BCPを策定しろと言われたら－目的設定とビジネスインパクト分析－

1. 目標と想定と基本的な考え方

BCPを策定しろと総務が言われたとき、外部ベンダーの力を借りるというのも一つの選択肢です（前回の記事はこちら）。

本記事では、自社で内製すると決めた場合に、総務がどのように動いていけばよいのかを見ていきます。

まず今回は、目標設定の方針と、BIA（Business Impact Analysis：ビジネスインパクト分析）について説明します。

BCPでは、従業員の安全を守るだけでなく、重要な事業を継続・早期復旧させることで、顧客や取引先との信頼、サプライチェーンなどを維持していくことを考えます。

そのため、策定を始めるにあたって、まず自社がどのような災害や緊急事態を想定するのかを整理します。

大地震や水害などの自然災害に加え、感染症の流行なども事業継続を脅かす事象となります。

さらに広く考えれば、システム障害、サイバー攻撃、不祥事などによって事業が停止する可能性もあります。

ただし、あらゆる緊急事態を一度に想定すると検討範囲が非常に広くなります。

本記事では、まず地震や水害などの自然災害を想定したBCPについて考えていきます。

2. 事業をどこまで止められるか

自然災害を想定したら、次に考えたいのが、

「この事業は、最長でどの程度まで止めることができるのか」

ということです。

事業の中断による影響が時間とともに大きくなり、それ以上の中断を許容できなくなるまでの期間を、MTPD（Maximum Tolerable Period of Disruption：最大許容停止時間）といいます。

ここで考慮するのは、売上や資金繰りといった財務的な影響だけではありません。顧客や取引先との関係、サプライチェーンへの影響、社会的信用、契約上の義務や法令上求められる対応なども含めて考える必要があります。

つまり、

「これ以上事業が止まると、会社として許容できない」

という限界を考えることになります。

災害時には、金融機関や取引先、消費者などから一定の理解を得られることも考えられます。しかし、それを前提としてMTPDを設定するのではなく、自社としてどこまでの事業停止に耐えられるのかを考えておいた方がよいでしょう。

もちろん、この時間を総務だけで決めることはできません。各部門から事業停止による影響を集め、財務や取引先への影響などを整理し、経営が判断できる材料をそろえていきます。

3. MTPDより前に復旧させる

次に、

「では、実際にはいつまでに復旧させるのか」

という目標を設定します。

これがRTO（Recovery Time Objective：目標復旧時間）です。

MTPDが「ここを超えて事業を止めることは許容できない」という限界であるのに対し、RTOは「ここまでには復旧させる」という目標になります。

したがって、RTOはMTPDよりも前に設定することになります。

仮に、

• MTPD：5日
• RTO：3日

と設定したとします。

会社として許容できる限界は5日ですが、そこまで余裕を使い切るのではなく、3日以内の復旧を目標にするということです。

すると、BCPで考えるべきことが具体的になってきます。

「災害発生から3日以内に、この事業を再開するには何が必要なのか」

という視点です。

そのための手段として、

• サテライトオフィスなどの代替拠点を用意する
• OEM、アウトソーシング、相互支援協定など他社との連携手段を確保する
• 拠点を多重化・分散化する
• 在庫量を見直す
• 在庫場所を分散する
• システムやデータを別拠点でも利用できるようにする

といった対策を検討していきます。

どの方法が適切なのかは、業種、業態、事業規模、拠点、地理的条件などによって異なります。

重要なのは、

「BCPだからサテライトオフィスを用意すればよい」

という考え方ではありません。

「3日以内に復旧するというRTOを達成するためには、何が必要なのか」

という順序で考えることです。

RTOという目標が先にあり、それを実現するための手段として、代替拠点やアウトソーシング、在庫の分散などを検討します。

4. どこまで復旧させるのか

さらに、復旧については時間だけでなく、

「その時間までに、どの程度の状態まで戻すのか」

という視点も必要です。

大規模な災害が発生した場合、3日以内に平常時と同じ100％の状態へ戻すことは現実的ではないかもしれません。

そこで、

「3日以内に重要事業を50％まで復旧させる」

「受注業務だけは翌日から再開する」

「主要顧客向けの生産を優先して再開する」

など、目標とする復旧水準を決めます。

こうした復旧水準を、RLO（Recovery Level Objective：目標復旧レベル）として設定する考え方があります。

必ずしも「50％」のような数字で表せるものばかりではありません。「主要顧客からの受注を再開する」「取引先への支払業務を再開する」など、どの業務や機能をどこまで復旧させるのかを具体的に設定する方法も考えられます。

重要なのは、災害発生後すぐにすべてを平常時へ戻そうとするのではなく、何を、いつまでに、どの程度まで戻すのかをあらかじめ決めておくことです。

例えば、

• MTPD：5日
• RTO：3日
• RLO：重要事業を50％まで復旧

と設定したのであれば、BCPで検討するのは、

「災害発生から3日以内に重要事業を50％まで戻すには、平時から何を準備しておけばよいのか」

ということになります。

ここまで決まれば、必要な人員、設備、拠点、システム、在庫、取引先との連携などについて、具体的な検討に入ることができます。

そして総務が行うのは、MTPD、RTO、RLOを独断で決めることではありません。

各部門から必要な情報を集め、

「この業務が5日止まったら何が起きるのか」

「3日以内に再開するには何が必要なのか」

「100％ではなく50％なら何を優先すべきなのか」

という形で判断材料を整理し、経営に意思決定してもらいます。

その決定をもとに、必要な対策を具体化していく。

これがBCPを内製していく際の基本的な進め方になります。

5. これらを決めるためにBIAを行う

ここまで、

• MTPD（最大許容停止時間）
• RTO（目標復旧時間）
• RLO（目標復旧レベル）

について見てきました。

しかし、これらを総務が感覚的に決めるわけにはいきません。

「おそらく3日くらいなら大丈夫だろう」

「主要事業は50％くらい動けばよいだろう」

と決めてしまえば、BCPの根拠そのものが曖昧になってしまいます。

そこで、これらを決めるための判断材料として行うのが、BIA（Business Impact Analysis：ビジネスインパクト分析）です。

BIAでは、事業や業務が停止した場合に、どのような影響が発生するのか。その影響は時間の経過によってどのように大きくなるのか。どの業務を優先して復旧する必要があるのか。といったことを分析します。

対象となる影響も、売上などの財務面だけではありません。顧客や取引先への影響、契約上の問題、社会的信用、サプライチェーンへの影響など、自社の事業に応じてさまざまな観点から考える必要があります。その結果をもとに重要事業を整理し、MTPD、RTO、RLOなどを検討していくことになります。

ここでも、総務が各部門の業務を評価して数字を決めるわけではありません。実際の業務については各部門から情報を集め、その情報を整理したうえで、最終的には経営に判断してもらいます。

つまり、BCPを内製する場合の総務にとってBIAは、

経営にMTPDやRTOなどを決めてもらうための判断材料を作る工程

と考えると分かりやすいでしょう。

具体的なBIAの進め方や、各部門からどのような情報を集めるのかについては、別の記事で詳しく見ていきます。

6. まとめ

ここまでで、BCPを策定する際に最初に整理しなければならない項目が見えてきました。

重要な用語と、会社として決めなければならないことを整理すると以下のようになります。

これらを見ると、それぞれが独立しているわけではないことが分かります。

まず、どのような危機事象を想定するのかを決める。

事業停止による影響をBIAによって把握し、優先して継続・復旧させる重要事業を整理する。

そのうえで、

• どこまで停止を許容するのか（MTPD）
• いつまでに復旧させるのか（RTO）
• その時点でどこまで復旧させるのか（RLO）

を決めていきます。

そして、これらの目標が決まって初めて、

「その目標を達成するために、会社として何を準備しておかなければならないのか」

という具体的な対策の検討に進むことができます。

総務がBCPを内製する場合、まず必要なのは対策を考えることではありません。

会社として決めなければならないことを把握し、その判断に必要な情報をそろえることです。

具体的なBIAの進め方やMTPD・RTOなどの決め方については、次の記事から実務レベルで見ていきます。