TECHNOLOGY ／ 業務システム・ツール・BCP・情報セキュリティ
中小企業のリスク管理入門 サイバー攻撃と災害に備える最低限の実務
公開 2026.09.01
BCPは分厚い計画書でなくA4一枚から。指揮者・連絡手段・優先復旧業務・資金の月数・代替手段の決め方と、税制と金融支援が付く事業継続力強化計画の使い方を一次情報で整理します。
- 内閣府の令和7年度調査では、BCP策定率は大企業75.8％、中堅企業54.8％。取引先の側はすでに備えており、中小企業は「聞かれる側」に回りつつある
- 防災マニュアルの目的は人命と物的被害の抑制。BCPはそれに加えて「どの業務を、いつまでに、どの水準まで戻すか」を経営判断として決めるもの
- 中小企業庁の「事業継続力強化計画」認定を受けると、税制措置・低利融資・補助金の加点の対象になる（いずれも別途審査・加点であって自動ではない）。計画の実施期間は3年以内、審査の標準処理期間は45日
「うちの規模でBCPなんて」という感覚は、作業量の見積もりが実態とずれていることから来ています。中小企業庁が用意している入門コースの所要時間は、経営者1人で1〜2時間程度です。むしろ難しいのは書く作業ではなく、「全部は守れない」と認めて優先順位を決める意思決定のほうです。本稿は、技術的なセキュリティ対策には立ち入らず、体制・ルール・資金・保険・認定制度という経営者側の論点に絞って、最初の1枚を決め切るための手順を一次情報から整理します。
最初に結論：まず作る1枚に書く5項目
最初の1枚に必要なのは、被害の網羅ではなく「迷う場面の答え」です。当日に判断が止まりやすい5つの論点を、平時に文字にしておきます。決められない項目があること自体が、その会社の弱点の在りかを示します。
まず見るべき判断表｜BCPの最初の1枚に書く5項目
| 決めること | 1枚に書く内容 | 決め方の目安 |
|---|---|---|
| 誰が指揮を執るか | 対策本部の責任者と、その人が連絡不能なときの二番手・三番手。立ち上げの基準（震度いくつ、停止何時間） | 中小企業等経営強化法の計画でも、経営者またはそれに準ずる者を責任者に任命することが求められる |
| 連絡手段 | 安否確認の方法と、電話が通じないときの代替手段。従業員の連絡先リストの保管場所 | 電話番号・メール・SNSなど複数を用意し、紙でも持つ。社内サーバーが止まる前提で置き場所を決める |
| 優先復旧業務 | 何を先に戻すか、その業務をいつまでに戻すか（目標復旧時間） | 停止が許される時間の限界より早い時刻を目標に置く。全業務を並べず2〜3本に絞る |
| 必要な運転資金の月数 | 売上がゼロでも出ていく固定費と、何か月分を手当てできるか | 人件費・家賃・リース料・借入返済を積み上げ、現預金・保険金・融資枠のどれで埋めるかまで書く |
| 代替手段 | 拠点・仕入先・生産・要員のどれを、誰で置き換えるか | 「代わりがない」ものがボトルネック。名前と連絡先まで書けて初めて代替策になる |
難しいのは書く作業ではなく、「全部は守れない」と認めて優先順位を決める意思決定です。決められない項目があること自体が、自社の弱点の在りかを示します。
（出典：内閣府事業継続ガイドライン、2023年3月／中小企業庁事業継続力強化計画 策定の手引き令和8年7月17日版）
この5項目は、中小企業庁が示す計画策定の5ステップ（目的の設定、リスクの確認と影響想定、初動対応の手順、ヒト・モノ・カネ・情報への事前対策、平時の推進体制と訓練・見直し）とおおむね対応するので、書いた内容はそのまま認定申請に流用できます。ただし逆は成り立ちません。認定申請の様式には優先復旧業務と目標復旧時間の欄がないため、申請書をそのままBCPとして使うことはできません（後述）。なお、この5項目という切り分け自体は編集部の整理で、公的資料が5項目を指定しているわけではありません。
❌ 100ページの計画書を外注し、完成後はキャビネットに保管する ⭕ A4一枚を社長が自分で書き、全員がその置き場所を言える状態にする
BCPと防災マニュアルは、そもそも目的が違う
すでに防災マニュアルがあるからBCPは不要、という判断はよく見かけます。しかし内閣府は、両者の中心的な発想が異なると明記しており、防災活動の延長としてBCPを捉えると効果を十分に発揮できないおそれがあるとしています。
| 比較の観点 | 従来の防災活動 | 事業継続マネジメント（BCM） |
|---|---|---|
| 主な目的 | 身体・生命の安全確保、物的被害の軽減 | 安全確保に加え、優先的に継続・復旧すべき重要業務の継続または早期復旧 |
| 考慮する事象 | 拠点がある地域で想定される災害 | 事業中断の原因となり得るあらゆる事象 |
| 重視すること | 死傷者数と損害額の最小化、被災拠点の早期復旧 | それに加え、目標復旧時間・目標復旧レベルの達成、収益を確保して生き残ること |
| 検討の範囲 | 自社の拠点ごと（本社、工場など） | 全社横断。委託先・調達先・供給先まで含む |
| 取り組む主体 | 防災部門・総務部門など特定の部門 | 経営者を中心に、事業部門・調達・販売・管理部門が横断的に |
| 対策の種類 | 耐震補強、備蓄、二次災害防止、復旧工事 | 代替戦略（代替拠点、拠点や設備の二重化、情報のバックアップ等）と現地復旧戦略 |
（出典：内閣府事業継続ガイドライン、2023年3月）
違いの核心は、表の右列にある「経営判断」という言葉です。使える人・設備・資金が平時より少ない状態で、どの業務を残しどれを止めるかを決めるのは、総務担当者の権限では担えません。だからBCPは経営者が着手する以外に進めようがなく、逆に言えば経営者が1〜2時間を確保すれば動き出します。
なお内閣府は、防災活動とBCMは対策が重なる部分もあるため、並行して推進すべきだとしています。防災マニュアルを捨てて作り直す必要はありません。既存の避難経路や備蓄の記載はそのまま生かし、その先に「では、どの仕事を先に戻すのか」という一章を足すのが現実的です。
中核事業を絞る 全部は守れないから順番を決める
BCPが止まる最大の理由は、対象業務を絞れないことです。内閣府の考え方は明快で、まず原因を問わず「その事業が止まったら何がどれだけ困るか」を時系列で評価します。原因を問わないのは、顧客や取引先の判断において重要なのは「事業が停止するか否か」であって、停止の原因はそれほど重要ではない場合が多いからです。
評価の観点として、内閣府は利益・売上・シェアへの影響、資金繰りへの影響、顧客の事業継続の可否や取引維持の可能性への影響、従業員の雇用・福祉への影響、法令や契約・SLAに違反した場合の影響、社会的信用への影響などを挙げています。中小企業なら、1日あたりの売上や処理件数といった簡易な数値で構いません。定量化しにくいものは、経営に与える影響の大小で定性的に評価してよいと明記されています。
そのうえで、優先的に継続・復旧すべき重要業務について、どれくらいの時間で復旧させるかを目標復旧時間（RTO）、どの水準まで復旧させるかを目標復旧レベル（RLO）として決め、重要業務間に優先順位を付けます。決め方は、停止が許されると考える時間の限界を推定したうえで、その限界より早く目標復旧時間を置く、という順序です。
ここで重要なのは、この段階の目標はあくまで「案」だという点です。内閣府は、目標復旧時間と目標復旧レベルは単なる目標ではなく、講じた対策により達成可能なものでなければならないとし、対策の実施可能性を検討したうえで経営判断として最終決定するとしています。つまり「3日で全面復旧」と書いても、そのための代替設備も資金もなければ、それは公約違反を予約しているだけです。
業務ごとの粗利や人員配分が見えていないと、この絞り込みは感覚論になります。数字で順番を付けたい場合は、部門別損益の作り方 共通費を配賦しないで月次を回す最短ルートの考え方で、事業別・得意先別の利益を先に把握しておくと判断が早くなります。
（出典：内閣府事業継続ガイドライン、2023年3月）
❌ 「全業務を3日以内に復旧する」と書き、根拠も代替手段も書かない ⭕ 中核事業を2本に絞り、それ以外は「復旧のめどが立つまで後回しにする」と明記する
事業が止まる原因を6つに分けて、備えの型を変える
BCPが災害対策だけの話ではなくなったのは、事業が止まる原因が増えたからです。内閣府はBCPの定義自体を、大地震等の自然災害、感染症のまん延、テロ等の事件、大事故、サプライチェーンの途絶、突発的な経営環境の変化など、不測の事態全般に対するものとしています。原因ごとに効き方が違うため、備えの型も変わります。
| 止まる原因 | 効き方 | この記事で扱う備えの型 |
|---|---|---|
| 自然災害（地震・風水害・雪害） | 建物・設備の損壊と従業員の出社不能が同時に起きる | ハザードマップで拠点のリスクを確認し、避難と安否確認の手順を決める |
| サイバー攻撃 | データと基幹システムが止まり、復旧が長期化する | 「システムが使えない状態で何日回すか」の紙・手作業の代替手順を決める |
| 取引先の被災・倒産 | 仕入も売上も同時に消える。自社は無傷でも止まる | 供給が途絶えた場合の代替先の目星と、売掛金の集中度の確認 |
| 設備故障・インフラ停止 | 1台の停止で全工程が止まる（ボトルネック） | 止まると困る設備を特定し、修理業者・部品の入手経路を書き出す |
| 感染症 | 人が出社できない状態が長期に及ぶ | 時差出勤・在宅勤務の実行可能性を平時に試し、代替要員を育てる |
| キーパーソンの離脱 | 属人化した業務が動かなくなる | 手順書化、権限とIDの引き継ぎ、業務の複数人化 |
中小企業庁の策定の手引きは、各リスクに共通する脆弱性の例として「災害直後の運転資金の用意が不十分である」「事業停止に備え、保険・共済などへの加入を実施していない」「バックアップデータを近隣の施設で保管している」「物流の混乱に備えた代替ルートが確保されていない」「有事の際の代替生産拠点を確保できていない」などを挙げています。原因が何であれ最後に効くのは、資金・保険・代替手段という同じ3つだということが読み取れます。
サイバー攻撃については、多要素認証やバックアップといった技術的な打ち手、感染時の初動、個人情報保護委員会への報告義務などをサイバーセキュリティの基礎知識 中小企業が今すぐできる対策で扱っています。本稿の役割は、その先にある「止まっている間、どうやって商売を続けるか」です。両者は別の準備なので、片方だけでは穴が残ります。
キーパーソンの離脱を災害と同列に置くことに違和感があるかもしれませんが、内閣府も重要業務の継続に不可欠な要員について、代替要員の事前育成・確保（クロストレーニング）を対策例に挙げています。社長しか価格を決められない、1人しか機械を動かせない、という状態は、地震と同じ確率で事業を止めます。承継の視点も含めて整理するなら事業承継の進め方と5つのステップが参考になります。
（出典：中小企業庁事業継続力強化計画 策定の手引き令和8年7月17日版）
止まっている間の固定費を、誰が払うのか
BCPで最も後回しにされ、最も事業の生死を分けるのが資金です。中小企業庁は、被災時の事業継続では特に「リスクファイナンス」、すなわち平時から災害等で突然高額な損失が発生した際に倒産を防ぎ復旧ができる資金を準備しておくことが重要だとし、従業員への休業補償、借入金の返済、設備のリース料などは休業期間中も固定費として必要になる、と具体的に説明しています。
計算の順序はこうです。第一に、売上がゼロでも出ていく金額を1か月あたりで積み上げる。人件費、家賃、リース料、水道光熱の基本料金、借入元利返済、社会保険料が中心になります。第二に、想定する休業期間を置く。第三に、その期間を埋められる原資を並べる。現預金、損害保険金、既存の融資枠、追加融資、共済です。第四に、差額を見る。この差額が、その会社が耐えられない期間の長さそのものです。
関東経済産業局は、想定した休業期間における資金の過不足を算出できる「リスクファイナンス判断シート」を公開しており、中小企業庁は算出結果を計画の「自然災害等の発生が事業活動に与える影響」に記載し、参考資料として申請時に添付することを推奨しています。自社で表を組む手間を省きたいなら、これを使うのが早道です。
手元資金を何か月分持つべきかという水準の議論は手元資金の決め方で、月次の入出金を可視化する手順は資金繰り表の作り方で扱っています。BCPの資金欄は、この2つの延長線上に「売上が止まった月」の列を1本足す作業だと考えると取りかかりやすくなります。
有事に借りられるかどうかは、平時の関係で決まります。中小企業庁の手引きも、想定した必要額以上の被害が発生した際に緊急融資や返済猶予が受けられるよう、メインバンクや地域金融機関の担当者、商工会議所・商工会などの支援機関と日々相談を行う、という記載例を示しています。災害が起きてから初めて支店を訪ねる会社と、四半期ごとに試算表を持って行っている会社では、当日の話の速さが違います。交渉の準備は金融機関交渉術にまとめています。
（出典：中小企業庁事業継続力強化計画 策定の手引き令和8年7月17日版）
損害保険は「損失」を埋めるが、「時間」は買えない
保険はBCPの一部であって、代わりではありません。ただし資金面の空白を埋める手段としては中心的な位置を占めます。内閣府の令和7年度調査では、大企業・中堅企業とも損害保険・共済に「いずれも未加入」は1割を切っている一方、建物・設備一式に対して加入している企業は大企業で約6割、中堅企業で約4割にとどまりました。何かには入っているが、事業の再開に必要な範囲を覆えているかは別、ということです。
中小企業庁の手引きが示す典型的な穴は3つあります。第一に、火災保険に入っていても水災や地震は対象外という契約になっている場合。第二に、建物・設備は補償されても、休業期間中の利益は補償に入っていない場合。第三に、被害額の想定そのものをしていないため、補償額が足りているかを誰も判定できていない場合です。手引きは対策事例として、水災補償特約の追加、地震保険や地震共済の検討、災害に起因する事業停止等による喪失利益を補償する保険（損失利益補填保険）、災害発生等を条件にあらかじめ定めた条件で借り入れができる災害対応型コミットメントライン、災害時に元本の全部または一部が免除される特約付融資、小規模企業共済への加入などを挙げています。
保険料の水準や商品の当否は、業種・立地・過去の支払実績で大きく変わるため、ここで断定はできません。ただし制度上の接点として押さえておきたいのは、後述する事業継続力強化計画の認定を受けた事業者に対し、複数の損害保険会社や共済団体が「リスク実態に応じた保険料の割引を個別に検討する」と表明している点です。中小企業庁は各社の対応方針と問い合わせ先を一覧で公開しています。割引が確約されるわけではなく、物件の規模や過去の保険金支払実績、リスク管理体制などの条件を満たす場合の個別判断とされているため、自社が対象になるかは代理店または各社の窓口で確認してください。
❌ 「火災保険に入っているから大丈夫」で証券を確認しないまま済ませる ⭕ 証券を開き、水災・地震・休業補償が対象かを1つずつ確認し、抜けを1枚に書き出す
（出典：内閣府令和7年度 企業の事業継続及び防災の取組に関する実態調査（概要）、2026年3月／中小企業庁事業継続力強化計画認定制度の概要令和8年7月17日版）
事業継続力強化計画を「作る動機」として使う
自主的な取り組みは締め切りがないため後回しになります。そこで使えるのが、中小企業庁の「事業継続力強化計画」（通称ジギョケイ）です。中小企業者等が策定した防災・減災の事前対策に関する計画を経済産業大臣が認定する制度で、中小企業庁自身が「中小企業のための取り組みやすいBCP」と位置づけています。
制度の根拠は、2019年（令和元年）7月16日に施行された、通称・中小企業強靱化法です。自然災害の頻発化と経営者の高齢化により多くの中小企業で事業活動の継続が危ぶまれている、という背景から、中小企業等経営強化法などを改正して作られました。国が旗を振っている以上、支援措置は制度として整理されています。
| 支援の種類 | 内容 | 注意点 |
|---|---|---|
| 税制措置 | 中小企業防災・減災投資促進税制。計画に記載した自家発電設備、止水板、耐震・制震・免震装置などの対象設備を取得し事業の用に供した場合の特別償却 | 認定を受けた日から1年を経過する日までの取得等が対象。認定より前に取得した設備は対象外。適用対象者は資本金1億円以下の法人等で、認定を受けられる事業者の全てではない（製造業なら資本金3億円以下で認定は取れるが、1億円超だと税制は使えない） |
| 金融支援 | 日本政策金融公庫の低利融資（設備資金は基準利率から0.9％引下げ、運転資金は0.4％引下げ）、信用保証協会による別枠の追加保証や保証枠の拡大 | 利用には別途、公庫や信用保証協会の審査が必要。計画提出前に関係機関へ相談することが推奨されている |
| 補助金の加点 | 新事業進出・ものづくり商業サービス補助金、事業承継・M&A補助金、中小企業省力化投資補助金（一般型）、小規模事業者持続化補助金（一般型・創業型）などで加点 | 加点であって採択の保証ではない。各補助金の公募要領で最新の扱いを確認する |
| その他 | 認定ロゴマークを広報・販売活動に使用可能。損害保険会社等による保険料割引の個別検討 | ロゴは認定事業者なら使用規約同意書の提出は不要 |
税制措置について補足します。制度の対象となる認定期間は令和元年7月16日から令和9年3月31日までとされ、償却率は特別償却16％と公表されています。ただし、この税制は改正のたびに率と期限が動いてきた経緯があり、中小企業庁も「令和8年度税制改正等を踏まえた変更点など、御不明点は経済産業局等にお問い合わせください」と注記しています。設備投資の意思決定を税制の適用前提で行うのであれば、金額と期限は必ず公式資料の最新版と顧問税理士で確認してください。本稿の数値は執筆時点で公開されている資料に基づくものです。補助金全般の探し方は補助金・助成金の探し方 公式サイトの使い分けと申請でつまずく場所にまとめています。
手続きの実務も押さえておきます。申請は単独型・連携型とも電子申請システムからで、ログインにはGビズIDのプライムまたはメンバーのアカウントが必要です。中小企業庁は、GビズIDの取得に最低でも2週間程度かかるため計画的な取得を求めています。審査の標準処理期間は45日。申請期限はなく、いつでも申請できます。計画の実施期間は3年が上限で、更新（2回目以降の申請）は必須ではありませんが、認定を継続したい場合は実施期間の満了後に改めて申請し、その際は直近の計画に関する実施状況報告が必要になります。策定に自信がなければ、中小企業基盤整備機構が専門家派遣による策定支援を行っています。
（出典：中小企業庁事業継続力強化計画／同事業継続力強化計画Q&A集令和7年12月17日版／経済産業省中小企業強靱化法の概要）
取引先から「BCPはありますか」と聞かれる時代
BCPを作る理由が、災害対策から取引条件へと移りつつあります。内閣府の令和7年度調査（対象5,052社、回答率34.8％）によれば、BCP策定率は大企業75.8％、中堅企業54.8％で、中堅企業は前回調査から9.3ポイント上昇しました。業種別では金融・保険業82.2％、建設業75.7％、製造業66.3％の順に高く、10業種中7業種で策定率が上がっています。
GOVERNMENT SURVEY
BCP策定率（大企業・中堅企業）
75.8％
大企業のBCP策定率
54.8％
中堅企業のBCP策定率（前回から9.3ポイント上昇）
中小企業の策定率ではありません
この調査は大企業・中堅企業が対象です。読み取るべきは、発注側の多くがすでにBCPを持ち、仕入先に「止まったときどうするのか」を確認し始めているという点です。
この数字は大企業・中堅企業を対象とした調査であり、中小企業の策定率ではない点に注意が必要です。むしろ重要なのは、発注側の多くがすでにBCPを持っているという事実のほうです。同調査では、サプライチェーン強靱化に取り組む企業の具体的な取組として、大企業・中堅企業とも「仕入先の複数化」と「仕入先への確認（リスクコミュニケーション）」が最も多く挙がっています。仕入先への確認とは、平たく言えば「おたくは止まったときどうするのか」と聞くことです。情報の面でも同じことが起きます。名簿を預けた委託先が攻撃を受け、委託元まで公表に追われた例は「委託先で顧客12.4万件流出の恐れ。預けた名簿は返却まで確かめる」で取り上げています。
内閣府も、企業が計画的・組織的に危機的事象への備えを行っていることが取引先等の利害関係者や市場から従来に増して高く評価されてきているとし、事業継続の取組がサプライチェーンの視点も含め産業競争力の強化に有効との認識が強まっていると記しています。つまりBCPは、守りの支出であると同時に、取引を維持・獲得するための説明材料になりつつあります。
聞かれたときに提出できるものが何もないより、A4一枚でも「指揮者はこの人、優先復旧はこの業務、目標は何時間、代替はこの手段」と書かれた紙があるほうが、相手の担当者は稟議を通しやすくなります。事業継続力強化計画の認定を取っていれば、ロゴマークを名刺やウェブサイトに掲載できるため、説明の起点にもなります。なお、取引先から要請を受けた際に何をどこまで負担するかは契約の問題でもあるため、秘密保持や再委託の扱いとあわせて契約書のチェックポイント 取適法時代に経営者が見るべき順番も確認しておくと安全です。
（出典：内閣府令和7年度 企業の事業継続及び防災の取組に関する実態調査（概要）、2026年3月／内閣府事業継続ガイドライン、2023年3月）
作ったBCPが機能しない3つの理由と、年1回の見直し
計画は作った瞬間から古くなります。機能しなくなる理由はだいたい決まっており、いずれも「維持の手間」を設計しなかったことに起因します。
第一に、連絡網が古い。入退社や引っ越しがあっても更新されず、当日にかけた番号がつながりません。第二に、訓練をしないため誰も手順を覚えていない。第三に、事業内容が変わったのに計画が変わらない。主力商品が入れ替わっているのに、優先復旧業務の欄には3年前の商品名が書いてある、という状態です。
中小企業庁が計画の実効性確保として求めている内容は、実はこの3点の裏返しです。すなわち、経営層指揮の下での平時の推進体制の整備、年1回以上の訓練や教育の実施、年1回以上の計画見直し、そして取組内容の社内周知。しかも訓練と見直しは実施予定月まで計画に書かせる仕組みになっています。日付を先に決めるという、極めて実務的な設計です。
計画の見直しについて、中小企業庁は「業務変化への対応」と「計画そのものの見直し」の2つに分けたうえで、それぞれの視点で見直しをする責任者と時期をあらかじめ定めておくことが重要だとしています。教育活動の例としても、毎年1回以上、経営者が従業員に対して計画の進捗状況や問題点を説明する、毎月の役員会議や全社勉強会の際に短い時間でも計画に関する報告の時間を作る、といった軽い形が挙げられています。半日の避難訓練を毎年やる体力がなくても、月次会議に5分の議題を足すことはできます。
現実的な維持のしかたを1つに絞るなら、年に1回、決めた月に15分の読み合わせをすることです。連絡先リストを開いて退職者と番号変更を消し込む。優先復旧業務の欄を見て、いまの主力と合っているかを確認する。固定費の月額を直近の決算値に置き換える。この3点だけで、計画が実態から離れる速度は大きく下がります。中小企業基盤整備機構はカードゲーム形式の机上訓練教材も提供しており、北海道経済産業局は安否確認・初動対応・事業継続の3種類の訓練を自社で企画できる「訓練企画シート」を公開しています。ゼロから訓練を設計する必要はありません。
訓練を「やった／やらない」で終わらせず定着させたい場合は、KPIの設計と月次運用の考え方で、実施回数ではなく「安否確認が全員分そろうまでの時間」のような結果指標を1つだけ置くと、続ける意味が社内に伝わりやすくなります。
❌ 連絡網を社内サーバーの共有フォルダにだけ置き、更新は担当者任せにする ⭕ 紙で印刷して経営陣が持ち、毎年決めた月に15分の読み合わせで更新する
❌ 補助金の加点目当てで認定を取り、訓練も見直しも実施しない ⭕ 計画に書いた実施月に訓練を行い、2回目申請で求められる実施状況報告に備える
（出典：中小企業庁事業継続力強化計画 策定の手引き令和8年7月17日版／中小企業庁事業継続力強化計画）
5問で確認する 自社のBCPの実効性
計画が「キャビネットに保管されたまま」になっていないかを確かめる簡易チェックです。
SELF CHECK / 無料・登録不要
5問で確認｜BCPの実効性
いまの自社の備えにいちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。
※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。
NEXT ACTION / 次にやること
A4一枚に、BCPの5項目を社長が自分で書く
指揮者（二番手・三番手を含む）、連絡手段、優先復旧業務と目標復旧時間、必要な運転資金の月数、代替手段の5つです。書けない欄が見つかったら、そこから手を付けてください。印刷して経営陣が持ち、年1回の見直し月も決めておきます。
よくある質問
Q従業員が5人でもBCPは要りますか
規模ではなく、止まったときに困る人がいるかどうかで判断してください。中小企業庁の「中小企業BCP策定運用指針」は投入できる時間と労力に応じて入門・基本・中級・上級の4コースを用意しており、入門コースの所要時間の目安は経営者1人で1〜2時間程度とされています。従業員がいない個人事業主の場合、事業継続力強化計画の手引きは、安否確認などの記載を自身や家族等と読み替えて記載してよいとしています。人数が少ない会社ほど1人が抜けた影響が大きいため、代替手段を決める意味はむしろ大きくなります。
Qまず作る1枚には、具体的に何時間くらいかかりますか
中小企業庁の入門コースの目安は経営者1人で1〜2時間程度、基本コースで1〜2日程度です。時間がかかるのは書く作業ではなく、優先する業務を絞る判断と、固定費を積み上げる集計です。決算書とリース契約の一覧を手元に置いてから着手すると、途中で止まりにくくなります。事業継続力強化計画として申請する場合は、これに加えて電子申請の準備と審査の標準処理期間45日を見込んでください。
Q目標復旧時間はどう決めればよいですか。根拠がありません
内閣府は、それぞれの重要業務について「停止が許されると考える時間の許容限界」を事業影響度の時系列分析から推定したうえで、その限界より早く目標復旧時間を設定するとしています。中小企業の場合、精緻な分析より「何日止まるとこの顧客は他社に切り替えるか」を営業の実感で置くほうが早いことが多いはずです。ただし内閣府は、目標復旧時間は講じた対策により達成可能なものでなければならないとも明記しています。対策の裏付けがない数字は、対外的に約束できないという前提で扱ってください。
Q事業継続力強化計画の認定を受ければ、必ず税制優遇や補助金が受けられますか
いずれも自動ではありません。金融支援は日本政策金融公庫や信用保証協会の審査が別途必要で、中小企業庁も計画提出前に関係機関へ相談することを勧めています。補助金は加点措置であって採択の保証ではありません。税制措置は、計画に記載した対象設備を認定後に取得し事業の用に供することが条件で、認定より前に取得した設備は対象外です。率や適用期限は税制改正で変わり得るため、投資判断の前に公式資料の最新版と顧問税理士に確認してください。
Q事業継続力強化計画とBCPは、どちらを先に作るべきですか
すでにBCPがある会社は、それを土台に申請できます。中小企業庁の手引きは、策定済みのBCP等がある場合は該当部分を転記のうえ、BCP等を参考書類として添付する方法を示しており、機密情報は塗りつぶして構わないとしています。逆にゼロから始めるなら、認定制度の様式が実質的なテンプレートになるため、ジギョケイの5ステップに沿って書いてしまうほうが早いことが多いでしょう。
ただしジギョケイの様式には、優先復旧業務の絞り込みと目標復旧時間を書く欄がありません。認定を先に取る場合でも、BCPとして使うにはこの2つを自社で書き足す必要があります。取引先から「BCPはありますか」と問われたときに認定通知書だけで応じると、相手が知りたい「どの業務を、いつまでに戻せるのか」に答えられません。認定はゴールではなく、期限と支援措置という締切をつくるための道具だと考えてください。
Qサイバー攻撃対策とBCPは、どう役割分担すればよいですか
侵入を防ぎ、感染時に被害を止めるのが情報セキュリティ側の仕事で、止まっている間に商売を続けるのがBCP側の仕事です。多要素認証やバックアップ、感染時の初動、個人情報保護委員会への報告義務といった技術的・法的な論点は別稿で扱っています。BCP側で決めるべきは、基幹システムが使えない期間に受注と出荷をどう回すか、顧客と取引先に誰がいつ何を伝えるか、調査や復旧の費用をどう工面するかです。中小企業庁の手引きも、サイバー攻撃を想定した資金面の対策例としてサイバー保険への加入を挙げています。
Q感染症も計画に入れられますか
入れられます。中小企業庁は感染症を想定したリスク・対策の記載例を手引きに掲載しており、マスク等の備蓄、在宅勤務の環境整備、時差出勤の導入、感染症による休業補償を得られる保険の検討、公的支援策の活用準備などを例示しています。あわせて中小企業庁は、感染症有事リスクを想定した計画の策定・申請を検討する事業者向けに、内閣感染症危機管理統括庁のページを案内しています。自然災害と感染症では人が動けなくなる理由が違うため、同じ計画の中でも初動対応の欄は分けて書くほうが実用的です。
出典・調査の対象範囲
※1枚に書く5項目の切り分けと自己診断は編集部の整理です。税制の率・期限や保険の適用は改正・個別判断で変わるため、最新の公式資料と顧問税理士・保険代理店で確認してください。
