事業継続マネジメント入門

事業継続とは

「事業継続」という概念が注目されています。

「事業継続」とは、経営危機に陥った企業の経営立て直しなどの「経営」そのものの存続のことではなく、「製品及びサービス」の提供を継続することです。例えば新型インフルエンザの影響で事業活動が停止してしまうとか、システムダウンによって銀行のATMによる入出金サービスが停止してしまうとか、地震の影響で工場の生産ラインが停止してしまうといったことが発生した場合の「製品及びサービス」の提供を継続することを意味します。

 

危機管理(Crisis management)とリスク管理(Risk management)の違い

危機管理とリスク管理は、一般にはあいまいに理解されていることが多いと思われます。危機管理は広義のリスク管理の一手法といえます。しかし厳密には(狭義では)両者の概念は違います。危機(Crisis)とは、既に発生した事態すなわち「結果」を指しています。それに対しリスク(Risk)は、これからある事態が発生するかもしれない可能性すなわち「原因」を指します。

ですから、危機管理は発生してしまった「結果」を如何に収拾するか、解決するかということを主目的とする活動になります。リスク管理は、「原因」に対し対策を打ち、事態の発生を防ぐことを主目的とする活動になります。

事業継続は、リスクマネジメントの分野では、危機管理の範疇に入ると考えられます。

 

インパクトベースとリスクベースの違い

事業継続は、インパクトベースである点が特徴です。インパクトベースとはある事象(例えば新型インフルエンザ、地震など)の発生により引き起こされる結果(ここでは事業の中断)が与えるインパクト(影響)に着目し、インパクトの程度に応じて対応するという考え方です。この場合事業の中断を引き起こすリスク事象は何でも良く、インパクトの程度に応じて対応体制を変え、速やかな事業の再開と復旧に向けた活動を行っていくというのが事業継続なのです。それに対しリスクベースは、原因となるリスク事象に着目し、その予防策などを講じていくという考え方です。リスクベースだけでは、想定外のリスク事象が発生した時に対応が難しくなってしまいます。今回の新型インフルエンザも当初、強毒性のインフルエンザを想定していたため、実際発生したのが弱毒性であったため、対応が混乱してしまいました。インパクトベースの場合は、想定外の事象が起きたとしても、結果の影響の程度に応じた機動的な体制で問題解決を図っていきます。

 

事業継続マネジメントの計画は「事業継続計画(BCP)」だけではない

事業継続マネジメントでは「事業継続計画(BCP)」だけを作るわけではありません。まず発生した事態を緊急に収拾するための「インシデントマネジメント計画(IMP)」、事態が収拾してきたら次に取り敢えず仮の形でも事業を再開できるようにする「事業継続計画(BCP)」、さらには完全な復旧を目指す「事業復旧計画(BRP)」などの計画を作り管理します。発動の時期と目的の異なる複数の計画を使って総合的なマネジメントを行っていくのが事業継続マネジメントなのです。

 

事業インパクト分析(BIA)

「事業インパクト分析」では、事業の中断によるインパクトの程度と期間を分析します。これによってこれまで述べたようにインパクトベースの対応が可能になります。また事業継続マネジメントでは、同時に「リスクアセスメント」も行います。これは事業継続マネジメントが「結果」への対応だけでなく、「原因」への対応すなわち「リスク対応」も行うからです。このようなことからも事業継続マネジメントは、インパクトとリスクを考慮した総合的なマネジメントであるといえます。

 

事業継続マネジメントシステム

事業継続マネジメントの活動は、インパクトやリスクの分析を行い、必要とされる複数の計画を作成し、教育・訓練を行っていくことでも実現できます。しかしそれだけでは、それらの計画に不備・不整合や改訂もれはないか、またいざという時に本当に計画したように行動できるのかなどの点で不安が残ります。そこでそれらの検証、改善の活動を経営トップの指揮のもとに組織的に行うしくみを構築し運用していこうというのが、「事業継続マネジメントシステム」という考え方です。既に品質マネジメントシステム、環境マネジメントシステム、情報セキュリティマネジメントシステムなどを構築・運用している企業は、そのしくみをうまく流用することで比較的スムースに「事業継続マネジメントシステム」を構築することができます。その基準になる規格はBS25999-1BS25999-2として発行されています。

 

→ 事業継続についてのより詳しいサイトはこちら