株式会社インターリスク総研 主席研究員　小林 誠 氏

BCP（Business Continuity Plan）は日本語では「事業継続計画」と訳されるわけですが、まさに日本企業のBCPは、「計画」だけで満足しているという点が大きな問題ではないでしょうか。BCPを計画だけに終わらせることなく、運用、実践してこそ「事業継続」が成り立つわけですよね。

そこで必要となってくるのが、BCM（Business Continuity Management）、つまり「事業継続マネジメント」という考え方です。たとえば、「経営計画」が経営そのものであるかというと、そんなことはないでしょう。それを運営・管理していくマネジメントがあってこそのプランなのです。つまり、先にプランありきではない。マネジメントがあって初めてその中で計画を作り、それを実行して、本当にできているかどうかをきちんと見て、それから再び見直していくというのがあって、やっとプランが実効性をもってくるわけです。

BCPは、BCMを推進するための一部を担う諸文書、諸計画にすぎません。それがまるで「事業継続」のすべてのように語られている日本は、世界と比較しても、かなり特殊な“BCP大国”になっています（笑）。

そのとおりです。もうひとつ大きな問題は、日本ではBCPが地震対策の延長線上でしか捉えられていないということです。“地震大国・日本”ですから、ある面、仕方ない部分もあるのですが、事業が停止する原因はなにも地震だけではありません。ほかにも日常的に頻発しているICT事故もありますし、最近大きくクローズアップされている新型インフルエンザの問題もそうでしょう。

たとえば、1918年に大流行したスペイン風邪では、なんと世界中で感染者が6億人、死者は4,000万人から5,000万人に達しました。当時の人口が8億〜12億といわれていますので、地球上の半数の人々がスペイン風邪にかかったわけです。現在は医療技術が進歩しているので、新型インフルエンザでここまで犠牲者の数が増えるとは思えませんが、少なくともその影響で会社を欠勤する人の数は膨大なものになると考えられます。イギリスで2006年に行われた「鳥インフルエンザでどれくらいの従業員が欠勤すると思うか？」というアンケートでは、約27％の企業が「全従業員の20％を超える」と答えています。5分の1の従業員がいっきに休めば、それだけで事業はかなり停滞しますよね。

このように「事業継続」が危機に陥るケースは、いろいろ考えられるわけです。それにも関わらず、いつ発生するかわからない大地震だけに絞って対策を練っていても意味がありません。そもそも大地震が切迫しているとよくいわれますが、それは私たちの“生活時間”でなく、むしろ地質年代レベルの切迫性といっていいでしょう。もともとスケールが全然違うわけですね。もっと細かく検証すれば、他にも企業の「事業継続」を妨げるいろいろな要因があるはずです。もちろん、日本の場合は企業の社会的な責任としても、地震への備えは必要です。しかし、BCP的な観点で見れば、それだけでは全く不充分で、日本企業のBCPは現状では歪な形になっているといわざるを得ません。

いえいえ、それは無理です。とくに最近社会を騒がせている企業の不祥事など、「事業継続」を危機に陥れる原因は想定外のものが増えています。想定外なものに対して事前に対策は講じられないですよね、“想定の外”なのですから。そんな人知の及ばない出来事が起こったときに、「その原因は何だ!?」と騒いでも何の意味もないわけです。そうではなくて、起きてしまったことにどう対応するかが、BCMでは重要なのです。

小松左京氏の小説に『首都消失』という作品があります。これは、東京上空に突然正体不明の雲が覆いかぶさり、人も物も情報も途絶するというSFです。原因はわからないのですが、そのとき企業としては、人は派遣できない、物資も入らない、通信も途絶えた・・・という状況に陥りますよね。「そんな非常事態にどう対処しますか」というのが、BCMの本質なのです。

BCMには3つの基本的な考え方があると思います。

1つ目は先に述べたように、原因が何であれ、「事業継続」に重大な危機をもたらす出来事が起きたとき、「その結果をどう管理するか」というのがBCMの大きな考え方です。

防災や消防計画とBCMとの大きな違いは、「原因管理」か「結果管理」かの違いなのです。BCMの場合、企業が受ける影響の方、どんな悪いことが起きるのかにまず着目します。これを「インパクト分析」といいますが、インパクト・ベースで対策を練るわけですね。この場合大事になってくるのが、どれだけ影響を小さくするかという点と、復旧までの時間をいかに短くするかということです。しかし、防災や消防計画というのは、このような事後対策は“従”の部分で、原因を小さくしていこう、なくしていこうというのが主な役割となっています。

ですから、これも混同されやすいのですが、リスクマネジメントとBCMとは全く違うわけです。リスク・ベースで全体を見ていくのか？それともインパクト・ベースで見ていくのか？この両者は似ているようで、本当は全くの別物です。日本企業の場合は、震災対策に見られるように「原因管理」が主となっていますから、それを「結果管理」へ転換させなければなりません。

私が講演などで皆さんに必ず問いかけるのが、「10日間、あなたの事業所が止まったら、どうしますか？」ということです。原因は何であれ、まずはその結果どんな影響があるのか、それを推し量るところからBCMを考えてもらえれば、一番わかりやすいのではないでしょうか。

どのような緊急事態も、小規模な事態から発展して大規模になり、そしていつかは収束していきます。そうした緊急事態の進展に合わせて、対応体制を拡大したり、判断者をより上位の者に移行したり、対策内容を高めていくことが、BCMでは必須となります。そのレベルに合わせた対応を「エスカレーション（段階的拡大）」と「コントロール」といって、これがBCMを理解するための第2のキーワードですね。もともとは軍事用語で、「小規模、中規模、大規模な戦争体制を整え、戦域の規模に応じて柔軟に対応する」ということを意味しています。

言葉を変えれば、BCMの場合、大地震のような最悪の事態だけを想定していてはダメなのです。それでは、先ほど述べた新型インフルエンザの流行のように徐々に拡大する事態に対応できません。事業継続のためには、軽度から重度まで、いろんなケースを想定し、対処能力を身につけておかなければならないのです。

そのとおりなのですが、これがなかなか難しい。昔、鹿児島の天文館という繁華街が洪水で水没したことがあったんです。そのとき、多分テレビのニュースだったと思うのですが、パチンコ屋さんに水が流れ込んでいるのに、パチンコに夢中になってお客さんがなかなか逃げないという映像を見たことがあります。そのお客さん、ガンガン玉が出ていたのでしょうね。膝まで水が上がってきても、まだ止めない。ついには腰くらいまで水がやってきて、さすがに冷たいと思ったのか（笑）、そこでやっとあきらめました。要するに人というのは客観的に、科学的にリスクはこうだといわれても、その人の置かれた状況や感じ方によって、リスクはリスクたり得ないのです。

このお客さんは助かりましたので笑い話で済みましたが、企業の場合、そんな能天気な対応はできませんよね。「事業継続」を妨げる要因を水にたとえると、それが足元、膝、腰・・・と、どこまで来たらどう対応するか、それぞれのレベルに合わせてしっかりと対策を練っておかなければなりません。

そこを3段階にするのか、10段階にするのか、それぞれの業務によって違うんですが、イギリスの「事業継続協会」は3段階でいいのではないかと提案しています。

まずは小規模を想定したレベル3の「業務復旧のための業務対応」。これは部門ごとにできるものです。次のレベル2は「事業継続のための戦術的対応」で、事業再開・復旧に関する組織的な対策をここで練ります。そして最後がレベル1の「企業危機のための戦略的対応」となります。これは危機広報など、危機管理を必要とする高度なレベル対応ですね。

このように、部門の中だけで起きていることなら、部門長が対応すれば済みますが、それがエスカレーションして、レベル2や3になれば、全社的な対応が必要となってきます。もしレベル3になれば、今度はトップがちゃんと判断して、実際に誰が統制するのかという問題が発生します。社長が一人で駆け回ってすべてを処理できるわけではもちろんないので、その指揮系統をしっかり構築しておかなければなりません。これが「コントロール」になるわけです。もちろん、それぞれのレベルに合わせて、「事業継続」のためにどう人員を配置するかなど、細かい対策も必要となってきます。

日本ではこれが一番難しい問題かもしれませんが、企業においてBCM文化の定着をどう図るかということです。

イギリスを中心とするBCMガイドラインは、どれも“BCM culture”の重要性を謳っています。“culture”は日本では「文化」と訳されていますが、その語源は「耕す」ということです。つまり、「耕す土地は環境や場所によってさまざまであり、育てる農作物も違えば、それに伴う風俗習慣も違ってくる」といった意味ですね。

“BCM culture”も同様で、企業によってやり方やその内容は当然違うわけですが、そこには「風俗習慣」のように、誰もがBCMの重要性を認識、納得して、それを実行する土壌がなければいけません。つまり簡単にいえば、嫌々やらされているようでは、企業危機という土壇場で何の効果も発揮し得ないというわけです。このBCM文化の醸成があってこそ、BCMが組織に定着するといってもいいでしょう。

一番大事なのは、やはりそのための教育・訓練でしょう。それは従業員だけでなく、トップに対しても行われなければならないと考えています。それを通じて、BCM文化を徐々に醸成していくしかありませんね。

だったら、それは防災訓練と同じではないかとおっしゃるかもしれませんが、実はBCMの教育・訓練はそれとは全く違った側面を持っています。さきほど私は、BCMは事後対策が“主”であると述べました。いかにダメージを小さくして、復旧までの時間を短くするか。これがBCMの第1の目的でしたよね。そのためには、全社的にすべての業務を一斉に復旧させるというのはなかなか現実的には難しい。いろいろな業務の中でどれを最優先に立て直すか、必然的にプライオリティが必要になってきます。

たとえば、A、B、Cという3つの業務があるならば、「Aの復旧にまずは全精力を注ぎ、B、Cに関しては当面置いておきましょう」という決断が必要になるわけです。その際、普段BやCの業務に携わっている人たちも、もちろんAという業務の復旧に全面的に関わらなければなりません。しかし、他の業務の手伝いをする人たちからは必ず、「自分のところは壊れたままでいいのか」といった不満の声が出てきますから、「会社全体ではこういう順番で復旧していくのが、採算性を含めて最上の策だ」ということを、普段からみんなが納得していないとうまくいかないんです。それがBCM文化なのです。

日本の大多数の企業は、そこが抜け落ちているのです。単純に避難訓練と同じレベルでBCPを捉えている。これでは、絵に描いた餅にすぎません。

そのためには、誰もが納得するような決め方をしなければいけないのです。ところが、いまの日本企業では、声の大きい人が「これが大事だ」といったら、そうなってしまう傾向が強い。もしくは“根回し”でいつの間にか決まっている。そうではなくて、みんなの意志で、そして社内の総意として「これが最優先課題だ」と認識して、そこに注力していくことを決めない限り、誰もが先頭に立って業務の復旧には携われないのです。「手伝ってやる」みたいな意識では、早期の復旧はできません。

さらには復旧に携わる他の部署の人たちが、その業務のことを全く知らずに派遣されても、現場は混乱するだけですよね。いちいち一から説明しなければ動けない人たちがたくさん応援に駆けつけて来ても、復旧の足手まといになるだけですから。そこで普段からの教育・訓練が大事になってくるわけです。まずはみんなが納得して企業の非常時に当たる―BCMは“民主主義”なくしては成り立たないものなのです。

それと同時にトップの果敢な決断も必要です。事が起こる前までは“民主主義”で積み上げていけばいいのですが、いざ非常事態に直面したら、今度は強力なリーダーシップが欠かせません。さきほどの「エスカレーション・コントロール」の「コントロール」の部分ですね。しかし、これが多くの日本企業のトップには欠けている。以前からいろいろな面で指摘されている問題ですが、BCMにおいてはリーダーシップがさらに重要になります。それゆえに、普段からのトップに対する教育、訓練も欠かせないわけですね。

BCPも、それをマネジメントするBCMも同じですが、当然のことながら各企業によって、それに傾けられる財力や人員に差があります。そこで一番大事なことは、無理をしないということです。やれるところからやっていく。私はこれを「身の丈サイズのBCP」といっているのですが、これが大原則ですね。

そういう意味では、先にお話ししたことと相反することをいうようですが、わかりやすさ、あるいは取り組みやすさから見ると、防災の延長線上でやっていくのが一番現実的な手法だと思います。

その場合、第1の目的は従業員の中から死者を出さないこと。たとえば、高層ビルの上層階に事務所があるのなら、揺れによってキャビネットやコピー機がふっ飛ばないように、それらを固定するといったことなら、すぐにでも始められますよね。そして社員が自らの身体を守るためには、古典的な防衛手段ですが、机の下に潜り込むことが基本です。その際、机の下に書類や道具がぎっしり置いてあったら避難できません。また机の下に潜り込めないほどに太っていたら、それも非常に危険でしょうね（笑）。潜り込んで避難できたとしても、キャビネットが机に覆い被さり出られなくなったらどうするのか。たとえば、そこに食料や水などの簡単な備蓄品のパッケージを置いておけば、救出されるまで生き長らえることができるかもしれません。このように身近なところから、一つひとつ手をつければいいのです。

たしかにそのとおりです。しかし、繰り返しますが、できないことをやるというのは一番危険です。自分の会社の能力なり体力を考えて、どこまでできるのか、そのできることをやっておけば、第一歩としては充分だと思います。無理をすると、お金も続かないし、人も続かないですから。できることを1つでも2つでもやる。そうすれば、災害に対して社会全体の対応力が高まります。些細なことでも「身の丈サイズのBCP」を実践すれば、社会的にもとても有用で意味のあることなのです。

そして、会社に余力があるなら、徐々にステップアップしていってほしいものです。その具体的なやり方としては、既存のテンプレートに書き込んでプランを作っていくという方法がいいのではないでしょうか。たとえば、インターネットでも閲覧できますが、静岡県が作成した『事業継続計画（簡略版）作成手引き』というものがあります。これは、A4 サイズでたった4ページのものです。そこには全体の方針から始まって、最優先で復旧する事業名やその想定される復旧時間、緊急時における体制やその担当者名などを書式に沿って書き込むようになっています。静岡県ですから東海地震を想定した事業継続計画になっていますが、各企業の事業特性や地域特性に応じて想定事項を置き換えるといいでしょう。簡単そうに見えますが、いざ作成するとなると、これが結構難しい。普段からいかに「事業継続」について考えていないかがよくわかると思いますよ。でも、これさえクリアすれば、BCPのアウトラインがよく見えてくると思います。他にも、私が委員として関わった、中小企業庁の『BCPガイドライン』などもインターネット上で参照することができますので、参考にしてください。

BCPを作成する際に間違いやすいのは、それをマニュアル（手順書）だと勘違いしてしまうことです。あくまでBCPはプラン（計画）であり、決してマニュアルではありません。経営計画を「経営マニュアル」といわないのと同じことですね。

BCPで重要なことは、これを推進するため「1年間の間にいつ、何をするか」。そして、それを達成できなければ「来年、再来年にはいつ、何をするか」といった活動計画がちゃんと書いていなければ意味がないのです。それがなければ、現場は何も動くことができませんからね。防災計画だって、「定期的な訓練を9月1日にやりますよ」と書いてあるから、従業員にそれを周知徹底できるのであって、マニュアルだけなら、そんなものは配れば済む話でしょう。

何事においても、日本人の“マニュアル頼り”は悪いクセですね。結果、それを作ったことで満足してしまう。中にはそのドキュメントが厚ければ厚いほど安心してしまう、重度のマニュアル中毒患者もよく見かけます。

そういう意味においては、BCMにおける書類の作り方も重要なポイントです。BCMでは、BCPはもちろん、事前対策や広報対応など、そのドキュメントは多岐にわたります。しかし、それを1冊にまとめたら、それこそ「いったい誰が読むのか！」というほどぶ厚くなります。その愚を避けるためには、たとえば、一般従業員用、管理職用、トップ用と、対象者別に作成するとか、部門ごとに分冊するといった工夫が必要です。細かいことをいっているようですが、これもBCM文化を醸成するための大事なポイントだと思いますよ。

どんな事態までBCMの対象とするかは、その企業の成り立ちや考え方によってまちまちですから、最後は自分たちで決めるしかありません。3年ほど前にイギリスでBCMの展示会があったのですが、そこで私が海外の学者にいわれたのは、「日本で最大のBCMは高齢化問題ですね」ということでした。たしかに日本で高齢化は切迫した問題ではありますが、それがBCMの対象になるとは・・・ちょっと驚きましたね。実際“BCM先進国”といわれるイギリスでは、いろいろな問題がその対象となっています。そのひとつに「ロス・オブ・スキル」というのもあります。技術の継承に関する危機感ですよね。あるアンケートでは、ICT問題などに続いてこれが4位に上げられていますので、イギリスではかなり深刻な問題として捉えられていることがわかります。

業種によっても、もちろんその対象は違います。たとえば、これから学生数が確実に減っていく日本の大学では、どうやって生き残っていくかは大問題です。まさに「事業継続」の危機ですね。その生き残る能力はどうなのかということも含めて、BCMの対象であることは間違いありません。

私どもは毎年BCPに関する意識調査をやっているのですが、2005年と2006年を比較して顕著な変化が見られたのが、「BCPに関連会社や取引先を含むか？」という問いでした。「連結会社まで」と答えた企業が23.1％から55.3％へ、「取引先から協力会社まで含む」と答えたのが、7.5％から27.4％へと、ともに大幅な伸びを示しました。多くの企業はサプライチェーンの中で仕事をしているわけですから、川上や川下で事業の中断が起きれば、当然ながら自社の事業もストップしてしまいます。2004年に起こった新潟県中越地震のときも、自動車メーカーに部品を供給する企業の業務が止まり、全国で車が生産できなくなったという事象が実際にありました。

そういう意味では、いまや一社だけでBCMを構築しても限界があるわけです。自分の会社だけでできること、川上や川下の企業とともにできること、さらには業界全体で考えることといったようにカテゴリー分けをし、各方面と手をつないでBCMを考えることが、いまの企業には求められているといえるでしょう。

それは充分あり得ます。実は来年（2009年）末を目途に日本情報処理開発協会が中心となって、「事業継続マネジメントシステム」（BCMS）の第三者認証制度をスタートさせる予定です。この立ち上げには私も関わっているのですが、これがBCMのひとつのスタンダードとなれば、この認証がないとサプライチェーンに加われないという事態も考えられます。

いえいえ、それより日本人は認証制度に弱いですから、「御社はBCMSの認証を取得しましたか？」という具合に、皆さん連鎖的・自発的に動かれるのではないでしょうか。これがひとつのきっかけとなって、BCMの本来の姿が日本企業に浸透すればいいと私は思っています。

しかし、これはあくまで外部的な働きかけにすぎません。本来は、各企業がその企業なりのBCM文化を育み、花咲かせてほしい。そのお手伝いをこれからもずっとやっていきたいですね。