事業継続性

事業継続計画 (BCP) は、組織が中断中および中断後に重要な業務をどのように維持または迅速に再開するかを把握します。 BCP の証拠には、事業継続計画 (運用を維持するための手順、通信計画、リソース要件、および復旧の優先順位を記録)、災害復旧計画 (システムの復元、データ復旧、代替サイトの運用、フェイルオーバーを含む IT 中心の復旧手順)、ビジネス影響分析 (目標復旧時間と目標復旧時点を特定する、潜在的な中断の影響の体系的な評価)、および BCP 演習とテストの記録 (机上演習、ウォークスルー テスト、完全なシミュレーション、改善計画) が含まれます。 BCP は、DORA、CSRD、および金融サービス、重要インフラ、ヘルスケアの分野固有の規制によって義務付けられています。

規制当局は、単なる願望表明ではなく、記録された回復力能力をますます必要としています。 DORA は、金融機関に対して事業継続を含む包括的な ICT リスク管理を義務付けています。 CSRD では、事業継続能力を含む重要なリスク管理プロセスの開示が求められます。 EU Critical Entities Resilience (CER) 指令では、必須サービスの継続計画が求められています。保険の枠組みでは、補償の条件として事業継続の証拠が必要です。規制遵守を超えて、事業継続能力は組織の成熟度の尺度として企業のバイヤーや投資家によってますます評価されています。記録された BCP 証拠と定期的な運動記録は、レジリエンスが単に記録されるだけでなく、テストされ、検証されていることを示しています。

事業継続計画 (BCP) には、資産の重要な機能、復旧の優先順位、リソース要件、通信プロトコル、および中断時に業務を維持するためのエスカレーション手順が含まれます。災害復旧計画 (DRP) は、IT とテクノロジーの復旧、つまりシステムの復元手順、データのバックアップとリカバリ、代替サイトの運用、テクノロジーのフェイルオーバー プロセスに重点を置いています。ビジネス影響分析 (BIA) は、業務、収益、コンプライアンス、評判に対する潜在的な混乱の影響を体系的に評価し、各ビジネス プロセスの目標復旧時間 (RTO)、目標復旧時点 (RPO)、および重要度のランキングを特定します。 BCP の演習とテストは、資産の机上演習、ウォークスルー、完全なシミュレーション、演習後の改善計画を記録します。これは、継続計画が検証され、引き続き有効であることの証拠です。

BCP、DRP、BIA、および演習記録は Sustalium にアップロードされ、関連するコンプライアンス フレームワークにリンクされます。レジリエンスの証拠は、DORA ICT リスク管理フレームワーク (ICT リスク管理、テスト、および報告に関する第 11-13 条の要件)、CSRD リスク開示 (ESRS G1 ガバナンスおよびリスク管理)、および ISO 22301 コンプライアンス記録 (社会セキュリティおよび事業継続管理) に関連付けられます。 Sustalium は、BCP レビューの日付、演習スケジュール、および演習後のレポートからの改善アクション項目を追跡します。複数のエンティティまたは管轄区域にわたる継続性を管理する組織に対して、Sustalium は組織全体の復元力の統合ビューを提供します。

DORA (デジタル オペレーショナル レジリエンス法) は、金融機関に事業継続ポリシー、ICT 対応および復旧計画、および記録されたテスト プログラムを維持することを義務付けています。 EU Critical Entities Resilience (CER) 指令では、エネルギー、輸送、銀行業務、医療、デジタル インフラストラクチャなどの重要なサービスに対する事業継続能力が求められています。 CSRD 持続可能性報告基準 (ESRS G1) では、事業継続を含む重要なリスク管理プロセスの開示が求められています。 ISO 22301 (社会セキュリティおよび事業継続管理) では、BCP、BIA、および演習プログラムの記録が必要です。バーゼル委員会の業務回復力原則では、金融機関が事業継続能力を維持することを求めています。 EU AI 法では、リスクの高い AI システムプロバイダーに対してリスク管理と緊急時対応計画を義務付けています。医療、金融サービス、重要な国家インフラに関する分野固有の規制により、追加の事業継続要件が課されます。