■マルチハザードは事業継続管理の問題
本連載では、初期の前提として複数のハザードが目の前にあり、それをリスクアセスメントシートに落とし込んで一つ一つ評価し、最終的に肉付けしてBCPに転記するというスタイルで解説してきました。しかし実は、これだけでは目的の半分しか解説していないことも確かです。
そもそも"複数のハザード"はどこからどういう経緯でリスクアセスメントシートに掲げることになるのか、その手順を示していない。BCP文書そのものには、新たなリスクやハザードのインプットやアウトプットを行う、いわばインターフェースに相当するものがありません。
世の中、大地震が来るぞ、パンデミックで大変なことになっているぞと大騒ぎすれば、会社としても考えないわけにはいかんな、と腰を上げざるを得ませんが、そうした世間の動きがない限り、やはり依然として既存のBCP、既存のリスク対応のまま時間は過ぎていくだけです。
では話をもとに戻して、どうすれば新たなリスクやハザードを事前に察知して、プロアクティブにBCPに組み込むためのアクションを起こせるのでしょうか？ 実は、マルチハザードをどう扱うかというテーマは、BCPというプラン上の問題ではなく、BCM（事業継続管理）という管理活動上のテーマなのです。
そこで、複数のリスクとBCM活動の各要素との関係、言い換えると、新たなリスクやハザードはどのようなきっかけでインプットされ、どのような形でアウトプットすることになるのかについて、これから考えてみたいと思います。ご多聞にもれず、これも中小企業をイメージしたものなので、相応に簡便な内容となっていますのでご了承ください。
■BCMの３つのベーシックについての確認
まず、BCMの基本的な活動について確認しておきましょう。用語の使い方についてはBCMガイドラインや中小企業庁のBCP策定運用指針等と多少の違いがありますが、内容はほぼ同じものと見て差し支えありません。便宜的に1年をワンサイクルとみなし、BCMを「エクササイズ」「メンテナンス」「レビュー」の3つの要素に分けて解説します。
（1）メンテナンス
記載情報が古くなっていないか等の「見直し」のことですが、後述の「レビュー」もまた「見直し」と呼ばれることがあるため、両者を混同しないようにここでは「メンテナンス」と称しています。人事異動のある時期を中心に年2回程度行います。
（2）エクササイズ
訓練や演習のことです。欧米では実機を使った「テスト」などもエクササイズに含めている場合があります。年2回（前期と後期）、演習などは四半期ごとに行いたいものです。
（3）レビュー
前２者を含めた経営者によるBCM活動の評価やチェックを指します。社長自身のリーダーシップなども評価対象とするのが望ましく、その意味では第三者を介した監査を行うのも一つの手です。ISO等のマネジメントレビューの時期に合わせて行うとよいでしょう
さて、１番の「メンテナンス」についてですが、この活動は新たなリスクを追加するきっかけもしくは情報源となり得るのでしょうか。
■メンテナンスからリスクは発見できるか？
「メンテナンス」の具体的な内容については次の３つのポイントが参考になるでしょう。
一つは「BCPの記載情報を最新の状態（人事異動や事業所の移転その他）に維持する」、次は「リスク低減対策などが絵に描いた餅で終わっていないか導入・実施状況を点検する」、最後は「訓練や演習を通じて改善意見や気付きが提示された場合のBCPへの反映」です。
第１は記載情報の更新、第２は点検作業です。どちらも定期的あるいはスポット業務の一環に過ぎず、一見するとこれらの活動には新たなリスクやハザードを発見し、検討するきっかけは見当たらないように思われます。しかし注意してみると、第１の情報更新では「人事異動や事業所の移転その他」が対象となっていますから、ここに着目してみましょう。
例えば地震対応のBCPを持っている関東の会社が、ある時、熊本に新たな事業所を開設した。近年西日本～九州にかけては豪雨災害が多発していますから、「熊本事業所が豪雨に襲われる危険性はないか」と勘を働かせ、ハザードマップ等で確認してみる。その結果、事業所に重大な影響が及び得るならばBCPに豪雨災害のリスクを追加する。
このように、変化（この場合は人事異動や事業所の拡張など）を捉えると、新たなリスクにつながる要因が発見できる場合があるのです。
なお、第３は「訓練や演習を通じて改善意見や気付きが提示された場合」とありますが、ここにも新たなリスクの発見につながるきっかけがありそうです。これについては次回のテーマとしたいと思います。
