“ダメBCP”は地震・停電から発想する / SAFETY JAPAN [特集] / 日経BP社

HOME
＞＞特集

BCPは大規模地震対策ではない

　第２に、BCPは大規模地震対策ではない。多くの企業では大規模地震対策として、短期間で被災現地での復旧を望むが、それは無理だ。先ほど言ったように社会インフラが復旧しなければ事業も復旧できない。例えば電車の復旧に１カ月かかるとしたら、その間、従業員はどのように通えばいいのだろうか。

　したがって、想定震度をＭ7.3ではなく、Ｍ6.9レベルに下げなければ、意味のあるBCPは出来ない。あるいは、被災現場ではなく代替地での復旧が不可欠となるだろう。

小林誠氏

　結局、BCPは大地震にこだわらず、結果の抑制を目的にすることが大切だ。大地震にこだわると、計画発動を決められない。例えば、徐々に拡大する鳥インフルエンザの流行などには対応できなくなる。BCP発動のトリガー（きっかけ）をきちんと決めることが必要だ。

　BCPが必要となるケースを大きく三つに分けると、環境災害（台風、洪水、地震など）、人災（テロ、サボタージュ、戦争、強盗、労働争議など）、ITなどの事故（サイバー犯罪、データ喪失、機密情報漏洩、システムの故障など）である。

　実際に発生しやすい順番は、ITなどの事故、人災、環境災害である。企業が一番考えなければいけないのは、ITシステムの故障などであって、地震ではない。

　第３に最悪事態だけを想定してはいけない。対応すべき事態のレベル分けが大事であって、レベルごとの最悪事態は想定する必要がある。そして、段階的に対応のグレードを上げていくエスカレーションが重要となる。中小企業庁のガイドラインにもエスカレーションが入っているので参考にしてほしい。

　レベルを三つに分けると、レベル１は企業危機に対する「戦略的対応」、レベル２は事業継続が必要な「戦術的対応」、レベル３は業務復旧に関わる「業務対応」だ。レベル１になると危機に対応する広報体制も必要となる。レベル３からレベル１までエスカレーションしながら、なるべく低いレベルにコントロール（抑制）するのがBCPの基本といえよう。

　また、はじめてBCPに取り組むときは、本格的なBIA（ビジネス・インパクト・アナリシス）はやめた方がいいだろう。異論もあるかもしれないが、事業のインパクト分析は非常に手間がかかる。事業収益や財産の損失の計算はいいが、企業イメージの損失などは算出が難しい。

　BIAをやるのなら、簡易的に、例えばある特定部門やグループの中だけで実施し、全社レベルではやらない方がいいだろう。次にBCPを見直すときに、本格的なBIAをやればよいと思う。