ITproで昨年から「BCP/危機管理」を担当し続けている筆者は、2012年5月にJUAS(日本情報システム・ユーザー協会)が「企業IT動向調査2012」の一節として公表したある数字がずっと気にかかっていた(関連記事:不安が大きいソーシャルリスク、BCPの策定企業は半数未満)。

 それは、日本企業の経営者の間でBCP(事業継続計画)の策定があまり進んでおらず、関心が低いとした調査結果だ。要点を再掲するとこんな数字である。


・BCPの策定状況は想定災害別で最多だった「システム障害」でも46.2%で半数以下(回答数928)。「自然災害(直下型地震による局所災害)」を想定したBCPについては策定済みが37.1%にとどまる。

・震災後、経営層からBCPの見直しに関する指示があった企業は、53.1%が「あった」(内訳は「具体的な指示があった」が12.4%、「指示があった」が40.7%)。一方で、「なかった」も46.9%に達した(回答数923)。

・システム障害に関するBCP関連の訓練を実施しているのはBCP策定済みの企業のうちおよそ6割(回答数は415)。つまり、システム障害に関して「BCPを策定し、かつ、訓練を実施している」という企業は、調査対象(約1000社)のうち、およそ4分の1の250社弱にとどまった。

※2011年10月下旬から11月下旬にかけて調査、調査対象は上場企業を中心に約1000社

 特に筆者が個人的に気になったのは「自然災害を想定したBCP」の策定済みが37.1%にとどまり、「経営者からBCP見直しの指示なし」が46.9%に上るという数字だった。地域によっては東日本大震災の影響を免れたことを考えれば、妥当な数字という見方もできなくはないが、あれほど大規模に通信や食品供給、運輸などが滞ったことを振り返ると、何となく釈然としない。

 そんなわけで、今回、この数字の解釈について改めてJUASに見解を尋ねてみた。さらに、企業のBCP策定動向に詳しい、ITproで昨年に連載をお願いしたコンサルティング・ファーム3社にも最近の実情をどう見ているか尋ねた。あくまで仮説だが、識者などに意見を聞いた印象では、こうした数字以上に、日本企業は事業継続に真剣に取り組んでいる可能性がある。

 大企業の間では「良いBCPとは何か」を熱心に検討し掘り下げる議論がなされており、また、中堅中小企業においても、BCP策定より先に実効性のある対策実施に着手している経営者もいるようだ。正確な実態把握は、今後の調査方法の進展に期待するとして、本稿では調査の数字にはまだ表れていない可能性がある事業継続関連の進展について、識者らの意見や指摘をご紹介したい。

「大企業は『実効性のあるBCP』を深く議論している」

 まず調査を実施した、JUAS 専務理事の金(こん)修氏(写真1)とのやり取りを紹介しよう。なお、この取材は8月下旬に行ったものである(前述の寄稿の筆者、常務理事 原田俊彦氏はこの夏に他界された。この場を借りてお悔やみを申し上げたい)。

写真1●JUAS(日本情報システム・ユーザー協会) 専務理事の金(こん)修氏
写真1●JUAS(日本情報システム・ユーザー協会) 専務理事の金(こん)修氏

JUASの調査結果に対して、一部では「BCP策定予定なし」や「見直し指示なし」の数字の高さに関して、「システム部門が経営企画部門などの動きを知らないため、実態より低い数字になった可能性がある」と推測する意見が出ているのだが、そのような可能性は考えられるか。

金氏 今回の調査にはJUASの会員も200社ほどが参加しており、その人たちを念頭に考えれば、経営企画の動きを知らないというようなことはあまり考えられない。

 例えばデータバックアップの体制作り1つとっても、全社のデータのバックアップを丸ごと毎日取るわけにはいかないので、経営層に参加してもらわなければ、優先順位の検討が進まない。検討資料作成まではIT部門で行い、社内オーソライズは経営層が行うなど、いろいろ苦心しながら進めているようだ。またBCPに問題があったという議論を今でも積極的に交わしているJUAS会員もいる。

 規模別の数字を見ると、売上高1000億円以下の中堅規模の企業でBCP策定に消極的な回答が多かった。これが全体の数字を引き下げた。

中堅企業がBCP策定に後ろ向きな理由としてどんなことが考えられるか。

金氏 私個人の推測だが、後ろ向きというより検討する余裕がないのではないか。そもそも従業員が数百人規模の企業では、情報システムの担当者も数人規模だろう。システム障害関連の対策を検討するだけでもマンパワー不足だろう。