Key Takeaways

• BCMとはBCPを作成する活動ではありません。

• BCMは、企業として「何を守るか」を決める経営案件です。

• BCMの出発点はBIAではなく、経営理念・使命に基づくスコープの設定です。

• 「何を守るか」を決めることは、「何を守らないか」を決めることでもあります。

• BIAは経営判断を支える分析手法であり、経営判断そのものではありません。

「BCMは経営の意思決定から始まる」

前回の第1回では、

• Single Point of Failure（単一障害点）

• チョークポイント

• What-ifシナリオ分析

について解説しました。

これらを通じて、「どこが止まれば事業に大きな影響を与えるのか」という視点を持っていただけたと思います。

しかし、Business Continuityでは、すべての製品・サービスを同時に復旧することを前提としているわけではありません。

限られた経営資源を最も重要な製品・サービスへ優先的に配分し、顧客への提供を継続することがBusiness Continuityの目的です。

そのためには、まず経営として優先すべき製品・サービスを決定し、それらを支える業務プロセスやサプライチェーンについて分析を行い、事業継続戦略を策定する必要があります。

つまり、Business Continuityは単なる災害対応ではなく、企業経営そのものに関わる意思決定なのです。

「BCMはリスクマネジメント全体を支える」

リスクマネジメントは予防活動ですから、平常時から事業継続まで見る場合は一般的にこの図は広義のリスクマネジメントを意味していますが、事業継続の視点で事業継続から平常時を見ればBCMともいえます。リスクマネジメントが供給途絶リスクだけを対象にしていないので、リスク対象の違いはありますが、どちらもこの一連の活動全てを網羅します。

「BCMはBCPを作る活動ではない」

さて、Business Continuityの最後に付く「M（Management）」には、注目しましょう。

Managementとは、単に計画を立案し、実行し、進捗を管理することではありません。

ISO22301でいうManagement System、すなわち標準化された仕組みを構築し、PDCA（Plan-Do-Check-Act）を繰り返しながら継続的に改善していくマネジメントシステムを意味します。

そして、BCP（Business Continuity Plan）はBCMの成果物の一つに過ぎません。

BCPを作成して終わりではなく、事業環境やサプライチェーンの変化に応じて分析を見直し、教育・訓練を繰り返し、継続的に改善することで初めてBCMは機能します。

「BCMの第一歩は「スコープ」を定めること」

では、BCMは具体的にどこから始めればよいのでしょうか。

ISO22301やBCI Good Practice Guidelinesでは、最初にBCMの対象範囲、すなわち「スコープ（Scope）」を定めることが求められています。

しかし、スコープとは単に「どの工場を対象にするか」「どの組織を対象にするか」といった物理的な範囲を決めることではありません。

その出発点となるのは、その企業が何のために存在し、誰にどのような価値を提供するのかという経営理念や使命です。企業は非常時であっても、その存在意義まで失ってはなりません。

だからこそ、経営理念や使命を踏まえ、「どの製品・サービスだけは継続して提供し続けなければならないのか」を最初に明確にします。

もちろん、その判断には、顧客との契約、法令上の義務、社会的責任、企業の信用、さらには中長期の経営戦略など、さまざまな経営上の要素が考慮されます。

「何を守るか」を決めるのが経営の役割

ここで重要なのは、

「何を守るか」を決めることですが、それは「何を守らないか」を決めることでもあります。

大規模災害やサプライチェーンの途絶が発生した場合、人員、設備、資金などの経営資源は大きく制約されます。そのため、すべての製品・サービスを同時に維持・復旧することは現実的ではありません。ある製品・サービスを優先するということは、別の製品・サービスについては一定期間停止することを受け入れるという意思決定でもあります。

時には、その判断は非情ともいえる決断になるでしょう。

しかし、それは利益だけを基準にした選択ではありません。

企業の経営理念や使命に立ち返り、顧客や社会に対して果たすべき責任を守るための選択です。

このような判断は、現場だけに委ねられるものではありません。

各部門には、それぞれ守りたい製品や業務があります。

しかし、企業全体として何を最優先に継続し、何を一時的に見送るのかを決断できるのは経営だけです。

BCMが経営案件である理由は、まさにこの「非情ともいえる選択」を経営の責任として行う点にあります。

この経営判断によって初めて、それらを支える事業、組織、拠点、業務プロセス、情報システム、サプライチェーンへと対象範囲を展開していきます。

これがBCMにおけるスコープです。

「経営判断をBIAへつなげる」

BCMでは、経営が優先すべき製品・サービスを決定した後、それらを継続して提供するために必要な業務プロセス、設備、情報システム、サプライチェーンなどへと対象範囲を展開していきます。

次のステップでは、このスコープを対象としてBIA（Business Impact Analysis：事業影響度分析）を実施します。

BIAでは、優先すべき製品・サービスを支えるプロセスや経営資源の相互関係を分析し、どこが停止すると事業継続に重大な影響を及ぼすのか、また、どの程度の期間まで停止を許容できるのかを明らかにします。

BCMは、災害発生後の対応手順を考えることから始まるのではありません。

企業として何を守り、何を守らないのかという、時には非情ともいえる選択に責任を持つことから始まる経営そのものなのです。

MBCI's Advice

BCMで最も重要なのは、BCPを作成することではありません。

最初に経営として「何を守るのか」を決めることです。

この意思決定が曖昧なままでは、どれほど精緻なBIAやBCPを作成しても、本当に守るべき事業を守ることはできません。

その意味で、BCMは経営そのものなのです。

次回予告

ここまで見てきたように、BCMは、経営として「何を守るか」を決めることから始まります。

限られた経営資源をどこへ配分し、どのように事業を継続していくのか。その意思決定を支えるためには、客観的な分析と体系的な考え方が必要です。

次回からは、BCMを実際に機能させるための実践的な手法について、実務に沿って分かりやすく解説します。

References

Business Continuity Institute. (2023). Good Practice Guidelines Edition 7. The Business Continuity Institute.

International Organization for Standardization. (2019). ISO 22301:2019 Security and resilience — Business continuity management systems — Requirements. International Organization for Standardization.