BCP（Business Continuity Plan：事業継続計画）

BCP（Business Continuity Plan：事業継続計画）とは、災害や大きな事故が起きても、事業を止めないため、あるいは止まっても早く立て直すために、あらかじめ決めておく計画のことです。その計画に沿って備える取り組みを「BCP対策」と呼びます。

現実世界に例えると、BCPは建物の避難経路図のようなものです。何事もない日は目を向けませんが、いざというときに誰がどこへ動くかが決まっているからこそ、慌てずに済みます。書いてあるだけでなく、覚えていることが肝心です。

防災対策との違い

きっかけは大きな地震や水害の経験でした。建物が無事でも、システムが止まった、社員が出社できない、取引先が被災したといった理由で、業務が長く止まる例が相次いだためです。近年は大規模なサイバー攻撃やクラウドサービスの障害も、同じように事業を止める原因として数えられています。

すべてを同時に復旧させることはできません。そこで「これが止まると会社が立ち行かなくなる」という中核の業務を絞り込み、そこから順に手を付けると決めておきます。優先順位を平時に決めておかないと、混乱のさなかに限られた人手をどこへ向けるかで判断が割れてしまいます。

IT部門でとくに重要な数値です。RTOは「いつまでに復旧させるか」という時間の目標、RPOは「どの時点のデータまで戻せればよいか」というデータの目標を指します。RPOを24時間とするなら日次バックアップで足りますが、1時間とするなら仕組みそのものを組み直す必要が出てきます。

IT面での基本はここに尽きます。同じ建物の中に控えを置いていては、建物ごと被害を受けた時点で何も残りません。遠く離れた拠点やクラウドへ複製を保管し、加えて「本当に元へ戻せるか」を定期的に試しておきます。復旧の手順を試さないまま保管だけしている例は、いまも多く見られます。

自社で予備の設備を持つのは費用がかさみます。クラウドなら遠隔地にデータを置くことがはじめから前提になっており、平時は小さく、有事だけ処理能力を広げるといった使い方もできます。ただし利用しているクラウド自体が止まる場合も想定し、連絡手段や代替の作業方法を決めておきます。

もっとも多い失敗がここです。計画書を作った時点で満足してしまい、更新も訓練もされないまま数年が過ぎている、という状態に陥りがちです。担当者の異動や、システムの入れ替えがあれば、手順はすぐに古くなります。年に一度は手順どおりに動かしてみて、書き直す機会を設けます。

最近は自社の都合だけの話ではなくなっています。大企業や官公庁との取引では、BCPを策定しているかどうかが選定の条件や加点の項目とされることがあります。中小企業向けには、国が認定する制度や補助の仕組みも用意されており、策定のきっかけとして活用されています。