リスクマネジメントとBCPの違いは？連動させる3ステップと対象リスクの選び方

自社のリスクを洗い出しても「どこまでをBCPに盛り込めばよいのか」と迷うことはないでしょうか。

リスクマネジメントとBCPは関係が深い一方で、扱う範囲と目的が異なります。

リスクマネジメントは企業のさまざまなリスクを把握し、対応を考える取り組みです。

その中でBCPは、重要業務が止まる事態を想定し、業務の継続や早期復旧に備えます。

洗い出したすべてのリスクを、BCPに盛り込む必要はありません。

まずは、リスクマネジメントとBCPがそれぞれ何を目的とするのかを整理しましょう。

＼まずは簡単お問い合せ！／

BCPについてご相談したい方はコチラ！
無料で相談する

リスクマネジメントとBCP（事業継続計画）の違い

リスクマネジメントとBCPは、どちらも企業の事業を守るための取り組みです。

ただし、対象とするリスクの範囲と、備えの目的が異なります。

リスクマネジメントとは？意味を簡単に解説

リスクマネジメントとは、企業の目標や事業活動に影響するリスクを把握・評価し、対応を決めて実行する取り組みです。

自然災害に加え、情報漏えい、人材不足、取引先の問題など、幅広いリスクを扱います。

対応方法も、発生を防ぐ対策だけではありません。

影響を小さくする、保険などで損失に備える、発生後の対応を決めるといった方法を、リスクに応じて選びます。

参考：ISO「Effective risk management」

BCPは重要業務の継続・早期復旧に備える計画

BCPは「事業継続計画」のことです。

災害などの緊急事態が起きても、重要な業務を続ける、あるいは停止した業務を早期に復旧するため、平常時の備えと緊急時の対応を定めます。

両者の違いを整理すると、次のとおりです。

たとえば、情報漏えいを防ぐためのアクセス管理は、リスクマネジメントの対策です。

一方、システム障害によって受注業務が止まる場合に備え、代替手段や復旧の優先順位を決めることは、BCPに関わります。

参考：中小企業庁「BCP（事業継続計画）とは」

BCPはリスクマネジメントに含まれる対策の一つ

リスクマネジメントでは、洗い出したリスクごとに必要な対策を考えます。

そのうち、重要業務の継続や復旧に備えるための計画がBCPです。

つまり、すべてのリスクにBCPを作るわけではありません。

リスクが発生したときに、どの業務が止まり、事業や取引先にどれほど影響するかを見極めることが、BCPにつなげる出発点になります。

リスクマネジメントと危機管理の違い

危機管理は一般に、事故や災害などの危機が起きた際の判断・対応に重点を置く言葉です。

一方、リスクマネジメントは、発生前の備えから発生後の対応、見直しまでを含む広い取り組みとして使われます。

ただし、両者の範囲は重なるため厳密には分けられません。

「リスクマネジメントは事前対策だけ」などと分けるのではなく、危機が起きた後の対応も含めてリスクを管理すると捉えると、BCPとの関係を整理しやすくなります。

企業のリスクマネジメントで扱う例とBCPの対象範囲

企業が管理すべきリスクは、災害だけではありません。

まずはリスクを幅広く捉え、その中から重要業務の中断につながるものを見極めます。

企業が管理すべき主なリスクの例

企業が管理すべきリスクには、たとえば次のものがあります。

同じリスクでも、企業によって業務への影響は異なります。

たとえばシステム障害が起きた場合、代替手段のある業務は続けられても、受注から出荷までを一つのシステムに頼る業務は停止するかもしれません。

BCPで備えるのは重要業務を停止させるリスク

BCPの対象として検討したいのは、重要業務を止め、顧客への提供や取引先への納品などに大きな影響を及ぼす事態です。

たとえば、主力製品を作る設備が使えなくなる、基幹システムが停止する、主要な仕入先からの供給が途絶えるといった場合が考えられます。

こうした事態に備え、業務を続ける方法や、停止した際に何から復旧するかを決めておくことが重要です。

中小企業庁の指針でも、中核事業と重要業務を把握し、継続を妨げる要因や復旧に許される時間を確認することが示されています。

BCPだけでは対応できないリスクもある

BCPは、リスクへの対策をすべて担う計画ではありません。

たとえば情報漏えいには、アクセス権限の管理や従業員教育、発生時の調査・報告などが必要です。

漏えいに伴うシステム停止によって重要業務を続けられなくなる場合は、その業務の継続・復旧もBCPで検討します。

事故や災害でも、人命の安全確保や被害の拡大防止は欠かせません。

そのうえで、事業への影響を確認し、重要業務の継続・早期復旧が必要な部分をBCPにつなげます。

参考：中小企業庁「事業への影響度を評価する」

リスクマネジメントのプロセスからBCPへつなげる3つのステップ

リスクを洗い出すだけでは、BCPに何を盛り込むべきか決まりません。

事業への影響を確認し、重要業務の継続・復旧に必要な対策へつなげます。

1．企業を取り巻くリスクを洗い出す

まず、拠点や設備、従業員、システム、仕入先などに、どのような問題が起こり得るかを挙げます。

管理部門だけで考えず、各部門にも確認しましょう。

現場でしか分からない業務上の依存関係を把握できるため、この段階でBCPに含めるリスクを絞り込む必要はありません。

BCPに含めるかどうかを決める前に、事業に影響するリスクを幅広く洗い出します。

2．事業停止につながるリスクと影響を評価する

次に、洗い出したリスクごとに、それが起きた場合にどの業務が止まるかを確認します。

発生しやすさだけでなく、停止が続く時間や、顧客・取引先への影響も評価しましょう。

たとえば、主力製品を作る設備の故障は、頻繁には起きなくても、代替設備がなければ納品停止につながります。

この場合、故障を防ぐ対策に加え、設備が使えない間の製造方法や、復旧までの対応をBCPで検討する必要があります。

3．重要業務と早期復旧の優先順位をBCPへ反映する

すべての業務を同時に復旧することは難しいため、事業への影響が大きい業務から優先順位を決めます。

あわせて、その業務を続けるために必要な人員、設備、情報、取引先などを確認しましょう。

リスクマネジメントで把握した「何が止まると困るか」を、BCPでは「何を優先して続けるか」「止まった場合にどう復旧するか」という計画に落とし込みます。

BCPの具体的な策定手順は、BCP対策の全体像と策定手順を解説した記事で確認できます。

参考： 中小企業庁「事業への影響度を評価する」

これらに該当する事態を、BCPで備える対象として優先的に検討しましょう。

＼専門コンサルタントが最適なプランをご提案します／

BCPについてご相談したい方はコチラ！
無料で相談する

自社にBCPが必要か判断するチェックポイント

BCPで備えるべき事態を見極めたら、自社の重要業務への影響と、現在の備えを確認します。

次の項目を判断材料にしてください。

重要業務が止まる影響が大きく、代替手段や復旧の優先順位が決まっていない場合は、BCPの策定を優先して検討しましょう。

すでにBCPがある場合も、現在の業務に合った計画かを確認し、必要に応じて見直します。

リスクマネジメントとBCPを連動させるためのポイント

リスク評価の結果をBCPに反映した後も、両者を別々に管理すると、業務の実態と計画がずれていきます。

社内で判断を共有し、事業の変化をBCPの見直しにつなげましょう。

経営層と各部門がリスクへの認識を共有する

どの業務を優先して続けるかは、経営層の判断だけでも、管理部門の情報だけでも決められません。

経営層が事業全体の優先順位を示し、各部門が業務を止める要因や代替手段を持ち寄ることが重要です。

たとえば「受注業務を続ける」という方針があっても、営業部門が必要な顧客情報を確認できず、情報システム部門とも代替方法を共有していなければ、緊急時に動けません。

優先する業務と、その業務を支える人・設備・情報を、関係部門で確認しておきましょう。

参考： 中小企業庁「策定運用体制の確立」

事業やリスクの変化に合わせて定期的に見直す

新しい事業を始めたり、主要な取引先や利用するシステムが変わったりすると、以前に決めた優先順位や代替手段が合わなくなることがあります。

リスクの見直しとあわせて、BCPにも変更が必要か確認します。

特に、次の変化があったときは確認の機会です。

• 新しい商品・サービスや業務を始めた
• 拠点、設備、システム、担当体制が変わった
• 主要な仕入先や納品先が変わった
• 訓練で、計画どおりに動けない点が見つかった

見直しの目的は、文書を更新すること自体ではありません。

現在の事業で重要な業務を、緊急時にも続けられる計画になっているかを確かめましょう。

参考： 中小企業庁「BCPの維持・更新を行う」

リスクマネジメントとBCPに関するよくある質問

ここでは、BCPに取り組む順番や対象範囲について、よくある疑問に答えます。

リスクマネジメントとBCPはどちらから取り組むべきですか？

まず、自社の重要業務と、それを止める要因を把握するところから始めましょう。リスクをすべて洗い出し、評価し終えるまでBCPの検討を待つ必要はありません。重要業務への影響が大きいと分かったものから、継続・復旧の方法を考えられます。

洗い出したすべてのリスクをBCPに含める必要がありますか？

いいえ。重要業務の中断につながる事態を中心に検討します。たとえば、情報漏えいの予防策は別途必要ですが、それによって基幹システムが止まる場合の業務継続はBCPでも備える対象です。 

中小企業にもBCPは必要ですか？

事業の規模だけで判断するものではありません。中小企業でも、拠点や設備、特定の担当者が使えなくなると、顧客への提供や納品が止まる場合があります。まずは自社の重要業務と、停止時の影響を確認し、必要な備えを考えましょう。中小企業庁も、中小企業向けにBCPの策定・運用指針を公開しています。

参考： 中小企業庁「BCP（事業継続計画）とは」

リスクマネジメントを踏まえたBCP策定・見直しはミツモルへ無料相談

リスクマネジメントでは、企業が抱えるさまざまなリスクを把握し、それぞれに合った対策を考えます。

その中でも、重要業務の中断につながる事態には、業務の継続や早期復旧を見据えたBCPが必要です。

リスクを洗い出した後は、どの業務が止まると影響が大きいかを確認し、復旧の優先順位や代替手段をBCPに反映しましょう。

すでにBCPがある場合も、現在の事業や取引先の状況に合った計画になっているか、見直すことが大切です。

「どのリスクをBCPに反映すればよいか分からない」

「策定や見直しをどこから始めればよいか迷っている」

そのような方は、無料相談フォームで現在の状況やお悩みをお知らせください。

＼BCPの策定・見直しについてご相談ください／

BCPについてご相談したい方はコチラ！
無料で相談する