昨今はイラン情勢の緊迫化によって、「チョークポイント（Choke Point）」という言葉が一般に知られるようになりました。

チョークポイントとは、海上輸送ルートにおける狭い海峡など、物流のボトルネックとなる地点を意味します。例えば、ホルムズ海峡やマラッカ海峡は、原油やLNGなどのエネルギー資源輸送において極めて重要なチョークポイントです。

もしこれらの海峡が封鎖されれば、世界経済に大きな影響を及ぼします。

しかし、このようなボトルネックは海上輸送だけに存在するものではありません。

企業活動においても、サプライチェーンやプロセスチェーンの至るところに存在しています。

特に代替手段が準備されていないプロセスや資源は、Single Point of Failure（単一障害点）となります。その一点が停止するだけで、生産、物流、販売、顧客サービスなど、企業活動全体が停止してしまうことがあります。

例えば、

• 特定の工場でしか生産できない製品

• 代替サプライヤーが存在しない重要部品

• 特定担当者しか運用できない基幹システム

• 一つしか保有しないデータセンター

• 単独契約の物流事業者

などは典型的なSingle Point of Failureと言えるでしょう。

では、このようなリスクに対して、企業はどのように備えるべきなのでしょうか。

そこで登場するのがBusiness Continuity（事業継続）という考え方です。

BCPとBusiness Continuityは同じではない

日本ではBusiness Continuityという言葉よりも、BCP（Business Continuity Plan）という言葉の方が広く知られています。

しかし、本来BCPはBusiness Continuityそのものではありません。

BCIはBusiness Continuityを、「中断事象発生後も、あらかじめ定められた許容レベルで製品またはサービスを継続して提供する組織の能力」と定義しています（BCI, 2023）。

つまり、Business Continuityとは計画書ではなく、組織が重要な製品・サービスを継続して提供する能力そのものです。

一方、BCPは特定の制約下で重要な製品・サービスを継続するために、その能力を維持する計画書です。

日本のBCPは防災計画に偏っている

一方、日本企業のBCPを見ると、

• 首都直下地震BCP

• 南海トラフ地震BCP

• 富士山噴火BCP

など、災害を起点として策定されることが少なくありません。

もちろん、災害対策は重要です。

しかし、BCの視点から見ると、少し違和感があります。

なぜなら、事業が停止する原因は災害だけではないからです。

顧客から見れば原因は関係ありません。

地震であれ、サイバー攻撃であれ、ストライキであれ、「製品やサービスが提供されなくなる」という結果は同じだからです。

BCが注目するのは原因ではなく特定チェーンの途絶

BCでは、まず原因を考えるのではありません。

最初に考えるのは、ある特定の資源供給（Supply）やプロセスが止まると、「顧客への製品・サービスの提供ができなくなるのか」、「生産がストップするのか」です。

下の図は、サプライチェーンまたはプロセスチェーンの一部分断をX印で表しています。

【図表1　サプライチェーン／プロセスチェーンの分断イメージ】

この分断の原因は、例えば以下のようなものです。

• 地震

• 洪水

• 火災

• ストライキ

• サイバー攻撃

• 規制

• サプライヤー倒産

• M&AおよびPMI（Post Merger Integration）の不備

• コンプライアンス違反

• パンデミック

重要なのは原因ではなく、その結果として製品やサービスが提供できなくなることです。

「なぜ止まるか」ではなく、「何が止まると製品やサービスに影響するのか」を考える。

これがBusiness Continuityの戦略思考です。

BCの出発点

BCの立案はシンプルです。

プロセスまたはサプライチェーン上の「どこが止まると製品またはサービスが止まるのか」から考えることです。そのためには、プロセスチェーンやサプライチェーンの見える化が必須です。

ISO 22301やBCI Good Practice Guidelinesでは、Business Continuity Management（BCM）の中核的なプロセスの一つとしてBusiness Impact Analysis（BIA）を行うとしています（ISO, 2019; BCI, 2023）。

BCIのGood Practice Guidelinesでは、BIAを「事業活動を分析し、それらに対して事業中断がどのような影響を及ぼす可能性があるかを分析するプロセス」と説明しています（BCI, 2023）。

また、ISO 22301では、BIAを通じて組織の製品・サービス提供に必要な活動を特定し、それらの活動が中断した場合の影響を評価し、優先順位を決定することが求められています（ISO, 2019）。

これらの定義は少し難解です。

筆者なりに実務家向けに言い換えるなら、BIAとは、

「製品またはサービスの提供に必須となる業務を支えるプロセスチェーンとサプライチェーンを見える化し、それらが停止した場合の影響を分析すること」

と理解すると分かりやすいと思います。

最後に：What if?

では、BIAの最初は見える化されたプロセスチェーンまたはサプライチェーンを俯瞰して、What if?で考えることです。

ž   もしも、あなたの会社の主要工場が明日停止したらどうなるでしょうか。

ž   もしも、主要サプライヤーが突然倒産したらどうなるでしょうか。

ž   もしも、基幹システムが停止したらどうなるでしょうか。

ž   もしも、特定担当者しか知らない業務が継続できなくなったらどうなるでしょうか。

BCとは、このような「What if?」を問い続ける活動です。これをWhat if シナリオ分析といいます。

つまり、BCの出発点は災害ではありません。重要なのは原因ではなく、顧客へ製品・サービスの提供が止まるプロセスや資源供給を特定することから始まります。

製品・サービスの提供を阻害するボトルネックやSingle Point of Failureを特定し、事前に対策を講じることこそがBusiness Continuityの本質なのです。

次回以降は、BCM（Business Continuity Management）を学習していきます。

References

Business Continuity Institute. (2023). Good Practice Guidelines Edition 7. The Business Continuity Institute.

International Organization for Standardization. (2019). ISO 22301:2019 Security and resilience — Business continuity management systems — Requirements. International Organization for Standardization.