ウィズコロナ時代のパンデミックBCP

企業の対応を振り返る前に、そもそも日本におけるコロナウイルスによる混乱はいつ頃から始まり、どのような経緯で緊急事態宣言に至ったのだろうか。緊急事態宣言が出された、4月7日までの主要な出来事と政府の対応等の流れをまとめてみた（図1）。

緊急事態宣言に至るまでの政府の動きの中で、大きなポイントとなったのは、「新型コロナウイルス感染症の指定感染症・検疫感染症への指定」（2020年1月28日）、「政府における新型コロナウイルス感染症対策本部の設置」（同・1月30日）、「改正新型インフルエンザ等対策特別措置法に基づく政府対策本部の設置」（同・3月26日）の3点と考えられる。

1点目の「新型コロナウイルス感染症の指定感染症・検疫感染症への指定」とは、今回の新型コロナウイルス感染症を、感染症法に基づく「指定感染症」と検疫法に基づく「検疫感染症」に指定したものである。新たに確認された感染症については、この「指定感染症」に指定することにより、既存の感染症法における危険度が高い1～3類^※3 に準じた強制的な入院・就業制限等の措置を取ることができる。今回の新型コロナウイルスについては、中東呼吸器症候群（MERS）や重症急性呼吸器症候群（SARS）と同等の2類感染症相当と指定された。

2点目の「政府における新型コロナウイルス感染症対策本部の設置」は、中国での感染者・死者の急増や全世界での感染者の確認等を受け実施されたものである。2月25日には対策本部により「新型コロナウイルス対策の基本方針^※5 」が決定され、企業へのテレワーク・時差出勤の推奨、イベント開催の慎重な検討の要請等が呼びかけられた。しかしこの基本方針では、原則として各企業の判断によって対応を行うよう要請されており、実際の対応状況は企業によって様々であった。

3点目の「改正新型インフルエンザ等対策特別措置法に基づく政府対策本部の設置」については、感染収束の目途が立たず、東京オリンピックの延期が決定した中、判断が下された。図2で示した通り、改正新型インフルエンザ等対策特別措置法（以下、特措法）においては、特措法に基づく政府対策本部が設けられた場合に、直ちに都道府県知事が都道府県対策本部を設置することで、感染拡大を抑えるための全国的な体制を整えることとなっている。また政府対策本部の設置は、「緊急事態宣言」発令のための前提でもあり、危機感は一層高まった。

4月7日、特措法に基づく緊急事態宣言^※6 が発令されると、対象の各都府県では不要不急の外出自粛が要請された。緊急事態宣言の発令から、全国で宣言が解除された5月25日までの間、対象地域においては、テレワークが不可能なエッセンシャルワーカー^※7 を除き、多くの企業でテレワークまたは出勤者数の制限が行われており、日本全国で比較的足並みを揃えた対応が実施されていた。

このように、日本における新型コロナウイルスへの対応を振り返ると、各企業の対応に大きな差が生じていたのは、日本国内での新型コロナウイルス感染者発生～緊急事態宣言までの間と考えられる。次項では、特にこの期間に着目して、各企業の対応を確認していきたい。

企業における新型コロナウイルスへの対応は、時期毎にいくつかのパターンに分類することができる。図3は中国・武漢での感染者確認（海外発生期）～日本での感染拡大前（国内発生早期）までの時期における対応のパターンである。

今回の新型コロナウイルスの場合、最初に感染者が確認された中国・武漢が、多数の自動車工場を擁する地域であったことから、自動車メーカーにおいて「①拠点人員への対応」や「②出張等の中止」が必要となる場合が多かった。また、自動車メーカー以外で現地に拠点を持つ代表的な業種としては、金融機関が挙げられる。

図4は、自動車メーカー・金融機関といった、武漢に拠点を持つ企業の拠点人員への対応例である。武漢での感染拡大が明確となり、中国当局により封鎖指示が出た1月下旬、工場・店舗等を構える企業の多くは、春節による休暇に合わせ、武漢での営業を休止した。また現地社員についても、ほとんどの企業で最低限必要な人員を除き、日本へ帰国するよう手配している。現地の拠点が営業再開した時期は企業により異なるが、概ね3～4月であり、2か月程度の営業停止を余儀なくされた。

一方で図5は、武漢に拠点を持たないが感染の発生地域への出張等がある企業について、1月31日時点でどの範囲までの渡航禁止措置を取っているか、という観点で整理したものである。感染の発生地域への出張等がある場合、1月下旬から渡航禁止措置を実施していることが多い。また金融機関では、全国展開を行っていない地域金融機関においても中国への渡航禁止等の措置が実施されており、他業種より早い段階での対応がみられる。さらに、参考として図5でも取り上げているが、りそなホールディングスは、金融機関の中でも特に早い対応を行っており、国内の感染者数がまだ２名（どちらも武漢からの帰国・入国者）であった1月24日時点で、東京本社にパンデミック対策室を設置していた。

日本国内での感染者発生（国内発生早期）～緊急事態宣言前（国内感染期初期）までの時期における企業の対応については、主に図6のパターンに分けられる。

日本国内で感染が確認された場合、まず重要となるのは感染者が確認された地域である。感染症の場合、感染者が確認された地域が自社拠点の所在地であった場合には、営業継続可否を含め、感染拡大防止に向けた慎重な対応を検討する必要がある。もちろん、自社の職員に感染者が確認された場合には、濃厚接触者の特定、同一拠点に勤務する職員、出入りした顧客の特定等、さらに徹底した対応が求められる。

図7は、自社の職員に感染者が確認された企業等の対応例である。感染者発生による風評被害といったリスクもあるため、詳細な報道・発表がされない場合も多いが、三菱UFJ銀行やセブン-イレブン・ジャパンについては、プレスリリースにて感染者が確認された旨やその詳細を発表し、対応について顧客へ周知を図っている。

なお、病院・金融機関等のエッセンシャルワーカーにおいて感染者が確認された場合、店舗等の消毒、代替職員の手配等、他の業種に比べ、一層迅速な対応が必要となる。今回の新型コロナウイルス感染拡大を受け、金融庁では、金融機関の職員が新型コロナウイルスに感染した場合、勤務していた店舗の臨時休業を容認することとした^※8。しかし、他店舗が近隣にない地域の場合、顧客の利便性を損ねないためには、代替策を検討する必要があり、非常に難しい判断となる。

図8は、自社の職員に感染者は確認されていないものの、自社拠点の所在地で感染者が確認された企業等の対応例である。日本国内での感染者が一桁台であった1月末頃から、IT企業・大手企業を中心に、テレワークへの切り替えが始まっている。これらの企業では、従来からテレワーク環境が整っていたことにより、迅速な対応が可能となったものと考えられる。また、2月中旬以降は、対面での打合せや出社の禁止等、一層の厳しい対応を取る企業も増えてきた。しかし、こういった判断のタイミングや対応内容については、同業種内でもあまり足並みが揃っておらず、この時期の企業は混乱状態にあったものと想定される。一方、テレワークが難しい金融機関等の業態については、休暇取得・一部職員へのテレワーク推奨等に留まっており、大きな体制の変更は見られない。

図8の企業の対応において特徴的だった点として、自社の対応内容について対外公表を行っている企業が多いことが挙げられる。B to Cの事業を行っている場合、従業員のマスク着用・消毒の徹底等については、顧客に理解を求めるためにも対外公表の必要があると考えられるが、B to Bの事業が主であるGMOインターネット、住友化学等の企業においても、対応内容について対外公表がなされていた。さらに、B to Cの事業を行う企業においても、本社勤務の従業員のテレワークや時差出勤等、顧客に直接関係のない社内向けの対応についてまでが公表されていた。これは、企業の従業員への対応が顧客・取引先等から評価されるようになった、昨今ならではの対応であると考えられる。今後は、パンデミックBCPにおいても、こういった自社の対応内容の対外公表といった点を盛り込む必要があると想定される。

ここまで確認してきた内容を改めて振り返ると、緊急事態宣言に至るまでの企業の対応は、人と拠点に関する内容が中心となっており、各社おおよそ同様の対応となっている。しかし、対応のタイミングについては企業毎に大きく異なり、同業種内でもバラつきが見られた。パンデミックへの対応のタイミングが企業間で異なることには、特に問題がないのだろうか。

日本の企業の大多数は、何らかのサプライチェーンに属している。自社が通常通りの企業活動を続ける判断をしたとしても、同一のサプライチェーンに属する企業が同様の判断をしていなければ、通常通りの活動を行えない可能性がある。つまり、パンデミックへの対応のタイミングの差異は、自社だけでなく、同一のサプライチェーンに属する全ての企業に混乱を招くことになるのである。

こういった混乱を避けるためには、パンデミックBCPを策定する際に、自社のみではなく、自社の企業活動に関係する各社と共同で検討を行う必要がある。可能ならば、業界として対応を検討することが望ましい。今回の新型コロナウイルスにおける対応において、一部の企業では非常に迅速な対応がなされていたが、こういった企業では新型コロナウイルス発生以前より、関係各社を含めたパンデミックBCP等の対応手順が既に検討されていたものと想定される。それでは、どのような対応手順があれば、迅速な対応を行うことができるのか。次章では、パンデミックBCPに求められる事項について見ていきたい。

そもそもBCPとは、「Business Continuity Plan」（事業継続計画）の略であり、組織が自然災害や火災、テロ、感染症等、緊急事態に遭遇した場合に備え、平時に実施すべき活動や緊急時における事業継続のための方法・手段等を取り決めておく計画のことを指す。そして、このBCPは、BCM、すなわち「Business Continuity Management」（事業継続マネジメント）の一環で策定されるものである。そのため、企業はBCPを策定する前に、自社におけるBCMの在り方を検討することが必要となる。

図9は、内閣府の「事業継続ガイドライン（第三版）」に示された、BCMのプロセスである。①～⑧までのプロセスで実施するとされている内容は、主に以下の通りである。

• ①方針の策定
  • 基本方針の策定
  • BCM実施体制の構築
• ②自社に関係するリスクの分析・検討
  • 自社の事業中断を引き起こす可能性がある発生事象を検討
  • 優先的に対応すべき発生事象の特定・順位付けを実施
  • 優先的に対応すべき発生事象から生じるリスクによる自社の被害を想定
• ③自社業務の分析・検討
  • 事業影響度分析を行い、優先的に継続、または早期復旧を目指す重要業務を選択
  • 重要業務の目標復旧時間を設定
  • 重要業務の復旧に必要なリソースを特定
• ④事業継続戦略・対策の検討と決定
  • 事業継続に必要なリソース（ヒト・モノ・金・情報等）について、想定される被害からの防御・軽減・復旧、また利用・入手等ができない場合の代替を定めた戦略の策定（戦略に含める項目の例）
  • 重要製品・サービスの供給継続・早期復旧
  • 企業・組織の中枢機能の確保
  • 情報及び情報システムの維持　など
• ⑤事業継続計画（BCP）の策定
  • 緊急時の体制の決定
  • 緊急時の対応手順の策定など
• ⑥事前対策の実施
  • 平時における事前対策の実施
• ⑦教育・訓練の実施
  • 自社のBCM・BCPの周知
  • 状況変化を想定した模擬訓練の実施
  • 業界・市場を挙げた連携訓練の実施など
• ⑧計画の見直し・改善
  • BCPが実際に機能することの確認
  • BCMの定期的な点検・評価
  • 課題・残存リスクの整理
  • 課題等への対応

一連のプロセスを見るとわかるように、それぞれのプロセスは密接に関連している。そのため、本来は、自社におけるBCMを検討しなければ、BCPの策定を行うことは不可能に近い。しかし、多くの企業では、とりあえず、BCP、特に大規模震災等の主要なリスクに対する緊急時の体制・対応方針のみ策定を行い、リスク・自社業務の分析、教育・訓練や見直し・改善等については後回しになっている。パンデミックに限らず、BCPがその効力を最大限発揮できるようにするためにも、BCMに基づくBCPの策定を進めていく必要がある。

BCMの一環である、BCPに求められる事項について、内閣府の「事業継続ガイドライン（第三版）」における記載を確認すると、以下のような項目が挙げられている。

BCMのプロセスに合わせ、企業の新型コロナウイルスへの対応において想定される問題点を整理したのが、図10である。

上記で挙げた問題点のうち、特に重要と考えられる点を①～③としてピックアップし、以下で解説する。

新型コロナウイルスへの対応においては、代替戦略としてテレワークを推奨する企業が非常に多く見られた。従前よりテレワークの導入を進めていた企業はもちろん、新型コロナウイルスの感染拡大後に、急遽環境を整備・導入したという企業も相当数存在するものと考えられる。しかし、性急な導入には注意が必要だ。テレワークの導入時に、必ず検討しなければならないのが、サイバーセキュリティリスクへの対策である。

2020年5月14日に発表された、VMware Carbon Blackによる「Modern Bank Heists」報告書※¹⁰によると、新型コロナウイルスが急拡大した2～4月にかけ、金融機関を狙ったサイバー攻撃が238％増加したとの結果が出ている。これは米国の調査結果だが、世界的にも同様の動きが存在する可能性を考慮すると、パンデミック発生時には、同時にサイバーセキュリティリスクの上昇を念頭に置く必要があるということになる。しかし、テレワークの際には通常とは異なるポイントでリスクが高まるうえ、急遽整備した環境ではサイバーセキュリティリスクへの検討がなされていない場合も多い。例えば、携帯電話等の私物媒体の利用、自宅のネットワークへの社用端末の接続、個人利用のクラウドサービスへのアップロード等、自社のテレワーク環境におけるサイバーセキュリティリスクを漏れなく洗い出し、対応を検討する必要がある。また、web会議システムなどを新たに利用する際には、システムそのもののセキュリティレベルの確認だけでなく、システムを提供する企業に問題がないかといった、サードパーティーリスクにも配慮すべきである。

前述した「東日本大震災発生後の事業継続に係る意識調査（第5回）」によると、企業でBCPの策定が進まない理由としては、ノウハウ・要員・資金の不足等が挙げられており、パンデミックBCP策定においても同様と考えられる。特に要員・資金が不足する理由としては、企業がBCP策定や事前対策の実施をコストとしか捉えておらず、積極的な取り組みに至らないという背景があるものと想定される。しかし、今回の新型コロナウイルスへの対応において、パンデミック発生時の業務継続におけるテレワークの有効性が確認されたことにより、この考え方が変化する可能性がある。パンデミックBCPを検討する中で、社内業務の整理を実施し、事前対策としてテレワーク環境を整備することで、オフィスコストや通勤コストの削減といった副次的効果が生まれるためだ。今後は、パンデミックBCP策定や事前対策の実施は、コスト増加要因ではなく、コスト削減に繋がるという意識の下、幅広い企業でBCP策定の機運が高まることを期待したい。