BCP・防災2026/3/1013分で読めます

BCP（事業継続計画）の策定ガイド｜中小企業でも始められる実践的アプローチ

BCP 策定ガイドBCP 中小企業事業継続計画作り方BIA事業影響度分析インシデント管理なぜなぜ分析

はじめに：「まさか」は必ずやってくる

大規模地震、集中豪雨、パンデミック、サイバー攻撃——これらはいつか起きるかもしれないリスクではなく、統計的に見れば必ず直面する経営課題です。中小企業では「うちには関係ない」と感じるかもしれませんが、事業規模が小さいほど一度の事業中断が致命傷になりやすいという現実があります。

BCP（Business Continuity Plan：事業継続計画）は、こうした危機を乗り越えるための「経営の保険」です。難しそうに見えて、基本的な考え方とステップを押さえれば、中小企業でも段階的に策定を進められます。本記事では、BCPの定義から実践的な策定ステップ、日常のインシデント管理との統合方法まで、具体的に解説します。

1. BCPとは何か：定義と策定メリット

事業継続計画の定義

BCP（事業継続計画）とは、企業や組織が自然災害・システム障害・感染症流行・サイバー攻撃などの緊急事態に直面したとき、中核となる事業を継続または早期に復旧させるための計画です。内閣府の「事業継続ガイドライン」では「いかなる緊急事態においても、重要業務を中断させない、または早期に回復させるための計画」と定義されています。

BCPは単なる「緊急時マニュアル」ではありません。「いつまでに、どのレベルまで業務を復旧させるか」という目標（RTO：目標復旧時間、RPO：目標復旧時点）を明確にし、そのために必要なリソース・代替手段・指揮命令系統を事前に整理する、攻めの経営戦略でもあります。

BCPを策定する4つのメリット

1. 顧客・取引先からの信頼獲得 BCPを策定していることは、取引先や顧客への「有事でも責任を果たします」という意思表示です。大企業のサプライチェーンに組み込まれた中小企業では、BCPの有無が発注の判断基準になるケースも増えています。

2. 従業員と経営者の安心感 有事の際に「何をすべきか」が明確になることで、従業員のパニックを防ぎ、冷静な初動対応が可能になります。経営者にとっても、事前に意思決定の枠組みが整っていれば、緊急時のプレッシャーを大幅に軽減できます。

3. 融資・補助金の優遇 中小企業庁の「事業継続力強化計画」認定を受けた企業は、防災・減災設備への税制優遇、低利融資、補助金の優先採択といった行政支援を活用できます。BCPは費用ではなく投資として捉えるべきです。

4. 企業ブランドの向上 危機対応能力を公表することは、ESG経営・ガバナンス強化の観点からも評価される時代です。BCP策定は、採用力の向上にもつながります。

2. 中小企業のBCP策定率：現状と課題

依然として低い策定率

帝国データバンクが2025年5月に実施した「事業継続計画（BCP）に対する企業の意識調査」によると、全体のBCP策定率は**20.4％**と調査開始以来初めて2割を超えました。しかし規模別に見ると、大企業が38.7％であるのに対して、**中小企業はわずか17.1％**にとどまっています（出典：帝国データバンク 2025年BCP意識調査）。

また、NTTデータ経営研究所が2025年2月に発表した第8回「企業の事業継続に係る意識調査」では、BCP策定率はコロナ禍前の水準を上回り過去最高の**47.0％**を記録しましたが、従業員99人以下の企業の伸長率は年平均3.7%にとどまり、大企業との格差が拡大している実態が明らかになっています（出典：NTTデータ経営研究所 2025年2月26日発表）。

東京商工会議所の調査でも中小企業のBCP策定率は27.6％（出典：J-Net21 東京商工会議所調査）と報告されており、いずれの調査においても大企業と中小企業の間には20ポイント以上の差があります。

中小企業がBCP策定に踏み出せない理由

未策定の主な理由として、以下が挙げられています（帝国データバンク調査より）。

「策定に必要なスキル・ノウハウがない」（最多回答）
「策定する人材・時間を確保できない」
「実践的に使える計画にすることが難しい」
「必要性を感じない」（特に小規模事業者）
「費用が確保できない」

専任のBCM（事業継続マネジメント）担当者を置けない中小企業にとって、「どこから手をつけていいかわからない」という課題は切実です。しかし、国が提供している「事業継続力強化計画」の認定制度は、従来のBCPよりも簡易な様式で認定を受けられる仕組みとなっており、最初の一歩として活用しやすい環境が整ってきています。

3. BCP策定の5ステップ：実践的なアプローチ

ステップ1：基本方針の決定

BCPの策定はトップダウンで始める必要があります。経営者が「なぜBCPを策定するのか」「どの事業を守るのか」という基本方針を明確にして、全社に宣言することが出発点です。

この段階で定めるべき主な事項は以下のとおりです。

BCP策定の目的と優先保護対象（人命・顧客・取引先・コアビジネス）
想定するリスクの範囲（自然災害、感染症、サイバー攻撃、停電など）
BCPの適用範囲（全社か、特定事業所か）
策定推進チームの設置と担当者の任命

中小企業では経営者自身が推進チームのリーダーになるケースが多く、それで構いません。重要なのは「誰がオーナーか」を明確にすることです。

ステップ2：BIA（事業影響度分析）の実施

BIA（Business Impact Analysis：ビジネスインパクト分析）は、BCP策定の核心をなす作業です。自社のすべての業務を洗い出し、「その業務が止まったときに事業全体にどれほどの影響が出るか」を時間軸で分析します。

BIAで明確にする主な要素は以下のとおりです。

MTPD（最大許容停止時間）：業務が中断してから、事業が致命的な打撃を受けるまでの最長時間
RTO（目標復旧時間）：業務を再開すべき目標時間
RPO（目標復旧時点）：データや業務をどの時点まで遡って復旧させるべきか

たとえば、受注管理システムが停止した場合、1日以内なら電話・FAXで代替可能でも、3日を超えると売上への影響が深刻になる——といった具合に、各業務の「許容限界」を定量的に把握します。この分析により、限られたリソースを何に集中すべきかの優先順位が明確になります。

ステップ3：継続戦略の策定

BIAの結果をもとに、優先業務をRTO内に復旧させるための具体的な戦略と代替手段を検討します。

代表的な戦略の例を以下に挙げます。

リスク	戦略例
主要拠点の被災	代替オフィス・テレワーク環境の整備
基幹システム障害	クラウドバックアップ・冗長化
主要従業員の不在	業務マニュアル整備・多能工化
原材料・部品の調達停止	代替サプライヤーの確保
電力供給停止	非常用発電機・UPS（無停電電源装置）の導入

この段階では「コスト対効果」の視点も重要です。すべてのリスクに対して完璧な対策を用意することは現実的ではありません。優先度の高い業務に対するリスクから順に、実行可能な戦略を選択します。

ステップ4：BCP文書の作成

策定した方針と戦略を文書化します。BCPの実効性はこの文書の「使いやすさ」にかかっています。分厚いマニュアルよりも、緊急時に担当者がすぐに参照できるシンプルな構成が理想です。

BCP文書に含めるべき主な要素は以下のとおりです。

緊急連絡網（従業員・取引先・行政機関）
初動対応チェックリスト（発生後24時間以内の行動）
業務継続手順書（優先業務ごとの対応フロー）
代替資源リスト（代替拠点、システム、サプライヤー情報）
指揮命令系統（代行者の定義を含む）

中小企業庁が提供している「中小企業BCP策定運用指針」や「事業継続力強化計画」の様式テンプレートは、無料で活用できます。最初は既存のテンプレートを活用し、自社の実情に合わせてカスタマイズするアプローチが効率的です。

ステップ5：訓練・テストの実施

文書化されたBCPは、実際に機能するか検証しなければ意味がありません。策定後は必ず**訓練（演習）**を実施し、計画の有効性を確認します。

訓練の形式は、机上演習（テーブルトップ演習）から始め、段階的に実動訓練へ移行するのが現実的です。

机上演習：シナリオを設定してチームで対応を議論する（コストが低く、定期的に実施しやすい）
機能演習：特定の機能（緊急連絡、データバックアップなど）を実際に動作確認する
実動訓練：実際の緊急事態に近い形で全社規模で実施する

訓練後は必ず**振り返り（デブリーフィング）**を行い、「計画のどこに問題があったか」を文書化して改善につなげることが重要です。

対策案をAIで考えてみよう

ここまでの解説を踏まえて、AIによる対策案生成を体験してみましょう。事象を入力するだけで、AIが即時対策と恒久対策を提案します。

AI対策案ジェネレーター

事象を入力するだけで、AIが即時対策と恒久対策を提案

業界別のサンプル事象を選ぶか、自由に入力してください。

または

4. 安全管理との統合：インシデント管理体制をBCPに活かす

BCPと日常業務の橋渡し

BCPの弱点の一つは「策定したが棚に眠っている」という形骸化問題です。これを防ぐ有効なアプローチが、日常的なインシデント管理体制とBCPを統合することです。

インシデント管理とは、ヒヤリハット・設備トラブル・品質不具合・情報セキュリティ事案などの軽微な問題を記録・分析し、再発防止につなげるプロセスです。BCPが「有事の計画」であるとすれば、インシデント管理は「日常の積み重ね」です。この両者を連携させることで、BCPの実効性が飛躍的に向上します。

なぜなぜ分析でBCPを強化する

インシデント管理で蓄積したデータをBCPに活かす上で、なぜなぜ分析は強力なツールです。発生したインシデントの根本原因を掘り下げることで、「業務停止につながり得る潜在的なリスク」を体系的に洗い出せます。

たとえば、「受注システムが2時間ダウンした」というインシデントをなぜなぜ分析で深掘りすると、「サーバーの冗長化が不十分だった」→「ITインフラのBIA評価が正確でなかった」という根本原因が見えてきます。この気づきがBCPの見直しトリガーとなります。

WhyTrace Plus は、AIを活用したなぜなぜ分析・FTA（フォールトツリー分析）支援プラットフォームです。インシデントの根本原因分析を体系的に実施し、その結果をBCPのリスクアセスメントに直接つなげるワークフローを構築できます。無料プランから始められるため、「まずはなぜなぜ分析のデジタル化から」という中小企業にも導入しやすい構成になっています。

緊急連絡・報告体制の整備

BCPとインシデント管理を統合する際、特に重要なのが情報伝達ルートの一本化です。インシデント発生時の報告フローをBCPの初動対応手順と紐づけることで、「有事だと判断するのが遅れた」「誰に報告すべきかわからなかった」というよくある失敗を防げます。

具体的には、インシデント管理システムに「BCPトリガー条件」を設定し、一定以上の重大度のインシデントが発生した際に自動的にBCP担当者へエスカレーションされる仕組みを構築することをおすすめします。

5. BCPの見直しサイクル：継続的な改善のデザイン

BCPは「生きた計画」である

BCPは一度策定すれば完成ではありません。事業環境の変化、組織改編、設備更新、取引先の変更など、BCPに影響する変化は常に発生します。また、訓練や実際のインシデントから得られた教訓も、計画に反映させ続ける必要があります。

BCPは「生きた計画（Living Document）」として、継続的に見直す仕組みを最初から組み込んでおくことが重要です。

年1回の定期レビュー

最低限、年に1回の定期レビューを実施することをおすすめします。レビューのタイミングとしては、以下が適しています。

決算期・年度切り替えのタイミング：組織変更や予算策定と合わせて見直す
大きなインシデント発生後：実際の経験を計画にフィードバックする
事業環境の大きな変化後：新拠点開設、主要サプライヤーの変更など

定期レビューのチェックポイントは以下のとおりです。

緊急連絡先・担当者情報の最新化
BIAで設定したRTO・RPOの妥当性の再評価
代替手段・代替サプライヤーの現実性の確認
新たなリスク（サイバー脅威、気候変動関連リスクなど）の追加検討
前回訓練の課題改善状況の確認

訓練プログラムの年間設計

訓練は年1回の大規模実動訓練だけでなく、複数の形式を組み合わせた年間プログラムとして設計するのが効果的です。

時期	訓練形式	所要時間の目安
4月（期初）	緊急連絡網の確認・更新	1〜2時間
7月	特定シナリオの机上演習	半日
10月	システムバックアップ・復旧の機能演習	半日
1月（年始）	総合訓練（実動）	1日

訓練シナリオは、前年のインシデント記録や業界の事例をもとに設定すると、リアリティが高まり参加者の当事者意識が向上します。また、経営者だけでなく現場の担当者もシナリオ設計に参加させることで、計画の実行可能性が高まります。

PDCAサイクルの確立

BCPの継続的改善はPDCAサイクルで管理します。

Plan：BCPの策定・改訂
Do：訓練の実施・日常のインシデント管理
Check：訓練後の振り返り・インシデント分析・定期レビュー
Act：BCP文書の改訂・対策の実装

特に「Check」フェーズを丁寧に行うことが、BCPの形骸化を防ぐ鍵です。訓練後には必ずデブリーフィング（振り返りミーティング）を実施し、「計画どおりに動けたか」「改善すべき点はどこか」を参加者全員で共有します。この記録が次のPlanに直結します。

まとめ：BCPは「今日から始める」経営投資

BCPの策定を「大企業がやること」「専門家がいないとできないこと」として敬遠していた中小企業経営者の方も多いかもしれません。しかし、帝国データバンクの調査が示すとおり、中小企業のBCP策定率は依然として17%台にとどまっており、多くの企業が無防備なまま事業を続けているのが現実です。

BCP策定の5ステップは、①基本方針の決定、②BIA（事業影響度分析）、③継続戦略の策定、④文書化、⑤訓練・テストです。最初から完璧な計画を目指す必要はありません。まずは中小企業庁の「事業継続力強化計画」テンプレートを活用し、コアとなる業務のBIAから着手することをおすすめします。

また、日常のインシデント管理をBCPと連携させることで、計画の形骸化を防ぎ、組織の「有事対応力」を継続的に高めることができます。インシデントのデータからリスクを可視化し、なぜなぜ分析で根本原因を特定するサイクルを回すことが、BCPを「生きた計画」にする最も効果的な方法です。

なぜなぜ分析・FTA支援ツールの WhyTrace Plus は、インシデント記録から根本原因分析、BCP改善サイクルまでをシームレスにサポートします。無料プランから始められますので、まずは日常のインシデント管理のデジタル化から試してみてください。