「どこに頼めばいいか分からない」がいちばん多い
BCP（事業継続計画）を外部に頼もうと決めたあと、多くの担当者がつまずくのが「で、どの会社に頼めばいいのか」という一点です。検索すれば代行サービスはいくらでも出てきます。ただ、どこも「策定します」「安心です」と書いてあって、正直、違いが分かりません。
先にお伝えすると、BCP策定の代行会社選びで失敗する最大の原因は、金額の高い・安いで決めてしまうことです。BCPは、いざという時に自社の事業を止めないための仕組みです。動かないBCPを安く買っても意味がないし、分厚いだけで現場が使えない計画書に高い費用を払うのも、それはそれで痛い。（費用そのものの相場感は「BCP策定を外注する場合の費用相場は？」の記事で別途整理しています。）
私は自衛隊で危機管理と部隊運用に携わったあと、いまはIT開発の実務も持つチームでBCP・IT-BCPの策定支援をしています。その立場から言うと、良い代行会社かどうかは、契約前のいくつかの質問でかなり見分けられます。この記事では、依頼前にチェックしてほしい5つの判断基準を、実務の観点で整理します。
ポイント1：テンプレートの穴埋めで終わらせないか
これがいちばん大事です。BCP策定支援のなかには、汎用テンプレートに会社名と数字を差し込んで「完成」とするタイプがあります。書類としては立派に見えます。でも、災害やシステム障害が実際に起きたとき、そのBCPが機能するかは別の話です。
BCPの土台は、事業影響度分析（BIA）です。どの業務が止まると、どれくらいの時間で、どの程度の損失や信用低下につながるのか。ここを自社の実態に沿って洗い出さないと、優先して守るべきものの順番が決まりません。順番が決まっていないBCPは、緊急時に「で、まず何をするんだっけ」で止まります。
見分け方はシンプルで、契約前にこう聞いてみてください。「うちの業務フローや取引先関係を、どこまでヒアリングして設計に反映してくれますか」。ここで自社の中身を聞こうとせず、成果物の分量や納期の話ばかりする会社は、テンプレート型の可能性が高いです。
ポイント2：IT-BCPと、預けた情報の扱いまで見られるか
いまのBCPは、地震や台風といった自然災害だけを想定していては足りません。事業が止まる引き金として、ランサムウェアをはじめとするサイバー攻撃やシステム障害の比重が増えています。独立行政法人情報処理推進機構（IPA）が毎年公表している「情報セキュリティ10大脅威」でも、組織向けの脅威としてランサムウェアが上位に居座り続けています。
ところが、防災系のBCPコンサルタントのなかには、IT・情報システムの領域は専門外というケースが少なくありません。逆に、ITベンダー出身のコンサルは、経営全体の事業継続の視点が薄いこともあります。確認したいのは、データのバックアップ体制、サーバーやネットワークの冗長化、そして復旧手順（DRP）まで踏み込んで設計できるか。ここを「別会社に丸投げします」ではなく、同じ設計思想のなかで語れる相手だと、自然災害とサイバーの両にらみで一貫した計画になります。（IT-BCPに特化した費用感や確認点は「IT-BCPコンサルの費用相場と依頼前に確認すべきこと」でも解説予定です。）
もうひとつ、IT-BCPを頼むときに見落とされがちなのが、預けた情報の扱いです。BCP策定では、自社のどの業務が弱点で、どこが止まると致命的かという「弱みの地図」をまるごと相手に渡します。だからこそ、秘密保持契約（NDA）の有無、再委託の範囲、その会社自身の情報管理体制は、必ず契約前に確認してください。自社のセキュリティを一緒に考える相手が、情報の扱いに無頓着では話になりません。
ポイント3：公的な指針・規格を踏まえて設計しているか
BCPは、ゼロから我流で作るものではありません。日本には信頼できる下敷きがいくつもあります。たとえば中小企業庁の「中小企業BCP策定運用指針」、内閣府防災担当の「事業継続ガイドライン」（令和3年4月に改定されています）、そして国際規格の ISO 22301（事業継続マネジメントシステム）。
良い代行会社は、これらの枠組みを踏まえたうえで、自社の規模と業種に合わせて過不足なく調整してくれます。逆に、独自メソッドをうたうばかりで、公的な指針との関係を説明できない会社は少し慎重に見たほうがいいでしょう。「なぜこの構成なのか」を共通言語で説明できるかどうかは、あとで社内の決裁を通すときにも効いてきます。
なお、ISO 22301の認証取得までを目指すのか、指針に準拠した実効性のあるBCPがあれば十分なのかは、会社の狙いによって変わります。ここも「認証まで必要ですか」と最初にすり合わせておくと、費用と手間のミスマッチを防げます。
ポイント4：作って終わりでなく、運用まで伴走するか
BCPは、策定した瞬間から少しずつ古くなります。組織も取引先もシステムも、時間とともに変わっていくからです。年に一度も見直さないBCPは、数年で「そういえば作ったね」という書類になります。
だからこそ、策定だけで契約が切れる会社より、そのあとの訓練の実施や年次の見直しまで相談できる会社のほうが、長い目で見たコストパフォーマンスは高くなりやすいです。ここでいう訓練とは、避難訓練のことだけではありません。「基幹システムが半日止まった」「主要拠点が使えなくなった」といった状況を机上で想定し、決めた手順どおりに人が動けるかを確かめる作業です。ここで初めて、計画書の穴が見えます。
契約前に、「策定後の訓練や見直しは、どんな形で支援してもらえますか」と聞いてみてください。具体的な答えが返ってくる会社は、BCPを書類ではなく運用として捉えています。
ポイント5：「想定どおりに進まない」前提で設計できるか
最後は、少し性質の違う観点です。BCPが本当に問われるのは、想定どおりに事が運ばないときです。マニュアルに書いていない事態が起き、情報が足りず、責任者と連絡がつかない。そんな状況でも組織を止めないためには、「誰が、何を基準に、どう判断するか」を先に決めておく必要があります。
私が自衛隊で計画づくりを叩き込まれたとき、中心にあったのもここでした。役に立つ考え方を、BCPの言葉に置き換えて3つ挙げます。ひとつ目は「指揮官の企図」。自衛隊の指揮では、指揮官が"最終的に何を達成するのか"という企図を明示したうえで、目的達成のための手段は配下の部隊に裁量の余地を与えます。BCPに置き換えるなら、企業内で適切なロールを決めておき、特に社内の幹部に明確な役割と裁量の余地を与える——この絶妙なバランスで計画を組むことが重要です。手順が使えなくなっても、企図が共有されていれば現場は自分で判断できます。ふたつ目は「代行決裁のルール」。責任者が不在・連絡不能のとき、誰が代わりに何をどこまで決めてよいのかを、あらかじめ明文化しておく。BCPが止まる典型は、判断できる人がいなくなる瞬間です。三つ目は「最悪から逆算する」。うまくいく前提の平常時プランではなく、「最悪こうなったら、まずこれを守る」という優先順位を先に固め、そこから手順を組み立てる。
代行会社の提案に、この「崩れたあとの意思決定」が設計されているかを見てください。きれいな平常時のフローだけが並んでいて、権限委譲や優先順位のルールが入っていない提案は、いざという時に止まります。気合いで乗り切ると言う会社ではなく、崩れたあとの手順を具体的に持っている会社を選んでください。
タイプ別に整理すると
代行会社を大きく分けると、得意分野で色が出ます。自社がどれを求めているかを先に決めておくと、比較がぶれません。
| タイプ | 設計力 | IT-BCP対応 | 策定後の運用支援 | 向いている企業 |
|---|---|---|---|---|
| テンプレート提供型 | 低め | 弱い | 少ない | まず形だけ整えたい／予算最優先 |
| 防災特化型 | 高い | 弱い〜中 | 会社による | 自然災害リスクが中心 |
| IT特化型 | 中〜高 | 高い | 会社による | システム依存度が高い／情シス主導 |
| 統合・伴走型 | 高い | 高い | 手厚い | 自然災害もサイバーも一貫して任せたい |
どれが正解ということではなく、自社のリスクの重心（自然災害寄りか、システム障害寄りか）と、どこまで任せたいかで選ぶのが現実的です。
依頼前に、この3つは必ず確認する
5つの判断基準に加えて、見積もりや契約の前に押さえておきたい実務的な確認事項です。
- 対象範囲：全社か、特定の拠点・部門・リスクに絞るのか。自社の希望を先に明確に伝える。
- 見積もりの内訳：総額だけでなく、項目ごとに何にいくらかかっているかを出してもらう。
- 実績と体制：似た規模・業種の支援経験、担当者の資格（中小企業診断士やISO審査員、情報処理安全確保支援士など）、そして前述のNDA・情報管理体制。
この3点を最初のやり取りで質問するだけで、相手の守備範囲と丁寧さがかなり見えてきます。
まとめ
判断基準を5つ挙げましたが、突き詰めれば問いはひとつです——「この会社は、いざという時に本当に動くBCPを作れるか」。テンプレートで終わらせず、ITと情報管理まで見て、公的指針を踏まえ、策定後も伴走し、崩れたあとの意思決定まで設計できるか。金額の比較はそのあとで十分です。
次の一歩としては、気になる会社に「うちの業務フローをどこまで聞いて設計に反映しますか」と一問だけ投げてみてください。この質問への答え方だけで、テンプレート型かどうかが見えてきます。
PonTech Labでは、自衛隊での危機管理経験とIT開発の実務知見を組み合わせ、自然災害からサイバー攻撃・システム障害までを見据えたBCP・IT-BCPの策定を支援しています。「まだ何を頼めるのか整理できていない」という段階でも構いません。まずは無料相談で、自社にとって必要な範囲と優先順位を一緒に整理するところから始められます。