解説

BCP（事業継続計画）の策定・運用に関する問題です。BCP は、自然災害・大火災・システム障害・サイバー攻撃などの不測の事態が発生しても、重要な事業を中断させない、または中断しても可能な限り短時間で復旧させるための方針・体制・手順を定めた計画です。BCP で検討すべきリスクは自然災害に限定されません。情報システムの機器故障、マルウェア感染などのサイバー攻撃、感染症の流行、取引先の被災なども事業を中断させる要因であり、これらも検討範囲に含めるのが適切です。エが正解です。BCP 策定の基本は、①重要業務の特定（ビジネスインパクト分析: BIA）、②目標復旧時間（RTO）等の設定、③事業を中断させ得るあらゆるリスクの洗い出し、④代替手段・復旧手順の整備、⑤全従業員への周知と訓練、というステップです。試験では「検討範囲を広く取る」「全員に周知する」「重要度に基づき優先順位付けする」が適切な記述、「〜だけに限定する」「一部の人だけに周知する」が不適切な記述になる、というパターンが定番です。

なぜ他の選択肢は違うのか

選択肢 ア

IT に依存する業務の復旧優先順位は、技術的に容易かどうかではなく、事業への影響度（業務の重要性・中断した場合の損失の大きさ）を基準に決めるべきです。ビジネスインパクト分析（BIA）によって重要業務を特定し、重要なものから復旧させるのが BCP の基本です。復旧しやすいものから手を付けると、肝心の重要業務の再開が遅れる恐れがあります。

選択肢 イ

BCP は緊急時に全従業員がそれぞれの役割に沿って行動するための計画なので、上級管理者だけでなく全従業員に周知し、平常時から教育・訓練を行う必要があります。経営戦略上の重要事項であることは確かですが、内容を知らされていない従業員は緊急時に行動できず、計画が機能しません。周知範囲を限定する記述は BCP の運用として不適切です。

選択肢 ウ

事業の継続は自社単独では成立せず、原材料の供給元、業務委託先、物流事業者など外部の関係者にも依存しています。BCP の検討範囲を自社組織が行う範囲に限定すると、サプライチェーンの寸断など外部要因による事業中断に対応できません。取引先の被災や供給停止も含めて検討するのが適切な BCP 策定の姿勢です。

解くときのポイント

BCP 問題の判定基準: 「範囲は広く（災害以外も・取引先も）」「周知は全員に」「優先順位は事業影響度（BIA）で」。「〜だけ」「〜に限定」という限定表現が出たら誤りを疑う。