実効性の高いBCPの策定には、俯瞰的に企業の全事業を見渡してから着手し、策定を進めるごとに細かい内容を考えていくことが重要です。いきなり目に見えているところから手を付けるのは得策ではありません。
１．BCPの方針や適用範囲を決める
自社の企業理念や経営方針、ステークホルダー(利害関係者)の利益、想定すべき災害等を考慮して、企業独自のBCPの目的や適用範囲を決めます。抽象的で企業によっては難しい判断かもしれませんが、後の全ての策定過程に大きな影響を与える重要なプロセスです。
２．中核事業を決める
1で決めた目的や適用範囲に基づき、優先すべき重要な事業(中核事業)を決定します。事業が1つしかない場合でも、顧客や製品ごとに分けて考えると、優先順位が明確になります。
３．重要業務・経営資源を洗い出す
中核事業を構成する特に重要な業務活動(重要業務)を洗い出します。さらに重要業務がどのような経営資源によって支えられているかを洗い出します。
４．重要業務のRTO・RLOを決める
重要業務ごとに目標復旧時間(RTO)と目標復旧レベル(RLO)を経営方針や顧客ニーズに基づいて決定します。
５．経営資源のリスクを評価する
重要業務を支える経営資源が、災害に対してどのような脆弱性を持っているかを評価します。
６．脆弱な経営資源の対策を実施する
重要業務のリスクレベルとRTO/RLOとを比較して、現状で問題のある経営資源(ボトルネック)の対策を実施します。
７．BCP体制を構築する
6で実施した対策を踏まえて、非常時のBCP体制を構築します。一般的には、発災直後の初動対応体制とBCP発動後のBCP体制の2つの体制を構築します。
８．BCPを作成する
これまでの内容を踏まえて、マニュアルを作成します。マニュアルは誰が見ても使えるように作成する必要があります。
９．演習を実施する
作成したBCPの内容に基づいて演習を実施します。