クライシスマネジメントとは？リスクマネジメント・BCPとの違いと企業の危機対応手順

クライシスマネジメント（危機管理）は、事故・不祥事・災害などの危機に備え、発生時の対応と回復を主導する活動です。国際規格ISO 22361:2022は、危機を「組織を脅かし、戦略的・適応的かつ時宜を得た対応を要する異常な出来事」と位置づけています。

この記事では、リスクマネジメント・BCPとの違い、準備・対応・回復の3段階、危機を把握した際に確認すべき法定報告・適時開示の期限、上場会社向けの不祥事対応プリンシプルまでを一次資料で整理します。

まとめ：クライシスマネジメントの要点

• クライシスマネジメントは、危機に関して組織を主導し、方向付け、統制する活動です。ISO 22361:2022が指針を示しています。
• リスクマネジメントは不確かさに継続的に対処する活動、クライシスマネジメントは危機への準備・対応・回復を主導する活動です。BCPは「重要な事業を止めない・早く戻す」計画で、対象を事業継続に絞ります。
• 本記事では手順を準備・対応・回復の3段階に整理します。準備段階で危機管理マニュアル（クライシスマネジメントプラン）と判断権限を決めておきます。
• 法令上の報告対象となる漏えい等は、知った時点から概ね3〜5日以内が速報の目安です。重大製品事故は、製造・輸入事業者が知った日を含めて10日以内に報告します。期限は発生日ではなく、事態を知った時点から数えます。
• 上場会社は、JPXの不祥事対応プリンシプル（原因解明・第三者委員会の独立性・再発防止策・情報開示）が事後対応の物差しになります。

クライシスマネジメントの定義とISO 22361

「クライシス（危機）」の意味と企業での使い方

クライシス（crisis）は「危機」「重大な局面」を意味する英語です。企業の文脈では、放置すると事業の継続や社会的信用を損なう事態を指し、「クライシス対応」「クライシス発生時」のように使います。まだ起きていない不確かさを指す「リスク」とは区別して使うのが一般的です。次に示すISO 22361:2022の定義も、危機を「異常または例外的な出来事・状況」としています。

日本語の「危機管理」はクライシスマネジメントの訳語として使われますが、実務ではリスクマネジメントまで含めた広い意味で使われることもあります。社内で用語を定義しないまま規程を作ると、どの部署が何を担うのかが曖昧になります。

ISO 22361:2022による定義と位置づけ

ISO 22361:2022「Security and resilience — Crisis management — Guidelines」は、2022年10月19日に発行された危機管理の国際規格（指針）です。規格は次のように定義しています（仏語版の定義文からの訳）。

• クライシス：組織またはコミュニティを脅かし、戦略的・適応的かつ時宜を得た対応を要する、異常または例外的な出来事・状況
• クライシスマネジメント：危機に関して組織を主導し、方向付け、統制するための調整された活動

英国規格協会のBS 11200:2014「Crisis management. Guidance and good practice」は、2022年11月10日に廃止されています。英国ではISO 22361と同一内容のBS EN ISO 22361:2022が後継です。古い解説記事がBS 11200を現行規格として紹介していたら、情報が更新されていないと判断できます。

リスクマネジメント・BCPとの違い

リスクマネジメントとの違いと活動範囲

ISO 31000:2018は、リスクを「目的に対する不確かさの影響」と定義しています。リスクマネジメントは、不確かさが目的に及ぼす影響を評価し、対応と見直しを続ける活動です。好ましい影響も扱います。クライシスマネジメントは、危機への準備・対応・回復を主導します。

兵庫県立大学大学院の室﨑益輝氏は、東京大学CIDIRの特集（2017年6月1日）で両者を次のように表現しています。

「リスクマネージメントとは正しくヤマを掛けて備えること、クライシスマネージメントとはヤマが外れても適応することである」

予防策をどれだけ整えても、想定外の事態は起きます。リスクマネジメントを実施していることは、クライシスマネジメントが不要な理由になりません。

BCP・BCMとの違いと事業継続の対象範囲

内閣府「事業継続ガイドライン（令和5年3月）」は、BCPを「重要な事業を中断させない、または中断しても可能な限り短い期間で復旧させるための方針、体制、手順等を示した計画」と定義しています。BCPの関心は「どの業務を、いつまでに、どの水準で戻すか」です。

一方、不祥事や情報漏えいのように、業務は止まっていないのに信用が崩れる危機もあります。この場合はBCPの対象外になりやすく、クライシスマネジメント側で扱います。BCPの策定手順はBCPとは？事業継続計画の意味と防災計画との違い、RTO・RLOの決め方、計画を回す仕組みはBCMとは？BCPとの違いと事業継続マネジメントの回し方・ISO 22301で解説しています。

企業が想定すべき危機の種類

次の表は、発生源・事故の性質・影響から整理した担当部署の例です。区分は重複し、サイバー攻撃による情報漏えいなどでは複数部署が連携します。

内部要因の危機は、発覚した時点で社会的信用への影響が始まります。信用の毀損がどう経営に響くかはレピュテーションリスクとは？意味とコンダクトリスクの違い・事例と対策で整理しています。

危機対応の3段階：準備・対応・回復

準備段階：危機管理マニュアルと判断権限

危機管理マニュアル（クライシスマネジメントプラン、CMP）は、危機が起きたときに、誰が何を判断し、どの手順・連絡手段・資源を使うかを決めた文書です。最低限、次の項目を定めます。

• 危機のレベル分けと、レベルごとに招集する対策本部の構成
• 対策本部長と、本部長が不在のときの代行順位
• 社内外の緊急連絡先（役員・顧問弁護士・監督官庁・保険会社）
• 報告義務のある事態と期限の一覧（後述の法定報告）
• 公表文の決裁ルートと、記者会見を開く判断基準

マニュアルは作っただけでは機能しません。机上訓練で「本部長が出張中に工場で事故が起きた」といった条件を与え、代行順位と連絡網が実際に動くかを確認します。代替手段の準備はコンティンジェンシープランとは？BCPとの違いと策定手順・公的ひな形の入手先も参考になります。

対応段階：初動の事実確認と情報開示

初動では人命と安全の確保を最優先にし、被害拡大の防止、事実確認、報告・公表の判断を並行して進めます。JPXの不祥事対応プリンシプル原則④は、把握段階から迅速かつ的確な情報開示を求めています。公表時は確認済みの事実と未確認事項を分け、次の更新予定を示します。

報道対応・SNS対応・謝罪の出し方はクライシスコミュニケーションとは何か？基本概念から企業における重要性までをわかりやすく徹底解説！で詳しく扱っています。

回復段階：原因究明と再発防止

回復段階では、事業の再開と並行して、根本原因の究明と再発防止策の実行を進めます。担当者のミスだけを原因として調査を終えると、組織的な問題を見落とし、別の部署でも同様の不祥事が起きるおそれがあります。上場会社であれば、次章のJPXプリンシプルが調査の深さを測る基準になります。

危機を把握した際の法定報告・適時開示の期限

漏えい等の法定報告は、要配慮個人情報、財産的被害、不正目的、本人の数が1,000人を超える場合など、施行規則7条の対象事態に該当するかを確認します。発生のおそれがある場合も対象です。以下では法定報告と取引所規則による適時開示を示します。初動の混乱で期限を過ぎないよう、危機管理マニュアルに期限の一覧を載せておきます。

個人情報保護委員会は、速報の「速やかに」の目安を「当該事態を知った時点から概ね3～5日以内」としています。法人では、いずれかの部署が事態を知った時点が起算点です。確報の期限は土日・祝日も含めて数え、30日目または60日目が土日・祝日・年末年始の閉庁日に当たる場合はその翌日になります。

重大製品事故の報告義務を負うのは、消費生活用製品の製造事業者または輸入事業者です。対象は、製品の欠陥によって生じたものでないことが明らかな事故を除いた、死亡事故・治療期間30日以上の負傷や疾病・後遺障害・一酸化炭素中毒・火災です。原因の特定を待たずに報告の要否を判断します。上場会社の不祥事は、投資者の投資判断に著しい影響を及ぼす重要な事実に当たる場合、適時開示の対象になります。

業界ごとの監督官庁への報告（金融機関・医療機関など）は別の法令で定められています。自社に当てはまる根拠法を洗い出し、表に書き足しておきます。

JPX不祥事対応プリンシプルの4原則

日本取引所自主規制法人は、2016年2月24日に「上場会社における不祥事対応のプリンシプル」を公表しました。上場会社向けですが、事後対応の水準を示す文書として非上場企業にも参考になります。

第三者委員会は設置すれば信用が回復するものではありません。原則②が求めるのは、経営陣から独立した委員構成と調査範囲です。社内調査で結論ありきの報告を出すと、後から追加調査を迫られ、危機が長期化します。

事前の予防については、2018年3月30日に「上場会社における不祥事予防のプリンシプル」（6つの行動原則）が公表されています。平時はこちら、発生後は対応のプリンシプル、と使い分けます。

クライシスマネジメントが機能しない失敗パターン

マニュアルがあっても危機対応が崩れる企業には、共通する失敗があります。

• 判断権限が決まっていない：公表の可否を決める人がいないと、事実が固まっていても発表が遅れます。代行順位まで決めていない計画は、トップ不在の夜間・休日に止まります。
• 悪い情報が上がらない：現場が報告を控える組織では、経営陣が報道で事態を知ります。報告した社員を責めない規程と、通報窓口の実効性が前提です。
• 法定期限を把握していない：漏えいの速報や製品事故の報告は、社内調査の完了を待ってくれません。
• 訓練がシナリオの読み合わせで終わる：想定どおりに進む訓練では、連絡網の不通や判断者の不在といった穴が見つかりません。
• BCPで代用している：業務停止だけをBCPの発動条件とし、不祥事や炎上の対応責任者を定めていない場合は、初動が遅れます。

BCPだけを整備して「危機管理は済んだ」とする判断は避けるべきです。事業継続の計画と、信用を守るための判断ルールは別に用意します。

よくある質問

クライシスマネジメントとは簡単にいうと何ですか？

事故・不祥事・災害などの危機に備え、発生時の被害抑制と組織の回復を主導する活動です。ISO 22361:2022は「危機に関して組織を主導し、方向付け、統制するための調整された活動」と定義しています。

リスクマネジメントとクライシスマネジメントの違いは何ですか？

リスクマネジメントは目的に対する不確かさを継続的に扱う活動、クライシスマネジメントは危機への準備・対応・回復を主導する活動です。ISO 31000:2018はリスクを「目的に対する不確かさの影響」と定義しています。

クライシスマネジメントとBCPの違いは何ですか？

BCPは重要な事業を中断させない、または短期間で復旧させるための計画で、対象を事業継続に絞っています。業務が止まらない不祥事や炎上のような危機は、クライシスマネジメント側で扱います。

危機管理マニュアルには何を書けばよいですか？

危機のレベル分け、対策本部の構成と代行順位、緊急連絡先、法定の報告期限、公表文の決裁ルートが最低限の項目です。漏えい等の報告（速報は概ね3〜5日以内が目安）のように期限のある義務は、一覧にして載せます。作成後は、判断者が不在の条件を与えた訓練で実際に機能するかを確かめます。

危機管理能力とはどのような能力ですか？

決まった定義はありません。本記事では、事実を集め、決められた権限者が期限内に判断し、関係者へ伝えられる組織の力として捉えます。個人の資質に頼らず、報告ルート・判断権限・訓練によって備えるものです。

関連記事

• クライシスコミュニケーションとは何か？基本概念から企業における重要性までをわかりやすく徹底解説！
• BCPとは？事業継続計画の意味と防災計画との違い、RTO・RLOの決め方
• BCMとは？BCPとの違いと事業継続マネジメントの回し方・ISO 22301
• レピュテーションリスクとは？意味とコンダクトリスクの違い・事例と対策
• コンティンジェンシープランとは？BCPとの違いと策定手順・公的ひな形の入手先