BCM構築の5ステップ
事業継続のための管理とは

はじめに

近年、自然災害や感染症などの影響により、企業の事業継続計画（BCP）の重要性が高まっています。BCP策定の中核となるのが、BCM（Business Continuity Management）です。
今回は、BCMの概要から構築ステップ、BCMを継続するためのBCMS（Business Continuity Management System）まで解説します。

多くの企業が「BCP（計画書）」を作成しただけで満足してしまい、いざという時に全く役に立たないという罠に陥っています。予測不能な有事に耐えうる真の組織力を培うには、計画を検証し、人を育て、組織の仕組みとしてブラッシュアップし続ける「管理・運用体制」が不可欠です。

BCMとは

BCM（事業継続管理）とは、事業継続計画（BCP）を含む、事業活動全般を管理する取り組みです。
BCPは、災害発生時などに事業を継続するための計画である一方、BCMは計画の策定だけでなく、実行、維持、改善といった一連の活動を指します。

自動車に例えるなら、BCPはトラブル時の対応が書かれた「取扱説明書」であり、BCMは日常の「メンテナンス」やドライバーの「運転訓練」そのものです。文書を作るだけでなく、組織全体に事業継続の意識を根付かせ、常に最新の経営環境に耐えうる状態をキープする総合的なマネジメント活動を意味します。

BCM構築の5ステップ

BCMの構築は、以下の5つのステップで進めます。

ステップ1：BCM基本方針の策定

企業の理念や事業戦略、ステークホルダーとの関係性などを考慮し、BCMの基本方針を定めます。人命最優先や顧客への製品・サービス提供の維持といった方針が考えられます。

この基本方針は、有事の際のあらゆる意思決定の「最上位基準」となります。経営層が強いコミットメントを示し、「どの業務を、どのタイムラインで守り抜くのか」を社内外に宣言することで、プロジェクトの推進力が生まれます。

ステップ2：影響度分析

災害時に事業が停止した場合の影響を分析します。売上や利益だけでなく、顧客や従業員、社会からの信頼性など、様々な側面から影響を検討します。

これは「ビジネスインパクト分析（BIA）」と呼ばれます。操業停止からの経過時間（24時間後、3日後、1週間後）ごとに生じる損失を数値化し、企業の体力（耐えられる限界点である「最大許容停止時間：MTPD」）を科学的に見極めます。

ステップ3：事業継続戦略の策定

影響度分析の結果に基づき、重要な業務を特定し、その復旧目標時間を設定します。また、目標復旧時間内に事業を復旧するための戦略を検討します。

ステップ2で導き出した限界点を踏まえ、具体的な「目標復旧時間（RTO）」や「目標復旧時点（RPO）」を定めます。そして、代替オフィスの手配、生産ラインの分散、重要データの遠隔地バックアップなど、目標を達成するための具体的な「代替戦略」を設計します。

ステップ4：BCP策定

事業継続戦略に基づき、具体的な行動計画であるBCPを策定します。BCPには、緊急時の指揮命令系統や対応手順、事前対策計画、訓練計画、更新計画などを盛り込みます。

発災直後の「初動対応マニュアル」から、業務引き継ぎの「復旧手順書」までを時系列に沿ってドキュメント化します。現場の誰もが迷わず動けるよう、連絡先一覧（エスカレーションフロー）や、必要な資機材のチェックリストを網羅することが実務上のポイントです。

ステップ5：教育・訓練の実施

BCPを実効性のあるものにするためには、従業員への教育・訓練が不可欠です。定期的な訓練を実施し、問題点を洗い出し、改善を図ります。

座学でのマニュアル読み合わせ（机上訓練）から始め、抜き打ちの安否確認テスト、特定のシステム停止を想定したシミュレーション訓練などを段階的に実施します。訓練で露呈したマニュアルの不備や想定の甘さを次のステップへフィードバックすることが、BCMの肝となります。

BCMSとは

BCMS（事業継続管理システム）とは、BCMを継続的に運用するための仕組みです。BCMのPDCAサイクルを回し、事業継続能力を向上させることを目的とします。

国際標準規格である「ISO 22301」に基づき、組織が一丸となって事業継続の計画（Plan）、実施（Do）、監視・レビュー（Check）、維持・改善（Act）を行うための包括的な「制度」や「枠組み」を指します。

BCMSのメリット・デメリット

BCMSのメリットは、事業継続能力の向上です。継続的な見直しや改善により、災害時の対応能力を高めることができます。

さらに、国際規格（ISO 22301）に準拠したBCMSを構築・認証取得することは、市場やサプライチェーン、投資家に対して「有事でもサービスを停止させない高度なリスクマネジメント力がある企業」としての客観的な証明になり、強力な企業ブランド（信頼性）を獲得できるメリットもあります。

一方、BCMSには、目的の曖昧さによる機能不全というデメリットもあります。BCMの目的を明確にし、文書化だけでなく、訓練や見直しを継続することが重要です。

規格に適合させること（書類作成や審査への対応）自体が目的化してしまうと、現場にとって「ただ面倒で形骸化したルール」になり下がります。形だけの文書が増えることで、実務のスピード感が損なわれる「規程の肥大化」を招くリスクには注意が必要です。

まとめ

BCM対策は、企業にとって重要な取り組みです。BCMを構築し、BCMSによって継続的に運用することで、緊急事態においても事業を継続できる体制を構築できます。
より効果的なBCM対策のためには、専門家のサポートやツールの導入も検討しましょう。

激甚化する自然災害や絶え間ないサイバー脅威など、企業を取り巻く環境は常に変動しています。昨日まで完璧だったBCPが、今日の脅威には通用しないことも珍しくありません。BCMとBCMSを正しく機能させ、企業の「レジリエンス（しなやかな回復力）」を日々アップデートし続けることこそが、予測不可能な時代において持続可能な成長を果たすための真の経営基盤となります。

---

日本の中小企業がサイバー攻撃に狙われています

ランサムウェアに屈しない「データ保護」のポイント

「データ保護」とバックアップの要点を3分動画で分かりやすく解説しています。まずは以下よりご覧ください。

【3分で分かる】中小企業のための情シス相談室　ダイジェスト紹介

【簡単見積り・資料ダウンロード・個別相談】

自社の「データ保護の状況」に不安を感じていても、どこから手をつけるべきか迷うシステム担当者様は少なくありません。まずは社内での「セルフチェック」による現状把握や、上長への説明・稟議の材料として、以下のお役立ち資料をぜひご活用ください。