事業継続計画
業務継続計画とは
業務継続計画とは、「コンピュータが止まらないようにする」ことではなく、文字通り「業務を維持・継続する」ことが肝要となる。
その意味において、業務全体の流れを把握し、業務上必要となる全ての情報資源～電子データ、紙資料を問わず、形式知のみならず暗黙知も含めて～が災害時においても利用可能かどうかを吟味し確保することが鍵となる。
たとえコンピュータが止まっても、マニュアルに無いことが起きたとしても、冷静な状況判断と意思疎通によって最善の対処ができるかどうか問い続ける姿勢が大切である。
重要な業務処理の障害や故障の後、業務運営を維持、もしくは要求される時間内に復旧させるための計画を立案すること。
業務継続計画手続きでは、下記の事項を考慮すること。
すべての責任と、非常時の手続きを明確にし、合意する。
要求された時間内に、回復または復旧するための、非常時手続きを実行する。
合意された手続きや処理に関する文書を作成する。
危機管理を含め、合意された非常時手続きおよび処理に関して、スタッフを教育する。
計画をテストし、更新する。
計画作成処理は、要求される業務目的（例：許容時間内には、顧客に対して、特定のサービスを保証する）に重点をおくこと。
業務目的を可能にするサービスや資源を、スタッフ、非常処理資源、情報処理設備のフォールバックに関する取り決めを含めて、考慮すること。
一般的な業務継続計画策定のポイント
コア業務の選定
復旧方針、目標（時間、割合）の策定
被害想定
ビジネスインパクト分析
指揮命令系統の維持
バックアップ内容の選定
事務所と情報システムのバックアップ
対策の策定とマニュアル化
訓練（マニュアル・手順の確認と意思決定）
復帰計画
生産拠点の分散
取引先の分散
財務的なヘッジ手段の確保
点検見直し
監査
コア業務の選定
自社業務の中で継続しなければならない業務
生命に関係する業務
市民に影響を与える業務
取り引き先に大きな影響を与える業務
利益の大きな業務
等
通常、フルカバーのバックアップは困難
復旧方針、目標の策定
業務の継続・復旧にあたり企業としての方針を明確にする
目標（業務の停止時間の限度、バックアップする業務量の割合）を決定する
被害想定
業務内容に即したシナリオを想定する
標準的なシナリオ、対処可能な最悪のシナリオなどを用意する
まずラフなシナリオを作成し、対応策を検討してみる
順次シナリオを詳細化することも現実的
被害想定のポイント
発生日時
営業時間中、夜勤時間、休日
発生場所
工場別、支店別、本社
商品顧客
人気商品、特殊な商品、購買層
環境
法律、文化、競合他社
責任
自社の責任、他社の責任、不可抗力
事故の程度
人身被害、利益、賠償、滅失財産
停止する機能の明確化
固定電話、通信などの停止
携帯電話の使用量の増加による混雑の発生
本社からの指揮命令系統の断絶、本社への報告系統の断絶
情報システムの停止：決済や事務の停止
交通渋滞などによる物流の遅れ
サプライチェーンへの影響
ビジネスインパクト分析
業務が停止することにより、顧客、利益などにどの程度影響が及ぶかを分析する
業務の停止時間と影響度は必ずしも比例しない。ある時点から急速に影響度が大きくなる
業務の継続方法の検討
地震の影響のない場所での代替生産（複数拠点のある工場、ソフトウェアハウス）
手作業による代替
電気の復旧まで待つ（システムなどを使用しない業務を実施し、データエントリーなどは溜めておく）
方針の説明
サプライチェーンの関係で、自社の取り組み状況が関係者に影響を与える
自社の取り組み方針、具体的な対応について、関係者と事前協議を行い、十分認識させることが必要
ホームページ対応の有効性
指揮命令系統の維持
重要な指揮命令系統の維持
代行者の決定、代替場所の決定
連絡手段の複数化
連絡が取れないときの現場への権限委譲のルールと範囲の明確化
本社機構の代替場所の決定
バックアップ内容
情報のバックアップ
パソコン、マニュアル、文書（帳票）、電話、事務所スペースなど
情報システムのバックアップ
バックアップする業務の決定（プログラムデータ　のバックアップ）
いつ同期を取るか→条件の確認－当日は朝から全てバックアップシステムに再入力せざるを得ないのか等）
サーバー、クライアント端末、オフィスLAN、データ、プログラム等をあらかじめ準備
自然災害などを考慮し、一度に被災しない遠距離に構築するのが基本
自社の支店や工場の利用も有効
事務所のバックアップ
事務所（本社機構、支店機構等）のバックアップ・パソコン、電話回線、データ、文書（帳票）、マニュアル、机、イスなどをあらかじめ備え付ける
収容人員の想定（ある銀行は3分の1と規定）
通勤を考慮してある程度近距離を想定
ただし最悪のケースに備え、遠距離にも設定（米国のある証券会社は3箇所に設定）
バックアップサービス業
アメリカでは一般的なサービス
事務所や情報システムのバックアップをあらかじめ業者に委託
対象とする主なリスク
地震、ハリケーン、竜巻、火災、洪水、工事停電、暴動、ロックアウト
主な利用例
本社、情報システムセンター、コールセンター
対策の策定とマニュアル化
業務継続対策本部組織図と連絡先
顧客、関連先、行政などの連絡先
対策本部各部門の責務
業務継続に必要な資源
緊急時業務、継続業務の手順書
サービスレベルアグリーメントなど公約の確認
設備見取り図他必要書類
マニュアル・手順の確認と意思決定訓練
実際にバックアップセンターを立ち上げ、具体的に事業の実施を行うことが必要
事務処理マニュアルの有効性、手作業の効率の測定
意外にやっかいなのが回線の切り替え
対策本部要員の意思決定訓練の必要性
復旧計画
代替事務所、またはバックアップシステムの利用、代替事務の実施などを行った後は、元の状況に戻すための計画が必要
生産拠点の分散
あらかじめ同じ製品を作成するラインを互いに距離が離れている別の工場で持つ
メリット
ひとつの工場が稼動を停止しても、別の工場である程度の代替生産が可能
デメリット
ラインを分散させるため非効率
取引先の分散
サプライチェーンの重要性
取り引き先工場の停止による影響の把握
取引先の分散化による業務停止の回避
品質管理やコストの点で1社に絞らざるを得ない場合もある
取引先の対応状況の把握の必要性
被害者にも加害者にもなってはいけない
対応情報の開示
ステークホルダーへの対応情報の開示が必要
事前に幅広く対応を周知させることが必要
ホームページ、店頭掲示、訪問による説明等
サービスレベルの開示
業務を継続する場合の条件の提示
業務を継続できない場合
事前に業務停止の時間と範囲を明示する
代替手段があればその方法を通知する
財務的なヘッジの確保
事故災害が発生した場合
業務の継続を実施するコストの手当て
業務の継続が不十分な場合
失った利益
関係者への賠償責任への手当て
事故そのもので失う物的損害の再調達の資金の確保
保険、デリバティブ、インパクトローン
点検・見直し
構築した業務継続計画は事業の発展に伴い適宜改善が不可欠
定期的な点検の実施が必要
事業内容がどのように変化したか
新たに必要な業務は何か
廃止する業務は何か
復旧予定時間は短縮されたか
訓練も点検・見直しを兼ねることができる
監査の実施
業務継続計画の構築は当然コストがかかる
業務の進展に伴い業務継続計画が不適切になっていないか
業務継続計画の点検がされているか
従業員は訓練されているか
第三者の目からのチェックが不可欠
サプライチェーンの監査も重要
類似用語
業務復旧計画、災害復旧計画、Contingency Plan など
BCP : business continuity plan ; business continuity planning
カタストロフィモデリング（Catastrophe modeling）
災害復旧、ディザスタリカバリ（DR : disaster recovery）
災害（disaster）
防災（emergency management）
Natural hazard　- 自然災害（Natural disaster）
Man-made hazards - 人為災害（anthropogenic hazard）
Space accidents and incidents - 宇宙開発における事故
リスク管理、リスクマネジメント（Risk Management）
Disaster recovery and business continuity auditing
システム工学、システムエンジニアリング（systems engineering）
Systems engineering process
システムライフサイクル（System lifecycle）
システム思考、システムズシンキング（Systems thinking）
レジリエンス（resilience）
Seven tiers of disaster recovery