慶應義塾大学 大学院経験管理研究科 教授 大林 厚臣さん

大規模な自然災害や感染症のまん延など、事業に重大なダメージを与える危機に対する備えは、企業経営に欠かせないものと言えます。「BCM（事業継続マネジメント）」「BCP（事業継続計画）」といった言葉も広く知られるようになってきました。しかし、平時には必要ないものであるがゆえ、どの程度のコストやマンパワーをかけるべきか、どこまで詳細にプランを詰めればいいのかなど、具体的な対応を手探りで進めている企業は多いのが実状です。BCM/BCPをはじめとする企業のリスクマネジメントに詳しい慶應義塾大学・大林厚臣教授に、危機対応の基本的な考え方、企業がBCM/BCPに取り組む意義、その中で人事はどういった役割を果たすべきかをお聞きしました。

「想定外」の事態に弱い日本企業

――日本企業の緊急事態対応の現状や課題についてお聞かせください。 企業によって違いは大きいのですが、全般的な傾向でいうと、日本企業は「繰り返し発生する事態、過去に経験のある事態」に対して、比較的準備ができていると言えるでしょう。例えば火災や地震、交通事故や工場内での事故などへの対応は事例が豊富にあるので、起きたときには何が必要かといった知見が蓄積されています。定期的な避難訓練などもできており、海外とくらべても優れていると言えるでしょう。 逆に、「はじめての事態、経験が非常に少ない事態」については、判断や対応に苦慮する傾向が見られます。近年でいえばパンデミック、いわゆるコロナ禍がそうでした。日本国内では発生頻度が低い犯罪やテロ、地政学リスクなどにも十分な備えがあるとはいえません。サイバー攻撃にも比較的弱いと思います。 ――危機にもさまざまな種類やレベルがありますが、企業はどこからが危機と考えて準備すればよいのでしょうか。 狭く考えれば災害や事件、事故、戦争やテロなどですが、広く考えれば資金ショートやコンプライアンス違反なども、大きな危機と言えます。「重要な意思決定の場面で、トップと連絡がつかない」といったことも危機にあたるかもしれません。「何が危機になるか」は、企業によって異なるため、「危機の定義」も変わってきます。 ただし、危機対応・リスクマネジメントの原則はあります。危機は「想定外のことが起きた」「想定より規模が大きかった」「対応がうまくできなかった」といった場面で現実の危機になります。そのため、まずは想定外のものを減らすことが重要です。 一方で、想定外をゼロにすることはなかなか難しい。そこで有効なのが、普段から「代替」を用意しておくことです。設備や機材が壊れても、予備があれば状況は大きく改善します。例えば火災のとき、避難経路が複数あれば逃げられる可能性が高まります。コロナ禍では対面での仕事がしにくくなりましたが、代替手段としてリモートワークがあったことで、効率は落ちましたが何とかなりました。 ――そうした企業のリスクマネジメントの文脈で、近年「BCM」「BCP」が注目されていると聞きます。あらためて基本的な考え方をお教えください。 「BCM」はBusiness Continuity Management（事業継続マネジメント）、「BCP」はBusiness Continuity Plan（事業継続計画）であり、詳しくは内閣府のガイドラインにその考え方が示されています。ひとことで表現するなら、「組織のあらゆるリスクに対して重要業務を継続できるようにするマネジメント、またはプラン」です。どちらも意味するところは同じですが、プランよりもマネジメントとした方が継続的な取り組みであることを表しやすいと言えます。危機対応は常に更新されていくべきものと考えると、今後はBCMの方が広く使われていくのではないでしょうか。 ――BCM/BCPの特徴をお聞かせください。また、近年注目されるようになった背景には何があるのでしょうか。 従来の日本企業のリスクマネジメントは、火災対策や労災対策など、「特定のリスクに対してどう対応するのか」という視点で組み立てられてきました。いわばリスク中心の考え方です。それに対してBCM/BCPは、「あらゆるリスクに対して重要事業を守る」という事業中心の考え方をベースにしています。ここに大きな違いがあります。 どんな事態が起きても重要業務を継続する、あるいは一時的に中断しても許容時間内に許容水準まで回復させる。そのためには何が必要なのかをあらかじめ考え、準備しておく。そのために欠かせないのが「守るべき事業、業務の絞り込み」です。すべてを守ろうとすると危機対応のリソースが分散してしまいます。優先順位をつけて、本当に重要な事業を高い水準で守るのがポイントです。一時的に止まってもいい業務は、後回しでかまいません。特に社会インフラを担っている企業の場合、いつまでに回復させないと社会にダメージがあるのかを考え、対策を練っておくことがきわめて重要です。 ――BCM/BCPは、従来の日本企業のリスクマネジメントに足りなかった部分を補う考え方なのでしょうか。 はい。冒頭でも触れましたが、日本企業の場合、すぐに思いつくようなリスクへの対応はある程度できています。ただし、それ以外のリスクへの対応も欠かせません。すべてのリスクを洗い出すことができない以上、想定外の事態が起きた場合は「事業を維持するための経営資源を、いかに守るか」という発想で対処するしかありません。結果的にそれがリスク全般への対策につながります。