前回は「BCPが欧米から日本に導入される過程で、何か化学変化のようなものを起こしてしまったのでは…」と書きました。以下ではそうしたいくつかの"化学変化"と考えられるものをピックアップして、検証してみようと思います。
■"想定外"はBCPが作りだす!?
まず、BCPの策定で最初に取り組むものとされる「中核事業の選定」について。会社が営むすべての事業を災害から守り切れるものではないので、BCPで守る事業を戦略的に選定し、BCPの取り組み範囲を限定しようというのがこのねらいです。一見合理的な考え方ではありますが、実際にこの手順を当てはめようとすると戸惑うことも出てくるのです。
例えば事業の規模、業種、構成によって「複数の事業から1つを選定する余地がないか、その必要性がない」場合があること。ごくありふれた例ですが、1つのフロアに３つの事業部門があり、一台のサーバに３事業分の重要データが格納されているような場合、物理的にはすべて同じエリアにあるので、中核事業の選択の余地はありません。
また「中核事業一本に絞り込むことが必ずしも最適な生き残り策とは言えない」場合もあります。BCPでX事業を守ると決めた。しかし予想以上に被害が大きくてX事業の復旧に時間がかかることがわかった。こんな場合は被害を免れた他の事業で生き延びるというオプションもあるでしょう。何がなんでもA事業だけは守らなくちゃ、という根拠は薄まってしまうのです。
さらに、特定の中核事業を守るために投下した費用が、その効果や価値を生まないばかりか、二重負担の原因になる可能性があることも指摘しておきましょう。なぜなら、もし中核事業がまったく被害を受けず、逆にBCPに選ばれなかった他の事業部門が甚大な被害を受ければ、中核事業のBCP対策コストに加えて、被災した他の事業部門を復旧するためのコストが追加的に発生するからです。
■ITのためのノウハウが製造業に？
BCPのルーツは1970年代の情報システムのデータ復旧にさかのぼります。米国などは契約とか説明責任にうるさいお国柄ですから、うっかりシステムがダウンしてデータを消失し、顧客や取引先に迷惑がかかると、すぐにクレームや訴訟問題に突入してしまう。こんな背景があったのでしょう。
その後、911米国同時多発テロやハリケーンカトリーナ災害などを教訓に、当局が事業を保全するためのより堅牢な仕組みを企業に求めるようになったことは言うまでもありません。もはやデータを守るだけではだめだ。不測の事態に備えてITに依存する重要業務全般を守り、維持できる仕組みを整えなくてはならない、という方向に変わっていきます。
このようなBCPが日本に入ってきたのは2000年代初めのことです。当時日本銀行や経産省が示したガイドラインは、欧米と同じくＩＴのコンティンジェンシープランの策定が主たる目的でしたが、内閣府や中小企業庁発行のガイドラインを経て、次第に防災対策の延長上にあるBCPのイメージが定着するようになりました。
中小企業庁の指針などは、復旧資金を確保するための財務診断などを勧めている点でユニークな内容でしたが、中でも「目標復旧時間」の文字があったのはちょっと意外でした。なにしろそれまで目標復旧時間といえば、データの復旧指標以外の何物でもなかったからです。日本ではＩＴ以外の業務にもこれを適用して復旧期限を厳格化するのだろうか。私は意外に思いつつ認識を新たにしたものです。
■目標復旧時間を「一般の業種・業務」に適用してはいけない
さて、その「目標復旧時間」ですが、実はこれがなかなかの曲者です。目標復旧時間は、従来の防災計画とBCPを峻別する最も特徴的な要素ですが、何しろもともとＩＴ業務の復旧のために考案された指標だけに、一般の業種・業務（例えば製造業など）に適用するには、２つの大きな問題があるのです。
1つは目標復旧時間の設定根拠があいまいなこと。ITという限定的な資源なら、注文処理や顧客管理系のシステムが止まったときの売上やユーザへの時間的影響（未処理データの累積や顧客離れの増加など）は推測するのが容易でしょう。がしかし、製造業などはあまりに複雑な要素や条件が絡み合っていて、「この期限までに復旧させないと絶対困る！」という決定的なタイムリミットを導くことなどできません。
仮に誰もが納得する合理的な目標復旧時間が決まり、BCPに「当社事業の目標復旧時間を〇日とする」と記載したとしても、そこで一件落着とはならない。これが２つ目の問題です。BCPはさらなる要求を突きつけ、「目標復旧時間を設定したからには、そのタイムフレーム内で事業を再開できるように段取りを組み、予備の経営資源を用意しておきなさい」とくるからです。
例えばある事業の目標復旧時間が５日なら、災害で事業が止まっても、５日以内に再開できるように、あらかじめ必要な人、モノ、情報その他をスタンバイさせておきなさい、ということです。もし予算や技術上の制約などの理由でこれを実現できなければ、５日という目標復旧時間は単なる努力目標、もしくはBCPの体裁を整えるためのお飾りに過ぎなくなってしまいます。
（※次回は8月25日ごろ掲載予定です）
（了）
