BCMの専門家や実務家による非営利団体BCI（注1）は、『Good Practice Guidelines』の改訂版「Edition 7.0」を、2023年10月31日に発表し、翌11月1日から提供を開始した。BCIの会員ならPDF版を無償でダウンロードできるようになっており、会員でなくてもBCIのWebサイト（https://www.thebci.org/shop.html）から購入できる（注2）。
筆者は11月1日から2日間にわたって開催された「BCI World Hybrid 2023」（注3）に参加するためにロンドンに行き、10月31日に行われた発表セレモニー当日に改訂版を入手した。そこで本稿では新しいGood Practice Guidelinesについて、旧版からの主な変更点を紹介していきたいと思う。
Good Practice Guidelines とは何か
まず、Good Practice Guidelines（略称「GPG」）を知らない方々のために、GPGについて概略を説明させていただく。これは事業継続に関して世界で最も参照されているガイドラインのひとつで、2001年に初版が発表されて以来、図2の左側のように数年おきに改訂を重ねて現在に至っている。従来は発行された年で区別されていたが、今回からは「Edition 7.0」という形で版数を付けて呼ぶように改められた。
なお発表セレモニーにおけるBCI会長Heather Merchan氏のコメントによると、今後は従来より短い間隔で、7.1、7.2、....というようにマイナーアップデートが行われるようである。
GPGの改訂はBCI会員を中心として募集されたボランティアによって行われており、今回のEdition 7.0には計33人ものボランティアが関わっている。筆者自身も「PP6 Validation」というセクションを担当するグループのメンバーとして参加させていただき、インド、英国、カナダ、南アフリカのメンバーと一緒に、改訂文案を持ち寄ってオンライン会議を重ねながら改訂作業に取り組んだ。BCIはこのような形で、実際にGPGを活用してきた世界各国の経験豊富な実務家をGPGの改訂に関わらせることによって、旧版に対するフィードバックや、多くの人々のノウハウや経験をGPGに集積している。
またBCIのメンバーの中には、各国でISOの委員を務めている方々も多いため、GPGの改訂において検討・議論された結果が国際規格にも影響を与えている。図2の右側には事業継続に関する英国国家規格（BS 25999）および国際規格（ISO 22301／22313）の発行／改訂状況を記載したが、GPGの改訂で検討されたノウハウが規格開発の場に持ち込まれ、また規格が発行／改訂されたら、新しい規格との整合性を図るようにGPGを改訂するという関係になっている。
したがって今回のGPG改訂も、ISO 22301の2019年版や同22313の2020年版への対応が主要な目的のひとつとなっていた。また、2018年版が発表された後に、ISOから2つの関連規格と4つの技術仕様書（Technical Specification）が発行されており（注4）、Edition 7.0ではこれらとの関連や整合性も考慮されている。
GPGの構成は図3のように6つのセクションに分かれている（注5）。それぞれのセクションは「Professional Practice」（略称「PP」）と呼ばれ、事業継続に従事する実務家にとって必要な、実践的なノウハウが体系的にまとめられている。
全体的な変更点
GPGの文書構成に大きな変更はないが、各セクションのタイトルは図4のように変更されている。実際には図4の各セクションの前にイントロダクションと用語の説明があるほか、Edition 7.0では最後にエピローグとして、GPGに記載されている内容に加えて、個々の組織の状況に応じてどのような活動が必要になりうるか、などが述べられている。
各セクションの内容については後で述べるとして、ここではまず「事業継続マネジメントシステム（BCMS）」という用語の使われ方について触れておきたい。
実は従来のGPGでは「BCMS」という用語はほとんど使われておらず、図3でお示しした図も「BCMライフサイクル」と呼ばれていた。これに対してEdition 7.0では全体的に「BCMS」という用語が多用されている。これは、BCMが事業継続に取り組むための方法論であり、これを組織で実現するための仕組みがBCMSであると整理した上で、従来の「BCMライフサイクル」という表現をBCMSで置き換え、より包括的なガイドラインを目指したためである。また、従来のGPGにおいても継続的な取り組みや改善の必要性には言及されていたが、これをより強調するために「BCMS」という用語を用いたとも説明されている。
内容に関する変更点
まずPP1は組織として事業継続に取り組むための基礎固めをする段階であり、ISO 22301では概ね箇条4～6および箇条7の一部に相当する。今回のEdition 7.0ではこのタイトルが「Establishing a BCMS」となっており、事業継続に取り組むための仕組みを確立するというような意味合いとなっている。
PP1の主な内容はBCMSの適用範囲や事業継続方針の決定、役割と責任の明確化、事業継続に関するガバナンスの確立などであるが、Edition 7.0ではこれらの前にまずBCMS全体を俯瞰し、今後どのような活動が必要になるか、それらがGPGのどこに書かれているかを整理した上で、それらをどのようにコーディネートしていくかという観点の説明が追加された。
PP2は事業継続に関する教育訓練や認識度向上などを扱うセクションであり、旧版では事業継続を組織に組み込む、もしくは根付かせるという趣旨で「Embedding」というタイトルが付けられていたが、Edition 7.0では旧版よりもさらに組織文化にフォーカスした内容となり、タイトルも「抱擁する、包含する、受け入れる」といった意味を持つ「Embracing」という用語で置き換えられている。
2018年版ではPP2が「組織の文化を理解し、文化に影響を与える」と「力量とスキル」（competencies and skills）という2つのセクションに分かれていたが、Edition 7.0では力量やスキルに関する記述が他のセクションに移された上でPP2からカットされ、組織文化に全振りされるという、かなり思い切った変更となっている。またPP2内部の章立ても他のセクションとは大きく異なっており、GPG全体の中でPP2が独自の位置づけとされたことが分かる。
PP3「Analysis」は事業影響度分析（BIA）やリスクアセスメントを扱うセクションである。まずBIAに関して、2018年版まではBIAが次の4段階に整理されていた。
・Initial BIA（初期BIA）
・Product and Service BIA（製品・サービスBIA）
・Process BIA（プロセスBIA）
・Activity BIA（活動BIA）
これに対してEdition 7.0では「Initial BIA」が削除されて3段階となっている。これは恐らくInitial BIAに相当する内容が、BCMSの適用範囲を決める際に既に検討されることが多いため、重複感を減らすのが目的だと思われる。なお、BIAに関するガイドラインである「ISO/TS 22317」においてもBIAが3段階に整理されているため、これとの整合性が考慮された可能性もある（注6）。
またリスクアセスメントについても、2018年版では「Risk and Threat Assessment」（リスクと脅威のアセスメント）と呼ばれていたが、Edition 7.0ではISO規格に合わせて「Risk Assessment」に変更された。
PP4「Solutions Design」は、事業継続の分野ではもともと「事業継続戦略」（business continuity strategy）と呼ばれていた部分を扱うセクションである。2018年版では「経営戦略」などとの間での紛らわしさを減らすためにstrategyという用語の使用を避け、「business continuity solutions」と呼ぶように変更された。ISO 22301の改訂時にも同様の呼称変更がBCIのメンバーから提案されたが、議論の末に規格においては「business continuity strategies and solutions」（JISでは「事業継続戦略及び具体策」）という呼び方が採用されたという経緯がある。Edition 7.0においてもISO規格との整合を図るために、文中では「strategies and solutions」という表現が採用されている（部分的に「strategies」や「solutions」が単独で用いられている箇所もある）。
内容においては、事業継続戦略の例示が拡大され、記述も詳しくなっており、実務家にとっての分かりやすさや使い勝手が大幅に改善されている。またリスク軽減策においては、単一障害点（Single Points of Failure：SPOF）への対策が2018年版よりも強調されている。
PP5「Enabling Solutions」は、PP4で検討されたsolutionsを有効にする、もしくは実現可能にする、という意味合いのタイトルとなっており、具体的には対応体制（災害対策本部など）の整備、緊急事態発生時のコミュニケーション、計画の文書化などが含まれている。2018年版と比較すると、コミュニケーションに関して独立した章立てが行われたことが目立つ。また緊急事態対応計画において、対応要員の健康、安全、福利（welfare）を確保することに関しても章が設けられるなど、計画作成における留意点がより具体的に記述されている。
最後のPP6は演習やメンテナンス、レビューによってBCMSの運用状況の妥当性を確認し、継続的な改善を図っていくための活動がまとめられており、2018年版から変わらず「Validation」というタイトルとなっている。全体的な構成はあまり変わっていないが、レビューの手法のひとつとして「Post-incident review」が追加された。これは実際に何らかの緊急事態対応を実施した後に、その対応内容や結果などを事後検証することである。読者の皆様においては「After Action Review」（AAR）という呼び方の方が馴染みがあるかもしれないが、これと同じ意味である（注7）。
残念ながら現時点では日本語に翻訳されていないため、多くの読者の皆様にとっては扱いにくいと言わざるを得ない。しかしながらGPGは、欧州や北米、および東南アジアなどでは、事業継続に関する専門家や実務家であればまず例外なくその存在を知っており、多くの実務家に活用されているガイドラインである。さらに今回の改訂で多くのフィードバックが採り入れられ、磨きがかけられている。日本でもぜひ多くの皆様にご活用いただきたいと思う。
注1）BCIとはThe Business Continuity Institute の略で、BCMの普及啓発を推進している国際的な非営利団体。1994年に設立され、英国を本拠地として、世界100カ国以上に9000名以上の会員を擁する。https://www.thebci.org/
注2）価格はハードコピー版が90ポンド、PDF版が70ポンドである。なおBCI会員であればハードコピー版も45ポンドで購入できる。
注3）「BCI World Hybrid」はBCIが毎年11月上旬にロンドンで開催しているカンファレンスで、2019年までは「BCI World Conference and Exhibition」として開催されていたが、2020年はパンデミックの影響でオンラインのみの開催となり、2021年からは対面とオンラインとのハイブリッド形式で開催されている。
注4）ISO 22301/22313 の他に、Edition 7.0で関連性や整合性が考慮されている文書としてリストアップされている規格および技術仕様書は次の通りである。
・ISO/TS 22317:2021（BIAに関するガイドライン）
・ISO/TS 22318:2021（サプライチェーンの継続性に関するガイドライン）
・ISO/TS 22331:2018（事業継続戦略に関するガイドライン）
・ISO/TS 22332:2021（事業継続計画および手順の作成に関するガイドライン）
・ISO 22361:2022（危機管理に関するガイドライン）
・ISO 31000:2018（リスクマネジメントに関するガイドライン）
注5）2005年版では5つに分かれていたが、その後に現在のように6つに再構成された。
注6）GPGにおける「Product and Service BIA」の内容は、ISO/TS 22317では箇条5.4に相当する。同様に「Process BIA」の内容は箇条5.5に、「Activity BIA」の内容は箇条5.6にそれぞれ相当する。
注7）筆者がこれまでさまざまな資料を見てきた範囲では、英国では post-incident review、米国では after action review と呼ぶことが多いようである。
