BCPは感染症と災害だけで十分？今こそ見直したい“止めない経営”の視点

「感染症のときの対応は作った」
「災害時の避難や連絡網もある」
だから大丈夫。そう思っていても、実際にはそこで止まっている事業者は少なくありません。

とくに介護事業者では、感染症対策や災害対策に力を入れてきた一方で、パソコンが動かない、記録が見られない、請求システムが止まる、メールが使えないといった、サイバー上のトラブルまで含めて考えられていないケースがあります。

ですが、事業を止めないために本当に必要なのは、単に計画書を作ることだけではありません。
「何が起きても、できるだけ事業を止めずに続けるにはどうするか」を考えることです。

その視点が、これからのBCP・BCMには欠かせません。

BCPを作っていても安心しきれない理由

BCPという言葉を聞くと、多くの人は「非常時のための計画」と考えます。
もちろん、それは間違いではありません。

ただ、現場では“作っただけ”で止まっているBCPも多くあります。
書類としては存在していても、実際に何か起きたときに動けなければ、経営を守る力にはなりません。

たとえば、こんな状態はないでしょうか。

• 感染症対応の手順はあるが、見返していない
• 災害時の連絡先はあるが、最新か分からない
• 重要データの保存先を限られた人しか知らない
• ITトラブル時の代替手段が決まっていない
• 業務をどこまで止めて、何を優先するか決めていない

この状態では、計画はあっても、経営を支える仕組みにはなっていません。

多くの事業者が見落としやすい“想定外”

感染症や災害は、比較的イメージしやすいリスクです。
そのため、対策の必要性も理解されやすい傾向があります。

一方で、サイバーリスクはどうでしょうか。
「うちは大企業じゃないから狙われない」
「介護や地域密着の仕事だから関係ない」
そう考えてしまうことがあります。

しかし実際には、事業規模に関係なく、メールの誤送信、ウイルス感染、パスワード管理の甘さ、クラウド障害、端末の紛失など、業務が止まるきっかけは身近にあります。

しかもサイバーの問題は、単なる“IT担当の仕事”では終わりません。
記録、請求、連絡、勤怠、シフト、顧客情報、取引先対応など、日々の業務そのものに直結します。

感染症・災害・サイバーを分けて考える危うさ

リスクごとに別々に考えると、一見わかりやすく見えます。
ですが、現実の現場では、リスクは重なって起こることがあります。

たとえば、

• 災害で停電し、同時に通信が不安定になる
• 感染症対応で人手が足りない中、システム障害が起こる
• 緊急時の混乱の中で、情報共有ミスや情報漏えいが起こる

このように、ひとつの出来事ではなく、複数の問題が連鎖することが珍しくありません。

だからこそ、「感染症用」「災害用」と分けるだけでは足りず、
どのリスクが起きても、重要業務をどう続けるかという視点が必要になります。

これから必要なのは“オールハザード”の考え方

オールハザードとは、ひとことで言えば、特定の災害だけでなく、起こりうる幅広いリスクを見渡して備える考え方です。

大切なのは、すべてを完璧に想定することではありません。
そうではなく、どんな原因であっても、

• 何が止まると困るのか
• どの業務を最優先で守るのか
• 代わりの手段はあるのか
• 誰が判断し、誰が動くのか

この軸を持っておくことです。

つまり、BCPを“書類”として持つだけではなく、
BCMの視点で“回し続ける仕組み”にしていく必要があります。

まず最初に見直したいポイント

最初から大がかりに見直す必要はありません。
まずは次の3つからで十分です。

1. 事業が止まると困る場面を書き出す

感染症、災害、サイバー、人的ミスなどを分けずに、
「何が起きたら困るか」を現実的に洗い出します。

2. 止められない業務を決める

介護記録、利用者対応、請求、緊急連絡など、優先順位を明確にします。

3. ITまわりを“経営の継続”として見る

パソコンやシステムの問題は、単なる機械トラブルではなく、経営継続の問題として考えます。

まとめ

BCPを作っていても、それが感染症と災害だけに偏っていると、実際の現場では足りないことがあります。
今後は、サイバーリスクも含めて、事業を止めないための全体設計として見直すことが重要です。

特に介護事業者は、日々の業務が利用者の生活に直結しています。
だからこそ、「関係ない」と思いやすいサイバーリスクも、BCMの視点では無視できません。

まずは、どんなトラブルでも共通して困る業務は何かを整理するところから始めていきましょう。

FAQ

Q1. BCPがあれば、もう十分ではないですか？

BCPがあること自体は大切です。ですが、作ったままで更新されていない、実際に動ける形になっていない場合は十分とは言えません。

Q2. サイバー対策はIT会社に任せればいいですか？

技術面の支援は重要ですが、経営をどう続けるかは経営判断です。外部任せではなく、自社の業務継続の視点が必要です。

Q3. 小さな事業者でもオールハザード対応は必要ですか？

必要です。むしろ少人数で回している事業ほど、ひとつのトラブルの影響が大きくなりやすいため、優先順位を明確にしておくことが重要です。