日経ビジネスONLINE Special 週刊日経ビジネスオンライン SPECIAL日経ビジネスオンライン

経営課題解決シンポジウム BCP 事業継続のための危機管理対策 Review 基調&特別講演

経営リスクの問題として、BCP(事業継続計画)を念頭に置き、災害など不測の事態に対応する。そこでは経営幹部の関与が強く求められ、日常の業務から見直しを進めて、常に改善していかなければならない――。予期せぬ事態に陥っても事業の継続を実現するための取り組みについて、9月24日に開かれた「経営課題解決シンポジウム」(主催:日経ビジネスオンライン、協賛:PFU、EMCジャパン、シトリックス・システムズ・ジャパン)では、企業はどのように考え、準備を進めるべきか、先進企業による取り組みとともに紹介された。ここではそれらのセッションから、実効性のある強靭なBPCを作り上げるヒントを探っていきたい。

基調講演 事業継続の必須要素“レジリエンス”BCPの範囲は社内から社会にも

天津 健太郎 氏

大成建設
営業推進本部
ライフサイクルケア推進部長
天津 健太郎

 事業継続計画(BCP)の積極的な取り組みを進める大成建設。同社でBCPに関わる業務を推進するライフサイクルケア推進部長の天津健太郎氏は、「真に実効性のあるBCPにするためには“レジリエンス”を常に意識すべき」と訴えた。

 レジリエンスとは、打たれ強さ、条件や環境変化に対応できる強靭さをあらわす言葉で、もともとはカーペットの毛足の弾力性を表す。企業は自社のレジリエンスを見極め、強化に努めることが災害時における事業継続のポイントになる。

 大成建設のBCPの基本方針は(1)「役職員とその家族の生命および身体の安全確保」、(2)「救援活動・社会資本の復旧活動に全面的に協力」、(3)「施工中物件の二次災害防止・近隣住民の安全確保」、(4)「国・地方自治体および企業等の事業継続に向けた活動への協力」、というもの。

 自社の施工中物件の復旧はもちろんだが、過去に施工した建設物などの元施工物件の復旧、さらには人命救助やインフラ復旧といった災害時の社会貢献もBCPの重要業務とする。BCPの活動は社内から社外へ、さらに社会へと広がっている。「社会経済活動の基盤を支えるのが建設会社の責務であり、そのための社員の力や組織の力が当社のレジリエンス」(天津氏)という。

 同社のBCPでは、災害が発生してから24時間以内にまず社員と家族の安全を確認し、災害対策本部の設置と作業所の二次災害防止措置を実施する。48時間以内に既設の建設物の応急的な復旧工事を開始する。さらに2週間以内には応急的な復旧工事を完了し、作業所での工事を再開する。これらの活動と並行し、要請に応じて人命救助や社会インフラの応急措置にも対応していく。

 こうした災害時の対応力を高めるレジリエンスは、5つの力で構成されるとする。平常時の(1)「事前対応力」、非常時の(2)「初動対応力」、(3)「代替対応力」、復旧時の(4)「復旧対応力」という4つの力に加えて、予期せぬ事態にも冷静に対応する(5)「危機管理力」も非常に重要だ。

 例えば、本社から2km圏内にある単身寮を、非常時には本社への支援施設として活用するよう準備・改修していたが、東日本大震災当日には帰宅困難になった女性社員用の宿泊施設として使用した。建設業でのノウハウを活用して施設の目的や機能を管理・把握しておき、臨機応変に利用目的を変更することもレジリエンスといえるだろう。

 しかし、被災シナリオと対応の策定、防災訓練による習熟などによって、いくら対応力を高めようとしても、災害は想定どおりには発生してくれない。その実効性をさらに高めるために、同社は東日本大震災時の経験を生かして訓練内容などを常に見直している。

 また、レジリエンスを向上させるには、企業風土として従業員の参加意識やモチベーションを高めることが不可欠とし、災害発生後に顧客対応を改善するための議論を通じてコミュニケーションを促進させるなど、その強化にも取り組んでいる。

▲TOPへもどる

特別講演 事業継続を脅かすITリスクは経営問題 復旧を早める対策とコストの把握を

金谷 敏尊 氏

アイ・ティ・アール
プリンシパル・アナリスト
金谷 敏尊

 ITリスクはそのまま経営リスクであるといえる。事業活動を支える情報システムが停止してしまうと、すなわち事業の多大な損失につながるからだ。災害時を想定する事業継続計画(BCP)の情報システムの運用においては、ディザスタ・リカバリ(DR:災害時の情報システムやデータの復旧)などの対策が重要となる。

 「BCPにおけるITリスクも、やはり経営の問題として捉えるべきです。IT部門だけの問題にしてはいけません」と、IT戦略立案のコンサルティングを手掛けるアイ・ティ・アールのプリンシパル・アナリスト 金谷敏尊氏は主張する。「BCPを策定する場合は、ITリスクが事業にどのように影響するのかをビジネス影響分析(BIA:Business Impact Analysis)により評価しながら、経営幹部や事業部門、IT部門が足並みをそろえ進めなければなりません」と続けた。

 BCP策定のプロジェクトを進めるには、まず自社の業務プロセスとシステムの概要を把握する。そのうえで具体的な災害を想定し、「データセンターが使えなくなった場合」などの被災シナリオを作成する。次に、そのシナリオ下で、バックアップによるシステム復旧時間を見積もるなどして、脆弱なポイントとその程度を把握する。

 さらにこれらの想定結果から、ビジネス影響分析を行う。このとき、業務の優先度合いによってシステム復旧の緊急性を見極め、対応を計画する。たとえば、業務の停止が許されない優先度が高いシステムには、二重化を施すなどの措置を講じる。

 ここで問題となるのが、BCP対策のIT投資に関し決裁を受けるための社内調整だ。IT部門の担当者は、経営幹部が納得できるだけの判断材料を提示することが最重要課題になる。

 そのためには、事業の目標の達成度合いを示す「KPI(Key Performance Indicator:重要業績指標)を用い、効果を可視化するのが良いでしょう」と、金谷氏は説明する。例えば、「対策を施さず、被災シナリオで想定した災害が起こった場合、システムの復旧および業務の再開までに2カ月以上かかる」と前置きする。そして、「これだけのコストをかけて対策を講じれば8時間で復旧できるようになる」というように対策による業務遂行への寄与を説明する。コストと復旧時間のレベルに応じて、3パターンほどの選択肢を用意しておくとよい。

 一方、同様にこうしたBCPのIT投資の判断材料を提示する際、ROI(投資利益率)を指標として使うのは、適さない場合があり注意が必要だ。ROIは、現状からの収益改善を目的とした投資に関する指標である。BCP対策のシステムを新規導入する場合には、リスク低減効果を金額換算できないことはないが、地震の発生確率など不確定要素が多いため、納得感のある説明が困難なのだ。ただし、BCP対策のシステムを更新・改善する場合には、導入済みのシステムに費やしているコストと比較することで、ROIによる評価がしやすくなる。

 経営幹部が、災害による業務停止により、どこまで損失が及ぶかを詳細に把握しているケースはそう多くないはずだ。被災リスクによる事業損失と、対策を講じるための投資コストを定量的に試算し、IT部門と経営幹部が対話を持つことが、BCPを成功に導く第一歩となる。

▲TOPへもどる