近年、地震や台風などの自然災害に加え、サイバー攻撃によるシステム障害やサプライチェーンの寸断など、企業の事業継続を脅かすリスクは多様化しています。
こうしたリスクに備えるため、多くの企業でBCPが策定されています。しかし、「BCPは策定しているものの、その後ほとんど見直していない」という企業も少なくありません。
組織や事業内容、取引先、システム環境などが変化すれば、策定当時のBCPが現在の事業実態に合わなくなっている可能性があります。また、文書が整備されていても、実際の緊急時に誰が何をするのかが分からなければ、BCPは十分に機能しません。
そこで今回は、現在のBCPが実効性のある状態になっているか、見直しが必要な状態になっていないかを確認するための「BCP見直しチェックリスト30問」をご紹介します。
ぜひ自社のBCPの現状確認にご活用ください。
A．体制・責任の明確化
① 非常時の意思決定者が明確に定められている。
② BCPの統括責任者が不在の場合に備え、代行者の順位が明文化されている。
③ 大規模災害・感染症・サイバー攻撃など、主要な緊急事態ごとの初動体制が定められている。
④ 緊急時に招集すべき対策本部のメンバーと各自の役割が明確になっており、メンバー全員が自身の役割を認識している。
⑤ BCPの発動基準と解除基準が、経営層と管理職の間で共有されている。
B．重要業務・復旧目標の整理
⑥ 業務が停止した時に優先して守るべき重要業務が明確になっている。
⑦ 重要業務ごとに、停止を許容できる時間が整理されている。
⑧ 重要業務ごとに、復旧目標時間（RTO）が定められている。
⑨ 重要業務を支える人員・設備・システム・取引先が洗い出されている。
⑩ 現在の事業内容や組織変更を踏まえて、重要業務の定義が直近1年以内に見直されている。
C．人員・連絡・勤務継続の備え
⑪ 社員・役員・主要委託先との緊急連絡網が最新の状態に保たれている。
⑫ 安否確認の方法と、確認結果を集約する手順が定められている。
⑬ 重要業務を支える主要担当者が出社できない場合の代替要員体制が整備されている。
⑭ 在宅勤務・時差出勤など、非常時の代替勤務方法が整理されている。
⑮ 各拠点責任者にも、BCP上の自分の役割が共有されている。
D．拠点・設備・物流・委託先の備え
⑯ 本社・工場・店舗・営業所など、主要拠点ごとの停止リスクが整理されている。
⑰ 拠点が使用できなくなった場合の代替拠点、代替作業場所、または暫定運用方法が決まっている。
⑱ 停電・断水・通信障害・交通遮断などのインフラ停止時の対策が定められている。
⑲ 重要な仕入先・委託先・物流会社が停止した場合の代替策が検討されている。
⑳ 自社の事業継続に大きく影響する外部委託先について、優先順位を付けて把握している。
E．システム管理の備え
㉑ 基幹システムや重要クラウドサービスが停止した場合の影響範囲が把握されている。
㉒ 重要データのバックアップ方針、取得頻度、復元方法が確認されている。
㉓ システム障害時に、最低限の業務を継続するための手作業や代替手順が整備されている。
㉔ 社外から安全に業務を行うためのアクセス手段や認証方法が整備されている。
㉕ サイバー攻撃や情報漏えいを想定した初動対応手順が、BCPまたはマニュアルに含まれている。
F．訓練・見直し
㉖ BCP文書が、少なくとも年1回以上見直されている。
㉗ 直近1年以内に、訓練・演習・机上シミュレーションのいずれかを実施している。
㉘ 訓練や実際の障害・災害対応で洗い出された課題を、BCPの改訂に反映している。
㉙ BCPは文書として存在するだけでなく、現場管理者が必要なときに参照できる状態になっている。
㉚ 経営層が、自社のBCP上の主要課題と優先改善事項を把握している。
採点方法
各設問について、以下の3段階で採点してください。
はい 2点／一部できている 1点／いいえ 0点
満点は60点です。
40点以上：概ね整備されている
基本的なBCPの体制・手順は整備されていると考えられます。
ただし、40点以上であれば「見直しは不要」ということではありません。特に、「一部できている」が多い項目については、具体的な改善内容を整理し、実効性を高めていくことが重要です。
20～39点：見直しを推奨
BCPは策定されていても、実際の運用面で不足している部分がある可能性があります。
特に、緊急時の役割分担、代替要員、システム障害への対応、取引先・委託先への依存、訓練・演習などの項目について、優先的に確認することをお勧めします。
0～19点：早急な見直しを推奨
BCPが十分に機能する状態になっていない可能性があります。
まずは、緊急時の意思決定体制や重要業務の整理など、基本的な事項から優先順位を付けて見直すことが重要です。
点数だけでなく「弱い分野」を確認することが重要
BCPの評価では、合計点だけを見るのではなく、6分野ごとの点数や「いいえ」「一部できている」が多い項目を確認することも重要です。
例えば、全体として40点を超えていても、
• A「体制・責任」が低い
• D「外部依存・物流」が低い
• E「システム管理」が低い
• F「訓練・見直し」が低い
といった場合には、それぞれの分野に重点的な改善が必要です。
特に最近では、自然災害だけでなく、サイバー攻撃やシステム障害、取引先・委託先の停止など、自社だけでは完結しないリスクへの備えも重要になっています。
