BCP（事業継続計画）入門｜小さな会社でも作れる災害・危機対策ガイド

地震、台風、感染症の流行、サイバー攻撃——。事業を脅かすリスクはいつ、どこからやってくるかわかりません。大企業ではBCP（事業継続計画）の策定が当たり前になっていますが、「うちは小さい会社だから関係ない」と考えている起業家も多いのではないでしょうか。

しかし実際には、経営資源が限られている小規模事業者こそ、一度の危機で事業が立ち行かなくなるリスクが高いのです。中小企業庁の調査でも、自然災害で被災した中小企業の約4割が、そのまま事業を再開できなかったという報告があります。

本記事では、BCP（事業継続計画）の基本概念から、小さな会社でも無理なく策定できる実践的な手順までをわかりやすく解説します。難しい書類を作ることが目的ではなく、いざというときに事業を守れる実効性のある計画を立てることを目指しましょう。

BCP（事業継続計画）とは何か

BCP（Business Continuity Plan）とは、地震や水害などの自然災害、感染症の流行、大規模なシステム障害、取引先の倒産など、事業の継続を脅かす緊急事態が発生した際に、被害を最小限に抑え、重要な業務を中断させない、あるいは早期に復旧させるための計画です。

BCPと防災計画の違い

BCPと混同されやすいのが「防災計画」です。防災計画は、主に人命の安全確保と物的被害の軽減を目的としています。例えば、避難経路の確認、消火設備の設置、防災訓練の実施などがこれに該当します。

一方、BCPは防災計画を包含しつつ、さらに「事業をどう継続するか」「どの業務を優先的に復旧させるか」「取引先や顧客への対応をどうするか」といった経営的な視点を加えたものです。従業員の安全を守るだけでなく、事業そのものの存続を守ることがBCPの目的です。

小規模事業者にBCPが必要な理由

小規模事業者がBCPを策定すべき理由は複数あります。第一に、経営資源の代替が難しいことです。大企業であれば複数の拠点や部門で業務を分散できますが、小さな会社では経営者一人に業務が集中していることが多く、その経営者が動けなくなると事業全体が止まってしまいます。

第二に、財務的な余力が少ないことです。事業が停止すると売上はゼロになりますが、家賃や借入金の返済などの固定費は発生し続けます。数週間の事業停止でも、資金ショートに陥る可能性があります。

第三に、取引先からの要求です。大手企業を取引先に持つ場合、サプライチェーン全体の事業継続力が問われるようになっており、BCP策定が取引条件に含まれるケースも増えています。

起業家が想定すべきリスクの整理

BCP策定の第一歩は、自社にとってどのようなリスクがあるかを洗い出すことです。すべてのリスクに備えることは現実的ではないため、発生確率と影響度の大きさを基準に優先順位をつけます。

自然災害リスク

日本は地震、台風、豪雨、洪水など、自然災害のリスクが非常に高い国です。事業所の所在地によっては、ハザードマップで浸水想定区域や土砂災害警戒区域に含まれている場合もあります。まずは自治体が公開しているハザードマップを確認し、自社の立地にどのようなリスクがあるかを把握しましょう。

自然災害による影響としては、建物・設備の損壊、停電・断水によるインフラの途絶、交通機関の停止による出勤困難、通信回線の遮断などが考えられます。

感染症リスク

新型コロナウイルスのパンデミックは、多くの企業に甚大な影響を与えました。感染症リスクに対しては、従業員の感染による人員不足、外出自粛や営業制限による売上減少、サプライチェーンの分断などが想定されます。

テレワーク体制の整備やオンラインでの業務遂行能力は、感染症対策として非常に有効です。起業初期からリモートワーク可能な業務プロセスを構築しておくことが、結果的にBCPの強化にもつながります。

ITリスク・サイバー攻撃

現代の事業は多くの場合、ITシステムに大きく依存しています。サーバーダウン、クラウドサービスの障害、ランサムウェア感染、データの消失など、ITに関連するリスクは年々増加しています。

特にランサムウェア攻撃は中小企業をターゲットにするケースが増えており、データが暗号化されて業務が完全に停止する事態が現実に起きています。データバックアップの体制と、システム復旧の手順をBCPに組み込むことが重要です。

人的リスク

小規模事業者において最も深刻なリスクの一つが、キーパーソン（特に経営者自身）の長期離脱です。経営者が病気やケガで長期間不在になった場合、意思決定が滞り、事業が停止してしまいます。

また、少人数で運営している会社では、特定の従業員しか知らない業務（属人化した業務）が存在しがちです。その従業員が突然離脱した場合に備え、業務の引き継ぎ手順やマニュアルを整備しておくことが必要です。

BCP策定の具体的な手順

ここからは、小規模事業者でも実践できるBCP策定の具体的な手順を解説します。完璧な計画を目指す必要はありません。まずは最低限の骨格を作り、運用しながら改善していくアプローチが効果的です。

ステップ1：中核事業の特定

まず、自社の事業の中で「最も優先的に継続・復旧すべき事業」を特定します。複数の事業やサービスを展開している場合、すべてを同時に復旧させることは現実的ではありません。売上への貢献度、顧客への影響度、社会的な重要性などを基準に、中核事業を絞り込みます。

例えば、ECサイト運営とコンサルティングを並行して行っている起業家であれば、売上の大半を占めるECサイトの運営を中核事業と位置づけ、その継続を最優先にする、といった判断になります。

ステップ2：目標復旧時間（RTO）の設定

中核事業を特定したら、次にその事業をどれくらいの時間で復旧させるかの目標を設定します。これをRTO（Recovery Time Objective：目標復旧時間）といいます。

RTOは短ければ短いほど良いわけではなく、実現可能性とコストのバランスを考慮して設定する必要があります。例えば、ECサイトの場合、24時間以内の復旧を目標とするか、72時間以内とするかで、必要なバックアップ体制や代替手段の準備が大きく変わります。

ステップ3：ボトルネックの分析

中核事業の継続を妨げる要因（ボトルネック）を分析します。具体的には、その事業を継続するために不可欠な経営資源を「人」「物」「金」「情報」の4つの観点から洗い出します。

「人」については、誰がいないと事業が止まるか。「物」については、どの設備や機器が不可欠か。「金」については、何日分の運転資金が手元にあるか。「情報」については、どのデータやシステムが不可欠か。これらを一つひとつ整理し、それぞれについて代替手段を検討します。

ステップ4：対策の立案と文書化

ボトルネック分析の結果を基に、具体的な対策を立案します。すべてのリスクに完璧に対応する必要はなく、限られた予算の中で最も効果の高い対策から優先的に実施します。

対策は大きく「事前対策」と「事後対策」に分かれます。事前対策は、リスクの発生を防ぐ、または被害を軽減するための備えです。データバックアップ、保険への加入、代替拠点の確保などがこれにあたります。事後対策は、リスクが発生した後に迅速に復旧するための手順です。初動対応の手順、連絡網、業務の優先順位などを文書化します。

小規模事業者向けBCPテンプレート

BCPの文書は、複雑で長大である必要はありません。小規模事業者であれば、以下の項目を網羅したシンプルなテンプレートで十分です。

基本情報と方針

BCPの冒頭には、会社の基本情報と事業継続に関する基本方針を記載します。具体的には、会社名、所在地、代表者名、事業内容、従業員数などの基本情報に加え、「従業員の安全を最優先とする」「中核事業の早期復旧を図る」「取引先・顧客への影響を最小限にする」といった方針を明記します。

緊急連絡先リスト

緊急時にすぐに連絡を取れるよう、以下の連絡先をリスト化しておきます。従業員全員の連絡先（電話番号、メールアドレス、SNSアカウント）、主要取引先の担当者連絡先、保険会社の連絡先、顧問弁護士・税理士の連絡先、管轄の消防署・警察署の連絡先、利用しているクラウドサービスのサポート窓口などです。

このリストは紙でも保管し、オフィス外からもアクセスできるようにしておくことが重要です。クラウド上にだけ保存していると、システム障害時にアクセスできなくなる可能性があります。

初動対応チェックリスト

緊急事態が発生した直後の行動を、チェックリスト形式で整理します。例えば、地震発生時であれば「従業員の安否確認」「建物の安全確認」「ライフラインの状況確認」「主要取引先への連絡」「SNS・Webサイトでの状況発信」といった項目を時系列で並べます。

チェックリスト形式にすることで、パニック状態でも冷静に一つずつ対応を進めることができます。また、経営者以外の人でも初動対応ができるよう、手順は具体的かつ明確に記載しましょう。

業務復旧の優先順位表

すべての業務を同時に復旧させることはできないため、優先順位を明確に定めておきます。「最優先（24時間以内に復旧）」「高優先（72時間以内に復旧）」「中優先（1週間以内に復旧）」「低優先（1ヶ月以内に復旧）」といった分類で整理すると、判断に迷わなくなります。

IT関連のBCP対策

現代の事業においてITシステムの継続は不可欠です。ここではIT関連のBCP対策に焦点を当てて解説します。

データバックアップの3-2-1ルール

データバックアップの基本として広く知られているのが「3-2-1ルール」です。データのコピーを3つ作り、2種類以上の異なるメディアに保存し、1つは遠隔地に保管するというルールです。

例えば、業務データを社内NASとクラウドストレージの両方にバックアップし、さらに月次でポータブルHDDにもコピーして自宅に保管する、といった運用が該当します。これにより、オフィスが被災してもデータを復旧できる可能性が高まります。

クラウドサービスの冗長化

クラウドサービスに依存している場合、そのサービスが障害を起こした際の代替手段を用意しておくことが重要です。例えば、主要なコミュニケーションツールがSlackであれば、障害時にはLINE WORKSやMicrosoft Teamsで連絡を取る、といった代替手段を決めておきます。

また、重要なデータを一つのクラウドサービスだけに保存するのではなく、複数のサービスに分散・バックアップすることで、単一障害点を排除できます。

テレワーク環境の整備

オフィスが使えなくなった場合に備え、テレワークで業務を継続できる環境を整備しておくことはBCPの重要な要素です。VPNやリモートデスクトップの設定、オンライン会議ツールの導入、ペーパーレス化の推進などを平時から進めておくことで、緊急時のスムーズな移行が可能になります。

BCPの運用と定期的な見直し

BCPは策定して終わりではなく、定期的に見直し、訓練を行うことで実効性を維持する必要があります。

年に一度の見直しサイクル

BCPは少なくとも年に一度は見直しを行いましょう。事業環境の変化（新しい取引先の追加、事業所の移転、従業員の増減など）に合わせて、リスク分析や対策の内容を更新します。

見直しのタイミングとしては、年度初めや防災の日（9月1日）など、定期的な時期を決めておくと忘れにくくなります。また、実際に緊急事態が発生した後には、対応の振り返りを行い、BCPの改善点を特定することが重要です。

簡易的な訓練の実施

大規模な防災訓練を行う必要はありませんが、最低限の訓練は実施すべきです。例えば、「安否確認の連絡網テスト」「バックアップデータからの復旧テスト」「テレワークへの切り替えテスト」といった簡易的な訓練を定期的に行うだけでも、実際の緊急時の対応力は大きく向上します。

特にデータ復旧のテストは重要です。バックアップを取っているつもりでも、実際に復旧を試みたら失敗したというケースは珍しくありません。定期的に復旧テストを行い、バックアップが正常に機能していることを確認してください。

BCPを活用した経営力の向上

BCPの策定は単なるリスク対策にとどまらず、経営力の向上にもつながります。BCPを策定する過程で、自社の中核事業や重要な経営資源を改めて整理することになるため、経営戦略の見直しにもなります。

また、BCP策定済みであることは、取引先や金融機関からの信用向上にもつながります。一部の公共入札ではBCP策定が加点要素になるなど、ビジネス上のメリットも生まれています。

小さな会社だからこそ、限られた資源を守るためのBCPが必要です。完璧を求めず、まずは簡易版のBCPから始めてみてください。策定の過程で見えてくる自社の弱点を一つずつ改善していくことが、強い事業基盤の構築につながります。