東日本大震災から6年 改めてBCPについて考える(下)

危機管理・コンプライアンス
西尾 晋

 平成23年3月11日に発生した東日本大震災。あれからまもなく6年目を迎える。最近も東日本大震災の余震と思われる強い地震が発生し、福島原発事故の影響も依然として続いている。
 また、平成28年4月14日に発生した熊本地震では、前震、本震ともに震度7を記録した。被災地では依然として震災の爪あとが残っている。

 南海トラフ地震や首都直下地震の発生確率が高まる中、企業での防災対策・BCP強化対策も着々と進められている。株式会社エス・ピー・ネットワークでも、昨年末から今年の初めにかけて防災対策・BCP強化に関する相談・講演依頼・業務受注が相次いでいる。このような状況を踏まえて、改めて企業の防災対策、BCP強化対策を推進・加速させるべく、今回は、防災・BCP対策強化のポイントや留意事項について考察する。

※本稿は、(上)(下)2回に分けて配信しております。今回は、先月の「東日本大震災から6年 改めてBCPについて考える(上)」に引き続き、(下)を配信します。以下、本文は、(上)の続きからとなります。

目次

東日本大震災から6年 改めてBCPについて考える(上)
  1. 防災・BCP対策の基本に据えるべき地震災害と最近の大地震の特徴
  2. 防災対策・BCP強化に向けた教訓や動向
    1. 平成24年の防災白書
    2. 強い余震の連続発生に伴う安全への配慮
    3. 国が求める事業継続マネジメントシステムの理想と現実


東日本大震災から6年、熊本地震から1年 改めてBCPについて考える(下)」(本稿)
  1. 国内のBCP策定を巡る迷宮とそもそも論
    1. 起源と経緯
    2. 事業継続に関する取り組みの特徴
  2. BCPの考え方
    1. 緊急事態対応の考え方
    2. 緊急事態対応の考え方を踏まえたBCP
    3. BCP実例と情報開示体制の充実の必要性
    4. 整備すべきBCPの内容

国内のBCP策定を巡る迷宮とそもそも論

起源と経緯

 各種の対策を検討する際に起源や経緯を辿りつつ、そもそも論を確認することが有益である。そこで、BCPについての起源や経緯、そしてそもそも論を確認しながら、BCP策定の考え方について考察してみよう。

 BCPの起源を辿ると、もともとは、ISO27000(ISMS)規格の大元である英国規格BS25777にその端緒がある。すなわち、BS25777において、情報システム(IT)やデータバックアップ等を視野に入れたデータマネジメントの一環として提唱されたのが、BCPという考え方である。そしてそれが、事業継続マネジメントに関する英国規格BS25999に取り入れられ、それが発展する形で、現在の事業継続マネジメントシステムに関する国際規格ISO23001が制定された。なお、英国では、そもそも地震が極めて少ないためにテロ対策も事業継続の中心的テーマの一つとして検討されてきた。

 そして、BCPが注目を浴びたのは、アメリカ同時多発テロ(9.11)の際に、攻撃対象となった貿易センタービルに入居していた証券会社が、データをバックアップしていたため、翌日から営業が再開できたという事例である。アメリカでの事業継続の起源も、もともとは1960年代のホストコンピューターをいかに障害から守り、ノンストップの状態を作りだすかという対策論に行き着く。上記の証券会社の例は、まさにその延長線上にある事例である。

 このように見てくると、英国においても、アメリカにおいても、もともとはITやデータのマネジメントとして提唱された方法論がBCPという手法であると理解できるが、日本では、ITやデータマネジメントの視点ももちろん内包しているが、それよりもはるかに規模が大きい構造物や自社単体ではいかんともしがたいサプライチェーンを守るのがBCPという形で発展しており、BCPのハードルは極めて高くなってしまっている。そして、英国BCP規格が想定しているテロにしろ、アメリカ同時多発テロでの事例にしろ、テロは局地的で社会インフラ(ライフライン、交通、通信)等に対する影響は少ないが、日本で対象としている地震や津波は社会インフラに、相当期間にわたって大きな影響を及ぼす点で、より過酷な状況での対策論として求められていることを認識しておく必要がある

事業継続に関する取り組みの特徴

 BCPを考える上で、その本質的な状況がどのようなものなのか、原点に立ち返って議論・考察すべきとする私の考え方は、これまでも他のBCPの論考でも再三にわたり、言及しており、今回もこのスタンスで一貫している。それでは、BCPに求められる本質的な要請は何か。私が考える本質的な要請はこれまでの論考を参考にしていただくとして、今回は内閣府の「事業継続ガイドライン」の内容を引用しながら、解説していきたい。
 なお、内閣府の事業継続ガイドラインは、現在、第三版 1 が最新バージョンとして公表されている。内容の詳細は個別に原典に当たっていただくとして、第三版が提唱する基本的な枠組みについて、簡単にここで紹介する。

① 内閣府事業継続ガイドライン第三版の体系と言葉の使い方の変更

 内閣府の事業継続担当主査である筒井智士氏 2 作成の「事業継続ガイドライン改定の概要について」では、内閣府事業継続ガイドラインの第三版の体系について、次のような図が紹介されている。

出典:シンポジウム『南海トラフ巨大地震に臨む』 平成26年3月6日の講演資料。なお、吹き出しの色使いや噴出し内の表記については、筆者にて一部修正している。

 第三版のガイドラインの特徴の一つは、従来のBCPをBCM(事業継続マネジメント)に置き換え、国際的な考え方にあわせて、BCPを「緊急時の対応計画」に限定したことである。従来、ガラパゴス化していたBCPとBCMの言葉の使い方を世界標準にあわせた形だが、これが実務に混乱を生みだす一つの要因となっているものと考えられる。

 第三版のガイドライン(「事業継続ガイドライン(第三版)~あらゆる危機的事象を乗り越えるための戦略と対応~」(内閣府(防災担当)、平成25年8月) ・37〜38頁)から、それぞれの定義を引用すると、

  • BCP(Business Continuity Plan)とは、「大地震等の自然災害、感染症のまん延、テロ等の事件、大事故、サプライチェーン(供給網)の途絶、突発的な経営環境の変化など不測の事態が発⽣しても、重要な事業を中断させない、または中断しても可能な限り短い期間で復旧させるための方針、体制、手順等を示した計画」と定義づけされている。BCPの言葉使いを世界標準に合わせたものの、この定義からは、緊急事態対応に限定したことが非常に分かりにくい。
  • BCM(Business Continuity Management)については、「BCP策定や維持・更新、事業継続を実現するための予算・資源の確保、対策の実施、取組を浸透させるための教育・訓練の実施、点検、継続的な改善などを行う平常時からのマネジメント活動のこと。経営レベルの戦略的活動として位置付けられる」としている。


 なお、BCPとBCMの関係性について、第三版のガイドライン解説書では、次のように整理している。

【BCPとBCMの関係(イメージ)】

出典:「「事業継続ガイドライン(第三版)~あらゆる危機的事象を乗り越えるための戦略と対応~」解説書」(内閣府(防災担当)、平成26年7月)・10頁

 既に説明したように、第三版では、BCPを緊急事態における対応計画の意味に限定して、平時のマネジメントシステムとしての事業継続に関する仕組みは、BCMとして整理している。

② 内閣府事業継続ガイドライン第二版に見る「事業継続」に取り組みの特徴

 ここで、一度、内閣府が考える事業継続の取り組みの特徴を通じて、「事業継続」に関して求められる本質的な要請についてみていきたい。
 ガイドライン改定前の「事業継続ガイドライン(第二版)3 では、「事業継続の取組みの特徴」として次の6つを挙げている。

  1. 事業に著しいダメージを与えかねない重大被害を想定して計画を作成する
  2. 災害後に活用できる資源に制約があると認識し、業務を絞り込む
  3. どのような被害が生じると重要業務の継続が危うくなるかを抽出する
  4. 重要業務の継続に不可欠なボトルネックを洗い出し、重点的に対処する
  5. 目標復旧時間を設定し、知恵を結集して事前に準備する
  6. 緊急時の経営や意思決定、管理などのマネジメント手法の1つで、危機管理や緊急時対応の要素を含む


 これらの6つの特徴について、私は、事業継続に関する対策を進める上での指針として、次の4つにまとめることで取り組みの方向性が分かりやすくなるのではないかと考えている。すなわち、

  • 「事業に重大な被害を与え、使える資源に制約がある」局面で発動されるものであること
  • 「継続可能性」の観点から阻害事由と必要条件を検討すること
  • 目標復旧時間を定めて、それに向けたリスクマネジメントを充実させること
  • 緊急時対応のノウハウも必要で危機管理の要素を含む


 そして、第二版のガイドラインの基本スタンス、言い換えれば、当時の内閣府が考える事業継続に関する対策の進め方の指針(考え方)については、次のように記載している。

  • 備えの充実には必ず多大な投資やコストが不可欠とする立場をとらず、できることから具体的な検討を進めてみること、既存の資源を活かすこと、知恵を出し合うことを推奨
  • サプライチェーンに組み込まれた中堅中小企業が事業継続の取組みを求められている状況も踏まえ、できる部分からの取組みを推奨
  • 企業にとっても事業継続が最優先ではなく、特に災害発生直後は生命の安全確保、二次被害の防止などを重視し、その後も事業継続の対応と地域との連携を意識して取り組むべき
  • はじめから完璧を求めず、継続的に改善すること


 ここでも、内閣府が第二版の当時に提唱していた事業継続に関する対策の進め方の指針(考え方)について、実務的な教訓として、3つにまとめて理解しておきたい。すなわち、

  • コストではなく、既存資源と知恵を使う
  • サプライチェーンの中でできる部分から着実に取り組む
  • 必ずしも事業「継続」最優先ではない


 このように、内閣府の事業継続ガイドライン第二版では、「事業継続」が求められる本質的な状況と進め方の特徴について、端的かつ分かりやすく表現されていた。しかしながら、既に指摘したような有識者の提言等も踏まえて、ガイドラインが改正され、言葉の使い方が変更になっただけではなく、本質論や実務面への配慮が大きく後退した印象を受けるのは非常に残念である。

BCPの考え方

 さて、ここまで内閣府の事業継続ガイドラインの第二版と第三版に言及しながら、BCPに関する考え方や変遷について整理してきた。しかしながら、第三版では、BCPを緊急時の対応計画の意味に限定しながら、「事業継続」に関する考え方は基本的には踏襲していることから、非常に分かりにくい(従来のBCP策定プロセスはBCMの議論として展開されていると考えられる)。
 そこで、震災発生後の対応(緊急事態対応)をBCPと考える前提で、どのようなBCPを策定する必要があるのか(どのような要素を盛り込むべきなのか)について考えていきたい

緊急事態対応の考え方

 緊急時の対応に関しては、「JISQ22320(社会セキュリティ~緊急事態管理~危機対応に関する要求事項)」の中で、指揮・統制プロセス(4.2)が規定されている。JISQ22320は、「4.2.5 指揮・統制プロセスとして、次の活動を含まなければならないとしている 。

① 観察
② 情報の収集、処理及び共有
③ 予測を含めた状況の評価
④ 計画策定
⑤ 意思決定及び決定事項の伝達
⑥ 決定事項の実施
⑦ 結果のフィードバック及び統制策

出典:「JISQ22320(社会セキュリティ~緊急事態管理~危機対応に関する要求事項)」をもとに筆者が作成

 JIS規格の定める7項目をまとめたのが、の3項目になるが、緊急事態下においては、「発生事態とそのリスクを評価し、それに応じた対応計画を立てて、実行に移す」というのが、指揮・統制の要領ということになる。事態に応じて、対応計画が立てられるのであって、事態を踏まえずにBCPを当てはめるということではないことに改めて留意しなければならない。

緊急事態対応の考え方を踏まえたBCP

 そして、このJIS規格の内容は、緊急事態対応一般の内容であることから、BCPにフォーカスして考えると、

  • 被害(事態)の把握(自社及び社会的損害)
  • 自社の資源把握(自社の現有資源(戦力)、社会情勢(インフラの状況等))
  • 上記被害を踏まえて、何ができるかの検討
  • それを実現するための方策(復旧めどの算段と方法論(応援・他社連携・代替実施等))

という流れになる。

 このように考えれば、事前準備を含めて、事業継続に向けた戦略をたてた組織作りを行いつつ(私は、この部分を「事業継続リスクマネジメント」と呼んでいる)、実際の有事に当たっては、事態を踏まえたBCPを策定し、それを実行に移す(マネジメントする)というのが、実際の姿に近いのではないかと思う。その意味では、ISOのマネジメントシステムへの適応を意図して、事前準備を含めたPDCAサイクルとして全体を構築・運用・評価していく、そしてその全体的な取り組みがBCMであると考える内閣府の第三版の考え方には若干の違和感がある。BCMのMについては、マネジメントシステムの略ではなく、事態の評価を踏まえたBCPに基づく、具体的なマネジメント要領と考えたほうが分かりやすいということである。
 ここまでの話を前提に、事業継続に向けた取り組みの全体像を必要な内容も織り込んで整理すると、次のようになると考えている(私見)。

【事業継続に関する取り組みの全体像】

出典:筆者作成。当社(筆者)講演資料から引用。

BCP実例と情報開示体制の充実の必要性

 ここで、熊本地震の際のトヨタ自動車のBCPについて紹介したい。各種の報道や同社のホームページを参考に整理した同社のBCPは次のようになっている 4

  • 2016年4月17日 同社ホームページ
    「トヨタ自動車は、このたび地震の影響による部品の供給状況等から、4月18日(月)~23日の間、国内における完成車組み立てラインの稼動を、段階的に停止することといたしましたので、お知らせいたします。稼動再開については、今後、部品の供給状況等を見ながら判断してまいります。」

  • 2016年4月18日3:30 日本経済新聞 朝刊
    「トヨタ自動車は17日、熊本地震の影響で部品供給が滞っているため、18日~23日に全国の完成車工場の生産を段階的に停止すると発表した。福岡県の拠点が15日から生産を止めたのに続き、愛知県や宮城県などの工場も稼動を見合わせる。20~23日はトヨタ本体のすべての量産ラインを休止する。」

  • 2016年4月20日 同社ホームページ
    地震の影響による部品の供給状況等から、4月18日(月)~4月23日(土)の間、国内における完成車組み立てラインの稼動を、段階的に停止することを公表しておりましたが、4月25日(月)以降、段階的に稼動を再開することといたしましたので、お知らせいたします。

 このように同社は、生産を一旦止めて、被害状況や自社での対応可能性を検討し、その方策について期間を含めて見積もった上で、それに基づき製造を再開するという、ここまで解説してきた緊急事態対応に則ったBCPを発動していることが評価できる。
 なお、熊本地震においては、このトヨタ自動車の例のように製造業を中心として、自社の事業継続の状況について、自社ホームページで開示する企業が多かったことが特徴的である。
 今後は、BCPの中にも、BCPに関する情報開示体制を組み込んでおき、状況についてホームページ等を通じて開示しながら、取引先等への説明責任を果たしていくことが求められる。上記2-2の【事業継続に向けた取り組みの全体像】の図の中でも、社会的使命の徹底訴求の一つの要素として「情報開示の徹底・促進」を挙げている点に留意いただきたい。これは言い換えれば、自社の本社が被災した場合でも別の拠点や遠隔でホームページを更新できる体制作りをしておく必要があることを意味している。

整備すべきBCPの内容

 さて、ここまで災害時における緊急事態対応要領としてのBCPについて論じてきたが、最後に「事業継続」の観点から、平素から検討しておくべき事項や整備すべきBCPの内容について整理しておきたい。
 被災地と非被災地それぞれに拠点がある企業を前提に、検討事項とBCPについて整理したのが、次の図である(なお、単一拠点で代替拠点がない企業においては、現地の早期復旧か他社との連携という方策を採用せざるを得ないであろう)。

【検討事項とBCP】

出典: 筆者作成。当社(筆者)講演資料から引用。

 まずは、黄色の領域から検討してもらいたい。ここで検討しておくべき事項は、代替拠点における受け入れ可否や状況である。被災拠点の事業を他拠点に割り振るためには、非被災地拠点の事業構成比なども踏まえて受け入れ余力や人員、地理的状況等を勘案しながら、被災地拠点の事業を他の拠点に分散させて移管する。これができれば、被災地は復旧に専念できるし、事業に及ぼす影響もそれほど大きくはない。この点を検討し、日ごろから相応の受け入れ余力を作っていくことが重要となる。そして、日ごろからのこの検討項目を踏まえて策定されるのが、BCP①である。被災地拠点から非被災地拠点への分配の基準・手続き等である。
 あわせて策定が必要になるのが、薄い緑の領域BCP③である。BCP①で業務移管等を行った場合は、受け入れ側の非被災地拠点では業務運営体制の変更、特に総動員体制にて対応する場合が少なくない。しかも、他のBCPなども勘案しながら相応に長期化することも想定しておかなければならない。そこで、非被災地で業務を代替実施するための運営・実施要領であるBCPを策定する必要がある。このBCPは実務上も非常に重要であるが、必要以上に過剰な負担とならないように十分に留意しておかなければならない。
 次に重要なのは、ピンクの領域で、ここは被災地における復旧についての部分である。被災地の拠点において、早期に復旧するために必要な資産見積もりや課題等を検証しておくことが重要となる。この検討の際に用いられるのが、事業インパクト分析である。被災地の復旧容易性や復旧までの期間については、被災の状況にもよるため、事前の見積もりは難しいが、各種の状況を勘案しながら策定されるのが、BCP②復旧戦略である。この復旧戦略により、想定以上に復旧までの見通しが長期化する場合は、BCP③の修正・変更も余儀なくされる。
 そして更に検討を要するのが、オレンジの領域、すなわち検討事項③に当たる部分である。業務を他拠点に移管した以上、BCP②の内容やそれに基づく進捗状況を勘案しながら、復旧した被災地拠点の業務を戻していくことになるが、その際の段階的な移行基準や業績との関係、総動員体制解除にともなう人事的手当て等、業務の現地移管に関する検討事項も少なくない。これらの検討事項に基づき策定されるのがBCP④である。BCP④が最終段階である。


 以上、今回は昨今の社会情勢や企業のBCP策定ニーズを踏まえて、内閣府のガイドラインの変更とそれに基づく緊急事態対応要領としてのBCPの考え方について考察してきた。現在BCPを策定中の企業や、BCPの見直し中の企業等、皆様のステイタスは様々だと思われるが、今後のBCP策定・強化の参考にしていただきたい。
 なお、本文中の見解は、個人的な見解であり、当社の公式見解ではないことをお断りしておきたい。

本記事は株式会社エス・ピー・ネットワークが公開している「SPNの眼」の内容を転載したものです。

  1. 事業継続ガイドライン(第三版)~あらゆる危機的事象を乗り越えるための戦略と対応~」(内閣府(防災担当)、平成25年8月) 。なお、平成26年7月には、内閣府(防災担当)より、同ガイドラインの解説書(「「事業継続ガイドライン(第三版)~あらゆる危機的事象を乗り越えるための戦略と対応~」解説書」)も公表されている。 ↩︎

  2. 平成26年3月6日時点で、内閣府 政策統括官(防災担当)付 参事官(普及啓発・連携担当)付 事業継続担当 主査 ↩︎

  3. 事業継続ガイドライン(第二版)~わが国企業の減災と災害対応の向上のために」(事業継続計画策定促進方策に関する検討会・内閣府(防災担当)、平成21年11月)・3〜4頁 ↩︎

  4. 「2016年熊本地震による企業等への影響について(企業ホームページ・報道より)(2016年4月21日(木)9:00現在)」東北大学災害科学国際研究所 人間・社会対応研究部門 防災社会システム研究分野 丸谷浩明・寅屋敷哲也 ↩︎

コンテンツの更新情報、法改正、重要判例をもう見逃さない!メールマガジン配信中!無料会員登録はこちらから
  • facebook
  • Twitter

関連する特集