BCP（事業継続計画）とは？重要業務・復旧目標の決め方と訓練・見直し

BCP（Business Continuity Plan：事業継続計画）は、災害や事故などで通常の仕事ができなくなったとき、重要な業務を続ける、または復旧させるための計画です。何を優先し、誰が判断し、限られた人員や設備でどこまで対応するかを決めます。本記事では、計画の基本から、システム停止やサイバー攻撃に備える際の確認点までを整理します。

BCPの目的と、計画に入れる業務の範囲

BCPでは、従業員や来訪者の安全確保を前提として、その後の事業をどう続けるかを考えます。避難や安否確認の手順に加え、受注、製造、出荷、顧客対応などのうち優先して維持する仕事と、そのための体制を定めます。東京都のBCPの説明でも、優先業務、復旧時間、代替手段の文書化が挙げられています。業務の性質に合わせて継続の水準を決めることが出発点です。

初めに「何を止められないか」を業務の責任者と話し合います。売上の大きさだけで決めず、停止した場合の顧客への影響、取引上の約束、人の安全や社会への影響を検討しましょう。商品を出荷できても問い合わせを受け付けられなければ、顧客に状況を伝えられません。主な事業を支える周辺業務まで書き出すと、継続に必要な範囲が見えます。

次に、計画を使う単位をそろえます。本社だけを対象にするのか、工場・倉庫・営業拠点も含むのか、関係会社や委託先との接点をどこまで扱うのかを明確にします。施設を使えない、担当者が集まれない、必要な情報を参照できないなど、仕事を妨げる状態から検討すると、特定の災害名だけに依存しない対策を考えやすくなります。

本記事では、最初の確認用に「対象業務、業務責任者、停止による影響、必要な資源、代替方法、判断する人」の六つを並べる方法を提案します。これは公的な認定様式ではなく、部署間の前提を合わせるための整理です。担当者が把握している作業と、経営者が優先すると考える仕事に差があれば、その場で判断を残してください。

計画書を保管する場所も、実際に使う条件に合わせます。社内ネットワークが使えないと参照できない資料だけでは、停止時に手順を探せません。必要な関係者が参照できる方法と、個人情報や連絡先を保護する方法を一緒に決めましょう。配布した資料には管理する担当者と版を付け、更新後に古い連絡網を使い続けない運用を設けます。

BCPは会社全体のリスクを管理する取組ともつながります。事業継続の対象を決める前に経営上のリスクや対応責任を整理したい場合は、ERM・全社的リスクマネジメントの進め方も参照してください。広く洗い出した課題のうち、どの中断への備えを今回の計画で扱うかを決めると、担当と検討範囲を具体化できます。

重要業務の影響を調べ、復旧目標と代替手段を決める

業務を洗い出したら、中断が続いた場合に何が起きるかを確認します。BIA（Business Impact Analysis：事業影響度分析）は、業務機能とその中断による影響を分析する考え方です。NISTの用語集もこの観点で説明しています。災害が起きる確率の大小を並べる作業とは区別し、業務を再開できない時間が延びた場合の影響に注目します。

聞き取りでは、いつから影響が大きくなるかと、その根拠を対にします。例えば受注受付なら、顧客に回答する期限、注文を確認できる手段、受付を止めた場合の後続作業を確認します。日時や数量は自社の取引・運用を根拠に設定してください。一般的な「何時間以内」という数字を、そのまま全業務の基準にすると、実際の優先順位が見えにくくなります。

目標復旧時間は、業務をどの時点までに再開したいかを示す目標です。内閣府の事業継続の概要は、重要業務ごとの目標と、その実現を妨げる資源の把握を取り上げています。「通常時の全機能を戻す」のか、「対象を絞って受付だけを再開する」のかによって必要な準備は変わるため、時間と再開する業務の水準を一緒に書きます。

業務側の希望と、現在の設備や契約で実現できる時間を分けて記録することも必要です。希望が短くても、設備の調達、担当者の移動、データの復元に時間がかかる場合があります。差があれば、代替作業を用意する、必要な資源を追加する、対象を絞るなどの選択肢を比較し、未解決の点を経営判断に戻します。目標を書いた段階で復旧能力を確認できたとは扱いません。

依存する資源は、担当者、建物、電源、設備、材料、通信、システム、データ、委託先などを業務単位で追います。別拠点へ移る計画があっても、同じ認証基盤や同じ物流会社に依存していれば、そこで止まる可能性があります。代替先の名前だけでなく、切り替える判断、利用条件、必要な情報、受け入れ可能な作業量を確認してください。

代替手段の検討には、自社の作業を具体的に一つ選ぶと取り組みやすくなります。受注システムが使えない場合に、どの顧客から何を受け付け、誰が受付記録を管理し、復旧後に誰が転記・照合するかまで順に考えます。これは検討用の例であり、紙やメールでの代替を全社に勧めるものではありません。扱う情報の保護、重複受付、誤出荷の確認も含めて、自社で実行できる方法を選びましょう。

システムの復旧を事業の再開につなげる

システムが起動しても、業務を再開できるとは限りません。認証、ネットワーク、業務アプリ、連携先、必要なデータがそろい、担当者が利用できる状態を確認する必要があります。IT部門が管理する復旧手順を、業務側が決めた優先順位と照らし合わせましょう。部品ごとの復旧順序と、その状態で再開できる業務を対応させると、進捗を経営や現場へ伝えやすくなります。

サイバー攻撃による停止への備えも、既存のBCPと連携させます。IPAの「事業継続・復旧体制の整備」は、経営への影響を踏まえた復旧目標、対応する体制、優先度の高いシステムの手順と演習を取り上げています。自然災害の計画を担当するチームと、インシデント対応を担うチームが、判断と連絡の接点を共有することが必要です。

バックアップについては、取得できているかに加え、どのデータをどの時点に戻せるかを確認します。復元したデータに含まれない取引がある場合、何を根拠に補うかも業務側と決めておきましょう。保管先、利用権限、復元を実行する担当者と承認者を整理し、確認用の環境で復元から利用確認までの手順を検証します。保存の成功記録と、業務として使えることの確認を分けて残してください。

攻撃や不正利用が疑われる場面では、通常の障害と同じ感覚で再接続すると判断を誤ることがあります。停止・隔離・代替運用・再開の判断を誰が行うか、専門の担当者や委託先へ何を伝えるかを事前に整理します。再開を急ぐ部門と調査・修復を担う部門で条件が食い違ったときの判断者も決めましょう。本記事の説明を個別環境の操作手順として使わず、対象環境と権限に合う手順を用意してください。

連絡には、普段使う社内メールやチャットが利用できない場合も考えます。IPAが紹介する連絡先の見直しの実践例では、訓練の対象外だった部門や関係先も確認の範囲にしています。自社で採り入れる際は、連絡先の正確さと連絡手段、担当者不在時の連絡先を確認し、テスト連絡の対象・日時・内容を関係者と事前に合わせます。

脆弱性を探す診断と、停止後の業務を続ける計画は、目的と成果物が異なります。両方が必要な場合は、それぞれ何を確認するかを分けて発注・管理しましょう。診断の種類や対象範囲を整理するには、セキュリティ診断・脆弱性診断の選び方も役立ちます。技術的な問題の確認だけで、業務の代替手順や再開判断まで整ったと評価しないことが大切です。

停止時に必要になる調査・復旧・顧客対応の費用や利益の損失を、資金面の備えへ対応させることも大切です。サイバー保険の補償範囲と保険料・加入判断の確認点では、費目、特約・免責、自己負担と契約条件の比較を整理しています。補償を得られる可能性と、重要業務を実際に再開できる体制を分け、保険窓口への連絡や費用の記録を誰が担うかもBCPと合わせて確認します。

訓練・見直しを続け、必要な支援を選ぶ

計画を作った後は、関係者が使えるかを確認します。内閣府の概要でも、教育訓練、点検、是正、経営層による見直しを繰り返す取組が示されています。全社に共通する固定の策定期間や訓練回数を置くより、対象業務、関係者、既存の手順、適用する要件に合わせて実施方法を決めましょう。担当者や利用システムが変わったときも、影響する箇所を見直します。

最初の訓練では、ある業務が止まったという想定で、気付いた人から判断する人まで情報が届くか、代替手順を誰が始めるかを机上で確認する方法があります。実際の停止を伴う訓練は、対象、影響、切り戻し、実施の権限を別に確認します。関係者が集まった事実だけで評価せず、連絡が届かなかった、必要な情報を開けなかったなど、実行を妨げた点を残しましょう。

振り返りでは、課題ごとに担当者、対応期限、確認する方法を設定します。「復旧が遅かった」という記録だけでは、次に直す部分が分かりません。判断待ち、連絡先の誤り、権限不足、復元手順の不備など、実際に止まった箇所を特定し、修正後にもう一度確かめます。訓練の想定、参加範囲、確認できたことと未確認のことを残すと、次回の検証につなげられます。

外部へ相談する前には、重要業務の一覧、既存の計画、利用中のシステム、委託先との役割分担、把握している課題をまとめておくと話を進めやすくなります。連絡先や構成情報などの資料は、共有してよい範囲を社内で確認してください。支援先には、どの成果物を作り、どの訓練で確認し、引き渡し後に誰が更新するかまで確認します。業務全体の計画と、一部の技術対策を同じ範囲と見なさないようにしましょう。

サイバー攻撃やシステム停止への備えを具体化したい場合は、RenueのAIセキュリティサービスで相談内容を確認できます。公開している支援範囲には、守る情報の整理、停止・継続の判断、バックアップや復旧の優先順位、代替手順、訓練・運用の責任分担があります。BCP全体のうち、どのシステムや判断を対象にするかを整理して相談してください。診断、改修、移行などの実施範囲は、対象と条件を確認して決めます。

従業員が異常を見つけて連絡し、決めた手順へ移るための教育も計画と合わせます。受講したかだけでなく、自分の役割や連絡経路を説明できるかを確認すると、訓練の課題が見つかります。教育の設計にはセキュリティ教育・訓練の進め方も参照してください。業務を再開する条件と、その判断に必要な人・情報をそろえることを、継続的な見直しにつなげましょう。