Top Story 1 （2）
リスクをいかにマネジメントしていくか
安心安全な企業経営を支えるITガバナンス

リスクに対処するための戦略策定と運用定着化
企業経営を支えるITの事業継続計画「IT-BCP」

ITは企業経営を支える重要な要素となり、その停止は企業経営の根幹を揺るがしかねません。また、大規模地震や大規模水害等に限らず、IT自体が障害を起こしリスク要因となることも考慮しなければなりません。投資対効果の高い対策実現には、ITが支える業務の重要度を勘案した戦略の策定と、不測の事態発生時における迅速な復旧のための対応チームや要員の育成が不可欠です。ここでは、富士通における社内実践をリファレンスモデルとした事業継続マネジメント（FBCMM）を、IT部門への適用を例にご紹介します。

事業継続マネジメント（BCM）

大規模地震等の不測の事態発生時にも、事業を必要な時間内に再開・継続するために必要な対策や行動計画をあらかじめ定め文書化したものが、事業継続計画（BCP）です。BCPにおいて定められた対策を実施していくためには、教育・訓練を確実に実行・評価し、BCPを継続的に改善し維持管理していくことが必要です。この経営管理プロセスが、事業継続マネジメント（BCM）です。増大する災害の脅威に加え、商取引の条件として、重要業務の復旧計画書の有無や、実際に訓練を実施しているかを求め、BCPを取引先の評価基準とするといった事例が増えています。
富士通では、BCMを「FBCMM」として図2のように標準化しています。管理フェーズを、現状分析・ビジネス影響度分析・リスク環境分析による必要な対策戦略の抽出までの「戦略策定フェーズ」と、戦略決定を前提とした計画書作成・対策実施・教育訓練・評価改善の「実施運用フェーズ」に大別し、これら全体をPDCAサイクルによりマネジメントするモデルです。

[図2]「富士通事業継続マネジメントモデル（FBCMM)」

BCP策定にあたっては、中核事業や基幹業務を復旧させる目標時間（RTO:Recovery Time Objective）を設定し、一方で現時点で不測の事態が発生したと仮定した場合の復旧に要する時間（RTC:Recovery Time Capability）を求めます。RTOとRTCとの間のギャップを分析した上で、ギャップ解消の対策を事業の重要度や復旧優先度に応じて決定し、明文化することが、BCP策定の本質となります。

IT部門におけるBCM

いま、ITは、個々の業務を補助的にサポートするツールにとどまらず、企業経営を支える重要な要素となっています。ITの停止は、企業経営の根幹を揺るがしかねない事態を引き起こします。
ある規模以上の企業では、事業環境、事業構造、経営資源の異なる様々な事業を保有します。この場合、経営者－事業継続担当組織－事業単位－共通インフラ－各拠点といった階層で事業継続マネジメントを推進することになります。IT部門は、各業務部門に共通インフラとして提供するITサービスの継続性を保証する位置付けとなります。ここで、BCMとして設定する目標復旧時間（RTO）は、ITに対するサービス品質保証（SLA:Service Level Agreement）の位置付けとなります。
富士通では、企業経営を支える重要インフラの一つと位置付けられるITにおけるBCPを「IT-BCP」として体系化を図りコンサルティングサービスとしてご提供しています。（事業継続（BC）ソリューション）

「IT-BCP」の策定手法

IT部門における「IT-BCP」の策定手法を、以下にご紹介します。

現状調査
重要システムのITインフラの利用状況を調査し、重要なシステムの提供に必要なITインフラ（ソフトウェア、ハードウェア、ネットワーク、設備、建物等）の範囲を明確化します。これにより、災害発生時にITインフラがダメージを受けた場合の重要システムの影響範囲、及び対策対象範囲を特定することが可能となります。
重要システムの選定と目標復旧時間（RTO）の設定
ITが支えている業務の重要度を勘案し、その重要度や停止時間毎の影響度に応じて、復旧順位や目標復旧時間（RTO）を設定します。業務再開に向けて、ITの復旧後に、損失データを復旧させる必要があります。このためデータバックアップ周期に相当する時間分の作業を要することを考慮しておく必要があります。
ITのリスク環境分析
拠点毎に発生する可能性のあるリスクシナリオ（被害の状況）を抽出し、各拠点において検討対象とすべきシナリオを抽出します。よく用いられる手法には、イベントツリー手法があります。この手法は、二者択一でどのようなリスク発生の可能性があるかを論理的に求めていくもので、発生リスクを網羅的に捉えることができます。
現時点での復旧時間（RTC）の想定
ダメージを受けたITが復旧に要する時間（RTC）を想定するためには、ITの復旧プロセスを明らかにする必要があります。RTCは、建物や電力等のIT復旧の前提となるインフラ復旧時間と、システムそのものの復旧時間の合計となります。この時間は、その時点での対策状況により異なります。対策の進展に応じ逐次見直す必要があります。
ITの事業継続性強化対策
ITの事業継続性強化対策を抽出し、投資対効果の観点から整理します。例えば図3は、ITに関する強化策を、縦軸に対策効果、横軸に必要な投資額としてマッピングしたものです。このように対策を整理し、その候補の中から、必要な対策、及び実施時期を選択することが有効です。
ITリカバリ手順書作成
災害検知から初動・緊急対応・システム回復・システム正常復旧までの全体プロセスを設計し、必要なリカバリ手順書を作成します。