リスク・フォーカスレポート
皆さん、こんにちは。先月に引き続き、事業継続マネジメントシステム（BCMS）の強化、整備の方策について、危機管理の視点を踏まえて、皆さんが考えていくためのヒントとなるような考察をしていきたいと思います。
前回は、事業継続戦略で多く用いられる物理的代替拠点（設備）を確保するという対策論の限界や内包する脆弱性について取り上げた。ここまでの３回を通じて、ガイドラインや書物にしたがって、形としての事業継続マネジメントシステムを作り上げていく際の注意点や、普段あまり意識（記述）されることの無い事業継続マネジメントシステム（BCMS）モデルの考え方が抱える問題点等をある程度ご理解いただけたのではないかと思う。
最後にもう一つ、BCMS整備に関して大きなリスクを内包している実務慣行の問題点を指摘し、その後、皆様のBCMSを強化していただくため、あるいはより実効的・実践的な内容とするための方策について、危機管理の視点から考えていくこととする。
１．BCMSの実務慣行の考え方に潜むもう一つの大きなリスク
皆さんの会社のBCPを見て欲しい。危機管理規定等で事業継続対策を位置づけている企業はその内容を見て欲しい。ほとんどの会社において、どこかに有事の組織としての対応体制が書かれているであろう。しかも、対策本部を立ち上げて、社長が対策本部長になって、予め決められた対策本部のメンバーを招集して…、このように、トップダウンを前提とした対策本部像が書かれているのではないだろうか。
このような社長をトップとする対策本部の立ち上げ、言い換えれば、有事のトップによる強力なリーダーシップを前提とする対策は、危機管理学におけるクライシス対応体制の通説でもあり、おおよそ危機管理に関する書物には、当然のように同じような記載が並んでいる。社長がいなければ副社長が、副社長がいなければ専務が、専務がいなければ常務が…と意思決定に関する序列が決められ、それにしたがって、あくまで「平時」の論理によって、有事に対応しようとする姿がそこにはある。
このような危機管理体制をそのままBCPにおいて援用しようとしている企業も多いのではないか。しかし、企業の最高経営責任者である社長が最終的な経営判断の責任を負うのは当然であり、最上位の役職者を意思決定の最高責任者とする平時の論理そのものであるなら、あえて規定するまでもないであろう。通常の組織の意思決定に従えばよいだけである。
「平時」を基準とした損害分析によるBIAが重要業務の絞込みやリスクマネジメントとしての事業継続戦略を過重なものにしていることの問題性は、先に指摘の通りであるが、ここでもまた、対策本部の形にこだわりすぎることが、事業継続はもちろん、事業再開や企業としての常識的対応を遅らせかねないことも十分に留意しなければならない。
大規模広域災害の場合は、対策本部につめる幹部の安否不明、連絡不通の状態は普通に起こりうるし、当然に「想定内」の事態である。状況により役員が誰もいない、あるいは連絡が付けられない中で、それなりの判断も求められる局面も必ず生じる。このときに事業回復や事業継続、企業としての行動に関して、誰がどのような方針・基準に基づき、判断・対応するのか、そこが明確にされ、関係者間で共有されていなければ、極めて重要な意思決定すらできなくなる事態に陥りかねない。
その意味で、事業継続計画に盛りこむ対応体制組織図も意思決定の責任の所在を明確にする意味では重要であることは間違いないが、重要なのは組織図ではなく、
- 何をすべきか（優先順位）
- どのような基準で判断すべきか
- どのような手順で実施するか
- 実施に当たって対処・調整が必要なことは何か
- 何をどのような形で記録するか
- 関係各所にどのように情報を発信し、共有するか
- 各人はどのように行動すべきか
- その他組織的行動に当たっての留意点
等を明確に定めておくことであり、普段、このような判断や対応を行わないスタッフでも、それなりの判断・対応が出来るような状況にしておくことが重要である。
会社としての理念や対応方針、対応順序を明確にして、優先順位に基づく状況判断ができるか、その訓練を日頃から行っておくことが重要であり、この部分こそ、実は日頃のリスクマネジメントとして徹底して準備・対策しておくべき事項なのである。
この点については、訓練の重要性については今更指摘するまでもないと思うが、本当に訓練しておくべきは、ただ手順に従いマニュアル記載項目を行う「行動」訓練よりも、情報不足の状況下で、どのような方針の下にどのような判断を下し、どのような指示を出すのかという「判断」訓練である。平時で有れば「情報収集」を行うように指示できても、有事において、状況が判明するまで、あるいは判断に十分な情報がそろうまでには相当の時間を要する場合も少なくない。その時に情報がないからとただ、情報を上げろ、どうなっているという指示、状況が分かるまでは動かないという判断ではそれこそ手遅れになりかねないのである。
実はこのあたりの訓練は、何も形式ばった「訓練」「演習」の場でなくても、日々の業務の中やちょっとした会議の中でも可能なのであり、日頃から、制約条件をつけて判断する訓練、そしてその判断に当たっての判断基軸は何かを、繰り返し行うように仕向け、各々の局面で社長や役員が企業としての方針や方向性、判断基軸を示し、落とし込むことが重要である。このような訓練を通じて、対策本部が無くてもある程度の判断を各幹部や各社員が組織の方針として行えるようになり、事業継続に重要な現場力を高めることができるのである。
様々な不確実状況下での業務を強いられる組織や危機に強い組織は、社としての方針やなすべきミッションが予め各社員の中に植えつけられており、いざ、有事にあたっては現場で相応の判断・対応を行って、それをトップが追認（了承）する形の意思決定、業務遂行がなされる特徴がある。対策本部というトップダウンの意思決定の形ばかり整えても、いざ、このような形で相当なレベルまで現場が自律的な判断・対応ができる組織を作ること、その仕組みを作ることが、特に大規模災害や事業停止リスクに直面する状況においては、極めて重要なのである。
有事のトップのリーダーシップにばかり目が行きがちだが、平時に如何にこのような判断ができる現場スタッフを育成できるか、そのために理念や判断基軸を社員に浸透させるべく率先したコミットメントができるか、トップのリーダーシップが問われるのはむしろ、平時なのである。
２．事業継続マネジメントシステム（BCMS）をより実効的なものにするために～危機管理的観点からの提言
事業継続マネジメントとは
それでは、今までの考察を踏まえて、ここから先は、BCMSをより実効的なものとするための方策について、いくつかの問題提起を行っていきたい。
まず、始めに、事業継続マネジメントシステムが求められる本質的な状況とはどのような局面なのか、そこを整理するところからはじめたい。ＩＴシステムのダウンやインフルエンザの流行による社員の大量欠員、大規模地震や大型停電、大規模通信障害等、「事業継続計画（BCP）」で多く想定している事象の共通点はどこにあるか。
私は次の３つに集約されるものと考えている。一つ目は、「通常の業務オペレーションどおりに業務が実施できないこと」、二つ目は、「業務に使用している設備、インフラ、資産等の一部が利活用できずに、利用できる資産が限定されること」、三つ目は、「可能な限り早期に通常のオペレーションに回復させないと、顧客に迷惑がかかり、社としての経営基盤を揺るがす事態が発生すること」である。
このような状況に至らせないリスクマネジメントも重要であるが、事業継続マネジメントは、このような状況下において、いざ、「迅速な判断・対応」、「復旧に向けた確実（着実）な対処」「選択（できることの見極め）と集中（活用可能な資源の集中投入）による柔軟対応」を組織としてどのように行うかを規定するものである。
事業継続リスクマネジメントとして策定されたBCPのシナリオ通りに進むのであれば、シナリオにしたがって対応できる以上、事業停止の危機にさらされているとはいえないし、通常の業務フローにしたがって対応できるなら、BCPによって細かく対応シナリオが決められていなくても事業の継続は可能である（稼働率や生産量、納入量は平時よりも落ちたとしても、通常業務の実施は可能であり、事業の継続に支障はない）ことは既に述べた通りである。このように考えれば、BCPにあるインシデント対応計画等のシナリオ以外の想定外事象が起きたときにどのように行動するのか、また通常の業務プロセスにしたがって対処できないときにどのように行動するのか等の、対応指針を盛り込んで定着させておくことが、事業継続マネジメントシステムの要諦であると考えられる。要するに、事業継続マネジメントは、「通常の経営資源や業務プロセスに従った処理ができずに、事業の継続を脅かす事態が発した場合の即応態勢」と言うことができるのであり、BCPは本質的に、想定外事象や有事対応の具体的指針、想定シナリオ外の事象が発生した場合の行動原則等が含まれていなければならないのである。
２．危機管理の視点を加味した事業継続マネジメントシステム
ここまで見てきたように、事業継続マネジメントシステムの本質は、想定外事象への対応要領、行動準則等のマネジメント原則の明示と、当該マネジメント原則にもとづく、状況対応型アクションにある。したがって、災害等で発生する各種の状況への対応、すなわちクライシスマネジメントに関する内容を組み込む必要がある。
一方で、危機管理は予防としてリスクマネジメント及び対応としてのクライシスマネジメントの両者を融合し一体的に整備・運用していくことであるから、事業継続マネジメントシステムを考える上でも、当然に事業継続リスクマネジメント、すなわち、従来のBCP策定プロセスにおいて重要視されている代替戦略や防災対策、多重化・冗長化対策は、重要である。そこで、危機管理の観点から、機能する事業継続マネジメントシステムを整理してみると次の図のようになる（※図、筆者作成）
詳細については、次回以降、東日本大震災での実例も引きながら、各内容について説明・考察し、危機管理の観点からの事業継続マネジメントシステムの一つのモデルを提示していく。従来より各社にて整備してきているBCPやBCMSの更なる強化に向けた一つのヒントとして検討してみてはいかがだろうか。
