社長（CEO）と ISO 22301：拠点が何日止まっても耐えられるか？RTO は誰が決めるか？

顧客から「事故の後どれだけ早く供給を再開できるか」と聞かれました。社長は何をもって答えますか？

サービスページの言葉では、顧客が聞いているのは「事故が起きるか」ではなく「事故の後どれだけ早く供給を続けられるか」です。答えになるのは三つの記録です。

• BIA 報告書：どの活動が重要か、中断による財務損失、最大許容停止時間（MTPD）、そこから導いた RTO／RPO
• 事業継続の戦略と計画：人員、拠点、設備、ICT、サプライヤーのバックアップと、対応、危機コミュニケーション、復旧の計画
• 演習記録：監査員も顧客も、制度が本物かどうかを演習記録で判断します

サービスページ記載の認証段階の成果物には、顧客質問票向けの証拠パッケージが含まれます。社長が確認すべきは、顧客に約束した復旧時間が BIA と演習で裏付けられているかです。裏付けがなければ、約束そのものがリスクです。

RTO と RPO は誰が決めますか？バックアップが足りないとき、投資はどう判断しますか？

サービスページによれば次のとおりです。

1. インタビューで重要な活動と時間の経過に伴う影響を確定し、最大許容停止時間（MTPD）を設定する。
2. RTO は MTPD より短くなければならず、RPO はデータの更新頻度と許容できるデータ損失で設定する。
3. 最後に経営陣が承認し、現在のバックアップで賄えるかを確認する。賄えなければ、それは投資判断です。

よくある誤りは、見栄えの良い RTO を写すだけで、それに見合う能力がないことです。社長が決めるときは、BIA で見積もった中断損失、バックアップ強化の案と費用、強化しない場合に顧客と取締役会に開示すべき残存リスクの三つを並べて見るよう求めることができます。費用と財務影響の認識は、財務責任者と監査を担当する会計士が判断します。

既に BCP があるのに、なぜ取締役会や顧客は ISO 22301 を求めるのですか？

• BCP は計画文書です。ISO 22301 は BIA、戦略、計画、演習、継続的改善を含む完全なマネジメントシステムで、第三者認証が可能です（3 年周期）。
• 演習がなければ数に入らない：BIA から導いた RTO と演習記録がなければ、計画は監査や顧客審査で存在しないのと同じです。
• 演習の頻度：ISO 22301 の箇条 8.5 は、プログラムに基づく定期的な演習と重大な変更後の実施を求めています。サービスページ記載の実務上の目安は、年 1 回以上の完全演習または機能演習と、シナリオ型の机上演習です。
• 現行版：ISO 22301:2019 と 2024 年の追補 1（気候変動が関連する課題かどうかを組織が判断する）。第 3 版はまだ委員会原案の段階で発行日は未定のため、現在の導入は 2019 年版が認証の基準です。

認証を取るかは顧客の要求で決めて構いません。BIA と演習は、認証の有無にかかわらず必要な基本です。

業務中断のリスクは、取締役会のリスク報告にどう入れますか？

• リスク区分：「上市上櫃公司風険管理実務守則」第 18 条は、リスクを戦略、業務、財務、情報、法令遵守、誠実性、その他の新興リスクに分けています。業務中断は業務リスクです。
• 同じ言葉で：サービスページの方法では、ERM のリスクの言葉で BIA を行い、全社のリスクマップとシナリオ集を共有し、事業継続リスクを ERM のリスクマップに入れます。
• 報告のリズム：推進部門は少なくとも年 1 回取りまとめて報告します（守則第 15 条）。演習記録と BIA の結果はそのまま同じ報告に入れられます。
• ESG 評価 G-18：監査委員会または取締役会レベルの機能別委員会がリスク管理を監督し、少なくとも年 1 回取締役会に報告すること。AA 型で、得点すれば総合点に 1 点加算されます。

この守則と ESG 評価は上場・店頭公開企業にのみ適用され、公開発行会社でない企業は対象外で、任意に参考にできます。

重要サプライヤーが途絶したとき、社長はまず何を確認しますか？

サービスページは、ISO/TS 22318 の方法で BIA をサプライチェーンに広げることを勧めています。

• 重要サプライヤーと単一調達先を特定する
• その途絶が MTPD に与える影響を評価する
• 代替調達先と契約上の継続条項を整える
• 重要サプライヤーに BCP や演習の証拠を求める

これは顧客の質問票で最もよく聞かれる問いでもあります。部門間の分担としては、購買が代替調達先と契約条項を、生産と営業が中断の影響を、IT が ICT のバックアップを担当し、社長はどのサプライヤーを重要とするか、第二調達先に投資するかを決めます。

EU の顧客が NIS2 や DORA のレジリエンス要求に触れています。ISO 22301 は役に立ちますか？

役に立ちますが、証明書と法定措置を分けて考えます。

• NIS2 第 21 条：事業継続（バックアップ管理、災害復旧）と危機管理の措置を求めています。
• DORA 第 11 条・第 12 条：金融事業体に、ICT 事業継続方針、影響分析、バックアップと復旧の手続、年次テストを求めています。DORA は 2025 年 1 月 17 日から EU の金融事業体に直接適用されており、台湾の ICT 事業者の多くは契約を通じて要求を引き受けます。
• どちらの法律も証明書を発行しませんが、ISO 22301 の BIA、戦略、計画、演習はまさにこれらの措置の証拠になります。認証は任意でも、措置は必須です。

社長はまず、会社自身が対象事業体なのか、顧客のサプライヤーなのかを確認し、認証まで進むか、先に措置と証拠をそろえるかを決めることができます。

積穗科研は社長の ISO 22301 をどう支援しますか？

以下は積穗科研自身の説明です。上の質問で私たちも確かめてください。

• 誰が担当するか：積穗科研は導入支援のコンサルタントで、証明書は発行しません。副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。認証は第三者機関が行い、私たちは同行します
• 方法：22301 の箇条 8 を中心に、ISO/TS 22317 で BIA を行い、バックアップと ICT 冗長化の文書を ISO 27001 と共有し、事業継続リスクを ERM のリスクマップに入れます
• 演習は成果物の一部：各プロジェクトで少なくとも 1 回の机上演習と 1 回の機能演習を行い、その記録が認証と顧客質問票の証拠になります
• 期間（サービスページ記載）：範囲と BIA（4〜6 週）、戦略と計画（4〜6 週）、演習と修正（4〜8 週）、監査と認証（3〜6 週）で、通常 4〜7 か月
• 最初の一歩：初回のメカニズム診断は無料です

詳しく：ISO 22301 事業継続マネジメント、ISO 22301 コンサルタントの選び方、ISO 22301 の予算とスケジュール、ERM 制度支援、CRO 向けページ