識者が語る「中小企業のBCP」で大切なこと

　BCPとは、Business Continuity Planの略で、日本語では「事業継続計画」といいます。自然災害などの有事のときに、事業をどう継続させるか、どう復旧させるかの計画のことです。

　近年では、BCPという言葉が日本企業の間で広く知られるようになり、実際の計画策定も進んでいます。内閣府の調査（*1）を見ると、大手企業におけるBCP策定率は2015年の時点で60％を超えています。ただし一方で、中小企業のBCP策定率は2016年の時点でも15％程度（*2）と低く、その策定率をどう高めるかが、日本政府の課題のひとつにもなっています。

　では、中小企業のBCP策定率が低い理由は、どこにあるのでしょうか。この疑問に対して、組織の危機管理や事業継続マネジメント（Business Continuity Management：BCM）の研究者で、多くの企業のBCP策定や政府の政策立案を支援してきた名古屋工業大学教授の渡辺研司さんは、次のように答えます。

　「BCPを策定していない中小企業の方に理由を聞くと、大抵の場合、『仕事が忙しくて、BCPの取組みに人が割けない』『BCPに必要性を感じない』『BCPのことがよくわらない』といった答えが返ってきます。こうした答えを総合すると、BCPという言葉のわかりにくさが、BCPに対する誤解を生み、それがBCPに対する否定的な見方や消極性につながっているように感じます」。渡辺教授によれば、BCPは決して難解なものではないといいます。

　「組織の規模の大小にかかわらず、すべての企業に“生業（なりわい）”があります。BCPは、その生業を不測の事態から守るための計画です。自社の生業が何かがわかっていれば、BCPを策定するのはそれほど難しいことではありません」。教授のいう企業の「生業」とは、その会社のコアの事業であり、顧客や取引先に対して果たすべき本来的な使命と言い換えることもできます。

　「日々の仕事に追われていると、会社の生業を見失いがちになるのですが、たとえば、『自分たちは、なぜ、企業として成り立っているのか』『誰のために、何を提供することが本来の使命なのか』といった点を突き詰めていくと、自社の生業が見えてきます。BCPは、この生業を明確にすることからはじまります。生業を明確になると、それを支えている業務が何かが明らかになり、有事のときに、どの業務を優先して継続させるべきか、あるいは復旧させるべきかが明確になります。あとは、その継続／復旧のために必要なヒト・モノ・カネ・情報の手配や段取りを定めれば、BCPが出来上がるのです」（渡辺教授）。

　教授によれば、「自社の生業とは何か」を最もよく知っているのは経営者であり、その意味で、BCPの策定には経営者の関与が重要になるといいます。「ただし、自社の生業・使命を理解してもらう目的で、次代の会社の担い手にBCPの策定を委ね、経営トップはその内容を点検する役回りを演じるというのも一手です。私がBCPの策定を支援したある商業団地の企業群は、各企業の経営者が自社の次世代リーダーを指名し、その次世代リーダーたちが、個社の生業を見つめ直しながらBCPを策定するとともに、各社協力による商業団地のBCPを完成させました」。このように、BCPの策定を誰が担うべきかの決まりは特にありません。ただし、誰がBCPの策定を担うにせよ、「有事のときに、きちんと機能するかどうかが何よりも大切です」と、渡辺教授は語気を強めます。

　教授によると、有事のときにBCPを機能させる上では、留意すべきポイントがいくつかあるといいます。そのポイントは、下記の5点に集約できます。

①BCPと「防災計画」とを混同しない
②BCPを分厚くしない
③「訓練」ではなく「演習」を繰り返す
④業務のクロストレーニングを行っておく
⑤BCPへのIT投資は業務改革とセットで考える

以降、この5つのポイントについて渡辺教授にご説明いただきます。

　BCPを策定するにあたり、冒しやすい間違いのひとつは、「防災計画」とBCPとを混同してしまうことです。

　「地震対策」や「インフルエンザ対策」「水害対策」など、防災の計画を立てることは大切ですし、それらの災害に備えて、食糧・水の備蓄やヘルメット、無線機などを用意しておくことも重要でしょう。ただし、「防災計画」とBCPとは異なるもので、「防災計画」の延長線上にあるBCPは、有事のときの事業継続という観点では機能しないことがほとんどです。

　BCPは、特定の災害を想定して策定するものではなく、すべての危機への対応プランです。ですから、たとえば「大地震が発生した場合に、どうするか」ではなく、「社員の半数、あるいは全員が会社にこられなくなった場合に、どうするか」「業務システムが数日間ダウンしたときに、どうするか」「遠隔の拠点との通信がストップした場合に、どうするか」「工場が爆発を引き起こしたときに、どうするか」といったかたちで、企業活動に不可欠な会社のリソース（経営資源）を中心に据えながら、何らかの事象が引き起こした結果を起点に、生業をどう守るかの施策を考えていきます。このアプローチによって、発生した災害や事故が何であっても適切な対応がとれる計画が立案できるのです。

　一方、防災計画の延長線上にあるBCPは、具体的な手順や段取りが細かく記されており、特定の災害に強くひもづいています。そのため、想定とは異なる事態が発生したときには使えません。また、BCPの発動条件も「特定の災害が起きたとき」という想定に固定化されているので、想定外の事態が発生すると、BCPを発動していいかどうかの判断がつかず、発動すべき適切なタイミングを逸してしまう場合もあります。

　日本では、大規模な地震や水害以外にも、中規模の自然災害が数多く発生しています。また、業務の遂行を妨げるのは自然災害だけとはかぎりません。そうした中規模な災害・事象に何度かダメージを受け、その影響が少しずつ積み重なっていき、倒産に追い込まれた中小企業の例もあります。ですから、特定の災害そのものを起点にBCPを考えるのではなく、会社のリソースを中心に起こりうる事態を想定し、どのような災害・事故が発生しても適用できるような汎用性を持ったBCPを策定することが大切です。

　さらにいえば、BCPの発動は躊躇しすぎない方がいいというのが、私の考えです。銀行などでは、一回のBCP発動で多大なコストが発生するので、発動には慎重にならざるをえませんが、そうではない会社は、発動を躊躇したことで有事への対応が後手に回るよりも、少しでも危機を感じたらBCPを発動した方が無難といえます。たとえば、ある会社では、比較的頻繁に発生している中規模災害が発生するたびに、BCPを発動して連絡体制を組み、社長に連絡をして、遂行するBCPのレベルを即座に決めています。これによって、BCPに関するさまざまな学びを得ているのです。

　これは、防災計画の延長線上にあるBCPに見られる傾向ですが、非常に分厚いBCPを作ってしまうのも間違いです。というのも、有事のときは誰もが慌てていて、分厚い資料を細かくチェックしているゆとりはないからです。

　BCPが厚くなってしまう要因のひとつは、有事のときの手順を細かく規定しようとするためです。たとえば、「〇〇地震の発生時には、帰宅困難の従業員が出るので、この宿を確保する」「行政の想定では、ここの道路が使えなくなるので、この地域を走っている営業車両は、この道をこう通って△△方面に向かうこと」「この部署は、A部長の指示を仰ぎ、部長との連絡が取れない場合は、B課長の指示を仰ぐ。B課長がいない場合は……」といったかたちです。

　ただし、現実の災害は想定どおりにはまず起こりません。ですから、細かな手順を記載したところで、状況によってはほとんどが使えない記述に終わる可能性が大きいといえます。逆に、従業員がBCPに記載されている細かな手順に従おうとした結果、それに手間取り、二次災害に巻き込まれてしまうおそれすらあるのです。

　ですから、BCPは薄くできれば薄い方が望ましく、有事のときに行うべきことの優先順位や、やるべきことのチェックリストなどが、大方針に沿って簡潔にまとめられていればそれでいいといえます。その上で、有事のときの権限移譲のルール／体制を固めておきます。つまり、上司の指示を仰がずとも、現場で働く各人が、現場の状況を見ながら、行うべきことの優先順位を自ら決めて実行に移せるようにしておくということです。

　このとき大切なのは、従業員全員に自社の生業・社是・社訓を理解させ、「当社は、こういう使命を帯びた会社なので、いま、最も優先すべきことはこれと、これ」という判断を誰もが現場で自信を持って即座に下せるようにしておくことです。

　BCPは一度策定すれば、それで終わりの取組みではありません。「演習」を繰り返して、BCPを改善していくことが非常に重要です。

　ここでいう演習は、「訓練」とは異なります。訓練というのは、たとえば、避難訓練のように、マニュアルに記載された手順を実際にやってみて、身体に覚えさせるトレーニングです。この取組みは大切ですが、訓練を繰り返してもBCPの改善にはつながりません。

　それに対して、演習とは、想定外の事態に突きあたったときに、意思決定をどう下すかのトレーニングです。演習の参加者が想定していないような場面を設定して、判断させ、その判断が有効に機能するかどうかをシミュレートします。これにより、「在庫はこの場所だけではなく、ここにも置いておいた方がいい」「この顧客とは、この事前契約を結んでおいた方がいい」「この仕事は、あの従業員にも覚えさせておいた方がいい」といった新たな気づきがえられ、BCPの改善につなげていくことが可能になります。

　ちなみに、ある中小企業では、月一回の社長ミーティングの場で、必ず、社長が「この災害と、この事態が同時に発生したら、君たちは、どう動く？」と、参加者に対してBCPの方策を問いかけます。

　これはまさしくBCPの演習です。この演習によって、想定外の事象が発生したときに、生業を守るシナリオを考える“癖”が業務の現場に身についていきます。また、自分たちは、何を生業にしていて、有事のときに何をすべきかを普段から考えるようにもなります。極論すれば、こうした文化が社内に定着している場合、BCPを明文化する必要はありません。実際、この会社は明文化されたBCPを持っていないのです（個人的には簡単にでも策定されていた方がよいとは思いますが…）。

　ITシステムでは、障がいへの備えとして、ひとつのシステムが故障しても、ほかのシステムが処理を引継いで、たとえ限定的であっても処理を継続させる構成をとることがあります。

　この考え方は、BCPでの業務の継続を考える上でも大切です。とりわけ、生業を支えている業務の場合、誰かひとりが欠けただけで、全体が止まってしまうような事態は避けるようにしておくべきでしょう。そのためには、普段からひとりの従業員が、2つ以上の業務ができるような、業務のクロストレーニングを行っておくことが望ましいといえます。

　このようにいうと、「ギリギリの人員で業務を回しているなかで、そのような体制を敷くことはできない」と感じる方がいるかもしれません。ただし、生業を支える業務が属人的であるというのは、企業の持続可能性や事業継承という観点からいっても、望ましいかたちではないはずです。業務クロストレーニングとワークシェアの考え方を取入れながら、生業を支える業務については、2人以上の従業員がこなせるような体制を築くことが大切といえます。

　そして、ベテランの担当者の方が、何らかの理由で一定の期間、業務からの離脱をよぎなくされたときに、代りの担当者がベテランの30％～50％程度のパフォーマンスでもいいので、業務を継続させ、ベテランが復帰するまで生業をつないでいくというのが、BCPの考え方となります。

　BCPにおいては、有事のときにも、動き続けるシステム環境をどう手に入れるかも課題になります。この課題を解決するうえで有効な一手といえるのは、クラウドサービスの活用です。クラウドサービスの場合、システムもデータもクラウドのデータセンターに置かれるので、オフィスがダメージを受けても、オフィス外のさまざまな場所で業務が継続できます。

　もっとも、BCPのためだけにクラウドサービスなどのITを導入するというのは、経営から見て、その費用が不要なコストにしか見えないおそれがあります。また、業務プロセスが、有事に対応できるものでなければ、業務システムの継続性だけを高めても、あまり意味はありません。そこで大切になるのは、業務プロセスの改革とセットでクラウドサービスの導入・活用を考えることです。たとえば、働き方の柔軟性を確保する目的で、クラウドサービスを使ったテレワーク環境の導入を検討します。テレワークによって業務効率の向上が期待でき、それと同時に、交通機関がマヒして、社員の過半数が会社に行くことが困難になっても、それぞれが自宅やサテライトオフィスなどで業務を続行することが可能になります。これは在宅勤務を可能にし、働き方改革や子育て・介護にかかわる課題を抱える社員の有効活用や、ひいては従業員一人ひとりの「QOL：クオリティ・オブ・ライフ」の向上にもつながります。

　また、業務の棚卸しを行って業務改革を進めると、先に触れたような「誰かひとりが欠けると生業の全体が停止してしまう」というリスクを発見できるかもしれません。業務改革の取組みのなかで、そうした弱点の解決を図るようにすれば、業務の効率化を図りながら、有事への対応力を増すことが可能になるでしょう。その上で、業務システムとしてクラウドサービスを導入すれば、BCPのためのIT環境の整備も同時に図れることになります。

　BCPの大元になる考え方は、『企業には存在し続ける使命がある』というものです。企業には、従業員がいて、顧客があり、取引先があり、居を構える地域があります。それぞれは、その会社を必要としていて、そのニーズにこたえ、存続し続けることは、企業の社会的な使命であり、そのために必要な取組みがBCPということです。BCPを特別な取組みとは考えず、企業が存在し続けるための当然の施策として着手を検討してみてはいかがでしょうか。

　今回は、BCP対策について、名古屋工業大学教授の渡辺 研司さんにお話をうかがいました。BCP策定の第一歩として、非常時のコミュニケーション手段について書かれた下記コラムをご覧になっていただけると幸いです。

（監修者プロフィール）
渡辺 研司（わたなべ けんじ）
名古屋工業大学大学院工学研究科 社会工学専攻 教授／サイバーセキュリティ戦略本部 重要インフラ専門調査会会長他を兼務。工学博士／経営学修士（MBA）。1986年、京都大学卒業後、富士銀行（現みずほ銀行）に入行し、企業融資、ストラクチャード・ファイナンス、システム開発企画などに従事。プライスウォーターハウスクーパース、IBMビジネスコンサルティングサービス、長岡技術科学大学を経て現職。