レジリエントな組織実現に向けたBCP/BCMの見直し・再構築

はじめに

近年、地政学的なリスクの高まりや市場の潜在性を背景に東南アジアにおけるビジネスへの注目度が増しています。例えば、最近はハイテク部品や電子部品をはじめとする製造業の分野で、主要な生産拠点が東南アジア諸国に移転する動きが多く報道されているところです。

しかし、東南アジア諸国では、依然として異常気象・大規模な自然災害、人的災害、サイバー攻撃や人権侵害など、経営管理上非常に重要なリスクが点在していることも事実です。また、新型コロナウイルス感染症 (COVID-19)を契機に、海外拠点において在宅ワークの推進、社内システムの見直し、サプライチェーン管理などの在り方が大きく変わり、東南アジアにおいてもこれらの影響は無視できません。

このように、東南アジアにおけるリスク管理の重要性はますます高まっていると共に、万が一企業の事業継続に重大な影響のある危機に直面した場合においても、（状況変化に合わせて柔軟、効果的に対策を講じ続けられる回復力を備えた）レジリエントな組織を整備することが必要と言えるでしょう。

さらに、ご担当者様とのディスカッションをする限り、東南アジア拠点を構える日系企業においてもBCP（事業継続計画）の現状は下記のような状況であり、効果的なBCPを策定するにはどうすれば良いのかご相談を受ける場面が多いです。

• 日本本社が想定する地震や洪水の記載はあるが、例えば東南アジアでみられるヘイズ（煙害）や大規模停電等の記載はないので、あらゆる災害や複合災害を想定したBCPが必要と考えているがブラッシュアップができていない
  
• BCPがあるといっても緊急連絡先に関するものだけであり本社からそれ以上の連絡がないため、形骸化している。例えば、本社で実施されている企業の事業継続対応にかかわる緊急時の事業・業務の優先順位などを抽出し、対策を策定する等は現地では実施されていない
  
• 災害やインシデントがあるたびに継ぎ足しで作成しているが、新しく作成しても実際に運用されているとは実感していない。要因としては、１）東南アジア拠点でのBCPに対する意識が低い、２）人員リソースの制約もあり通常業務を優先されてしまい、訓練への参加率が低い、３）教育研修を実施しても離職率が高いことで実効性が確保されないことが考えられる　等

このレジリエントな組織の実現および効果的なBCPを策定するためには、拠点毎のリスク評価や多様なリスクに柔軟に対応できる対応手順の検討、その対応手順を文書化することが昨今、改めて重要視されてきています。さらに、このBCPを単なる文書として配布するのみならず、海外の拠点におけるリスク対応力を強化するべく、危機管理に関する組織整備や経営層・従業員の意識を常に高く維持するために地道な周知・コミュニケーション活動、あるいは日ごろの訓練やシミュレーションを重ねることが重要と考える企業が増えてきており、グローバルでの見直しが活発に議論されています。これらの活動はBCM（事業継続マネジメント）と呼ばれ、多くの企業で近年BCMの再構築・改善に関する活動が始まっています。

1. 東南アジア諸国で見られる主なカントリーリスクについて

東南アジア諸国では、前述の通り様々なリスクが点在していますが、今回は特に留意すべきリスクの例として下記の4点を挙げさせていただきます。

• 異常気象、自然災害

i. 直近では2021年に多数の死者を出したインドネシアや東ティモールの洪水など異常気象が続いています。

ii. 異常気象、大規模な自然災害は2021年度においても日本本社が考える海外拠点の主要なリスクに位置づけられています。

• 人的災害

i. 2022年にもバングラデシュやベトナムで死者を伴う工場や倉庫の爆発が発生するなど多数の死傷者が発生する事故は後を絶ちません。

• サイバー攻撃

i. 2021年ではアジアが世界の中で最もサイバー攻撃が多い地域となりました。

• 人権侵害

i. ミャンマーの軍事政権や、マレーシアのパーム油産業での強制労働、児童労働、人身売買などの人権問題から東南アジアにおける人権リスクにも関心が高まっています。

ii. ESGの観点から大手企業では主要サプライヤーに対する人権デューデリジェンスや人権保護プログラムを要請する動きが強まってきています。人権侵害が懸念される特定の地域からの調達中止に加え、現場での事故の発生状況の報告を求めるケースも増加しています。

2. レジリエントな組織実現に向けたBCP見直し機運の高まり

COVID-19を契機に、海外拠点においてテレワークの推進、社内システムの見直し、サプライチェーン管理方法の変更への早急な対応が必要となりました。そのようなパンデミックによる環境変化・社内の変化に対して、従来のBCPによる対応では太刀打ちできず、様々な課題が露見しました。

例えば、安全確保や被害拡大防止策が後手に回り、事態の把握やコミュニケーションは明確にできず現場に混乱を与えました。優先すべき業務や不要不急の業務が不明瞭なまま業務停止が実施され、影響の分析も不十分なまま一部テレワークへ移行した結果、多くのトラブルが長期化し、顧客対応を含む会社のオペレーションに重大な影響を与えたケースも数多く報告されています。

これまでの新型コロナ対応で多く見られたBCPに関わる課題

このようにCOVID-19の拡大と共に国内・海外とサプライチェーンにおける被害も拡大していきました。被害の例としては下図の通り、テレワークへの移行によるオフィスワークへの影響から始まり、感染者増加による生産活動が低下し、物流の制限から製品の流通に影響し、販売の減少につながったケースが挙げられます。

新型コロナウイルス感染拡大によるサプライチェーンへの被害（例）

COVID-19を契機に、企業は想定外のリスクへの対応の巧拙がその後の事業継続や業績に多くの影響を与えることを改めて認識することになりました。

また、東南アジアでは、COVID-19以前であれば日本人駐在員や日本からの出張者による現場での柔軟で細やかな対応によって危機を乗り切ることができた例も多かったはずです。しかし、COVID-19の流行以降は、海外からの渡航制限により日本人による応援部隊が現地入りできないことや、駐在員の帰国やマネジメントの現地化を背景に駐在員の数が大きく削減されたこともあり、もはや特定の個人の努力や暗黙のルールで危機を効果的に乗り切ることが難しくなってきている状況が発生しています。

これらの背景からも、現地の経営層、現場担当者が危機対応において、異なる文化や価値観、バックグランドを持つ現地メンバーが危機発生時において、一つの方向に向かって迅速にアクションを取るための拠り所となるBCPの文書化は非常に重要であると考えます。

3. 想定外に強いBCP検討のフレームワーク「BETH3」の活用

ではBCPはどのようなアプローチで整備するのが効果的でしょうか。企業を取り巻く脅威は多岐にわたり、従来のように脅威別のBCPをいくつも検討するのでは、効率が悪く、想定外の脅威に直面した場合に対応できません。

脅威別のBCPを作る？

このため、変化し続けるリスクに対して、実効性のあるBCPを策定するには、原因「脅威」に着目するのではなく、被害を受けるリソース「経営資源」に着目したアプローチが今後必要となります。

具体的には、組織が保護または復旧すべき、5つの重要な経営資源であるBETH3（建物：Building、設備：Equipment、情報システム：Technology、人的資源：Human Resources、取引先等：3rd Party）に注目し、各ソースを保護／復旧させる「結果事象」ベースでの対策により発生する事象にかかわらず、想定外の事象に対応した効果的なBCPの策定が可能となります。

「原因事象」と「結果事象」

4. グローバルBCP/BCM構築のポイント

グローバルに展開する企業では、先述のようなリスクに加えて、進出先の海外拠点における国民性の相違、政府の対応方針・強制力、法規制などを踏まえた拠点別のリスク評価、および、様々なリスクに柔軟な「結果事象」ベースの対応策を検討することで、BCPの実効性が高まります。

また、BCMの実効性を高めるには、現地に対する説明資料やBCPを運用するために使用するテンプレートやマニュアルなどのツールを作成し、グローバル展開を見据えたBCMフレームワークを構築することが重要です。また、日ごろから本社とローカルの間の密なコミュニケーションや地道な周知活動を継続的に行うことも重要な要素として考慮する必要があります。

グローバルBCP/BCM構築のポイント

最後に

COVID-19によるパンデミックから学んだように私たちは既知のカントリーリスクに対処するだけではなく、外部／内部の様々な環境変化に適応し、持続的に成長するレジリエントな組織づくりが求められています。このレジリエントな組織作りのためには、前述の通り実効性の高いBCP/BCMが重要なファクターのひとつであると考えます。

デロイト トーマツ グループは既にグローバルにおいて様々な企業に向けてBCP/BCMに係るアドバイザリーを行っています。その知見を活かし、本稿が貴社のBCP/BCMについて改めて考えるきっかけとなれば幸いです。

【参照した資料】

• アジアにおけるサイバーセキュリティ｜リスクアドバイザリー | デロイト トーマツ グループ | Deloitte
• BCP/BCM（事業継続計画/事業継続マネジメント）｜サービス：BCP/BCM(事業継続計画/事業継続マネジメント）｜デロイト トーマツ グループ｜Deloitte