IT顧問が中小企業のBCP（事業継続計画）ITパートを支援する優先手順と経営者への説明設計

「万が一のとき、うちのシステムはどこまで止まっていいのか」──経営者がIT顧問に最初に問いかける言葉のひとつです。自然災害・サイバー攻撃・電力障害など、業務を止めるリスクが現実のものになっている時代、事業継続計画（BCP）のITパートを整備することは経営の最低条件になりつつあります。

しかし中小企業の多くは、BCPの重要性を理解していても「ITの何から手をつければよいか」がわからず、計画そのものが止まっています。IT顧問がどの手順で支援し、経営者にどう説明するかが、BCP実装の成否を分けます。

この記事では、IT顧問が中小企業のBCP（事業継続計画）のITパートを支援する際の優先手順と、経営者への説明設計を解説します。現状調査・リスク分類・復旧設計・経営者向けの可視化まで、実践的な進め方をお伝えします。

BCP（事業継続計画）のITパートとは何か：経営者が理解すべき範囲

BCPは「事業継続計画（Business Continuity Plan）」の略で、緊急事態が発生しても事業を継続または迅速に再開するための計画全体を指します。BCPにはヒト・モノ・カネ・情報の各領域が含まれますが、ITパートはその中でも「情報システムと通信インフラをどう維持・復旧させるか」に特化した領域です。

具体的には以下の範囲が対象です。

・業務システム（基幹系・販売管理・会計など）: 停止した場合の業務影響と復旧の目標時間
・データ保管とバックアップ: どこに何世代保存し、いつ復元できるか
・通信・ネットワーク: インターネット回線や社内LANの冗長性
・端末・機器: 社員がリモートで業務継続できるかの環境確認
・クラウドサービス依存: 外部の会計ソフトやメールサービスが止まったときの代替手段

経営者に理解してもらうポイントは、「ITが止まると何の業務が止まるか」という因果関係です。ITパートのBCPは技術論ではなく、経営の継続性の問題として扱う必要があります。IT顧問の役割は、技術的な内容を経営者が判断できる言語に変換して伝えることです。

中小企業がITパートのBCPを整備できていない主な理由は、「どこから着手すればよいかわからない」「費用対効果がイメージできない」「担当者がいない」の3点です。IT顧問はこの入口の壁を取り除くことから支援を始めます。BCPは完璧な計画書を作ることが目的ではなく、「非常時に誰が・何をするかを決めておくこと」が核心です。その意識の転換をIT顧問が最初に促すことが、支援の第一歩です。

IT顧問がBCP支援に着手する前に確認する3つの前提

IT顧問がBCP支援を開始する前に、3つの前提を確認しておかないと、支援が空回りするリスクがあります。

1. 経営者のBCPへの理解と意思決定の役割を確認する

BCPへの取り組みは「誰が推進するか」が最初の問いです。経営者が「担当者に任せる」という姿勢のままでは、復旧判断が必要な場面でIT顧問が動けなくなります。IT顧問は最初のヒアリングで「大規模な障害が起きたとき、どの業務を何時間以内に再開したいですか」と問いかけ、経営者に自分ごととして捉えさせることが重要です。意思決定者が誰かを最初に合意しておくことで、支援の途中で「やっぱり判断できない」という停滞を防ぎます。

2. 現行のIT資産を把握する

BCPの設計は、現在使っているシステム・機器・ネットワーク構成の正確な把握から始まります。IT顧問が最初に着手するのはIT資産の棚卸しです。棚卸しの対象は、業務システム・クラウドサービス・端末・ネットワーク機器・バックアップ状況の5領域です。棚卸しが不完全なままBCPを作成しても、実際の障害時に「棚卸し漏れのシステムが止まっていた」という事態になります。棚卸しは担当者へのヒアリングだけでなく、請求書・ライセンス契約一覧を参照して抜け漏れを防ぐ工夫が必要です。

3. BCP対象の業務範囲を先に合意する

中小企業では全業務のBCPを一度に整備しようとすると、コストも工数も見合わなくなります。IT顧問は「会社として絶対に止めてはいけない業務はどれか」をトップダウンで経営者と合意したうえで、その業務を支えるITシステムを特定します。これが支援の起点です。最初に合意する業務は3つ以内に絞るのが実務上の目安です。全体を広く薄く整備するより、最重要業務を確実に守れる体制を先に作ることがBCPの効果を高めます。

IT顧問によるBCP支援の優先手順（4ステップ）

前提確認を終えたら、以下の4ステップで支援を進めます。

1. ITリスクの洗い出しと分類

まず「どんなリスクが業務を止めるか」を洗い出します。リスクは発生源で分類すると整理しやすくなります。

・物理的リスク: 地震・水害・停電による機器の破損や停止
・サイバーリスク: ランサムウェア感染・不正アクセスによるシステム停止
・ベンダー依存リスク: 利用中のクラウドサービスの障害や提供終了
・人的リスク: IT担当者の急な離脱、パスワード・設定情報の属人化
・通信リスク: インターネット回線障害による外部システムへの接続不能

リスク洗い出しは経営者・担当者へのヒアリングと現行システムのドキュメント確認を組み合わせて実施します。洗い出しの結果は「発生可能性」と「業務への影響度」の2軸でマトリクス分類します。影響度が高く発生可能性も高いリスクを優先対策として取り上げ、影響度は低くても発生頻度が高いリスク（通信障害など）は次のフェーズで対処する、という優先順位付けが一般的です。

2. 業務別の復旧優先度設計（RTO・RPOの設定）

リスク洗い出しの次は、各業務のRTO（目標復旧時間）とRPO（目標復旧時点）を設定します。

・RTO（Recovery Time Objective）: 障害発生から業務を再開するまでの目標時間
・RPO（Recovery Point Objective）: 障害発生時点からどこまでデータをさかのぼって復元するかの目標

想定例として、受注管理システムを例に考えます。「RTOは4時間以内・RPOは前日24時時点」と設定した場合、当日の受注データは失われる可能性を許容することになります。これを経営者に伝えると「それは困る」「午前中の受注だけは守りたい」という具体的な判断が引き出せます。RTO・RPOはIT顧問が技術的に決めるものではなく、経営者の判断を引き出して設定するものです。設定したRTO・RPOを実現するには、現在のバックアップ・インフラ構成が追いついていない場合もあり、その場合は対策の追加実装が必要です。

3. 対策の設計と実装優先度の決定

RTO・RPOが決まったら、それを実現するための対策を設計します。バックアップ方式の見直し・クラウドストレージの活用・リモートアクセス環境の整備など、選択肢はいくつかあります。IT顧問は選択肢のコスト・工期・効果をまとめて提示し、経営者が優先順位を判断できるようにします。全てを一度に実装する必要はなく、業務影響が大きいシステムから順番に着手する「フェーズ実施」が現実的です。対策は完璧を目指すより「最悪のシナリオで最低限の業務を継続できること」を目標に設計します。

4. 復旧手順書の作成と担当者への引き継ぎ

対策の実装だけではBCPは完成しません。「誰が・何の順番で・どうやって復旧させるか」を記した手順書が必要です。IT顧問が手順書を整備し、社内の担当者（情シス兼任・総務など）が実際に操作できることを確認するまでが支援の範囲です。手順書は定期的に（少なくとも年1回）更新が必要で、更新タイミングもIT顧問との月次報告サイクルに組み込みます。作成後は担当者が実際に手順書を使って復旧操作を試みる机上演習を年1回実施することで、手順書の実効性を確認します。

比較表：BCPのITシステム別リスク対策の優先度分類

下記は、中小企業のBCP支援でよく対象になるITシステム領域ごとの主なリスクと推奨対策を整理した一覧です。自社のIT構成によって優先度は変わるため、IT顧問とこの表を参照しながら個別の優先度を設定することを推奨します。

この表で「最高」に分類した基幹業務システムは、止まった場合に受注・請求・支払いなど企業活動の中枢が機能しなくなるため、最初に対処します。「中」の端末・担当者情報は軽視されがちですが、IT担当者の突然の退職や連絡先が個人の記憶にしかない状態は、平時には問題が表れず、非常時に初めて致命傷になるリスクです。優先度「中」でも放置せず、早めに対処することを推奨します。

経営者への説明設計：IT顧問が使うべき言語と構成

BCP支援で最も難しいのは、技術的な内容を経営者に正確かつ短時間で伝えることです。IT顧問がよく陥る失敗として、「RTOが48時間なのでバックアップの間隔を○時間にする必要があります」という技術的説明だけで終わるケースがあります。経営者が知りたいのは「何が止まって、どれだけ損をするか」という経営の言語です。

IT顧問が経営者に説明する際は、以下の構成が有効です。

・現状のリスク提示: 「今の状態では、○○システムが止まると○業務が○時間以内に停止します」
・影響の金額換算（想定試算）: 「1日停止した場合の受注機会損失は概算で○万円相当と試算されます」という形で示す
・対策の選択肢と費用: 「A案（月額○円）・B案（初期費用○円）の2択です」
・経営者の判断を促す問いかけ: 「どちらを優先しますか？」

想定例として、従業員20名の製造業のケースを考えます。受注管理システムのRTOが現状「72時間以上（確認手順なし）」の状態で、IT顧問が「クラウドバックアップへの移行で4時間以内の復旧が可能になります。費用は月額○千円です」と提示する場面を想定します。Before（72時間以上の停止リスク）とAfter（4時間以内）の具体的な差分が示されることで、経営者が費用対効果を判断しやすくなります。これはあくまで説明設計の型を示した想定例であり、実際の数値は個別の環境で試算します。

経営者への説明は「会議1回・資料1枚・判断1つ」の原則で設計します。複数のシステムのBCPを一度に説明すると判断疲れが起きます。IT顧問は「今日決める1件」を絞って説明に臨むことが重要です。また、BCPは一度整備して終わりではなく、システム環境の変化に合わせて更新が必要な継続業務であることも初回に伝えておきます。

よくある質問：IT顧問とBCP支援

Q. BCP支援はIT顧問でないと進められないのでしょうか？

ITパートに限れば、担当者が主体となって進めることは可能です。ただし「何から始めるか」「費用対効果をどう試算するか」「経営者に何を判断させるか」の3点は専門知識が必要で、IT顧問の関与がないと手順が止まることが多いです。最低でも初回の現状調査と優先度設定だけIT顧問に依頼し、後は担当者が進めるという分業も現実的な選択肢です。

Q. BCP対策に費用をかけたくないのですが、最低限何をすればよいですか？

費用ゼロで対応できる最低限の施策として、3点が挙げられます。①重要データのバックアップ先を1か所追加する（外付けHDDやNASなど）。②IT機器・クラウドサービスのIDと連絡先をまとめた「緊急連絡台帳」を1枚作成する。③主要業務を再開するための手順を担当者が口頭で説明できる状態にする。これらは費用よりも「時間と意識」が必要な施策です。

Q. クラウドサービスを使っていれば、バックアップは不要ですか？

クラウドサービスの提供者が障害を起こした場合や、利用者の誤操作でデータが削除された場合、クラウド内バックアップだけでは対応できないケースがあります。クラウドサービスの利用規約には「障害によるデータ消失の責任を負わない」と明記されているものも多く、自社での別途バックアップは引き続き必要です。

Q. IT顧問にBCP支援を依頼する場合、どのくらいの期間で整備できますか？

企業規模や対象システムの数によって異なりますが、現状調査・リスク分類・復旧手順書の作成を含む初期支援は、IT顧問との月次ミーティングを3か月程度続けることで基礎設計を完了させるケースが一般的です。初月に現状調査と優先業務の合意、2か月目にリスク分類とRTO/RPO設定、3か月目に手順書作成という進め方が実績のある型です。

Q. 一度BCPを作れば、それで完結しますか？

BCP文書は作成した時点の環境を前提にしているため、システム変更・人員変更・新たな業務プロセスの追加があった場合は更新が必要です。最低年1回のレビューをIT顧問との月次報告サイクルに組み込み、形骸化を防ぐことが重要です。作成して棚に収めるBCPは、非常時に使えない可能性が高くなります。

BCP支援着手前チェックリスト

IT顧問が中小企業のBCP支援を開始する前に確認すべき項目を整理しました。経営者側・IT顧問側それぞれがこの項目を確認してから着手することで、支援の空回りを防ぎます。

・経営者が「絶対に止めてはいけない業務」を3つ以内で言語化できているか: 優先業務の合意なしに技術的対策だけ進めても、実態に合わないBCPが出来上がる
・IT資産の棚卸しが完了しているか: 業務システム・クラウドサービス・端末・ネットワーク機器の一覧が存在するか確認する
・バックアップの実施状況と復元テストの実績が確認できているか: 最後にバックアップが成功した日時と、実際に復元できた実績があるかを確認する
・IT担当者・ベンダー・クラウドサービスの緊急連絡先が整備されているか: 連絡先が担当者の個人スマートフォンにしかない場合は台帳化が急務
・RTO・RPOの初期値を経営者と合意できているか: 「何時間以内・何日前のデータまで」の目安を最低1業務で合意してから技術設計に入る
・BCP文書の更新スケジュールが年次で計画されているか: 更新タイミングと担当者を明記した運用フローを設計段階で決めておく
・復旧手順書を使った机上演習の実施予定があるか: 手順書があっても使えなければ意味がないため、年1回の確認訓練を計画に組み込む

このチェックリストは、BCP支援を始める前の「準備の確認」に使うものです。全項目が「あり」でなくてもBCP支援を開始することはできますが、空欄が多いほど支援の途中で手戻りが発生するリスクが高まります。

まとめ：IT顧問がBCP支援で果たす2つの役割

IT顧問が中小企業のBCP（事業継続計画）ITパートを支援するうえで重要なのは、技術論を経営の言語に変換することです。ITリスクの洗い出し・RTO/RPOの設定・対策の設計・復旧手順書の作成という4ステップの流れは確立していますが、経営者が判断に参加しなければ絵に描いた餅に終わります。

IT顧問の価値は「何から着手するかを決めること」と「経営者が判断できる材料を作ること」の2点に集約されます。技術的な実装はその後の話です。着手できないまま止まっているBCPを動かすには、IT顧問が「最初の一手をどこに置くか」を提案することが最も効果的です。

BCP支援は一度整備して終わりではなく、システム環境の変化や新しいリスクに合わせて年次更新が必要な継続業務です。IT顧問との月次報告サイクルにBCPのレビューを組み込むことが、実効性のあるBCP維持の鍵です。