公開日：2020年10月07日

感染症対策は「想定外」!?企業が直面するBCPの課題と策定のポイント

Contents

コロナ禍で再認識、BCP策定の重要性

事業継続計画（BCP）に対する企業の見解に変化が生じ始めている。帝国データバンクが今年5月に実施した調査によると、調査対象2万3,675社（有効回答企業数1万1,979社）のうち、BCPを既に「策定している」と回答した企業は16.6％となった。

また、BCPについて「策定意向あり」（「策定している」「現在、策定中」「策定を検討している」の合計）と回答した企業は 52.9％に上り、調査開始以降で最も高い値を示すなど、BCP策定に対する意識が高まっている。

さらに今回の調査では、事業の継続が困難になると想定しているリスク（複数回答）について、「感染症」（69.2％）と回答した企業が前年調査から44.3ポイントも急増していることが分かった。

日本では近年、2011年に東日本大震災、2016年に熊本地震、2018年に大阪北部地震などの大規模な地震が繰り返し発生しているほか、2018年7月に西日本豪雨、同年9月に台風21号、そして今年7月に発生した熊本豪雨など、未曽有の自然災害が相次いでいる。もともと地震や台風による災害被害例が多い日本では、自然災害が発生した際の損害を最小限にし、早期復旧を可能にすることを目的としたBCPを策定しているケースが少なくない。
そのため、今回の調査結果からは、多くの企業にとって新型コロナウイルスという感染症の拡大が「想定外」といえる事態であったことが窺える一方で、BCP策定の重要性を再認識する機会となり、対策が強化されている様子も窺い知ることができる。

（図1：「事業継続計画(BCP)の策定状況」と「事業の継続が困難になると想定しているリスク」

（帝国データバンク調べ））

BCP/DRとデータセンター・クラウドの活用

そもそもBCP(Business Continuity Plan：事業継続計画)は、自然災害だけでなく、感染症の拡大やサイバーテロなどの緊急事態が発生した場合に、企業活動への影響を最小限に抑え、事業を継続させるために策定する計画である。BCPを策定することで、被害を受けた拠点や工場の代替施設・人員の確保、データのバックアップ、指揮系統の確認、社員の安否確認を含む初動対応や復旧目標などを事前に定め、事業停止などの経営リスク低減を図る。

BCPの一環として、自然災害やサイバーテロなどによりシステムが壊滅的な状況になった場合を想定し、主にシステムの復旧・修復を対象とした対策をDR(Disaster Recovery：災害復旧)と呼ぶ。DRの策定では、RPO（Recovery Point Objective：目標復旧地点）とRTO（Recovery Time Objective：目標復旧時間）を設定する。RPOは過去のどの時点までのデータを復旧させるかという目標値であり、RTOは被災時点からどれだけの時間で業務を復旧させるかという目標値である。この2つの指標は、操業停止が許される時間的限界やデータ消失の許容期間などからビジネスに与える影響を分析し、それらにデータ容量を加えて、ダウンタイムコストとの兼ね合いを考慮して策定する。

現在、ほとんどの企業が何かしらのシステムを利用して事業を展開しており、システム復旧の遅れが最悪の場合、企業の存続を左右する事態へと発展するケースもある。そうしたリスクを最小限に抑えるためにも、RPOやRTOといった指標を基に災害対策システム（DRサイト）を構築し、不測の事態に備える対応が必要不可欠といえる。

また、自前でDRサイトを構築すると莫大なコストがかかってしまうが、外部のデータセンターを活用することで設備投資を抑えることが可能であり、近年はクラウドサービスが普及したことで、中小企業が事業継続のためにDRサイトを低コストで構築することも可能になっている。

日本では近年、多発する自然災害を受けて、こうしたBCPの策定やDRサイトの確保の重要性が認知されてきており、大企業を中心に緊急事態に対するリスク意識が高まり、緊急時におけるサービスの継続・安定運営の実現を目指す取り組みが増加傾向にある。
しかしながら、今回新型コロナウイルスの感染拡大という緊急事態に直面し、BCPを策定していたにもかかわらず対応に課題や困難を感じたり、パンデミック特有のリスクに対応しきれなかったという企業も多いようである。

迅速なテレワークシステムの導入を可能とするクラウド活用

特に今回課題として浮き彫りになったのが、テレワーク環境の整備である。感染症拡大に収束の目処がたたず、影響が長期化する可能性も考えられる中、人の移動や出社が制限され、企業の生産体制にも大きな影響が生じている。そして、出社制限の要請に対応する形で在宅勤務を導入する企業が増える一方で、十分な準備期間がなく、在宅勤務の実施に必要なツールやシステムの導入が進まないといった企業も少なくない。

業態や職種によって在宅勤務の実施がほぼ不可能といったケースもあるが、在宅勤務を導入したにもかかわらず、ネットワークへの接続人数が想定を超えてしまったために遅延が発生したり、対応端末の調達が間に合わず、在宅勤務への移行に手間取るといったケースも見られた。
そうした中、日頃から定期的にテレワーク勤務の訓練を実施してきた企業や、いち早くクラウド化を実現し、オフィス外からでも社内システムにアクセスする手段の整備や、複数の手段を用いた社内外のコミュニケーションを確立してきた企業では、今回のコロナ禍においてもスムーズに在宅勤務へ移行できたという話も聞く。

一からシステムを導入するとなると、システム構築完了までに数カ月程度かかることもある。ましてや、サーバやネットワーク機器を全てオンプレミスで用意するとなると、想定外の緊急事態が発生した場合には間に合わない。
そこで、今回のようにシステムの導入を急ピッチで進めなければならない場合には、クラウドサービスの活用が大きな効果を発揮する。
従来はオンプレミス上に用意していたサーバやネットワーク機器などのリソースをクラウド上で準備することで、導入までの期間を数日～数週間程度にまで大幅に短縮することが可能となる。
特にどの企業でも導入が急がれているテレワークシステムにおいては、クラウドを活用することで素早く低コストの導入が可能となるほか、従業員の在宅勤務も実現することが可能となる。

（図2：BCP対策にクラウドを導入するメリット）

クラウド環境のセキュリティを懸念する声もあるが、多くの企業からデータが集まるクラウド環境は、セキュリティ対策の専門家や堅牢で強固なファシリティにより守られた空間であり、常に最新のセキュリティ対策を幾重にも行い運営されている。また、堅牢なデータセンター内にデータベースサーバなどを配置し、クラウドにはWebサーバを配置するといったハイブリッド型のシステムも有効になるだろう。一定のセキュリティを担保しながら、オンプレミスのシステムよりも比較的早く、かつコストを抑えながらシステムを構築することが可能となる。

BCP策定のポイントとなる継続事業の選定

また、今回の緊急事態では、テレワークの環境整備以外でも大きな課題が見られた。それが、継続事業の選定である。

地震・津波・落雷などの自然災害は、過去の事例から一定の被災期間が予測可能であり、被害を受ける地域も限定的であることがほとんどである。一方、新型コロナウイルスなどのようなパンデミックでは、被災期間の予測を立てにくく、被害も広範囲に及ぶことが多い。また、出社や働き方の制限などで稼働できる人員が不足し、DRサイトの稼働も危ぶまれることがある。パンデミックでは、自社の建屋や設備には被害が生じず、電力や水道などのライフラインも使用不可能となる事態は少ないが、感染症への罹患によって出社可能な要員数は徐々に減少することが予想される。

そのため、パンデミック時には、自社の経営状態や社会的責任と感染リスクを天秤にかけ、人的資源を確保しながら、どの程度の規模で事業を継続していくかという点もBCP策定のポイントとなる。
そこで、企業はBCP策定時に、パンデミックによる勤務可能な要員の減少で、コア業務でさえも縮小するといった事態を考慮する必要がある。事業の縮小を必要最小限にとどめるためには、少ない要員数でも事業を継続させることが可能となる在宅勤務や交代勤務が有効な手立てとなる。また一人の要員が複数業務をこなせるよう訓練するクロストレーニングなども有効な対策となるだろう。これらの対策を実施しながら、段階的に業務を縮小していくような対応を検討しておく必要がある。

感染症の拡大は、発生の予測や過去の事例からの被害予想が困難である。そのため、予期せぬ事態を想定したBCP策定と合わせて、BCP発動後も感染症に関する正しい情報を収集し続けることが重要になってくる。