■移行の前提または課題の確認
マルチハザードBCPを策定するということは、これまでの単一リスク対応（地震など）のBCPから、「会社が必要と判断したリスクについてはすべて対応できるようなBCPに転換する」ことを意味します。自社にとってA、B、Cの３つのリスクが現実的かつ喫緊の課題であるならば、ためらうことなくそれらの対応戦略をBCPに組み込んで、危機対応力を強化しようということです。
ところが、これまでBCPの策定経験のある皆さんからすると、ちょっと超えがたいハードルが横たわっていることを実感されているのではないでしょうか。例えば、次の2つのようなことです。
BCP策定の悩みとして人材不足や時間不足を掲げる企業は少なくありませんが、それだけBCPの策定は労力や時間をとられる活動とみなされている傾向があります。
BCPに新たなリスクを追加するには、そのリスクを問題として提起し、対策を検討する機会と、その結果をBCPに反映させるべく改訂作業が必要となります。これらはいずれもBCM（事業継続管理）の一環なのですが、まさにここに何も手がつけられていない（BCMが回っていない）ケースが多いのです。
いずれも、マルチハザードBCPに移行する上で避けては通れない基本的な課題であり、これらに解決の道筋をつけることが、マルチハザードBCPのスムーズな実現につながるものと筆者は考えています。まずはこの2つを掘り下げるところからスタートしましょう。
■BCP策定の負荷
マルチハザードBCPは、従来の地震BCPのような「1つの作品」を次から次へと増やして、トルストイ全集のようなものをこしらえることが目的ではありません。かといって、まったくリスクの種類を意識しなくて済むような全知全能のBCPを1部だけつくるということでもない。
マルチハザードBCPがどのようなカタチを取るのかについては、連載の中で徐々に明らかにしていきますが、ここではまず、従来のやり方の延長としてBCPをつくろうとした時に、多くの企業が直面し、実感している問題点（次の①～⑥）を述べておきます。
①知識・ノウハウの不足：リスクを特定し、特徴を理解し、その対策や対処手順を考えるための情報を、どのように収集し、活用すればよいかよく分からない。
②時間の問題：地震BCPを策定するだけでもかなり時間を費やした。リスクを追加する度に何度も会議を開いて多くの時間をとられるのは御免だ。
③労力や手間の問題：BCPの策定や改訂に当たる専任者がいるわけではなく、多くは他の業務との掛け持ちである。リスクを増やせば当人の手間が増えて困るだけだ。
④コストがかかる：防災・減災対策には多くの費用がかかる。リスクを1つ追加するたびに対策費用が嵩むことになると思うが、当社にはその余裕はない。
⑤スペースの問題：非常時備蓄や発電機の置き場を確保するだけでも大変だった。この先、リスクが増えるたびに、普段は使い道のない特殊な防災用品や機器などの保管場所に苦慮するようなことはしたくない。
■BCMの不在（または形骸化）
もう一つの問題として、「BCMが機能していない」ことが挙げられます。BCPに新たなリスクを追加するには、そのリスクを問題として提起・合意し、対策を検討する場と、その結果をBCPに反映させるための改訂作業が必要です。これらはいずれもBCM（事業継続管理）の領域ですが、まさにこの部分で機能不全に陥っている企業が少なくありません。
BCMといえば訓練のことしかイメージが沸かないという会社は、もう一度自社のBCM体制を見直す必要があるでしょう。例えば、メンテナンス（BCP文書のアップデートや防災・減災対策の導入状況の点検等）はコンスタントに行われているか、社長が介在するレビューは年1回程度実施されているか、といったことです。
ここで意味するところは、いわゆる事業継続ガイドラインやISO22301等に示されている事細かな要求項目のことではなく、BCMの新陳代謝ともいえる最も基本的な活動が実行されているか否かということです。
マルチハザードBCPを考えるためには、その前提となる「土台」が必要です。一言でいえば、新たなリスクを追加するための方針や手順が確立していること。難しいことではありません。BCMを通じて新たなリスクを発見する、次にリスクアセスメントを通じて対応の是非を評価する、といったことです。いずれにしても、スムーズに実行されるような体系的でシンプルな仕組みが整っていることが求められます。
