会社の重要業務をどう決める？BCPの事業影響度分析（BIA）

BIAとは？BCPの事業影響度分析

BIA（Business Impact Analysis／事業影響度分析）とは、業務が止まった場合に、時間の経過とともにどのような影響が発生・拡大するかを分析し、優先的に継続・復旧すべき業務と、その復旧目標を決めるための分析です。

内閣府「事業継続ガイドライン（令和5年3月）」（以下「内閣府ガイドライン」）は、危機的な事態が起きると平常時の業務をすべて続けることは難しくなるため、BIAによって優先的に継続・早期復旧すべき重要業務を選び、いつまでに復旧させるかの目標と、そのために必要な経営資源を特定する必要がある、という趣旨を示しています（同ガイドライン3.1）。

同ガイドラインの用語解説は、BIAの手順例として、重要な事業の洗い出し、ビジネスプロセスの分析、重要な要素（ボトルネック）の特定、復旧優先順位の決定、目標復旧時間・目標復旧レベルの設定を挙げています。

BIAは「災害の被害予測」ではない

BIAでよくある誤解が、「地震が来たら何が壊れるかを予測する分析」だと思ってしまうことです。

BIAが見るのは原因ではなく結果です。内閣府ガイドラインは、各事業が停止した場合の影響の大きさとその変化を、停止の原因に関わらず時系列で評価するとしています。顧客や取引先から見れば、止まった原因が地震か、火災か、サイバー攻撃かよりも、「供給が止まるかどうか」が重要だからです（同3.1.1）。

つまりBIAの問いは、「何が起きるか」ではなく、「この業務が止まったら、何時間後・何日後に何が起きるか」です。

BIAとリスクアセスメントの違い

表は横にスクロールできます →

ただし、両者は切り離して行うものではありません。内閣府ガイドラインも、リスクの分析・評価はBIAと並行して行い、作業手順として両者を行きつ戻りつしながら進めるとしています（同3.2）。BIAで「目標」を決め、リスク分析で「現状でどこまでできるか」を見積もり、その差を対策につなげる関係です。この点は後述のよくある失敗で改めて扱います。

用語の注意：「重要事業」「中核事業」「重要業務」

内閣府ガイドラインは優先すべき「重要事業」と、それに必要な「重要業務」を、中小企業庁「中小企業BCP策定運用指針」は「中核事業」と、それに付随する「重要業務」を使い分けています。本記事では、優先して継続・復旧させる業務をまとめて「重要業務」と表記します。

なぜBCPでは重要業務を絞る必要があるのか

理由は単純で、災害時には人・設備・資金・時間が足りなくなるからです。

要員も電力もシステムも仕入先も不足する中で全業務を同時に復旧しようとすると、資源が分散し、どの業務も中途半端なまま時間が過ぎてしまいます。

内閣府ガイドラインは、従来の防災活動とBCMの大きな違いとして、使える経営資源に制限が生じることを前提に、優先すべき業務を絞り込み、どの業務をいつまでにどのレベルまで回復させるかを経営判断として決める点を挙げています（同1.2）。

重要業務に選ばれなかった業務も、重要業務の復旧にめどがついた段階で復旧時期を検討します（同3.1.2脚注）。BIAは「順番を決める作業」です。

重要業務はどう決める？7つの影響評価＋復旧実現性

結論から言えば、重要業務は「売上が大きい業務」ではなく、「止まったときの影響が大きく、かつ早く表れる業務」です。

内閣府ガイドラインは、事業中断の影響を評価する観点の例として、利益・売上・マーケットシェア、資金繰り、顧客への影響、従業員の雇用・福祉、法令・条例・契約・SLA違反の影響、社会的信用、社会的・地域的な影響を挙げています（同表3.1.1-1）。これを実務で使いやすく整理したのが、次の①〜⑦の影響評価です。

⑧の復旧実現性は、厳密には影響度そのものではありません。同ガイドラインでは、影響度評価（3.1.1）、重要業務とRTO・RLOの検討（3.1.2）の後に、必要な経営資源とボトルネックの分析（3.1.3）で扱われる論点です。ただ、候補を絞る段階で大まかに確認しておくと後工程が楽になるため、補助的な確認項目として並べています。

表は横にスクロールできます →

売上が小さくても優先度が高くなる業務

顧客や住民の安全に関わる業務、法定期限や行政報告がある業務、厳しいSLAや短い通知期限を約束している業務、止まると多くの業務が連鎖して止まる業務は、売上規模が小さくても優先度が上がることがあります。逆に、売上が大きくても在庫や受注残で数日しのげる業務もあります。

「業務単位」だけでなく「顧客単位」で切り分ける

同じ製造業務でも、顧客によって許容される停止期間は違います。内閣府ガイドラインは顧客ごとに分けて重要顧客への供給を重要業務とできるかを検討する方法を示し（同3.1.2脚注）、中小企業庁の指針も「顧客甲に対する製品Aの製造・提供」という書き方を例示しています。「どの顧客向けの、どの製品の供給か」まで分けると、優先順位が付けやすくなります。

法務がBIAで確認すべき情報

事業部門だけに「どの業務が重要ですか？」と聞くと、売上や業務量の感覚に基づく回答になりがちです。「何時間止まると、どの契約のどの条項が問題になるか」まで把握している事業部門は多くありません。

内閣府ガイドラインは、影響度を評価する観点に「法令・条例や契約、SLA等に違反した場合の影響」を含め、例として契約上の供給遅延の賠償責任、法令上の株主総会の開催期限、税務申告期限、製薬企業の副作用報告期限を挙げています（同表3.1.1-1及び脚注）。ここは法務が情報を持っている領域です。

表は横にスクロールできます →

① 重要契約一覧と、顧客ごとの納期・SLA

すべての契約を読む必要はありません。売上上位の顧客、独占的・長期的な供給契約、SLA付きのサービス契約、公的機関との契約など、止まったときに影響が大きい契約から優先して確認します。

確認するのは、納期の定め方（確定日か、個別発注ごとか）、SLAの指標（稼働率、応答時間、復旧時間など）と未達時の効果（減額、違約金、解除事由など）です。

② 不可抗力条項・通知期限・解除条件

BIAの段階で法務が行うのは、「災害時に免責されるか」の最終判断ではありません。「停止から何時間・何日後に、どんな契約上の効果が発生し得るか」という時点（トリガー）を拾い出すことです。

• 不可抗力条項があるか。対象事由に地震・感染症・サイバー攻撃・停電などが含まれるか。
• 不可抗力を主張する前提として、何日以内に通知する義務があるか。
• 履行不能や遅延が何日続くと、相手方に解除権が発生するか。
• 違約金や遅延損害金の定め、損害賠償の上限・除外の定めはあるか。

③ 最低購入量・最低供給量、独占供給・優先供給

最低供給量や供給保証、独占供給・優先供給の約束があると、「全量でなくてもよいが、一定量は供給し続けなければならない」という条件になります。これは後述するRLO（目標復旧レベル）を決める際の重要な材料です。

④ 許認可・行政報告・法定期限

法令上の期限や報告義務は、業種によって大きく異なります。BIAでは詳細な検討よりも、「どの業務に、どの期限が結び付いているか」を一覧化することを優先します。例として次のようなものがあります。

• 賃金支払：労働基準法24条は、賃金を毎月1回以上、一定の期日を定めて支払うことを求めています。給与計算業務は、支給日に向けて期限が迫る業務です。
• 会社法・税法等に関係する期限・スケジュール：定時株主総会の開催時期と基準日との関係、税務申告期限など（内閣府ガイドラインも株主総会の開催期限や税務申告期限を例示しています）。なお、会社法296条1項は「毎事業年度の終了後一定の時期」に招集すると定めるのみで、実務上3か月以内が標準となるのは、基準日から3か月以内の権利行使に限る124条2項や定款の定めによるものです。詳しくは株主総会は3か月以内に必要？決算後の期限・招集通知・登記まで整理をご覧ください。
• 業法に基づく報告・届出、許認可の条件：設備の停止・変更や事故時の報告が求められる業種があります。詳細は第12話で扱います。
• 個人情報：災害やシステム障害に伴って個人データの漏えい等が生じた場合、個人情報保護委員会への報告と本人への通知が必要になる場合があります。緊急時の情報管理は第11話で扱います。

⑤ 委託先・再委託先との契約、保険契約

委託契約では、委託先の事業継続義務、障害時の報告義務、再委託の条件、代替手段の提供の定めを確認します。保険契約では、対象となる損害（設備損害、休業損失、追加費用など）と災害の種類による免責の有無を確認し、財務面の許容限界の見積もりに反映させます（被災後の保険請求は第13話）。

法務の成果物｜LegalGPTでは「契約・法令上の期限マップ」として整理

本記事では、BIAに法務が提供するこれらの情報を、実務上分かりやすく「契約・法令上の期限マップ」と呼びます。内閣府ガイドラインなどの公的な用語ではなく、業務ごとに契約・法令上の期限と効果を時間軸に並べるための、LegalGPT独自の実務上の整理です。

• □ 業務名と、関係する主要契約・相手方
• □ 停止何時間・何日で、どの条項の効果が発生し得るか（通知義務、SLA未達、違約金、解除など）
• □ 関係する法定期限・行政報告・許認可条件
• □ 不可抗力条項の有無と、主張の前提となる通知の期限・方法
• □ 委託先・再委託先の契約上の義務
• □ 保険でカバーされる範囲と、事前に必要な手続き

これを事業部門の影響評価と重ね合わせれば、「売上だけ見れば後回しでよいが、契約上は48時間以内に対応が必要」といった抜けを防げます。

ただし、法務が重要業務を決めるわけではありません。内閣府ガイドラインは、BCMの実施体制として関係部門すべての担当者を含む全社的な体制を想定しています（同2.2）。法務の役割は、契約・法令・許認可の観点から判断材料を提供し、判断の抜けを防ぐことです。

RTOとは？何時間・何日以内に復旧するか

RTO（Recovery Time Objective／目標復旧時間）とは、重要業務を「どれくらいの時間で復旧させるか」という目標です。内閣府ガイドラインは、重要業務をどれくらいの時間で復旧させるかを目標復旧時間（RTO）、どの水準まで復旧させるかを目標復旧レベル（RLO）として定めるとしています（同3.1.2）。

「許容限界」と「RTO」は別のもの

ここで押さえておきたいのが、停止が許される時間の限界（時間の許容限界）と、RTOは同じではないという点です。

内閣府ガイドラインは、まずBIAの時系列分析から停止が許される時間・レベルの許容限界を推定し、時間の許容限界より早くRTOを設定するという考え方を示しています（同3.1.2）。

一方で、許容限界より大幅に短いRTOを設定すると、達成のための対策費用が膨らみ、再検討が必要になる可能性が高いことにも同ガイドラインは注意を促しています。

RTOは「今の体制で戻せる時間」ではない

BIAで最も誤解されやすい点です。RTOは「事業として、いつまでに戻す必要があるか」から決める目標であり、「今の設備やシステムなら何日で戻せるか」から決めるものではありません。

「今の体制で何日で戻せるか」は、内閣府ガイドラインでは「現状で可能な復旧時間」と呼ばれ、リスクの分析・評価の中で推定するものとされています（同3.1.3、3.2）。そして、この現状で可能な復旧時間は、取引先等のニーズを踏まえたRTOの案を満たしていないことが多く、そのギャップを埋めるために対策を検討するという流れになります（同3.1.3）。

「今は3日かかるからRTOは3日」と決めると、ギャップが最初から存在しないことになり、対策を検討するきっかけ自体が失われます。顧客が2日しか待てない場合でも、BCP上は「3日で復旧すれば計画どおり」となってしまうのです。一方で、現状と無関係な高すぎる目標を掲げ続けるのも問題です。この点が次の「案」と「最終決定」の区別につながります。

RTOは最初は「案」、最終決定は経営判断

一方で、RTOは目標だから高く掲げればよい、というものでもありません。内閣府ガイドラインは、BIAの段階のRTO・RLOは実現性が検証されていない「案」にとどまり、事業継続戦略・対策の検討を経たうえで、経営判断で最終決定するとしています。最終的なRTO・RLOは、講じる対策によって達成可能で、対外的にも説明できるものでなければならない、とされています（同3.1.2、4.1）。

つまりRTOは、次の順で固まっていきます。

1. BIAで許容限界を推定し、RTOの「案」を置く（ニーズ起点）
2. リスク分析で「現状で可能な復旧時間」を見積もる
3. ギャップを埋める対策と費用を検討する
4. 経営者が、達成可能なRTOとして正式に決定する

RTOを考えるときの目安

中小企業庁の指針は、目標復旧時間を決める際に最低限考慮すべきものとして、取引先やサプライチェーンの要請と、自社の資金が事業停止の損失に耐えられる期間の2つを挙げています。法務の視点では、ここに契約上の期限と法定期限を加えます。取引先の感覚的な許容範囲と、契約書の納期・SLA・通知期限がずれていることは珍しくありません。

RPOとの関係（簡単に）

IT分野では、RPO（Recovery Point Objective／目標復旧時点）という用語も使われます。失ったデータを過去のどの時点まで復旧させるか（1日前のデータまで、など）という目標で、内閣府ガイドラインでも情報のバックアップの箇所で説明されています（同4.2.3脚注）。システム・データの復旧に関する論点は第10話で扱います。

RLOとは？どこまで復旧させるか

RLO（Recovery Level Objective／目標復旧レベル）とは、重要業務を「どの水準まで」復旧させるかという目標です。

BCPでいう「復旧」は、100％元に戻すことだけを意味しません。災害時に平常時と同じ水準をすぐに取り戻すのは難しいため、「いつまでに、何％まで戻すか」を段階的に設定するのが現実的です。内閣府ガイドラインも、複数の目標復旧時間を置き、各時点の目標復旧レベルを段階的に設定する組み合わせが可能だとしています（同3.1.2脚注）。

表は横にスクロールできます →

RLOにも許容限界があります。内閣府ガイドラインは、レベルの許容限界を上回るようにRLOを設定するとしています。たとえば契約上の最低供給量が通常の40％であれば、翌日のRLOを30％にすると、それだけで契約上の問題が生じ得ます。ここでも法務が確認した契約条件が効いてきます。

RLOがなければ、「3日目に再開した」が処理量1割なのか9割なのか分かりません。RTOとRLOはセットで決めます。

BIAを実際にやってみる：製造業A社のケース

表は横にスクロールできます →

表から読み取れること

1. 重要度は固定ではなく、時間とともに変わる。製造は1日なら在庫でしのげますが、3日目に一気に重要度が上がります。給与計算は、支給日が近づくと最優先に近くなります。「給与計算は重要業務か」ではなく、「支給日の何日前までに再開すればよいか」という問いに置き換えるのがポイントです。

2. 売上を生む業務だけが重要なわけではない。問い合わせ対応が止まると顧客は状況を把握できず、代替調達に切り替えかねません（内閣府ガイドライン4.2.2.2のブラックアウトの指摘）。

3. 製造と出荷は一体で見る。製造だけ復旧しても、物流が止まっていれば顧客には届きません。

A社のRTO・RLOの「案」

この分析をもとに、A社のBCP事務局は、たとえば次のような「案」を作ります。

• SLA付き顧客向けの製造・出荷：時間の許容限界は約3日。RTO案は48時間以内に再開、RLO案は再開時に契約上の最低供給量を満たす水準。
• 問い合わせ対応（製品安全・主要顧客への状況連絡）：RTO案は当日中。
• 給与計算：RTO案は「支給日の3営業日前までに処理可能な状態」。
• 請求書発行：RTO案は「月末の締め処理までに再開」。

BIAの実務手順

内閣府ガイドライン3.1〜4.1の流れに対応させて、実務の手順を整理します。

表は横にスクロールできます →

自社用「重要業務一覧」ひな形

次の表は、自社の検討に使えるひな形です。1行目はA社の設例による記入例です。

表は横にスクロールできます →

※「契約・法令上の期限」欄は法務が記入し、「時間の許容限界」は事業部門の影響評価と法務の期限情報を突き合わせて推定します。RTO・RLOは経営者の最終決定までは「案」として管理します。

重要業務だけ決めてもBCPは完成しない

重要業務とRTOを決めても、社員、建物、システム、電力、仕入先、運送会社のどれか一つが欠ければ、重要業務は再開できません。

内閣府ガイドラインは、重要業務に不可欠な「重要な要素（経営資源）」を漏れなく洗い出すことを基本とし、その例としてキーパーソン、拠点、工程、機械、金型、工具、梱包、原料・部品、サービス、ライフライン、物流、データ、システム、資金などを挙げています。そのうえで、確保までの時間を早めない限り復旧を早められない要素を「ボトルネック」として把握するとしています（同3.1.3）。

ここで見落としやすいのが、社外への依存です。自社の工場が無事でも、仕入先が被災すれば製造は止まります。内閣府ガイドラインは、調達先を複数化する場合でも、複数の調達先が同時に被災するケースや、2段階以上先の調達先が同一でそこが被災するケースに留意するよう指摘しています（同4.2.1）。取引先依存と代替調達の考え方は第4話で詳しく扱います。

また、システムが止まったときに手作業でどこまで回せるかは、RTO・RLOの実現可能性を大きく左右します（第10話）。

法務の観点では、依存先ごとに「どの契約で結ばれているか」「障害時の報告義務や代替提供の義務があるか」を確認しておくと、BIAの結果を契約の見直し（第14話）につなげることができます。

BIAでよくある失敗

失敗1：売上額だけで重要業務を決める

法定期限のある業務、安全に関わる業務、厳しいSLAを約束している業務が抜けます。売上は評価軸の一つにすぎません。

失敗2：すべてを重要業務にする

各部門の意見を足し合わせると、ほぼすべてが「重要」になりがちです。重要業務は、資源が足りない状況で先に手を付ける業務です。上位を絞り込み、残りは「重要業務の復旧後に再開する業務」として整理します。

失敗3：部門長の感覚だけで決める

感覚だけで評価すると、部門間で全部が最優先になります。表2の観点と、1日・3日・1週間といった共通の時間軸で評価すれば、部門間の比較が可能になります。

失敗4：RTOを現状の復旧能力から決める

「今のシステムでは3日かかるからRTOは3日」とするのは、順番が逆です。RTOは、まず事業上の許容限界や取引先のニーズ等から案を設定し、現状で可能な復旧時間との差を対策で埋めます。詳しくは前述の「RTOとは？」を参照してください。

失敗5：契約を確認していない

契約上は障害発生から24時間以内の報告義務を負っているのに、BCP上は「3日後に顧客へ連絡」となっているケースです。BCPどおりに動いた結果、契約違反の状態になりかねません。法務の期限マップと突き合わせておけば防げます。

失敗6：取引先・委託先への依存を見ていない

自社の設備とシステムだけを見てRTOを決めても、仕入先や運送会社、委託先が止まれば事業は動きません。STEP7の依存関係の確認を省略しないことが大切です。

よくある質問（FAQ）

まとめ：重要業務と復旧目標を決めたら、次は「誰が判断するか」

BCPの事業影響度分析（BIA）のポイントは次のとおりです。

BCPの全体像を改めて確認したい場合は第1話を、シリーズ全体の確認項目を一覧で見たい場合は第15話のチェックリストをご覧ください。

ただし、重要業務と復旧目標が決まっても、それだけでBCPは動きません。災害時に社長と連絡が取れなかったら、誰が「この業務を継続する」「この業務は停止する」と判断するのでしょうか。緊急時に誰が決めるのかが決まっていなければ、どれだけ精緻なBIAも実行に移せません。

次の第3話では、災害時の意思決定権限と代行順位の決め方を解説します。