区六本木一丁目9番9号六本木ファーストビル内

一般財団法人日本情報経済社会推進協会（JIPDEC） 情報マネジメント推進センター

TEL 03-5860-7570 FAX 03-5573-0564
URL http://www.isms.jipdec.or.jp/
文書番号：JIP-BCMS120-1.1

一般財団法人 日本情報経済社会推進協会〒106-0032 東京都港区六本木一丁目9番9号 六本木ファーストビル内
TEL 03-5860-7551 FAX 03-5573-0560
URL http://www.jipdec.or.jp/
発行年月 2012年9月