BCMS規格
ISO22301 JIS Q22301の動向

２０１５年１１⽉１３⽇
小野高宏
1ISO：国際標準化機構（International Organization for Standardization)

総会
理事会（⽇本は常任理事国）

年⼀回開催

理事会理事国２０カ国

ISO中央事務局(CS)

138名(19カ国から）の職員で構成

技術管理評議会(TMB)
適合評価委員会(CASCO)
発展途上国対策委員会

専門委員会(TC)：236

分科委員会(SC)：508(DEVCO)

作業グループ(WG)：2564

消費者政策委員会(COPOLCO)

戦略諮問グループ（SAG）
専門諮問グループ（TAG）
標準物質委員会(REMCO)

2

ISO規格類

ISO規格類

国際規格（IS）
技術仕様書（TS）
公開仕様書（PAS）
技術報告書（TR）
国際ワークショップ協定
（IWA）
• ガイド

••
•
•
•

国際規格(IS)原案名称

新業務項目提案（NWIP）
作業原案（WD）
委員会原案（CD）
国際規格原案（DIS）
最終国際規格原案（FDIS）
国際規格(IS)

規格発⾏まで36ヶ⽉
3国際規格文書
国際規格（International Standard : IS）
コンセンサスのプロセスを経て開発された規定文書であり、DIS, FDISとしてISO会員及び当該委員会のPメンバーに承認されISO中央事務局によって発⾏された文書
技術仕様書（Technical Specification : TS）
標準化の対象がまだ作成段階であるが、他の理由から国際規格の発⾏に関する合意が将来的には可能としても、直ちには得られないという場合、TCまたはSCは、新業務項目提案の承認時に技術仕様書の発⾏が妥当であると決定できる。TSの発⾏には、TCまたはSCの投票Pメンバーの2/3の賛成票を必要とする。
公開仕様書(Publicly Available Specification : PAS)
国際規格の完成に先⽴って発⾏される中間仕様書であり、規格としての要求事項を満たしていない文書である。
リエゾン団体及びTCまたはSCのPメンバーはPASの提出を提案できる。
技術報告書（Technical Report : TR）
TCまたはSCが、通常は国際規格として発⾏されるものとは異なる種類のデータ(例えば、各会員団体で実施された調査データ、他の国際機関の作業に関するデータ、特定の主題に関する各会員団体の規格の「現状調査」のデータなどがふくまれる）を収集した場合、TCまたはSCは、投票Pメンバーの単純過半数を得た上で、これらのデータを技術報告書（TR）の形で発⾏するよう事務総⻑に要請することを決定することが出来る。この文書は、元々全くの参考のための文書であり、これが規定であることを暗示するような内容を含んではならない。この文書では、その主題に関する国際規格で取り扱われている、または取り扱われうる主題の強制規定的側面との関係を明確に説明しなければならない。

4

ISOにおける社会セキュリティ標準化の経緯
2001年 9月

米国同時多発テロ発生

2003年

米国国土安全保障省設立
ISOに対して社会セキュリティ関連の標準化を提案

2004年 1月

ISO/AGS (Advisory Group on Security)を設置

2005年 1月

ISO/AGS最終報告書①ISO/IEC SAG-Sの設置②セキュリティマネジメントシステム規格に関する標準化の検討③活動休止中のTC223（Civil Defense）の活用と活性化④Emergency PreparednessのIWA化推進⑤セキュリティに関する既存規格の把握及び規格開発の提言

2005年11月～

ISO/IEC/ITU-T/SAG-Sを設置、以下の決定を行った①規格作成にセキュリティの側面を導入するためのガイドラインを作成する②セキュリティマネジメント規格は認証を意図しないガイドラインとしてTC223で 検討する
③TC223の名称を変更（Civil defense →Societal security）し、活性化を図る④TC223で緊急事態準備よりも概念を拡大した“緊急事態準備及び事業継続” の規格化の検討を行う

2006年 5月～
2015年1月～

SAG-Sの決定を受け、ISO/TC223（社会セキュリティ）としての活動を開始（社会セキュリティ）としての活動を開始
セキュリティ関連のTCを統合したISO/TC292(セキュリティ）の一部として活動を開始
セキュリティ）の一部として活動を開始

2014年6⽉セキュリティに関連する他TC（TC247：不正防防⽌対策及び管理,PC284：⺠間警備サー
ビス,TC8：船舶及び海洋技術のサプライチェーンに関連する規格）の統合がISO/TMBにより決定され、TC292(セキュリティ）として2015年1⽉から活動を開始することとなった。
5

規格番号

2015年秋のステータス

タイトル

備考ISO
22300:2012Societal security -- Terminology

IS発⾏済

JIS Q 22300:2013

ISO22301:2012

Societal security -- Business
continuity management systems --Requirements

IS発⾏済

JIS Q 22301:2013

ISO22311:2012

Societal security -- Video-surveillance -Export interoperability

IS発⾏済ISO/NP 22311

Societal security -- Video-surveillance -Export interoperability

NWIP投票終了
賛成18、反対2

ISO/TR
22312:2011

Societal security -- Technologicalcapabilities

TR発⾏済ISO22313:2012

Societal security -- Business
continuity management systems -GuidanceIS発⾏済ISO22315:2014Societal security -- Mass evacuation -Guidelines for planning

IS発⾏済ISO/CD 22316

Societal security -- Organizational
resilience -- Principles and guidelines

CD

ISO/TS 22317

Societal security -- Business
continuity management systems -Guidelines for business impactanalysis (BIA)

TS発⾏準備中

ISO/TS 22318

Societal security -- Business
continuity management systems -Guidelines for supply chain continuity

TS発⾏準備中

ISO22311の改訂

JIS Q 22313:2013

投票期間中
投票期限：２０１５年10月４日

6

ISO/CD 22319

ISO/AWI 22320
ISO22320:2011

Societal security -- Guidance for involving
volunteers in the response to major
incidents
Societal security -- Emergency
management -- Requirements for incident
response
Societal security -- Emergency
management -- Requirements for incident
response

CD

投票締め切り
投票結果待ち作業項目として登ISO22320の改訂
録
IS発⾏済

JIS Q 22320:2013

ISO22322:2015

Societal security -- Emergency
management -- Guidelines for publicwarning

IS発⾏済ISO22324:2015

Societal security -- Emergency
management -- Guidelines for colour-codedalertsIS発⾏済ISO/DIS 22325

Societal security -- Emergency
management -- Guidelines for emergency
management capability assessment

DIS

ISO/TR 22351

Societal security -- Emergency
management -- Message structure forexchange of information

TR発⾏準備中

ISO22397:2014Societal security -- Guidelines forestablishing partnering arrangements

IS発⾏済ISO22398:2013

Societal security -- Guidelines for exercises

IS発⾏済

JIS Q 22398:2014

NWIP投票期間中

投票締め切り：2015年10⽉9⽇

NWIP
ISO/AWI 20151

Societal security - Guidelines for
information exchange between
organizations
Societal security -- Emergency
management -- Guidance for monitoring offacilities with identified hazards

NWIP可決DIS投票期間中
投票締め切り：2015年11⽉2⽇

7

検討体制

統合前
TC223/WG1
社会セキュリティフレームワーク
TC223/WG2

用語統合後
TC229/WG1
用語

TC229/WG2
事業継続とレジリエンス

TC223/WG3 危機管理

TC223/WG4

TC223/WG5

事業継続

ビデオ監視（解散）TC223/WG6

TC229/WG3
危機管理TC229/WG4
不正防⽌対策及び管理

集団避難

TC247 不正防⽌対策及び管理

PC284 ⺠間警備会社オペレーショ
ンの品質管理TC8 船舶及び海洋技術
ISO28000

TC229/WG5
公共とコミュニティのレジリエンス

TC229/WG6
セキュリティ

8

ISO 22301 BCMS

Certifications
StandardTitle

Number ofCertifications
2014

ISO 9001

QMS

1,138,155

ISO 14001

EMS

324,148

ISO 50001

Energy MS

6,778

ISO/IEC 27001

ISMS

23,972

ISO 22000

Food Security MS

30,500

ISO 22301

BCMS

1,757

9

ISO 22301 BCMS Requirements 2012年発⾏（JISも発⾏）
ISO 22313 BCMS Guidance
2012年発⾏（JISも発⾏）
ISO 22301は、マネジメントシステム規格を書くための新しいISOフォーマット（付属書SL）に沿って出版された最初の規格である。これは、理解を容易にし、ISO 9001
（品質マネジメントシステム）、ISO 14001（環境マネジメントシステム）及びISO/IEC 27001（情報セキュリティマネジメントシステム）など、他のマネジメントシステムとの⼀貫性を確実にする。
• ISO 22301の改訂の議論（改定の必要性／ニーズ）• ISO22313との整合について• ISO 22301の中小企業への適用可能性の検証• ISO 22301の業種別規格の必要性• 不要な規格の増殖の懸念（ユーザーへの負担）10

ISO22301

ISO22313

11

ISO 22316（Organizational Resilience Principles & Guideline）
••
•

•
•
•
•
•
•

組織のレジリエンス、それを構築維持するための原理原則を示したガイドライン
イスラエルが提案、途中で豪州に変更
当初ISO 22323（Organizational resilience management systems – Requirementand guidance for use）として開発されていたが、ISO22301と類似しており、ユーザーに混乱を与える、原案の成熟度が低いなど(特に規格の範囲、定義等)の理由から2012年のボゴタ総会で本プロジェクトをキャンセルとして、指針規格とすることを提案。
MSS（要求事項）ではないことで合意。
英国BS65000“Organizational Resilience”が2014年11⽉に出版されている
ISO 31000 Risk Management との差が不明確。
レジリエンスとリスクマネジメントとの差異は
TC 262の“(Disaster Risk Management) Managing Disruptive Risk”との棲み分け
2014年4⽉に豪州からANSI/NZS 5050:2010をベースに提案。
本規格の利用価値（有用性）

12

13

ISO/TS 22317（Business Impact Analysis）
ISO 22301の要求事項である（第8.2項）、事業影響分析（BIA）を実施するための（国際的な適正慣⾏に基づく）ガイダンスを提供する。
本文書は、組織の種類、場所、規模及び性質にかかわりなく、すべての組織に適用可能なように意図。されている。
米国提案
BIAのガイダンス文書（TS）の位置づけ。
ISO22301を補完するガイダンスに留まらずスタンドアローンとして使用できる文書。

14

1

Scope ...................................................................................................................................................... 82

Normative references ........................................................................................................................... 83

Terms and definitions ........................................................................................................................... 84
4.1
4.2
4.2.1
4.2.2
4.3
4.3.1
4.3.2
4.4
4.5

Prerequisites.......................................................................................................................................... 8General ................................................................................................................................................... 8
BC Programme Context and Scope .................................................................................................... 2
BC Programme Context ........................................................................................................................ 2
Scope of the BC Programme ............................................................................................................... 2
BC Programme Roles ........................................................................................................................... 2
BC Programme Roles and Responsibilities ....................................................................................... 2
BIA Process-Specific Roles and Competencies ................................................................................ 2
BC Programme Commitment ............................................................................................................... 4
BC Programme Resources................................................................................................................... 45
5.1
5.2
5.2.1
5.2.2
5.35.4
5.5
5.6
5.7
5.8

Performing the Business Impact Analysis ......................................................................................... 4Introduction ........................................................................................................................................... 4
Project Planning and Management ..................................................................................................... 6
Introduction (overview) ........................................................................................................................ 6
Initial BIA Considerations .................................................................................................................... 6
Product and Service Prioritization ...................................................................................................... 7
Process Prioritization ......................................................................................................................... 10
Activity Prioritization .......................................................................................................................... 10Analysis and Consolidation ............................................................................................................... 13
Obtain Top Management Endorsement of BIA Results .................................................................. 14
After the BIA – Business Continuity Strategy Selection................................................................. 156

BIA Process Monitoring and Review ................................................................................................ 15Annex A (informative) Business Impact Analysis within an ISO 22301 Business Continuity
Management System .......................................................................................................................... 18
Annex B (informative) Business Impact Analysis Terminology Mapping.................................................. 19
Annex C (informative) Business Impact Analysis Information Collecting Methods ................................. 20
Annex D (informative) Other Uses for the Business Impact Analysis Process ........................................ 26

15

ISO/TS 22318 （Guidance on supply chain continuity）
••••

•
•

ISO 22301及びISO22313を補完し、事業継続マネジメントの中で、物品及びサービスのための外部サプライチェーンや社内サービスの取り決めの評価などについて標記すべての種類及び規模の組織に適用可能である
英国提案 2011年BSI・PD25222（Guidance on supply chain continuity）がベース
TC8のISO28001シリーズとの区別
本指針の位置付けは、あくまでBCMS事業継続マネジメントシステムを支援する用途に限定し、BCMSなどと同レベルで新たなマネジメントシステムが出来るとの誤解を与えないよう留意する。
英国規格：BS/PAS7000（Supply Chain Risk Management）を2014年に発⾏。
TC262でANSIよりN160 “Supply Chain Risk Management”（元ASIS文書）がNWIP（2014年9⽉提案。投票結果：承認）（未活動？）16

4

Why supply chain continuity is important ...........................................................................

4.1

Introduction ......................................................................................................................................................

4.2

Describing the supply chain ...............................................................................................................................

4.3

Dynamics of supply chains ................................................................................................................................

4.4

The essentials for SCCM ................................................................................................................................

4.5

Benefits of effective SCCM ................................................................................................................................

4.6

Challenges to effective SCCM ............................................................................................................................

4.7

Key points of Clause 4: Why supply chain continuity is important ................................................................

5

ANALYSIS OF THE SUPPLY CHAIN ...........................................................................................

5.1

Introduction ......................................................................................................................................................

5.2

Considerations for analysing the supply chain ................................................................................................

5.3

Define the approach ................................................................................................................................

5.4

Structure of the analysis ................................................................................................................................

5.5

Conducting the analysis ................................................................................................................................

5.6

Output of Analysis ...........................................................................................................................................

5.7

Key points of Clause 5: Analysis of the supply chain ........................................................................................

6

SCCM STRATEGIES ...............................................................................................................

6.1

Introduction ....................................................................................................................................................

6.2

Continuity Strategy Options ............................................................................................................................

6.3

Including SCCM capability into a supply contract.............................................................................................

6.4

Ownership of SCCM ................................................................................................................................

6.5

Key points of Clause 6: Considering options: developing strategies ................................................................

7

MANAGING A DISRUPTION IN THE SUPPLY CHAIN ...............................................................

7.1

Introduction ....................................................................................................................................................

7.2

Before an incident happens .............................................................................................................................

7.3

Incident detection and notification..................................................................................................................

7.4

During an incident ...........................................................................................................................................

7.5

Return to business as usual .............................................................................................................................

7.6

Key points of clause 7: Managing a disruption in the supply chain ................................................................

8PERFORMANCE EVALUATION ..............................................................................................

8.1

Introduction ....................................................................................................................................................

8.2

Engaging with suppliers ................................................................................................................................

8.3

Implementing a SCCM performance evaluation programme ...........................................................................

17

Business Continuity Management System Standard Family
Changed from TC223 to TC292

ISO / 22301:2012 BCMS -Requirements

ISO / 22313:2012 BCMS –GuidanceISO / TS 22317: 2015 BCMS –Guide for business impact
analysis (BIA)

New Proposal from UK - BS PD 25111:
Business continuity management - humanaspects of business continuity

ISO / TS 22318: 2015 BCMS –Guide for supply chaincontinuity

New Proposal from USA
BCMS Strategy

18

BCMS Strategy• Performing Business Continuity
Strategy Selection– Five Levels of Selection:• Response• Business Strategy – Product and Service• Business Continuity Strategy
Considerations/Constraints – Process• Alternate Work Processes (Tactics) –Activity• Alternate Resources– Analysis/Methods– Top Management Endorsement• After Strategy Selection – Plan
Documentation• Annexes:• Special
Considerations:• Pandemic• Data Breach• Industry
Considerations:• Manufacturing• Call Centers• Banking

BCMS - Human aspects of business continuity

20