■BCMにおけるレビューの意義・目的
BCMにおいて「見直し」という言葉を使用する際は少し注意が必要です。次のいずれを指しているのか、文脈から判断する必要があるからです。
一つはBCP文書の見直し。記載情報が古くなっていないか等をチェックする作業。次は関係者が集まってBCPの方針や手順に誤りや矛盾がないかを精査する作業。最後は経営層や内外の監査員によるBCM活動の評価のこと。
おそらく大企業・中小企業問わず、最もルーチンワークとして定着している見直しは、１番目の記載情報のチェック、いわゆるアップデートでしょう。2番目と3番目については、筆者が知る限り、中小企業においてはあまり見聞きした経験がありません。どれもBCMにとって原則的に必要不可欠な作業ではありますが、ここではとくに3番目の意味として取り上げます。
なお「見直し」という用語は前2者と混同しやすいので、以下では「レビュー」という名称で話を進めます。
レビューはBCM事務局による経営者への1年間の成果や活動報告の場です。社内だけで自己完結的に行うことも可能ですが、社長自身のリーダーシップの評価もあるので、できることなら第三者を介して客観的に評価するのが望ましいでしょう。
このように書くと、いわゆるISOなどの「マネジメントレビュー」のことを指しているのだなと考える人もいるでしょう。しかし無理にISOに当てはめる必要はありません。危機管理体制とその活動のレベルやクオリティ、効果や課題については、国際規格の要求項目をお手本にして必要かどうかではなく、実質的な意味で経営層と事務局の双方が正しく認識・共有しておくことが肝要なのだ、ということです。
■レビューから新たなリスクは見つかるか？
「レビュー」ではどのような評価・点検指標を用いるのでしょうか。ISOであれば規格の要求事項が評価・点検の指標となりますが、一般の中小企業のBCPでは、内閣府の事業継続ガイドライン第3版に添付されている「チェックリスト」や、中小企業BCP策定運用指針における「BCP策定・運用状況の自己診断」などが参考になるでしょう（そのままの内容では専門的かつ厳正過ぎる部分もあるので、自社にとって妥当なレベルで評価できるようにチェック項目を取捨選択しておくのが望ましい）。
ところで「新たなリスクの発見」については、例えば事業継続ガイドラインのチェックリストにある「自社の事業の中断を引き起こす可能性がある発生事象を洗い出しているか？」等の質問をもとに判定することになります。レビューの時点でこの要件を満たしていなければ「次回から新たなリスクを洗い出す（＝リスクアセスメントを行う）」ことを実践するわけですが、どうも受身的な姿勢を免れません。
そこで、レビューでのインタラクティブな対話の中にリスク発見のトリガーを見出す工夫をしてみましょう。BCM事務局を主体とした次の3つのパターンが考えられるでしょう。
（1）日頃ニュース等で気づいた重大リスクについて、BCPに追加することの必要性を社長に進言してみる（社長の同意が得られないリスクはBCPに追加できない）
（2）経営者のネットワーク等を通じて社長の耳に入っているかもしれないリスク情報（経営者しか知り得ないホットなリスク情報のこと）の有無を探ってみる
（3）監査員が介在している場合、第三者の立場で喫緊の課題と考える他のリスクはないか尋ねてみる
■BCM事務局の資質とスキル
前ページの（1）～（3）については、多少なりともBCM事務局の立場とスキルを意識しなくてはなりません。BCM事務局から経営者への形式的な報告会や成果発表で終わってしまうようなら、早晩BCMレビューの形骸化は免れないからです。レビューをよりインタラクティブかつ有意義なものにするためには、日頃から次の3つのことを意識してください。
一つは「潜在的なリスク情報を積極的に収集すること」。どのニュースに自社の事業に関わるリスクが潜んでいるか分かりません。問題意識を持って国内外の政治・経済・環境問題等のニュースをチェックすれば、さまざまなリスクを発見できるでしょう。例えば、いま世界中が固唾を呑んで注視しているロシアによるウクライナへの侵攻が現実となったら、当社の経営や重要な取引先にどんな影響があるだろう、といったことです。
次は「危機を察知するセンスを磨くこと」。リスクセンスを磨くということは、漠然と何かが起こるのでは、と考えてビクビクすることではありません。1番目で述べた確かな情報ソースをもとに可能な限り多角的にエビデンスを集め、ある程度の確信をもって「何かが起こるのでは」「うちの会社にとって影響があるのでは」と察することです。
最後は「リスクコミュニケーションの一環として社長に進言できる立場にあること」。このためには、社内経験豊富な部長クラスのBCM事務局長がレビューに参加するのが望ましいでしょう。潜在的なリスクを自社のBCPに追加する必要性があることを社長に訴えるわけです。たとえ「リスクごときが怖くて事業をやってられっか！」と社長に一蹴されても、将来の経営への影響を見据え、筋道を立てて説明できる沈着冷静な性格の人を、と言えば理想的過ぎるでしょうか。
