「日本企業の約半分は適切な対策をとっていない」 BCPで押さえるべき3つのポイント

ガートナーによると、BCPやDR対策に不安が残る国内企業は多いという。ITの観点からレジリエンスを高めるために押さえるべき3つのポイントとは。

[金澤雅子，キーマンズネット]

　混迷する国際情勢や能登半島地震の影響などから、国内企業のBCPに対する関心が高まっている。ガートナージャパン（以下、ガートナー）は2024年3月25日、企業がBCP（事業継続計画）の策定や見直しのために押さえておくべきポイントを発表した。

　ガートナーが2023年4月に実施した調査の結果、国内企業の約半分は、BCPを満たす適正なDR（ディザスタリカバリー）対策をとっていないことが判明した。同社は「ITの観点では不安要素が残る」と指摘する。

ガートナーが提言する、BCPで押さえるべき3つのポイント

ポイント1：　事業を優先順位付けし、合意を形成する

　BCPあるいはBCM（事業継続管理）とは、企業で発生するさまざまな問題を「事業」という単位で捉え、戦略的な優先順位に従って対処する活動だ。予算や要員は有限であるため、全ての問題に完全な形で備えることは難しい。問題発生時は同時に全てに対処できるわけではない。そのため、危機発生時には、事業に対する影響の大きいものから優先的に対処するような姿勢が重要視される。

　ガートナーの矢野 薫氏（シニア ディレクター アナリスト）は「BCPが不十分、あるいは長期間更新されていない場合は、まず『業務がわずかに中断しただけでも対外的に大きな影響を与える事業』を洗い出すべきだ。優先順位を緊急対策本部の構成メンバーと再確認することが重要になる」と述べる。

ポイント2：　事業の完全停止を避けて暫定的に継続させるための手順を策定、見直す

　BCPで取り扱う主なリスクにはIT障害や自然災害、セキュリティ、パンデミック、あるいは政情不安などが挙げられる。

BCPで取り扱うリスクの例（出典：ガートナーのプレスリリース）

　自然災害を例に挙げると、電気や交通網のような社会インフラが停止することで、本社機能の他、生産や販売、物流、データセンターが機能しなくなる。従業員が拠点にたどり着けない事態も起こり得る。

　レジリエンスを高めるためには、完全な形ではなくても業務を続け、事業を止めないことが重要だ。そのための手順（コンティンジェンシプラン：緊急時の行動指針を示したもの）を策定し、見直す必要がある。「現在、さまざまな業務は複雑なエコシステムの中にあり、高度なテクノロジーに大きく依存している。最新のビジネスやテクノロジー環境に合わせた暫定手順の策定、見直しは急務の課題だ」（矢野氏）

　こうした備えは、事業の完全停止といった破滅的な結果を避けることにつながる。ガートナーによると、事業の完全停止を避けるための取り組みは「IT障害やセキュリティ事故の発生時にも役立つ」として、多くの企業で関心が高まっている。

ポイント3：　「できること、できないこと」を整理し、ITに対する過剰な期待や誤解を解消する

　ガートナーの山本琢磨氏（ディレクター アナリスト）は「BCPを支えるITでまず考慮すべきことは、『システムやサービスの継続的提供』『早期リカバリー』『新しいサービス作りと新興テクノロジーのー活用』の3つだ。この3つが実現できなければ、IT部門としての責任を大きく問われる」と説明する。

• システムやサービスの継続的提供：　システムやサービスを継続的に提供する鍵は、ニーズに基づいた可用性を備えることである。現時点で想定されている可用性やリカバリーの仕様について状況を把握することが重要だ。特にリカバリーについては、本番サイトではなく別サイトで災害復旧策やその必要性の確認を忘れないようにすることがポイントだ
• 早期リカバリー：　リカバリープロセスを正しく実行できるように、DRのクラウドサービスを利用したり、リカバリー計画を整理したり、定期的な訓練を実施したりすることが重要だ。その際に出てきた問題点から順に見直すことが有効だ。ガートナーの調査によると、DRを実施している企業の中でもDRの訓練を定期的に行っている企業は4割に満たなかった。別の調査では「バックアップしたデータからリカバリーしたことはない」と回答した企業は全体の半数近くに上った
• 新しいサービス作りと新興テクノロジーの活用：　早期に復旧するだけでなく、ロボットやドローンを含めた、これまで用いていないテクノロジーの活用の可能性を探ることも必要だ。新たなサービスや仕組みをすぐに作るニーズが生まれる可能性がある。ローコードアプリケーション基盤や非常時のコラボレーション手段を検討すべきだ。「変化への俊敏な対応を本格的に目指すに当たっては、『できること、できないこと』を単純に棚卸しするのではなく、ITに対する過剰な期待や誤解を解消するために議論することが求められる」（山本氏）

　山本氏によると、災害対策や災害対策への感度には、企業ごとに違いがあるという。「2027年までに、ITの広域災害対策を策定しない企業や組織の過半数は、都市部の大規模災害において災害時の対策が機能せず、経営に大きな打撃を受けるとガートナーはみている。2027年までにITに関する非常時の対策を進めた企業や組織の30%は、想定外の事態に対処するための原則を確立し、不測の事態に備えるとの仮説も立てている。災害に対する感度の高い企業とそうでない企業との間で、対策に関する成熟度に差が生まれるだろう」（山本氏）