BCM Navi

BS25777（DPC版）について

BS25777(Code of practice for information and communications technology continuity)DPC版が、BSIより2008年8月30日に公開されました。DPCとは、Draft for Public Commentの略で、「パブリックコメントを募集するための草案」を指します。

この規格は2006年に、やはりBSIより出版されたPAS77-IT Service Continuity Managementの後継の位置づけとなるもので「IT継続マネジメント」についての実践的な規範となります。

このBS25777では、以下に示す8章からなる規範と1つの補足資料から構成されています。

第1章：　適用範囲

第2章：　用語の定義

第3章：　ICT継続プログラムマネジメント

第4章：　事業継続のためのICTの要件を理解する

第5章：　ICT継続戦略を決定する

第6章：　ICTにおける対応の開発と導入を行う

第7章：　エクササイズと技術的なテスト

第8章：　維持、見直し、改善

特徴として「BS25999（事業継続マネジメントに関わる規格）との融和性の高さ」と「全体を通しての分かりやすさ」という点を挙げることが出来ます。

PAS77が出た当時の2006年は、まだ事業継続マネジメント（BCM）の最新かつ国際的な規格であるBS25999が公開されていなかったこともあり、BCMにICT継続マネジメントがどう絡むのか説明不足の感が否めませんでしたが、BS25777では明確にBS25999での流れに対してどのようにICT継続マネジメントが関係するのか、について示されています。

具体的には、 BCMのステップにある「組織の理解（主要業務や経営資源の特定、リスク評価と対応）」の１つとして「ICT継続に関する要件の理解」がある、という考え方を示しています。ここで述べる要件とはITの復旧目標値（RTOやRPOなど）であり、これを受けてICT戦略や対応方法を決定するという流れになっています。

また、PAS77では様々なICT継続に関わるキーワードが出てくるものの浅い解説にとどまり、全体を通して極めてアカデミックな色彩が強くでていました。一方BS25777では、PAS77発行当時から時間が経過し考え方がだいぶ整理されてきたこともあってか、ICT継続マネジメントの流れ、おさえるべきポイントが比較的分かりやすく整理されています。

ちなみに、PAS77ではIT継続マネジメントのことをIT Service Continuity Management (ITSCM)と表記していたのに対し、BS25777では全編通して、ITをICTという言葉で表記し、ITSCMについてもICT Continuity Programme Managementと言い替えています。これはここ最近のトレンドに合わせたためと考えられます。

BS25777は、2008年10月17日にパブリックコメントの募集を締め切っており、順当に行けば年内に正式版が出る可能性がありますが、邦訳版が出るまでにはまだ当分時間がかかることが予想されます。BS25777正式版の邦訳版が発行された場合には、特に以下のような方に有効なものになると思われます。

BCMの構築担当者

ICT継続に関わる部分の構築担当者

ICT部門の管理責任ある立場にいる方

ICT継続に関わるソリューションを提供するベンダー

ただし、ICT継続はあくまでもBCMの活動と密接に関係するものであるため、BCM規格であるBS25999と合わせて活用することが必要と言えるでしょう。

東京商工会議所が「中小企業のための新型インフルエンザ対策ガイド」を発表

2008年10月31日に東京商工会議所から「中小企業のための新型インフルエンザ対策ガイド」が発表されました。

新型インフルエンザへの対応が都内企業において立ち遅れていることを鑑みて作成されたものです。

主なポイントは以下です（転載）：

*******************************

新型インフルエンザが発生したら

新型インフルエンザに関する基礎知識と、感染拡大に伴い想定される社会状況と企業活動への影響を解説。

お客様や従業員と家族の生命と健康を守ろう

新型インフルエンザの想定される感染経路や日常生活で実施できる感染予防策、実際に症状が出た場合の対応について解説。

職場・事業所で感染拡大を防止しよう

発生後、急速に流行する危険性がある新型インフルエンザに対し、職場において感染拡大を防止する対策例を紹介。

企業の存続のために①・②・③

新型インフルエンザの被害の特徴を解説し、事業を継続するためのポイントと事前対策として準備すべき事項を紹介。

想定シナリオ

事前準備をしていない企業における最悪のシナリオを記載することにより被害のイメージを容易にし、同時に対策のポイントをわかりやすく解説。

取り組み状況をチェックしてみよう

経営者や従業員の、職場と家庭における対策のチェックポイント（チェックリスト）

*******************************

参考リンク

東京商工会議所HP

厚労省「新型インフルワクチン接種の進め方について（第一次案）」を発表

2008年9月29日に厚生労働省から「新型インフルワクチン接種の進め方について」（第一次案）（以後「本案」と呼ぶ）が発表されました。

かねてから国会であがっていた「プレパンデミックワクチンの接種の優先順位を早急に検討すべし」という声に応える形で、その検討結果について厚生労働省がとりまとめたものです。ワクチン接種の優先順位については、平成19年3月に発行された「新型インフルエンザワクチン接種に関するガイドライン」において、”医療従事者”や”社会機能維持者”という言葉で、A4一枚におさまる程度で定義されてきましたが、今回は、更に一歩踏み込んで「より具体的にどういった職種の人達が対象となるのか」について、詳しく言及しているところが大きな特徴と言えます。

本案より転載：【ワクチンの先行的な接種の対象となる業種・職種の考え方】

本案は、上に示すカテゴリーに基づき、接種対象者の業種・職種についての定義、小分類、選定理由、順位について明記しています。例えば「４．国民の安全・安心の確保に関わる業種・職種」として国会議員が挙げられていますが、これについて「国会議員及び国会運営の関係者」として定義した上で、その具体的対象者として「衆議院・参議院議員、国会議員公設秘書、国会事務局職員」を記載しています。

本案では、さらに「新型インフルエンザワクチンに関するガイドライン」では、全く記載されていなかった職種についても提案を出しています。例えば、「５．ライフラインの維持に関わる業種・職種」では、ガイドラインでは触れていなかった「倉庫業者」や「食料品製造業者」などが、新たに加えられています。

政府は今後「国民的議論を経て決定していく」としています。致死率60％といわれる脅威を前にした”命”に関わる議論ですので、本案をもとに色々な意見が飛び交うことが予想されますが、我々国民は注意深く、その動向を見守っていくことが重要です。

【参考リンク】

新型インフルワクチン接種の進め方について（第一次案）

不動産協会事業継続計画ガイドライン～オフィスビル賃貸事業編～

少し前の話になりますが、平成19年11月16日に賃貸オフィスビル向けの事業継続計画策定のためのガイドライン（「不動産協会事業継続計画ガイドライン～オフィスビル賃貸事業編～」（以後「当ガイドライン」と呼ぶ）が、不動産協会より公表されていますので、この中身について簡単な紹介をします。

当ガイドラインの利用対象者は、そのタイトルからも明らかなとおり、オフィス賃貸を行っている賃貸事業者と、そして賃貸事業に直接的・間接的に関わる事業者になります。具体的には、オフィスビルの所有者、ならびに、そのビル運営に関わる協力会社（警備会社、清掃会社、管理会社、エレベーター保守会社や建設会社）が主な利用対象者になります。

ガイドラインより転載：「図表2.2オフィス賃貸事業に関わる検討対象範囲の例」

当ガイドラインの特徴を一言でまとめると、2005年に内閣府から公表されている「事業継続ガイドライン（第一版）」（以後、「内閣府のガイドライン」と呼ぶ）に「オフィスビル賃貸業」のエッセンスを加えたもの、ということができます。つまり、内閣府のガイドラインの各重要項目に対して、賃貸オフィスビルの関連事業者から見た場合の（特に以下に示す）点について、追記（解説）されたものになっています。

「賃貸オフィスビルでは、何が一般的か」

「賃貸オフィスビルでは、更にどのような点を考慮すべきか」

「賃貸オフィスビルでは、具体的にどのような対策が有効か」

「賃貸オフィスビルで、更に参考になる情報は何か」

たとえば、内閣府のガイドラインでは「重要な業務に優先順位をつけることが必要である」と説明していますが、この点について、当ガイドラインでは「テナント従業員や来館者の安全の確保」を最重要業務（例）として挙げています。また、内閣府のガイドラインで言うところの「生命の安全確保」に対しては、テナント従業員へのアナウンスや待避誘導など、「事前対策」「初動対応」「復旧対応」の３種類に分けて、その具体策（例）を挙げています。

当ガイドラインを利用する上での注意点としては、中身を鵜呑みにしない、そっくりコピーしないように心がけるという点です。「事業継続計画」は各社の環境や状況によって様々な影響を受けます。なので、「自社の事業継続計画」が、”事業継続計画のあるべき姿＝ガイドライン”からかけ離れていないか、という観点で参考にすることは重要ですが、そのまま自社に適用できるかどうかは注意が必要です。自社の方向性を見定めるための１つの道具としての利用が最適でしょう。

いずれの規格もそうであるように、解答例や考慮すべき事項は記述されているものの、このガイドラインも「どうやって？」という部分には触れていません。この「どうやって？」という部分をしっかりと考えた上で事業継続計画を作成していくことが”自社に最適な”事業継続計画を作る上で肝要になります。

【参考リンク】

社団法人不動産協会＞不動産協会事業継続計画ガイドライン～オフィスビル賃貸事業編～

2008.11.27-28 Business Continuity Management Conference & Expo 2008

名　　称	Business Continuity Management Conference & Expo 2008
会　　期	2008年11月27日(木) - 28日（金）
会　　場	東京ミッドタウン・ホール
主　　催	BCMコンファレンス実行委員会
後　　援	BCI(Business Continuity Institute)、BCIジャパンアライアンス日本情報処理開発協会(JIPDEC)、新型インフルエンザ対策コンソーシアム、特定非営利活動法人サプライマネジメント協会、リスクマネジメント協会、日本CFO協会、英国大使館、(ISC)2 Japan、三井住友海上グループ
入場料	事前登録制　無料

詳細は＞＞IDG Japan HPをご確認ください。

現在年2回おこなわれているBCMカンファレンスですが、今回は副題を「事業継続と企業価値」とし、2日間開催になります。

BCMにおけるIT面での整備や新たな脅威である「新型インフルエンザ」対策、事業継続的側面からみた「リスクファイナンス」など、様々な角度からのセッションが催される模様です。

当社もブースを出展します。

今回も相当数のお申込が予想されますので、早めの登録をオススメします。

Risk（リスク）

Risk

事業継続計画策定にあたってはリスク分析をおこないますが、この「リスク」の概念がまま誤解を招くので詳しく説明します。

リスクとは「負の結果（期待しない結果；損失；問題）をもたらす可能性」と定義できます。このとき「負の結果（期待しない結果；損失；問題）をもたらす事象（リスクの原因）」のことを「脅威」と呼びます。

このことから「リスクの大きさ」を定量化する場合は、以下に示す数式を用いることが一般的です。

「脅威の発生確率」	×	「脅威に対する弱点の程度」	×	「被害を受けた時の影響の大きさ」
（発生可能性）		（脆弱性）		（影響度）

以下は、リスクの例です。

災害リスク	→	地震などによりビジネスが損害を被る可能性
風評リスク	→	あらぬ噂を立てられ企業の信頼が傷つけられる可能性
環境リスク	→	大気汚染などにより環境破壊が起こる可能性
信用リスク	→	取引先倒産などにより売掛金を回収出来なくなる可能性
システムリスク	→	システムがきっかけとなりビジネスが損害を被る可能性

「事業継続」という観点からは、

地震によりワークオフィスが倒壊し業務ができなくなるリスク

コンプライアンス違反を起こし規制当局から業務停止命令を受けるリスク

新型インフルエンザにより、多くの人が命を落とすリスク

不況のあおりを受け、キャッシュが枯渇し倒産するリスク

など、様々なリスクが考えられますが、事業継続マネジメント（BCM）で検討する（BCP策定の前提となる）リスクは、このようなリスクの中でも「発生可能性が低い」「効果的な予防策を打ちづらい」「ひとたび発生した場合の事業へ与える影響が甚大である」という３要素を持つリスクであることが一般的です。たとえば、地震リスク、テロリスク、火災・爆発リスク、停電リスク、パンデミックリスクなどです。

ちなみに、リスクという言葉はあやふや（抽象的）な言葉としてとらえられがちです。これは何が「負の結果（期待しない結果）」になるのかは、それを考える対象者によって異なる可能性があるためです。

たとえば、重火器を取り扱う工場で働いている人にとって気になる「負の結果（期待しない結果）」とは、火災や爆発によって怪我または命を失う可能性であるかもしれません（火災・爆発リスク）。一方、その工場を運営する経営者にとっては「負の結果（期待しない結果）」とは、そうした事故によって引き起こる損害賠償であるかもしれません（訴訟リスク）。

さらにたとえば、株価が上昇することによって儲けようと考える株主にとって「負の結果（期待しない結果）」とは、株価が下がることです（株価下落リスク）。しかし、株価の変動を利用して儲けようと考える投資家にしてみれば、（株価が下がると分かっているのであれば、”から売り”を利用して儲けることもできますので）株価が上がったり下がったりすること自体は問題ではなく、むしろそれを予測できない（不確実な）状態であることがリスクになります（市場リスク）。

日経連が首都直下地震対策書の中間発表

2008年10月14日、日本経済団体連合会（日経連）が「首都直下地震にいかに備えるか　～事業の早期復旧・継続に向けた課題と対策～」についての中間とりまとめを発表しました。

発表の主な内容は、業種横断的な約40社の実務担当者によるワーキング・グループを設置し「ヒト、モノ、カネ、情報」の４つの切り口から、各社に共通する課題や固有の課題を洗い出すとともに「自社・同業種内で対処できる事項」、「業種横断的な連携・協力や地域の連携・協力が求められる事項」、「行政が果たすべき役割」の３つの観点から、事業の早期復旧や継続に向けて取り組むべき具体的な方策を整理したものとなっています。

国内で出されている他の多くのガイドラインと同様に、“首都直下地震”を前提とした内容になっており、事業継続の中でも全体的に防災色の強い内容になっているのが特徴的です。

この内容に呼応するかのように（同じ発表の中で2007年5月に実施した独自調査（回答企業：190企業、15団体）結果についても触れていますが）、調査結果によれば、多くの企業（回答企業の約９割）で災害対策組織を整備済であるなど、特に防災面における対策が進んでいることが分かります。

日本経済団体連合会（日経連）は、経済・産業分野から社会労働分野まで、経済界が直面する内外の広範な重要課題について、経済界の意見を取りまとめ、着実かつ迅速な実現を働きかけている総合経済団体です。

こうした団体である日経連は2008年6月17日にも「新型インフルエンザ対策に関する提言」を出すなど、積極的に事業継続に関わるテーマを取りあげており、いかに現代の日本社会において「事業継続」というものが重要になってきているのか、また、そのニーズが高まってきているのか、ということをうかがい知ることができます。

【参考リンク】

日経連「首都直下地震にいかに備えるか」

日経連「新型インフルエンザ対策に関する提言」

ITSCM (ITサービス継続マネジメント)

ITSCM: Information Technology Service Continuity Management

ITSCMとはBCMの一環として、情報システムに関わる業務継続を担保するための仕組みです。

（経済産業省発行の『ITサービス継続ガイドライン』には、ITSCMを「事業継続マネジメントの中からIT の要素を取り出したもの」と定義しています。）

具体的には、企業が重要な事業活動を遂行する上で必要不可欠な情報システムについて、大規模な事故・災害によってその利用ができなくなった場合でも、組織として許容可能な時間内に、許容可能なレベルまで復旧できるようにするための仕組みのことを言います。

なお、ここで言う「情報システム」とは、コンピュータシステム、ネットワーク機器、アプリケーションや通信機器といった情報システムそのもののみならず、これら情報システムを適切に稼働させるために必要な人・モノ・情報・金（技術者や委託業者など）といった間接的なリソースも含んだものを指します。

言い替えると、ITSCMとは、ディザスターリカバリプラン（DRP：情報システムを許容可能な時間内に、許容可能なレベルまで復旧させるための災害・障害復旧計画書）が常に有効に機能するために行う一連の活動（方針を定め、分析を行い、戦略を立て、文書化し、実装化し、訓練を行い、見直しを行うこと）である、とも言えます。

分かりやすくするために簡略化した例で説明します。

例えば、「自動車販売」を重要な事業とする企業を想定しましょう。

この企業の「自動車販売」という事業を支える重要な業務の１つが「自動車の製造」であるとします。ITSCMでは、この「自動車の製造」という業務を継続するために必要な情報システムが停止した場合でも速やかに復旧できるような対策を考えることになります。

分析を行った結果、この業務を行うために必要な情報システムの１つとして「生産管理システム」が特定できました。従って、この「生産管理システム」が停止した場合の復旧計画を定める必要があることが分かりました。

なお、このときこの企業では、業務上の要件から「生産管理システム」が何らかしらの問題（例：火災、地震）により損壊した場合に、下記条件で復旧させることを目標として設定するべきであることが分かりました。

許容可能な時間：　48時間以内

許容可能な復旧レベル：　100%（データ閲覧や読み書きの機能が実施できる状態）

この目標を実現するために下記に挙げる３つの選択肢を検討し、２を復旧計画としました。

被災時には、自動で代替施設にあるバックアップ生産管理システムに切り替わるように予め構築しておく。

被災時には、予め用意しておく機材を利用して生産管理システムを構築し直す。ただし、そのための技術者をあらかじめ社内に用意しておく。

被災時には、予め用意しておく機材を利用して生産管理システムを構築し直す。ただし、そのための技術者をベンダー契約で確保しておく。

また、上記対策について口頭で決めておくだけでは、いざというときに迅速に動けない可能性が高いため、DRPとして文書化しました。また、作成した計画に漏れや欠陥がないことを確認するために、検証（＝エクササイズ（演習））を行い、漏れや欠陥が発見された箇所については修正をしました。

こうした一連の活動全てがITSCMという仕組みで定められた動きになります。

ITSCMを正しく運用するためには、この仕組みをしっかりと定着させることが重要です。そのためには、上記のような活動を継続的に実施することが肝要になります。

「地方公共団体ICT部門用BCPガイドライン」公表

平成20年の6月に草案として発表された「地方公共団体におけるＩＣＴ部門の業務継続計画（ＢＣＰ）策定に関するガイドライン」が、約3週間にわたる意見公募を経て、8月21日、正式版として公開されました。

当ガイドライン（草案）に対し、全35件の意見が集まりましたが、そのほとんどが読者の誤解を生む可能性のある表現の修正にとどまっており、大きな改定につながるような変更点はありませんでした。

この発表と併せて、全国の都道府県ならびに市区町村を対象とした「業務継続計画の策定状況」の調査実施結果も公表されています。これによれば、平成20年7月1日現在で、業務継続計画を策定している都道府県は6.4％（3団体）、市区町村は2.3％（41団体）という非常に低い結果となっています。

当ガイドラインの正式公開を契機に、ＩＣＴ部門の業務継続計画の策定を検討する団体が増えるとの調査結果も出ていますが、そもそも策定対象がＩＣＴ部門に限られている上、策定予定件数自体も過半数に到達するにはほど遠い状態です。首都である東京都においてでさえ、先日（8月7日）、ようやく都政のＢＣＰ（ただし骨子のみ）が発表されたというのが現状です。

いつ地震が起こってもおかしくない（30年以内に大地震の発生確率が70％）と言われている日本において、この状態は極めて憂慮すべき事態と言わざるを得ません。ＢＣＰは、無意味な計画文書ではなく、地震国日本の国益を守る有効な手段の１つだと考えます。より一層の啓蒙活動が重要です。

※ICT=Information and Communication Technologyの略

【参考リンク】

地方公共団体ICT部門用BCPガイドライン

 情報システムに関する業務継続計画の策定状況の調査結果

日本政策投資銀行調査：事業計画(BCP)策定状況

少し前になりますが、今年も日本政策投資銀行が企業の事業継続計画(BCP)策定状況について調査をおこない、結果を発表しています。

今回の回答企業は資本金10億円以上の大企業：1,461社、中堅企業：3,403社です。

以下、転載です：

*******************************

事業継続計画（以下、ＢＣＰ）を策定している企業は9.0％にとどまるほか、大規模災害に対する財務的な手当ては、物的損害に限っても大企業で６割以上、中堅企業で７割以上の企業で不十分となっています。

業種別では、大企業では総じて石油、電力・ガス、建設業のＢＣＰ策定割合が高くなっています。中堅企業では、運輸、電力・ガス業で割合が高くなっています。

地域別では、ＢＣＰを含む何らかの防災計画がある企業の割合は、大企業では首都圏で高くなっていますが、過去に大地震の経験が少ない地域では特にＢＣＰや防災計画がない企業の割合が高いところもみられます。

前回、前々回調査との比較では、ＢＣＰの策定率はほぼ横這いとなっていますが、製造業でやや増加傾向がみられます。何らかの防災計画を策定した企業の割合が、今回は、製造業では９％減少していますが、一方で事業継続計画に着手している企業が製造業で７％増加しており、防災計画から事業継続への取組みの進展が若干みられています。財務手当については、操業・復旧資金までの備えを行う企業、検討中の企業はほぼ横這いとなっています。

*******************************

【参考リンク】

プレスリリース

 調査報告書