共通キーワードは「実効性」への不安
昨年までのBCP（事業継続計画）のテーマであった首都直下地震や南海トラフ地震、あるいは台風や大雨等の気象災害への対応。ここへきてやっと、担当者はコロナ以外の危機管理作業ができる状況になってきたのではないでしょうか。
ここ数年、筆者が行う講演会やセミナー、またクライアントとの雑談において、BCP策定（策定中）企業が抱えるある特徴的なキーワードが浮かび上がってきました。それは「実効性」への不安です。
企業によって経営者の考え方や現場の考え方、投下できる予算、社内文化などはさまざまですが、共通のキーワードとして「実効性」への課題があるように思います。
例えば、大企業に多く見られるケースはこうです。
BCPはかなり以前に策定したマニュアル等が陳腐化、さらに担当者が人事異動になって社内に危機管理のプロがいない、訓練も長い間実施していないためにいざという時に機能するかどうか…そもそも経営陣の危機感と現場の感覚がズレていて、対応策自体に不安がある…。
中堅企業は、こんな悩みはないでしょうか。
十分な危機管理対応予算が付けられない、帰宅困難者を3日間オフィスに泊めておくなど不可能では？ そもそも自社のBCPが他社と比べて見劣りしていないか…。
中小企業では、こうしたケースが見られます。
助成金などの補助を受けられるにも関わらず、経営陣や管理職にBCPや危機管理の本質的な議論がない、助成金の範囲でモノを買うことだけの危機管理、いわゆる備蓄品の購入でしかBCPを考えていない…。
企業の危機管理担当者によって悩みはまちまちでありながら、いずれも実効性に対しての不安を口にされています。
切実感のないリスク管理に意味はあるのか
民間企業にとってBCPという経営管理項目は、当然、予算ありきの世界であり、予算の枠内で実効性の高い行動を取ることが求められます。しかし筆者は、危機管理のコンサルタントとして、皆様のお話の根底から推し量るに、確かに「実効性」がないだろうと考えます。むしろそれが、今そこにある危機的状況のように見えます。
そもそもBCPの「実効性」を阻害している、あるいは「実効性」に不安を覚える背景は何でしょうか。問題の根は、本来の「リスク」意識の欠如から来ると考えています。原点に立ち返り、リスクマネジメントの部分から見ると、実効性の阻害要因が見えてきます。
大企業の場合ですが、役員・取締役で実施される危機管理委員会（もしくはリスク管理員会）において、危機管理項目に挙げられるのは①地震・自然災害への対応②情報管理・情報セキュリティーの2つが常連です。
最初のリスクの洗い出し時点から何年も経過しているにもかかわらず、毎年同じ項目が挙げられるのはなぜでしょうか。政府やメディアで大きく取り上げ続けられている課題だからでしょうか。
つまり、自社が置かれている環境の変化やその中での本来的なリスクを考える以前に、一般的な2つの課題を挙げることで、まるで対岸の火事のような、ウチも平均的な企業並みにやっておかないと、という感覚になってはいないかということです。
今回の新型コロナウイルス感染症もそうですが、地震をはじめとする自然災害においても、事象が発生した場合の事業影響度をリスクという原点でとらえきれていないことが指摘されています。BCPの実効性に対する不安を払しょくするために、まず自分たちのリスク意識を見直すことから再出発してはどうでしょうか。
見直しの手順はおおむね次のとおりです。
1.対象となる地震を選定する（例：南海トラフ地震、東海・東南海・南海地震）
2.被災シナリオ、被害想定を確認する（内閣府ホームページ等）
3.自社の各事業所への影響を、当該建物の地震対応機能（免震、制震など）に応じて、想定震度、揺れ易さ（地盤増幅率）、津波影響度、崩壊危険度、火災危険度、液状化危険度についてそれぞれ整理し、レポート化する
4.自社の各事業所の被災想定を行う（感覚的で構わない）
5.重要顧客・重要取引先の関連事業所、製造業の場合には、サプライチェーンとしての物流（商品の流れ）についても、上記3項と同じ影響度を整理、レポート化する
6.上記の結果、自社の事業影響度をリスクとして検討する
6.1定量的（売上、利益の損失等）分析
6.2定性的（社会状況、震災時の社会的要請等、複数のタイミング時期で）分析
6.3コンテキスト分析（優先事業あるいは中核事業に対するアウトソーシング利用の是非、判断は経営マター）
7.対象地震が発生した際の、自社のリスクについてレポート化する
8.既存の対応策の見直し、あるいは新規の対応策の追加の是非への検討
9.購入が必要なもの（備蓄品やシステム導入など）の予算稟議
10.認められた予算内での対応策の実行と、認められなかった対応策が経営陣のリスク受容であることの確認
11.規定、マニュアル、手順書、等ドキュメントの改訂
12.改訂内容にフォーカスしたBCP訓練計画と訓練実施
13.訓練からのフィードバックと改善（PDCA）
危機時におけるITの力を過小評価している
もう一つ、実はこれらのBCP実効性への不安に内在する、前述の取り組みからでは見えてこない原因が存在します。
それは皮肉にも、コロナ禍で露呈した企業のITリテラシーです。日本はこの時点で、おそらく中国、韓国、北欧などに比べても、明らかに最も企業のITリテラシーが低い国の一つです。同様にDXリテラシーも低いと考えられます。
では、なぜITリテラシーやDXリテラシーが低いと、BCPの実効性に不安を与えるのでしょうか。
災害時に起こるだろう状況を考えてみてください。例えば、震災によって引き起こされるオフィスの停電や断水、公共交通機関、携帯電話などのインフラ停止において、ITの力で事業継続できる部分は非常に大きいと考えられます。
震災では、県域レベルあるいは複数の県域レベルで事業所および従業員の自宅が損傷し、インフラが停止します。津波の影響が及ぶ事業所では、オフィスの復旧が長引く（半年程度）ことも考えられます。このような際、インターネットは危機対応として大きな力になり得ます。
企業の危機管理部門としては、ウイズコロナにおいて、対策本部会議の情報収集、共有・発信といった中核作業、またステークホルダーへの情報発信・広報など、従業員個々の総合的なITリテラシーが高いことによって事業復旧が効率的に進むことは火を見るよりも明らかでしょう。
さらにDXリテラシーが高い企業なら、震災発生直後から従業員の行動をGPS等により追跡し、自動的な安否確認や事故に巻き込まれている可能性をいち早く察知することもできます。より事業継続的側面としては、顧客や取引先の被害、道路の通行止め情報などをAIで予測することで、サプライチェーンの代替手段を素早く行動に移し、中核事業の停滞を極小化することもできるかもしれません。
ニューノーマルの時代に生き残れるのか、これから来る地震や台風に立ち向かえるのか、企業としてのレジリエンス能力は、リスクのとらえ方やITリテラシーに起因する内在的問題です。このことをあらためて考えていただき、課題を克服して、ステークホルダーに説明責任を果たすことが求められています。
