BCPプロセスを標準化して属人化からの脱却を目指す（写真：写真AC）

個人の能力や意識のバラツキ、スキル継承の難しさがBCPの実効性に影を落とすなか、属人化からの脱却が危機管理事務局と経営陣の共通課題となっています。既存のBCP構造を変えるための参考として、前回はBCPポートフォリオについて説明しました。今回はその応用となるBCPプロセスの標準化、その先に展開されるBCP-DXをテーマに解説します。

1. BCPの課題

いわゆる対策本部事務局、危機管理事務局、経営陣に横たわるBCPの課題は、次のような項目があげられます。

I. BCPの「実効性」に関する課題
・事業影響度分析の未実施→被害と事業損失の関係性の理解不足
・BCP訓練の形骸化と経営陣の訓練不参加→課題抽出努力の欠如

II. BCPの「継承性」に関する課題
・事務局のスキルや司令塔的能力不足
・人事異動や退職によりスキル・能力が継承されない

III. 有事における経営陣のBCP行動に関する課題
・経営陣の「経営的危機意識」が欠如している
・有事に際しての経営陣の「判断指針」や「ガイドライン」がない
・BCP内部監査の形骸化と経営陣の監査結果軽視
・経営陣の正常性バイアス対策がない

これらの課題は、ある「共通の問題点」から派生していると考えられます。

特に経営陣の危機管理としてあげたBCPへの課題は、現実的に有事の会社経営として大問題であるにも関わらず、危機管理事務局は、経営陣の有事の経営能力を過大評価（？）し、経営陣も重要視することがないのが現実です。

2. 経営陣のBCPプロセスとBCPポートフォリオ

そもそも経営陣はBCPとして何をするか、そのプロセスの理解について危機管理事務局は何かアクションを起こしてきたのか、ここに焦点をあてると、経営陣が理解すべきBCPプロセスは次のように整理できると考えられます。

【平時】
・危機管理組織の活動チェック（危機管理委員会）
・BCP内部監査報告を受け、マネジメントレビュー
・BCP訓練参加と課題への気付き、改善指示
【有事初動フェーズ】
・発災直後：自助、人命救助、安否報告、所在報告
・初動：対策本部事務局サポート
・緊急経営会議参集と社内外の被災情報確認（リスクコミュニケーション）
【有事BCPフェーズ】
・経営としての事業継続計画方針案策定と事業継続プラン作成指示
・事業継続プランの選択決定と詳細計画指示
・組織変更、事業縮退、コンテキスト判断（中核事業のアウトソーシング是非）等

ここで、前回で述べた「BCPポートフォリオ」が威力を発揮するわけです。

 

「BCPポートフォリオ」について、もう一度おさらいしてみましょう。

A) BCP ポートフォリオとは
・経営判断を行うためのBCP情報の集合体
＞拠点、事業部、物流、営業、サプライチェーン（取引先）等の被災情報、インフラ状況等
・素早い判断を促すための視覚化情報

B) BCP ポートフォリオの特性
・フェーズや時間軸によって、内容、種類、量の変化と、追加・削除・変更が発生
・ドリルダウンできる情報構造体系（例. XMLデータベース）

C) BCP ポートフォリオのメリット
・判断スピードが上がる
・経営陣が全員同じ「絵」を見て判断ができる（情報の持つ意味を共有）
・都度のタイミングでの情報を体系化できる→BCP-DXとして検証ができる

南海トラフ地震のような広域被災に際しては、莫大な被災情報から経営判断を求められるため、このようなBCPポートフォリオの作成は必須です。またBCPポートフォリオとともに、経営陣の判断内容とタイミングを示したBCPイベントと経営判断フロー（前回参照）が必要になります。

では、冒頭に述べたBCPが抱える共通の問題点とは何でしょうか？

それは、BCPで行うべき各種イベントにおいて、プロセスそのものが標準化されていないことです。

業種・業態や企業文化が違ってもBCPプロセスは標準化できる（写真：写真AC）

実際、BCPにおいて、BCMSは標準化（ISO22301）されていますが、BCPプロセスが標準化されているわけではありません。業種・業態、企業文化などの違いがあるなか、BCPを標準化することなどできないということも理解できます。しかしBCPそのものは標準化できなくても、プロセスは標準化できると考えるわけです。

ここで必要となるのは、BCPプロセス標準化の定義です。BCPプロセスの標準化に対応したレベル判定という考え方をご紹介します。

【BCPプロセスが標準化されているかの判定レベル】

レベル 0：認識可能なBCPプロセスが存在しない

レベル 1：標準化されたBCPプロセスがなく、場当たり的な対応

レベル 2：異なるヒトが処理しても反復可能だが標準化されていない

レベル 3：BCPプロセスが標準化・文書化されているが、標準外でも実施できる

レベル 4：標準化されたBCPプロセスが遵守されているかを「監視、計測」可能

レベル 5：自らBCPプロセスを継続して改善できる

ほとんどの日本の企業BCPは、レベル2、3 です。ここをレベル4に引き上げないと、実際にBCP行動についての各種システム化（BCP-DX化）は困難だと認識できます。

下の図はBCPプロセスの例と、レベル4以上を目指すために必要な標準化チェックリストの例です。

●BCPプロセスの例

画像を拡大

●BCPプロセス標準化チェックリストの例

画像を拡大

実は前述の判定レベルはBCP-DXを想定しているため、COBIT 5によるIT統制の判定レベルを元にしています。ポイントはプロセスの標準化、つまり企業ごとに異なる企業文化においても、BCPプロセスの標準化があれば、DXにつながるという観点です。この考え方はBCP統制として、BCP内部監査にも応用できるかもしれません。

 

3. BCP-DX の構造設計（案）

以下は、BCPプロセス標準化をベースにしたBCP-DX構築の上流工程の構造設計案です。

【BCPポートフォリオ作成自動化および経営判断支援システム】

I. 被災情報自動収集プロセス
・対策本部収集情報（安否情報、社内被災および社内インフラ被災等、営業情報）
・インターネット情報（電気、水道、道路交通、鉄道、携帯電話等）
・顧客・サプライチェーン（取引先）等の被災情報、物流情報等

II. BCPイベントに対応した可視化情報掲出プロセス（BCP ポートフォリオ自動生成）

III. 各基本プランのレベル数値化および判断支援プロセス
関係者全員が同じ「絵」を見る（写真：写真AC）

これらの情報の加工や見せ方のポイントは、数値情報やテキストの情報をいかにクラスタ分けし、次元減少するかという点です。ビジュアル表示のための閾値を決めていく手順が含まれています。これらは既存のAI機械学習によるモデル化そのものであり、新たなアーキテクチャをつくり上げる必要はありません。

スピードアップの効果（写真：写真AC）

このようなBCP-DX が構築できれば次の効果が期待できます。
・BCP の実行スピードが上がる
＞情報収集スピード、加工スピード、プロセス移行スピード、経営判断スピード、等
・事業復旧・事業継続のスピードと経営判断精度が上がる

広域な南海トラフ地震の発生を控え、莫大な被災情報をいかに効率よく経営陣に示し、スピードと精度の高い経営判断を仰ぐか。ここに、企業の生き残りがかかっているといっても過言ではないと考えています。