BIAの結果を可視化しBCPに反映させているかどうかで非常時の意思決定に差が出る（イメージ：写真AC）

■ハイレベルBIAと業務プロセスBIA

ビジネスインパクト分析には、何を対象とするかで2つのアプローチがある。一つは複数の事業部門（X事業、Y事業…）を持つ会社が、非常時にどの事業部門を優先的に守るのかを選定するために行う。これを「ハイレベルBIA」と呼ぶ。

もう一つは、一つの中核事業を構成する複数の業務（仕入業務、営業業務、製造工程…）が止まった時にどの業務を優先的に再開（復旧）すべきかを特定するために行う。これを「業務プロセスBIA」と呼ぶ。

優先順位は経営者の頭の中に入っているとはいえ（イメージ：写真AC）

大企業と異なり、多くの中小企業では上記のプライオリティはすでに経営者や現場の部課長の頭の中に入っているから、わざわざBIAなどというややこしいことをやろうとは考えていない。しかし、BIAの結果を可視化し、BCPに反映させているかどうかで、非常時の判断や意思決定に差が出てくることはいうまでもない。以下では、最も重要な「業務プロセスBIA」（以下BIAと略す）を中心に解説する。

ちなみに中小零細企業では、BCPを一人の担当者が自己完結的に作成している姿をよく見かける。残念だが、そのBCPは徒労に終わるしかない。同じように、ビジネスインパクト分析を一人でコツコツ行っても絵にかいた餅にしかならない。BIAの成否は、組織のトップがこの分析の目的を理解し、実施に賛同し、サポートしてくれるかどうかにかかっている。効果的なBIAの取り組みには、主要な内外の関係者すべてが関わる必要があるからだ。

 

■BIA調査の進め方

（1）BIA調査の目的

ビジネスインパクト分析（BIA）のプロセスは、「調査」とその結果の「とりまとめ」で構成される。このために用いられるツールは「BIA調査票」と呼ばれる。

BIA調査票は、BCPで守るべき事業を構成するさまざまな業務について、事業停止の影響と迅速な復旧のための要件を洗い出すことを目的としたシートである。

どの部門にどのような業務があり、そこではどのようなリソース（経営資源）が使われているか、業務が停止するとどこにどのような影響が及ぶか、遅くともいつまでに停止した業務を復旧すれば深刻な影響を免れるのか、といったことを可視化する。BIAの手順は以下の通り。

（2）BIA調査票の作成

BIA調査票には次の質問項目を記載する。一人で複数の業務を担当している人にはその件数に応じてBIA調査票を配布する。

・部門名（部署名）
・業務名
・業務担当者名
・業務に求められる経験・スキル
・業務に使われている主要なリソース名（PC、〇〇装置など）
・業務が停止するとどこに（だれに）どのような影響が及ぶか？
・遅くともいつまでに停止した業務を復旧すれば最悪の影響を免れるか？

（3）BIA調査の実施

BIA調査の方法はさまざま（イメージ：写真AC）

BIA調査は、経営陣が決定した「中核事業」（最優先で守るべき事業）を構成する業務群を対象に実施する。調査方法はさまざまで、各部門の責任者にアンケートとして記入してもらう、インタビューを行う、大企業では独自にBIA調査用の簡易アプリケーションを開発してウェブベースで記入してもらっているかもしれない。

中小企業のBCPが専門の筆者の場合は、関係者に集まってもらい、レクチャーしながら書いてもらうのが最も誤解の少ない的確な方法と考えている。レクチャーでBIAの意図や書き方をしっかり理解してもらわないと、トンチンカンな回答データが集まってくる可能性があるからだ。

また、調査の精度を上げるには、顧客の代表や主要な外注先、サプライチェーン構成企業の担当者など、外部の人にも参加してもらうのが理想的である。なにぶん、取引先あってのビジネス、BCPだからである。

（4）BIAレポートの作成

関係者からBIA調査票を回収したら、次はこれをBIAレポートにまとめる作業となる。BIA調査票のデータの中でとくに重要なのは「業務が停止するとどこに（だれに）どのような影響が及ぶか？」「遅くともいつまでに停止した業務を復旧すれば最悪の影響を免れるか？」の部分である。

この二つのデータから分かることは、業務中断のタイムリミット（これ以上の業務停止は許されない！）で、ここから「目標復旧時間（RTO：Recovery Time Objectives）」を導くことになる。

BIA調査票を回収したら、BIAレポートにまとめる（イメージ：写真AC）

RTOを調査票記入者に書いてもらう場合、妥当な線で書ける人とそうでない人が出てくる可能性があるので注意を要する。場合によってはデータをとりまとめるBIA調査スタッフが付き添って書いてもらう必要があるかもしれない。なお、目標復旧時間（RTO）のほかに目標復旧レベル（RLO：Recovery Level Objectives）というのがあるが、これについては別の機会に解説しよう。

 

■BIAレポートのレビュー

BIAレポートは、１行単位で部門名／業務名／業務リソース／目標復旧時間（RTO）などを並べた一覧表である。この表はあらかじめ、RTOを基準に優先順位をつけておくとわかりやすい。

例えばRTO=1日の業務は、RTO=3日の業務よりも早く復旧（=業務を再開）すべきとの意味となる。上から順に各業務のRTOが小さい順に並んでいれば、どの業務の復旧が先で、どれが後回しでよいかが判別できるのである。

BIAレポートの検証を終えたら、最終的に経営陣に報告（イメージ：写真AC）

このようにして完成したBIAレポートの内容は、再びBIA調査票を記入した担当者に確認してもらう必要がある。業務Xが業務Yよりも復旧が先の場合、業務Yの担当者から「えっ？業務Xの復旧が先というのはおかしい…」といった異議が出ることもあるからだ。この場合、再度業務XとYの重要度や依存関係を見直し、RTOを再調整してもらう必要があるだろう。

関係者個別のBIAレポートの検証を終えたら、最終的に経営陣に報告しよう。「インシデントが起こって事業が停止した場合、どの業務を先に立ち上げるかについては、このレポートの順番を目安としてご判断いただきたいと思います」と。

経営陣のコンセンサスが得られたBIAレポートの一覧表は、そのままBCP文書の「事業継続対応」のセクションにコピー＆ペーストして完成となる。