2024年1月の能登半島地震や気候変動の影響に伴う大型台風など、企業を取り巻く災害リスクは多様化しています。社会的責任意識やステークホルダーからの要請の高まりもあり、日本企業では事業継続計画（以下、BCP）策定・改定の動きが広がっています。しかし、その一方で、気候変動やパンデミック、国家間の対立・紛争、水危機や資材の価格高騰・枯渇といった、新たなリスクに対応可能な体制を確立している企業は、多くはありません。
本稿では、KPMGコンサルティングが実施した調査をまとめたレポート「レジリエンスサーベイ2024（以下、本調査）」を基に、日本企業を取り巻くBCPの最新動向と、企業に求められるレジリエンス強化のポイントを解説します。
1．レジリエンスサーベイ2024の概略
（1）約半数の企業※2が事業中断で1,000万円以上の損失を計上
事業中断の原因は、パンデミックや自然災害（地震、風水害等）、情報システム障害などさまざまです。回答企業の約半数が、これらの事象により1,000万円以上の損失を被った経験を有しています。損失額は2014年に比べ増加しており、災害の激甚化が一要因であると考えられます。
※2 レジリエンスサーベイ2024の協力企業を指します（以下、同様）。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
（2）約9割の企業がBCPを策定済み
BCPを策定していると回答した企業は87.9%に上り、2014年と比較して10.9ポイントアップしました。顧客や株主、サプライヤといった、ステークホルダーからの要請の高まりを背景とする回答が目立ちます。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
一方BCPの在り方をめぐっては、下記（3）～（6）の課題が浮上しました。
（3）海外拠点BCPは管理体制に課題感
約8割の企業が海外拠点におけるBCP実装の必要性を認識し、うち約3割は策定にすでに着手しています。一方、管理面では約6割の企業が「（グループとして）明確な指針はなく、各拠点に（策定・運用を）任せている」と回答しました。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
（4）デジタルトランスフォーメーション（DX）化の遅れ
災害時コミュニケーションツール※3については約8割の企業が導入する一方で、情報共有ツール※4は2割と低い値にとどまりました。優先商品やサービス、業務のDX化にも遅れが見られます。
※3 安否確認システム（安否情報を自動的に収集・集計してリアルタイムでモニタリングする機能）。
※4 災害時情報共有ツールは、有事に必要な情報を効率的に収集・可視化し、リスク情報（被害状況等）を一元管理することで、有事における経営の意思決定をサポートします。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
阻害要因としては要件定義の難しさや、知見上の課題が挙げられました。
（5）サードパーティにおけるBCP管理に課題
約6割の企業が、サードパーティに対するBCP策定有無の確認の必要性を認識しつつも、未対応という状況です。一方で、取引先選定時にBCP策定有無の確認を行うなど予備的な対応を講じる企業も一部存在します。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
（6）エマージングリスクへの対応の遅れ
エマージングリスクとは、加速度的な環境変化により表出する、これまで存在せず、また想定もし得なかった新たなリスクの総称です。地政学リスクや人権侵害、環境リスクなどを包含するもので、企業活動に甚大な影響を及ぼす危険性があります。回答企業の6割超が、BCP活動の一環としてエマージングリスクに対処すべきとの認識を有する一方、実際に対応をとっている企業は約1割にとどまります。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
2．レジリエンスサーベイ2024に見る課題と対策
（1）オールハザード型BCP（リソースベースBCP）への変革でエマージングリスクに対応
本調査では、各企業におけるエマージングリスクへの対応の遅れが主な課題として示されました。
オールハザード型BCPは、個々の原因事象（災害やサイバー攻撃、テロ等）ではなく「原因事象による経営リソース※5への影響」に着目したアプローチです。要員不足や設備故障、調達・物流機能の停止といった影響ごとに事前、事後の対策を平時に構築しておくもので、予測困難なエマージングリスクへの親和性が高く、想定外の事態にも柔軟に対応することができます。策定に際しては、経営に影響を及ぼすリスクを具体化し、経営リソースへの影響を評価・分析すること、結果を踏まえ実効性ある対応策を検討することが重要です。
※5 ヒト・モノ・カネ・情報・システムを指します。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
なお当該アプローチは、従来のBCPの高度化にも貢献します。たとえば海外拠点BCPは、多くの企業で、日本の災害（地震）対応をベースに策定されています。しかし、発生可能性や、事業影響度の高いリスクが何であるかは拠点が置かれている地域によって異なります。BCPを慣例的に策定するのではなく、各拠点のリスクを考慮しつつ、汎用性の高いリソースベースアプローチもハイブリッドで検討することで、より強固な体制が可能となります。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
また、本調査では「海外拠点のBCP策定に対し、本社がどの程度統括すべきか不明確」との回答も多く見受けられました。対策としては、グループBCP／BCM体制の強化が挙げられます。本社がグループ方針・指針の策定、および各拠点における実施事項の明確化を担う一方、地域統括機能を有する拠点に対して一定の管理機能・権限を与えることで、傘下拠点の管理を可能にします。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
以上で述べたような、オールハザードへの対応やグローバル視点の体制構築は、サプライチェーン全体のリスクをグローバルに監視する上でも非常に重要です。取引先やサプライヤ、生産委託先などにおける環境汚染、児童労働、贈収賄リスクなどを抜け漏れなく評価・管理することで、グローバルサプライチェーンの強化や国際競争力の向上といった効果が見込めます。
（2）DX化に向けた平時・有事に対応可能な仕組みの構築
DX化を進めるには、平時・有事に併用可能なシステムを、BCPとの整合性を確認しつつ導入する必要があります。一方、現実としては、既存システムとの融合にかかる要件定義（有効ツールに関する知見を含む）や、予算措置などの難しさがボトルネックとなっていることが調査結果から読み取れます。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
対策としては第一に、リスク管理システムの導入やリスク低減措置の策定などを通じて、ビジネスプロセスの強靭化を平時から推進することが挙げられます。具体的には、ERM（Enterprise Risk Management）パッケージによるリスク管理や、RPA（Robotic Process Automation）導入による業務無人化などです。
従業員が業務で日常的に使用している身近なツールを活用することもまた、対策として非常に有効です。Microsoft 365やGoogle Workspaceといった既存のツールを使えば、災害対策本部のチャネル開設、共同編集ファイルのアップロードといった策をあらかじめ講ずることができます。
（3）サードパーティを含む事業全体のレジリエンス強化
企業がBCPで考慮すべき対象は、自社のみにとどまりません。連携先であるサードパーティ（サプライヤ・業務委託先など）が機能停止に陥れば、結果として、自社事業全体に影響が及ぶことが容易に想像されます。こうした事態を防ぐため、サードパーティに対しても一定のBCP整備を求める必要があります。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
サードパーティとは一般に、商品やサービスを提供するために業務上の契約関係を有する組織、また、当該商品・サービスの提供に必要な事業者を指します。具体的には、サプライヤ、製造委託先、物流業者、販売代理店や製造設備ベンダー等、バリューチェーンの維持において関係する事業者のほか、ITベンダーや弁護士等、社内の管理機能の一部を委託する事業者も含みます。
調査結果からは、BCP策定状況の確認先が限定的であること、特にTier2以降へのアプローチに課題があることが窺えます。すべてに同時にアプローチするのではなく、重要な商品・サービスにかかわる連携先を抽出して優先的に対応することが肝要です。また、確認作業の結果、連携先のBCP整備状況に不備が判明した場合には、策定ガイドラインの共有や必要に応じた費用拠出や人員等の支援を提供することで、サードパーティを含む事業全体的なレジリエンス強化が望めます。
（4）実効性あるBCM推進体制の構築
事業継続体制を強化するためには、BCP策定後も、事業内容や社会環境の変化に応じて定期的に重要業務を見直し、リスク評価する、さらに訓練を通じて課題を洗い出し対策を講じるといった、継続的なPDCAサイクル、すなわち事業継続マネジメント（BCM）サイクルを構築・運用する必要があります。実効性あるBCMの推進に向けては、（1）事業継続活動を担当する専任者の配置、（2）グループ会社を含む各拠点への担当者の配置、（3）活動の進捗を定期的に確認するための会議体の設置、が有用です。
また、経営層が積極的に関与するなどの組織一体となった取組みも、BCM推進および体制強化を後押しします。例としては、経営者が強力なリーダーシップを発揮し、組織に対して明確な方針を示すこと、部門間での情報共有や連携を促進する仕組みを整備することなどが挙げられます。
出所：「レジリエンスサーベイ2024」（KPMGコンサルティング）
3．まとめ（組織レジリエンスの向上にむけて）
本調査を通じて、日本企業のBCPは、「単なる災害への対応や、自社の事業・業務だけを意識したもの」ではなく、「エマージングリスクを含む新たなリスクへ対象を拡大し、社会やステークホルダーを意識したもの」へと変化してきていることがわかりました。
VUCA時代を生き抜き、かつ企業としての持続性を担保し、さらなる成長を遂げるためには、BCPによる従来の対策に加え、計画の実行者である従業員が一人ひとり主体的に危機に対応する力（レジリエンス）の強化が求められます。巨大地震や気候変動による異常気象、地政学リスクなど目の前に迫る危機にプロアクティブに対応し、企業の持続的な成長を実現できるような「攻め」のBCPへの変革を目指すことが肝要であり、本調査および本稿がその一助となれば幸いです。
出所：KPMGコンサルティング作成
執筆者
KPMGコンサルティング
パートナー 土谷 豪
マネジャー 鶴 翔太
シニアコンサルタント 森下 順加
