CRO から見た ISO 22301：中断シナリオ、RTO、訓練をリスク報告にどう入れるか？

事業中断はリスクマップのどこに置き、影響度は何の数字で表しますか？

「上市上櫃公司風険管理実務守則」第 18 条では、事業中断は業務リスクに当たります。BIA は、CRO が影響度を評価するのに必要な三つの答えを出します。どの活動が重要か、中断がどれだけ続くと許容できなくなるか（MTPD）、どの資源とサプライヤーに依存しているかです。BIA は復旧の順序を決め、仕組み全体を支える壁です。BIA が浅ければ、その後の計画はすべて根拠を失います。積穗は ERM のリスクの言葉で BIA を行い、全社のリスクマップとシナリオライブラリを共有します。この守則は上場・店頭公開企業が対象で、公開発行会社でない企業は対象外ですが、任意に参考にできます。

RTO と RPO は誰が決めますか？達成できない目標を CRO はどう避けますか？

BIA の影響分析から導き、経営層が決定し、そのうえで既存の復旧能力で支えられるかを検証します。支えられなければ投資判断の問題であり、ギャップとあわせて報告すべきです。よくある誤りは、矢を射てから的を描くことです。見栄えのよい RTO を写しても、それに見合う能力がありません。

CRO は RTO の達成度を KRI の情報源の一つにできます。目標、訓練での実測結果、差、改善期限を同じリスクマップで追跡します。

BCP は既にあります。なぜ委員会や顧客監査で認められないのですか？

BCP は計画書です。ISO 22301 は BIA、戦略、計画、訓練、継続的改善を含む完全なマネジメントシステムで、第三者認証が可能、3 年周期です。監査や顧客のデューデリジェンスは、訓練の記録を仕組みが本物かどうかの試金石とみなします。訓練の記録がない BCP は、審査では存在しないのと同じです。

規格は定期的に、また重大な変更の後に訓練することを求めています。実務上の目安は、年 1 回以上の総合訓練とシナリオ型の机上訓練で、訓練後の振り返りと改善の記録は訓練そのものと同じくらい重要です。

訓練ではどのシナリオを選び、結果を年次リスク報告にどう入れますか？

シナリオは、BIA で特定した重要な活動と依存資源（人員、システム、サプライヤー、拠点）から選びます。ERM のサービスページでも、サイバー恐喝を高影響のリスクとして挙げ、ISO 31000 × ISO 22301 で BCM／IT-DRP の二本立ての対応を計画しています。

守則第 15 条は少なくとも年 1 回の報告を求めています。ISO 22301 の成果はそのまま入れられます。

• BIA の結果と復旧の順序 → 業務リスクの影響度評価
• 訓練の記録と改善の追跡 → 管理策が有効である証跡
• 内部監査とマネジメントレビュー → 年間の実施状況

積穗のプロジェクトでは、机上訓練と機能訓練を少なくとも 1 回ずつ実施し、その記録を認証と顧客アンケートの証跡にします。

導入にはどれくらいかかり、短縮できない段階はどこですか？

サービスページ記載：4 段階で通常 4〜7 か月、ISO 27001 があれば約 3〜5 か月です。

1. 範囲と BIA（4〜6 週）
2. 戦略と計画（4〜6 週）
3. 訓練と修正（4〜8 週）
4. 監査と認証（3〜6 週）：内部監査、マネジメントレビュー、是正、第一段階・第二段階審査への同行

BIA と訓練の 2 段階は短縮できません。

積穗科研は CRO の ISO 22301 をどう支援しますか？

• 同じシナリオ：ERM のリスクの言葉で BIA を行い、全社のリスクマップとシナリオライブラリを共有します
• 方法：22301 の箇条 8 を中心に、ISO/TS 22317 で BIA を行い、バックアップと ICT 冗長化の文書を ISO 27001 と共有します
• 証跡：各プロジェクトで机上訓練と機能訓練を少なくとも 1 回ずつ実施し、顧客アンケート用の証跡パックを納品します
• 役割の分離：認証は第三者機関が行い、積穗科研は支援を行うコンサルタントで、認証はしません
• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません

ISO 22301 事業継続マネジメント、ISO 22301 コンサルタントの選び方、ISO 22301 の予算とスケジュール、ERM 制度支援。無料のメカニズム診断を申し込む