企業にとって、BCP（事業継続計画）やクライシスマネジメント、リスクマネジメントに関する文書の実行性の担保のみならず、組織としてのレジリエンスを高めていくために、事業継続マネジメントシステム（BCMS）に関する国際規格である「ISO22301」で要求される「8. 運用」と「8.5 演習及び試験の実施」は、必要不可欠であるということは言うまでもありません。
なお、同規格においては「演習」や「試験」と呼ばれていますが、日本では「訓練」と呼ばれることが多いことから、本稿では「訓練」と表記します。
BCPを策定しているにも関わらず 「そもそも文書の存在やルールを知らなかった」「文書やルールの存在は知っているが、実際に行動できるレベルまで内容を理解していない」「文書やルールが見直されておらず、実態に則した内容となっていない」といった課題に直面している組織は、BCM（事業継続マネジメント）が機能していない状態であると言えます。
その理由は、効果的な‟訓練“が実施されていないことにつきます。
BCPが策定されていても、定めたルールや手順を体現できてない状態では、文字通り‟計画（Plan）“のままです。では、BCPを体現できる状態にしていくためには、どのような訓練を実施する必要があるのでしょうか。本稿では、「対象」「想定するリスク」「実施方法」「頻度」の４つの観点から、体現するBCPを目指すための訓練実施のポイントを解説します。
対象とする組織
多くの企業で訓練を対策本部メンバーや幹部など、社内の一部のメンバーに限定して実施しているケースが散見されます。理想は全社員を対象とすることですが、現実は事務局がかじ取りをするリソースに限りがあるため、各部門が自律的に取り組めるように促していくことが重要です。
また、本社だけでなく、国内外の関連会社や業務委託先、サプライヤーなども参加対象とした訓練を実施することが望まれますが、そこまでできている日本企業はまだ多くはないのが現状です。
一般的にクライシス発生時においては、本社機能を有する拠点に様々な情報が集約されることが想定されます。的確な意思決定を行うためには、自社の各拠点・各部署から情報連携が適切なタイミングで滞りなく実施されることが求められます。
平時からレポートラインが確立されているだけでなく、運用され、実行性が担保されている状態が、円滑な危機対応を実現するために必要不可欠である点は言うまでもありません。加えて、訓練の参加者の選定においては、様々なレイヤーの社員を巻き込むこともポイントとなります。
クライシス発生時、組織としての意思決定を担うのは役員や部所長など意思決定権をもつ役職者ですが、地震の発生のみならず大規模なシステム障害や停電など、何らかの影響によってコミュニケーション手段が途絶された状態で、意思決定者の指示を待たず、現場のメンバーが意思決定や行動せざるを得ない状況は往々にして想定されます。危機対応のセオリーは「現場で判断できることは現場で判断する」こと。
だからこそ有事の混乱した中で円滑に対応するには、経営陣を含めた社内の意思決定の判断軸を、現場も共有していることが重要です。この状態を目指すことがポイントになります。
訓練シナリオで想定するリスクとは？
訓練というと、一般的に地震の発生を想定した訓練の実施をイメージすることが多いのではないでしょうか。
確かに地震は広範囲に、かつ長期的に影響を与えるクライシスであるため、想定災害とされることが多いです。しかしながら、昨今は、これまで訓練の想定としてきた地震や風水害等の自然災害に加え、サプライチェーン上の人権問題や、ランサムウェアによるサイバー攻撃、ロシアとウクライナの紛争などの国家間紛争など、企業をとりまくリスクは多岐にわたります。
想定内のクライシスだけでなく、想定外のクライシスも必ず起こります。
新型コロナウイルス感染症（COVID-19）を経験した今、世界中でパンデミックのリスクは想定されるようになりましたが、COVID-19が発生する以前に新興感染症の発生をリスクとして認識し、事業継続にあたえる影響を適切に予測し準備できていた組織はほぼ存在しないでしょう。
様々なリスクが顕在化しても、組織として対応できる状態を目指すためにも、エマージングリスクと呼ばれる「予期せぬ環境変化により顕在化する、従来は存在・想定されなかった破壊的な影響をもたらし得る新たなリスク」に対応できるように、あらゆるケースを想定した訓練を日常的に実施していくことが求められます。
訓練の実施方法
COVID-19を機に、企業におけるリモートワークの体制整備等が進み、オンライン会議ツールの活用によるコミュニケーション手段だけでなく、ペーパーレス化等、急激なデジタル化が進みました。有事対応においても平時同様、情報収集や集約だけでなく拠点間の連携に関してもオンラインで行われることを前提とすべきと考えます。
また、今まで紙面で運用していたツール類を単にデジタル化することで、オンラインを前提とした対応の整備ができたとは言えません。デジタル化に伴い、操作や共有の方法、宛先、タイミング、閲覧権限等、オンラインを前提とする際に特有の課題が抽出される可能性があります。
完全オンライン形式の訓練や、オンラインと対面のハイブリッド型など、実施方法もバリエーションをもって対応することが重要です。訓練を通して運用の検証を行い、課題の抽出・対応を実施することで、円滑な危機対応が可能となります。
実施頻度
多くの企業が、半期や年次で大々的に訓練を実施していますが、年１回大規模な訓練を実施するだけでなく、小規模な訓練を複数回実施することも有効です。無論、大規模な訓練も必要ですが、年に１度のお祭りのような状態になってしまい、訓練日以外は一切BCPに触れる機会のない状態になっていないでしょうか。
人間でいうなれば、年１回の健康診断の前後においては健康意識が高まるものの、時間が経つにつれ意識が薄まるということと同様です。大事なことは習慣化することです。
月次の部会や朝礼などの時間を活用し15分程度の時間で短時間の簡易訓練を高頻度で実施することも有効です。例えば、
「社外から不審なメールが送信され、クリックしてしまったところ、”データを盗んだ。データ返してほしければ１時間以内に500万円を下記に振り込め”というメッセージが画面に表示された。どのように対応すべきか？」
といった設問を、全社員を対象に朝会等の時間を活用し、部署ごとで実施してもらうことも有用です。
クライシス発生時においては「正確な情報をいかに早く、定められたルートに載せてエスカレーションするか」が、組織としての適切な意思決定を行う際に必要となります。そういった状況で円滑な対応を実現するためにも、文書に記載されていることを理解するだけでなく、社員一人ひとりが体現できる状態にしていくことが必要です。
さいごに
BCPを体現できる状態にしていくためには、どのような訓練を実施する必要があるのか「対象」「想定」「実施方法」「頻度」の４つの観点から、BCPを体現できる状態を目指すために必要な訓練実施のポイントを解説しました。
これらのポイントを参考にしていただきつつ、組織のレジリエンス（危機からの復旧力）を高めていくことが重要です。危機はいつ起こるか分からないのではなく、「いつか必ず起こる」という意識で訓練を習慣化し、有事の際に従業員一人ひとりが自律的に行動できる状態をいかに作れるかがポイントとなります。本稿が、多くの企業における訓練実施の一助となれば幸いです。
【執筆者】
KPMGコンサルティング株式会社
アソシエイトパートナー
土谷豪
（略歴）
KPMGコンサルティングのサステナビリティ・トランスフォーメーションユニットでレジリエンス・サステナブルサプライチェーン領域をリード。早稲田大学卒業後、金融系事業会社に入社。業務プロセス改革やリスク管理、システム企画部門を経て、2013年にKPMGビジネスアドバイザリー（現KPMGコンサルティング）に入社。主に製造業・IT業・流通業など幅広い業種向けにレジリエンス・リスク管理・サステナブルサプライチェーン関連のプロジェクトに従事する。
シニアコンサルタント
脇屋 新
（略歴）
KPMGコンサルティングのサステナビリティ・トランスフォーメーションユニット所属。
大学卒業後、自動車製造業系事業会社に入社。品質保証業務に携わった後、コンサルティング会社にて BCP策定／訓練、BCM構築などを経験した後、KPMGへ参画。製造業・製薬業界など幅広い業種向けにBCP／BCM体制構築、BCP・クライシスに係る訓練実施支援等のプロジェクトに従事。
