BCM（事業継続マネジメント）とは？BCPとの違いや策定方法をわかりやすく徹底解説

地震やサイバー攻撃など、企業の事業継続を脅かすリスクは年々多様化しています。これらのリスクに対応するため、BCM（事業継続マネジメント）の取り組みが不可欠です。

本記事では、BCMの基本概念とBCPとの違い、実践プロセス、そしてBCMを支えるインフラ基盤について解説します。

BCM（事業継続マネジメント）とは？

BCMの実施にあたり、BCMの基本概念と、関連するBCPについて簡単に紹介します。

BCMとは

BCM（Business Continuity Management）は、事業継続に関する包括的なマネジメント活動を指します。

BCMとBCPの違い

BCMに関連するキーワードとして、BCP（Business Continuity Plan）があります。両者は密接に関連していますが、役割と対象範囲が異なります。

違いを以下の表に整理します。

関連記事：BCP（事業継続計画）とは？｜必要とされる背景や策定手順も解説

なぜBCMが必要なのか

BCPの策定においてよくある失敗が、「形骸化」です。その原因として、意思決定者によるBCP発動の遅れ、現場への代替手順の周知不足、訓練未実施による実効性検証の欠如などが指摘されています。

計画は策定した時点の状況に基づいて作成されるため、組織体制の変更や取引先の変化、新たなリスクの出現に対応できなくなる可能性があります。BCPを有事に機能させるためには、定期的な訓練による課題の洗い出しと、社会情勢の変化に合わせた計画の更新が欠かせません。計画と運用の違いを踏まえ、BCPの策定を「始まり」と捉え、BCMとして継続的に運用していく姿勢が重要です。

現代ビジネスにおけるBCMの必要性

企業を取り巻くリスクが多様化・複雑化する現代において、BCMの重要性はこれまで以上に高まっています。サプライチェーンの維持や経営リスクの低減といった観点から、BCMが求められる背景を整理します。

サプライチェーン維持と企業のサスティナビリティーへの配慮

現代のビジネスは分業や外注委託が進み、一つの企業の事業停止がサプライチェーン全体に波及するリスクを抱えています。地震や台風などの自然災害に加え、サイバー攻撃や感染症の流行など、事業を脅かすリスクは多様化の一途をたどっています。

こうした状況下で、取引先への供給責任を果たし、社会的な信頼を維持するためには、BCMへの取り組みが不可欠です。大手企業の中には、自社のBCP策定にとどまらず、取引先に対してもBCPの策定やBCMの実施状況を確認する動きが広がっています。BCPの策定有無だけでなく、BCMとして運用されているかどうかの違いが、取引先からの評価を左右する場面も増えています。事業継続への備えは、もはや自社のリスク管理だけでなく、企業としてのサスティナビリティーの一環として位置づけられています。

経営判断としてのリスク低減と早期復旧の相関関係

BCMへの投資は、有事における減収リスクを最小化するための経営判断でもあります。BCMにおいて重要な指標の一つが、RTO（Recovery Time Objective：目標復旧時間）です。RTOとは、業務が中断してからどの程度の時間内に復旧させるかを定めた目標値を指します。

BCMに取り組んでいる企業とそうでない企業では、有事の復旧スピードに大きな違いが生じます。事前にBCMとしてリスクの分析や復旧手順の整備、訓練の実施を行っている企業は、有事の際にRTOの範囲内で事業を復旧できる可能性が高まります。復旧が遅れれば、売上の損失だけでなく、顧客離れやマーケットシェアの低下につながりかねません。逆に、迅速な復旧を実現した企業は、顧客や取引先からの信頼を獲得し、競争力の強化にもつなげられます。BCMは単なるコストではなく、有事でも事業活動を継続するための投資として捉えることが求められています。

BCMの実践プロセス

内閣府防災担当の「事業継続ガイドライン」では、BCMの実践プロセスとして、以下の一連の流れが示されています。

　●    方針の策定
　●    分析・検討
　●    事業継続戦略・対策の検討
　●    BCP（事業継続計画）の策定
　●    教育・訓練
　●    定期的な見直し

ここでは、その中でも実務上重要な3つのポイントを解説します。

出典：内閣府防災担当／事業継続ガイドライン

リスクの洗い出し（BIA）と重要業務の特定

BCMの出発点となるのが、BIA（Business Impact Analysis：ビジネスインパクト分析）です。BIAは、緊急事態により各業務が中断した場合の事業全体への影響度を分析する手法です。

まず、自然災害やサイバー攻撃、感染症、サプライチェーンの途絶など、自社が直面しうるリスクを網羅的に洗い出します。そのうえで、各業務が停止した場合の財務的損失や取引先・社会的信用への影響を評価し、優先的に復旧すべき業務を特定します。

この過程で、ITインフラやデータの重要性も浮き彫りにすることが可能です。基幹業務システムが停止すれば業務の大部分が遂行不能に陥るケースは珍しくありません。BIAの結果はBCP策定時の復旧優先順位やRTOの設定に直結するため、BCMの根幹を成すプロセスです。 

実効性を高めるための「BCM訓練」の重要性

BCPの実効性を左右するのが、訓練の質と頻度です。いかに精緻な計画を策定しても、実際に行動する従業員が手順を理解し、有事に動ける状態でなければ、計画は機能しません。訓練を実施している企業と未実施の企業では、有事の対応力に決定的な違いが生まれます。

BCM訓練には複数の手法があります。代表的な手法を以下の表に整理します。

訓練の目的は、計画の不備や手順の抜け漏れを事前に発見することにあります。訓練で明らかになった課題をBCPに反映し、改善を重ねるプロセスこそが、BCMの本質です。訓練は一度きりではなく、年に1回以上の定期的な実施が推奨されます。

PDCAサイクルによる継続的な改善

BCMを形骸化させないためには、PDCAサイクルによる継続的な改善が不可欠です。BCPの策定（Plan）、訓練や事前対策の実施（Do）、訓練結果や社会情勢の変化を踏まえた課題抽出（Check）、計画の更新（Act）という流れを繰り返します。

このサイクルを機能させるには、経営層の関与が欠かせません。内閣府の「事業継続ガイドライン」でも、BCMの責任者は社長もしくは担当役員など経営レベルであることが望ましいとされています。経営層が方針を決定し、必要な予算や人員を配分することで、組織全体として事業継続に取り組む体制が整います。

組織体制の変更や取引先の追加、法規制の改正など、事業環境は常に変化しています。PDCAを回しているか否かが、BCPを形骸化させるか実効性のあるBCMへ昇華させるかの違いを生みます。

BCMを支える強固なインフラとなるデータセンターの役割

BCMの実践において、ITインフラの安全性確保は最優先事項の一つです。業務システムやデータを守る物理的な拠点として、データセンターの役割を解説します。

復旧を左右する物理拠点の安全性

BIAの結果、多くの企業で重要業務として特定されるのが、基幹業務システムの稼働やデータの保全です。販売管理、顧客管理、財務システムなどが停止すれば、事業の継続は極めて困難になります。自社オフィスとデータセンターでは、災害時のシステム継続性に大きな違いがあります。

基幹業務システムを支えるサーバーやネットワーク機器を自社オフィス内で管理している場合、拠点が被災すればシステムも同時に停止するリスクがあります。BCMの観点では、自社拠点とは異なる安全な場所にITインフラを配置し、災害時にもデータとシステムを守る体制の構築が求められます。

データセンターは、高度な耐震性能、冗長化された電源設備、24時間365日の監視体制など、自社拠点では実現が難しい水準のファシリティを備えた施設です。ハウジングサービスを活用することで、BCMにおけるITインフラの安全性の大幅な向上が可能です。

関連記事：データセンターとは？利用するメリットや主な設備を解説

さいたまiDCがBCMにおける「最適解」となる理由

AGSの都市型データセンター「さいたまiDC」は、BCMを支える強固なインフラ基盤として複数の優位性を備えています。

立地面では、地震の影響を受けにくい強固な地盤と、浸水リスクが低い環境に建設されています。データセンターファシリティスタンダードの最高レベルに当たるティア4に準拠した設計で、震度7レベルに対応した免震構造を導入しています。二重化された受電設備や冗長構成のUPS、即時起動型非常用発電システムにより、電源障害時にもシステムの継続稼働が可能です。

セキュリティ面では、ビル入館からラック開錠まで7箇所のセキュリティゲートを設置し、ICカード認証と静脈認証による2要素認証を採用しています。24時間365日の有人監視体制に加え、FISC安全対策基準への準拠やISO 22301（BCMS）の認証も取得済みです。

アウトソーシングによるBCMの「持続可能性」向上

BCMの継続的な運用には、ITインフラの維持管理に一定のコストと人的リソースが必要です。自社でサーバールームを保有する場合、電源設備の保守や空調管理、セキュリティ対策、24時間の監視体制など多くの負担が発生し、特に中小規模の企業にとって大きな課題となります。自社運用とアウトソーシングでは、BCMに割けるリソースが大きな違いです。

さいたまiDCのハウジングサービスを活用すれば、ファシリティ管理をデータセンター事業者に委ねられます。AGSではさらに、システムの仕様に基づいたオーダーメイドのマネージドサービス（MSP）も提供しています。運用負担を軽減し、自社のリソースをBCPの見直しや訓練などBCM本来の活動に集中させることが可能です。

まとめ

本記事では、BCMの基本概念とBCPとの違い、実践プロセス、そしてBCMを支えるデータセンターの役割について解説しました。

BCPは有事の行動指針を定めた計画書であり、BCMはその策定・運用・改善を包括するマネジメント活動全体を指します。BCPを策定して終わりにせず、BCMとして継続的に運用することが、計画の実効性を高める鍵です。BIAによるリスク分析や定期的な訓練、PDCAサイクルによる改善に加え、基盤となるITインフラの安全性確保も欠かせません。

AGSの都市型データセンター「さいたまiDC」は、免震構造や電源の冗長化、高度なセキュリティ体制により、BCMを支えるインフラ基盤を提供しています。データセンターの活用をご検討の際は、ぜひご相談ください。