事業影響度分析（BIA）で、人事部門は何を提供すべきですか？
BIAは中核の業務プロセスを特定し、中断による財務損失と最大許容停止時間（MTPD）を評価して、復旧の優先順位を決めます。特定すべき依存資源には、人員、システム、サプライヤー、拠点が含まれます。人事部門が提供するもの：
| 項目 | 内容 |
|---|---|
| 重要職務一覧 | 各重要業務を動かすのに必要な職務 |
| 最少人員 | 許容時間内に復旧するために最低限必要な人数 |
| スキルと権限 | 特定のスキル、資格、承認権限が必要な業務 |
| 代替の手段 | 代行者、他拠点からの応援、外部人材 |
| 単一依存 | 一人しかできない業務 |
事業継続マネジメントは、人、プロセス、技術を含む全体の枠組みです。BIAが浅ければ、その後の計画はすべて土台を欠きます。
「その人しかできない」状態をなくすには、重要人材と代行者をどう配置すべきですか？
まずBIAで単一依存を洗い出し、復旧の優先順位に沿って対応します。
- 代行者の指名：重要職務ごとに第一・第二代行者を指名し、管理職の頭の中ではなく事業継続計画に明記する
- 代行者が実際に経験している：ローテーション、クロストレーニング、演習で代行者が実際に行うことで記録を残す
- 手順の文書化：重要作業を手順書にし、代行者が拠り所にできるようにする
- 分散配置：同じ重要職務の人員を、同じ拠点や同じシフトに集中させない
- 権限の事前承認：代行者に必要なシステム権限を事前に承認し、有効化と回収を記録する。ISO 27001 の権限管理と手順を共有する
演習は審査員が最も信頼する証拠です。演習記録のない事業継続計画は、審査では存在しないのと同じに扱われます。
台風や地震で出勤停止が発表されたとき、従業員に出勤を求められますか？勤怠と賃金はどう扱いますか？
台湾労働部の「天然災害発生時の事業単位における労働者の出勤管理及び賃金支払要点」と同部の説明によれば：
- 出勤しない場合：勤務地、居住地、通勤経路のいずれかの首長が出勤停止を発表し、労働者が出勤せず、その責めが労働者にない場合、雇主は欠勤や遅刻として扱ってはならず、私用休暇などへの振替を強制してはならない。また、振替出勤の強制、皆勤手当の不支給、解雇その他の不利益な扱いをしてはならない。当日の賃金は控除しないことが望ましい
- 通常どおり出勤させる場合：業務上特定の労働者の出勤が必要なときは、事前に労使で合意し、労働組合がある場合はその同意、ない場合は労使会議の同意が必要。雇主は当日の賃金を支払うほか、追加の賃金を支給し、交通手段、交通手当その他必要な支援を提供することが望ましい
人事責任者（CHRO）は、必須出勤の職務、同意手続の完了状況、交通と安全の手配、追加賃金の基準を、事業継続計画に事前に記載しておきます。労働部も、出勤の判断は安全を最優先とするよう求めています。
復旧期間に従業員の時間外労働や休暇の取り消しが必要な場合、法律上どう対応すべきですか？
台湾の労働基準法は、天災、事変、突発事件について特別の規定を置いています。
| 状況 | 規定 | 手続 |
|---|---|---|
| 労働時間の延長（第32条第4項） | 天災、事変または突発事件により、通常の労働時間外に働かせる必要がある場合、雇主は労働時間を延長できる | 延長開始後24時間以内に労働組合へ通知。労働組合がない場合は地方主管機関に届け出る。事後に適切な休息を与える |
| 休暇の停止（第40条） | 継続して働く必要があると雇主が認める場合、第36条から第38条の休暇を停止できる | 停止した休暇の賃金は倍額を支払い、事後に代休を与える。事後24時間以内に理由を詳述し、地方主管機関に届け出て承認を得る |
ランサムウェアやシステム障害による操業停止が「突発事件」に当たるかは個別の判断であり、法律顧問に確認します。事業継続計画には、労働組合や主管機関への通知のひな形を用意し、担当者と期限を定めておけます。
感染症や災害で在宅勤務や別拠点勤務に切り替える場合、勤怠記録と情報セキュリティはどう管理しますか？
勤怠記録：打刻に限りません。労働基準法施行細則第21条により、勤怠記録には出勤簿、タイムカード、カードリーダー、入退室カード、生体認証システム、コンピューターの勤怠システム、その他出勤時刻を確実に記録できる手段による記録が含まれます。労働部も、労使は双方に最も適した記録方法を合意できると説明しています。勤怠記録は引き続き5年間保存し、日ごとに分単位で記録する必要があります（労働基準法第30条第5項・第6項）。
情報セキュリティ：リモートアクセス、会社の端末、データの持ち出しは、ISO 27001 の管理策と一緒に設計します。ISO 22301 と 27001 は Annex SL の共通構造を持ち、27001 の中断時の情報セキュリティとICTの備え（A.5.29／5.30）は 22301 と直接つながるため、統合して導入すれば文書と監査を共有できます。
事業継続の演習に人事部門は参加すべきですか？頻度はどのくらいですか？
参加すべきです。事業継続計画には危機コミュニケーションの手順が含まれ、従業員への通知、緊急連絡網、従業員の安否確認には人事部門の情報と手順が欠かせません。
- 頻度：規格は定期的に、また重大な変更の後に実施することを求めている。実務上の目安は、年1回以上の総合演習と、シナリオ型の机上演習
- 人員のシナリオ：「重要人材が出勤できない」シナリオを加える。例えば、ある拠点の半数が出勤できない、あるシステムを知る唯一の担当者と連絡が取れない、といった状況で、代行者と人員の再配置が機能するかを確かめる
- 記録：演習後の振り返りと改善の記録は、演習そのものと同じくらい重要
顧客が問うのは「事故が起きるか」ではなく、「起きた後どれだけ早く供給を再開できるか」です。人員をそろえられるかどうかも、その答えの一部です。
積穗科研は人事責任者（CHRO）のISO 22301対応をどう支援しますか？
積穗科研は副総経理・取締役クラスのコンサルタントが外注せず最後まで直接担当し、コンサルタントはISO 22301 主任審査員の資格を持っています。
- BIA：22301 の箇条8を中心に、ISO/TS 22317 を用いてBIAを行い、事業部門と共同で完成させて復旧順序を決める
- 統合：バックアップとICT冗長化の文書を ISO 27001 と共有
- 演習：各プロジェクトで少なくとも机上演習1回と機能演習1回を実施し、その記録を認証と顧客アンケートの証拠にする
- 認証：認証は第三者機関が行い、当社は同席する。顧客アンケート用の証拠パッケージを提供
- 期間（サービスページ記載）：4段階で通常4～7か月、ISO 27001 取得済みなら約3～5か月。BIAと演習の段階は短縮できない
関連情報：ISO 22301 事業継続マネジメント、ISO 22301 コンサルタントの選び方、ISO 22301 の予算とスケジュール。