1 事業継続の基本
事業継続は、災害、事故、障害、感染症の流行、物流の乱れなど、組織の通常運転を妨げる事象が起きても、重要な業務をできるだけ途切れさせずに続け、早期の回復へつなげるための考え方である。単に復旧作業を備えるだけでなく、平常時から準備を進め、被害の拡大を抑える点に特徴がある。
1.1 定義
事業継続とは、想定外の出来事に備えて、重要な機能を維持し、必要に応じて代替手段へ切り替えながら業務を再開する仕組みを指す。企業だけでなく、行政機関、医療機関、教育機関などにも適用される。
1.2 目的
主な目的は、重要業務の停止時間を短くし、利用者や顧客への影響を小さくすることである。あわせて、復旧に要する費用や混乱を抑え、組織への信頼を保つ狙いもある。
1.3 重要性
事業継続の重要性は、危機が発生した後の再建だけでなく、平時の備えによって損失を減らせる点にある。業務が止まると、収益、契約、供給、対外信用などに連鎖的な影響が及ぶため、事前対応の価値は大きい。
1.3.1 経営への影響
業務停止は売上の減少、顧客離れ、納期遅延、設備損失などを招くことがある。重要な工程が一部でも止まると、全体の供給やサービス提供に波及し、経営基盤を弱める場合がある。
1.3.2 社会的責任
社会基盤に関わる組織では、継続的な提供が住民生活や公共の安全に直結する。民間企業においても、取引先や地域社会との関係を維持するうえで、安定した業務運営は責任の一部とみなされる。
1.4 関連概念
事業継続は、危機管理や災害対策と重なる部分を持つが、重点の置き方に違いがある。平常時の備えから復旧、改善までを一続きの活動として扱う点が特徴的である。
1.4.1 危機管理
危機管理は、発生しうる危機を把握し、被害を抑えるために組織として対応する枠組みである。事業継続はその一部として、特に重要業務の維持に焦点を当てる。
1.4.2 災害対策
災害対策は、地震、風水害、火災などへの備えや応急対応を中心とする。事業継続は災害対策を含みつつ、システム障害や供給網の混乱など、幅広い障害に対応する。
1.4.3 業務継続
業務継続は、組織の機能を保ち続ける実務的な視点を強めた概念である。事業継続は、この考え方を計画、訓練、改善まで含む体系として整理したものといえる。
2 事業継続計画
事業継続計画は、緊急時にどの業務をどの順序で守り、どの手段で再開するかを定めた文書群である。現場で実際に使えることが重要であり、形式的な作成だけでは十分ではない。
2.1 計画の構成
計画は、方針、対象範囲、責任体制、実施手順、連絡方法などで構成される。内容は簡潔であるほど運用しやすく、必要に応じて補足資料と組み合わせることが多い。
2.1.1 基本方針
基本方針には、何を最優先で守るか、どの程度の停止を許容するかといった考え方を記す。経営上の判断基準を明確にする役割を持つ。
2.1.2 適用範囲
適用範囲は、どの部門、拠点、機能、外部委託先まで計画の対象に含めるかを示す。範囲が曖昧だと、実施時に抜け落ちが生じやすい。
2.1.3 役割分担
役割分担では、指揮、判断、連絡、現場対応、記録などの担当を整理する。誰が何を行うかを明確にしておくことで、混乱時の重複や空白を減らせる。
2.2 重要業務の特定
すべての業務を同じ水準で守ることは難しいため、継続の優先度を定める必要がある。組織にとって欠かせない業務を見極める作業が、計画の土台となる。
2.2.1 業務影響分析
業務影響分析は、業務が止まった場合の損害や波及を評価する方法である。時間経過による影響の増大や、必要資源の依存関係を把握するのに役立つ。
2.2.2 復旧優先順位
復旧優先順位は、どの業務から再開するかを決める基準である。顧客対応、金銭処理、法的義務の履行など、組織の性質に応じて順番が異なる。
2.3 継続目標
継続目標は、どの程度の速さで復旧し、どの時点までに業務をどの水準へ戻すかを定める指標である。判断を数値化することで、対応の遅れを防ぎやすくなる。
2.3.1 復旧時間目標
復旧時間目標は、障害発生からどれだけの時間内に業務を再開するかを示す。短いほど高い対応力が求められ、準備負担も増える。
2.3.2 復旧時点目標
復旧時点目標は、失われたデータや処理をどこまで戻すかを表す。情報システムでは、許容できる損失量をあらかじめ定める際に用いられる。
2.4 代替手段の整備
代替手段は、通常の方法が使えない場合に業務を続けるための備えである。場所、人員、設備、通信手段などを複数用意しておくと、切り替えが円滑になる。
2.4.1 代替拠点
代替拠点は、主拠点が使えない際に業務を行う場所である。小規模な待機スペースから、独立した別施設まで、必要水準は組織により異なる。
2.4.2 代替要員
代替要員は、欠員や出勤不能が生じたときに業務を引き継ぐ人材である。複数人で手順を共有しておくことで、特定の担当者への依存を軽減できる。
2.4.3 代替設備
代替設備は、主設備が故障した場合に用いる機器やシステムである。通信機器、発電装置、予備端末などが対象となりやすい。
2.5 文書化と更新
計画は作成して終わりではなく、実運用に合わせて保守する必要がある。人事異動、組織変更、技術更新に応じて、内容を見直すことが求められる。
2.5.1 計画書の管理
計画書の管理では、版数、保管場所、配布範囲、閲覧権限を整える。古い情報が現場で使われないように、最新状態を保つことが重要である。
2.5.2 改訂手順
改訂手順は、変更の起案、承認、周知、差し替えまでの流れを定める。手続が定まっていれば、修正漏れや責任の不明確化を防ぎやすい。
3 準備と実装
事業継続の実効性は、計画文書だけでなく、日常業務の中でどれだけ備えを実装できるかに左右される。準備段階では、リスクの把握、組織体制の整備、教育、情報保護を並行して進める。
3.1 リスク評価
リスク評価は、何が起こりうるかを洗い出し、起きた場合の影響を見積もる作業である。優先順位を決めるための基礎資料にもなる。
3.1.1 想定脅威の洗い出し
想定脅威の洗い出しでは、自然災害、設備故障、人的ミス、外部攻撃、供給停止などを整理する。見落としを減らすため、過去の事例や業界情報も参考にする。
3.1.2 影響度評価
影響度評価は、発生頻度だけでなく、業務停止の長さ、財務損失、法的影響、信用低下などを見積もる。複数の観点で比べると、重点対策が定まりやすい。
3.2 体制整備
体制整備は、緊急時に機能する組織の骨組みを作ることを意味する。担当者の決定だけでなく、補欠や代行も含めた設計が望ましい。
3.2.1 指揮命令系統
指揮命令系統は、誰が判断し、誰が実行するかを示す連絡と統制の流れである。混乱時にも意思決定が滞らないよう、権限の範囲を明確にする必要がある。
3.2.2 連絡網
連絡網は、社内外への通知先と連絡順を整理した仕組みである。電話、電子メール、メッセージサービスなど複数手段を想定しておくと、通信障害への耐性が高まる。
3.2.3 外部連携
外部連携は、取引先、委託先、行政、地域機関などとの協力体制を含む。単独では解決できない事態に備え、事前に役割分担を確認しておくことが有効である。
3.3 教育と訓練
教育と訓練は、計画を現場で使えるものにするための要素である。担当者が内容を理解し、必要な行動を反復して身につけることが重要になる。
3.3.1 周知活動
周知活動は、計画の存在や基本手順を組織内に広める取り組みである。関係者が内容を知らなければ、緊急時に機能しにくい。
3.3.2 訓練計画
訓練計画では、実施時期、対象者、シナリオ、評価方法を定める。段階的に難度を上げると、実施側の負担を抑えながら理解を深めやすい。
3.3.3 訓練結果の反映
訓練結果の反映は、発見された課題を計画や手順へ戻す作業である。指摘を放置すると、訓練が形骸化し、実際の対応力が向上しない。
3.4 情報資産の保護
情報資産の保護は、データやシステムを失わないための備えであり、事業継続の中心的な要素の一つである。改ざんや消失を防ぐことで、復旧の確実性を高められる。
3.4.1 データの保全
データの保全は、重要情報が破損、消去、漏えいしないように守ることを指す。保存形式や保管場所を分散させる方法も用いられる。
3.4.2 バックアップ
バックアップは、元のデータとは別に複製を保持する方法である。世代管理や保存先の分離を組み合わせると、障害時の復元可能性が高まる。
3.4.3 アクセス管理
アクセス管理は、情報やシステムへの利用権限を制御する仕組みである。不要な権限を減らすことは、誤操作や不正利用の抑制につながる。
4 維持・改善
事業継続は一度整えれば完成するものではなく、環境変化に合わせて保守し続ける必要がある。定期的な確認と見直しを重ねることで、計画の実効性が保たれる。
4.1 点検と監査
点検と監査は、計画や運用が定めた水準に達しているかを確認する活動である。内部の自己確認に加え、第三者的な視点を取り入れる場合もある。
4.1.1 運用状況の確認
運用状況の確認では、計画どおりに連絡、記録、保管、訓練が行われているかを見る。日常業務に埋もれた不備を早期に見つけるのに役立つ。
4.1.2 是正措置
是正措置は、見つかった問題を修正し、再発を防ぐ対応である。単なる指摘に終わらせず、担当と期限を決めて実施することが大切である。
4.2 演習
演習は、緊急時の行動を実際に試し、机上だけでは気づきにくい課題を確認する方法である。経験を積むことで、判断の遅れや手順の曖昧さを減らせる。
4.2.1 図上訓練
図上訓練は、仮想の事象をもとに机上で対応を検討する方式である。比較的負担が少なく、初期段階の検証に向いている。
4.2.2 実動訓練
実動訓練は、実際に人や設備を動かして対応を確認する訓練である。準備は必要だが、現場での実行力や連携の課題を把握しやすい。
4.3 事後検証
事後検証は、実際の事故や訓練のあとに、対応内容を振り返って評価する工程である。記憶が新しいうちに整理すると、改善点を抽出しやすい。
4.3.1 事故対応の振り返り
事故対応の振り返りでは、初動、連絡、判断、復旧の各段階を確認する。想定との差を把握することで、次回の備えに生かせる。
4.3.2 改善策の反映
改善策の反映は、検証で得られた知見を文書や運用へ組み込むことを指す。個別対応で終わらせず、全体の仕組みに戻すことが重要である。
4.4 継続的改善
継続的改善は、環境、組織、技術の変化に合わせて、仕組みを少しずつ高めていく考え方である。固定化を避けることで、実用性を維持できる。
4.4.1 目標の見直し
目標の見直しでは、復旧水準や優先度が現状に合っているかを再評価する。事業内容の変化に応じて、過不足を調整する必要がある。
4.4.2 体制の最適化
体制の最適化は、人員配置、権限配分、連携方法をより機能的に整える作業である。無理のない設計に更新することで、長期的な運用がしやすくなる。