BCMとは？BCPとの違いと事業継続マネジメントの回し方・ISO 22301

BCM（Business Continuity Management、事業継続マネジメント）は、BCPの策定・維持更新に加え、予算・資源の確保、事前対策、教育訓練、点検・見直しを平常時から継続する経営活動です。BCPが「不測の事態が起きたときの計画書」なのに対し、BCMはその計画書を古びさせず、実際に機能する状態に保つ仕組みを指します。

この記事では、内閣府「事業継続ガイドライン」（令和5年3月）の原文をもとに、BCMの定義、BCPとの線引きが生まれた経緯、ガイドラインが「年1回以上」と定める点検と経営者による見直しの中身、ISO 22301の認証を取るべき場面を整理します。

まとめ：BCMとBCPの違いと運用の要点

• BCMは、BCP策定・維持更新、予算と資源の確保、事前対策、教育・訓練、点検、継続的改善を含む平常時のマネジメント活動で、内閣府は「経営レベルの戦略的活動」と位置付けています。
• BCPは、そのBCMの中で作られる「不測の事態発生時の対応計画書」です。かつては今のBCMの内容までBCPの広義に含めて説明されていたため、両者が混同されやすくなっています。
• ガイドラインは、BCMの点検を年1回以上、経営者による見直しも年1回以上、事業戦略や次年度予算の検討と連動して行うよう求めています。
• ISO 22301はBCMSの要求事項を定める規格で、第三者認証の審査基準にも使われます。取引先から認証を求められていないなら、まずガイドラインに沿った運用を回すのが先です。

BCM（事業継続マネジメント）の意味と内閣府の定義

内閣府「事業継続ガイドライン」（令和5年3月、本文4ページ）は、BCMを次のように定義しています。

「BCP策定や維持・更新、事業継続を実現するための予算・資源の確保、事前対策の実施、取組を浸透させるための教育・訓練の実施、点検、継続的な改善などを行う平常時からのマネジメント活動は、事業継続マネジメント（Business Continuity Management、BCM）と呼ばれ、経営レベルの戦略的活動として位置付けられるものである。」

定義の中心は「平常時から」と「経営レベル」の2語です。災害が起きてから動く活動ではなく、担当部署だけで閉じる活動でもありません。ガイドラインは続けて、BCMの範囲は事業内容や規模に応じて経営者が判断してよいこと、多額の出費を伴わなくても一定の対応は可能なこと、完璧を目指して着手をためらうより「できることから取組を開始」するよう強く推奨することも明記しています。

なお、英語の略語としてのBCMは、車載ECUのボディコントロールモジュール（Body Control Module）など別分野でも使われます。本記事で扱うのは事業継続の文脈のBCMです。

BCPとBCMの違い：計画書とそれを回す仕組み

BCPはBCMの成果物の1つです。BCPだけを作ってBCMを回さない状態は、人事異動や取引先の変更が反映されないまま、連絡先も代替手段も古い計画書が残る状態を意味します。BCP本体の定義、目標復旧時間（RTO）と目標復旧レベル（RLO）の決め方、発動の手順はBCPとは？事業継続計画の意味と防災計画との違い、RTO・RLOの決め方で扱っています。

BCPの「広義」がBCMに切り出された経緯

BCPとBCMが混同されやすいのは、日本の公的文書自体が以前は両者を分けていなかったためです。ガイドラインの脚注には次の説明があります。

「ここでBCMとして説明している内容は、前ガイドラインまで、概ね『事業継続計画（BCP）』の広義に含まれると説明していた。しかし、近年、国際的には、BCPは『不測の事態発生時の対応計画書』という、狭義で用いられることが多く、その整合性を確保するため、本ガイドラインにおいてBCMとして説明することとした。」

巻頭の改定経緯の表では、平成25年8月改定の目的が「企業・組織の平常時からの事業継続マネジメント（BCM）の普及促進」とされ、改定内容の1番目に「平常時からの取組となるBCMの必要性の明示及び関連内容の充実」が挙がっています。計画策定の章（5.1.1）でも、BCPは「従来、我が国では、BCMとほぼ同じ意味で使われることが多かった」と認めたうえで、危機的事象の対応計画を指すものと定義し直しています。古い資料や社内規程で「BCP」と書かれていても、訓練や見直しまで含んでいるなら、今の用語ではBCMの話をしていると読み替えるのが正確です。

防災活動との違いは「どの業務をいつまでに戻すか」の経営判断

ガイドラインは、BCMと従来の防災活動の大きな違いを、使える経営資源が限られる前提で「どの業務をいつまでにどのレベルまで回復させるか、経営判断として決めること」に置いています。防災活動は拠点ごとに防災・総務部門が担うのに対し、BCMは経営者を中心に事業部門・調達・販売・情報システムなどが拠点横断で担い、委託先や調達先といったサプライチェーンまで範囲に含めます。そのうえで「防災活動の単なる延長としてBCMを捉えると、その効果を十分に発揮できないおそれがある」と注意しつつ、両者は並行して推進すべきとしています。

BCMの流れ：ガイドラインの6段階と各段階の成果物

ガイドラインの本文は、BCMを次の6段階の章立てで説明しています。段階の数は説明上の区切り方によって変わります。BCMとして確認すべきなのは、計画策定だけでなく、対策・訓練の実施と見直し・改善まで含まれているかです。

ガイドラインはBCMを「単なる計画ではなく継続的な取組」とし、手法としてPDCAサイクルなどのマネジメントの仕組みの活用を挙げています。品質（ISO 9001）や情報セキュリティ（ISO/IEC 27001）のマネジメントシステムを既に運用している組織は、その仕組みと整合させてBCMを導入するのが有効とされています。各段階の実務手順はBCP対策とは？意味・目的・策定手順から企業事例までを初心者向けに徹底解説、内閣府ガイドラインと中小企業庁の指針の使い分けはBCP策定ガイドラインの選び方｜内閣府 事業継続ガイドラインと省庁別の使い分けで整理しています。

ガイドラインが「欠けると効果が限定的」とする3つの仕組み

ガイドラインは、BCMで特に重要なものとして次の3点を挙げ、「これらが不十分である場合は、他の部分を充実させたとしてもその効果は限定的となる可能性が高い」と書いています。

• 不測の事態において事業を継続する仕組
• 社内のBCP及びBCMに関する意識の浸透
• 事業継続の仕組及び能力を評価・改善する仕組

1つ目は、BCPだけでなく、それを実行する体制や資源を含む仕組みです。計画書の整備状況に加え、社内への浸透と評価・改善の実施状況を確認します。点検と見直しの予定が未設定なら、まず実施時期と担当者を決め、経営会議の年間予定に組み込みます。

点検・経営者による見直し・是正：年1回以上の運用サイクル

ガイドライン第Ⅶ章は、見直し・改善を「点検・評価」「経営者による見直し」「是正・改善」「継続的改善」の4節に分けています。この章では、点検で見つけた課題を経営者の判断と是正につなげる役割分担を確認できます。

BCM点検の頻度：年1回以上の定期点検と変化時の臨時点検

各部局のBCM担当者とBCM事務局は、BCPの陳腐化を防ぐため、BCMの内容や実施状況を「定期的（年1回以上）」に点検する必要があるとされています。定期点検とは別に、次のような変化があったときも、BCMが合致しているか、必要な変更が行われているかを点検・評価します。

• 人事異動や取引先の変更（当然必要な修正が行われているかの定常的な点検）
• 事業所、製造ライン、業務プロセスの変更、新製品・サービスの提供開始、新たな契約締結
• 利害関係者からの要求、法令改正などの環境変化
• 自社がBCPを発動したとき（その反省を踏まえた見直し）

脚注では、BCP発動に至らない日常的なトラブルや、関係のある他社のBCP発動も見直しの機会になり得るとしています。取引先の被災は、自社のBCPが想定する調達先の代替手段を点検する機会になるということです。

点検では、策定したBCPで重要業務が目標復旧時間・目標復旧レベルを本当に達成できるかも確かめます。ガイドラインが挙げる例は、復旧に必要な資機材をBCPに定めた時間内に調達できるか、システム停止時に手作業で処理すると定めた場合にその処理量が計画どおりか、の2つです。BCMが進んだ組織では、監査を年1回以上行い、スケジュールどおりの実施、戦略の費用対効果、訓練の目標達成、業界のベストプラクティスとのギャップ、事業継続能力の向上を検証し、結果を経営者に報告することも有効とされています。

経営者による見直しでBCM事務局が用意するもの

経営者によるBCMの見直しも「定期的（年に1回以上）」で、ガイドラインは自社の事業戦略や次年度予算を検討する機会と連動させるよう求めています。準備としてBCM事務局が整理するのは、前回の見直しで指示された事項、その後の進捗、点検の結果、訓練で明らかになった弱点・問題点・課題、そして現状の対策では未対応の残存リスクです。

残存リスクは、目標復旧時間の達成を阻害するリスクや、現状の能力では対応が難しい発生事象など、優先順位を下げて対応を見送っているリスクを指します。見直しの場で経営者が判断すべきなのは、この「見送っているもの」をこのまま見送るかどうかです。経営者は十分な時間を確保して説明を受け、早急に実施すべき是正措置と、次年度以降のBCM改善の方向性を打ち出す必要があるとされています。

是正事項の即時対応と継続的改善への振り分け

内閣府ガイドライン7.3「是正・改善」に沿って、点検で見つかった問題のうち、経営判断を待つ必要がない実務的なもの（連絡網の更新、手順書の記載誤りなど）は早急に是正し、内容は定められた機会にまとめて経営者へ報告します。調査・分析や予算確保、調整が必要なものは、BCMの継続的改善のプロセスに持ち込み、BCM事務局などが進捗を管理します。すべてを年1回の見直しまで溜めると、連絡先1つの修正が1年遅れるため、この2区分は運用上の効果が大きい部分です。

BCMSとISO 22301：認証が要る組織と要らない組織

BCMS（事業継続マネジメントシステム）は、BCMを組織のマネジメントシステムとして組み込んだものです。その要求事項を定めた国際規格がISO 22301:2019「Security and resilience — Business continuity management systems — Requirements」で、日本では2020年11月20日にJIS Q 22301:2020として発行されています。その後、気候変動への配慮を加える追補ISO 22301:2019/Amd 1:2024が発行され、ISMS-ACは本体と併せて適用する必要があるとしています。JISでも、この追補に対応するJIS Q 22301:2025（追補1）が発行されています。規格の要求事項を適用するための手引はISO 22313:2020です。

ISO 22301の要求事項は、品質や情報セキュリティのマネジメントシステム規格と同じ箇条構成を取っています。

右列は理解の目安として並べたもので、1対1の対応表ではありません。内閣府ガイドライン自身も脚注で、ISO 22301では演習及び試験を実施し、その結果を経営者の見直しにかけ、継続的な改善に結び付けるという表現を用いていると説明しています。

BCMS認証の登録件数と取得判断の条件

日本でBCMS認証機関を認定しているのは一般社団法人情報マネジメントシステム認定センター（ISMS-AC）です。ISMS-ACの公表では、認定を受けたBCMS認証機関は日本品質保証機構、BSIグループジャパン、日本環境認証機構、ビューローベリタスジャパン、SGSジャパンの5機関（2026年7月7日付）、BCMS認証を取得した組織は登録87件・うち公表79件（2026年9月11日付、ISMS-AC BCMS認証取得組織検索）です。この件数は、ISMS-ACが認定した認証機関による登録の件数です。

内閣府ガイドラインは、認証制度の活用を「手段の一つ」としながら、「認証制度、特に第三者認証制度の活用を推奨することを意図している訳ではない」と明記しています。同時に、ガイドラインに沿った取組が「ISO22301の認証取得の必要十分条件を満たすという趣旨のものではない」とも書いています。

ここから導ける判断は明確です。取引先の調達条件や入札要件、海外の顧客との契約でBCMS認証を求められている組織は、ISO 22301の要求事項に沿って構築し、認証機関の審査を受ける必要があります。そうした要求が無い組織で、認証取得の目的や費用対効果を説明できない場合は、取得を先行させるべきではありません。この場合は内閣府ガイドラインの第Ⅶ章までを1周回し、残存リスクを経営者が判断できる状態を先に作るべきです。

国内の認証制度：レジリエンス認証

国内には、内閣官房のガイドラインに基づく「国土強靱化貢献団体認証」（通称レジリエンス認証）もあります。実施するのは一般社団法人レジリエンスジャパン推進協議会で、認証区分は「事業継続」と「事業継続および社会貢献」の2つです。2026年7月31日現在の認証団体は349団体で、うち社会貢献の認証は236団体です。中小企業が法律に基づく国の認定を受けたい場合は、経済産業大臣が認定する事業継続力強化計画があり、税制措置や金融支援、補助金の加点を受けられます。制度の詳細は前述のガイドライン選定の記事で扱っています。

よくある質問

BCMとは何の略ですか？

Business Continuity Managementの略で、日本語では事業継続マネジメントと訳されます。内閣府ガイドラインはBCMを、BCP策定・維持更新、予算と資源の確保、事前対策、教育・訓練、点検、継続的改善を行う平常時からのマネジメント活動と定義しています。

BCPとBCMの違いは何ですか？

BCPは不測の事態が起きたときに重要な事業を中断させない、または短期間で復旧させるための計画書です。BCMはそのBCPを作り、訓練し、点検し、経営者が見直して改善し続ける平常時の活動全体を指します。

BCM活動とは具体的に何をするのですか？

基本方針と体制づくり、事業影響度分析とリスク分析、事業継続戦略の決定、BCPの策定、事前対策と教育・訓練、点検と経営者による見直し・是正の6段階です。内閣府ガイドラインは点検と経営者による見直しをそれぞれ年1回以上行うよう求めています。

BCMSとは何ですか？

BCMS（Business Continuity Management System、事業継続マネジメントシステム）は、BCMをマネジメントシステムとして組織に組み込んだものです。その要求事項を定めた国際規格がISO 22301で、第三者認証の対象になります。

中小企業でもBCMは必要ですか？

内閣府ガイドラインは、多額の出費を伴わなくても一定の対応は可能なため、資金や人に余裕がない組織も含めて全ての企業・組織への導入が望まれるとしています。範囲は事業内容や規模に応じて経営者が判断してよく、できることから始めて継続的改善で能力を高めることが推奨されています。

関連記事

• BCPとは？事業継続計画の意味と防災計画との違い、RTO・RLOの決め方
• BCP策定ガイドラインの選び方｜内閣府 事業継続ガイドラインと省庁別の使い分け
• BCP対策とは？意味・目的・策定手順から企業事例までを初心者向けに徹底解説
• DR対策とは？構成4パターンのRPO・RTO目安とDR計画の作り方
• コンティンジェンシープランとは？BCPとの違いと策定手順・公的ひな形の入手先