COLUMN

BCP対策とは？中小企業におけるBCP対策の重要性や対策のポイントについても解説

BCP対策は、気候変動や災害などが起きた場合に重要な役割を果たします。昨今では大企業だけでなく、中堅・中小企業でもBCP対策の実施が不可欠なのです。しかし、実際にBCP対策に何をすればよいかわからないという担当者も多いのではないでしょうか。本コラムでは、BCP対策とは何なのか、その重要性からBCP対策のポイントについても解説します。

BCP対策とは

BCP対策とは、企業が自然災害や有事に影響を受けた際、いかに「事業を継続・早期復旧するかの計画」のことです。また、日本語では「事業継続計画」といいます。

BCP対策の対象となる非常事態には、以下のようなものが想定されます。

• 台風・地震・水害などの災害
• テロ・戦争
• 事故（データセンターの被災など）
• 感染症による被害
• サイバー攻撃　など

主に、不可抗力で事業継続が危ぶまれる状況が非常事態で、非常事態が発生した場合に事業をどのように継続するか、上述した事態を想定して計画を策定します。

防災対策との違い

BCP対策と類似するものに防災対策がありますが、BCP対策と防災対策には違いがあります。

主な違いは以下の通りです。

• BCP対策：非常事態が発生したのち、いかに事業を継続できる環境を整えておくかという備え
• 防災対策：災害を未然に防ぐ、あるいは災害の被害を最小限にとどめるための対策

また、防災対策は主に自然災害を想定した施策で、従業員をはじめとした人命や、オフィスなどの物的資産の安全を確保することが目的です。つまり、防災対策が前提にあり、万が一の非常事態が起こった後にどのように対処するのかがBCP対策だとイメージすれば区別しやすいでしょう。

BCP対策と災害については「BCP対策が災害時に有効な理由とは？BCMや防災対策の違いからBCP作成の必要性までを解説」でも詳しく解説していますので、併せて参考にしてください。

中小企業におけるBCP対策の重要性

BCP対策の取り組みを行っているのは大企業が多く、中小企業の取り組みが進んでいるとは言えない状況です。

事実、2020年6月に発表された帝国データバンクの資料では、BCP策定率が以下のようになっています。

• 大企業：30.8％
• 中小企業：13.6％
• 小規模企業：7.9％

参考）特別企画 ： 事業継続計画（BCP）に対する企業の意識調査（2020 年）

BCP対策は、大企業だけが取り組むものではありません。中小企業においてもBCP対策は重要なことです。ここでは、BCP対策の重要性についてみていきましょう。

事業の継続

BCPを策定しておくことで、非常事態が起こった場合でもスムーズに事業継続のために行動できます。

例えば、事業に必要なデータを、分散管理されたデータセンターにバックアップしておけば、一箇所のデータセンターが被害を受けてもデータを失うことはありません。また、全国複数箇所に事業所を構えていれば、被害の少ない地域にある事業所から事業を復旧できます。

非常事態が起こったとき、「だれ」が「何」に対して「どのように」行動すべきかをあらかじめ計画しておくことで、事業の継続が可能になるのです。

BCP対策実施による社会的信頼性の向上

BCP対策は、非常事態のときだけに役立つわけではありません。「BCPを策定している」事実によって、社会的な信頼性の向上にもつながるのです。

例えば、BCP対策をしていない取引先と、BCP対策を実施している取引先ならば、後者と取引するほうが安全だと判断できるでしょう。なぜなら、万が一の非常事態でも、取引先の企業が事業を継続することで、自社の被害も最小限に食い止められる可能性が高いからです。

これは、BtoBに限らず、BtoCにおける消費者に対しての信頼性も大きく左右します。

従業員の安全確保

防災対策にも関わることですが、BCP対策では、非常事態が起きたときに従業員の安全確保をどのように行うかといった計画も重要です。

例えば、従業員への連絡手段や、万が一連絡がつかない、あるいは怪我などをした従業員に対してどのような行動を取るべきなのかを、あらかじめ計画しておかなければなりません。

従業員の安全確保について「だれ」が「どのように」「どのような手段で」取りまとめるかは、人命にも関わる重要な対策だといえます。

緊急事態時のビジネス機会損失の低減

BCPをあらかじめ定めている企業では、緊急時に優先すべきビジネス活動やその復旧・再開手順が明確になっているため、その計画に従って対応することによりビジネス機会の損失を最小限に抑えることができます。一方、策定していない企業では、事業再開の優先順位や復旧手順を罹災時に場当たり的に決めることとなり、ビジネス機会の損失が発生しやすくなるだけでなく、ともすると、緊急対応においてカバーしきれなかった活動（損失）がきっかけとなり、結果として事業の縮小や廃業に追い込まれるリスクも否定できません。

BCP対策の具体的な考え方

それでは、BCP対策の具体的な考え方を3つに分けてみていきましょう。

初動で何をすべきか

まずは、「初動」で何をすべきかを考えます。

非常事態が起きたときの初動は重要です。次の復旧対応をスムーズに執り行うために、事業継続に関わる被害状況を詳細に把握しなければなりません。

初動対応として挙げられるのは以下のような対応です。

• 従業員の安全確認と被害状況の詳細を把握する
• 事業継続に必要な物的資産の被害状況を詳細に把握する
• 代替設備など、利用可能な範囲を詳細に把握する

初動では現状把握を第一に考え、BCPにおいてどの計画を適用すべきか正確に判断しなければならないのです。

復旧対応はどのように行うのか

被害状況を正確に把握したら、どのように復旧対応すべきかを判断します。

BCPで策定したマニュアルなどに照らし合わせ、事業を継続するために必要な復旧作業の優先順位を判断するのです。

例えば、復旧対応できる人材を把握したり、重要なデータを復旧させたりするなどが考えられます。また、電力や通信といったライフラインの供給ルートの確保も同時に行う必要があります。可能であれば、取引先などとの連携も必要でしょう。

このような、具体的な復旧対応についても、詳細に考えておく必要があるのです。

復旧後の業務をどのように行うのか

BCP対策では、事業の早期復旧と合わせて、復旧後の事業継続の手段も考えておかなければなりません。

復旧直後はすぐには元と同じような手段で業務ができない可能性があり、その場合の業務実施方法をあらかじめ決めておく必要があります。たとえば従業員が在宅勤務で業務を行うなどです。そのためには、業務に必要なデータや業務システムに自宅からアクセスできるようにしておく必要があります。

BCPの策定手順

それでは、BCP対策の内容策定手順をみていきましょう。

手順１：BCP対象とするリスクを設定する

想定される自然災害などのリスクをすべてピックアップして、それらが自社にどのような被害・影響をおよぼすのかイメージします。そのうえで、自然災害や事故など、どのようなリスクを想定したBCP対策を施すのか、対策を施すべきリスクを選定します。

手順2：BCPの方針を明確化

BCPの策定において、自社がどのような方針で計画すべきかを明確にします。

簡単にいえば、自社で中核を担う事業が何なのか、自社の事業全体を比較して必要な優先順位を明確にするのです。非常事態が起こったときに、優先度の高い事業を継続することに注力すれば、企業としての被害を最小限にできるからです。

優先すべき事業を選ぶ際には、以下のような基準を意識しましょう。

• 利益率の高い事業
• 事業が失敗すると取引先に大きな損害を出してしまう事業
• 消費者に大きく影響し、企業の信頼性に関わる事業　など

とにかく、事業を継続するために企業として何を優先して守るべきかを把握して、BCP策定の方針を固めましょう。

手順3：BCP対策のフローを理解する

BCP対策は事業継続計画ですが、事業を継続するために必要なフローを全社で理解・共有しておくことが大切です。

なぜBCP対策が必要なのか、BCPを策定することで何が守られるのかを、従業員も含めて理解しておかなければなりません。

手順4：BCP対策マニュアルの策定

BCP対策は、非常事態の中で各自が「何をすればよいのか」を明確にマニュアル化しておくことが大切です。

BCPを活用するときは非常事態の真っ只中にいる状況ですので、各自が冷静に臨機応変な行動を取ることは難しいと考えたほうがよいでしょう。人によってはパニックを起こしたり、多くの人が「何をしたらよいのか」をとっさに思い出せなくなったりすることが予想されます。

ですので、非常事態でも「見れば行動できる」という詳細なレベルにまで落とし込んだマニュアルを策定しておくことが重要です。

手順5：BCPの運用体制確立

BCPは策定するだけでは意味がありません。つまり、BCPの運用体制がしっかりと整っていなければならないということです。

例えば、失われたデータを復旧する担当者、従業員の安否確認を取りまとめる担当者、それぞれの状況を統制する担当者などを明確にしておくのです。

BCP対策のポイント

それでは、BCP対策のポイントをみていきましょう。

BCP対策に対する意識を全社で統一する

BCP対策は、BCPを策定するだけではなく、BCPに対する意識を全社で統一しなければなりません。

BCPにおいて、計画とマニュアルを策定しただけでは、いざというときに活用できないからです。本社の他に支社がある企業などは、一箇所でもBCPに対する意識が低いだけでBCP対策は機能しなくなります。

BCP対策は、BCPの内容やマニュアルを元に、日頃から意識付けをしておくことが大切です。

影響範囲を明確にして復旧の優先順位を決定する

BCP対策は、自社の各事業の影響範囲を明確にしておくことがポイントのひとつです。

それぞれの事業が止まった場合に、自社の企業活動がどの程度停止して、どの程度の損害になるのかを明確にしておくことで、早期復旧させる事業の優先順位を決定します。

この優先順位を誤ると、事業は継続できても企業自体が活動できなくなり、本末転倒となってしまいます。

復旧目標時間を決める

影響範囲や復旧すべき業務の優先順位を決定したら、事業の復旧目標時間を決めておく必要があります。

自社の業務がどのくらい停止すると信頼性が失われるのかという視点から逆算して、タイムリミットを決定しましょう。

BCP対策で活用できるICTツール

最後に、BCP対策に活用できるツールについてみていきましょう。

現代のビジネス活動において、ICTツールの利用は必須といっても過言ではありません。BCP対策としてのICTツールの検討も必ず行うべきものの一つといえるでしょう。

災害防災セット

まず、ICTツールではありませんが、オフィスなどでICTツールを利用して復旧活動などを行う従業員のために必要なものは最優先に揃えましょう。営業時間中に罹災し外に出ることができない場合など、従業員が罹災直後の数日間をオフィスで過ごさざるを得ない場合の最低限の生活や活動を行うための備蓄準備は重要です。災害防災セットなど、一通りの備蓄がまとめて管理・保管できるものが便利です。

ビジネスチャット（社内連絡ツール）

災害発生時のスタッフとの連絡ツールとして活用したいのがビジネスチャットです。ビジネスチャットを活用すると個々の連絡網を設定しなくてもグループトークをすることでリアルタイムに双方向の通信が可能になります。ただし、セキュリティ対策としてビジネスチャットでの社外や他支店などとの相互通信を制限している場合などについては、自社のセキュリティポリシーやビジネスチャットツールの使用ルールについても確認が必要です。

ビジネスフォン（クラウドフォン）

自然災害発生時に従業員がオフィスに出社できない場合やオフィスの電話回線が断線した場合など、外部や本社と支店間のリアルタイムな（音声での）連絡手段である電話回線が全く使えなくなってしまうことは望ましくありません。オフィスからの発信だけでなく、オフィスへの着信への対策も併せて検討する必要があります。

その解決策の一つがクラウド型ビジネスフォンの導入です。クラウド型ビジネスフォンは、インターネットを使用したビジネスフォンです。インターネット回線がつながる状況であれば、従業員の携帯電話から企業の電話番号として電話発信をすることができます。

文書の電子化

罹災した場合の文書の消失や紛失に備えるためには文書の電子化が有効です。自社でスキャナなどを使って電子化する以外にも、代行して電子化するサービスなどもあります。また、新たに作成する文書はすべて電子化する社内ルールを策定するなども一つの方法です。

ストレージサービス

重要データをオフィスと同じ敷地内のオンプレミスサーバーに保存している場合には、オフィスが大型災害に罹災した場合にオンプレミスサーバーも物理的な被害を受ける可能性があり、保存しているデータを消失してしまう可能性があります。このようなリスクを避けるには、データセンターへのストレージの移設やクラウドのストレージサービスの活用が有効です。

クラウドサービス（AWS、Microsoft Azureなど）

ここまでご紹介してきたサービスを一つひとつ準備・契約することも可能ですが、できるだけ一つのサービスや事業者に一本化して契約できれば管理が容易になるうえ、特に新たなツールを導入することなく、ツール間を連携した利用も期待できます。

そこで検討したいのが Amazon Web Services（AWS）、 Microsoft Azureなどのクラウドサービスです。

AWSやMicrosoft Azureなどのクラウドサービスでは、インターネットに接続できればいつでもどこでも、ストレージ、データベース、文書電子化、ビジネスチャットなどの必要なサービスを利用できます。またサービスは日本国内だけでなく世界各所にデータセンターから提供されており、オフィス罹災によるサーバー被害などによるサービス停止を防ぐことができます。また、ストレージやサーバーハードウェアを新たに準備することなくデータの分散保管が可能ですので、データ消失のリスク軽減も期待できます。

例えば、オンプレミスで運用するファイルストレージや業務システムは、データやシステムが稼働するデータセンターが被災した場合に利用不能となります。とはいえ、オンプレミスの設備を全国各地に分散させることは、コスト面でも管理工数面でも現実的ではありません。

また、クラウドサービスを利用することで、いつでもどこでも必要な情報にアクセスできる環境を構築でき、日常のテレワークなどによる業務効率化もできます。

AWSについては、「AWSとは？サービスの概要やできること、クラウド市場の展望について紹介」のコラム、Microsoft Azureについては「Azureを選択すべき企業とは？特徴、メリット・デメリット、事例」のコラムで詳しく解説していますので、あわせて参考にしてください。

まとめ

BCP対策は、災害や有事の非常事態に見舞われた際に「いかに事業を継続できる状態にするか」という計画です。不可抗力とはいえ、事業を継続できなくなるということは、企業として生き残ることが難しい上、万が一の備えがあるか否かは企業の信頼性にも大きく影響します。早い段階からBCP対策を実行して、事業・従業員・社会的信頼を守る体制を整えておきましょう。

また、ICTツールの利用が、「情報」の保管や伝達の中心となっていると言っても過言ではない現代の企業において、BCP対策としてもクラウドサービスの活用は検討すべきものです。自社のBCP対策ツールの一つとしてクラウドサービスを検討してみてはいかがでしょうか。

インフラ事業者でもあるNTT東日本は、BCP対策としてのクラウド活用にもノウハウがございます。無料の個別相談会や、クラウド導入・運用サービスのご利用をぜひご検討ください。