直答：ISO 22301 事業継続管理の予算は、対象範囲に含める重要業務と拠点の数、事業影響度分析をどこまで深く行うか、そしてバックアップと災害復旧の技術の現状で決まります。スケジュールの鍵は演習です。計画を書き上げただけでは完了ではなく、実際に演習して改善しなければ、認証審査で有効に運用されている証拠を示せません。
予算を決める三つの要因
| 要因 | 影響するもの |
|---|---|
| 範囲 | 対象に含める重要業務、製品ライン、拠点の数 |
| 事業影響度分析 | インタビューが必要な部門の数、依存リソース（人員、システム、サプライヤー、施設）の複雑さ |
| 技術の現状 | 既存のバックアップ、データバックアップ、災害復旧の能力が、定めた目標復旧時間と目標復旧時点を達成できるか |
スケジュールの組み方
- 範囲と現状診断：保護すべき重要業務と顧客要求を確認します。
- 事業影響度分析とリスク評価：復旧の優先順位、目標復旧時間、目標復旧時点を決めます。
- 事業継続計画と災害復旧計画：中断時に誰が、何を、いつ行うかを定めます。
- 演習と改善：実際に演習し、結果を記録して計画を修正します。
- 内部監査とマネジメントレビュー、その後に認証審査。
第 4 段階の演習と改善は実際に実施して記録を残す必要があり、最も圧縮できない部分です。
積穗科研の進め方
- 事業部門と共同で事業影響度分析を完了し、復旧目標をバックアップと災害復旧の技術的検証に結び付けます。
- プロセスの定義：誰が責任を負い、何を、いつ行うか、行った・行わなかった証拠はどこにあるか。
- 副社長・取締役クラスのコンサルタントが最初から最後まで支援し、コンサルタントは ISO 22301 主任審査員資格を保有しています。
台湾で ISO 22301 事業継続コンサルタントを選ぶには 無料のメカニズム診断を申し込む
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。