米国の投資顧問業協会（The Investment Adviser Association：IAA）は、会員の組織におけるコンプライアンス担当者を対象として「Investment Management Compliance Testing Survey」（投資運用コンプライアンステスト調査）という調査を毎年実施し、その調査結果を2009年から公開している。
今年は特に新型コロナウイルス感染症（COVID-19）の影響下における事業継続への関心が高まったことから、BCPに関する設問を拡張して調査が実施されたので、本稿ではこの調査結果を紹介する。なお調査は 2020年4月20日から5月31日までの間にオンラインで実施され、384の組織から回答を得ている。
まず前提として、「文書化されたBCPがあるか？」という設問に対しては回答者の約99％に当たる377の組織がYesと回答している。そして図1はさらに、回答者の組織におけるBCPがどのような事態を取り扱うかを尋ねた結果である（注1）。
なお、この設問においては「BCP」が「Business Continuity Planning」の略語となっており、文書化した計画そのものではなく、事業継続に関する計画に取り組む活動という意味で用いられている。そのためか、「致命的な影響がある外部のサービスプロバイダーの特定」（Identification of critical third-party service providers）といった、BCPを作る前に行う作業が混在している。
図では次の3つが上位となっているが、いずれも僅差であり、さまざまな事象を視野に入れてBCPに取り組まれていることが、改めて分かる。
- 施設全体にわたる途絶（例えば停電、ブラックアウト、火災）（注2）
- 個別のサービス（例えば電話やインターネット、ファイルサーバー、リアルタイムでの情報フィードなど）の個別サービスの途絶
- 自然災害（例えばハリケーン、地震、洪水）
また、「後継者問題」（Succession planning）という回答が168件（約46％）、また少ないながら「解散などで事業を縮小する際に顧客の資産を別の機関に移す」（注3）という回答があることも注目に値する。いずれもコンプライアンスという観点ならではの設問と言えよう。特に後者については、事業を継続させるというよりも、継続できないときでもいかに顧客の資産を守るかという、投資顧問業としての責任を果たすための計画ということであろう。
協力組織のBCPのチェック
次に図2は、外部のサービスプロバイダーにおける、事業継続に関わるような事象に対する準備状況をどのようにテストするかを尋ねた結果である（注4）。
上位2位は「質問票によるデューデリジェンス」（Due diligence questionnaire）と「サービスプロバイダーのBCPの要約をレビューする」（Review a summary of the service provider's BCP）となっている。ここで「デューデリジェンス」という用語は、一般には企業や資産の価値やリスクの評価という意味で用いられることが多いが、ここではより広い意味で、詳細な調査や状況の確認という意味で用いられていると思われる（注5）。3位には「独立した機関よる、内部監査の保証報告書」（Assurance report on controls by an independent party）（注6）が入っているが、これもコンプライアンスに関する調査だからこそ設けられている選択肢であろう。
なお、101件の回答があった「認定」（Certifications）については、具体的にどのような認定なのかは特に記載がない。BCPでcertificationと言えば、ISO22301による認証を連想された方も少なくないと思われるが、米国においてISO22301 による認証取得件数はさほど多くないので、情報セキュリティーに関する規格である ISO/IEC27001や、他のさまざまな認定制度によるものが混在していると考えられる（注7）。
今回紹介した報告書は、投資顧問業という特定の業種において、かつコンプライアンス担当者を対象とした調査結果に関するものであるため、回答にも業種や専門性が反映されたユニークな調査結果となっている。ユニーク過ぎて他の業種の方々には参考にならないと思われるかもしれないが、少なくとも銀行や証券、保険などの金融業界においては、日米の違いこそあれ、通じるものがあるのではないだろうか。
また、本稿ではBCPに関する部分のみを紹介させていただいたが、本報告書には他にも共通報告基準（Common Reporting Standard／CRS）、贈収賄防止、サイバーセキュリティー、データ保護などさまざまな観点からコンプライアンスへの取り組み状況を調査した結果がまとめられている。米国の金融業界で、コンプライアンスへの取り組みがどのように求められているのか、また実践されているかを知ることのできる資料として、利用価値が高いのではないかと思う。
■ 報告書本文の入手先（PDF 74ページ／約1.8MB）
https://www.investmentadviser.org/publications/investment-testing
注1）原文では次のような設問となっている：Which of the following does your BCP address? (check all that apply)
注2）「blackout」は「停電」と訳されることが多いが、ここでは停電（electrical outage）と別にblackoutと書かれているので、恐らく外部との間で通信ができなくなるような状態を指していると思われる。
注3）原文では次のような選択肢となっている：Transitioning of client assets to another firm in connection with winding down operations (i.e., dissolution)
注4）原文では次のような設問となっている：How do you test your critical third-party service providers’ readiness for a BCP event? (check all that apply)
注5）英語圏の事業継続に関する文献では、このような意味で「due diligence」という用語が使われることがある。
注6）外部に委託している業務に係る内部統制の状況を把握し、その有効性を評価したもので、一定の基準に基づいて公認会計士などが作成する。
注7）ISOによる2018年末の時点でのデータ（https://www.iso.org/the-iso-survey.html）によると、米国で ISO22301の認証を取得した組織は30しかない。ちなみに同データで日本の認証取得組織数は68、英国は290である。ISO/IEC27001に関しても、日本が5093、英国が2444なのに対して米国は911しかない。
