唐突だが読者の皆様は「オペレーショナル・レジリエンス」という用語をご存じだろうか？金融業界には比較的ご存じの方が多いかもしれないが、一般にはまだまだ認知が進んでいない用語なのではないかと思われる。
バーゼル銀行監督委員会（BCBS）が2021年3月に発表した「オペレーショナル・レジリエンスのための諸原則」（注1）では、オペレーショナル・レジリエンスは「the ability of a bank to deliver critical operations through disruption」すなわち（災害や事故などで）混乱した状況においても、銀行が不可欠な業務を顧客に対して提供できる能力だと定義されている。さらに、この定義とあわせて次の7つの原則が示されており、これらに取り組む仕組みを備えることが銀行業に期待されている。
・Governance （ガバナンス）
・Operational risk management （オペレーショナル・リスクマネジメント）
・Business continuity planning and testing （事業継続計画とテスト）
・Mapping interconnections and interdependencies （相互関連性と相互依存性のマッピング）
・Third-party dependency management （サードバーティへの依存性の管理）
・Incident management （インシデント管理）
・ICT including cyber security （サイバーセキュリティを含む ICT）
オペレーショナル・レジリエンスに関する議論は2018年に英国で始まったようであるが、その後は欧米を中心に急速に議論が進み、各国にて規制の整備が進みつつある（注2）。
前置きが若干長くなったが、BCMの専門家や実務者による非営利団体であるBCI（注3）が、この「オペレーショナル・レジリエンス」がどのように認識され、取り組まれているかを調査し、その結果を「Operational Resilience Report 2022」として2022年6月に発表したので、本稿ではこれを紹介する。
なお本報告書は下記URLにアクセスして、氏名やメールアドレスなどを登録すれば、無償でダウンロードできる。
https://www.thebci.org/resource/bci-operational-resilience-report-2022.html
（PDF 72ページ／約 7.2 MB）
前述のように、オペレーショナル・レジリエンスは銀行業を中心に取り組みが進められているものであるが、BCIは調査対象をあえて銀行業に限定せず、BCIの会員を中心に幅広くさまざまな業界の関係者を対象としてアンケート調査を実施している。回答者の内訳を見ると、業種別では銀行や金融業からの回答が25.4%、政府や公的機関が12.2%、保険業が11.9%などとなっている。地域別では欧州からの回答が47.8%、北米からが20.6%、オーストラリア・ニュージーランドからが10.7%となっており、アジアからの回答は6.6%である。
本報告書で最初に示されているデータは、「あなたの組織にはオペレーショナル・レジリエンスに関するプログラムやプロジェクトがありますか？」という設問に対する回答結果であるが、実に65.1%が「Yes」と回答している。これにはさすがに筆者も「欧米では銀行業以外でもこんなに進んでいるのか？」と驚いたが、これには誤解が若干含まれているようである。
報告書本文によると、他の設問に対する回答状況から、回答者の多くがオペレーショナル・レジリエンスと「組織のレジリエンス」（organizational resilience）や事業継続マネジメントとを混同している可能性が高いという。つまり回答者の大部分を占める欧米においても、オペレーショナル・レジリエンスという概念がまだ十分理解されていないということであろう。
一方で図1は、自組織にはオペレーショナル・レジリエンスに関するプログラムやプロジェクトがないと答えた回答者に対して、その理由を尋ねた結果である。上位2つは法律や規制などで義務づけられていないから、3位には時間や資源がないから、というように消極的な理由が続いている。
なお4位には「自組織には事業継続で十分」（Business continuity is all we need in this organization）が入っている。これに関して本報告書では特に言及されていないが、筆者としては2つの可能性が考えられる。1つは、もともと経営層が関与しつつ包括的なBCMに取り組んでいるため、前述の7つの原則の多くが既にBCMでカバーされている可能性、もう1つはオペレーショナル・レジリエンスの概念が自組織にとって過剰だと感じられている可能性である。今のところはこれ以上詳しいことは分からないが、オペレーショナル・レジリエンスに対する理解が進み、BCMとの違いが明らかになってくると、このあたりの認識も大きく変わっていくかもしれない。
図2は、回答者の組織がどのような法律や監督指針に従っているかを尋ねた結果である。回答者が欧州に偏っていることもあって、英国や欧州の文書が上位に集まっている。
ここで6位にシンガポールのガイドラインが入っていることに驚かれた方が多いかもしれない。これはシンガポールの金融管理庁（Monetary Authority of Singapore）が発行しているBCMガイドライン（注4）である。ご存じない方が多いかも知れないが、シンガポールは特に金融分野においてリスクマネジメントや事業継続などに関するガイドラインや規制などの整備に積極的に取り組んでおり、BCMに関しても国際規格であるISO 22301が発行されるより前の2008年に独自の国家規格「SS 540」を発行して、金融業を中心にBCMへの取り組みを推進してきた。そのような背景から、オペレーショナル・レジリエンスに関してもいち早くガイドラインに採り入れて、欧米の金融機関に後れを取らないよう普及を進めている。
日本においても金融庁がオペレーショナル・レジリエンスに関する情報提供を始めているが（注5）、国内の銀行に対して今後どのように導入が進んでいくのか、また銀行以外の業種にどのように普及していくのか、注目していきたいと思う。
注1）原題「Principles for Operational Resilience」
https://www.bis.org/bcbs/publ/d516.pdf
注2）このあたりの事情に関しては下記の資料に詳しく整理されている。
PwCあらた有限責任監査法人 辻田 弘志「オペレーショナルレジリエンスに関する欧米監督当局の期待事項の比較」
https://www.pwc.com/jp/ja/knowledge/column/viewpoint/grc-column036.html
注3）BCIとはThe Business Continuity Institute の略で、BCMの普及啓発を推進している国際的な非営利団体。1994年に設立され、英国を本拠地として、世界100カ国以上に9000名以上の会員を擁する。https://www.thebci.org/
注4）Monetary Authority of Singapore: Guidelines on Business Continuity Management
https://www.mas.gov.sg/regulation/guidelines/guidelines-on-business-continuity-management
注5）金融庁『バーゼル銀行監督委員会による「オペレーショナル・レジリエンスのための諸原則」および「健全なオペレーショナル・リスク管理のための諸原則の改訂」の公表について』
https://www.fsa.go.jp/inter/bis/20210402/20210402.html
