BCP（事業継続計画）対策とは？策定の手順・運用時のポイントをまとめて解説

日本は、地震・水害と自然災害が多い国です。それに加え、近年は新型コロナウイルス感染症が流行し、ロシアとウクライナの紛争が勃発し、影響が出たという企業も多いのではないでしょうか。今、企業が備えるべきリスクは増えているといえます。

そのようななか、さまざまリスクに備えられるのが「BCP」です。本記事では、企業が事業を継続させるために作成が必須とされているBCPについて、その必要性から具体的な策定方法まで詳しく解説します。

BCPの意味

「BCP」とは、Business Continuity Planの頭文字を取ったもので、日本語では「事業継続計画」と訳されます。このBCPは、企業を取り巻くさまざまなリスクに対し、緊急事態が起こった際のビジネス継続と早期復旧のための計画・対策を指します。

具体的には、非常時に優先的に継続・復旧する業務や、具体的な行動、復旧にかかるまでの時間などがまとめられます。

BCP策定の目的

緊急事態が発生すると、指示命令系統が乱れたり、臨時の指揮官が判断を下せなかったりして会社の機能が停止する恐れがあります。すると、自社の損失が大きくなるばかりか、顧客にも大きな影響が出ることも考えられます。

そこで、必要となってくるのがBCPです。BCPで非常時の対応を決めておくことで、動揺した状態でも、速やかに適切な対応ができるようになります。また、BCP策定にあたっては、非常時にどのようなリスクがあるのか、どのような対策が必要なのかが見えてくるので、経営戦略の見直しにも効果的。また、会社として万が一に備えていれば、顧客の信用と企業価値は高まります。

非常時のビジネス継続・復旧に加え、社会的信用の獲得による事業の成長・業績の向上もBCPの目的といえるでしょう。

BCPが求められる背景

日本が最初にBCPに注目し始めたのが、2001年アメリカで発生した同時多発テロ事件です。大手証券会社メリルリンチ社ではBCPに沿ってビジネスの継続・復旧を進め、9000人の従業員の安全確保と早期の業務再開を実現しました。

大きくBCPが普及するきっかけとなったのが、2011年に発生した東日本大震災と、2020年に始まった新型コロナウイルス感染症のパンデミックです。大きな自然災害が起これば、インフラは停止、従業員や物資が不足し、事業に必要な施設・設備にも損害が出ます。自社に直接的な被害が出なくても、取引先が被災して影響を受けることもあれば、社会の自粛モードによって事業を縮小せざるを得ないこともあります。さらに、ロシアとウクライナの紛争による電気や食品など物価上昇もダメージとなった企業も多いでしょう。今後、隣国で戦争・紛争が起こらないとも限りません。

非常時に早期復旧が実現しないと、廃業のリスクが高まります。企業は、多種多様なリスクに対する対策が必要とされているのです。実際に、2024年4月にはすべての介護サービス事業者に対して、BCP策定が義務化されます。不安定な時代になっていることから、今後はよりBCPの重要性が高まることになるでしょう。

BCPを策定している企業の割合

内閣府が発表した「令和3年度 企業の事業継続及び防災の取組に関する実態調査」によると、2021年度の時点でBCPを策定している企業は、大企業で70.8％、中堅企業でも40.2％となっています。大企業に至っては、策定中も合わせて8割の企業でBCPの策定が進んでいます。大企業を中心に、リスクマネジメントの考え方が広がっているといえるでしょう。

一方で、中小企業ほど策定が進んでいない現実もあります。これは日々の業務に追われてBCP策定まで手が回っていない、またはリスクマネジメントの考えが定着していないことが考えられます。ただし、災害などのリスクに備えた企業経営は、大企業・中堅企業以外の企業でも6割を超えています。

まだリスクマネジメントを考えていない企業にとって、早急に取り組まなければならない重要課題といえます。

BCPを策定するうえで知っておきたい用語

BCPの策定を考える際に、「BCM」「BCS」「BIA」といった用語も登場します。ここで、それぞれの意味について確認しておきましょう。

BCM（事業継続マネジメント）

BCMとは、Business Continuity Managementの頭文字で、日本語では「事業継続マネジメント」と訳されます。BCMは、平常時から行われる、BCPの策定前の分析や検討から、運用・改善までの包括的なマネジメントを意味します。

内閣府「事業継続ガイドライン」によると、下記の内容が含まれます。

・BCP策定と維持・更新・継続的な改善
・事業継続のための予算・資源の確保
・事前対策の実施
・取り組みを浸透させるための教育・訓練の実施

BCS（事業継続戦略）

BCSとは、Business Continuity Strategyの頭文字で、日本語では「事業継続戦略」と訳されます。「生き残り戦略」とも呼ばれ、BCPのうち、主に組織の中核となる事業を継続するための具体的な方策です。

非常時に事業が停止した場合、応急処置的な復旧とその後の重要な業務を遂行するためのBCSが必要となります。BCPのなかでも、とくに重要な要素と考えましょう。

BIA（事業影響度分析）

BIAは、Business Impact Analysisの頭文字で、日本語では「ビジネスインパクト分析」と表記されます。非常時に事業が停止した場合に、事業に与える影響度を分析・評価をするために行います。

非常時の環境や被害を分析することで、復旧する業務の優先順位や必要な資源、復旧に必要な時間を把握することができます。実用性のあるBCP策定には、BIAも必須要素となります。

BCPを策定する6つのSTEP

それでは、実際にBCPを策定するときの手順をみていきましょう。

1.BCP策定の方針を決定する
2.社内体制を整備する
3.リスク・優先すべき事業を洗い出す
4.具体的な計画の事前案をまとめる
5.計画の詳細を計画書に落とし込む
6.社内で周知する

非常事態はいつ起こるか分からないにも関わらず、BCPは一朝一夕で策定できるわけではないため、できるだけ早く策定を始めることが重要です。

STEP1.BCP策定の方針を決定する

まずは、BCP策定のおおまかな方針を決定します。経営理念や基本方針、事業内容から、事業のなかで守るべきことを目標として設定しましょう。

たとえば、危険を伴う業務や機械の操作を行う事業では「従業員の命を守るため」、企業の機密情報を取り扱う事業なら「クライアントからの信頼を守るため」など、自社に適した方針を考えることが重要です。自社に合う方針を決めることで、従業員にも浸透しやすく、非常時に適切に動きやすくなります。

STEP2.社内体制を整備する

目指すべき方向が決まったら、社内体制の整備を進めます。BCP策定は、全社的に行わなければ、いざというときに事業がスムーズに再開できません。

策定にあたってはプロジェクトチームを編成し、責任者を決めるほか、各部門からの参画者を決めましょう。非常時の業務遂行や復旧は、取引先や協力会社も関係してきます。必要であれば、社外とも連携できるよう調整が必要です。

さらに、緊急事態が起こった際には、全従業員が臨機応変にその場に適した動きをしなければなりません。プロジェクトチームだけでなく、全従業員にBCPが浸透する体制作りが重要となります。

STEP3.リスク・優先すべき業務を洗い出す

つづいて、BIAを行ってリスクと優先業務を洗い出します。

まずはリスクから。どのような影響が起こり得るのかを時系列で明らかにしていきます。地震・台風・浸水・停電・火災・通信障害・交通麻痺・感染症の流行など考えられるものすべてを検討します。数あるリスクのすべての対処を考えるのはかなり時間がかかるため、リスクの発生頻度と深刻度から、高頻度かつ被害が大きいリスクから検討を始めてください。

そのうえで、何を優先的に継続・回復すべきなのかを明確にし、必要な時間と資源を割り出します。業務の優先順位を決めるときは、事業の中核への影響度・消費者や取引先への影響度・社会的信用への影響度を含め、社内の各業務について総合的に点数を付けましょう。

復旧するまでの時間は、目標復旧時間と最終リミットとなる最大許容停止時間を設定します。業務の復旧にはある程度の時間を要しますが、いつまで経っても業務が再開しないと事業を存続させることが難しくなります。どの程度の間業務が停止すると、顧客・取引先が離脱したり企業存続が難しくなる損失額が発生するのかといった影響も分析し、考慮しましょう。

STEP4.具体的な計画の事前案をまとめる

必要な情報が集まったら、BCSの構築に移ります。いきなり本案を作るのではなく、あらゆるシナリオを想定し、被害の程度別の生き残り戦略や対応策をまとめましょう。このとき、業務の継続方法を1つに絞ったり決めてしまったりするのではなく、複数の方法について検討し、評価が高い方法を総合的に判断・選択することが大切です。

そして、災害が発生した時点から、時系列的に必要な対応を決めていきます。混乱した状況では、その場で誰が何を指示するのか、なかなか判断できません。よって、指揮する人・指示を受ける人を決め、それぞれの業務に対して細かく行動を決めてください。

STEP5.計画の詳細を計画書に落とし込む

具体的な対応策が検討できたら、計画書に落とし込みます。計画書には、BCS以外にも平常時に行う教育・訓練の実施計画や、事前対策の実施計画、各種マニュアルなども記載しておきましょう。リスク別に対応策が異なる場合は、個別に記載することで非常時でも必要な行動を確認しやすくなります。

BCP策定は、部署単位で行うこともありますが、他部署や社外との兼ね合いによって適切な対応であるかが変わってきます。そのため、基本的には全社的に策定が必要であるという認識が必要です。各部署がそれぞれ策定する場合でも、社全体にとって適切な計画であるかを上層部が経営判断し、必要に応じて変更を加えなければなりません。

STEP6.社内で周知する

策定したBCPは、全従業員への共有が必須。いくら有力なBCPがあっても、従業員が知らなければ非常時に機能しません。そのため、BCPは全従業員がいつでも情報にアクセスできるようにしておきましょう。

そして、実際に機能するためには、単にデータを配るだけでなく、BCPを社内に定着させる取り組みの実施が重要です。社内に定着させるための取り組みについては、後ほど「教育・訓練で社内に定着させる」で詳しく解説します。

災害発生時から復旧までの流れ

BCPで状況に応じた対応策を考えるためには、問題が発生したあと事業を平常操業に戻すまでの流れを把握しておくことが重要です。

災害が発生してから復旧するまでの大まかな流れは、初動対応から始まり、応急処置、復旧対応と進むことになります。

①初動対応

まずは、初動対応で現状を把握します。何が起こってどのような被害が発生しているのかをできるだけ早く確認しなければ、必要な対策も判断できません。

ここで重要なのが、従業員の安全確保・安否確認が最優先であるということです。従業員がいなければ事業の継続も復旧も不可能です。人命第一で考えましょう。そのため、BCPでは、素早く従業員の安否が確認できるよう、自動で安否の連絡や共有ができる安否確認システムの導入の検討も必要です。

そのほか、下についても情報の確認を進めましょう。
・各拠点や設備の物的被害
・システムやデータの被害
・取引先や協力会社の被害状況

②応急処置

応急処置では、不足したリソースで中核となる事業を継続するために、代替的な方法で業務に取り組むことを指します。

非常時には、必ずといっていいほど必要な人員・設備・材料・情報といった資源が不足します。そのため、BCPでは事業に欠かせない資源を守る方法はもちろん、資源が足らない場合に再調達する方法・代替資源の調達先や方法、コストなどについても確認しておかなければなりません。

BCPで不足した資源で業務を継続・復旧できる仕組み・体制づくりを明記し、切り替えられるようにしておくことが重要といえます。

③復旧対応

最後が、平常操業に戻すための工程です。復旧作業では、被害を受けた施設や設備といったハード面と、システムやネットワークといったソフト面の復旧が重要となります。

とくに、ソフト面の復旧では、通信インフラの確保が重要です。そのため、平常時からシステムの設計や、ソフトウェア設定、事業に必要なデータの保護やバックアップ対策が欠かせません。現在は多種多様なクラウドサービスが提供されているので、安全で信頼できるサービスを導入しておくことで復旧しやすくなります。

BCP策定・運用のポイント

先術の通り、BCPは機能しなければ存在の意味がありません。そこで、できるだけ非常時にBCPを活かせるよう、BCPの策定・運用を成功させるためのポイントを確認しておきましょう。

自社に合わせたBCPを策定する

非常時に必要な対応は、企業によって異なります。そのため、自社に合わせたBCPの策定が欠かせません。自社に合わないBCPが存在していても、本当に必要な対応がわからず、機能しないで終わってしまいます。

また、無理な計画は実行が難しく、従業員のモチベーションを下げてしまいます。目標復旧時間や代替手段などの計画は、自社体制をよく理解し、実現可能なものを検討しましょう。

継続的に検証・改善を繰り返し行う

BCPの精度を上げるためには、緊急時を想定したシミュレーションによるテストが欠かせません。完成したBCPを従業員に共有したあとに、現場から疑問や問題点が挙がることもあるでしょう。テストを行ってみて課題が発見されれば、その都度改善を行うことが重要です。

また、BCPは一度策定して終わり、というものでもありません。企業を取り巻く環境は常に変わり続けており、社内でも業務内容や使用デバイス・ツールの変更、人事異動などさまざまな変化が起こっています。非常時に陥ったときに、より効果的なBCPを用意しておくためには、継続的に検証・改善を行い、適宜更新することが重要なのです。

できるだけ具体的な行動を指示する

非常時には、どう動けば良いのか分からなくなるケースが多々あります。冷静さを欠いている状況でも実行できるように、できるだけ具体的な行動を指示することが重要です。

たとえば、初動対応における安否確認では、安否確認の具体的方法から記載します。その場にいる従業員の点呼や見つからない従業員のリスト化、出社していない従業員への連絡方法、避難経路、避難後に落ち合う場所などについて細かく記載します。

BCPだけでは、具体的な行動が確認しづらいため、イラストや図解などを付けた分かりやすいマニュアルを作成し、部署ごとに配布しましょう。

教育・訓練で社内に定着させる

BCPを社内に定着させるためには、全従業員がBCPに触れる時間を意識的に作ることが重要です。そこで、研修・勉強会・eラーニングなどを用いて、平常時でもリスクを意識できる環境を作るようにしましょう。

ただし、座学ばかりでは、従業員の業務へのモチベーションを下げかねません。そのため、BCPの重要性と目的を共有したうえで、実際に頭や身体を動かす訓練を行いましょう。訓練には、グループ討論を行う机上訓練や代替施設への移動訓練、バックアップデータを取り出す訓練、非常時に従業員に連絡を行き渡らせる電話連絡網・緊急時通報診断などがあります。

BCP策定のサンプル・フォーマット

BCPをどのように作成したら良いのか分からないという場合は、行政が公開しているサンプルやフォーマットを参考にするとよいでしょう。

中小企業庁からは、「中小企業BCP策定運用指針」が公開されています。中小企業BCP策定運用指針に従って作業すれば、最低限必要な内容を書類にまとめることが可能です。ダウンロードは、こちらから。

内閣府からは、「事業継続ガイドライン」が発表されています。検討すべき脅威や災害があると改定版が更新されているため、参考にするときは最新のガイドラインを確認しましょう。

そのほか、特定非営利活動法人事業継続推進機構の「中小企業BCPステップアップガイド」や東京商工会議所の「東京商工会議所版 BCP策定ガイド」「『家族との安否確認訓練』進め方ガイド」なども活用できます。

BCP策定は企業全体で取り組むべき重要課題

本記事では、多くの脅威にさらされている企業が策定を迫られているBCPについて詳しく解説しました。

BCPは、不測の事態が発生したときに、従業員の命と会社を守るために必要不可欠な存在です。大きな災害が発生しても、BCPを従業員に徹底できていれば、業務の継続や早期復旧によって企業のダメージを最小限に留めることができます。

また、BCPの策定・運用には、会社の方針転換や経営判断が必要となるため、経営層の参画が欠かせません。経営層が継続的に関わり続け、特定の部署や担当者に丸投げしないことが成功の鍵といえるでしょう。