BCPとは
BCP（Business Continuity Plan：事業継続計画）とは、大地震や台風などの自然災害、テロ攻撃、感染症の流行、システム障害といった予期せぬ緊急事態が発生した際に、企業が受ける損害を最小限に抑え、重要な業務を中断させない、あるいは中断してもできる限り短い時間で復旧させるために、あらかじめ決めておく具体的な行動計画のことです。
もし何の備えもなければ、緊急事態が起きたときに社内が大混乱に陥り、操業停止が長引いて顧客を失ったり、最悪の場合は倒産に追い込まれたりするリスクがあります。BCPを策定しておくことで、いざというときに誰が何をすべきか、優先すべき業務はどれかが明確になり、迅速に事業を立て直すことができます。
具体例
例えば、ある製造企業でのBCPの取り組みとして、以下のような対策が挙げられます。
- 本社が被災した場合に備え、別の地域にある支店に代替の指揮本部を立ち上げる手順を決めておく。
- 製品の原材料を供給するメーカーを複数確保しておき、1社からの供給が止まっても他社から仕入れられるようにする。
- 社内の重要データをクラウド上に毎日バックアップし、社屋が被災しても業務データが失われないようにする。
もう少し詳しく
BCPを策定するにあたっては、まず「事業影響度分析（BIA: Business Impact Analysis）」と呼ばれるプロセスを行います。これは、どの業務が停止すると会社にどれだけ深刻な影響が出るかを評価し、優先的に復旧すべき重要業務を特定するための作業です。すべての業務を同時に復旧させることは難しいため、限られたリソースの中で優先順位を明確にすることが不可欠です。
この分析を通じて、業務ごとに「目標復旧時間（RTO: Recovery Time Objective）」と「目標復旧時点（RPO: Recovery Point Objective）」を設定します。RTOは「業務停止から何時間（何日）以内に復旧させるか」という時間的な目標であり、RPOは「データなどをどの時点の状態まで復旧させるか（何日前のバックアップまで戻すか）」というデータの新しさに関する目標です。また、BCPは一度作って終わりではなく、組織の変更や社会情勢の変化、新たなITシステムの導入に合わせて定期的に見直しを行い、訓練や教育を繰り返すことで実効性を高めるPDCAサイクルを回すことが求められます。
試験でのポイント
ITパスポートや基本情報技術者試験などの国家試験においては、BCPと「防災計画」の違いがよく問われます。防災計画は「人命の安全確保」や「施設・設備の物理的被害の軽減」が第一の目的であるのに対し、BCPは「事業活動そのものの継続と早期復旧」を目的としている点が大きな違いです。したがって、避難訓練の実施や消火器の設置などは防災計画の範疇であり、代替生産拠点の確保や重要業務の選定などはBCPの範疇になります。
また、先述したRTO（目標復旧時間）やRPO（目標復旧時点）の定義についても、それぞれが何を指しているのか混同しやすいため正確に理解しておく必要があります。例えば、「災害発生から24時間以内にシステムを復旧させる」はRTOに該当し、「システム障害発生時に、前日の夜12時の状態までデータを復旧させる」はRPOに該当します。これらを具体的な数値目標として定義するプロセス自体が、試験で出題されるポイントとなります。
関連する用語
BCPに関連するIT用語としては、事業影響度分析を行う「BIA」、復旧の目標時間を表す「RTO」、復旧させるデータの時点を示す「RPO」が挙げられます。また、企業が保有する建物や設備などの施設資産を最適に管理・活用する「ファシリティマネジメント」や、不確実なリスクを評価し適切な対策を講じる「リスクマネジメント」も、BCPを実践する上で深く関わってくる重要な概念です。