■ITのためのノウハウが製造業に？
BCPのルーツは1970年代の情報システムのデータ復旧にさかのぼります。米国などは契約とか説明責任にうるさいお国柄ですから、うっかりシステムがダウンしてデータを消失し、顧客や取引先に迷惑がかかると、すぐにクレームや訴訟問題に突入してしまう。こんな背景があったのでしょう。

その後、911米国同時多発テロやハリケーンカトリーナ災害などを教訓に、当局が事業を保全するためのより堅牢な仕組みを企業に求めるようになったことは言うまでもありません。もはやデータを守るだけではだめだ。不測の事態に備えてITに依存する重要業務全般を守り、維持できる仕組みを整えなくてはならない、という方向に変わっていきます。

このようなBCPが日本に入ってきたのは2000年代初めのことです。当時日本銀行や経産省が示したガイドラインは、欧米と同じくＩＴのコンティンジェンシープランの策定が主たる目的でしたが、内閣府や中小企業庁発行のガイドラインを経て、次第に防災対策の延長上にあるBCPのイメージが定着するようになりました。

中小企業庁の指針などは、復旧資金を確保するための財務診断などを勧めている点でユニークな内容でしたが、中でも「目標復旧時間」の文字があったのはちょっと意外でした。なにしろそれまで目標復旧時間といえば、データの復旧指標以外の何物でもなかったからです。日本ではＩＴ以外の業務にもこれを適用して復旧期限を厳格化するのだろうか。私は意外に思いつつ認識を新たにしたものです。

■目標復旧時間を「一般の業種・業務」に適用してはいけない
さて、その「目標復旧時間」ですが、実はこれがなかなかの曲者です。目標復旧時間は、従来の防災計画とBCPを峻別する最も特徴的な要素ですが、何しろもともとＩＴ業務の復旧のために考案された指標だけに、一般の業種・業務（例えば製造業など）に適用するには、２つの大きな問題があるのです。

1つは目標復旧時間の設定根拠があいまいなこと。ITという限定的な資源なら、注文処理や顧客管理系のシステムが止まったときの売上やユーザへの時間的影響（未処理データの累積や顧客離れの増加など）は推測するのが容易でしょう。がしかし、製造業などはあまりに複雑な要素や条件が絡み合っていて、「この期限までに復旧させないと絶対困る！」という決定的なタイムリミットを導くことなどできません。

仮に誰もが納得する合理的な目標復旧時間が決まり、BCPに「当社事業の目標復旧時間を〇日とする」と記載したとしても、そこで一件落着とはならない。これが２つ目の問題です。BCPはさらなる要求を突きつけ、「目標復旧時間を設定したからには、そのタイムフレーム内で事業を再開できるように段取りを組み、予備の経営資源を用意しておきなさい」とくるからです。

例えばある事業の目標復旧時間が５日なら、災害で事業が止まっても、５日以内に再開できるように、あらかじめ必要な人、モノ、情報その他をスタンバイさせておきなさい、ということです。もし予算や技術上の制約などの理由でこれを実現できなければ、５日という目標復旧時間は単なる努力目標、もしくはBCPの体裁を整えるためのお飾りに過ぎなくなってしまいます。

（※次回は8月25日ごろ掲載予定です）

（了）