経営視点でBCPに３線モデルを適用せよ

J-SOX制度の改訂は非上場企業の内部統制にも影響を与える（イメージ：写真AC）

BCPに３線モデルをどう反映させるか

本連載第25回でも取り上げた、上場企業における財務報告の信頼性の確保を目的とした内部統制報告制度の改訂。いわゆるJ-SOX制度の改訂が2024年度から適用されるにあたり、現在、上場企業の経営陣やリスク管理部門、内部監査部門が大騒ぎになっています。

逆説的に見ると、日本では超大企業においてさえもリスクマネジメントが形骸的で、資源の投入レベルが低く、災害やサイバー攻撃の発現に対して実質的な準備ができていないことに、ステークホルダーからの批判が相次いでいる。制度改訂にあたっての騒動は、そんな状況を反映してのことでしょう。

首都直下地震や南海トラフ地震という巨大災害リスクを眼前にしている今、J-SOX制度の改訂はBCPとしても検討すべきものです。そのため、制度改訂自体は上場企業に向けたものであっても、リスクマネジメントを行っている多くの非上場企業や中堅企業、金融やインフラ系組織にも大いに影響を与えることは間違いありません。

改訂内容において注目されるのは、全組織的なリスク管理体制の例として示された「3線モデル」というキーワードです。これは1線を現業部門、2線をリスク管理部門、3線を内部監査として、3つの構成で内部統制をガバナンスする考え方です。

非上場、上場に関わらず、多くの企業・組織の重要な経営管理項目であるBCPにおいて、この3線モデルをどのように反映させるかというテーマに、特にリスク管理を統制する立場の総務部門や危機管理部門は非常に悩ましく考えていると思われます。

実際、今までの企業BCPは統制部分（2線）に力点が偏り、危機管理の事務局（多くは総務部門）は対策本部の事務局を兼務し、BCPの中核を唯一担っていました。BCPの内部監査（3線）を実施していない企業では、この3線モデルは関係ないとスルーしてしまいがちな内部統制モデルです。

現業部門のBCP力をどう鍛えるかがカギになる（イメージ：写真AC）

しかし、現在多くの企業・組織で課題としてあがっているBCPの「実効性」については、実際、1線（現業部門）のBCP力を鍛えてこなかったツケが回っているといわざるを得ません。もちろん内部監査（3線）を行っていない企業・組織では、経営陣が自社のBCPを監視してこなかったとみなされます。

本稿では、このような企業BCPを経営視点において根本から改善する3線モデルを、構築済みのBCPにどのように反映させるかについて、1線と3線それぞれへの向き合い方を解説します。

1． 現業部門（1線）への対応

まず1線。ここで浮かび上がってくるのは、「統制」に対比する「自律」という用語です。つまり、1線としての現業部門の自律的なBCP活動と危機管理能力が、今後の企業・組織のBCP力を大きく向上させるカギとなる。BCP訓練などを通じて、いかに現業部門が自律性を持ち、BCP 力をアップさせるかがポイントとなります。

現業部門としての「自律」の意味は、前提として、自律の対象となる部門がBCPの事業影響度分析において優先事業として割り当てられた部門であることです。非優先事業はあくまで統制の傘下で活動します。

現業部門、すなわち優先事業部門がいかに自律的に行動できるか（イメージ：写真AC）

この優先事業部門はBCP対象の災害発生時、発災直後の自助を経て初動フェーズにおいてさえ、発災状況を自部門の責任において観察評価し、すぐに BCPとしての業務活動を自主的に実行します。実際はあらかじめマニュアル化された行動をとることになりますが、この場面でも統制と自律の接続（コミュニケーション）が重要です。

基本的に統制部門（2線）は現業部門の自律性の部分は任せ、それらの BCP 活動をあらかじめ決められた定期（緊急の場合は不定期）に報告し、確認することになります。

例外的にマニュアル化されていない事象が発生した際には、統制の判断を借りることはいうまでもありません。例えば、優先事業を行う事業所が予想されていないクラウド障害を起因とした IT 停止に見舞われた場合、他のクラウドに移行したり、担当者が活動可能な他の事業所に移動したりするような場合です。

1線と2線でBCPマニュアルを共有しておく（イメージ：写真AC）

1線である現業部門、つまり優先事業部門に対しては、組織としてBCP 担当と責任者を割り当て、優先事業部門としての活動マニュアル（初動からBCPフェーズ）を2線の危機管理部門と協同策定し、コミュニケーション手段、方法、内容についてもあらかじめ手順をドキュメント化しておくことが必要です。

このケースで求められるBCP活動は次のとおりです。

ここにおいて重要な点は、1線のBCP対応能力向上のための活動マニュアル策定と、それにもとづく教育（研修）・訓練です。組織としてのシミュレーション訓練以外に、個々のBCP対応要員の危機管理能力の向上を目的としたモックディザスタ訓練も行い、総合力を養います。

2．3線としての内部監査とは

現業（1線）のBCP能力の向上が全社BCPの実効性向上に寄与することを経営陣に理解してもらうと同時に、内部監査（3線）の導入も必須となります。

3線としての内部監査はどうあるべきか（イメージ：写真AC）

通常、BCPの内部監査では、監査部門と被監査部門の事前の調整により、当該年度の監査内容を決めますが、実質的には、この作業がBCP活動における当該年度の主要な活動であるにも関わらず、企業（あるいは経営陣）が求める理想的なBCPの進展段階から外れたものだったり、形骸的なものだったりすることがありました。

内部監査として「適合性」と「有効性」が評価されますが、内部監査チェックリストによる適合性だけで判断し、有効性を評価していないケースも散見されます。さらに内部監査でのマネジメントレビューが行われず、本来のBCP改善の議論がまったく行われない企業がほとんどだといわれています。

これら内部統制の問題点を払拭するためには、レガシーな内部統制手法では限界があります。より実質的なBCPに関する全項目にもう一度目を向け、それぞれの達成レベル評価を行うことから始めるべきだと考えます。

ここでBCPの全項目というと、途方もない範囲、量になってしまい、逡巡されてしまうかもしれませんが、ここでの考え方は、外部から評価を受ける項目に絞るという点です。

外部から評価を受ける大項目は下記のとおりです。

1. BCMSが構築され、ドキュメントに沿ったBCP訓練を実施し、PDCAが回っていること

2. 防災指標（耐震・免震、液状化対策、津波対策、長周期地震動対策、水害対策など）対応が行われていること

3. 基幹情報システムの災害対策と訓練が行われていること

4. 必要な被災情報、復旧情報を含む外部発信（広報）に対するガイドラインがあること

5. 経営陣がBCPを監視していること（BCPを内部監査対象としていること）

上記5つの各大項目には、さらに細かく以下のような小項目を設定します。

●BCMSの小項目設定例

画像を拡大

同様に、他の大項目に対しても小項目を設定し、この小項目を「BCP活動のプロセス」として位置付けます（当プリンシプルBCP研究所では合計30プロセス程度）。

内部監査として、これらのBCP活動プロセス単位ごと、以下のようなレベル評価指標により評価します（ITGC としてのCOBIT2019に準じたものです）。

多くの企業・組織のBCPでは、ほとんどの項目がレベル３もしくはレベル２であると思われます。ここでは、少なくともレベル4以上を目指すことを目標とします。

これらのレベル評価に、従来の適合性および有効性の評価を加え、総合的な評価を与えます。

●レベル評価を加えた内部監査評価例

画像を拡大

こうした評価は、BCP策定・運営において、必要な外部からの評価を背景とした項目に対して、その達成度が「見える化」され、必要なリソースをどこに振り向けるべきかも明確になるメリットがあります。また全項目を洗い直すことでスキルの継承性にも役立ちます。

このように、2線だけで運営していた企業・組織のBCPを、経営的な視点として、現業部門（1線）とレベル評価による内部監査（3線）を加えることで、外部からの評価に資するBCPの運営ができることを理解し、自社のBCP活動に適用されることを強くご提案します。