リスクマネジメント最前線より

事業継続に関する国際標準規格ISO22301発行から1年

昨年5月15日に、事業継続に関する要求仕様事項を整理した国際標準規格ISO22301が発行され、ちょうど今月で1年になる。そこで本稿では、ISO22301の浸透状況について解説する。

1．日本における認証制度の状況

 （1）国際標準規格ISO22301とは

初めに、国際標準規格ISO22301について簡単に説明する。ISO22301とは、国際標準化機構（ISO:International Organization for Standardization）が発行する規格で、事業継続マネジメントシステム（以下、BCMSという）について整理した要求事項規格であり、国際標準化機構においてBCMSを扱う初めてのISO規格である。規格には大きく要求事項規格とガイダンス規格があり、要求事項規格はいわゆる第三者認証制度の運用を視野に入れた規格である。

また、ISO22301は企業等のBCMSに共通する基礎的な骨組みを示す規格でもある。BCMSは、お客様への主要な製品・サービスの提供を止めないことを目的とする継続的な改善の仕組みの構築と、構築した仕組みに基づく一連の取り組み、及び実際にインシデントが発生した場合の対応計画であるBCPの整備などを扱うマネジメントシステムである。

（2）BCMSに関する第三者認証制度について
上述のとおりISO22301は要求事項規格である。そのためISO9001やISO14001（※1）などと同様に、認定機関によるISO規格に基づくBCMSの第三者認証制度が運用されている国も多い。日本も例外ではなく、JIPDEC（一般財団法人日本情報経済社会推進協会）が「BCMS適合性評価制度」という名称でISO22301を認証基準とする第三者認証制度を運用している。

一般にISO規格を用いた第三者認証制度においては、認定機関(BCMSにおいてはJIPDEC)が認証機関を認定し、認証機関の審査員が評価希望組織の取り組み状況を認定するという図式になっている。日本では、BCMSに関しては現在5つの認証機関が登録されている。

国際標準化機構からBCMSについての要求事項規格が出される以前にも「BCMSについての要求事項規格」がなかったわけではない。具体的には2007年に英国規格協会（BSI）からBS25999-2、2009年に米国ASISからANSI/ASISSPC.1が発行されている。

日本では、2008年からBS25999-2を認証基準としてJIPDECがBCMSの第三者認証制度を運用してきたが、昨年ISO22301が正式に発行されたことにより、第三者認証基準をISO22301に移行することとなった。2013年5月現在はBS25999-2からISO22301への過渡期にある。

なお、過去にBS25999-2で認証を取得した企業は、維持審査または再認証審査の際にISO22301とBS25999-2の差分について差分審査を受け、2014年5月までにISO22301に基づくBCMSに移行することが求められている。また、BS25999－2を認証基準に用いた新規の認証は2012年11月時点で終了しており、現在BCMSについて第三者認証の審査を新たに申請する場合はISO22301での審査となる。

日本のBCMSの認証取得企業数は、2012年6月時点では32社であったが、その後2013年4月末時点では40件と漸増している（※2）。

※1　ISO9001:品質マネジメントシステム－要求事項
　　　ISO14001:環境マネジメントシステム－要求事項及び利用の手引
※2　認証取得企業については2013年5月現在JIPDECホームページの「BCMS認証取得組織検索」http://www.isms.jipdec.or.jp/bcms/lst/ind/で公開されている。

2．ISO22301の魅力

（1）企業におけるISO22301の活用状況
品質マネジメントシステム（ISO9001）や環境マネジメントシステム（ISO14001）などの過去の認証制度での状況と比較すると、BCMS（ISO22301）の認証取得への動きは緩やかであるといえる。

では、企業はISO22301に関心がないのかというと必ずしもそうではない。あえて認証取得まではしないが、一方でBCMSの構築・運用の場面において参考資料としてISO22301を活用するという企業が少なからずある。従来は、主要な枠組みを理解し経営陣を巻き込んでBCMに取り組む先進企業であっても、規格を意識している事務局は稀であった。しかし、最近の弊社への問い合わせでは、現にISO22301の内容を踏まえたご相談が増加している。ISO22301の典型的な活用例としては、次のようなものがある。


上記を踏まえると、ISO22301がBCMSを実際に構築・運用するための手引きとして活用されていることが窺える。そこで、BCMSの参考資料としてのISO22301の魅力について考えてみたい。

（2）典型的なPDCAサイクルで記述されているという魅力
企業内で様々な改善活動を進めていく上で典型的な課題となるものの一つに、継続的な取り組みの維持に関する課題がある。例えば、初めて改善計画を立てるまでは一時の盛り上がりで取り組みが進むものの、その後、振り返りを行い次の改善につなげることがうまくできずに改善活動が頓挫してしまう、といった課題である。事業継続の場合であれば、BCP策定までは実施したものの、その後の活動の維持や対策の導入、BCPの見直し・引継ぎが途絶えてしまうといった課題である。

一方、日本の多くの企業では、PDCAサイクルに基づく継続的な取り組みが定着し、長年運用されてきた実績がある。特にISO9001やISO14001等のマネジメントシステム規格に基づく改善活動が軌道に乗っているケースは多く、事業継続についても、これらの改善の仕組みを上手く活用することができれば、継続的な改善に向けて弾みをつけることができる。

ISO22301は、ISO9001やISO14001と同様にマネジメントシステムの表現や考え方を用いたPDCAに則って、事業継続についての継続的な改善の構造を示している。そのため、ISO22301に基づいて改善の取り組みを設計すれば、自ずとISO9001やISO14001等と同様の運用が視野に入ってくる。ISO22301は、事業継続の取り組みが一過性のものになってしまっている企業にとって、事業継続についての改善活動を軌道に乗せる方法を示唆するものであり、大きな魅力である。

（3）グローバルな“スタンダード”としての魅力
ISO22301は「標準：Standard」であるため、あらかじめ調整された概念に基づいたスタンダードな図式が整理されている。要求仕様事項規格は、特にその位置づけ上、元々必須事項のみを組み合わせて全世界の関係者が同じ概念を共有できる図式を示すことが求められているため、根本にある骨組みを明瞭に読み取ることが可能であり、理解の共有もしやすい。そのため、組織内でBCMSについての議論の枠組みをそろえるといった用途にもISO22301は適している。一般に事業継続の取り組みは事業単位での検討から始まり、会社全体、グループ全体といったように展開されていくことが多く、このような場面において、ISO規格のように調整された概念に基づく図式があると重宝する。特に、様々な言葉や文化を背景に社内調整が求められるグローバル企業の場合に、その効果は大きい。ISOの規格は世界標準として作られているので、ISO22301をベースにBCMSを構築すれば、各国拠点で取り組みを並行して進めるような場合であっても、取り組みのバラつきを小さく抑えることが期待できる。

また、ISO22301準拠でBCMSを構築しておけば、今後新たに出会う取引先や協業パートナーなどと「BCPとはどのようなものか？」といった認識合わせのステージから始めるのではなく、たとえば“BCP”、“許容停止期間”等の概念を所与の前提として論議・調整を進めることができる。このことは、自社・相手先双方の調整関係者にとっての負担の軽減、調整にかかる時間の短縮、相互不理解による行き違いの未然防止などに大きく貢献するため、魅力的である。
これらのことから、ISO22301は当初期待されていた認証基準としての役割だけではなく、BCMSの設計をする際の正にスタンダードとしても注目されていると考えられる。

3．おわりに

日本の場合、東日本大震災を始めとする災害や新型インフルエンザの発生をきっかけに事業継続という考え方が広まり、その都度「まずはBCPを作る」ということが繰り返されてきた状況にある。当然、BCP策定後に毎年取り組みを見直し、その年の努力を反映してBCPを成長させている企業もある。一方で、BCPを作ってみたもののその後のメンテナンスができていない、従業員に事業継続について経営陣が抱いている熱意が伝わっていない、あるいは周知すらもできていないといった悩みを抱えている企業も少なくない。このような課題の解決を目指した規格が正にISO22301である。ISO22301は継続的な改善を着実に積み重ね、事業全体、さらには全社一丸となって事業継続の水準向上を図るための有効な視点を提示する設計図である。認証を取る・取らないはさておき、事業継続についての取り組みを一過性のものに終わらせず継続的な改善の軌道に乗せるために、一度は読んでおくべき規格であると言って過言ではない。

〔2013年5月13日発行〕


【本レポートに関するお問い合わせ】
東京海上日動リスクコンサルティング株式会社　
ビジネスリスク事業部　ビジネスリスク第一グループ
Tel.03-03-5288-6712

転載元：東京海上日動リスクコンサルティング株式会社　リスクマネジメント最前線2013　No.22
東京海上日動リスクコンサルティング株式会社