緊急事態発生！ BCPの初動フェーズですべきこと（1/3 ページ）

いよいよ今回から、実際に有事の際、どのようなフローで復旧まで進めていくのかフェーズを分けて説明する。まずは事業継続のため初期の対応を実施する「BCP発動フェーズ」を紹介しよう。

[水野宏美，ITmedia]

　前回は、平時に行っておくべきBCPの策定について、そのフローを紹介するとともに、重要なポイントとなるビジネスインパクト分析について解説した。いよいよ今回から、実際に有事の際、どのようなフローで復旧まで進めていくのかについて、フェーズを分けて解説していく。

場当たり的でない対策本部の設置

　実際に緊急事態が発生した時点から業務が復旧までのフローを考えると、事業継続のため初期の対応を実施する「BCP発動フェーズ」、あらかじめ定めておいた代替手段で業務を再開する「業務再開フェーズ」、再開する業務の範囲を拡大する「業務回復フェーズ」、代替手段から平常の運用へ切り替えていく「全面復旧フェーズ」の4つに大別できる。この4つのフェーズのいずれにおいても不可欠なのは、これまでにも繰り返し述べてきたように経営層の的確な意思決定である。ここで、緊急を要し、かつ広範にわたる意思決定をスムーズに行うためには、そのサポートを行う対策本部の設置が有効である。対策本部の具体的な役割は、BCPの各フェーズにおける意思決定、BCPに関する行動の指示およびその監督などで、経営層の意思決定のサポートを行うと同時に、実務を遂行するものと考えればよい。求められるのは、情報統括機能と収集した情報を基にした経営判断機能だ。

　対策本部の下には、多くの実務をこなす対策チームをタスクフォースの形で設けることになるだろう。ここで重要なのは、対策チームは平時の組織機構をそのまま引き継ぐのではなく、機能別に分けることが望ましいということである。機能別とは、例えば、顧客対策など営業的な観点から組織されたチーム、システム関連のチーム、広報的な活動を行うチームといった感じだ。加えて、後方支援を行うチームも組織しておくとよいだろう。また、ここで本部またはチームのメンバーとして予定された人員が緊急時に集合できないことも想定しておくとよい。

　機能別に分けるのは、非常時には、とるべき行動が平時のそれとは異なる場合が多いことに起因している。例えば、情報システム部であれば、平時であれば開発なども手がけているはずであるが、非常時においてこうした業務は基本的に必要でない。そのため、開発に割いていた人的リソースを運用などの業務に適切にシフトさせる必要がある。こうしたことを考えると、平時の業務の内容で分けるとさまざまな不都合が生じることが予想される。

　対策本部と対策チームは緊密な連携が求められる。対策本部は迅速な意思決定と各対策チームヘの指示を行い、各対策チームは収集した情報や把握した状況について逐次対策本部への報告を行い、対策本部の意思決定を支援する。各対策チーム内で解決できない場合は、対策本部に判断を仰ぐ必要がある。また、各対策チームにおいてもBCPの展開に対応して果たすべき役割が変化する。

どこにどう設置する？

　対策本部の設置タイミングは経営トップや対策本部長が発生事象や影響範囲を勘案した上で判断すべきだが、大規模な災害や事故の発生時においては平常時の心理状態を保てなくなることが多い。判断能力が低下する可能性も考慮すると、場合によっては意思決定に時間がかかることも予想される。このため、どのような状況になった場合に対策本部を設置するかといった基準をあらかじめ策定しておくとよい。基準となるのは例えば、「本店やデータセンターが存在する地域に震度X以上の地震発生またはその注意情報」「システムの致命的なエラーによる事故の発生、もしくはそれが予見されるイベントが検知され、回復の見込みがない」「ウイルスによる重大なセキュリティインシデント」などが挙げられるだろう。

　また、設置場所について、多くの場合は本社がある場所となるだろうが、その場所が被災し利用できないことも考えられる。ここでも冗長性を持たせ、地理的に遠隔地にある拠点をセカンダリとして設定しておくとよい。

次ページ：BCP発動フェーズのポイント