先月受けた事業継続の研修においても、リスク分析が先行し、ビジネスインパクト分析が十分行われていないという指摘がありました。リスク分析は比較的とっつきやすい一方で、ビジネスインパクト分析は調べてもいまいちよく分からないということのようです。
そこで今回は事業継続計画を作成する工程で、より重要なビジネスインパクト分析（BIA）について解説します。
前提：リスク分析とは？リスク分析とビジネスインパクト分析の違い
リスク分析の方法について
リスク分析とは、被害の大きさや頻度でリスクを分類し、企業に与える影響を分析する手法です。リスク分析は防災の取り組みでよく用いられる分析ですが、具体的には地震や風水害などの被害の程度を調べて、それらがどのくらいの確率で起こるのか、またその場合の企業や社会全体の被害はどうなるのかなどを分析することです。
リスク分析で洗い出す項目
被害が想定される災害の種類：地震、暴風雨、洪水、土砂崩れ、津波、高潮、落雷など、地域の防災計画等を参考に、想定される災害を分析する。
災害が起きた場合の被害の大きさ（物的損害）：過去の被害や防災計画等から、被害想定を作成する。また、建物や機械などの被害額を計算する。
機会損失による損害額：営業が停止した場合の売上の損失額を計算する。
自然災害以外のリスク：火災や損害賠償リスクなどを調査する。
リスクの発生頻度と対応優先順位：災害やその他リスクの発生頻度を分析し、それらの対応方法と優先的に対応するリスクを決定する。
リスク分析の弱点は被害想定を小さく見積もってしまうこと
リスク分析は比較的理解しやすく、対策もイメージしやすいと思います。しかし、リスク分析では想定外の被害が起こった際に、対応が難しいという弱点もあります。例えば防災計画に基づいて対策を考えたが、想定外の被害が起こってしまい、対策が機能しなかったということが考えられます。東日本大震災での被害が具体的な例です。
リスク分析に基づいて対策を検討した場合、被害を小さく見積もる傾向があると言われています。例えば「今後30年間で震度6弱の地震に見舞われる可能性が6％」という場合、震度6弱の被害に合わせて計画する企業は少なく、さらに震度6強を想定する企業はほとんどありません。
リスク分析とビジネスインパクト分析の違い
リスク分析とビジネスインパクト分析の違いを一言でいうと、「リスク分析は自社の外部環境を分析するのに対し、ビジネスインパクト分析は自社の内部環境を分析する手法」です。
ビジネスインパクト分析はどのような災害が起こるかについては全く考慮せず、自社の業務が停止するという事態のみに注目する手法を取り入れています。それでは、ビジネスインパクト分析の具体的な方法について、次の章から説明させていただきます。
1. ビジネスインパクト分析の手法
1-1. 事業が止まった場合の影響の種類について
例えば、自社の主要な事業（部門、サービスなど）が1週間停止した際にどのような影響があるかを考えてみます。例えば、飲食店1店舗を経営している場合は、その1店舗の営業が停止してしまうこと、また例えば製造業で工場が2ヶ所ある場合は、どちらか1方の工場が停止してしまう、という状況を考えてみてください。
これらの事業が停止してしまった場合、定量的な影響（定量的というのは数値で表せるという意味ですが）としては、まず1週間停止していた場合に得られるはずだった売上があります。また納期内に製品を納品できなかったことによる損害賠償も発生するかもしれません。
別の観点から考えると、今後受注が取れなくなる可能性や、ブランドイメージの毀損、従業員の離職などの影響が考えられます。このような、はっきりと数値には表現できないもののことを定性的といいます。事業に与える影響は少なくありません。
このように事業が止まった場合の影響には定量的と定性的の2つの種類があります。
1-2. 事業が止まった場合の影響をどこまで許容できるのか検討する
そこで、これらの定量的・定性的な影響について、どのくらいの時間まで許容できるかを経営の視点から検討します。事業を止めておける時間は1週間なのか、3日なのか、それとも1日なのか…。
「もし1週間工場が停止し、取引先に納品ができなくなった場合、売上がなくなり違約金が発生するかも」や「2日間の停止であれば、なんとか納期を間に合わせることができるかもしれない」などのように想像するのもいいでしょう。
また、納期には間に合ったものの、今後の取引先との関係性に影響が出るのであれば、単に納期に間に合えばいいという問題でもなくなります。その場合は、事業が停止している時間が同じでも、納期よりも信用度の方が影響が大きいことがわかります。
これら観点から、事業が続けられないような事態が発生するぎりぎり許容できる時間のことを、最大許容中断時間（MTPD）といいます。
注意 最大許容中断時間（MTPD）の決定には企業の財務状況を把握しておく必要がある
定量的な側面から最大許容中断時間を考えるときには、企業の財務状況を把握しておかなければなりません。というのも、事業が停止して売上がない状態で、固定費の支払いや損害賠償などの費用をどこまで負担し続けることができるのかを調査し分析することになります。
これに加えて、考慮しなければいけないことは、事業が復旧したとしてもすぐにこれまで通りの利益を確保できるわけではないという点です。復旧直後は赤字になることも当然想定しておかなければいけませんし、以前の売上の水準に戻らないことも考えられます。復旧後の収支状況を考慮しながら許容できる時間を検討しましょう。
1-3. 業務プロセスを見える化する
事業が許容できる最大の中断時間を見積もることができたら、次にその事業の業務プロセスを見える化します。業務プロセスは「作業手順」よりは大きな項目として理解していただくとよいです。
業務プロセスを整理し、業務の流れを見える化することができたら、その業務それぞれに関連する取引先企業などを書き出し、業務との関係性を図示します。さらに、機械やシステムなど業務に必要な資源についても洗い出していきます。
「業務プロセスの見える化」の工程は、ビジネスインパクト分析において非常に重要となります。実際にやってみると気づくと思いますが、想像以上に作業量が多く、難しい工程です。
1-3. 特に重要だと言える業務を選び出し、目標復旧時間を決める
このような過程を踏まえて、優先順位をつけながら重要業務を決定し、それぞれの目標復旧時間を決定します。
重要業務：事業の中でも特に停止したときの影響が大きいとされる業務。
目標復旧時間：目標とする業務の復旧水準を達成するまでにかかる時間。
重要業務を決める際には、業務プロセスの見える化を通じて明らかになった、他の業務よりも替えが効かないような業務や、取引先や顧客との関係性が強い業務を選ぶことになります。一つに絞り込むのではなく、いくつか重要業務を選んで、優先順位をつける方法が良いです。
目標復旧時間は、経営視点からあくまでも「目標」として決定します。例えば「電話やメールなどの窓口機能は3時間以内に復旧させる」などの考え方が、この目標復旧時間の考え方になります。それぞれの重要業務に目標復旧時間を設定していきます。
それぞれの業務の目標復旧時間を足し合わせると、最大許容中断時間を超えることもあります。その場合には目標復旧時間を見直していく必要があります。
2. まとめ
これまで説明したことをまとめると、
1 中断時の影響を分析
2 最大許容中断時間を設定
3 業務プロセスや関係性を見える化
4 重要業務・目標復旧時間を決定
以上の４つの手順でビジネスインパクト分析を進めていくことになります。
ビジネスインパクト分析には経営層の主体的な関わりが必要
この中でも、最大許容中断時間の検討や重要業務・目標復旧時間の決定には、経営層が主体的に取り組む必要があります。従業員ではこれらの内容を判断することができないため、この2点については、経営層が必ず判断することになります。
そして、決定した目標復旧時間を元に、事業継続の戦略を検討していくことになりますが、この目標復旧時間の根拠や実現性が乏しいと、事業継続の全体が揺らぐような事態になります。ビジネスインパクト分析をする上では、経営層が責任を持って取り組んでいくことが大切です。
復旧以外の戦略を検討するためのビジネスインパクト分析
ビジネスインパクト分析は事業継続の戦略を検討する上で非常に重要です。この分析が欠けていると、いざ事業が中断するような事態に見舞われた際に、「全て今まで通りに復旧する」作戦しか選択することができなくなります。しかし、元通りにするには莫大な費用がかかったり、数年間は売上を確保できなかったりと、現実的な計画にはならないことが往々にしてあります。
まずは何を優先的に復旧させなければいけないのか。自社の内部資源について改めて目を向けることで、災害や事故などのあらゆる被害に対応することができます。
Comments