本社・事業の中枢拠点が完全に破壊されたら？

事業継続管理（BCM）計画立案のための新たなアプローチ

リスクおよび対処すべき結果についての先進的な知識に基づき、事業継続管理（BCM）計画立案のための新たな方法を探る。

公開 2011年04月01日 09時00分

更新 2012年09月04日 15時48分

著者

Paul Kirvan

[TechTarget]

印刷する

　事業継続管理（BCM：Business Continuity Management）計画は、定められた一連の行動に従うのが従来のやり方だ。プロジェクトが承認されて予算が付くと、リスク評価または事業影響度分析（BIA：Business Impact Analysis）から着手する。会社の考え方次第でどちらを次のステップにしても構わない。BIAやリスク評価を済ませたら、次のステップは復旧や事業再開といった中核的活動のための戦略を立てることだ。万が一の場合にすべきことを把握するため、ここにインシデント管理と緊急対策活動を入れることもある。戦略ができたら事業継続計画は完成だ。訓練、周知、研修、メンテナンス、企業文化への計画織り込み、計画・プロジェクトの見直し・監査がこれに続く。以上のような一連の行動は、現在の事業継続標準全てに盛り込まれている（図1）。これは極めて理にかなっている。しかし、事業継続管理計画の立案において、最も先進的なやり方といえるだろうか。

図1　事業継続管理行動

　事業継続管理計画に着手する場合、最終的な結果は通常、前述した行動を全て完了した後になってみないと判断できない。しかし事業継続管理計画に対して求める結果を経営陣が既に分かっている状況、また、その計画で対応しようとしている事態が既に特定されている状況を想定した場合はどうだろう（これは一般的にはリスク評価とBIAの両方によって特定される）。例えば、事業継続管理行動は想定される最悪の事態──例えば会社として機能する能力が破壊されたような場合──に備えるものだと経営陣が決めたとする。本社施設などの主要拠点が失われた場合がこれに当たる。原因は地震かもしれないし、大型のハリケーンかもしれない。

さかのぼって立案する事業継続管理計画

　では事業継続管理プロセスを実行する上での代替策を探ってみよう。経営陣（または予算とプロジェクトを承認する人物）が望んでいるのは、事業が真の意味で破壊されたような事態に対応するための計画だとする。例えば本社など事業の中枢拠点が完全に失われた場合に焦点を絞るとする。このような計画と対策をどう立案すればいいのか（図2）。

図2　見方を変えた事業継続管理計画

　事業継続管理計画のリバースエンジニアリングを検討してみよう。結果は分かっている。少なくとも組織が直面することになる状況については。そして組織の中枢拠点が、適切な防御もないまま破壊されるかもしれないという事態の重大性も分かっている。

　予想される事態と結果は分かっていることから、実際のところリスク評価は必要ない（保険などさまざまなリスク対応について検討することは役に立つかもしれないが、このような重大事に備えた保険料は法外になりかねない）。BIAはこのような損失における相互依存性と財政的影響を見極める一助として有用かもしれない。

　まず事業復旧と再開のための戦略に焦点を絞ればいいのは明らかだ。もし組織の本拠地が破壊され、そのような事態に備えた戦略や事前準備が何もなければ、事業は本当に破綻してしまうかもしれない。

　しかし事態の結果は分かっているので、ここでは実際の事業継続管理計画と、それを補う計画に焦点を絞れる。さらに、こうした事態における経営陣の目標が、組織の再建と再開であることも分かっている。計画には基本をなすステップが必要であり、それぞれに関連した手順、連絡先、主要および代替のサプライヤー、さらには代替の人材確保が伴う。代替拠点も特定する必要があるかもしれず、不動産の観点からは事前の調整が必要になるかもしれない。

　復旧と再開に着手するための基本ステップが確定すれば、インシデント管理と緊急対策活動が策定できる。こうした活動は完全復旧と再開（R＆R）に先駆けて行うものだが、第1段階のR＆Rステップを策定するまで待つことはできる。

　最後に、第1段階の行動、すなわち戦略、対策、再開計画、緊急活動が確定したら、従来型の事業計画活動（訓練、周知、研修、メンテナンス、見直し・監査）を実行すればいい。

IT復旧と再開

　こうした活動と並行して、ITの復旧・再開計画も立てておくことが望ましい。ビジネスレベルの復旧・再開活動と並行して立案すれば、ITのR＆R戦略は組織にとって必要な技術全てに対応したものになるはずだ。これがビジネスのR＆R計画と並行して実行される公算は極めて大きい。

本稿筆者のポール・カーバン氏はCISA、CSSP、FBCI、CBCPの資格を持ち、事業継続管理を専門とするコンサルタント、著者、教育者として20年以上の経験を持つ。ガバナンス計画立案から計画訓練、実行、メンテナンス、RFP準備対策に至るまで幅広いIT・通信分野のコンサルティングおよび監査に直接携わってきた。現在は事業継続コンサルタント・監査人として独立し、Business Continuity Instituteの米国支部長を務める。

印刷する