BCP・事業継続計画を使用するタイミングと想定リスク
最終更新日:
執筆者:高荷智也
BCPを用いるのは大地震や水害などの自然災害に限られず、人為的な事故やサイバー攻撃、また自社の不祥事なども対象になります。BCPが対象とする自然災害リスク、偶発的な事故、自社を狙った攻撃、内部の不祥事など、想定するリスクについて解説をします。
自然災害への対応
大地震の被害に対応する
BCPを用いる最も代表的な状況として、日本の場合は「大地震」が上げられます。なぜならば、大地震以外の自然災害は事前に発生の兆候を得られることが多いため直前の対策検討が可能ですが、大地震だけはつねに不意打ちで本番が生じるため、防災対策やBCPなど事前準備の有無がその後の復旧速度に大きな差を生じさせることになるためです。
また規模の大きな地震は、自社の建物や設備を破壊するだけでなく幅広い地域に大きな被害を生じさせます。そのため大地震に備えるためには、自社だけでなく外部のライフライン、流通網、仕入れ先、アウトソーシングサービスなど、社内外の様々な経営資源に対する対策が必要になります。防災対策の対象は基本的に自社のみですが、BCPは社外の経営資源も対象とするため大地震に有効と考えられています
水害(洪水・高潮・津波)の被害に対応する
集中豪雨による洪水、台風による高潮、大地震による津波などの水害に対してもBCPが有効です。重要設備をあらかじめ高層階に設置しておいたり、浸水対策に止水板や土のうを用意しておいたりという防災対策も必要ですが、水害の規模が大きい場合はこうした防災対策が無効化されてしまうため、BCPによる再調達・復旧の準備が必要になるためです。
なお水害はもちろん大地震やその他の自然災害についても言えることですが、災害によって自社が被災した場合だけでなく、遠方の仕入れ先や関連会社が被災をした場合にも、結果として重要な部品の仕入が止まったり、外注している案件が停止するような自体が生じる場合については、BCPによる代替手段の確保が必要になります。
感染症(新型インフルエンザパンデミック)の被害に対応する
人類史において繰り返しパンデミック(世界的大流行)を起こし、その都度多くの人命を奪い続けてきた新型インフルエンザも、BCPにおける重要なテーマのひとつです。2009年にWHO(世界保健機関)がパンデミック宣言をした豚インフルエンザは、毒性が低く季節性のインフルエンザと変わらぬ被害で収束しましたが、今後の発生が考えられている強毒型の鳥インフルエンザが発生した場合は、大きな被害の発生が想定されています。
強毒性の鳥インフルエンザがパンデミックを起こした場合、日本国内だけでも数十万~数百万人の死者が想定されており、さらに数週間から数ヶ月の間、感染を防止するために学校や会社を含むあらゆる外出行為が制限される可能性が高いとされています。このため、人的な被害に対する対応とあわせて、テレワークへの対応などがBCPとして必要になってきます。
火山の噴火による降灰、寒波による積雪の被害に対応する
首都圏における富士山の噴火や、普段温暖な地域における想定外の降雪など、交通網やライフラインに対して打撃を与える災害についても、BCPで対応をすることができます。火山の降灰で停電が生じたり流通網が停止するような状況、温暖な地域への積雪で交通がマヒして従業員が出社できなくなる状況。こうした状況は、被害だけを見れば大地震や新型インフルエンザパンデミックとなんら変わりません。
また上記で紹介をした災害以外にも、土砂災害、竜巻、雷、降雹など、地域や立地によって生じやすい自然災害は様々に存在します。全てに一対一で対応することは難しいですが、こうした自然災害リスクが身近に存在するのだということを理解した上で、BCPや防災対策に取り組むとよいでしょう。
外的なリスクに対応する
BCPが対象とするリスクは自然災害に限られず、人為的なリスクも含まれます。事業継続の視点においてリスクが生じる原因はさほど問題ではなく、あくまでもそのリスクによって引き起こされる被害に対応することが重要であるからです。
無差別の人為災害(停電・大規模事故・原発事故・テロ・戦争)
電力会社のトラブルによる停電、大規模な工場火災、原子力発電所の放射能漏れ事故、テロや戦争などの武力攻撃など、自社を狙ったわけではないですが不特定多数に被害を与えるようなリスクも、自然災害と同じような脅威となりますのでBCPの対象となります。特に大規模事故や原発事故などは大地震の二次災害として生じる可能性もあるため、自然災害とあわせた事前の準備が必要になります。
取引先トラブル(仕入れ先の被災・倒産・関係会社の不祥事
例えば重要な部品を製造している仕入れ先が、自然災害により大きなダメージを受けて操業が止まった場合。コア業務を委託している取引先が突然倒産をした場合。また関係会社や親会社などが不祥事を起こしてその矛先が自社に向いてきた場合なども、BCPの出番となります。こうした事態へ事前対応を行うことは難しいため、被害が生じることを前提に事業に欠かせない経営資源を守る方法をBCPで定めることで対応します。
自社を狙った人為攻撃(脅迫・盗難・サイバー攻撃)
自社に対する脅迫や営業妨害、いわゆるモンスタークレーマーによる過剰な要求、また万引きや盗難などの犯罪被害、さらに不正アクセスや情報改ざんといったサイバー攻撃などの人為攻撃も、業種や業態によってはBCPの対象となります。こうしたリスクは事象そのものがもたらす被害だけではなく、対応を誤るとインターネットやソーシャルメディアによる拡散という二次被害を生じさせることがあるため注意が必要です。
内的なリスクに対応する
自社の不祥事(情報流出・食中毒・粉飾決算……)
粉飾決算、産地・消費期限偽装、個人情報流出、不法投棄、法令違反など、 社内から生じる不祥事が原因で事業存続が危うくなることもあり得ます。事業 継続に対するリスクであれば、それが社外・社内いずれからもたらされたもの であるかは関係ありませんので、これもBCPで想定すべきリスクの1つである といえます。
重要人物の喪失(死亡・入院・退職・転職)
また中小企業において、ワンマン社長の突然死、バックオフィス業務を全て 引き受けていた一人総務部長の入院、競争力の源泉であった職人の引退、エー ス営業マンの引き抜きなどで、属人的な業務が突然遂行不能になる場合があり ます。大地震でキーマンが死亡するのも、交通事故で長期入院するのも結果は同じですので、これもBCPによる対応が必要です。
BCPを利用する状況について
災害が生じても被害がなければ使わない
BCPを利用するシーンについて説明をします。例えば、台風が上陸したが遠くを通過したとか、地震が起きたが揺れが小さかったなど、自然災害や大事故などが発生しても、自社及び取引先に影響がなければもちろんBCPの発動は不要です。次に、
防災対策が機能すれば使わない
洪水が発生したが土嚢を積んで対応したとか、火災が発生したがすぐに消火できたとか、ネットに誹謗中傷を書き込まれたがすぐ削除できたなど、緊急時の防災対策が機能して被害が抑えられた場合もBCPの発動は不要です。
対象事業以外が被災しても使わない
さらに、洪水で倉庫が浸水したとか、大地震で製造設備が破壊されたとか、計画停電で店舗の1つが営業できなかったなど、自社に被害が生じても、被害が軽微で深刻な状況になっていなければBCPは用いず、通常業務の延長で対応を行います。
日常の延長ではどうにもならない場合にBCPを活用する
BCPを用いるのは、日常業務の延長ではどうにもならない場合で、このときにはじめて、BCPをまとめたファイルを棚から取り出して、緊急事態宣言をするのです。