◆GRS Risk Management Report February 2022
リスク環境の変化に対応した事業継続マネジメントの強化（後編）～今、事業継続マネジメント（ＢＣＭ）を見直す～＜目 次＞

１．後編のはじめに
２．ＢＣＭの見直し
２-１．ＢＣＭの見直しの必要性（１）新たなリスクの発現（２）重要事業の変化、重要業務手法の変化（３）組織の変化（４）ＢＣＭ・ＢＣＰ自体の実効性の問題
２-２．ＢＣＭの基本事項の見直し（１）重要事業・重要業務の見直し（２）目標復旧時間（RTO）、目標復旧レベル（RLO）の見直し（３）事業継続戦略の見直し
２-３．対象リスクに応じたＢＣＭの見直し（１）巨大地震（２）水災（３）感染症の流行

コラム１：テレワークの導入について（４）サイバーセキュリティリスク（サイバー攻撃）（５）結果事象アプローチ

３．ＢＣＭの継続的改善のための重要な運用プロセス
３-１．教育・訓練（１）教育・訓練とは（２）教育・訓練の実施計画の策定（３）教育・訓練の実施方法

コラム２：「訓練」と「演習」のちがい（４）教育・訓練によるＢＣＭの検証

３-２．見直し・改善（１）点検・評価（２）経営者による見直し（３）是正・改善

４．おわりに ～ＢＣＭを積極的な経営戦略に～

1

リスク環境の変化に対応した事業継続マネジメントの強化（後編）～今、事業継続マネジメント（ＢＣＭ）を見直す～＜＜ 要 旨 ＞＞◎ わが国でも多くの企業がＢＣＰの策定を含むＢＣＭに取り組んでいますが、事業継続能力の維持・向上のためにはＢＣＰの陳腐化やＢＣＭの実効性の低下を防ぎ、経営者をはじめ会社組
織全体が、ＢＣＭの継続的改善に取り組まなければなりません。
◎ さらに、企業を取り巻く経営環境・リスク環境が激変する今日においては、各企業は自社の経営戦略、事業計画を見直すとともに、ＢＣＭについても見直すことが急務となっています。新たなリスクの発現、重要事業の変化、組織の変化に自社のＢＣＭやＢＣＰが対応できているかという実効性の点検・評価と、その結果に基づく是正・改善が求められます。
◎ 重要事業や重要業務、目標復旧時間・目標復旧レベル、事業継続戦略などのＢＣＭにおける基本事項を見直す場合は、現行のＢＣＭによる事前対策の進捗状況などを正確に把握した上で、方針の策定や事業影響度分析といった計画段階のプロセスを再度やり直すことが必要です。
◎ ＢＣＭはあらゆる危機的局面に対応できることが基本的な考え方ですが、近年は、これまで想定してきたリスクと一括りにできないような特性を有するリスクの脅威が増しています。既存のＢＣＭやＢＣＰで対応が困難な場合は、これらのリスクが顕在化したときの発生事象をＢＣＭの対象に追加せねばなりません。その場合、各リスクの特性やリスク発現時の被害の特徴をよく認識した上でＢＣＭの見直しを行う必要があります。本レポートでは、対象リスクとして、巨大地震、水災、感染症の流行及びサイバー攻撃を採り上げ、それぞれのリスクごとにＢＣＭの見直しのポイントを挙げています。
◎ ＢＣＭの実効性の確保と継続的改善には「教育・訓練」のプロセスが大変重要です。教育・
訓練は、実施計画をもとに、体系的かつ効果的に実施される必要があります。教育・訓練の結果を次の機会に活用するという教育・訓練のＰＤＣＡと、浮き彫りとなった問題点をＢＣＭのプロセスとしての「見直し・改善」につなげるというＢＣＭのＰＤＣＡの両方のサイクルを廻すことが重要です。
◎ ＢＣＭへの取り組みは、事業継続能力の向上やステークホルダーとの信頼関係の構築などを通じて、企業にとっての競争力強化につながります。企業のレジリエンス経営への取り組みや社会的責任がより強く問われるこれからの時代において、企業には、守りとしてだけではなく、攻めの経営戦略としてＢＣＭに取り組むことが求められています。

2

１．後編のはじめに
本レポートの前編「実効性のある事業継続マネジメント（ＢＣＭ）とは」では、自社のＢＣＭ体制、既存の事業継続計画（ＢＣＰ）や事前計画などを見直す契機としていただくために、ＢＣＭやＢＣＰの概念、
ＢＣＭのプロセスを整理、確認しました（図表１、２）。

＜事業継続＞
どのような不測の事態に直面しても、事業継続計画（ＢＣＰ）の発動等により、重要な事業を中断させな
いこと、または中断しても早期に復旧させること●中断させない：「レベルの許容限界」以上の操業度を維持すること●早期復旧：「時間の許容限界」以内で、しかるべき操業度レベルで事業を再開させること＜事業継続マネジメント（ＢＣＭ）＞
どのような危機的な発生事象に直面しても重要な事業の継続を達成するためのマネジメント＜図表 １＞ 事業継続とは（ＢＣＰの発動による）（出所）内閣府防災担当「事業継続ガイドライン」 （令和3年4月）3ページ 図1.1-1「事業継続計画（BCP）の概念」

3

＜図表 ２＞ ＢＣＭのプロセス（出所）弊社作成

ＢＣＭを強化していくためには、経営者やBCM事務局、さらには会社組織全体が、既存のＢＣＭが自社の経営方針や事業戦略に沿ったものであるのか、策定したＢＣＰや実施している事前計画などがＢＣＭの基本
方針、目的等に照らして適切なものであるか、ＢＣＭ の適用範囲や対象リスクなどは妥当なものであるか、事業継続戦略や対策が有効なものであるかなどの点検・評価を怠らず、ＢＣＭの継続的改善に取り組まなければなりません。さらにまた、企業を取り巻く経営環境・リスク環境が激変する今日においては、各企業は自社の経営戦略、事業計画を見直すとともに、ＢＣＭについても見直すことが急務ともなっています。
では、実際にどのようにＢＣＭを見直していけばよいのでしょうか。今回は、「リスク環境の変化に対応した事
業継続マネジメントの強化」の後編としてＢＣＭの見直しについてレポートします。ＢＣＭの基本事項の見直しや対象リスクに応じた見直しについて、具体的なポイントを解説します。また、ＢＣＭの運用プロセスとしてＢＣＭの実効性の確保や継続的改善に大変重要な「教育・訓練」について説明します。さらに、「見直し・改善」についても、継続的に取り組むべきＢＣＭのプロセスとしての視点から再度整理して説明します。

4

２．ＢＣＭの見直し
本レポートの前編でも述べましたが、わが国では、既に多くの企業（大企業の約７割、中堅企業の約３割1）
が、ＢＣＰを策定しています。しかし、ＢＣＰを作ったことで、ＢＣＭを終了させてはいないでしょうか。ＢＣＰの実効性がいつまでも続くものではないということは、ＢＣＰの策定に携わったことのある方なら、実感として理解されていると思います。ましてや企業を取り巻く経営環境・リスク環境の激変する今日においては、ＢＣＰはもちろんのこと、事前計画まで含めた事業継続戦略・対策全体もそれぞれが有効に機能するかどうか等について早急に点検、再評価する必要があると思われます。また、今日ではめずらしいことではありませんが、経営戦略、事業計画自体が修正された場合にも、ＢＣＭを見直さなければなりません。その場合は、事業継続に関する基
本方針や重要事業・重要業務の選定の段階にまで遡って見直す必要があります。

２-１． ＢＣＭの見直しの必要性
まずはＢＣＭの見直しが必要となる主な具体的理由を例示します。ＢＣＭの見直しの動機づけとなるものですので、見直しの要否のチェック項目として整理、理解しておくことが重要です。

（１） 新たなリスクの発現レポートの前編で述べたように、ＢＣＭはいかなる発生事象にも対応するため、リスクごとの発生事象（原因
事象）ではなく被害の結果として起きる事象（結果事象）を起点にすることが重要です。しかし、様々な制約から、ある程度は原因事象を絞ってＢＣＭを展開している企業が多いのも事実です。その場合、想定していな
かったリスクが顕在化する可能性が高まってくればＢＣＭを見直さなければなりません。また、結果事象を起点にしていても、対象としているリスクに非常に大きな変化が生じた場合は、既存のＢＣＭやＢＣＰでは対応できな
い場合があります。これらはリスク環境の変化により、既存のＢＣＭの実効性が低下したケースにあたります。
① 自然災害の頻発化・被害の激甚化
地震の多いわが国では、多くの企業が、対象リスクとして大地震を想定し、ＢＣＭに取り組み、ＢＣＰを策定しています。2しかし、自然災害は地震だけではありません。特に近年では、地球温暖化の影響か、異常気象ともいわれる暴風雨が頻発し、毎年のように洪水や土砂崩れといった大きな被害をもたらしています。
また、地震に関しても、2011年の東日本大震災以降、政府は「想定外」をなくすために、被害想定の見直しを進めており、大地震の被害想定は拡大の方向で更新されています。さらに、かつては地震リスクが小さいと思われていた熊本3や北海道4で大地震が起き、建物の損壊、道路の陥没や大規模停電など企業の事業運営に大きな影響を及ぼすような被害が発生するなど、想定外の事態が発生しています。
1

内閣府防災担当「令和元年度 企業の事業継続及び防災の取組に関する実態調査」（令和 2 年３月）より

2 1 と同じ調査より。リスクを想定した経営を「行っている」、「現在検討中」とした企業の想定するリスクは「地震」（94.4％）が抜

きん出たトップで、以下、「火災・爆発」（51.2％）、「新型インフルエンザ等の感染症」（49.1％）となっています。
32016 年 4 月 平成 28 年熊本地震

42018 年 9 月 平成 30 年北海道胆振東部地震

5

② リスクの多様化
新型コロナウイルス感染症
2020年にパンデミックを起こした新型コロナウイルス（Covid-19）感染症は今なお終息が展望できていません。私たちの生命・生活への脅威であり、企業にとっては事業運営の大きな制約となっています。ＢＣＭが認知されるようになった2000年以降でも、SARS（2002年）、新型インフルエンザ A/H1N1（2009年）、
MERS（2012年）などが世界的に流行したので、感染症を想定したＢＣＰを策定している企業は少なくはありません。しかし、これらの感染症に比べて、現在流行している新型コロナウイルス感染症は、感染力や毒性（重症化リスクや致死率）等の観点から、より大きな脅威となっています5。医療体制の面だけではなく、経済・社会生活への影響も大きく、また長く続いているため、多くの企業が、事業継続のための新たな対応を迫られる事態となっています。6
人為的・社会的リスク
企業の事業運営を脅かすリスクには、人為的なものもあります。最近、発生確率、影響度ともにリスクが急速に増大し、大きな問題となっているのがサイバー攻撃です。デジタル化が進展する社会においては、企業が事業継続を考える上で、もはや避けては通れない対応必須のリスクであるといえるでしょう。この他、近年では、地政学的リスクや気候変動関連リスクなど世界規模、地球規模での社会的問題も、不確実性が高く、企業経営に大きな影響を及ぼす可能性があるリスクとして捉えられるようになりました。これらのリスクが顕在化した場合に起こりうるグローバルベースでのサプライチェーンの途絶やエネルギー価格の乱高下などは、通常の事業運営で対応できるレベルを超えた事業継続に関わる問題です。

（２） 重要事業の変化、重要業務手法の変化
ＢＣＭの目的は、危機的事象が発生しても、自社の経営上重要な事業を継続することであり、そのために必要な重要業務を継続・早期復旧させることです。企業にとって「重要事業」や「重要業務」が変わった場合や、「重要業務」に関わる運営手法が変わった場合には、実態に即してＢＣＭを見直す必要があります。
① 事業戦略の変更
ＢＣＰの策定時には重要事業であっても、マーケットの変化や技術の進歩、あるいは事業戦略・商品戦略
そのものの変化などにより、それが必ずしも優先的に事業継続すべき重要事業ではなくなることがあります。逆に、従来は重要事業として認識されていなかった事業や新規事業が重要事業となる場合もあります。こうした場合
は、ＢＣＭの最初のプロセスである「方針の策定」と「事業影響度分析」に立ち返って、重要事業および重要業務の選定からやり直す必要があります。最近は、商品・製品のライフサイクルが短くなっていますので、特定の製品の生産・販売を重要事業と定めている場合はＢＣＭの見直しのサイクルも短くせざるを得ません。
5

世界での推定死者数は、SARS 約 800 人、新型インフルエンザ A/H1N1 約 18.000 人、MERS 約 800 人に対して、新型コロナウイルス感染症は、約 588 万人（2022 年 2 月 21 日現在）となっています。

6

日本経済新聞 2022 年 1 月 27 日朝刊記事「事業継続へ企業奔走」によれば、アンケート調査した企業の 8 割以上が、事業継続計画（ＢＣＰ）を見直したか、見直しの必要性を感じると回答しています。

6

② 業務運営手法の変化
企業は、生産性の向上や効率化の観点から、デジタルの活用などにより、常に業務手法やオペレーション手順の改善に取り組んでいます。また、最近では、テレワークの浸透など、働き方そのものにも大きな変化が生じています。このように、重要業務は変わらなくても、その業務手法が変わった、あるいは変えた場合には、現状の復旧能力を測る「リスク分析・評価」をやり直し、それに基づいてＢＣＰや事前対策における具体的対策や対応マニュアルを見直す必要があります。

（３）組織の変化
企業は、経営環境の変化に対応すべく、経営戦略として、自社の組織を改革していきます。また、そうでなくとも、年月が経てば、拠点の改廃や人事異動により、組織が変わってくるのは当然のことです。このように組織が相当程度に変わった場合には、ＢＣＭを見直す必要があります。さらに、組織内部の変化だけではなく、重要業
務の実行に不可欠な委託業者やサプライヤーといった外部関係者の変化にも注意を怠ってはいけません。
ＢＣＭの推進体制やＢＣＰの実行手順において、誰が行うのか、この役割を担う部署はどこか、これは誰に依存しているのかなど、実行主体に関する事項はＢＣＭの実効性を確保する上で大変重要なものだからです。

（４）ＢＣＭ・ＢＣＰ自体の実効性の問題
上記の（１）から（３）は、リスク環境や事業運営体制など、ＢＣＭやＢＣＰの前提ともなる事項や状況の変化ですが、そもそも、既存のＢＣＭやＢＣＰ自体の実効性に問題はないのかという観点から、常にＢＣＭのあり方やＢＣＰ・事前計画の内容についての点検・見直しを継続させることが重要です。ＢＣＭの実
効性が十分でないとされる主なケースには以下のようなものがあります。なお、ＢＣＭのプロセスとしての定期的な「見直し・改善」については、「３．ＢＣＭの継続的改善のための重要な運用プロセス」で後述します。
① 限定的なＢＣＭの適用範囲（組織・業務）
ＢＣＭの対象とした組織や業務が一部にとどまっている場合には見直しが必要です。ＢＣＭ推進の過程で適用範囲に優先順位を定めている場合は、既存のＢＣＭを横展開させていけばよいのですが、そもそも「方針の策定」段階から、社内組織や業務全体をカバーした検討がなされていなかった場合は、重要事業・重要業務の選定から、早急に見直す必要があります。
② 事業継続戦略の欠落
防災活動は事業継続の観点からも大変重要なものですが、防災活動＝ＢＣＭ、防災計画＝ＢＣＰではありません7。ＢＣＭの目的は重要事業の継続です。しかし、ＢＣＰに、避難、安否確認、消火活動といった防災対応（初動対応）や緊急時の情報連絡体制など危機管理対応だけが規定され、「事業継続対応」に関する規定が欠落しているケースも多いように思われます。そうした場合は、ＢＣＰや事前計画、具体的対策の前提となる「事業継続戦略」がＢＣＭの目的に沿うように策定されているのか、再確認する必要があります。
7

ＢＣＭと防災活動の違いについては、レポート（前編）7 ページ 「＜図表４＞ 防災活動とＢＣＭの比較」を参照ください。

7

③ 事業継続戦略の具体化の未了など
重要業務の選定や、目標復旧時間・レベルの設定、事業継続戦略の策定など、ＢＣＭの基本的要素までは決定していても、事業継続戦略を実行する具体的対策や手順がＢＣＰや事前対策に織り込まれていない場合や、実際には実行が困難な対策が規定されている場合には、実効性のあるＢＣＭとはいえません。これら
は、「教育・訓練」等のプロセスを通じて、問題点を洗い出し、ある程度の時間をかけて改善していくべきものでもありますが、そもそもの事業継続戦略に無理や矛盾があるのであれば、思い切って、「方針の策定」、「事業影響度分析」など基本的要素を決定するプロセスをやり直すことも必要です。

２－２．ＢＣＭの基本事項の見直し
では、実際には、どのようにＢＣＭを見直せばよいのでしょうか。まずは、重要事業・重要業務、設定した目
標、事業継続戦略など基本事項を見直す場合について説明します。

（１）重要事業・重要業務の見直し① 事業影響度分析のやり直し
自社にとってどの事業が重要事業か、それを継続するための重要業務とは何かを選定するプロセスが、「事業影響度分析」（発生事象により事業が中断した場合の影響度の分析）です。このプロセスにおいて、自社の事業戦略、ＢＣＭの基本方針に照らしながら、自社に対してだけではなく、顧客、社会、市場等への影響も考慮に入れながら、優先して事業継続すべき重要事業と重要業務を選定します。重要事業や重要業務を見直す場合は、もう一度丁寧に「事業影響度分析」をやり直すことが求められます。
② あらかじめ重要業務を選定することが難しい業種・業態の場合取扱品目が非常に多岐にわたる卸売業や受注生産やOEMが中心のメーカーなどでは、自社の都合だけではあらかじめ重要業務を決めることが難しいケースもあると思われます。また、自社製品のライフサイクルが短い場
合に、重要業務を定めても見直しばかりが必要となり、あまり意味がないといったケースもあるでしょう。こうした場
合は、緊急時に重要業務を選定すること自体を「重要業務」とし、緊急時の状況（被害、受注・在庫、商品の季節性・地域性、顧客意向、仕入れ・原材料入手の可否等）に応じて、早期復旧・継続すべき重要業務の優先順位付けや当該重要業務の目標復旧時間・レベルの設定を行うとするのも一案です。ただし、その場合
も、緊急時には時間的・人員的な制約が極めて大きいと思われますので、重要業務の選択肢やその判断基準
をなどはあらかじめ準備・設定しておく必要があるでしょう。
③ 防災対応どまりのＢＣＰの場合
重要業務が、安否確認や負傷者救護といった防災対応に終始しているケースがあります。ＢＣＰが防災計
画にとどまっているのは、ＢＣＰ策定の労力を省いたというよりは、重要事業が選定できていないか、適切な事
業継続戦略が策定されていないケースがほとんどだと思われます。自社のＢＣＰが、防災対応（初動対応）にとどまっているならば、まずは、ＢＣＰの時間軸を事業継続対応にまで伸ばすことができるか、具体的な対応手順が策定出来るかどうかをチェックしてみましょう。それができないとすれば、重要事業は何かが社内でコンセン
8サスがとれていないか、事業継続戦略が欠落していると考えられます。その場合は「事業影響度分析」あるいは「事業継続戦略の検討・決定」のプロセスを再度やり直さなければなりません。

（２） 目標復旧時間（RTO）、目標復旧レベル（RLO）の見直し
ＢＣＭの目的は、重要事業を目標復旧時間（RTO：Recovery Time Objective）内に、目標復旧レベル（RLO：Recovery Level Objective）以上で復旧・再開することです。目標の水準があるべき水準より、低くてはＢＣＭが意味をなさなくなり、高すぎてどうしても達成不可能なものだと、ＢＣＭが絵に描いた餅になってしまいます。何らかの事情で、ＢＣＭやＢＣＰを見直す場合には、以下の点を意識した上で、常にRTOとRLOが適切な水準に設定されているかを確認し、必要に応じて修正することが重要です。
① 事前対策の進捗状況に合わせた目標の修正
RTOやRLOは現状において達成可能かどうかではなく、顧客や供給先の視点から、達成すべき水準を基準に設定しなければなりません。この設定した目標と現状とのギャップを埋めるのが、事前対策であり、事前対策の進捗状況に合わせて、目標を修正することも必要になります。もし、事前対策が計画通りに進捗していなけれ
ば、あるいはRTOやRLOを達成できるような適切な事前対策が策定されていなければ、その実態に合わせて目標を緩和せざるを得ません。しかし、その場合も、事業が中断している時間や操業度の低下が、許される許容限界を超えてはなりません。もちろん許容限界の安易な見直しは、ステークホルダーとの関係からもＢＣＭが意味を失うこととなるので認められません。許容限界内での目標設定ができない場合は、事業転換、再編、他社とのアライアンスなど経営戦略のレベルでの対応が必要となります。
② 目標設定の具体化
一方で、RTOが何の期限なのかがＢＣＰにおいて明確に規定されていない事例もあるようです。単に「復旧」せよといわれても、具体的に何をすればよいのかが、従業員などの実行主体に伝わらなければ、実効性を欠いた
ＢＣＰとなってしまいます。事業が中断した場合は、段階的に復旧させていくのが一般的ですから、重要業務ごとに時間（RTO）だけではなく、数量、仕様、取引先といったRLOも組み合わせて、目標を時系列で見える化しておくのが有効な方法です。
③ 重要事業の継続に直結する重要業務と目標の設定
RTOやRLOは中間的な目標であって、最終的な目的ではありません。RTOやRLOを達成しても、ＢＣＭ、ＢＣＰの目的である重要事業の継続・再開が目標内に達成されなければ意味がありません。したがって、RTO、
RLOは、重要事業の継続・再開の目標から逆算して、それに直結する重要業務についてそれぞれ設定することが重要です。その場合でも、いきなり高い水準や一律の設定が無理であれば、顧客や供給先との（事前の）コ
ミュニケーションなどを通じて、段階的にRTO・RLOを設定するのも有効な方法です。たとえば、「現状把握：
24時間以内」とするより、「納期限別受注状況と在庫量の確認：12時間以内、顧客承諾済（遅延可能分）
勘案後在庫カバー状況確認：24時間以内」とするほうが、実効性が高く、意味のある目標設定となります。

9

（３）事業継続戦略の見直し「事業継続戦略」は、事業継続についての基本方針・目標設定および現状把握の結果を、ＢＣＰや事前対策など具体的対策につなげるためのＢＣＭの中核となるものです。したがって、事業継続戦略を見直す場合には、ＢＣＭ全体の中で整合性がとれているのか、実効性のあるＢＣＭが維持されているのかといった視点を失ってはいけません。特に以下の点には注意が必要です。
① 組織の変更に伴う事業継続戦略の見直し
組織が大きく変更された場合は事業継続戦略の見直しが必要となる場合が多いと思われます。たとえば、生産性向上の観点などから、本社機能（管理業務等）や生産品種ごとの生産ラインの一拠点への集約を進め
ると自社の施設や拠点の範囲内では代替戦略8が採用できないようになってしまいます。この場合、現地復旧
戦略9を強化することや事前対策の再検討と実施の徹底を図ったり、あるいは、他社による代替など経営戦略レベルでの抜本的な代替戦略の策定が必要となります。
② 被害想定とRTO/RLOとの整合性確保
発生事象による被害の大きさによっては、RTO/RLOが達成できない場合があると予想されますので、現地復旧戦略には限界があります。したがって、目標達成が、企業経営上絶対であるならば、代替戦略の採用は不可
欠です。もし、代替戦略を現時点では採用できないのであれば、現地復旧戦略の限界（対応できる被害の程度など）を明らかにした上で、これを社内で（場合によっては対外的に）を共有しておくことが求められます。
ＢＣＭが実効性を有し、意味あるものとして展開されるには、事業継続戦略、被害想定、RTO/RLOの3つは常に整合性が維持されている必要があります。

２-３．対象リスクに応じたＢＣＭ見直し「２-１．ＢＣＭの見直しの必要性」で述べたように、既存のＢＣＭやＢＣＰでは対応が困難な新たなリスクが発現した場合、ＢＣＭを見直す必要があります。特に近年、これまで想定してきたリスクや発生事象と一括りにはできないような特性を有するリスクの脅威が増大しています。こうしたリスクをＢＣＭの対象に加える場合には、各リスクの特性やリスク発現時の被害の特徴（図表３）をよく認識した上でＢＣＭに取り組むことが重要です。本章では、いくつかの対象リスクごとに、ＢＣＭの見直しのポイントについて説明しますが、採り上げられなかったリスクをＢＣＭの対象とする場合も、そのリスクの特性やリスクが顕在化したときの被害の特徴を既存のＢＣＭが対象としてきたリスクとの違いを明らかにするように整理し、それぞれに対応させるようにＢＣＭやＢＣＰを見直すという手順を踏むことが重要です。

8

代替戦略：平常時で操業している拠点以外で、あるいは、平常時とは異なる調達ルートなどの業務プロセスを利用して、重要事業を継続・再開させる戦略をいいます。

9

現地復旧戦略：平常時に操業している拠点において重要事業を早期復旧・継続させる戦略です。事業継続戦略の詳細については、レポート前編 17 ページ「（４）事業継続戦略・対策の検討と決定」を参照ください。

10

＜図表 ３＞ リスク（原因事象）別被害の特徴（出所） 内閣府「防災白書」（各年度版）等を参考に弊社作成（１）巨大地震
東日本大震災以降、政府や専門家が想定する地震の被害想定は拡大の方向で見直しが続けられています。ＢＣＭを展開する多くの企業が、大地震を対象リスクとしていますが、自社のＢＣＭやＢＣＰが、「南海トラフ地震」や「首都直下地震」といった巨大地震にまで対応可能なものかどうか、今一度点検・確認しておく必要があると思われます。
① 被害の特徴 リスクの大きさ（発生確率、想定被害規模）＜南海トラフ地震＞
駿河湾から日向灘まで続く西日本太平洋側の海溝（南海トラフ）を震源域として発生する地震です10。
● 発生確率南海トラフのいずれかの領域でマグニチュード 8～9クラスの地震が、今後30年以内に発生する確率は70102017 年以前は、南海トラフ全体をひとつの震源域と捉えずに、東海、東南海、南海の各領域の地震として別々に評価・対策検討が行われていました。

11

～80％といわれています11。
● 想定被害規模
マグニチュード9.0の巨大地震の場合は、東北地方太平洋沖地震（東日本大震災）と比較しても、大きな被害が発生すると想定されています（図表４）。
＜図表 ４＞ 南海トラフ巨大地震想定被害規模の東北地方太平洋沖地震との比較（出所）内閣官房ナショナル・レジリエンス（防災・減災）懇談会第一回（平成25年3月5日）資料 6-2「首都直下・南海トラフ巨大地震の被害想定等に関する検討状況」（内閣府作成）４ページ
表 「東北地方太平 洋沖地震との比較」（一部 弊社編集）● 被害の特徴ⅰ）大きな津波
南海トラフ巨大地震の場合、浸水面積は 1,015㎢と東日本大震災 561㎢ の1.8倍の規模で、静岡県から宮崎県までの太平洋・瀬戸内海側の地域が津波によって甚大な被害を受けると想定されています。さらに、内閣府の資料12によれば、東北地方太平洋沖地震と比較しても、総じて想定される津波の高さ13は高く、到達時間14が短いと想定されており、地震発生後での津波避難の難しさが指摘されています。
ⅱ）広範な被災域
震源域が広いため、強い揺れに見舞われる地域も広くなり、被災域が広範囲に及ぶことが想定されています。複数の拠点や関連取引先の同時被災や行政による支援が停滞する可能性があります。
ⅲ）ライフラインの長期停止
電力、上下水道、ガスなどのライフラインの途絶が広範囲に及び、かつ長期化する可能性があります。また、物理的な損壊に加え、エネルギー供給の途絶から、物流や交通網への影響も大きく、長期化すると想定されます。

11

地震調査研究推進本部「今までに公表した活断層及び海溝型地震の長期評価一覧」（令和 4 年 1 月 31 日現在）

12

内閣府（防災担当） 「南海トラフの巨大地震による津波高・浸水域等（第二次報告）」（平成 24 年８月 29 日）

13 津波の高さ：最高で 34ⅿ（高知県幡多郡黒潮町）と想定されています。。東日本大震災では 16.7ｍ（岩手県大船渡市・推定）でした。
14

津波の到達時間：最短で 2 分（静岡県静岡市、焼津市）。東日本大震災では第一波到達までおよそ 30 分でした。

12ⅳ）後発地震
過去の南海トラフ地震では、最初の地震から、時間差をおいて後発地震が発生したものがあります。最初の地震がマグニチュード7.0以上であれば、その後7日以内に隣接領域でマグニチュード8.0以上の大規模地震が発生する確率は通常の数倍に、最初の地震がマグニチュード8.0以上であれば、通常の100倍程度になるとされています15。

＜首都直下地震＞● 発生確率1923年に起きた大正関東地震と同じタイプの相模トラフ沿い地震が今後30年以内に発生する確率は、
マグニチュード8クラスの地震は「ほぼ0～0.6％」と低いものの、マグニチュード7クラスの地震では「70%程度」とされています16。
● 想定被害規模
首都中枢機能を直撃する地震の場合の被害は甚大なものとなると想定されています（図表５）。
● 被害の特徴ⅰ）大規模火災
首都圏には、木造住宅の密集地域も多く、建物倒壊等により消防車の消火活動が困難になることも想定されるため、市街地火災が同時多発的に発生し、広範囲に延焼することが想定されています。
ⅱ）膨大な数の帰宅困難者
鉄道・バスなどの公共交通機関の停止によって多数の帰宅困難者が発生することが想定されます。さらに、建物の崩壊や道路の陥没、大規模火災等により、歩いての帰宅も危険になることや近隣避難所の収容能力が限界を超える可能性もあり、企業には従業員を無理して帰宅させず職場にとどまらせる対応も必要になります。
ⅲ）通信・ライフラインの長期停止
通信を含むライフラインは発災直後から広範囲にわたって寸断するものと思われます。通信については、物理的な被害だけでなく、アクセスの集中による混乱も見込まれます。また、これらライフラインの復旧には相当な時間を要すると想定されています。「政府業務継続計画（首都直下地震対策）17」によれば、停電、商用電話回線の不通及び断水は1週間継続、下水道の利用支障は1か月継続、鉄道の運行停止期間は、
地下鉄で1週間、ＪＲ及び私鉄は1か月、主要道路の啓開18には1週間を要するとされています。

15

内閣府（防災担当）「南海トラフ地震の多様な発生形態に備えた 防災対応検討ガイドライン 【第１版】」（令和 3 年 5月 一部改定）より。なお、南海トラフの監視領域内でマグニチュード 6.8 以上 の地震が発生した場合は、地震および後発
地震に関する調査を行う「南海トラフ沿いの地震に関する評価検討会」が臨時に開催されることになっています。

16

地震調査研究推進本部「今までに公表した活断層及び海溝型地震の長期評価一覧」（令和 4 年 1 月 31 日現在）

17

「政府業務継続計画（首都直下地震対策）」は平成２６年３月２８日に閣議決定されました。

18

緊急車両等の通行のため、早急に最低限の瓦礫処理を行い、簡易な段差修正等により救援ルートを開けることをいいます。

13ⅳ）物資の不足
首都圏は大消費地であり、また大規模な港湾や空港のある物資供給の重要起点でもあります。被災直後からその後相当期間にわたって、生活や産業にとっての必要物資の深刻な不足が危惧されます。このこと
は、復興や、企業にとっての事業の復旧・再開の大きな妨げとなるものです。

＜図表 ５＞ 首都直下地震（マグニチュード７クラス 都心南部直下地震）の被害想定（出所）内閣府 中央防災会議 首都直下地震対策検討ワーキンググループ「『首都直下地震の被害想定と対策について（最終報告）』の概要 Ⅱ．被害想定」 より弊社が表を作成

14

② ＢＣＭ/ＢＣＰ見直しのポイント
上記①の巨大地震による被害の特徴を踏まえ、ＢＣＭの見直しのポイント例を図表６に示します。南海トラ
フ地震と首都直下地震では特徴に差異はありますが、共通する事項も多いため、対象リスクとしては「巨大地震」と一括りにして、それぞれの被害の特徴を織り込みながらＢＣＭを展開していくのがよいと思われます。

＜図表 ６＞ 巨大地震を対象としたＢＣＭの見直しのポイント（出所）内閣府「南海トラフ地震の多様な発生形態に備えた防災対応検討ガイドライン【第１版】」（令和3年5月一部改定）などを参考に弊社作成

15

（２）水災
水災とは、高潮・洪水・豪雨が引き起こす災害をいいます。わが国では、国土面積の10％程度の沖積平野の氾濫・洪水浸水想定地域に人口の１/２、資産の３/４が集中しているため、ひとたび大規模な水災が起きれば、甚大な被害が発生する可能性があります。治水対策の推進によって、河川の氾濫による浸水面積は減少傾向にあるものの、近年は、異常気象ともいわれるように、台風や暴風雨、集中豪雨が頻発し、規模も増大し、その脅威は増すばかりです。今や、水災は企業のＢＣＭにおいて、必ず対象としなければならないリスクのひとつであるといえます。
① 被害の特徴ⅰ）被害の地理的範囲
氾濫した河川周辺の低地一帯19、集中豪雨時の保水力の低下した都市部20、土砂災害の危険度の高い地域など、被災地の地理的な範囲は、他の地震等のリスクと比較した場合には小さいといえます。
ⅱ）被害を受ける重要要素
その一方で、浸水した範囲にあるものすべてに被害が及びますので、影響を受ける経営リソース（重要要素）は多岐にわたります。また、見た目の損壊はなくても、一度水に浸かる、あるいは濡れるだけでも故障や機能が低下する設備なども多いため、生産拠点への浸水の場合は被害が格段に大きくなる可能性がります。
ⅲ）被害を受ける期間
浸水が収まり、水が引いても、ⅱ）で述べたように、水に浸かった設備や建屋はすぐには使用できないため、復旧に長時間かかるケースがあります。また、被害を受ける地域の範囲が比較的小さいとはいえ、従業員の住居も被災しているケースが多いことや近隣の関連するライフライン施設が被害を受けている場合もあり、事業や業務の復旧には相当程度に時間がかかるものと思われます。土砂災害などで、道路が寸断しているような場合は、さらに影響が長期化するものと思われます。
ⅳ）予測可能性
水災に関しては、ハザードマップ等被害予測に関する資料・データが相当程度に整備されており、自社の被災の可能性や危険度、避難経路等をあらかじめ確認することができます。また、突然の積乱雲の発生による局地的な大雨の場合を除いて、水災をもたらす台風や暴風雨の到来は一定程度事前に予測することが可能です。水災のこうした予測可能性はＢＣＰや事前対策を策定する上で、重要なポイントとなります。
② ＢＣＭ/ＢＣＰ見直しのポイントⅰ）ハザードマップの確認
まずは、自社の対象拠点の立地について、浸水の危険性を確認することが重要です。そもそも浸水の危険
19

河川から水があふれることによって周辺地域に浸水する洪水を「外水氾濫」といいます。

20

集中豪雨などにより、市街地など当該地域の排水能力や保水力の限界を超えたため、地表に水が溢れ出す洪水を「内水氾
濫」といいます。

16

性が低い場合は、水災リスクへの対応優先度を他のリスクより劣後させたり、大きなコストのかかる事前対策を不要としたりすることが可能になるかもしれません。リスク分析・評価または事業継続戦略・対策決定のプロセスにおいて、ハザードマップ等を活用した浸水危険性の事前確認21は必須の手順です。
ⅱ）ＢＣＰに「直前対応」を追加
緊急時の対応計画であるＢＣＰには、発災直後の安否確認や被害状況の把握、指揮命令系統の確立などを中心とした「初動対応」と、その後の「事業継続対応」の2段階22に分けて対応策を規定することが重要ですが、水災に対しては、一定程度事前に発災の予測ができるので、ＢＣＰにおいて初動対応のさらに前に、図表７に記載したような「直前対応」策を規定することが可能です。この「直前対応」は防災・減災の観点からも大変有効な対応策となります。
＜図表 ７＞ 水災を想定したＢＣＰにおける「直前対応」策の例（出所）東京商工会議所「中小企業のための災害対応の手引き」等を参考に弊社作成

ⅲ）事前対策の見直し
いかに予測可能であるとはいえ、根本的な浸水防止対策やＢＣＰで活用する設備等については、当然ながら「直前対応」では対応できません。他のリスクと同様、事前対策を講じることが必要です。少しでも浸水すると被害を受ける重要要素が多岐にわたるため、これらをすべてカバーするような対策は、高所への移転や床面の底上げ、防水壁の設置など、敷地や建物レベルでの対策となり、どうしてもコストがかかります。リスク分析・評価を踏まえ、事業継続戦略決定のプロセスで、経営レベルでの意思決定が求められます。
21

河川を管理する国土交通省または都道府県が河川ごとに作成する洪水浸水想定区域図及びこれに基づき市区町村が作成したハザードマップの一部には外水氾濫のみを対象とし、内水氾濫は対象としていないものもありますので、注意が必要です。

22

レポート前編 21 ページ（５）① ⅱ）「初動対応と事業継続対応」を参照ください。

17ⅳ）地震想定のＢＣＰに準拠させる方法
水災により被害を受ける経営リソース（重要要素）は、大地震と共通するものが多いと思われます。既に、地震を想定したＢＣＰを策定済みの場合は、一からＢＣＰを見直さずとも、水災の予測可能という特徴を踏まえて「直前対応」を作成し、発災後の対応（「直前対応」以外の「初動対応」と「事業継続対応」）は、地震ＢＣＰに準拠させるという方法も一案です。

（３）感染症の流行
世界保健機関（WHO）が「パンデミック（世界的大流行）」と宣言してから、およそ2年が経過した今なお新型コロナウイルス感染症の被害が続いています。さらに最近は、感染力の強い変異株によりこれまで以上に感染が拡大しています。これを受けて、多くの企業が自社のＢＣＭ、ＢＣＰの見直しを進めています。感染症流行のリスクをＢＣＭの観点から今一度整理します。
① 感染症流行による被害と事業継続への影響の特徴
図表８に、感染症流行による被害と事業継続への影響の特徴を挙げました。地震や水害などの自然災害と異なる特徴は、専らヒトという経営資源への被害・影響であることです。まずは、自社内での感染拡大を防ぎ、従業員の生命を守ることが最優先事項となりますが、その結果発生する人手不足等の影響を乗り越えて事業を継続しなければなりません。
＜図表 ８＞ 感染症流行による被害と事業継続への影響の特徴（出所）弊社作成

18

そして、感染症リスクによる被害のより特徴的なことは、被害そのものが終息しない中で事業を継続させていかねばならないことです。自然災害の場合のように事後対応として事業継続対応を行うのではなく、長期間にわたって緊急時下の事業継続が求められます。さらには、自社内で事業の復旧・再開の態勢を維持できたとしても、自社でコントロールできない休業要請・需要低迷という逆境を乗り越えなければなりません。いかに企業として生き残るかという究極の事業継続能力が問われるともいえるでしょう。
② ＢＣＭ/ＢＣＰ見直しのポイント
ⅰ）人的資源への脅威への対策
感染症は一義的にはヒトへの脅威です。ＢＣＭ、ＢＣＰにおいても、まずは感染及び感染拡大の防止策を策定・実施することが重要です。
❶ 感染者を発生させない対策
・ 全社的な対策策定・・・マスク着用の徹底、ワクチン接種等に対する配慮、 情報共有体制の確立など
・ 出勤体制の見直し・・・テレワーク、時差出勤、交代勤務、サテライトオフィス
・ 職場での対策・・・三密の回避、オンラインの活用、都度・定期的消毒、接触機会の低減、来客者対応❷ 感染拡大を防止し事業を止めない対策
・ 報告ルールの徹底
・ 保健所等公的機関との連携
・ 濃厚接触者等の特定と待機指示
・ 代替要員の確保
・ テレワーク制度の定着化ⅱ）事業の継続の可否を判断する事業影響度分析
感染症の流行においては、その被害・影響が続いている中で事業継続に取り組まねばなりません。従業員という重要要素への直接的な影響としての人手不足、さらに法的・行政からの要請、社会的責任としての自粛など業務継続に対する様々な制約に対応せねばなりません。こうした状況においては、継続すべき業務への資源集中が必須となります。では、どの事業・業務を継続すべきなのかという点は、自社の商品・サービスに対する需要の変化も踏まえ、事業影響度分析を事業継続の可否を判断するという視点でやり直す必要があります。
ⅲ）業務の計画的縮小・休止
事業影響度分析のやり直しによって、事業継続すべきとあらためて判断された事業・業務以外の業務については縮小や休止が必要になる可能性があります。その場合、単に自社都合で事業を取りやめるのではなく、当該事業・業務の縮小・休止が自社及びステークホルダーに与える影響を極小化すべく、計画的に進めていくことが求められます。業務の縮小や休止を計画的に進めるのも、感染症に対応したＢＣＭの重要なプロセスです。

19ⅳ）リスクの特性を踏まえた事業継続戦略
長期の操業度の低下を余儀なくされる可能性のある感染症の流行を対象としたＢＣＭの事業継続戦略は、事業の継続（一般的な事業継続戦略）だけではなく、企業自体の存続、生き残りまでも目的として策定しておく必要があります（図表９）。
＜図表 ９＞ 感染症流行を想定した事業継続戦略の例（出所）弊社作成❶ 事業継続のための事業継続戦略
現地復旧戦略と代替戦略再選定された継続すべき事業・業務は、感染拡大を極小化しつつ継続します。感染症が流行している場合
でも、拠点や設備、インフラ関連は基本的に物理的には稼働・機能すると思われますので、自社の操業について、まず採るべき戦略は現地（復旧）戦略となります。もちろん、拠点は現行のままでも、対内外のオペレーショ
ンは、デジタル化やペーパーレス化により非接触型にシフトさせるといった代替戦略的な対応が必須です。また、
仕入先・サプライヤーが感染症の影響で操業を停止している場合もありますので、サプライチェーンについては、代替調達先の確保などの代替戦略を展開していくことも求められます。
出社率を織り込んだ戦略策定
今の新型コロナウイルス感染症がそうであるように、変異株の影響で感染者が爆発的に増加する局面が到来
し、従業員の欠勤率が急遽増加する場合があります。また、無症状でも感染者はもちろん、濃厚接触者も一定程度の出社の見合わせが求められますので、欠勤も含めた非出社率はさらに高まるものと思われます。療養20

が不要な場合は、在宅勤務にて勤務可能ですが、多くの企業では、出社する人員が一定程度必要な業務があるのが実情でしょう。そこで、欠勤率あるいは非出社率に応じて継続すべき重要業務や実施する対策を変更するような段階別の事業継続戦略を策定するというのも、ＢＣＭの実効性を高める有効な方法です。さらにいえば、こうした事業継続戦略は、欠勤率という結果事象を起点としたものとなるため、今後の新たな感染症の流行はもちろん、その他のリスクにも対応可能な事業継続戦略となりうると考えられます。
❷ 生き残りのための事業継続戦略
持久戦略
既に述べた通り、感染症の流行下においては、物理的には操業できても、行政からの要請、マーケット環境や社会的責任の観点から操業を停止せざるを得ないという事態が起こり得ます。休業しても、資金繰りを確保し、雇用を維持しながら、事態が改善するまで組織を持ちこたえさせるという「持久戦略」が必要となる場合があります。費用の削減、投資の先送り、新規雇用の抑制など閉塞感の伴う対策も必要になりますが、経営におけるムダを徹底的に見直す機会と捉え、会社全体で力を合わせて取り組まねばなりません。そのためにも経営者は感染症終息後の事業の方向性をしっかりと打ち出し、従業員に示していく必要があります。
事業転換という選択肢
さらに、影響の長期化やマーケット環境の著しい変化等により、パンデミック前の状況への回帰に期待が持てないような場合は、新たなビジネスモデルに活路を見出すという観点からも、「事業の転換」「新規事業の立ち上げ」も事業継続戦略の選択肢として打ち出していく必要があります。ただし、ＢＣＭの一環としての事業転換とは、まったく新しい事業を行うことだけを指すのではありません。飲食店がデリバリーやテイクアウトにシフトしたり、消費財メーカーが既存商品の仕様を家庭内での消費をコンセプトにしたものへ変更するといった、既存の事業に工夫を凝らす程度のビジネスモデルの変更が奏功した事例も多くみられます。
ⅴ）見直しの機会
感染者が大幅に増加する流行の波と波の間には、短いながらも時間的な間隔があります。この時間的猶予の中で、一度経験した対策・対応の効果を検証し、問題点があれば是正し、次の流行の波に備えることが重要です。非接触型の効率的なオペレーションに対応した什器・備品の整備、テレワーク制度等の拡充などは、感染症以外の他のリスク対応にも通ずる自社の事業継続能力の向上につながります。多くの制約がある中での対応となりますので、経営者自らが率先して現行のＢＣＭの見直しとそれに伴う業務の改革や対策の実施に取り組むことが求められます。

21

● コラム１：テレワークの導入について「働き方改革」の一環として注目されてきた「テレワーク」は、新型コロナウイルス感染症の流行により、急速に普及拡大してきました。テレワークは、感染症の流行のみならず、様々な発生事象に対して、事業継続を達成するための大変有効な手段となります。企業には、労使双方にとって望ましい良質なテレワークの導入、定着への取り組みが期待されます。2021 年 3 月に、厚生労働省が「テレワー
クの適切な導入及び実施の推進のためのガイドライン」を改定・公表していますので、そのポイントを紹介します。
＜図表 10＞ テレワークの適切な導入と実施推進のためのポイント
大項目

項目
総論

テレワーク導入の際の留意点

労務管理上の留意点

労働時間等

具体的なポイント● 良質なテレワーク：適切な労務管理と労働者の安心、生産性の向上● 円滑かつ適切な制度導入：労使間の十分な話し合いによるルールの制定

対象業務● テレワークの対象とする工夫、管理職側の意識改革● オフィス出勤者への負担偏重には注意

対象者● 労働者本人の納得● 雇用形態のみを理由とした対象者の選定は不可（各法令違反の可能性）● 在宅勤務以外に、サテライトオフィス勤務やモバイル勤務も検討● 出社との組合せによるコミュニケーションの円滑化（新入社員や異動直後など）望ましい取組● 業務の進め方の改革：ペーパーレス化、決裁の電子化等● 適切なコミュニケーションの促進：ソフトウェアの導入など

人事評価● 上司から部下に求める内容・水準の具体的な提示と認識の共有● 非対面での適正な評価の仕方について、評価者の訓練● 出社者との非合理的な区別評価は不可

費用負担● 労働者の過度な費用負担は不可。一定の費用支給も検討● 企業ごとの状況に応じた適切なルールづくりと明文化

人材育成● テレワークのための研修と、テレワークの利点を生かした研修の導入● 管理職のマネジメント能力の向上

柔軟な取り扱い● 労働基準法上のすべての労働時間制度でテレワークが実施可能● 労働者ごとの自由度、フレックスタイム制、事業場外みなし労働時間制も可

労働時間管理● 情報通信技術を活用した労働時間の円滑かつ適正な把握● 管理方法の事前明確化：客観的記録によるものか自己申告によるものか

テレワーク
特有の事象

● 中抜け時間：把握せずとも可。把握する場合は休憩時間とするなどの工夫● 長時間労働対策：時間外勤務についての適正な手続き。アクセス制限など

安全衛生● コミュニケーション活性化、健康相談体制の整備● 在宅の場合、作業環境のチェックリストを活用し問題はないかの確認と報告

労働災害● 労働契約上事業主の支配下にあるテレワークでの災害は労災保険の対象● 労働者本人による記録の保管

ハラスメント● オフィス勤務と同様に事業主にはハラスメント防止対策を講じる義務● テレワーク自体に関するハラスメントも当然に不可

安全衛生等

情報セキュリティ● 関連技術の進展状況等を踏まえ、一律のテレワーク除外は避け、解決法を工夫（出所）厚生労働省「「テレワークの適切な導入及び実施の推進のためのガイドライン」より弊社が表を作成

22

（４）サイバーセキュリティリスク（サイバー攻撃）
近年、グローバルベースで経済・社会のデジタル化やネットワーク化が進展する中、サイバー攻撃の増加や巧妙化などにより、サイバーセキュリティインシデントの発生件数が急増しており、その影響が深刻化しています。企業にとっては、IT、AIやビックデータの活用などサイバー分野での情報や技術の利活用は競争力の維持・強化のために不可欠なものとなっていますので、サイバー攻撃等のサイバーセキュリティリスクをＢＣＭの対象とすることが急務となっています23。
① 多発化・高度化するサイバー攻撃
サイバー攻撃件数の急増
サイバー攻撃関連の通信を調査・分析する国立研究開発法人情報通信研究機構（NICT）が発表した「NICTER24観測レポート2020」によると、2020年に日本国内ネットワークに向けられたサイバー攻撃関連通信は、年間合計5,001億パケットで、これは、前年比で1.5倍、３年前の2017年の1,504億パケットの3.3倍に当たります。10年前の2011年（約45.4億パケット）との比較では、110倍にまで達しており、近年のサイバー攻撃の激化がうかがえます（図表11）。
＜図表 11＞ 日本国内のネットワークに向けられたサイバー攻撃関連の通信数（出所）国立研究開発法人情報通信研究機構「NICTER観測レポート2020」のデータより弊社作成

23

サイバーセキュリティにおけるリスクマネジメントの詳細については、弊社 「GRS Risk Management Report September
2021：サイバーセキュリティとコーポレートガバナンス」を参照ください。

24

NICTER（Network Incident analysis Center for Tactical Emergency Response）は、NICT が研究開発している、コンピュータネットワーク上で発生する様々な情報セキュリティ上の脅威を広域で迅速に把握し、有効な対策を導出するための複合的なシステムです。

23

サイバー攻撃の巧妙化・高度化と被害の拡大
件数の増加とともに、サイバー攻撃の手法もますます巧妙化・高度化しています。たとえば、特定の組織を狙い撃ちにする標的型攻撃は、標的のサイバーセキュリティの脆弱性を逃さず衝いてくるようになっており、防御対策がなかなか追い付かない状況です。最近は、ユーザーの動作を介さずに直接組織内のシステムに侵入する、あるいは、痕跡を自ら消去し攻撃の早期検知を困難にする手法なども確認されています。また、身代金を要求するランサムウェアが多発しており、サイバー攻撃による経済的な被害も相当に拡大しているものと思われます。
② サイバー攻撃に対応したＢＣＭの必要性
サイバー攻撃の直接的な被害は、企業の情報システム等における不具合の発生による業務の停止ですが、その復旧・対応に要する時間を含めれば、相当程度の期間にわたって事業の中断が起こりえます。サイバー攻
撃はまさにＢＣＭの対象とすべきリスクです。しかし、以下のように、サイバー攻撃には、他の発生事象（インシデント）とは異質の特徴が多く、特別な対応が求められます。
ⅰ）広範囲にわたるインシデントの起点
企業の情報資産のすべてがサイバー攻撃の対象となり、インシデントの起点となる可能性がります。特に最近は、テレワークの普及に伴い、従業員による社外からのアクセスが増えており、インシデントの起点が拡張しています。さらに、従業員が使用する端末や社内システムに接続するためのVPN（仮想プライベートネットワーク）製品は概してセキュリティ対策が手薄であることが多く、これらを侵入経路としたサイバー攻撃が多く報告されています。セキュリティの弱い（脆弱性）インシデント起点が拡張していくことで、ＢＣＭとしての事前対策であるセキュ
リティ対策が追い付かず、リスク軽減に限界が生じているのが現状です。
ⅱ）困難な代替戦略
ウイルスの感染やシステムの不具合は急速に社内システムに拡散することから、共通のサーバーや基幹システ
ムを使用している限り、拠点や部署の地理的な分散は代替戦略としてはほとんど意味がありません。バックアッ
プデータやバックアップシステムを備えておくことはＢＣＭとして求められる対策ではありますが、全プロセスを完全に二重化した業務運営を行わない限り、バックアップシステムを現行システムから完全に遮断しておくことは不可能です。バックアップシステム自体もサイバーリスクに晒されているのです。
ⅲ）専門的知識・技能が必要
有事の際はもちろん事前対策においても、サイバー攻撃への実務的な対応には専門的知識や特別な技能が必要です。しかし、知識や能力を備えたサイバーセキュリティ人材は世界的にも不足しており、特にわが国では深刻な状況にあります 25。緊急時のＢＣＰや事前対策において、適切な対策を策定・実施すること自体が困難な状況です。また、こうした事情から、経営者がサイバーセキュリティを、外部の専門会社や数少ないサイ
バーセキュリティ人材が所属するシステム部門に任せきりにしているケースが見られますが、事業継続が全社的な対応であり、経営課題である点が軽視されていては、適切なセキュリティ投資や人材育成が進まず、いつまで経っても真の事業継続能力は向上しません。

25

総務省「令和 2 年版 情報通信白書 セキュリティ対策の課題」によれば、日本の企業の約９割が、サイバーセキュリティ人材が不足しているとしています。

24ⅳ）外部への波及
多くのサイバー攻撃は重要情報を不正に取得することを目的とすることから、サイバー攻撃を受けた結果、社内の機密情報や顧客情報といった重要情報が外部に漏洩する場合があります。情報漏洩が起きると、自社の経済的、社会的ダメージもさることながら、関係者に多大な迷惑をかけてしまうことになります。また、自社からのメールなどを通じて、取引先などのサプライチェーンに、マルウェア（コンピュータウイルスなどの不正なソフトウェアの総称）が拡散してしまうこともあります。このように、サイバー攻撃による被害は、適切な対応を欠くと、外部に波及してしまうという特徴があります。サイバー攻撃にあっても、外部の二次的、三次的被害を防止、回避する対策をＢＣＰ等に織り込んでおく必要があります。
③ ＢＣＭ/ＢＣＰ見直しのポイントⅰ）サイバーセキュリティマネジメント体制の構築
サイバー攻撃などのサイバーセキュリティリスクに対応するには、システム上の脆弱性を軽減するためのシステム
投資が必要となります。また、専門性を有する組織の整備やサイバーセキュリティ人材の育成にも相当な時間と費用がかかります。これらの会社の当面の業績向上には直結しないような投資やコストは、高度な経営判断なくしては進められず、経営者が率先して、サイバーセキュリティマネジメント体制を立ち上げることが求められます。そして、この体制をＢＣＭに組み込んでいかなければなりません。具体的には、ＢＣＭ事務局がサイバーセ
キュリティの推進チームと連携しながら、ＢＣＭを展開していくことになります。
ⅱ）事前対策の更新（技術的対策の効果）
インシデントの起点が広がり、限界があるとはいえ、事前対策として、技術的なセキュリティ対策を講じておくことはサイバーセキュリティマネジメント及びＢＣＭにおいて必須の事項です。サイバー攻撃は巧妙化していますが、セキュリティ関連技術も進化しています。常にサイバー攻撃に関する政府や関連機関からの通知や報道などの情報には注意を払い、自社のセキュリティレベルの点検を怠らないようにする必要があります。ソフトウェアの製作者が発見した脆弱性を修復する前に攻撃を仕掛けてくるゼロディ攻撃まで完全に防ぐことは難しいですが、使用するソフトウェア（OSやアンチウイルスソフトなど）は常に最新の状態に更新しておくことがセキュリティ対策の基本です。以下に、技術的対策の具体例をいくつか挙げます。
❶ 境界線防御マルウェアなどの脅威の侵入を境界線で防ごうとする対策で、入口対策ともいいます。これまでのセキュリティ対策の中心となっていた対策です。具体的にはファイアウォール、ウイルス対策、IDS／IPS（不正侵入検知・防御システム）などの導入ですが、最近は、より強固な境界線防御策として、これらを組み合わせて、システムやネットワーク内に複数のセキュリティ対策を講じる「多層防御」が主流となっています。
❷ ゼロトラストセキュリティ
近年は、クラウド型情報システムの発展やリモートワークの普及などにより、ネットワークの境界線があいまいになり、境界線防御が難しくなってきました。そこで、「ネットワークのどこも信頼できず、マルウェアの侵入は不可避である」とする「ゼロトラスト」という考え方に基づき、内部にマルウェアが侵入したとしても、情報資産を守ろうとする

25

対策が重要視されるようになりました。これらは、内部対策とも呼ばれ、無権限者のアクセスに警報を発する「ログ監視」や重要情報の「ファイル暗号化」などがあります。さらに、最近はテレワークや従業員の携帯業務用端末の使用の普及・拡大により、個々の端末・デバイスやそこに保存されている情報をサイバー攻撃から守る「エンドポイントセキュリティ対策」も注目されるようになりました。
❸ 出口対策サイバー攻撃の被害を、社内のシステム機能低下などの内部被害に抑え、情報漏洩や外部への感染拡大を防ぐ対策です。平常時からの内部から外部への通信監視システムの整備やマルウェアによる不正通信を検知し、自動的に遮断するような仕組みを設けることで、より大きな二次的、三次的被害の発生のリスクを軽減することができます。
❹ 情報データ・情報システムのバックアップ
通常使用しているシステムやデータベースに不具合が生じても、代替のシステムやデータベースが使用できれば、業務の中断は最小限度で収まります。ＢＣＭとして、バックアップを常時更新しておくことは大変有効な対策です。しかし、既に述べたように、サイバー攻撃の場合は、このバックアップシステム・データにまで侵入してきますので、
現行システムとの遮断性も考慮しなければなりません。バックアップシステムを現行システムから常に遮断しておくことは不可能ですから、バックアップ対策には限界があることは認識しておく必要があります。
ⅲ）インシデント対応ができる体制整備
かつてのサイバーセキュリティ対策は、情報資産を脅威から守るという防御を中心とするものでした。しかし、近年は、完全な防御は不可能で、脅威の侵入は不可避であるとの前提に立った、発生したインシデントへの対応
プロセスを重視する考え方が主流となってきています。ＢＣＭのプロセスでいえば、緊急時に発動するＢＣＰの中の初動対応を重視する考え方です。しかし、サイバー攻撃に対する初動対応には高い専門性が必要です。そのため、他の自然災害用のＢＣＰの初動対応のように、従業員の誰もが実施できることを目指すのではなく、
CSIRT26と呼ばれる専門部隊の編成やシステムセキュリティ会社との契約を行う企業も増えてきています。
参考になる情報として、米国立標準技術研究所（NIST）が、インシデント対応重視の考え方を取り入れ、2014年に「サイバーセキュリティフレームワーク」を公表しています。このフレームワークでは、平常時には「特定」、「防御」のプロセスを進め、インシデントが発生した緊急時には、「検知」、「対応」、「復旧」にあたることができるよ
うな体制を整備しておくことが推奨されています（図表12）。
ⅳ）事業継続対応ⅲ）では、インシデント対応（ＢＣＰの初動対応）に復旧のプロセスまで含めましたが、システム・ネットワー
クの復旧がＢＣＭで設定した目標復旧時間・目標復旧レベルをクリアするのであれば、復旧を待つのも一つの判断です。しかし、もし、それが難しいと判断した場合、あるいは復旧を待つ間も業務の継続が必要と判断した場合は、以下のような対応が必要になります。

26

CSIRT:：Computer Security Incident Response Team の略。サイバー攻撃などサイバーセキュリティインシデントに対応する専門的実働部隊の総称です。

26

❶ 代替ネットワークや機器の活用
平常時に使用する社内システムが使えない場合は、マルウェアに感染していないなど、正常に機能することを確認の上、バックアップシステムなどの代替システムを稼働させます。この他、従業員個人のスマートフォンの活用
や、安否確認システムなど外部に委託しているシステムによる代用なども考えられますが、その場合、情報保全
やコンプライアンスの観点から、実際の使用ルールを事前に十分吟味しておく必要があります。
❷ 情報システムによらない事業継続
代替システムの使用が難しい場合は、ローテクの活用や人海戦術による事業や業務の継続が必要となります。事務処理能力の低下は避けられないので、業務に優先順位をつけて対応します。優先順位づけのルール
やオフラインの作業シートの整備など生産性の低下を極力抑える方策などを平常時より考案、準備しておくことが重要です。

＜図表 12＞ サイバーセキュリティインシデント対応のプロセス（出所）米国立標準技術研究所（NIST）「サイバーセキュリティフレームワーク」等を参考に弊社作成

27

（５）結果事象アプローチ
以上、（１）～（４）で見てきた対象リスク別のＢＣＭやＢＣＰについては、それぞれのリスクの特異性に鑑み、それぞれ別建てのものとして展開するのも一案ではあります。しかし、前編のＢＣＭのプロセス「事業継続戦略・対策の検討と決定」において述べたように、それではＢＣＰや具体的対応策の策定あるいはＢＣＭのメンテナンスに膨大な労力とコストを要することから、ＢＣＭの取り組みやＢＣＰの策定はできるだけ結果事象を起点にすることが望ましいのは間違いありません。本章の最後に、対象リスクごとのＢＣＭ、ＢＣＰの見直しの結果や決定事項を結果事象アプローチへ織り込んでいく場合の考え方や手法をいくつか紹介します。
① 共通項目の確認
企業にとって、経営戦略や市場環境が大きく変わらない限り、継続すべき重要業務やその復旧の目標は、原因事象によって変わることはまずないでしょう。したがって、ＢＣＭプロセスの「方針の策定」や「事業影響度分析」
を共通化することはそれほど困難ではないと思われます。一方で、それ以降のプロセスである、一定程度は対象リ
スクごとに分析が必要な「リスク分析・評価」や、その結果を受けて策定する「事業継続戦略・対策の検討と決定」において、いかに、結果事象アプローチの視点を維持できるかが重要になります。共通化できる部分は極力共通化を図るようにします。
② 段階を設けた被害想定に対象リスクの違いを織り込む
発生事象により経営リソース（重要要素）が受けた被害の内容は、原因事象の種類によって異なってくるのは当然です。しかし、それらの重要要素が事業を継続させる上で、どの程度支障を来たしているのかという被害の度合いは、軽微、甚大、壊滅といった3段階程度でまとめることができる場合があります。被害の内容ではな
く、被害の度合いを想定して事業継続戦略・対策を策定するのは、結果事象アプローチとして有効な手法です。
③ 一定程度の原因事象別管理は許容ⅰ）ＢＣＰの初動対応
結果事象で括れないものは無理に共通化させず、既存のＢＣＰに追加しておくという考え方もあります。たとえば、水災の項で触れたように、予測可能であることで準備した「直前対応」だけは別管理し、その後のＢＣＰの手順は既存の地震ＢＣＰを援用するようなやり方です。概して、ＢＣＰの初動対応は、対象リスクごとに異なる部分が多いため、初動対応は対象リスク別に策定し、事業継続対応は共通化させておくというのも実戦的なＢＣＰといえるでしょう。
ⅱ）事前対策平常時に実施する事前対策は、時間的な猶予もありますので、一旦は共通化されたものを展開しながらも、できるだけ対象リスク別にリスクの軽減が図れているかを丁寧に点検し、足りなければ計画を見直し、追加の事
前対策を実施するようにします。

28

３．ＢＣＭの継続的改善のための重要な運用プロセス
ＢＣＭといえば、ＢＣＰの策定や事前対策の実施にばかり目が向きがちですが、ＢＣＭの実効性を確保し、継続的に改善していくためには、これらのプロセスと同等に、あるいはそれ以上に、「教育・訓練」や「見直し・改善」というＢＣＭの運用のプロセスが重要です。

３-１．教育・訓練
いざ、災害が発生したときに、行動を起こさなければならないのは、一部のＢＣＭ事務局メンバーだけではありません。すべての社員が、ＢＣＰに則り、あるいは自らが判断し、適切かつ迅速に自らの役割を果たすための行動を起こさなければなりません。ＢＣＭの実効性を高めるためには、全社員への教育・訓練が大変重要になります。また、このプロセスはＢＣＭの継続的改善に必要不可欠なＢＣＭの検証（問題点の洗い出しなど）の観点からも重要かつ有効なプロセスなのです。

（１）教育・訓練とは① 教育・訓練の必要性
ＢＣＭを実効性のあるものとするためには、事業継続の重要性を会社全体で共通の認識として持ち、その意識とＢＣＭに対する理解を会社の「風土」、「文化」として定着させることが重要です。そのためには、ＢＣＰなどの紙面等による周知だけでは不十分で、継続的な教育・訓練が不可欠です。
② 教育と訓練とはⅰ）教育
対象者（全社員）にＢＣＭの必要性、想定される発生事象（インシデント）の知識、自社の BCM の内
容、各自に求められる役割など、ＢＣＭに関する知識を習得させるためのものです。
ⅱ）訓練
教育で習得した知識を実践能力へ高めるためのものです。実際の（疑似）体験による身体感覚での知識
体得、手順化できない事項に対する意思決定・判断能力の鍛錬を目指します。また、ＢＣＰやマニュアルの検証（弱点や問題点の洗い出し）を主たる目的とすることもあります。
③ 留意すべき点
ⅰ）有事に備えることが目的
有事にはマニュアル等を再度読み直すだけの時間的余裕はないことが多いため、教育・訓練は対象者の「熟知」を目指します。しかし、それは一朝一夕には無理なので、有事の際にグループや班においてリーダーとなれる
ようなＢＣＰやマニュアルを熟知した要員をまず育成し、段階的に全体のレベルを上げていくのが現実的でしょう。

29ⅱ）自治体や関連他企業等との連携
有事には、地域や調達先、政府・自治体・指定公共機関等との連携が必要となる可能性が高いため、これらの関連する他の企業や組織との連携訓練を実施することが推奨されます。

（２）教育・訓練の実施計画の策定① 教育・訓練実施計画策定の必要性
目的を明確にしない場当たり的な教育や前回の反省点も生かすことなく漫然と同じことを繰り返すような訓練では意味がありません。教育・訓練を体系的かつ着実にレベルアップが図れるように実施するために、「教育・訓練の実施計画」を策定します。教育・訓練の実施計画は、ＢＣＰや事前対策の実施計画と同列に位置づけられる、ＢＣＭにおいて策定必須の計画のひとつです。
② 教育・訓練実施計画策定の流れ
教育・訓練実施計画は、以下のような手順を踏んで策定します。
ⅰ）平常時から順次実施すべき事項の詳細検討ⅱ）実施体制の構築・・・責任者の任命、リーダーの養成ⅲ）予算・必要資源の確保
ⅳ）詳細決定・・・目的、対象者、実施方法、実施時期等ⅴ）明文化・・計画策定（３）教育・訓練の実施方法① 実施のタイミング
教育や訓練は、定期的（規模に応じて、月次、半期、年次等）に行うことを原則とし、このほか体制変更、人事異動等により要員に大幅な変更があったとき、さらにＢＣＰの見直しを実施したときにも行います。
② 達成度の評価基準の設定
教育・訓練の有効性を評価するために、実施する教育・訓練自体の目標を明確に定め、その達成度を評価する方法・基準をあらかじめ決めておくことが必要です。また、教育・訓練の実施により洗い出された問題点や改善すべき点などは次回の教育・訓練に活用（教育・訓練の PDCA）し、着実なレベルアップを図ることが大変重要です。
③ 実施方法の例
教育・訓練の実施方法の例を図表 13 及び図表 14 に例示します。

30

＜図表 13> 教育の実施方法の例（目的別）＜図表 14＞ 訓練の実施方法の例（目的別）（出所）図表 13、14 ともに、内閣府防災担当 「事業継続ガイドライン」（令和３年４月）31 ページ
表 6.2.2-1 教育・訓練の実施方法の例（一部弊社編集）（４）教育・訓練による BCM の検証
教育・訓練によって、既存のＢＣＭ、ＢＣＰの弱点や問題点が浮き彫りになることがよくありますが、これこそが、教育・訓練のもうひとつの重要な意義です。場合によっては、ＢＣＭ、ＢＣＰの検証のために教育や訓練を実施しても構いません。発見された弱点、問題点といった課題を見直し・改善のプロセスへ持込み、ＢＣＭの継続的改善へつなげていきます。

31

● コラム２：「訓練」と「演習」のちがい
本レポートでは、内閣府防災担当が策定した「事業継続ガイドライン」に準拠し、一般的な分かりやすさを優先するため「訓練」と「演習」という用語の厳密な使い分けはしていません。しかし、国際標準化機構（ISO）の策定する国際規格 ISO シリーズなどを踏まえ、国際的には、両者は区別されることが多いようです。ここで ISO シリーズにおける用語の定義を確認しておきましょう。
（１）ISO22300 での定義（和訳は JIS Q 22300:2013 より）●訓練（drill）
ある特定の技能を練習し、複数回の繰返しを伴うことかが多い活動。
●教育訓練（training）
知識、技能及び能力の、学習及び育成を促し、ある任務又は役割のパフォーマンスを改善するために策定された活動。
●演習（exercise）
組織内で、パフォーマンスに関する教育訓練を実施し、評価し、練習し、改善するプロセス。
（注）演習は、次のような目的のために利用することができる。（一部抜粋）– 方針、計画、手順、教育訓練、装置又は組織間合意の妥当性確認– 資源の不足部分の特定「演習」の定義の中にも「教育訓練」の言葉が含まれており、混乱を招きそうですが、（注）などか
らも、一般的には「訓練」、「教育訓練」は、主に参加者の習熟度の向上を目的とし、「演習」は、対象となる制度や仕組みの妥当性や有効性の確認や評価のために行われるものとされています。
（２）ISO22301：2019 における「演習」
事業継続マネジメントに関する国際規格である ISO22301：2019 でも、上記の定義を踏まえ、ＢＣＰを含むＢＣＭの実効性の検証とそれによる継続的改善のために「演習プログラム」の策定と実施を要求しています（ISO22301:2019 8.5）。「演習」は、ＢＣＭの実効性を検証する
ためのプロセスとして規定されています。
本レポートでは、ＢＣＭの実効性を高めるためには、組織メンバーの習熟度の向上とＢＣＭの継続的改善のための検証の両方が大変重要なことであるとの考えから、「演習」の意味合いも含めながら、プロセスとしてはあえて「教育・訓練」としています。

32

３-２．見直し・改善
前章の 「２．ＢＣＭの見直し」において、リスク環境の変化等に対応するためのＢＣＭの見直しを説明しました。しかし、ＢＣＭの有効性の低下やＢＣＰの陳腐化を防ぐためには、ＢＣＭの見直し・改善は、リスク環
境や自社事業、内部、外部環境に大きな変化があったときだけではなく、定期的（年１回以上）に取り組まれるべきものです。本項では、定期的に実施することを念頭において、「見直し・改善」について、ＢＣＭのプロセスの一環であるとの視点からあらためて整理します（図表 15）。
＜図表 15＞ ＢＣＭのプロセスとＰＤＣＡサイクル「見直し・改善」のプロセスによって、ＢＣＭのＰＤＣＡサイクルが完成します。また、「教育・訓練」はそれ自体でＰＤＣＡサイクルを廻し、ＢＣＭのプロセスに組み込むようにします。

（出所）弊社作成（１）点検・評価
BCM 事務局が中心となって、BCP を含む BCM の内容や実施状況等について、定期的（年 1 回以上）に点検を行い、BCM の実効性を評価するようにします。点検・評価の対象やポイントを以下に例示します。
① BCP が本当に機能するかの確認
ＢＣＰの目的は、目標復旧時間（RTO）内での、目標復旧レベル（RLO）以上での重要業務の再開です。ＢＣＰが機能するかどうかの確認とは、RTO と RLO が本当に達成できるかの確認を行うということです。そのためには、次のような観点からの点検と評価を行います。

33ⅰ）事前対策の進捗とその有効性の確認
事前対策が計画通り進捗しているか、実施された事前対策により、目標と現状のギャップがどの程度埋められたかなどを確認、検証します。
ⅱ）目標達成可能性を左右する事項の調査
復旧に必要な資機材のＢＣＰに定められた時間内での調達が可能か、情報システム停止時の手作業業
務処理量の再確認など目標達成の前提条件等が、ＢＣＰ策定時の想定と変わっていないかをチェックします。
ⅲ）広い視野から全体を見据えての検証
重要業務ごとに検討を進めることが多い、ＢＣＰの策定段階では、緊急時に調達可能な経営資源の全体量とその分配につき十分な検討がされていない場合があります。ＢＣＰ全体を見据えて広い視野からの検証が重要です。総合演習など全体を通して行う訓練を実施し、その結果からＢＣＰがトータルで機能するかどうかを確認する方法が有効であると思われます。
② ＢＣＭの点検・評価
ＢＣＭの実効性の維持・向上のためには、以下のような観点から、ＢＣＭそのものについて点検・評価を行うことが重要です。点検・評価すべき事項には次のようなものがあります。
ⅰ）定常的な点検・評価が必要な事項❶ 定例的に発生する人事異動や取引先の変更等による修正・更新がなされているか❷ 事業所、製造ライン、業務プロセスの変更、事業の変化、ステークホルダーからの要請、法令改正などを含む環境の変化等に対応、合致したＢＣＭとなっているか❸ サプライチェーン、特に調達先の事業や組織に、自社のＢＣＭに影響を与える変化はないか
ⅱ）ＢＣＭの拡充の観点からの点検・評価❶ 発生事象（インシデント）の種類や被害想定を拡大・拡充させる必要性はないか（前章を参照ください）❷ ＢＣＭの対象事業や事業所の範囲を拡大する必要はないかⅲ）点検・評価を制度として確立・・監査の活用
点検・評価を制度として確立させる方法として、ＢＣＭを監査の対象とすることが挙げられます。監査の種類
としては、誰が行うかによって内部監査、外部監査（関係者）、外部監査（第三者）等があります。後者ほど客観性は高まりますが、必要な費用、負担は増加するものと思われます。
＜監査事項の例＞❶ 事前対策、訓練、点検等が計画やスケジュール通り実施されているか❷ 予算は適切に執行されているか❸ 事業継続戦略・対策は有効か、費用対効果は妥当か❹ 教育・訓練は目標を達成しているか❺ 教育・訓練の結果等を踏まえ、総合的に自社の事業継続能力が向上しているといえるか❻ 業界水準やベストプラクティス等と比較して重大なギャップはないか34

（２）経営者による見直し
実務レベルでの点検・評価の結果を踏まえ、経営者自らが、ＢＣＭの見直しに取り組みます。しかし、経営者には、単にＢＣＭ事務局からの報告を待つのではなく、自らが積極的に「見直し・改善」に取り組もうとする姿
勢が大切で、リーダーシップを発揮して、ＢＣＭを継続的に改善する体制を確立させることが求められます。
① 経営者が率先して取り組むべき BCM の見直し
ＢＣＭに影響を与える事業、経営環境、ステークホルダーからの要請の変化などは経営者がまずもって把握すべき事項です。ＢＣＭの大きな見直しは経営者からの指示で開始されることが多いはずです。また、ＢＣＭ
は事業戦略や各年度予算と連動すべきものですから、経営者は年度計画等との整合性を確認するという観点からも、定期的（年１回以上）な見直しにも取り組まねばなりません。
② 経営者の判断が必要なＢＣＭの見直し
ＢＣＭ事務局が行った点検・評価によって明かになったＢＣＭの問題点・課題等（単に事務的な事項を除く）や現状のＢＣＭにおける残存リスク27については、対策策定の要否や改善の方向性等について経営の判断が必要となるものがあります。経営者は、ＢＣＭ事務局や監査チーム等からの説明を受け、十分に議論し、自社の事業継続能力の維持・向上のために、是正措置や対策実施の指示、そして今後のＢＣＭの改善の方向性などを的確かつ迅速に打ち出していかねばなりません。

（３）是正・改善
点検・評価で洗い出された問題点や課題は是正、改善されなければなりません。このプロセスによって、
ＢＣＭのＰＤＣＡが一周廻ることになります。このＰＤＣＡを続けていくことが、ＢＣＭの継続的改善です。
① 問題点・課題のレベル別の是正・改善のあり方洗い出された問題点・課題のレベルに応じて、是正や改善の手順は異なります。
ⅰ）経営判断を待つ必要のない事務的な事項
ＢＣＭ事務局や実務レベルで早急に是正の措置を取ります。
ⅱ）経営者が指示した、すぐに対処できる是正措置、対策
経営レベルでの判断が終了しているものも、是正措置や対策の策定を速やかに実施します。
ⅲ）経営者決裁が未済あるいはすぐには対処できない事項
さらなる調査、分析、予算の確保、事業継続戦略の見直しや調整その他準備が必要な改善や残存リスクへの対応など、すぐには対処できない事項は、あらためてＢＣＭのプロセスへ持込んで、適切なプロセス（場合27

残存リスク：洗い出したリスクを認識し、そのリスクを軽減するための対策を実施するが、それでもなお対応しきれずに残っている
リスクのこと。2009 年に国際標準規格として発行された「ISO Guide 73」（リスクマネジメント－用語）では、「リスク対応後に残るリスク」と定義されています。

35

によっては、最初の「方針の策定」から）から、ＢＣＭをやり直します。この場合は、該当する実務部門に任せきりにするのではなく、既存のＢＣＭとの整合性を図る意味からも、組織横断的に活動ができるＢＣＭ事務局が進捗を管理するようにします。
② BCM の継続的改善へ
以上のようなＢＣＭの見直しを確実に行い、継続的改善を確かなものにするためには、「見直し・改善の実施計画」を策定することが推奨されます。見直しの基準、実施主体、スケジュール、手順等を定め、継続的改善を制度化するためのものです。しかし、最も大切なことは、経営者、ＢＣＭ事務局、会社全体が、事業継続の重要性を共通の認識として持ち、不断の努力として継続的改善と事業継続能力の向上に取り組もうとする意識が会社の「風土」や「文化」として醸成され、定着しているかどうかということではないでしょうか。

36

４．おわりに ～ＢＣＭを積極的な経営戦略に～「リスク環境の変化に対応した事業継続マネジメントの強化」と題した今回のレポートでは、前後編を通じて、そのテーマの通り、必要性の観点からＢＣＭの見直しについてレポートしてきました。もともと、事業継続は、企業の供給責任や社会的責任を果たさなければならないという必要性の観点から論じられることが多かったと思われます。
しかし、これからのＢＣＭはより積極的な経営戦略としてとらえられるべきものであると弊社は考えています。
近年、激変する経営環境、リスク環境の中で、企業の持続性向上を目指した「レジリエンス経営」が重要であるとの認識が広がってきました。この持続性やレジリエンスが企業の力とも評価される時代にあって、危機的事象に直面しても事業を中断させないとするＢＣＭの取り組みは、まさに企業価値を高める取り組みといえます。
有事の際の事業継続能力の強化が一義的なＢＣＭの目的ではありますが、ＢＣＭの効果はそれだけにとどまるものではありません。自社にとっての重要業務や重要な経営リソース、サプライチェーンの状況を常に的確に把握していることは、様々な環境変化への対応スピードの向上につながり、平常時の経営改善に大いに役立つと思われます。有事の際のＢＣＭ/ＢＣＰ対応による重要事業の継続によって、顧客や地域社会、金融機関や投資家などからの信頼も厚くなりますが、有事にならずとも、ＢＣＭに取り組むことで、ＢＣＭに必要不可欠な平常時からのコミュニケーション、連携についての協議などを通じてステークホルダーとの信頼関係を構築することができ、これらが、自社のさらなる競争力の強化へとつながるのです。
これからの時代、ＢＣＭは決して守りだけのものではありません。企業には、ＢＣＭに攻めの経営として取り組むことが求められているのではないでしょうか。今回のレポートが、ＢＣＭに直接携わる方々にはもちろん、経営者をはじめとする多くの方々にとって、ＢＣＭの取り組みや見直しの契機となり、少しでも参考になれば幸甚
です。
以上

37

本レポートに関するお問い合わせ先
銀泉リスクソリューションズ株式会社 業務企画部
TEL/ 03-5226-2212

FAX/03-5226-2609

E-mail / grs@ginsen-gr.co.jp

38