直答：事業継続管理の品質は、事業影響度分析（BIA）が重要な業務と依存リソースを正しく特定しているか、そして目標復旧時間（RTO）と目標復旧時点（RPO）が実際に検証されているかで決まります。コンサルタントを選ぶときは、BIA を事業部門が納得する水準まで仕上げられるか、本当に問題を顕在化させる演習を設計できるかを見てください。計画書を納品するだけでは不十分です。
七つの判断基準
| 基準 | どのコンサルタントにもそのまま聞ける質問 |
|---|---|
| 事業影響度分析 | 重要な業務と依存リソースをどう特定するか。誰が確認するか |
| 復旧目標の検証 | RTO と RPO が達成できることをどう証明するか |
| 演習の設計 | 演習ではどのシナリオを想定するか。どう振り返るか |
| 顧客とサプライチェーンの要求 | 顧客監査では何を聞かれるか |
| 誰が主導するか | 実際に案件を担当するのは誰か。どのような資格を持つか |
| 実名事例と照会先 | 同業種・同規模の実名事例や照会可能な顧客を示せるか |
| 見積範囲の明確さ | 見積に含まれる成果物は何か。含まれないものは何か。追加費用はどう計算するか |
積穗科研はこれらの基準にどう応えるか
以下は積穗科研自身の説明です。上の質問で、他のコンサルタントと同じように私たちも検証してください。
- 事業影響度分析：事業部門と共同で BIA を完成させ、それに基づいて復旧順序を決めます
- 復旧目標の検証：復旧目標をバックアップと災害復旧の技術的検証に結びつけます
- 演習の設計：欠落を顕在化させる演習を設計し、改善を追跡します
- 顧客とサプライチェーンの要求：顧客と監督官庁の事業継続要求に対応づけます
- 誰が主導するか：副社長・取締役クラスのコンサルタントが最初から最後まで支援し、外注しません。コンサルタントは ISO 22301 主任審査員資格を保有しています
コンサルタントが必ずしも必要でない場合
すでに運用中の事業継続計画があり、認証だけが欠けている場合は、認証機関に直接依頼できます。
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。