BIA

BIA（Business Impact Analysis：事業影響度分析）とは、業務の中断が組織に与える影響を分析し、事業継続計画（BCP）策定の基盤となる情報を提供するプロセスです。どの業務機能が組織にとって最も重要であるかを特定し、それらの機能が停止した場合の財務的・運用的・法的・レピュテーション上の影響を時系列で評価します。

BIAの成果物として最も重要なのが、RTO（Recovery Time Objective：目標復旧時間）、RPO（Recovery Point Objective：目標復旧時点）、MTPD（Maximum Tolerable Period of Disruption：最大許容停止時間）の設定です。RTOは業務が停止してから復旧するまでの許容時間、RPOはデータ損失を許容できる過去の時点、MTPDは業務停止が許容される最大期間を示します。

BIAは単なるIT部門の作業ではなく、経営層から現場担当者まで組織全体を巻き込んで実施する活動です。各業務の依存関係マッピングを行い、IT システム、人員、施設、外部サービスなどのリソース間の相互依存を可視化することで、ボトルネックや単一障害点を特定し、より実効性の高い事業継続計画の策定につなげます。

RTO（目標復旧時間）とRPO（目標復旧時点）

RTO（Recovery Time Objective）は、障害発生後、業務を復旧させるまでに許容される最大時間です。例えば、ECサイトのRTOが4時間と設定されている場合、システム障害の発生から4時間以内にサービスを復旧させる能力を備えている必要があります。RTOが短いほど高度な冗長構成や自動化が求められ、コストも増加します。

RPO（Recovery Point Objective）は、データ損失を許容できる過去の時点を示します。RPOが1時間であれば、最大で直近1時間分のデータ損失が許容されることを意味し、少なくとも1時間ごとのバックアップが必要です。金融取引システムなどでは、RPOがほぼゼロ（リアルタイムレプリケーション）を要求されるケースもあります。

MTPD（最大許容停止時間）

MTPD（Maximum Tolerable Period of Disruption）は、業務の中断が組織の存続を脅かす前に復旧しなければならない絶対的な時間的制約です。MTPDを超えると、契約上のペナルティ、規制違反、顧客の不可逆的な離反、さらには事業の存続そのものが危機に瀕する可能性があります。

RTOはMTPD以内に設定される必要があり、両者の関係はRTO ≤ MTPDです。MTPDとRTOの間にはバッファ期間が設けられ、初期復旧後の安定化やデータ整合性の検証に充てられます。MTPDの設定は経営判断であり、財務影響分析や規制要件、取引先との契約条件を踏まえて決定されます。

重要業務機能の特定と優先順位付け

BIAの核心は、組織の重要業務機能（Critical Business Functions）を特定し、復旧の優先順位を決定することです。すべての業務を同時に復旧することは現実的に不可能であるため、業務の重要度に応じて「ティア1（最優先復旧）」「ティア2（優先復旧）」「ティア3（通常復旧）」のようにレベル分けを行います。

業務の重要度は、財務的影響（売上損失、違約金など）、法的・規制上の影響（法令違反、行政処分など）、レピュテーション影響（ブランド毀損、顧客信頼の喪失）、運用上の影響（他業務への連鎖的影響）の4つの観点から総合的に評価します。評価は時間軸に沿って行い、停止後の経過時間ごとに影響がどのようにエスカレートするかを把握します。

依存関係マッピング

依存関係マッピングは、各業務機能がどのリソース（ITシステム、人員、施設、サプライヤー、ユーティリティなど）に依存しているかを可視化する作業です。これにより、特定のシステム障害がどの業務に波及するか、逆にある業務を復旧するためにどのリソースが必要かを明確にします。

近年のクラウド化やマイクロサービス化により、依存関係はますます複雑になっています。SaaS、IaaS、外部APIなど、外部サービスへの依存度が高まる中で、サプライヤーの障害が自組織の業務にどのような影響を与えるかを正確に把握することが、BIAの重要なテーマとなっています。

財務的・運用的影響の評価

財務的影響の評価では、業務停止による直接的な売上損失、顧客への違約金・補償費用、復旧に要する臨時費用（外部専門家の招聘、代替手段の調達など）、規制当局からの制裁金を時間経過ごとに算出します。この定量的な分析結果は、RTO/RPOの設定根拠となり、経営層の意思決定を支援します。

運用的影響の評価では、業務停止が組織内の他のプロセスや部門に与える連鎖的な影響を分析します。例えば、受注システムの停止は物流・経理・カスタマーサポートなど複数の部門に影響を波及させます。また、従業員のモチベーション低下や離職リスクなど、中長期的な人的影響も考慮する必要があります。

• 01
  組織横断的なBIA実施体制の構築：BIAはIT部門だけでなく、事業部門、経理、法務、人事など組織横断的に実施してください。各部門の業務責任者を巻き込んだインタビューやワークショップを通じて、現場の実態を正確に反映した影響評価を行いましょう。
• 02
  RTO/RPO/MTPDの適切な設定と検証：重要業務ごとにRTO、RPO、MTPDを設定し、現在のIT基盤がこれらの目標を達成できるかを技術的に検証してください。目標値と実際の復旧能力のギャップを特定し、バックアップ戦略やDR構成の改善につなげましょう。
• 03
  依存関係マッピングの実施と更新：各業務機能が依存するITシステム、人員、施設、外部サービスの依存関係を網羅的にマッピングしてください。クラウドサービスやSaaSへの依存関係も含め、サプライチェーン全体の依存構造を把握し、定期的に更新しましょう。
• 04
  時系列に基づく影響度評価の実施：業務停止後の影響を時間軸に沿って評価し、1時間後、4時間後、24時間後、72時間後、1週間後といったマイルストーンごとの影響度をドキュメント化してください。これにより、RTOの設定根拠を明確にし、復旧優先順位の判断を支援します。
• 05
  BIA結果に基づくBCP/DRの策定と訓練：BIAの結果をBCP（事業継続計画）およびDR（災害復旧計画）に直接反映してください。机上訓練やシミュレーション演習を定期的に実施し、計画の実効性を検証するとともに、参加者のスキルと意識を向上させましょう。
• 06
  BIAの定期的な見直しと更新：BIAは一度実施して終わりではなく、ビジネス環境の変化、システム変更、組織変更、新たな脅威の出現に応じて定期的に見直してください。少なくとも年1回の見直しを行い、BIAの結果が最新のビジネス実態を反映していることを確認しましょう。