業務レベルの目標復旧時間(RTO)の決定方法

当社ニュートン・コンサルティングを例にとって考えた場合、事業はコンサルティング（法人のお客様に対し、効果的・効率的なリスク管理の仕組み作りの支援を行うビジネス）であり、その事業を支える業務としては、マーケティングにはじまって営業やお客様先へのコ－チング、成果物の作成など様々な業務が挙げられます。

仮に「成果物の作成業務のRTO」を決めるのに、先述した“RTOを特定するための一般的なアプローチ”をあてはめてみましょう。「成果物の作成業務が1時間停止したら、ビジネス自体にどのような影響がでるのか」「いや１日停止したらどうなるのか」といったことを考えて、最終的にどこに復旧目標をおくことが妥当であるかを決定することになります。

意外に難しい業務レベルのRTOの特定

業務レベルのRTOを決定する際には、仕事の内容を一番よく理解している業務担当の現場部門に依頼して特定してもらうというボトムアップアプローチをとる組織が多いように思われます。このアプローチは、うまく機能すれば、大きな効果を発揮しますが、反面やり方を誤ると、かえって繁雑な作業を生むリスクを持っています。なぜなら、事業を支える（何十、場合によっては何百もの）数多くの業務がある中で、自身が担当する業務が中断した場合にビジネスへ与える影響を想像するのは、そう容易いことではないからです。

事実、各部門で特定されたRTOを事務局で、いざ集計してみると、担当者間での認識にばらつきがあり、ビジネス上、どちらも同じくらい重要な業務であるにもかかわらず、片方はRTOが数時間、片方は1週間といった結果になってしまい、調整に膨大な時間がかかってしまう、と嘆いていらっしゃる会社様の声をよく聞きます。

事業レベルからのトップダウンアプローチ

この問題は、業務レベルのRTOを特定する担当現場部門が、各事業間の復旧優先順位に関する統一的な見解を持っていないことに起因すると考えられます。では、どうしたらいいのでしょうか？ このような問題を抱える可能性の高い組織においては事業レベルからのアプローチ、すなわち、トップダウンアプローチを上手に活用することが有効です。

この方法では、まず経営層を含んだ上級責任者レベルで、事業レベルの最大許容停止時間（MTPD）を特定します。なお、「事業レベルのMTPD」とは、「組織の存続を決定的に危うくする事業中断の時間の長さ」を指します。ここで特定されるMTPDは、あくまでも客観的な数値（経営者の意向を反映していない事実に基づく限界中断時間）です。次に、特定したMTPDを参考数値として見据えながら（ただし、MTPDを超えないように注意しながら）、経営者の意向を反映させた事業レベルのRTOを決定します。こうして決定した各事業のRTOを組織の意志として、その事業を構成している各業務担当の現場部門に提示し、この事業レベルのRTOを達成できるような業務レベルのRTOの特定を依頼します。

このようにすることで、各々の業務活動の分析の前提がバラバラになってしまうことを回避することができるので、結果として経営的な観点から見た各事業間の復旧優先順位との整合性がとりやすくなるわけです。

重要業務の洗い出しと業務レベルの目標復旧時間の設定

ただし、突然事業レベルのRTOを提示されて業務レベルのRTOを決定するようにいわれても、現場の混乱を招く恐れがあります。それは、今回ご紹介しているトップダウンアプローチが逆算思考であることに対して、現場は平時の業務からの積み上げであるボトムアップ思考であることが多いからです。そのため以下のような丁寧なプロセスを踏んで業務レベルのRTOを検討していくことが望ましいでしょう。

Step.1 業務フローを作成する

平時において、どのような業務が行われているかを図解します。
それぞれの業務をどの部署が実施しているか、業務同士の関係性・時系列を明らかにします。

Step.2 重要業務を洗い出す

作成した業務フローから、事業の継続において絶対に欠かすことのできない業務を洗い出します。

Step.3 各重要業務のRTOを決定する

2で洗い出した重要業務に対し、提示された事業レベルのRTOから逆算して業務レベルのRTOを決定します。 例えば、RTOを3日と設定された事業において、A→B→Cという順番の 3つの業務がある場合、C業務のRTOを3日と設定し、B業務は2日、A業務は1日、などと定めていきます。
ただし、この検討をする上でどうしても実現不可能な業務レベルのRTOとなった場合、最初に提示された事業レベルのRTOに無理がある可能性があります。この場合は、現場とトップの認識に乖離がある可能性があるため、調整をする必要が生じます。

このような段階を踏むことで、トップダウンの事業レベルRTOに対し、現場の意見が反映された業務レベルのRTOを設定でき、実効性のあるBCPにすることができます。

企業で実際に検討される業務レベルのRTOの例

さて、具体的に企業ではどのような業務レベルのRTOを決定しているのでしょうか。
当社が実際に支援した企業の業界特性とそれを踏まえたRTOの実例を紹介します。 下記に紹介する例は、各業界において、一般的なRTOとなっています。

製造業

製造業界は、食品／医薬品／機械等、製品特性によって事業レベルのRTO違いがあることから、業務再開に係るRTOは様々です。一方、状況把握といった初動の活動に係る業務レベルのRTOは、類似のタイムラインで動くことが多いです。

【状況把握】

工場の安全・稼働確認：24時間
在庫・倉庫の確認：24時間
仕入れ先・取引先の状況確認：2日

【業務再開】

出荷：3日
生産計画の見直し：1週間
原材料調達等の見直し：1週間
生産再開もしくは今後の方針の打ち出し・社外広報：2週間程度

卸売業

業界の特性として、受発注や決済機能の維持が求められます。ステークホルダー とのコミュニケーションルートを確保し連携が取れる状態にすること、必要な業務を滞りなく遂行するための人員・システムの稼働に依存する部分が大きいといえます。

【状況把握】

自社内の状況把握：24時間
取引先・システム・金融機関等の状況把握：24時間

【業務再開】

受発注業務：24時間（広域被災の場合は72時間
決済業務：48時間（広域被災の場合は72時間）

情報通信業

取り扱うサービスによるものの、よりインフラに近いシステムには「止めないこと／停止時間を短くすること」が求められます。システムの維持を除けば、顧客対応が重要業務として挙げられることが多いです。

【状況把握】

自社内の状況把握：30分
委託先・システムの状況把握：30分
（サービスの停止がある場合）影響範囲・復旧目途の確認：1時間

【業務再開】

問合せ対応：24時間
全体広報：24時間
契約・申込対応：24時間

業務レベルの復旧目標を設定するには、トップダウンとボトムアップによる2つのアプローチをすることが重要です。事業レベルのRTOにより経営の意思を反映し、現場がリソースや設備・システムの現状を考慮した業務レベルのRTOを検討することで、実効性のあるRTOを設定することができます。