日本能率協会コンサルティング寄稿 ”常に有事”の時代におけるBCP見直しと拠点戦略 第1回　BCPの重要性の高まり

BCPとは

BCPとは、Business Continuity Planningの略で、事業継続計画と訳します。内閣府によると「災害時に特定された重要業務が中断しないこと、また万一事業活動が中断した場合に目標復旧時間内に重要な機能を再開させ、業務中断に伴う顧客取引の競合他社への流出、マーケットシェアの低下、企業評価の低下などから企業を守るための経営戦略（以下、省略）」と定義されています。
上記の通り、BCPは、日本国・日本企業では自然災害、特に地震への対応との認識がされていますが、元々は金融機関への情報システム導入が始まった1970年代の欧米において、システム停止に対する対応策、つまり情報セキュリティの一分野として検討されたのが始まりです。
そして、このBCPの重要性を全世界の企業が認識し始めたのは、2001年9月に起きたアメリカ同時多発テロ時におけるメリルリンチ社の対応と言われています。航空機が衝突した世界貿易センターには、同社の社員約9,000名がおり、建物の倒壊により本社機能も壊滅しました。しかし、同社は同年5月に本社機能停止に備えた2日間におよぶ全社大規模訓練を実施しており、また予め準備していたバックオフィス等の活用により、業務の中断を最小限に抑えています。同社は、訓練と同様にBCPを発動し1機目の航空機衝突の7分後には対策本部を立上げ、20分後には、9,000人全員の避難を安全に完了させました。
また、記憶に新しいコロナウイルスも、新たな事業継続リスクとして、多くの企業が対応に追われました。円滑に在宅勤務や交代勤務に移行出来た企業の多くは、平時より重要業務の選定をしていただけではなく、業務標準化の推進、またスキルマップ・星取表等で各人の適正スキルとレベルの把握、その教育計画立案と実施等のスキル管理がされていました。一方、属人的な業務が残り、バックアップ体制が整っていない企業は、一部の人しか処理方法がわからない業務があるために業務フローが中断して事業活動の停止や一部縮小をせざるを得ない状況に陥っていました。
このように、考慮すべき事業継続リスク及び事業継続計画（BCP）は、地震を中心とした自然災害に限らず、情報セキュリティ、テロ、感染症など、幅広く考えないといけないのです。

企業が考慮すべきリスクの広がり

事業継続計画を策定する上で企業が考慮すべきリスクは、前述の通り、そのリスク対象も増加傾向にあり、対応すべきリスクの範囲も広がりを見せています。リスクの対象で言えば、これまでの地震や台風などの自然災害に加えて、2022年ロシアのウクライナ侵攻等の戦争、先述のようなテロ、インフレや為替相場等のカントリーリスク、またサイバー攻撃、ドローンを代表とする飛来物等の人為的災害などもあります。対応すべきリスクの範囲で言えば、これまでの自国もしくは自社国内のみであったものが、国内外を含むサプライチェーン上下流まで広がっています。
この広がりの理由の1つとしては、グローバリゼーション・グローバル化があげられます。グローバリゼーションやグローバル化とは、国境を越えた様々な移動により、社会的・文化的・経済的な変化を引き起こし、世界が一体化することを指します。中でも、経営資源であるヒト・モノ・カネ・情報の移動により世界的な経済発展をもたらす動きを、経済的グローバリゼーション、または経済的グローバル化と言います。
現代において、この経済的グローバリゼーションは、当たり前になっています。製造業で言えば、Ａ国やＢ国で部品調達をし、Ｃ国の工場で製造してＤ国へ輸出しています。日本企業の製品でありながら、モノが日本を経由しない場合もあります。非製造業においても、Ｅ国企業のＥＣモールで購入したＥ国企業の商品をＦ国の消費者に輸出など、Ｅ国とＦ国間もしくはＦ国とＧ国間（Ｅ国以外の二国間）など国境を越えたサービス提供である越境取引があります。越境取引には、国際通信（情報）や国際金融（カネ）なども該当します。他にも、フランチャイズのようなサービス拠点の越境化、旅行や出張に伴うサービス消費つまり需要者（ヒト）の越境も、非製造業におけるグローバル化に挙げられます。
図1に示すように、これまでは、自社への直接的な被害対応のみでしたが、サプライチェーンの拡がりによりサプライチェーン上流・下流の被害も事業継続上のリスクとなってきているのです。
また図2にもあるように、パソコン製造においては、英国での販売に至るまでに、ロシア、韓国、日本、米国、マレーシア、中国と多くの国が関わっております。自国もしくは自社拠点において、安定的な事業活動を行っていても、サプライチェーン上流にて政情不安等により原材料や部品の供給が停止されたり、下流で不買運動が起きたりしてしまうと、忽ち供給不可や在庫過剰に陥ります。

図1：サプライチェーン上の被害が与える自社への影響

図2：製造業（パソコン製造）におけるグローバルサプライチェーン

これまでBCP策定においては、リスク範囲としては自社本社もしくは自社の拠点地域を想定し、リスク対象としては自然災害を中心としたリスクの洗い出しを行ってきました。グローバル化したサプライチェーンにより受ける影響も考慮すると、想定するリスク事象の範囲・対象を広げる必要があります。

図3：考慮すべきリスクの広がり

リスクの事例

リスクの事例として、①2019年に起きた新型コロナウイルス感染症、②2011年に起きたモンスーン期に発生したタイ洪水、③2022年に起きた自動車業界へのサイバー攻撃について紹介します。

①2019年新型コロナウイルス感染症

新型コロナウイルスの感染拡大を受けたサプライチェーンの寸断は、生産、物流、人の移動という多岐にわたる要因により、各地で顕在化しました。
生産の面では、中国や東南アジアから日本の自動車部品・電子部品の供給が途絶えました。物流の面では、中国の都市封鎖による陸上輸送の遅延、中国発コンテナ船の減便がありました。また世界全体で見ても旅客機の減便が航空輸送の減少にも繋がりました。人の面で言えば、EUでは移民の停滞による労働力不足、米国では入国に伴う隔離措置が技術者の移動の妨げにもなりました。

表1： 2019年新型コロナウイルス感染症による業界別影響の例

②2011年に起きたモンスーン期に発生したタイ洪水

2011年、タイの工業団地で洪水が発生しました。当時、タイには7,000 社に及ぶ日系企業が進出しており、冠水したチャオプラヤ川沿いの7工業団地でも多くの日系企業が操業しておりました。被災企業725社のうち約450社が日系企業でした。

表2：各工業団地の主な日系企業

業界	工業団地
食品	サハ・ラタナナコン工業団地
完成車、電機	ロジャナ工業団地
電機	ハイテク工業団地
素材、電子機器部品	バンパイン工業団地
電機、電子機器部品	ナワナコン工業団地
総合電機、食品	バンカディー工業団地

また、直接的な浸水被害がなくても、部品供給の途絶などサプライチェーンの寸断により、多くの日系企業が操業停止に追い込まれました。図4にもあるように、間接的な被害に影響は大きく、部品・商品納期に遅れが生じたり、他社工場の被災により自社の生産が停止したりもしました。

図4：サプライチェーンの寸断による影響

③2022年に起きた自動車業界へのサイバー攻撃

2022年2月〜3月に発生した自動車業界におけるサイバー攻撃は、完成車メーカーと直接取引のある部品メーカーではなく、部品メーカーの子会社と特定の外部企業とのやり取りを行う通信機器が狙われました。これにより、完成車メーカーは子会社を含む国内全14工場28ラインが停止しました。
独立行政法人情報処理推進機構（IPA）が毎年公開している「情報セキュリティ10大脅威」によると、「サプライチェーンの弱点を悪用した攻撃の高まり」は上位にランクインされており、近年注目度が増しています。

図5：自動車業界におけるサイバー攻撃の例

このように、考慮すべき事業継続リスクの登場、事業継続リスクの広がりにより、企業は常に有事とも呼べる時代になってきました。有事の備えには、平時におけるリスク評価が重要になってきます。

図6：“常に有事”とも呼べる時代

レジリエンスBCM

これまでのBCPは、事前にリスクを想定し、被害防止の予防策と復旧時間短縮（事業継続）を目的とした計画でしたが、近年は常に事業継続が危ぶまれる事象が発生しており、事業への影響を都度見極めて対応しなければならない状況にあります。また、復旧のみならず、変化に応じて対応することが求められる時代になってきております。つまり、「困難をしなやかに乗り越え回復する力」を意味する”レジリエンス”なBCPをマネジメントしていく、レジリエンスBCM（Business Continuity Management）が求められているのです。

表3：これまでのBCPとこれからのBCP

これまでのBCP（自然災害BCP）	これからのBCP（レジリエンスBCM）
リスクを事前想定 （発生事象ベース）	オールハザード型 結果事象でリスクを捉える
自社視点でのリスク想定	サプライチェーン全体でのリスク想定
復旧時間の短縮	復旧時間の短縮＋予防策・代替策
計画に基づいた災害対応	刻々と変わる事業への影響を見える化し、状況に応じて意思決定

レジリエンスBCMとは、日々、情報収集を行い、事業状況を見定め、短サイクルで意思決定を行い、リスクに対応することです。
まず行うこととしては、日々の情報を収集出来る環境を整えて事業への影響評価を想定シナリオ別に整理しておくことです。そして、目的に応じて事業状況の可視化を行い、目的変数に応じた最適解を探索します。最後に意思決定を行うための仕組みを構築します。このサイクルを短サイクル化し、業務を見直していくことが重要になってきます。

図7：レジリエンスBCMの考え方

このように、グローバル化等事業環境の変化に伴い、考慮すべき事業継続リスクの登場、事業継続リスクの広がりをみせております。それに付随し、企業は常に有事と呼べる時代になってきたため、これまでのような固定的な事業継続計画（BCP）ではあらゆるリスクに対応が出来なくなってきているのです。
これからの時代においては、あらゆるリスクに対応すべくBCPではなく、柔軟性を持つレジリエンスなBCMに移行していく必要があるのです。