BCMS」タグアーカイブ

BSI ジャパンが国内で初めて ISO 22301:2019 での審査機関認定

このエントリーをはてなブックマークに追加

BSI ジャパンが 6 月 12 日に同社 Web サイトで発表したところによると、事業継続マネジメントシステム(BCMS)の国際規格である ISO 22301 の 2019 年版に基づく審査を行うことができる、審査機関としての認定を受けたとのことです。

BSI ジャパンの Web サイトでの発表内容はこちら:
https://www.bsigroup.com/ja-JP/about-bsi/media-centre/press-release/2020/june-2020/Info-0612/

JIS 規格(JIS Q 22301)がまだ改定されていないので、英文の規格に基づいて審査されることになりますが、実質的には恐らく日本規格協会から販売されている日英対訳版か、BSI ジャパンが独自に和訳したものが使われるのではないかと思います。いずれにしても、日本の組織が 2019 年版で審査を受けられる状況になったのは良いことですね。

ISO 22301 が昨年秋に改定されて以来、早くから 2019 年版に基づく解説や審査員トレーニングなどを手掛けてこられた BSI ジャパンだからこそ、実現できたのだろうと思います。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

YouTube> ISO 規格をどのように活用するか

このエントリーをはてなブックマークに追加

YouTube の『事業継続マネジメントについて語りつくすチャンネル』に新しい動画をアップロードしました。

第 7 回: ISO 規格をどのように活用するか

ISO 規格の使いみちは認証取得だけではありません。
事業継続マネジメントの活動をより有効に、より楽にするために、ISO 規格を活用する意義やメリットについて語っております。

(機材の都合上、音量が若干小さめになっておりますので、ご視聴の際には音量を適宜調整していただければ幸いです。)

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

E ラーニング「効果的な緊急事態対応のための演習のノウハウ」開講しました

このエントリーをはてなブックマークに追加

新建新聞社様の Web サイト「リスク対策.com」で展開されている「危機管理分野のEラーニング」シリーズの一つとして、私が担当させていただいた「効果的な緊急事態対応のための演習のノウハウ」が本日より開講しました。

下の画像をクリックしていただくと、講座概要と受講申込のページにアクセスできます。

収録は 2 月 25 日に行われ、編集なども特に問題なく進んだと伺っていますが、新型コロナウィルスの影響で状況が変わったため、諸々の事情を考慮して開講時期が延期され、ようやく本日開講となりました。

講座の内容など詳細は上のリンク先をご覧いただければと思いますが、実際にコンサルティングの現場で使っている手法のうち、業種を問わず多くの組織で汎用的に活用できる部分を選んで、できるだけ皆様ご自身が自力で演習に取り組んでいただけるよう、内容や説明のしかたを検討させていただきました。

実務で使えるワークシートや文書ひな形のファイルもダウンロードできるようになっていますので、皆様それぞれ工夫して活用していただければと思います。

少しでも多くの組織において、緊急事態対応や事業継続に関する演習を定常的に実施していただき、事故や災害などの非常事態への備えを見直すために役立てていただければ幸いです。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

note 「BCI GPG を読み解く〜 #5 事業継続プログラムの「適用範囲」を決める(前編) (PP1-2)」投稿しました

このエントリーをはてなブックマークに追加

note で始めたマガジン「Good Practice Guidelines を読み解く」にて 5 本目の記事を投稿しました。

BCI GPG を読み解く〜 #5 事業継続プログラムの「適用範囲」を決める(前編) (PP1-2):
https://note.com/ktashiro/n/nb01355a9cb3e

今回は、事業継続プログラムを有効かつ効率的に(できるだけ楽に)構築・運用するためにとても重要な「適用範囲」(scope)の決め方について、まず基本的な考え方の部分を解説させていただきました。

この次の「後編」では、具体的にどのようなことを検討して適用範囲を決めていくか解説していく予定です。

これから BCM に取り組まれる方々だけでなく、皆様の組織における BCM の運用を見直される際にも、参考にしていただければ幸いです。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

note 「BCI GPG を読み解く〜 #4 「事業継続ポリシー」を決める (PP1-1)」投稿しました

このエントリーをはてなブックマークに追加

note で始めたマガジン「Good Practice Guidelines を読み解く」にて 4 本目の記事を投稿しました(ようやく GPG 本体の内容に入りました)。

BCI GPG を読み解く 〜 #4 「事業継続ポリシー」を決める (PP1-1):  https://note.com/ktashiro/n/n7bf10ce63a9b

ここで説明されているのは「business continuity policy」の作り方です。なぜ「policy」を「方針」と呼ばず、わざわざ「ポリシー」と訳しているのか、という事も含めて解説させていただきました。詳細はリンク先をお読みいただければと思うのですが、「事業継続方針」という言葉から想像される内容と GPG で推奨している内容との間には、ちょっと隔たりがあると思いますので、本稿ではあえて「事業継続ポリシー」と約しています。

これから BCM に取り組まれる方々だけでなく、皆様の組織における BCM に関する各種文書に関して見直しをされる際にも、参考にしていただければ幸いです。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

note 「BCI GPG を読み解く〜 #3 GPG の前書き」投稿しました

このエントリーをはてなブックマークに追加

note で始めたマガジン「Good Practice Guidelines を読み解く」にて 3 本目の記事を投稿しました。

BCI GPG を読み解く 〜 #3 GPG の前書き: https://note.com/ktashiro/n/nb8403cef3d5a

今回は GPG の前書き 4 ページの中から要点をピックアップして解説しています。ここでは、事業継続とは何か?、GPG とは何か?誰のために作られたのか?というような基本的な事項について記述されています。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

note 「BCI GPG を読み解く 〜 #2 GPG の構成」投稿しました

このエントリーをはてなブックマークに追加

note で始めたマガジン「Good Practice Guidelines を読み解く」にて 2 本目の記事を投稿しました。

BCI GPG を読み解く 〜 #2 GPG の構成: https://note.com/ktashiro/n/nd2558aeacd6c

今回は GPG 全体の文書構成を解説しています。このような構成を先に頭に入れておいたほうが、読み進めていくのも楽ですし、後から「あれどこに載ってたかな?」と探すのも楽になると思いますので。

前回の投稿から一ヶ月近く間があいてしまって情けない限りですが、地道に続けていきます。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

「演習」と「訓練」は使い分けるべき

このエントリーをはてなブックマークに追加

本件については既にいろいろなところで申し上げていますし、私のオリジナルでもありませんので、特に目新しい話題ではありませんが、少しずつでも普及させるには地道に繰り返していく必要があると思いますので、ここで改めて文章にしておきたいと思います。

災害対策や事業継続マネジメント、さらには緊急事態対応などに関する活動において、演習や訓練が不可欠なのは言うまでもありません。しかしながら「演習」と「訓練」は別の用語であるにも関わらず、日本においてはこれらが正しく使い分けられておらず、混同されることが多いのが現状です。

例えば内閣府(防災担当)が 2013 年 8 月に発表した「事業継続ガイドライン」第三版(注 1)では、本来は「演習」と「訓練」とが本来使い分けられるべきであることを認識しつつも、「日本国内における一般的な分かりやすさを優先し、厳密な使い分けはしない」という立場がとられています(P. 30)。内閣府(防災担当)がそう書かざるをえないくらい、世間では混同されているということでしょう。

しかしながら、これらの用語が正しく理解されないと、演習や訓練を行う際の目的が曖昧になるおそれがあり、その結果として演習や訓練から期待される成果が得られにくくなる可能性があります。そこで本稿ではこれらの用語の意味や使い分け方を整理して説明させていただきます。また、本稿の内容は私の勝手な意見や思い込みではなく、国際的なコンセンサスに基づいていますので、その根拠もお示ししておきたいと思います。

なお本稿はあくまでも、災害対策や事業継続マネジメントなどの分野における用語に関する文章ですので、他の分野では異なる定義や用法があるかもしれません。その点はご承知おきください。

用語の意味

「演習」とは、主に計画や対応手順の妥当性や準備状況の確認などを目的として実施されるものです。これに対して「訓練」とは、主に手順の理解や習熟度の向上を目的として実施されるものです。

もちろん、演習を行うことによって対応手順をより深く理解できるということもあります(特に、その手順に関する演習を初めて行う場合)。また訓練を行うことの副産物として、マニュアルなどの文書の間違いが見つかることもあります。このように、実際にはこれらの間には相互補完的な部分があります。

しかしながら、演習や訓練を企画、準備、実施する際には、これから行う演習(もしくは訓練)の主な目的は何なのか?ということを明確にして行う必要があります。これが明確でないままだと、演習や訓練を実施したあとの成果が分かりにくくなります。

演習に期待すべき成果は、計画やマニュアル、および様々な準備に関する間違い、更新漏れ、解決すべき課題、改善の余地などが明らかになることです。もし仮に、演習の途中で重大な問題が見つかって演習を中断せざるを得なくなったとしても、それは演習を行うことによって問題を発見できた結果なのですから、演習としては成果が得られたことになります(もっとも、それが演習しなくても分かるような初歩的な問題だったのであれば、単なる時間の空費です)。

一方、もしこれが訓練だったのならば、予定されていた訓練を全て実施できなかったのですから、訓練としてはうまくいかなかったということになります。このとき参加者の中に、演習としての成果を期待していた人と、訓練だと思って参加した人とが混在していたら、一部の方々は結果に不満を感じ、今後の演習や訓練に協力してくれなくなくなるかもしれません。

特に経営層の方々との間で、成果に関する認識がズレてしまったらたら致命的です。したがって、演習や訓練を実施する際には、どのような成果を期待するのかという点について、参加者の間で共通認識ができていることが非常に重要です。このような認識のズレを防ぐために、「演習」と「訓練」という 2 つの用語を適切に使い分けることが必要です。

国際規格における「演習」と「訓練」

日本で事業継続や危機管理などの分野で用いられる主な用語が定義されているのは、日本産業規格(注 2)のひとつである「JIS Q 22300 – 社会セキュリティ – 用語」です。この規格は国際規格「ISO 22300」をほぼ完全に和訳して作られたもので、この規格の中で演習や訓練に関する用語が次のように定義されています。

訓練(drill)
ある特定の技能を練習し、複数回の繰返しを伴うことが多い活動。

教育訓練(training)
知識、技能及び能力の、学習及び育成を促し、ある任務又は役割のパフォーマンスを改善するために策定された活動。

演習(exercise)
組織内で、パフォーマンスに関する教育訓練を実施し、評価し、練習し、改善するプロセス。

(出典:JIS Q 22300:2013)

まず訓練に関しては「訓練」と「教育訓練」の 2 つがありますが、いずれも前項で述べたとおり、主に習熟度の向上という観点で行われるものとして定義されています。

一方、「演習」については定義の中に「教育訓練」という言葉が含まれているため混乱を招きそうですが、注記として次のような記述があり、これを見ると主に妥当性の確認や検証、評価が主な目的であることが分かります(注 3)。

注記1 演習は、次のような目的のために利用することができる。
– 方針、計画、手順、教育訓練、装置又は組織間合意の妥当性確認
– 役割及び責任を担う要員の明確化並びにそれらの教育訓練
– 組織間の連携及びコミュニケーションの改善
– 資源の不足部分の特定
– 個人のパフォーマンスの改善、及び改善の機会の特定
– 臨機応変な対応を練習する統制された機会

(出典:JIS Q 22300:2013)

前述の通り、この定義は「ISO 22300」という国際規格に基づいています。つまり、これが世界各国からこの分野の専門家が集まって合意された定義ということになります。本稿の序盤の部分で「国際的なコンセンサスに基づいています」と述べたのはこのためです。

事業継続マネジメントにおける「演習」と「訓練」の位置付け

事業継続マネジメントシステムに関する国際規格「ISO 22301」(およびその日本語訳である「JIS Q 22301」)の中で、訓練は人員に必要な力量を備えさせるためのものとして、項番 7.2 に記述されています。一方で演習については、「事業継続手順が事業継続目的に合致していることを確実にするため」に行うものとして項番 8.5 に記述されています。

下図は JIS Q 22301 に対する指針として作られた規格「JIS Q 22313」からの引用で、事業継続マネジメントに必要な 5 つの活動の関係を表したものです。この図の中で「事業継続手順の確立及び実施」が項番 8.4、「演習及び試験の実施」が項番 8.5 となっています。この中で事業継続計画(BCP)を文書化する作業は 8.4 の中で行われますので、文書化された BCP の内容を確認・検証するためのものとして演習が位置付けられていることが分かります。

(出典:JIS Q 22313:2014)

(参考)軍隊における「演習」と「訓練」

海上自衛隊の出身でおられる、(株)イージスクライシスマネジメント代表取締役の林祐氏が、軍隊における「演習」と「訓練」について、ご自身のブログで次のように書いておられます。表現は若干異なりますが、本稿で説明させていただいている定義や用法と概ね一致していると言えます。

軍隊では「訓練」は練度の向上を目的として行われます。
一方の「演習」が練度の向上を目指していないわけではないのですが、直接的な目的は「検証」です。

「訓練」は個人や部隊の練度の向上を目指していますので、その効果が最大限に上がるように様々な工夫がなされています。極めて初歩的・基礎的なレベルから高度に複雑なレベルへ段階を踏むのが普通です。

「演習」はその練度がどのレベルにあるのか、あるいは立案された計画に何か問題はないのか、その計画に従うとどういう結果になるのかを検証してみる場合などに行われるのが普通です。

(出典:専門コラム「指揮官の決断」:第 38 回「演習」と「訓練」
https://aegis-cms.co.jp/622

ちなみに林氏による下記の著書には、図上演習の手法が具体的に分かりやすく書かれていますので、ご一読をお勧めします。

林祐(2019)『知らないと損をする経営トップのための「図上演習」活用術』日本コンサルティング推進機構
https://www.amazon.co.jp/dp/4908617694

【注釈】

  1. http://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline03.pdf
  2. かつては日本工業規格と呼ばれていました。
  3. 私の推測ですが、恐らく ISO で規格の内容を検討する際に各国の委員から出された意見を取り込んだ結果、妥協の産物としてこのような定義になったのではないかと思います。ちなみに ISO 22300 より前に作られた英国国家規格(BS 規格)の中では、「exercise」は教育訓練的な内容を伴わない形で定義されています。
(BiBTeX)
author = "林 祐",
yomi = "Yu Hayashi",
title = "知らないと損をする経営トップのための「図上演習」活用術",
publisher = "日本コンサルティング推進機構",
year = 2019,

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

ISO 22301 2019 年版における「solutions」の意味

このエントリーをはてなブックマークに追加

事業継続マネジメントシステム(BCMS)に関する要求事項を定めた国際規格『ISO 22301』が 2019 年 11 月に、これに関するガイドラインである規格『ISO 22313』も 2020 年 2 月に、それぞれ改訂されました。この改訂において BCMS の概念や方法論が大きく変わったわけではありませんが、いくつかの用語に関しては重要な変更が行われています。その中で本稿では「solutions」という用語について解説したいと思います。

ISO 22301 および 22313 では、項番 8.3 のタイトルが「Business continuity strategies and solutions」となっています。これは改訂前の旧版では「Business continuity strategies」であり、両規格の日本語訳である JIS 規格では「事業継続戦略」と訳されています。改訂版ではこれに「and solutions」が追加されました。

では「Business continuity strategies」と「Business continuity strategies and solutions」とでは何が違うのか?という話になりますが、結論から申し上げると、これらの実質的な意味はほとんど変わらないと考えて差し支えありません。

このような説明だと単に無駄な変更が加えられたように思われるかもしれませんので、このような変更が行われた背景を説明させていただきたいと思います。

この部分の改訂は、BCI から発行されている『Good Practice Guidelines』(略称 GPG)の影響を受けています。GPG の 2013 年版では ISO 規格と同様に「business continuity strategies」という用語が使われていましたが、2018 年版にむけて改訂される際に「business continuity solutions」に変更されました。このような変更が行われた理由については、GPG 2018 年版の 9 ページ目に次のような記述があります。

The previous use of the term ‘business continuity strategies’ in the Design stage of the business continuity management lifecycle has caused some confusion with organizational level strategies. Consequently, the GPG 2018 edition adopts the term “business continuity solutions”.

つまり、BCM の範疇で使われる business continuity strategies と、例えば経営戦略、ビジネス戦略といったような組織全体としての strategies との間で若干の混乱があったため、BCM の中では「strategies」という用語を使うのをやめて、これを「solutions」で置き換えたということです。つまり GPG においては「business continuity strategies」と「business continuity solutions」とは同じ意味で使われています。

その後、ISO の委員会で ISO 22301 の改訂に関する議論が始まったときに、BCI のメンバーから、同様の用語変更が提案されたそうです。この提案を行ったのが具体的に誰なのかは聞いていませんが、ISO においてこの規格を担当している技術委員会 TC292 には、BCI のメンバーが複数含まれていますので、それらのうちの誰かだと思われます。しかしながら「strategies」を「solutions」で置き換えることについては合意に至らず、いわば折衷案のような形で「strategies」が残されたまま「solutions」が追加された形となったようです。

そして合意され正式に発行された ISO 22301 においては、8.3.1 節に次のように説明されています。

The business continuity strategies shall be comprised of one or more solutions.

つまり「business continuity strategies」は 1 つまたは複数の「solutions」の集まりだと定められています。また、もし solutions が 1 つだけならば strategies = solutions ということになります。

また両規格のどこにも、strategies や solutions の違いや要件が説明されている箇所はありませんし、多くの箇所で「strategies and solutions」としてまとめて扱われています。そう考えると BCM においては、strategies と solutions との間に実質的な違いはほとんど無いと言ってよいでしょう。

実務的には、自組織における BCM の中では「business continuity solutions」という用語を使っておき、外部の方々に対してなにか説明する必要があるとき(例えば認証審査など)には、その solutions を指して「これがうちの strategies です」と言えばよいでしょう。

もちろん strategies、solutions という単語そのものが持つニュアンスの違いがありますので、全く同じと言うと語弊があると思いますが、実務上問題となるような違いはないと考えられます。どちらを使うべきか迷うくらいでしたら、前述のとおり GPG に述べられている理由から、「solutions」を使うことをお勧めしたいと思います。

なお現時点(2020 年 3 月)ではまだ JIS 規格の方が改訂されていませんので、この solutions がどのように訳されるかは分かりません。直訳すると「解決策」などということになりますが、事業継続に関して「解決策」というのは違和感があります。どう訳されるのでしょうか?

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加

ISO の各種マネジメントシステム規格による認証取得状況(2018 年時点)

このエントリーをはてなブックマークに追加

ISO の Web サイトにて、2018 年の時点での各種マネジメントシステム規格による認証取得数のデータが公開されています。

これは「The ISO Survey」というタイトルで以前から行われているもので、現在掲載されているのは 2019 年 9 月に発表されたものです。次の URL でご覧になれます。

https://www.iso.org/the-iso-survey.html

いくつかの理由により 2018 年分から集計方法が変わったようで、過去のデータとの単純比較はできなくなったようです。

事業継続マネジメントに関する規格「ISO 22301」に基づく認証取得数も国別に集計されており、上位 10 位までは次のようになっています。

1 位: 英国(190)
2 位: シンガポール(106)
3 位: インド(105)
4 位: 日本(61)
5 位: 韓国、UAE(57)
7 位: スペイン(47)
8 位: 中国(45)
9 位: タイ(43)
10 位: ナイジェリア(30)

英国とシンガポールで認証取得が進んでいるのは以前から知っていましたが、中国や韓国、タイでの数字が伸びてきているのが少し意外でした。またマレーシアがここに入らなかったのも意外でした(個人的な印象としてはタイより上だと思っていました。

なお日本の数字に関しては、一般社団法人情報マネジメントシステム認定センター(ISMS-AC)の Web サイトで公開されている情報によると、日本国内での認証取得数は 93 ということになっています(2020 年 2 月 23 日時点)。これは下記 URL で確認できます。

https://isms.jp/bcms/lst/ind/index.html

確か 2018 年ごろに JIPDEC の Web サイトで確認したとき既に 90 組織くらいでしたので、この 2、3 年は大きな動きはないと思います。ISO 側の数字とかなり差があるので、集計方法が何か違うのかもしれません。

 

合同会社 Office SRC 代表 田代邦幸

このエントリーをはてなブックマークに追加