「オペレーショナル・レジリエンス」とは、金融業界を中心に2018年ごろから使われはじめた用語で、災害や事故などで混乱した状況においても、顧客にとって不可欠な業務を提供できる能力だと定義されており（注1）、バーゼル銀行監督委員会（BCBS）が2021年3月に発表した「オペレーショナル・レジリエンスのための諸原則」（注2）をはじめとして、各国でオペレーショナル・レジリエンスに関するさまざまな法律や規制、ガイドなどが発表されている。
BCMの専門家や実務者による非営利団体であるBCI（注3）においてもオペレーショナル・レジリエンスに対する関心は高く、2022年4月にオペレーショナル・レジリエンスに関する有識者のコメントをもとに作成したホワイトペーパー（注4）を発表したほか、同年7月には会員を中心に行ったアンケート調査に基づく調査報告書「Operational Resilience Report 2022」（注5）をまとめるなど、金融業界に限定せず事業継続関係者に対して幅広く普及を図っている。
そのBCIによる調査報告書の2023年版が2023年5月に発表されたので、今回はそちらを紹介する。なお本報告書は下記URLから無償でダウンロードできる。ただしBCI会員でない場合は、BCIのWebサイトにユーザー登録（無料）を行う必要がある（注6）
https://www.thebci.org/resource/bci-operational-resilience-report-2023.html
（PDF 68ページ／約 5.3 MB）
本報告書をダウンロードして最初に筆者の目にとまったのは、通常はBCIの会長や役員によって書かれる前書き（Foreword）が、今回はBCIの調査研究部門のトップであるRachael Elliott 氏によって書かれていることである。しかも前書きの中で、オペレーショナル・レジリエンスに関するこれまでの経緯や、2022年版の報告書で分かったことなどの要点がまとめられているので、この前書きを読むだけで、オペレーショナル・レジリエンスに関する理解が深まる。
今回紹介させていただく2023年版は、昨年発表された2022年版と比べて、アンケート調査の設問や報告書の構成が大きく異なっている。これはオペレーショナル・レジリエンスという概念自体が比較的新しいということに加えて、BCIとしてオペレーショナル・レジリエンスに関する報告書を出すのが2回目なので、まだフォーマットが定まっていないという側面もあると思われる。しかし一部の項目に関しては2022年版と比べてみることができる。
図1は、回答者の組織がどのような法律や監督指針などに従うかを尋ねた結果である。アンケート調査の回答者のうち38.2%を欧州、19.9%を北米、13.3%をオーストラリアおよびニュージーランドなどが占めているので、これらの国々に関する法律や監督指針などに対する回答が多くなるのは当然の結果と言えるが、2022年版と比べて違いが目立つのは、EUのDigital Operational Resilience Act (DORA) が前回の4位（6.6%）から大幅にランクアップしていることである。実は欧州からのアンケート回答者の割合は10ポイント近く減少しているので、欧州からの回答者が減ったにもかかわらず、EUの法律の存在感が高まっているということになる。
また、2022版では選択肢になかったオーストラリアやシンガポール（注7）、香港によるディスカッションペーパーなどが加わっており、オペレーショナル・レジリエンスに関する規制やガイドなどの作成が各国で活発に進められている様子がうかがえる。
図2は社内のさまざまな会議でオペレーショナル・レジリエンスが議題となる頻度を尋ねた結果である。グラフは上から「ITリスク委員会」、「リスク委員会」、「執行委員会」、「取締役会」となっており、どのような会議体で議論されるかどうかはともかく、おおむね回答者の7～8割程度の組織で少なくとも年に1回以上は議題になっているようである。
他の設問に対する回答結果を見ると、オペレーショナル・レジリエンスに関して誰（どの役職）が責任を持つべきかについてはさまざまな考え方があるようなので、オペレーショナル・レジリエンスに関する議題を扱う会議が図2のように多様になるのも当然であろう。
なお、図2を2022年版のデータと比べると、選択肢が若干変わっているので単純比較できないものの、2023年版の方が全体的に頻度が減っているようである。しかしながら本報告書ではこの点について特に言及されておらず、オペレーショナル・レジリエンスに関する議論が定期的に行われるようになりつつある現状を、好意的に捉えられているような印象を受ける。
本報告書には他にもさまざまな観点からの設問に対する回答結果や、回答者のコメントなどが多数掲載されている。オペレーショナル・レジリエンスはまだまだ新しい概念であり、事業継続のように用語の定義や方法論、知識体系などの標準化が進んでいないので、組織や人によって理解や解釈に幅がある。また、2022年版が発表されたときの記事でも述べたが、オペレーショナル・レジリエンスに関する理解が不十分な方々や、英語のスペルが似ている「組織レジリエンス」（organizational resilience）と混同している方々もまだ多いのが現状のようである。
そのような状況をふまえてか、オペレーショナル・レジリエンスをどのようなものだと捉えているかを問うような趣旨の設問もいくつか含まれているので、世界各国の事業継続関係者がオペレーショナル・レジリエンスをどのようなものだと認識しているのかを知る手がかりにもなる。そういった観点も含めて、読者の皆様にご一読をお勧めしたいと思う。
恐らくBCIは来年以降も継続的にこのような調査を続けると思われるので、これを継続的にウォッチしていくことによって、オペレーショナル・レジリエンスが今後どのように認識されていき、組織がどのように取り組むようになるのか、その変化を追っていける可能性が期待できる。筆者個人としても継続的にこの分野について情報収集を続けていきたいと思う。
注1）バーゼル銀行監督委員会（BCBS）の「オペレーショナル・レジリエンスのための諸原則」において、「the ability of a bank to deliver critical operations through disruption」と定義されている。
注2）原題「Principles for Operational Resilience」
https://www.bis.org/bcbs/publ/d516.pdf
注3）BCIとはThe Business Continuity Institute の略で、BCMの普及啓発を推進している国際的な非営利団体。1994年に設立され、英国を本拠地として、世界100カ国以上に9000名以上の会員を擁する。https://www.thebci.org/
注4）「Operational Resilience vs Organizational Resilience - BCI White Paper Q1 2022」
https://www.thebci.org/news/operational-resilience-vs-organizational-resilience-bci-white-paper-q1-2022.html
注5）2022 年版は本連載で次のとおり紹介させていただいた。
第185回：徐々に普及しつつある「オペレーショナル・レジリエンス」
BCI / Operational Resilience Report 2022
https://www.risktaisaku.com/articles/-/70167 （2022/07/06 掲載）
注6）このユーザー登録はBCIからメールで各種情報の配信を受けられるようにするためのもので、BCIの会員になるわけではないので、会費などの費用は発生しない。リンク先のページの下の方にある「Register for Free」という部分をクリックして表示される登録画面に、氏名やメールアドレスなど連絡先の情報を登録すると、BCIのWebサイトにログインできるようになり、本報告書を含む各種資料をダウンロードできるようになる。
注7）シンガポールに関しては2022年版でもBCMに関するガイドラインが選択肢に含まれていたが、2023年版ではこれに加えて「MAS Paper on operational risk management and the management of outsourcing and third parties」が入っている。
