BCPの3年目以降の継続のヒントはISO22301に尋ねよ

なぜ3年目以降のBCPが「大事」であり、「悩み」となるのか

まずは一例として、一般的な企業のBCPに関するエピソードをご紹介します。

このエピソードのように、様々な要因によってBCPへの意識が徐々に変わっていく企業は、決して珍しくありません。

BCPは、初年度よりも2年目・3年目以降の方が難しいものです。初年度は、社長の強い危機感、災害・事故の教訓、監査や取引先からの要請などを背景に、組織に一定の緊張感が生まれやすくなります。トップが「これは重要だ」と言い、事務局が熱量を持って推進すれば、各部門も協力します。規程を整える、重要業務を洗い出す、訓練を実施する。ここまでは、多少力技でも前に進めることができます。

一方で、BCPは驚くほど簡単に形骸化します。社長が交代した瞬間に、経営の関心が一気に薄れることがあります。熱心に推進していた事務局担当者が異動すれば、活動は前年踏襲になりやすくなります。BCP策定時に各部門で議論をリードした人が、ちょっとした人事異動で別部署に移るだけでも、現場側の理解や当事者意識は薄れていきます。

さらに、事業や現場の実態は日々変わっています。設備の更新やレイアウト変更があったのに、BCPの復旧手順や代替手段は見直されていない。新しいシステムを導入したのに、連絡先や復旧手順は旧来のまま残っている。委託先やサプライヤーが変わったのに、代替調達や品質確認の手順は古い前提のままになっている。こうした小さなズレが積み重なるだけで、半年、1年も経てば、BCPはあっという間に現場の実態から離れた“文書”になってしまいます。

訓練も同じです。毎年実施していても、目的が曖昧なまま続けば、いつの間にか“やること”自体が目的になります。昨年と同じシナリオ、同じ参加者、同じチェックリストで進め、最後に「概ね問題なし」とまとめる。ファイルは存在し、訓練も実施され、更新日も入っている。しかし、実際には、誰がその手順を理解しているのか、今の設備で本当に実行できるのか、現在の組織体制で判断できるのかが曖昧になっている。これでは、分厚いBCP文書を作っても、いざという時には使えません。

だからこそ、BCPにおいては、初年度に重たい活動を丁寧にやり切ること以上に、10年後も続いている活動にすることが重要です。完璧な計画を一度作ることよりも、多少粗くても、人が替わり、設備が替わり、事業が替わるたびに問い直される仕組みの方が、はるかに価値があります。

BCPの継続性は何が課題なのか

BCPの継続性における本質的な課題は、文書が古くなることだけではありません。むしろ、策定後の維持管理プロセスに属人的な側面が残りやすいことにあります。社長が強い危機感を持っている。事務局に熱量のある担当者がいる。各部門に当事者意識の高いメンバーがいる。こうした条件がそろっている間は、BCP活動は前に進みやすいものです。しかし裏を返せば、それらの人が交代した瞬間に、活動はあっという間に形骸化します。

特に問題なのは、組織の内外環境の変化をBCPに反映する体制・プロセスが十分に整っていないことです。策定時には、社長の号令のもとで「どの業務を守るのか」「どの程度の停止なら許容できるのか」を議論したとしても、その判断がその後も見直されるとは限りません。組織が変わる。設備が変わる。システムが変わる。委託先やサプライチェーンが変わる。それにもかかわらず、BCPの前提だけが策定時のまま残ってしまうことがあります。

したがって、BCPの継続性は、トップ、事務局、現場当事者の頑張りだけに依存していては維持できません。会社として「BCPをやるのが当たり前」という組織風土を醸成する必要があります。トップが交代しても、前任者の熱量や問題意識が、方針、会議体、目標、レビューの仕組みとして残るようにしなければなりません。また、事務局だけで抱え込むのではなく、リスク管理部門、内部監査部門、法務、情報システム、サステナビリティ部門など、二線・三線の力も借りながら、全方位的に継続される状態をつくることが重要です。

さらに、活動の成果を可視化することも欠かせません。訓練で明らかになった課題が何件是正されたのか。重要業務の復旧手順はどこまで整備されたのか。代替手段の実効性はどこまで確認できたのか。こうした成果が見えなければ、関係者は「毎年同じことをやっている」と感じてしまいます。逆に、改善の積み上がりが見えれば、経営層にも現場にも、BCPを続ける意味が伝わりやすくなります。

つまり、BCPは止まっていないように見えて、実は事業の変化にも、組織の変化にも、経営の関心の変化にも追いついていないことがあります。継続性の課題は、単に「毎年更新するかどうか」ではありません。策定時の号令や担当者の熱量に依存せず、変化を拾い、問い直し、成果を見える化し、改善につなげる仕組みがあるかどうかなのです。

ISO22301の何がヒントになるのか

ここで参考になるのがISO22301です。ISO22301は、BCP文書の作成手順ではなく、事業継続をマネジメントシステムとして回すための規格です。BCPを「一度作って終わり」にせず、事業や組織の変化に合わせて見直し続けるための考え方が含まれています。

特に示唆があるのは、BCPを継続させるために必要な要素が一通り含まれている点です。たとえば、トップのコミットメントを一時的な号令で終わらせず、方針、役割、責任、レビューの仕組みに落とし込むこと。BCPを事務局だけの活動にせず、二線・三線の力も借りながら、ガバナンスとして回すこと。担当者が異動しても活動が途切れないよう、力量、認識、コミュニケーション、文書管理を整えること。訓練を「実施した」で終わらせず、復旧目標や代替手段、経営判断の実効性を検証すること。そして、活動の成果を可視化し、関係者の動機づけと継続的改善につなげること。これらはいずれも、2年目・3年目以降のBCPが形骸化しないために欠かせない要素です。

その観点でISO22301の章立てを見ると、規格の意味がより具体的に見えてきます。

【表】ISO22301規格の構成

The International Organization for Standardization「ISO 22301：2019」を基にニュートン・コンサルティングが作成

4章「組織の状況」は、自社を取り巻く内外環境や利害関係者の要求を踏まえ、BCPの前提を確認する部分です。新しい事業が始まる、海外拠点の重要性が増す、サプライチェーンが変わる、基幹システムが刷新される。こうした変化が起きているにもかかわらず、BCPだけが策定当時の前提に残っていないかを問い直す視点を与えてくれます。

5章「リーダーシップ」は、トップのコミットメント、方針、役割・責任を明確にする部分です。社長が交代した瞬間に活動が下火になるのを防ぐには、トップの熱量を、個人の問題意識ではなく、方針、会議体、目標、レビューの仕組みとして残しておく必要があります。ISO22301は、「社長が熱心だから進む」状態から、「経営として何を守るのかを定め、責任を持って見直す」状態へ移行するヒントになります。

6章「計画」は、事業継続の目標を定め、その達成に向けた計画を立てる部分です。BCP活動を「今年も訓練をやる」「文書を更新する」という作業にしないためには、KGI・KPIを置き、何を改善したいのかを明確にする必要があります。重要業務の復旧手順の整備率、訓練で判明した課題の是正率、代替手段の検証状況などを可視化すれば、関係者にも活動の成果が伝わりやすくなります。

7章「支援」には、力量、認識、コミュニケーション、文書化した情報の管理が含まれます。これは、事務局のキーパーソンや現場の担当者が異動した途端に活動が弱くなる問題に効きます。運用でキーとなる人たち、例えば、現場、マネージャー、事務局、内部監査員――各々のマネジメントに必要な力量を定義して教育を施し、関係者の意識を維持するとともに、文書を適切に管理することで、BCPを属人的な活動から組織能力へ変えることができます。

8章「運用」は、BIA（ビジネスインパクト分析）、リスクアセスメント、事業継続戦略、手順、訓練・テストなど、BCP実務の中心です。ただし、重要なのは訓練を実施すること自体ではありません。復旧目標は今も妥当か、代替手段は機能するか、経営判断に必要な情報は上がるか、重要業務を支える設備・システム・委託先は変わっていないかを検証することに意味があります。

9章「パフォーマンス評価」と10章「改善」は、BCPの継続性にとって決定的です。内部監査やマネジメントレビューを通じて、活動が有効に機能しているかを確認し、改善につなげます。ここでは、事務局や現場だけで自己点検するのではなく、リスク管理部門などの二線、内部監査部門などの三線の力も借りて、活動の実効性を確認することが重要になります。

このように見ると、ISO22301の良さは、BCPの作成方法を教えてくれることだけではありません。トップの熱量、組織風土、力量、コミュニケーション、訓練、成果の可視化、二線・三線を含むガバナンス、継続的改善までを含めて、BCPを組織に根づかせるための枠組みを提供している点にあります。2年目・3年目以降のBCPに必要なのは、担当者の頑張りを増やすことではありません。担当者や経営者が代わっても、問い直しと改善が回り続ける仕組みを埋め込むことです。

明日から着手すべき5つのアクション

明日から必要なのは、BCP文書を最初から作り直すことではありません。まず、自社のBCP活動をISO22301の観点で点検してみることです。認証取得を前提にしなくても構いません。ISO22301を、BCPが形骸化していないか、継続的に改善される仕組みになっているかを確認するための“ものさし”として使うのです。

アクション①：属人化の点検

まず見るべきは、自社のBCP活動が、社長、事務局、現場担当者の熱量にどれだけ依存しているかです。社長が交代してもBCP方針は見直されるか。事務局担当者が異動しても年間計画は引き継がれるか。各部門のキーパーソンが替わっても、復旧手順や代替手段は理解されているか。ISO22301のリーダーシップ、役割・責任、力量、文書管理の観点を用いれば、属人化している箇所を洗い出しやすくなります。

アクション②：変更をBCPへ反映するプロセスの構築

次に、「変化を拾う入口」を決めることです。BCPが現場の実態から離れるのは、変化が起きた後にBCPへ反映する入口がないからです。組織変更、設備変更、システム変更、委託先変更、新規事業の立ち上げ、拠点再編などが起きた時に、誰がBCPへの影響を確認するのかを決める必要があります。ISO22301の「組織の状況」やリスク評価の考え方を活用することで、事業環境の変化をBCPに結びつける視点を持ちやすくなります。

アクション③：訓練を恒例行事ではなく「検証の場」に戻す

訓練も、「恒例行事」から「検証の場」に戻す必要があります。今年の訓練では何を検証するのか。「安否確認の到達率」なのか、「対策本部の意思決定」なのか、「代替拠点への切り替え」なのか、「主要サプライヤ停止時の対応」なのか。ISO22301の運用、演習・試験、評価の観点を取り入れることで、訓練を単なるイベントではなく、復旧目標や代替手段の実効性を確認する場として設計しやすくなります。

アクション④：BCP検証の成果を可視化し、経営層と現場へ課題を共有

さらに、成果を可視化し、経営層と現場に返すことも重要です。「訓練をやった」「文書を更新した」「教育を実施した」で終わってしまうと、関係者は「毎年同じことをしている」と感じてしまいます。ISO22301の目標管理、パフォーマンス評価、マネジメントレビューの考え方を適用すれば、復旧手順の整備状況、訓練で判明した課題の是正状況、代替手段の検証結果、経営判断が必要な残課題などを整理しやすくなります。成果が見えれば、経営層と現場の動機づけにもつながります。

アクション⑤：BCP活動を一つの改善サイクルとして設計

最後に、今年度のBCP活動を、文書更新、教育、訓練、経営報告という個別作業としてではなく、一つの改善サイクルとして設計することです。年度初めに環境変化を確認し、重要テーマを決める。訓練で実効性を検証する。課題を是正する。内部監査やレビューを通じて改善状況を確認する。そして、経営に報告し、翌年度の活動につなげる。この流れをつくるために、ISO22301は非常に使いやすい枠組みです。

ISO22301は、必ずしも認証取得のためだけに使うものではありません。むしろ、2年目・3年目以降のBCPが形骸化していないかを点検し、継続する仕組みに作り替えるための実務的な参照軸として使う価値があります。BCPを「担当者が頑張る活動」から、「会社として続く活動」に変えるために、まずはISO22301をものさしに、自社の活動を見直すことから始めてみてはいかがでしょうか。

参考情報