BCMとは？BCPやBCMSとの違い、構築の方法を解説

 
BCM（事業継続マネジメント）は、企業が非常時に事業を続けリスクを軽減するための重要な手法です。BCMではBCP（事業継続計画）の策定を行い、実践や改善を繰り返すことでより良いものにしていきます。BCMには頭文字で表される用語が複数使われるため、混同しないようそれぞれの意味や内容、目的などを知っておくことが大切です。
 
この記事では、BCMの基本、BCPやBCMSとの違い、段階を踏んでBCMを行う方法などを詳しく解説します。具体例も紹介するため、BCMで非常時への備えをしておきましょう。
 

 

 
BCMはBusiness Continuity Managementの頭文字で、自然災害などの非常事態が起こったときにビジネスを継続させるためのマネジメント全般のことです。万が一の災害時に企業が何も備えていなければ、最悪の場合事業を続けることができません。BCMは事業ができなくなる事態を避けながら、企業が受けるリスクを最小限に留めることを目的としています。
 
事業を継続するための総合的なマネジメントとして、事業継続計画（BCP）の作成・運用の他、さまざまな取り組みを実施するのがBCMです。立案された計画は、運用開始から継続的に見直し・改善を繰り返します。また、BCMのために導入されたツールを、実際に利用する人が使いやすさを検証することもBCMの大切なポイントです。
 
平常時から企業がBCMに取り組んでいれば、いざというときでも事業への被害は最小限にとどめられる可能性が高くなるでしょう。また、地震や豪雨、停電などの災害リスクへの備えがあり、災害時にも事業を継続できることは企業の信頼性を証明することにもつながります。
 

BCP（事業継続計画）との違い

 
BCPはBusiness Continuity Planの頭文字で、非常時に企業の事業を継続するための計画です。急なアクシデントが起こった際に誰がどのような行動をするかを事前にまとめた成果物で、BCMの中心になる要素と言えます。企業の社屋や従業員を災害などから守ることや、不慮の事故などで事業継続ができなくなるリスクを軽減するためにも必要なものです。
 
BCPでは、防災も含めながら災害が起こったと想定した場合に事業継続が可能になる方法を策定します。中枢部の機能維持や自然災害による停電時の人材確保など、非常時に企業が必要とする手段をあらかじめ決めておく計画書です。
 
東日本大震災ではBCPを作成してあったにもかかわらず、多くの企業が計画通り適切に運用されませんでした。これを受けて、BCPの策定や運用、改善などを総合的に行うBCMが重要視されるようになったという経緯もあります。リスクに備えてBCPを策定し準備することは企業にとって欠かせません。BCPを運用しながら企業の実情に合うよう、さまざまな要素を加えてより良く変化させていくのがBCMです。
 

BCMS（事業継続マネジメントシステム）とは

BCMSはBusiness Continuity Management Systemの頭文字で、より良いBCMを行うための仕組みです。BCMの運用やBCPの効果を高めるために、効率性や持続性を向上するよう働きかけます。BCPが成果物であることに対し、BCMとBCMSはリスク対策を行うためのプロセスです。
 
BCMSには、内部監査やマネジメントレビューなどの方法があります。BCMの規格である第三者認証を申請するためにも、BCMSが整えられたうえで実施されていることが欠かせません。
 
目まぐるしく変化する社会情勢に企業が対応するためにも、BCMやBCPを検証し改善していくシステムが必要であり、より効果的・実践的なBCMにするためのシステムがBCMです。BCMSは、長期間にわたる運用が必要になるBCMには欠かせないシステムとして注目されています。
 

 
BCMは世界中で多様な定義があります。ここでは「ISO 22301」「BS 25999」という2つのBCMに関する規格を解説します。
 
ISO 22301は、2012年に国際標準化機構が制定した国際規格です。2006～2007年に作成されたBS 25999は、英国規格協会（BSI）が発行しました。総合的な見地から評価・認証する規格として高評価を得ているものです。ISO 22301は、BS 25999をもとに作成されています。どちらの規格も、BCMを適切に運用していると認められた企業が認証を受けられる仕組みです。
 

ISO 22301

 
国際規格ISO 22301は、非常時に企業の早期復旧や事業継続を目指すためのBCMシステムを構築している場合に認証されます。自然災害やシステムトラブル、感染症など、企業が事業継続のリスクになるものに対して効率的・効果的な対策を行っていることが必要です。
 
企業のBCMを検討し、申請から認証するまでには6カ月～1年程度の期間が掛かります。国際規格であるISO 22301を取得すれば、BCMを適切に運用している企業としての信用は高まるでしょう。
 

BS 25999

 
英国規格協会規格BS 25999には、実践規範（ガイドライン）「Part 1」と、認証用規格「Part 2」があります。多数の企業からの意見を取り入れたガイドラインのため、策定当時から信頼性の高い規格として世界的に高い評価を得てきました。
 
BS 25999「Part 1」のBCMライフサイクルでは、BCMを5つの領域に分けて企業を評価します。Part 2では、継続的な業務管理について共通のフレームワークを構築、提供してきました。このPart 2をもとに作成された規格がISO 22301です。
 

 

 
企業に最適なBCMを構築するには、必要なステップごとに順序良く進めていくことがポイントです。始めに企業ごとの特性や優先順位などを決めて基本方針を策定します。次のステップでは緊急時の被害や事業への影響を想定した後に、企業ごとの具体的な対策を構築します。
 
対策をもとに計画（BCP）を策定した後は社内に浸透させることも大切です。訓練などを実施してからBCMの見直し・改善を行います。ここでは、段階を踏んで行うBCMの構築方法を解説するので参考にしてください。
 

基本方針の策定

 
基本方針を策定するために、企業の特性や周囲の環境、事業戦略などをしっかり分析することから始めます。組織について理解が深まれば、事業の優先順位や必要なものを把握できるでしょう。また、企業が果たす社会的な役割も分析し明確にしておくことも必要です。
 
例えば人材確保や人命優先、商品の提供体制を継続するなど、分析の結果を基に企業の特性に合わせた基本方針を策定します。
 
基本方針の策定プロセスは、始めにBCMの対象事業を特定し、次に対象事業を行うために必要な業務や経営資源を洗い出します。人材や施設などの経営資源に対するリスクは何かを特定すれば、おのずとBCMの基本方針が決まっていくでしょう。
 

緊急時の被害・影響を予測

 
企業が受けると予測されるリスクとそれにより緊急時に受ける被害や影響を把握することも重要なポイントです。例えば非常事態が起こった際の売上の変化、顧客や従業員への影響、取引先との関係の変化など、前もって具体的なリスクを想定しておけば、非常時の復旧や必要な期間などの優先順位を予測することも可能です。
 
予測されたリスクを一覧表にまとめておきましょう。そして、表にまとめたリスクはそのままにせず一つひとつの項目を分析することも必要です。その結果を受けて、リスクごとの対応の必要性やどれを優先するのかといった評価を行います。リスクの大きさごとに分析・評価を行いますが、大小にかかわらずすべての項目について予測をしておくことが大切です。
 

具体的な対策の構築

 
基本方針が決まり企業のリスクを予想したら、次は具体的な対策を考えます。このステップは、次のBCPを効果的に作成するための基礎になるため大変重要です。リスクへの対策は計画すべき項目が多く互いに関連し合っているため、事前にしっかりとした土台を構築しておく必要があります。
 
例えば事業を続けるために停電のリスクが大きいのであれば、蓄電池などの予備電源を確保しておくことが優先事項になるでしょう。施設から避難する必要があるならば、全ての従業員が把握できるように避難マニュアルを用意することで備えられると考えられます。
 
特に、「従業員の安否確認」はどの企業でも共通で対策する必要がある項目です。事業の継続が危ぶまれる状況下においては、通常のチャットツールやメール、電話では連絡が取れない可能性があります。また、全国各地に支店があったり従業員が多かったりすると、非常時に数人の担当者では安否確認管理がしきれない可能性もあります。そのような場合に備えて、安否確認システムの導入をすることも検討すると良いでしょう。
 
項目ごとに細かい計画を立てるには、この段階で非常時の対応の方向性を定めておくことがポイントです。
 

対策をもとに計画を策定

 
企業ごとの優先順位に基づいて具体的な対策を構築した後は、詳しい内容のBCPの策定に入ります。組織に必要な非常時の対応マニュアルやチェックリスト、非常時への備えとして通常行うべき行動などを計画にまとめておくことが重要です。計画は確実性を持たせるために必ず文書化しておきます。文書化しておけば、BCMの担当者が変わってもスムーズに引き継げるでしょう。
 
計画の内容には、普段から業務に必要なデータのバックアップを取っておくことや、事業継続のための代替案などを細かく盛り込むことがポイントです。避難訓練の実施状況、最新の社内データや周囲の環境などをもとに、計画は随時更新しておくことで最適化できます。
 

社内に浸透させる

 
具体的で細かい内容を盛り込んだ計画を策定した後は、内容を従業員に浸透させ実効性を高めることが大切です。避難訓練やマニュアルを基にした各種訓練の実施や社員教育の場を定期的に設けるなどの施策を行うと良いでしょう。経営者や担当者だけでなく、非常時に社内全体で事業を継続する重要性について、共通の認識を持つことがポイントです。
 
単に配布された計画を一通り見ただけでは、必ずしも非常時に役立つとは言えません。社内に計画を浸透させるには、継続的に訓練や教育を行うことが必要です。万一の災害時には、計画通りに行動できない場面も出てくるでしょう。日ごろの訓練で身につけた知識や身体感覚を基に従業員が自分で行動できることが教育や訓練の目的です。
 

見直し・改善

 
BCMを実践した後は問題点や課題がないか全体の見直しを行います。計画やBCM全体の有効性が下がらないよう、1年に1回以上など定期的な点検が重要です。例えば事業継続のために行う復旧作業の時間などについて訓練を行い、予定時間よりも掛かるのであれば見直しが必要になります。さらに、企業の内部や取り巻く環境に大きな変化があった際にも見直しを行い、BCMを改善しておくことが大切です。
 
見直しで発見された実務的な問題点はスピーディーに改善し経営者に報告します。経営者による見直しで課題が見つかった場合も、早急に対応し改善することが必要です。調査や分析が必要な課題は継続的な改善プロセスとし、経営者の最終判断を仰ぎながら進めていきましょう。

 
BCM（事業継続マネジメント）はBCP（事業継続計画）やBCMS（事業継続マネジメントシステム）を含む企業のリスクマネジメントを包括するものです。昨今では企業を取り巻く社会情勢が大きく変化し、自然災害による停電なども多発しています。BCMは、企業が非常時に事業をできるだけ早期に継続・復旧するために必要な手法です。
 
災害によって廃業に追い込まれるなど、社会や顧客、取引先からの信用を落とさないよう、通常時からのリスクマネジメントは必須です。BCMは経営者や担当者だけでなく社内に浸透させて進めていかなければなりません。そうすれば、急な災害時にも従業員の行動はスムーズになるでしょう。記事を参考に、ぜひBCMを構築し万一のリスクに備えておくことをおすすめします。
 
緊急時における従業員の安否確認はBCMにおいて優先して対策すべき事項です。通常のチャットツールやメールでも安否確認はできますが、安否確認システムを導入すれば、より迅速かつ確実に従業員の安否確認を行えます。安否確認サービス「オクレンジャー」は、災害時の安否確認や緊急連絡をパソコンやスマートフォンを使って行えるクラウド型サービスです。国内外に複数のサーバーがあるため、国内での大規模災害時には国外のサーバーに切り替えることで安定したサービスを提供しています。BCMに付随して安否確認システムの導入を検討している方はぜひオクレンジャーをご検討ください。