業務中断でどれだけの財務損失が出るか？BIA は CFO に何を見積もらせてくれるか？
BIA（事業影響度分析）は中核業務プロセスを特定し、中断後の財務損失と最大許容停止時間（MTPD）を評価して、復旧の優先順位を決めます。重要な活動が依存する人員、システム、サプライヤー、拠点も洗い出します。
BIA は制度全体の耐力壁です。どの活動が重要か、どれだけの中断から許容できなくなるかは BIA で決まります。CFO は BIA の結果を、勘で停止許容時間を決めるのではなく、業務中断の財務影響を見積もる根拠として使えます。
RTO／RPO は誰が決めるか？なぜ投資判断になるのか？
RTO はどれだけ早く復旧するか、RPO は最大でどれだけのデータ損失を許容するかで、どちらも BIA から導き、経営層が決定したうえで、既存のバックアップ能力で支えられるかを検証します。支えられなければ投資判断の問題です。
よくある誤りは、矢を射てから的を描くこと、つまり見栄えのよい RTO を写すだけで対応する能力がないことです。CFO は各 RTO／RPO に次があることを確認します。
- BIA から導いた根拠
- 対応するバックアップ、データバックアップ、代替供給の手配
- 達成できることを示す演習結果
年次報告書、取締役会、保険会社は事業のレジリエンスをどう見るか？
年次報告書準則第 20 条第 6 款は、技術の変化（サイバーセキュリティリスクを含む）が財務・事業に与える影響と対応策の分析を求めており、業務中断はまさにその影響です。ISO 22301 により RTO／RPO の目標と演習結果が記録として残り、所管当局、保険会社、投資家に事業のレジリエンスを説明する根拠になります。
ISO 22301 は定期的な演習とテストを求めており、演習記録のない BCP は監査や顧客審査で存在しないのと同じです。年次報告書準則は公開発行会社に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。
予算編成：ISO 22301 への投入は何で決まるか？
積穗科研の ISO 22301 予算ガイドより：
| 要因 | 影響するもの |
|---|---|
| 範囲 | 対象とする重要業務、製品ライン、拠点の数 |
| 事業影響度分析 | ヒアリング対象の部門数と、依存資源の複雑さ |
| 技術の現状 | 既存のバックアップ、データバックアップ、災害復旧で復旧目標を達成できるか |
バックアップの不足を埋めるのは別の投資で、支援や認証とは分けて予算化すべきです。ISO/IEC 17021-1 第 5.2.5 項により、認証機関とその同一法人はコンサルティングを提供できません。このページでは費用を記載せず、積穗科研は無料のメカニズム診断の後に見積もりを提示します。
スケジュール：どれくらいかかるか？短縮できない工程は？
サービスページ記載の 4 段階は通常 4〜7 か月、ISO 27001 がある場合は約 3〜5 か月です。
- 範囲と BIA（4〜6 週）
- 戦略と計画（4〜6 週）
- 演習と修正（4〜8 週）
- 監査と認証（3〜6 週）。内部監査、マネジメントレビュー、第一段階／第二段階審査への同行を含む
BIA と演習の二つの工程は短縮できません。ISO 22301:2019 は第三者認証が可能で、証明書は 3 年周期です。
ISO 27001 が既にある場合、ISO 22301 を追加すると何が節約できるか？
両者は Annex SL の骨格を共有し、ISO 27001 の A.5.29／5.30（中断時のセキュリティ、ICT の備え）は ISO 22301 と直接つながります。統合導入では文書と監査を共有でき、規格ページでは増分コストが別々に行うより明らかに低いとしています。サービスページ記載の期間も通常 4〜7 か月から約 3〜5 か月に短縮されます。
同じ事業継続マネジメントシステムで、NIS2 の事業継続措置、DORA の ICT 運用レジリエンス、ブランドオーナーのレジリエンス質問票のサプライヤー代替に関する設問にも対応できます。
積穗科研は CFO の ISO 22301 事業継続マネジメントをどう支援するか？
- 副社長・取締役クラスのコンサルタントが外注せず一貫して支援し、コンサルタントは ISO 22301 主任審査員の資格を持っています
- ISO 22301 の箇条 8 を中核に、ISO/TS 22317 で BIA を行い、バックアップと ICT の備えの文書を ISO 27001 と共有します
- BIA を ERM のリスクの言葉で実施し、全社リスクマップとシナリオライブラリを共有します
- 各プロジェクトで少なくとも机上演習 1 回と機能演習 1 回を行い、その記録が認証と顧客質問票の証跡になります。認証は第三者が行い、当社が同行します
詳しく：ISO 22301 導入支援、ISO 22301 の予算とスケジュール、ISO 22301 コンサルタントの選び方、CFO 向けページ。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CFO が ERM を導入するとき：取締役会報告、年次報告書のリスク事項、ESG 評価で何を準備すべきか？
- CFO から見た ISO 27001：年次報告書のサイバーセキュリティ開示、ESG 加点、予算の組み方
- CFO が ISO 37001 を導入するとき：財務統制、誠実経営の開示、越境贈賄リスクをどう管理するか？
- CFO から見た営業秘密と ISO 56001：研究開発の価値保護と ESG 加点をどう考えるか？
- CFO から見た DORA：EU 金融機関の顧客との契約条項と制裁リスクをどう評価するか？
- CFO から見た GDPR と ISO 27701：制裁金の引当、越境移転、予算をどう考えるか？
- CFO から見た EU CRA と EU AI 法：EU 売上のリスク、制裁金、予算をどう組むか？
- CFO が見る NIS2：制裁金の上限、経営陣の責任、引当金の判断
- CFO が見る DX：予算の組み方、効果の測り方、費用の会計処理
- CFO が見る AI 変革：投資効果、制裁リスク、費用の会計処理
役割の概要に戻る：CFO はセキュリティ、リスク、コンプライアンスへの投資をどう判断すべきか？8 の要求事項を一つずつ解説