規格」タグアーカイブ

YouTube> BCM においてリスクアセスメントはどんな風にやればいいのか

このエントリーをはてなブックマークに追加

YouTube の『事業継続マネジメントについて語りつくすチャンネル』に新しい動画をアップロードしました。

第 11 回: BCM においてリスクアセスメントはどんな風にやればいいのか

今回は BCM におけるリスクアセスメントの考え方や方法論について語っております。
第 9 回「目標復旧時間をどのように決めるか」および第 10 回「BCP では被害想定をどう使うか」とも関連の深い内容ですので、こちらと合わせてご覧いただけると、より腑に落ちやすくなるのではないかと思います。

《参考》

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

書籍紹介『世界に通じる危機対応 ISO 22320:2011 危機対応に関する要求事項 解説』林春男(編集委員長)

このエントリーをはてなブックマークに追加

手前味噌ですが私自身が関わった書籍のご紹介です。

危機対応(緊急事態対応)に関する国際規格「ISO 22320」が 2011 年に発行され、その内容を変えずに和訳したものが日本産業規格「JIS Q 22320」として 2013 年に発行されたことを受けて、これを日本で普及させることを目指して作られた本です。ISO の委員としてこの規格の制定に参画された林春男先生に編集委員長をお願いし、一般社団法人レジリエンス協会の有志 7 名からなる「危機対応標準化研究会」にて執筆しました。

ISO 22320 は、効果的な危機対応を実現するために最低限考慮すべき事柄として、指揮・統制のあり方、危機対応に用いる活動情報処理のあり方、部局間・組織間の協力および連携のあり方、などについてまとめられた規格です。危機事象の種類(災害や事故など)や組織の種類(公的機関や民間企業など)にかかわらず汎用的に適用できる規格となっています。

この規格の JIS 化に合わせて本書を企画した問題意識については、林先生が「はじめに」で次のように述べておられます。

世界の先進国では,どのような種類の危機が発生しても対応可能であり,対応にかかわるすべての組織に共通する一元的な危機対応体制が採用されている.先進国の中では我が国だけが例外である.その原因に,従来の個別的な対処方法でもこれまで様々な種類や規模の危機を乗り越えてきたという成功体験があり,改める必要性が見いだせないことがある.しかし,今後予想される大規模災害を考えると,危機対応の標準化はレジリエンスの向上には不可欠であると考えられる.

 

本書の構成は次のようになっており、規格の内容は第 2 章で解説されています。

  • 第 1 章 危機対応に本当の専門家はいない
  • 第 2 章 ISO 22320 の解説
    • 4. 指揮・統制に関する要求事項
    • 5. 活動情報に関する要求事項
    • 6. 協力及び連携に関する要求事項
  • 第 3 章 規格は使わなければ意味がない
  • 第 4 章 ISO 22320 を現場に活かすには
  • 付録 ISO 規格開発手順

私自身は第 2 章の「4. 指揮・統制に関する要求事項」の執筆を担当させていただきました。また林先生に第 1 章と第 3 章の執筆をお願いしました。

本書全体を通して、単に要求事項の解説にとどまらず、これらを自治体や企業などの組織で実践するための留意点やヒントをできるだけ記述するようにしています。

特に第 2 章においては、規格の内容に基づく解説に加えて、具体例のひとつとして米国で標準的に採用されている「Incident Command System」(ICS)の要点を紹介しています。ICS は ISO 22320 よりも先に開発されたものですが、ISO 22320 の要求事項が概ねカバーされているので、この規格の要求事項を具体的にはどのように実現していくのかを考えるうえで、とても参考になります。

 

実は ISO 22320 が既に 2018 年に改定されており、規格の構成や内容が大幅に刷新されているのですが、この 2018 年版が JIS 化される予定は今のところ無いようです(2020 年 10 月時点での状況)。したがって本書も改訂される予定がありません。個人的には 2018 年版も早急に JIS 化されてほしいのですが…….。

 

【書籍情報】

危機対応標準化研究会(編著)(編集委員長 林春男)(2014)『世界に通じる危機対応 ISO 22320:2011(JIS Q 22320:2013)社会セキュリティ – 緊急事態管理 – 危機対応に関する要求事項 解説』日本規格協会。

Amazon リンク

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

note> BCP を「ISO 規格と同じように作らなければいけない」という誤解がいまだにある

このエントリーをはてなブックマークに追加

当サイトにアクセスされた方であれば、事業継続マネジメント(BCM)に関する国際規格として「ISO 22301」という規格があるのをご存じの方も多いと思いますが、この規格に関して重大な誤解をされている方がおられるようなので、少しでもそのような誤解を解消していければと思って文章にまとめてみました。下記リンク先よりお読みいただければ幸いです。

note: BCP を「ISO 規格と同じように作らなければいけない」という誤解がいまだにある
https://office-src.biz/2E46An2

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

ISO 22361 – 新しい国際規格の開発が始まってるようです

このエントリーをはてなブックマークに追加

某社からメールで届いたニュースの中に「ISO 22361」という記述がありました。最初は「ISO 22316」のタイプミスかと思ったのですが、説明の内容が ISO 22316 と全然違うので、ISO の Web サイトを調べてみたところ、「Security and resilience — Crisis Management — Guidelines for developing a strategic capability」(セキュリティとレジリエンス – 危機管理 – 戦略的な能力を開発するためのガイドライン)というタイトルで、新しい規格の開発が進められているとの事でした。今のところ「AWI」(Approved new Work Item)というステータスなので、まだドラフトすら出来ていないという状況だと思われます。

ISO の 223 系列の規格制定を担当している技術委員会「TC292」の Web サイトで、どのような規格の開発を目指しているかが説明されています。こちらの説明によると危機管理における戦略的意思決定者(つまり経営層)のためのガイドラインとの事ですので、どのような規格になるのか今から楽しみです。

ちなみに、このプロジェクトのリーダーは Kevin Brear という方で、英国にある Grant Thornton というコンサルティングファームでシニアマネージャーを務めておられる方のようです。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

YouTube> ISO 規格をどのように活用するか

このエントリーをはてなブックマークに追加

YouTube の『事業継続マネジメントについて語りつくすチャンネル』に新しい動画をアップロードしました。

第 7 回: ISO 規格をどのように活用するか

ISO 規格の使いみちは認証取得だけではありません。
事業継続マネジメントの活動をより有効に、より楽にするために、ISO 規格を活用する意義やメリットについて語っております。

(機材の都合上、音量が若干小さめになっておりますので、ご視聴の際には音量を適宜調整していただければ幸いです。)

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

ISO 22301 2019 年版における「solutions」の意味

このエントリーをはてなブックマークに追加

事業継続マネジメントシステム(BCMS)に関する要求事項を定めた国際規格『ISO 22301』が 2019 年 11 月に、これに関するガイドラインである規格『ISO 22313』も 2020 年 2 月に、それぞれ改訂されました。この改訂において BCMS の概念や方法論が大きく変わったわけではありませんが、いくつかの用語に関しては重要な変更が行われています。その中で本稿では「solutions」という用語について解説したいと思います。

ISO 22301 および 22313 では、項番 8.3 のタイトルが「Business continuity strategies and solutions」となっています。これは改訂前の旧版では「Business continuity strategies」であり、両規格の日本語訳である JIS 規格では「事業継続戦略」と訳されています。改訂版ではこれに「and solutions」が追加されました。

では「Business continuity strategies」と「Business continuity strategies and solutions」とでは何が違うのか?という話になりますが、結論から申し上げると、これらの実質的な意味はほとんど変わらないと考えて差し支えありません。

このような説明だと単に無駄な変更が加えられたように思われるかもしれませんので、このような変更が行われた背景を説明させていただきたいと思います。

この部分の改訂は、BCI から発行されている『Good Practice Guidelines』(略称 GPG)の影響を受けています。GPG の 2013 年版では ISO 規格と同様に「business continuity strategies」という用語が使われていましたが、2018 年版にむけて改訂される際に「business continuity solutions」に変更されました。このような変更が行われた理由については、GPG 2018 年版の 9 ページ目に次のような記述があります。

The previous use of the term ‘business continuity strategies’ in the Design stage of the business continuity management lifecycle has caused some confusion with organizational level strategies. Consequently, the GPG 2018 edition adopts the term “business continuity solutions”.

つまり、BCM の範疇で使われる business continuity strategies と、例えば経営戦略、ビジネス戦略といったような組織全体としての strategies との間で若干の混乱があったため、BCM の中では「strategies」という用語を使うのをやめて、これを「solutions」で置き換えたということです。つまり GPG においては「business continuity strategies」と「business continuity solutions」とは同じ意味で使われています。

その後、ISO の委員会で ISO 22301 の改訂に関する議論が始まったときに、BCI のメンバーから、同様の用語変更が提案されたそうです。この提案を行ったのが具体的に誰なのかは聞いていませんが、ISO においてこの規格を担当している技術委員会 TC292 には、BCI のメンバーが複数含まれていますので、それらのうちの誰かだと思われます。しかしながら「strategies」を「solutions」で置き換えることについては合意に至らず、いわば折衷案のような形で「strategies」が残されたまま「solutions」が追加された形となったようです。

そして合意され正式に発行された ISO 22301 においては、8.3.1 節に次のように説明されています。

The business continuity strategies shall be comprised of one or more solutions.

つまり「business continuity strategies」は 1 つまたは複数の「solutions」の集まりだと定められています。また、もし solutions が 1 つだけならば strategies = solutions ということになります。

また両規格のどこにも、strategies や solutions の違いや要件が説明されている箇所はありませんし、多くの箇所で「strategies and solutions」としてまとめて扱われています。そう考えると BCM においては、strategies と solutions との間に実質的な違いはほとんど無いと言ってよいでしょう。

実務的には、自組織における BCM の中では「business continuity solutions」という用語を使っておき、外部の方々に対してなにか説明する必要があるとき(例えば認証審査など)には、その solutions を指して「これがうちの strategies です」と言えばよいでしょう。

もちろん strategies、solutions という単語そのものが持つニュアンスの違いがありますので、全く同じと言うと語弊があると思いますが、実務上問題となるような違いはないと考えられます。どちらを使うべきか迷うくらいでしたら、前述のとおり GPG に述べられている理由から、「solutions」を使うことをお勧めしたいと思います。

なお現時点(2020 年 3 月)ではまだ JIS 規格の方が改訂されていませんので、この solutions がどのように訳されるかは分かりません。直訳すると「解決策」などということになりますが、事業継続に関して「解決策」というのは違和感があります。どう訳されるのでしょうか?

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

ISO 22313 の 2020 年改訂版が発行されました

このエントリーをはてなブックマークに追加

事業継続マネジメントシステム(BCMS)に関する国際規格「ISO 22313」の 2020 年版が ISO の Web サイトで購入可能になっていました。

『ISO 22313:2020 Security and resilience — Business continuity management systems — Guidance on the use of ISO 22301』
https://www.iso.org/standard/75107.html

英日対訳版や JIS 規格の発行まではしばらく時間がかかると思いますので、日本国内における実務はもうしばらく旧版ベースにならざるを得ないと思いますが、今のうちから英語版で勉強しておかなければ、と思います。

【2020.2.27 追記】
日本規格協会の Web サイトでも購入できるようになりました。
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=ISO+22313%3A2020

なお、今のところ旧版も引き続き購入可能な状況にあります。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

今さらですが「BCP」とは何か?という話

このエントリーをはてなブックマークに追加

当サイトにアクセスされた方であれば、既に「BCP」という用語はご存じかと思います。言うまでもなく、これは「事業継続計画」(Business Continuity Plan)の略称です。

私がこの用語に初めて触れたのは 1998 年ごろでした。当時は情報セキュリティに関する仕事をしていたので、情報セキュリティに関する英国規格「BS 7799」に記載されていたものを読んだのが最初です(まだ ISO/IEC 17799 などが発行される前の話です)。あの当時に比べると、今では日本でも「BCP」という用語がずいぶん普及してきたように思います。

このような用語が普及するのは良いことではあるのですが、一方で明らかな誤用や、かなり本来の意味から外れた使い方などが横行するようになってきました。そこで本稿では、「BCP」とは本来どのような意味なのかを整理しておきたいと思います。

まず、「BCP」の公式な定義は次のようになっています。

business continuity plan

documented information that guides an organization to respond to a disruption and resume, recover and restore the delivery of products and services consistent with its business continuity objectives

事業継続計画

事業の中断・阻害に対応し、組織の事業継続の目標に一致するように製品およびサービスの提供を再開し、回復し、復旧するように組織を導く、文書化された情報。

(出典:ISO 22301:2019)(和訳部分は筆者)

この定義がなぜ「公式」かというと、国際規格「ISO 22301」で決められている定義だからです。ISO でこの規格を作ったときの委員会には日本からも委員が代表で参加していますので、日本を含む国際社会において公式に定められた定義と言えます。

また、この規格は和訳され、日本産業規格(JIS)の「JIS Q 22301」として制定されています。上記の ISO 規格は 2019 年に改訂されましたが、JIS 規格の方はまだ改訂作業中のため、今のところ 2013 年版が現行最新版となっています。そしてその JIS 規格では、BCP は次のように定義されています。若干表現は変わっていますが、本質的な意味は上の ISO 規格における定義と同じです。

事業継続計画(business continuity plan)

事業の中断・阻害に対応し,事業を復旧し,再開し,あらかじめ定められたレベルに回復するように組織を導く文書化した手順。

(出典:JIS Q 22301:2013)

今のところ日本には BCP に関する法律はありませんので、これが日本における公式な定義ということになります。

(ちなみに日本では、公的機関(政府や自治体など)の BCP が「業務継続計画」と呼ばれています。これは「事業」という単語が営利事業を想起させるためだと聞いていますが、英語では非営利組織に対しても区別なく「business continuity plan」と呼ばれています。)

この定義に従えば、BCP とは次のようなものだという事がわかります。

  • (1) 文書化されたものである
  • (2) 事業の中断・阻害が発生した後にやること(事後対応)が書かれているものである
  • (3) 事業を再開・復旧・回復させるための活動に関することが書かれているものである
  • (4) 必ずしも元どおりに復旧するための計画であるとは限らない

まず最初に明らかなのは、BCP とは何らかの形で文書化された「計画」のことだということです。これに対して、代替事業所の活用や外部への業務委託、自宅で業務を行うことなど、事業継続のための方策のことを「これが当社の BCP だ」などと表現する方がおられますが、これは正しくありません。

「これらの方策を使うことが当社の BCP に書かれている」というなら分かりますが、文書化されていない状況で、このような方策そのものを BCP と呼ぶのは間違いです。ひどい例では、災害対策関連の商品やサービスの売り文句として、「BCP 対策」という表現を見ることがあります。「BCP」つまり文書化された計画に対する「対策」とは何なのでしょうか?意味が分かりません。明らかに誤用です。どうも災害やリスクに対する対応のしかたや取り組み全般に対して、幅広く「BCP」という言葉が使われてしまっているようです

また、平常時にどのような準備をしておくか(例えばデータのバックアップ、物資の備蓄、従業員の教育訓練など)が書かれた文書に「事業継続計画」というタイトルが付けられている場合がありますが、これは上の (2) に照らして考えれば BCP の趣旨とは異なります。もし同じ文書の中に、上の (2) のような事後対応も書かれていれば BCP と呼んでも間違いではありませんが、そのようなことが書かれていなければ、それは BCP ではありません。

次に指摘しておきたいのは、文書に書かれた事後対応の内容です。BCP に含まれうる事後対応は、大まかに次のように分けられます。

  • a) 事故や災害などの緊急事態が発生した直後の初期対応(「初動」と呼ばれることがあります)
  • b) 製品またはサービスの提供を再開・継続させるための活動
  • c) 製品またはサービスの提供を、平常時の状態に復旧させるための活動

実際に企業などで作られている BCP の中には、これらのうち a) しか書かれていないものが散見されますが、それらは上の (3) を満たしませんので、BCP とは言えません。

ところで上の (4) はちょっと分かりにくいかもしれませんが、これは ISO の定義における「組織の事業継続の目標に一致するように」という部分と、JIS の定義における「あらかじめ定められたレベルに」という部分が該当します。これは、事業の中断・阻害が発生した後にそれらをどのくらいの時間で、どのくらいのレベルまで復旧させるか、という目標をあらかじめ決めて BCP に書いておき、その目標に合わせて復旧を目指すということです。もちろん、これらの目標は経営層から承認されている必要があります。

例えばある企業で、「商品 A の生産量を一ヶ月後までに 50% まで復旧させる」という目標が決まっていて、「とりあえずこのレベルまでたどり着けば、あとは走りながら考えて復旧させるのでも間に合う」というような判断をしたとします。この場合、その企業の BCP には「一ヶ月後までに 50% まで復旧させる」ための方策や、それを実施するための手順が含まれていればよく、そこから先の(100% まで復旧させるための)方策については文書化する必要がないということです。

以上は規格における定義にできるだけ忠実に説明していますが、本稿の意図は、全ての BCP(もしくは「BCP」と呼ばれるもの)に対して、これらを厳密に当てはめるべきだという事ではありません。しかしながら用語の定義があまりにもバラバラだと話が噛み合わなくなりますので、「BCP」という用語の本来の意味を正しく理解した上で、あまりにもかけ離れた拡大解釈や誤用などは今後あらためていくことを提案したいと思います。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加