BCPとは？ わかりやすく10分で解説

自然災害、感染症、システム障害、サイバー攻撃、取引先の停止などは、業務を突然中断させます。BCP（Business Continuity Plan：事業継続計画）は、重要業務を中断させない、または中断しても許容範囲内で再開するための対応計画です。策定時は、重要業務、復旧目標、代替手段、連絡体制、訓練、見直しまでを一体で設計します。

BCPとは

BCPは、災害や事故が起きた後に慌てて対応するための文書ではありません。平時に重要業務と必要資源を整理し、緊急時の判断、優先順位、復旧手順を関係者で合意しておくための計画です。

BCPの定義

BCPは、自然災害、感染症、停電、火災、サプライチェーン寸断、システム障害、ランサムウェア感染などにより、事業活動が制限される状況を想定します。そのうえで、重要業務をどの水準で継続し、どの順序で復旧させるかを定めます。

なお、BCPとBCMは分けて考えます。BCPは緊急時の対応計画であり、BCMはBCPの策定、教育・訓練、資源確保、点検、改善を含む平時からのマネジメント活動です。ISO 22301のようなBCMS規格は、この継続的な管理の仕組みを整えるために使われます。

BCPが必要になる理由

緊急時は、被害状況、従業員の安否、顧客対応、復旧作業、社外説明が同時に発生します。事前に優先順位が決まっていないと、現場判断が分散し、重要業務の再開が遅れます。

BCPを整備しておくと、最低限継続する業務、停止を許容する業務、復旧までの目標時間、代替手段、意思決定者を確認できます。顧客、取引先、従業員、金融機関、行政への説明にも使えます。

BCPで決める主な項目

• 重要業務：停止時の影響が大きい業務を特定する
• 復旧目標：いつまでに、どの水準で再開するかを決める
• 必要資源：人員、設備、IT、データ、取引先、外部委託先を整理する
• 代替手段：代替拠点、在宅勤務、手作業、別システム、代替仕入先を準備する
• 連絡体制：社内外の連絡先、代替者、判断者を明確にする
• 訓練と見直し：机上演習や復旧テストで計画を更新する

防災計画との違い

防災計画はBCPの前提になります。人命と安全が確保できなければ、事業継続の判断も復旧作業も始められません。

BCP策定の進め方

BCPは、重要業務の特定、事業影響度分析、リスク評価、復旧目標、対策設計、訓練、改善の順で進めます。最初から全社・全リスクを対象にすると文書が肥大化します。まずは停止時の影響が大きい業務から着手します。

1. 対象範囲を決める

最初に、対象とする事業、拠点、部門、システム、取引先を定義します。対象が曖昧なまま作り始めると、優先順位を判断できません。

• 売上や顧客対応に直結する業務
• 法令、契約、監査に関わる業務
• 停止すると復旧に時間がかかる業務
• 外部委託先、クラウド、物流、回線への依存が高い業務

2. 重要業務を特定する

重要業務を決める際は、「全部を守る」という前提を置きません。緊急時には、人員、設備、システム、資金、外部サービスが制限されます。限られた資源で何を先に再開するかを決めるために、業務を絞り込みます。

例えば、受注、出荷、決済、顧客サポート、基幹システム運用、法定報告、医療・インフラ・公共サービスの提供などは、停止時の影響が大きくなりやすい領域です。

3. 事業影響度分析（BIA）を行う

BIA（Business Impact Analysis）は、業務が止まった場合の影響と許容限界を確認する作業です。NIST SP 800-34でも、BIAは緊急時対応計画の優先順位と要件を決める中核的な手順として扱われています。

• 売上、利益、資金繰りへの影響
• 顧客、取引先、委託先への影響
• 法令、契約、監査、報告義務への影響
• 情報漏えい、データ改ざん、サービス停止の影響
• 復旧に必要な人員、設備、システム、外部ベンダー、データ

BIAの結果を使い、重要業務の復旧順序と復旧水準を決めます。ここで業務側の要求とIT側の復旧能力に差があれば、投資、代替運用、許容水準の見直しを検討します。

4. 復旧目標を設定する

BCPでは、復旧目標を数値で持つと判断しやすくなります。代表的な指標は次のとおりです。

復旧目標は単なる希望値ではありません。バックアップ、冗長化、要員、外部契約、代替拠点で達成できるかを確認し、経営者が承認できる水準にします。

5. リスク評価と対策を決める

BCPにおけるリスクマネジメントでは、発生確率だけでなく、重要業務への影響、復旧困難度、外部依存、社会的信用への影響を見ます。一般的な対応方針は、次の4つです。

BCPにおける具体的な対策

BCPの対策は、ITだけで完結しません。人員、拠点、設備、取引先、データ、通信、顧客対応を組み合わせて設計します。

人員と権限の対策

• 指揮責任者と代替者を決める
• 部門ごとの初動担当、復旧担当、社外連絡担当を決める
• 意思決定者が不在の場合の権限委譲を定める
• 少人数でも継続する業務と停止する業務を分ける
• 委託先や派遣社員を含めた連絡体制を確認する

拠点と働き方の対策

拠点が使えない場合に備え、代替拠点、在宅勤務、時差出勤、別拠点からの応援、紙運用を検討します。テレワークをBCPに組み込む場合は、端末、通信、認証、データ持ち出し、印刷、顧客対応の制約まで確認します。

リモートアクセスを使う場合は、VPN、ゼロトラストネットワークアクセス、端末管理、多要素認証、ログ監視を併用します。緊急時だけ利用者が急増する設計では、回線容量や認証基盤がボトルネックになる場合があります。

ITとデータの対策

重要業務がITに依存している場合、DRの設計がBCPの実効性を左右します。システムごとに、復旧順序、バックアップ、代替環境、アクセス権限、外部ベンダー対応を確認します。

• データのバックアップを定期的に取得し、復元テストを実施する
• ランサムウェアに備え、オフラインまたは変更不能なバックアップを検討する
• 重要システムの依存関係を整理し、復旧順序を決める
• クラウド、SaaS、オンプレミスの責任範囲を確認する
• 復旧時に必要な管理者権限、ライセンス、手順書、構成情報を保管する

取引先・委託先の対策

自社の計画だけでは、供給網や外部サービスの停止に対応できません。主要な仕入先、物流会社、クラウド事業者、保守ベンダー、コールセンター、決済事業者について、停止時の連絡先、代替手段、SLA、復旧見込み、責任範囲を確認します。

SaaSやクラウドを利用する場合は、クラウドサービスの責任共有モデルを前提に、自社が担当する設定、アカウント管理、データ保全、監査ログ取得を明確にします。

サイバー攻撃を想定したBCP

ランサムウェア、情報漏えい、DDoS攻撃、クラウドアカウント侵害は、事業継続に直結します。自然災害と異なり、攻撃者が復旧作業を妨害したり、バックアップを暗号化したりする場合があります。

• ランサムウェアを想定し、感染端末の隔離、バックアップ保護、復旧優先順位を決める
• 情報漏えい時の調査、通知、顧客説明、法務対応の手順を準備する
• DDoS攻撃時の通信事業者、CDN、WAF、DNSの連絡手順を確認する
• SOCやCSIRTと、初動、封じ込め、復旧、再発防止の役割を分ける

BCPとDRPの関係

BCPとDRP（Disaster Recovery Plan：災害復旧計画）は関連しますが、対象が異なります。BCPは事業全体の継続を扱い、DRPは主にITシステムやデータの復旧を扱います。

BCPとDRPの違い

業務の多くがITに依存するため、DRPはBCPの主要な構成要素になります。BCPで決めた業務優先順位に合わせ、DRP側で復旧対象システム、RTO、RPO、復旧手順を整合させます。

BCPとDRPを連携させる方法

• 重要業務と利用システムを対応付ける
• 業務側のRTO/RPOとIT側の復旧能力を比較する
• 復旧目標を満たせない場合は、冗長化、バックアップ強化、手作業代替、許容水準の見直しを検討する
• 復旧訓練では、業務部門とIT部門が同じシナリオで確認する

「業務は当日再開したいが、システム復旧には3日かかる」という差があれば、BCPは機能しません。この差を平時に可視化し、投資または代替運用で埋めます。

BCPの訓練と改善

BCPは、策定後に訓練しなければ実効性を評価できません。文書上の手順が正しくても、連絡先の不備、権限不足、復旧手順の未検証、外部委託先との認識差が残る場合があります。

訓練の種類

見直しのタイミング

BCPは、年1回の定期見直しに加え、前提が変わった時点で更新します。組織変更、拠点移転、クラウド移行、主要取引先の変更、新システム導入、委託先変更、重大インシデント発生後は、計画への反映を確認します。

• 重要業務の定義は最新か
• 連絡先、代替者、意思決定者は更新されているか
• 復旧目標と実際の復旧能力は整合しているか
• バックアップ復元と代替運用はテスト済みか
• 外部委託先との契約やSLAは計画と一致しているか

よくある失敗

• 文書が長く、緊急時に必要な手順を探せない
• 重要業務を絞れず、すべてを同じ優先度にしている
• 連絡先や代替者が古く、初動が遅れる
• バックアップはあるが、復元テストを実施していない
• クラウドや委託先の停止を想定していない
• サイバー攻撃時の隔離、証拠保全、顧客説明の手順がない

BCPの今後

BCPは、自然災害への備えだけでは不十分です。クラウド利用、リモートワーク、サプライチェーンの多層化、ランサムウェア、地政学リスクにより、想定すべき中断要因が増えています。

デジタル化時代のBCP

業務がクラウド、SaaS、API、外部委託に依存するほど、停止時の影響は社内だけでは完結しません。クラウドを使うことで拠点被災への耐性を高められる一方、アカウント侵害、設定ミス、サービス停止、契約範囲外の復旧責任が課題になります。

BCPでは、利用中のサービス、責任分界、データの取得方法、ログの保管、サポート窓口、代替手段を確認します。

リモートワーク時代のBCP

在宅勤務を前提にする場合、従業員ごとの通信、電源、端末、作業環境、認証手段に差が出ます。業務継続に必要な端末配布、接続方式、本人確認、データ保護、問い合わせ対応を整備します。

在宅で完結できない業務がある場合は、代替拠点、交代要員、紙運用、外部委託を含めます。テレワークを導入しているだけではBCPになりません。緊急時に対象業務をどの水準で続けられるかを確認します。

ISO 22301とBCMS

ISO 22301は、事業継続マネジメントシステム（BCMS）の国際規格です。BCPを単発の計画書として扱うのではなく、計画、実施、監視、レビュー、維持、継続的改善の仕組みとして整備するための枠組みを提供します。

認証取得を目指す場合でも、規格対応だけを目的にすると形骸化します。まずは自社の重要業務、復旧目標、必要資源、訓練、改善記録を整備し、実際の事業継続能力を高めることを優先します。

まとめ

BCPは、緊急時に重要業務を継続または早期再開するための計画です。策定時は、重要業務、BIA、RTO、RPO、MTPD、代替手段、DRP、連絡体制、訓練、見直しを一体で設計します。IT復旧だけに限定せず、人員、拠点、取引先、クラウド、サイバー攻撃、顧客対応まで含めて整備します。

BCPの実効性は、文書の厚さではなく、緊急時に誰が何を判断し、どの順序で業務を戻せるかで決まります。まず重要業務から対象を絞り、訓練と見直しで継続的に改善します。

参考資料

• 内閣府「事業継続ガイドライン 第三版 解説書」
• 中小企業庁「事業継続力強化計画」
• ISO「ISO 22301:2019 Security and resilience — Business continuity management systems — Requirements」
• NIST「SP 800-34 Rev. 1 Contingency Planning Guide for Federal Information Systems」

よくある質問