執筆者：KPMGコンサルティング株式会社
アソシエイトパートナー
土谷 豪（つちや ごう）
気候変動による自然災害の多発、米中対立やロシアによるウクライナ侵攻などの地政学リスクの高まり、新型コロナウイルス感染症によるパンデミックなどにより、BCP（事業継続計画）／BCM（事業継続マネジメント）の重要性は増しています。本連載では、ESG時代に日本企業に求められるBCPとリスクマネジメントについて、BCPの概要から最近の動向、課題などについて、事例を交えながら解説します。
BCPの変遷（BCP4.0とは？）
「BCP1.0」
BCP（事業継続計画）は、元々は情報システムの中断を防ぐための方策として提唱された概念でしたが、2001年に発生した米国同時多発テロ事件をきっかけに、「業務の継続」という観点での重要性が広く認知されるようになりました。
日本においては、2005年に内閣府が「事業継続計画ガイドライン 第一版」を公表し、企業においてBCP策定の機運が高まりました。多くの日本企業においては、特に日本において重大なリスクである大地震をベースに考えることが多く、防災対策の色合いがまだ強い計画になっていたと考えられます。
この段階が一般的にBCPの初期段階（BCP1.0）と定義され、BCPはその後およそ10年おきに転機が訪れています。
「BCP2.0」
米国同時多発テロ事件から10年後の2011年に発生した東日本大震災およびタイで起きた大洪水の時期が該当します。特にこの未曾有の大災害は想定をはるかに上回る被害を出し、「想定外」という言葉が世間に浸透し、日本におけるBCPの取り組みが大きく進む転換点になりました。
具体的には、「オールハザードBCP」という概念が登場し、地震BCPやパンデミックBCPというように事象ごとにBCPを策定するのではなく、経営リソースへの被害に着目した「リソースベースアプローチ」という手法で計画を策定する動きが主流になりました。リソースベースアプローチは汎用的にBCPを策定する考え方で、原因に関わらず、共通して発生する経営リソース（人員不足、システム停止など）への影響に着目して対策を行うものです。2012年に発行された国際規格ISO22301（事業継続マネジメントシステム）でもリソースベースアプローチの概念が採用されています。
昨今のコロナ禍において、複合災害への対応が課題となることも増え、改めてオールハザードBCPへの見直しを行う企業も増えています。リソースベースアプローチ（オールハザードBCP）では、「地震が発生したらどのように対応するか」ではなく、「従業員が出社できなくなったらどうするか」「施設が使用できなくなったらどうするか」「システム・業務が停止した場合にどうするか」等、経営リソースへの影響に対する事前のリスク対策や、被災後の復旧計画・行動計画を考え、対策を講じていきます。
「BCP3.0」
2020年初頭に発生した新型コロナウイルス感染症（COVID-19）のパンデミックをきっかけにリモートワークが進み、「BCPのデジタルトランスフォーメーション（DX）化」が着目され、BCPの考え方がまた転換期を迎えたといえます。例えば、これまでは地震等の危機が発生した際には会議室に集まってホワイトボードに被害状況を書き出して対応を検討することが当たり前だった世界観から、全員リモートワーク環境の下、対策本部はオンラインで開催され、ファイルを共有しながら対策を検討する世界観に変わりました。
被害状況をいかに迅速かつ正確に把握できるか、という観点で安否確認システムだけでなく、拠点や人員、業務の被害状況を報告・集約するツールの構築を検討する企業が大幅に増加しました。災害時のコミュニケーションツール・ダッシュボード機能は、新たなパッケージツールを導入することもできますが、Microsoft teamsや、Google スプレッドシートなどで被害状況の集計表を作成し、各担当がそのファイルを常に更新し最新版を共有することで、対策本部などで最新の情報を把握することができ、かつリモートワーク環境でも同じ情報を基に意思決定を行うような仕組みを構築している企業も増加しています。
また、人工知能（AI）やロボティック・プロセス・オートメーション（RPA）を活用し、平時から人の手を使わずに業務を自動化することで、業務の継続性を高めることも有効であり、単なるコスト削減だけでなくレジリエンスの観点でもAIやRPAを活用することが一般的となってきたといえます。
また、COVID-19のパンデミックを契機に、サプライチェーンの海外拡大が進む企業においては、グローバルサプライチェーンの寸断リスクへの対応としての「BCPのグローバル化」が重要となり、取り組む企業が増加しています。
「BCP4.0」
ここまで述べてきた通り、BCP1.0～3.0まではおよそ10年周期で変化が生じており、BCP4.0はBCP3.0から約10年後の2030年頃、ちょうどSDGｓ（持続可能な開発目標）が目指す目標年度にあたります。KPMGコンサルティングでは、BCP4.0を「ESG（環境・社会・ガバナンス）時代に求められるBCPの未来像」と定義し、自然災害や事故、パンデミック等だけでなく、気候変動や人権、生物多様性、水リスクなど、ESGに関連するイシューにも対応できるBCPに変革していくことであると考えています。
BCP4.0は、対象範囲も自社だけでなく、サプライヤー、生産委託先、物流会社、販売代理店、業務委託先、システムベンダーなどのサプライチェーン全体まで広げて考える必要があり、かつESGイシューはこれらのサプライチェーン上で発生するリスクが、より発生可能性・影響度が高いことが特徴となります。
実際に、日本企業においてもサステナビリティ（持続可能性）とリスク管理の融合が加速しており、各国の規制強化、投資家をはじめとするステークホルダーからの要請により、企業としての重要リスクを想定した場合は、ESGに関するリスクが上位に挙げられることは避けられない状況となっています。
「10年先を見据えた未来志向型BCP！防災対策からの脱却」（前編）として、およそ10年周期でおこるBCPの変化を見てきました。後編では、ESGイシュー（気候変動、人権、生物多様性、水リスク等）とBCPの関係や、今の日本企業が考えるべきBCPについて解説します。
【執筆者】
KPMGコンサルティング株式会社
アソシエイトパートナー
土谷豪
（略歴）
KPMGコンサルティングのサステナビリティ・トランスフォーメーションユニットでレジリエンス・サステナブルサプライチェーン領域をリード。早稲田大学卒業後、金融系事業会社に入社。業務プロセス改革やリスク管理、システム企画部門を経て、2013年にKPMGビジネスアドバイザリー（現KPMGコンサルティング）に入社。主に製造業・IT業・流通業など幅広い業種向けにレジリエンス・リスク管理・サステナブルサプライチェーン関連のプロジェクトに従事する。
