BCPは保険にあらず――地震大国で事業を行う覚悟はあるか：ITIL Managerの視点から（2/2 ページ）

[谷誠之，ITmedia]

BCM（Business Continuity Management）

　BCPを計画し、実際に運用するまでをトータルにマネジメントすることをBCMという。日本語では「事業継続性管理」または「事業継続管理」と訳される。BSIでは「組織を脅かす潜在的なインパクトを認識し、利害関係者の利益、名声、ブランドおよび価値創造活動を守るため、復旧力および対応力を構築するための有効な対応を行うフレームワーク、包括的なマネジメントプロセス」であると定義している。

　先に紹介した「事業継続計画策定ガイドライン」では、BCM構築の一般的な流れを図1のように説明している。重要なのはこの図がPDCAサイクルの形になっているという点である。BCMは一度策定したら終わり、というものではない。常に評価測定と改善が必要なものである。

図1：BCM構築の一般的な流れ（経済産業省 経済産業省事業継続計画策定ガイドラインより）

　それはBCPそのものにも言えるだろう。何がビジネス上の脅威になりえるか、ということは不変ではないだろうし、ビジネスの“在り方”そのものも変わっていくだろう。3年、あるいは5年といったスパンでBCPそのものを見直すような仕組みを作っておかないと、BCPと現実とがかけ離れたものになってしまう可能性がある。

BIA（Business Inpact Analysis）

　BIAとは、ビジネスインパクト分析のことである。図1にも出てくる「ビジネスインパクト分析」は、最終的にBCMを策定していく上で最初に行うプロセスである。具体的には、次のような項目を洗い出し、対策を整えるべき項目に対して優先順位を決める。ここでの優先順位に従って、事業を復旧していくことになるのである。

1. 企業の存続において最も重要な事業や業務は何か
2. その事業や業務そのもの、あるいは事業や業務を支える資源に対してどのような脅威や脆弱性が考えられるか

　野村総研が2007年11月に発表した資料によると、大手企業の6割を超える企業がBCPを策定済み、あるいは策定中であると回答している。筆者は、この数字が大きいとは決して考えない。むしろ、4割近くの（大手）企業がBCPを重要だと思いつつも策定していないということが脅威に感じられる。中堅中小企業にまで調査の範囲を広げると、「対策済み」企業の割合はもっと低くなるだろう。しかし、具体的に何をすればいいのかとか、どこから手を付けるべきか、ということは専門家の意見を聞かないと判断できない、というのもまた事実。企業経営者は、事業の継続を脅かすものが何かということと、どのように対策をとればいいのかということを学習する必要がある。ビジネスはどんどん複雑になっている。BCPは「保険」ではない。企業としての責任を果たすために、やっておかなければならないことなのだ。

谷 誠之（たに ともゆき）

IT技術教育、対人能力育成教育のスペシャリストとして約20年に渡り活動中。テクニカルエンジニア（システム管理）、MCSE、ITIL Manager、COBIT Foundation、話しことば協会認定講師、交流分析士1級などの資格や認定を持つ。なおITIL Manager有資格者は国内に約200名のみ。「ITと人材はビジネスの両輪である」が持論。ブログ→谷誠之の「カラスは白いかもしれない」