― 「何を守るか」を「いつまでに、どの水準まで戻すか」へ変換する ―

Key Takeaways

• BIAは、事業中断の影響を時間の経過に沿って分析する活動です。

• 経営は、「いつから影響が許容できなくなるのか」を決めなければなりません。

• RTOは、現場が希望する復旧時間ではなく、事業上の許容限界から逆算します。

• BIAは、優先する製品・サービスから、プロセス、作業、必要資源へと展開します。

• BIAの結果が、人員、拠点、IT、設備、調達などの事業継続戦略の前提になります。

「いま、BCMSのどこにいるのか」

第1回では、Business ContinuityとはBCPという文書作成ではなく、中断発生後も、あらかじめ定めた水準で製品・サービスを提供し続ける組織能力であることを説明しました。

第2回では、BCMは経営として「何を守るのか」を決めるところから始まると説明しました。すべての製品・サービスを同時に守ることはできません。経営理念、顧客との契約、法令、社会的責任、財務的影響などを踏まえ、優先する製品・サービスを決める必要があります。

では、今回はBCMS（Business Continuity Management System）のどこにいるのでしょうか。

BCIのGood Practice Guidelines Edition 7.0では、BCMSを構成する実務を六つのProfessional Practicesに整理しています。PP1とPP2がBCMS全体を支えるManagement Practicesであり、PP3からPP6までがTechnical Practicesです（Business Continuity Institute [BCI], 2023）。

本稿で扱うBIAは、PP3 Analysisに位置します。

【図表1　BCMSにおける現在地――PP3 Analysis】

BIAは、経営が決めた「何を守るか」を、具体的な事業継続要件へ変換し、次のソリューション設計へ引き渡すための分析です。

そもそもBIAとは何か

BIAはBusiness Impact Analysis、日本語では一般に「事業影響度分析」と訳されます。

ISO 22301では、BIAを、事業中断が組織に与える影響を時間の経過に沿って分析するプロセスとして位置づけています（International Organization for Standardization [ISO], 2019）。

また、BCIは、BIAによって事業中断の影響を時間軸で見積もり、対応と復旧の優先順位、復旧時間、必要な資源を明らかにすると説明しています（BCI, 2023）。

筆者なりに実務家向けに言い換えるなら、BIAとは、

経営が守ると決めた製品・サービスについて、何日止まると許容できないのか、最低限どの水準を維持するのか、そのために何をいつまでに復旧するのかを決める分析

です。

重要な製品・サービスを特定した後、それを提供するために必要なプロセス、プロセスを構成する具体的な作業、さらに、それらを支える人員、設備、情報システム、拠点、サプライヤーなどを明らかにしていきます。

BIAは製品・サービスから逆算する

BIAを実施する際、各部門に対して「あなたの部門の重要業務を挙げてください」と依頼することがあります。

しかし、この方法では、ほぼすべての業務が「重要」と回答されることがあります。

営業部門にとっては営業活動が重要です。経理部門にとっては支払や決算が重要です。調達部門にとっては発注や納期管理が重要です。それぞれの回答は間違っていませんが、これだけでは企業全体としての優先順位を決められません。

BIAでは、業務部門から重要業務を積み上げるのではなく、経営が優先すると決めた製品・サービスから逆算します。

1. 経営として優先する製品・サービスを決める

2. 許容できる中断時間と最低提供水準を決める

3. その製品・サービスを生み出すプロセスを特定する

4. プロセスを構成する具体的な作業を特定する

5. 作業に必要な人員、設備、情報、技術、拠点を特定する

6. 必要なサプライヤー、原材料、物流などの外部依存関係を特定する

7. 復旧時間と資源要件を統合し、経営の承認を得る

このように、優先する製品・サービスから、必要な作業、資源、内外の依存関係へと展開し、分析結果を統合して経営の承認を得るのがBIAの基本的な流れです（ISO, 2021）。

つまり、

経営が守ると決めた製品・サービスを支えるプロセスと作業を守る。

ということです。

【図表2　BIAは製品・サービスから逆算する】

Product and Service BIA

Product and Service BIAでは、経営として優先する製品・サービスを特定し、それらの提供が中断した場合の影響を時間軸で評価します。

例えば、製造業であれば、複数の製品群の中から、顧客との契約、収益性、安全、法令、社会的責任などを踏まえ、事業中断時にも優先して供給すべき製品を決めます。

ここで、製品・サービスごとのMTPDやMBCOなど、戦略的な事業継続要件を明らかにします。

Process BIA

Process BIAでは、優先する製品・サービスを生み出すために、どのプロセスが必要なのかを明らかにします。

例えば、ある重要製品を製造するためには、

• 原材料の受入れ

• 前処理

• 加工

• 組立て

• 検査

• 梱包

• 出荷

という一連の製造プロセスが必要になるかもしれません。

このうち、一つのプロセスでも停止すれば製品を完成できないのであれば、そのプロセスは事業継続上の重要なプロセスです。

また、製造プロセスだけではなく、受注処理、品質保証、在庫管理、決済、物流手配など、製品・サービスの提供を支える業務プロセスも対象になります。

Process BIAでは、このようなプロセス間の順序や相互依存関係も確認します。

Activity BIA

Activity BIAでは、プロセスを構成する具体的な作業のレベルまで分析します。

例えば「検査」というプロセスの中にも、

• 検査対象品と検査条件を確認する

• 検査機器を立ち上げ、測定する

• 結果を判定・記録する

• 出荷可否を承認する

といった複数の作業があります。

それぞれの作業について、

• 誰が、どの設備・システムを使って実施するのか

• どの情報やデータが必要なのか

• 前後の作業や外部委託先とどう依存しているのか

• いつまでに、どの水準まで再開する必要があるのか

を確認します。

Process BIAが「重要な製品を生み出すために必要なプロセス」を明らかにするのに対し、Activity BIAは「そのプロセスを動かすために必要な具体的な作業と資源」を明らかにする分析です。

MTPDは「経営として許容できる時間の限界」です

BIAの中心にあるのは「時間」と「復旧レベル」です。三つの概念を区別する必要があります。

MTPD

MTPD（Maximum Tolerable Period of Disruption）は、事業中断による影響が組織にとって許容できない状態に至るまでの時間です。

分かりやすく言えば、

これを超えると、経営として受け入れられない時間的限界

です。

MTPDは、「現場が何日間我慢できるか」ではありません。

顧客、契約、法令、安全、財務、信用、社会的責任などを踏まえて決める経営上の限界です。

例えば、在庫が10日分あったとしても、法令上24時間以内にサービスを再開する必要があるなら、MTPDを在庫日数だけで決めることはできません。

RTO

RTO（Recovery Time Objective）は、製品・サービス、活動、またはそれを支える資源を、あらかじめ定めた水準まで復旧させる目標時間です。

RTOは、単に「復旧作業を始める時刻」ではありません。

また、現場が「できれば3日で戻したい」と希望する時間でもありません。

MTPDという経営上の限界から逆算し、その手前に設定する目標です。

許容限界が7日であれば、7日目にようやく復旧作業を終える計画では余裕がありません。動作確認、品質承認、設備の再立上げ、輸送、要員の配置などに必要な時間を考慮し、MTPDより前にRTOを設定します。

MBCO

MBCO（Minimum Business Continuity Objective）は、事業中断中に維持または回復すべき、製品・サービスの最低限の提供水準です。

必ずしも、直ちに通常時の100％へ戻す必要はありません。

例えば、

• 重要顧客向けに通常時の30％を供給する

• 緊急性の高いサービスだけを継続する

• 一般受付を停止し、事故・障害対応を優先する

• 主力製品に生産能力を集中させる

といった判断が考えられます。

RTOだけを決めても、「その時間までに、どの水準まで戻すのか」が決まっていなければ、必要な設備、人員、在庫、代替拠点を計算できません。

【図表3　MTPD・RTO・MBCOを時間軸で考える】

この図の上段は、時間の経過とともに事業中断の影響が拡大し、MTPDで許容不能な状態に至ることを示しています。

下段は、中断によって低下した製品・サービスの提供水準を、RTOまでに少なくともMBCOへ戻し、その後、通常水準へ復旧させる考え方を示しています。

実際の影響曲線や回復曲線は、製品・サービスによって異なります。

BIAの結果から事業継続戦略を設計する

BIAによって事業継続要件を明らかにしただけでは、事業を継続する能力は生まれません。

BIAで明らかにしたMTPD、RTO、MBCOおよび資源要件に基づき、それらを実現するための事業継続戦略を設計します（BCI, 2023）。

例えば、

• 代替要員を育成する

• 業務を手作業で継続できるようにする

• システムや設備を冗長化する

• 代替拠点を準備する

• 戦略在庫を保有する

• 代替サプライヤーを事前に認定する

• サプライヤーに復旧能力の整備を求める

• 契約に優先供給や情報提供の条件を盛り込む

• 製品設計を変更して特定部品への依存を下げる

といった選択肢があります。

例えば、基幹システムのRTOが1時間であれば、中断発生後に代替システムを準備するのでは間に合いません。平時からシステムを冗長化し、自動的または短時間で切り替えられる仕組みが必要になるでしょう。

一方、既存の在庫や代替手段によって、RTOまでにMBCOを確保できるのであれば、必ずしもすべての設備や供給経路を二重化する必要はありません。

つまり、

どの対策を選ぶべきかは、事業中断による影響だけでなく、事業が求める復旧時間と提供水準によって決まる。

ということです。

BIAを調達レジリエンスへつなげる

本サイトで全3回にわたり連載される小山氏の「調達BCPを『計画』から『経営のレジリエンス』へ」では、Tier Nを含む供給ネットワークの可視化、代替サプライヤー、在庫、契約、KPIなど、調達レジリエンスを実装するための方法が解説されています。

これらの対策に優先順位を与えるのがBIAです。

すべての品目、すべてのサプライヤーを、同じ深さで調査することは現実的ではありません。

経営が守ると決めた製品・サービスから、その提供に必要なプロセス、作業、部品、原材料、製造拠点、物流経路へとたどり、RTOを達成するうえで重要な供給経路から優先的に分析します。

その分析結果に基づき、在庫の積増し、代替認定の前倒し、設計変更、第二供給源の育成、サプライヤーの復旧能力向上などを検討します。

BIAが、

「何を、いつまでに、どの水準まで守るのか」

を示し、調達レジリエンスの活動が、

「そのために供給ネットワークをどのように設計するのか」

を具体化します。

両者は、このような関係にあります。

MBCI’s Advice

BIAで最も重要なのは、経営が守ると決めた製品・サービスについて、

• 何日止まると影響が許容できなくなるのか

• 中断中も最低限どの水準を維持するのか

• その水準を、いつまでに回復するのか

• そのために、どのプロセス、作業、資源が必要なのか

を決めることです。

「できるだけ早く復旧する」は、目標ではありません。

BIAとは、事業継続に必要な時間と提供水準を、経営の言葉で決める活動なのです。

次回予告

BIAによって、何を、いつまでに、どの水準まで復旧させるのかが明らかになりました。

しかし、目標を決めただけでは事業を継続できません。

限られた経営資源のなかで、すべてを二重化し、すべての在庫を増やすことも現実的ではありません。

次回は、BIAで定めたRTOやMBCOを実現するために、人員、拠点、IT、設備、サプライヤー、在庫などについて、どのような事業継続戦略を選ぶべきかを考えます。

References

Business Continuity Institute. (2023). Good practice guidelines edition 7.0. The Business Continuity Institute.

International Organization for Standardization. (2019). Security and resilience—Business continuity management systems—Requirements (ISO Standard No. 22301:2019). https://www.iso.org/standard/75106.html

International Organization for Standardization. (2021). Security and resilience—Business continuity management systems—Guidelines for business impact analysis (ISO Technical Specification No. 22317:2021). https://www.iso.org/standard/79000.html