■BCPの「被害想定」とは何か？
一般に、危機の未然防止やリスクマネジメントに着手しようとしたら、どんな災害、どんなリスク、どんな危機にさらされうるのかを明らかにしなければならない。ここがはっきりしないと、その後の緊急対応方針や解決策（対策）、行動手順が決まらないからである。
BCPにおいては、基本的な方向付けの要素として「災害の種類」とその災害によって自社が被るかもしれない「被害想定」を定義することになっている。「災害の種類」については前回（第13回：災害リスクを選定するための方法）その導き方を示した。問題は「被害想定」の方だ。中小企業の被害想定の書き方には概ね次の3つのパターンがあって、それらがBCPにとって適切なのかそうでないのかがいつも気になっていたのである。
・パブリックな被害想定を使う
・過去の被災データを参考にする
そこで筆者の独断と偏見ではあるが、次の2つの側面からこれらの書き方の是非を考察してみよう。
その一つは「被害想定は現実的か？」である。思いつくままに被害想定をたくさん列挙すればよいというものではない。その会社にとって的を射た現実的な被害想定が掲げられているかという意味である。もう一つは「その被害想定をBCPの方針・対策・手順に反映させうるか？」である。どんなに精緻な被害想定を書いたとしても、そのことがBCPとしての方針・対策・手順に何も反映されなければ（or させることができなければ）、十分とは言えない。
■「恣意的な被害想定を書く」についての考察
【被害想定】 地震の衝撃でサーバー5台のうち2台が破損。従業員の出社率は被災翌日で20％、3日目で50％、5日目で80％とする。携帯電話は2日目から安否確認に使用できるものとする…。
BCPの中にこのような記述をしている被害想定をしばしば見かける。かなり具体的で分かりやすい想定である。これらの客観的な数字が当てになるものならば、被害を最小化するためのプロアクティブで効果的な対策を導くことができるだろう。
しかし、こうした恣意的な想定に基づく対策や復旧の段取りが予定調和的に扱われてしまう危険性はないだろうか。1＋1＝2になるような被害想定や対策はエレガントではあるが、現実には筋書き通りにはいかないことの方が多い。サーバー2台どころか5台とも使えない、3日経っても一部の従業員としか連絡がとれない。本社建物に立入りできない（いずれも大規模災害では十分起こり得る）。
もしこのような事態が起これば、会社は「これは想定外の事態だ、BCPの限界だ」と騒ぐだろう。あまりに被害想定が鮮明すぎると、BCPの方針・対策・手順はその範囲に縛られてしまい、木を見て森を見ないBCPになってしまう可能性がある。
■「パブリックな被害想定を使う」の考察
国や各自治体では定期的に大規模災害による被害想定を公表する。これから起こるとされる南関東直下地震（首都直下地震なども含む）や南海トラフ大地震などは、これまでさまざまな被害想定が出されてきた。したがって、来るべき大規模自然災害をBCPの前提とするなら、これらの豊富なデータを用いることができる。ただし次の点にも注意が必要だ。
それは、国や各自治体が公表するデータは広域的、マクロ的なので、各企業がこうしたデータをBCPに取り入れようと考えたら、そのままコピーアンドペーストするしかないという点である。例えば内閣府防災情報のページにある「首都直下地震の被害想定と対策について」では次のような被害想定が掲載されている。
（1）電力：発災直後は約5割の地域で停電。1週間以上不安定な状況が続く。
（2）通信：固定電話・携帯電話とも、輻輳のため、9割の通話規制が1日以上継続。メールは遅配が生じる可能性。
（3）上下水道：都区部で約5割が断水。約1割で下水道の使用ができない。
（4）交通：地下鉄は1週間、私鉄・在来線は1カ月程度、開通までに時間を要する可能性。
このようなテキストと色分けされた被害想定図などを何枚か貼り付ければ、ある程度もっともらしいBCPにはなるだろう。また、インフラの停止や道路の寸断状況はどの企業にとっても共通の関心事だから、有用であることは否定しない。しかし、こうした大局的な想定だけでは自社が被るかもしれない被害や影響の具体的な姿は見えにくい。この種の被害想定を自社のBCPの方針・対策・手順に反映させるのは容易ではない。
■「過去の被災データを参考にする」の考察
過去に起こった実際の災害記録からBCPの被害想定を導く方法もある。東日本大震災や熊本地震、大阪北部地震で実際に観測された被害事象－震度、道路や橋の寸断、液状化、火災発生エリア、公共交通機関の途絶、インフラの停止、そしてこれらの復旧に要した期間などの記録のことだ。
これは2者の立場から捉えることができる。一つは自社が過去に経験した災害の記録を元に想定する場合。例えば東日本大震災で震度5弱を経験し、あまり被害のなかった都内の企業でも、「もし首都直下地震が起こって震度6強の揺れに襲われたら前回の比ではない」という切迫した意識を持つだろう。
もう一つは、直接には大きな災害を経験したことのない会社が、東日本大震災や熊本地震、大阪北部地震などの被災データから類推的に自社に当てはめる場合。こちらも、現実に起こった記録を元にしているため被害想定の検討には力が入る。例えば熊本地震では発災から5日間で停電が復旧したというから、当社生産設備の停電による停止期間も5日間としよう、といった具体だ。
以上のような方法で記述された被害想定は、「被害想定は現実的か？」という点では（それぞれ難点はあるものの）ある程度納得できるものではある。一方「被害想定をBCPの方針・対策・手順に反映させうるか？」については企業によってさまざまだ。が、総じて被害想定は被害想定にとどまり、事業継続戦略に関連付けて記述しているケースは少ない。これらのペンディング事項については、今後のBCPの見直しと段階的なブラッシュアップを通じて解決することになるだろう。
ちなみに欧米のさまざまなBCP／BCM（インシデント対応プランなども含む）のサンプルを集めてみた限りでは、ここに述べたような被害想定の書き方をしているものはあまり見かけない。その代わり、欧米ではもっぱら訓練や演習における被害想定でこうした記述を用いるのが普通のようである。
（了）
