BCP対策とは?中小企業の策定率が低い理由と未策定企業の倒産リスク

BCP対策で何を決めればよいか?

止めない業務と復旧までの時間

BCP(事業継続計画)は、緊急事態に遭ったとき、事業資産の損害を抑えながら、中核となる事業を続けるか、早く復旧するための計画です。中小企業庁も、平常時に行う活動と緊急時の方法、手段を取り決めておく計画と説明しています。つまり、BCP対策の中心は、全業務を守ることではなく、会社が生き残るための業務を選ぶことです。¹

中核業務を選ぶときは、売上の大きさだけでなく、止まったときに取引先や地域へ与える影響も見ます。例えば食品を扱う会社なら、営業資料の作成よりも、保管温度の確認、出荷先への連絡、在庫の把握が先です。

ここで復旧までの時間も決めます。翌日までに再開する業務、3日なら耐えられる業務、1週間止めてもよい業務を分けるだけで、緊急時の判断はかなり速くなります。

防災計画との違い

防災計画は、社員の安全確保や建物、設備の被害を減らす対策に重点があります。BCPはその先まで考えます。例えば製造業なら、出荷できる最低限の製品、代替できる仕入先、復旧までに顧客へ伝える内容まで決めます。

小売業なら、店舗が開けないときの受注方法や在庫確認の方法も対象になります。ここまで決めて初めて、被害を減らす備えから事業を続ける備えに変わります。

防災計画とBCPを分けて考える理由は、緊急時には安全確認が終わっても仕事が再開できるとは限らないからです。社員が無事でも、配送会社が止まる、主要な仕入先が被災する、会計データにアクセスできないといった問題が起きます。

BCPでは、このような事業の詰まりを先に想像し、代わりの手段を用意します。難しい言葉でまとめるより、誰が、何を、どの順番で動かすかを決めることが重要です。

なぜ中小企業のBCP策定率は低いのか?

策定率17.1%という現実

意外に見落とされがちな事実があります。帝国データバンクの2025年調査では、企業全体のBCP策定率は20.4%で、調査開始以来初めて2割を超えました。

一方で、中小企業の策定率は17.1%にとどまり、策定していない企業も41.5%ありました。BCPは特別な大企業だけの制度ではありませんが、実際には中小企業ほど備えが進みにくい状態が続いています。²

この数字を見ると、まだ作っていない会社は少数派ではありません。むしろ、多くの会社が必要性を感じながらも後回しにしていると考えたほうが実態に近いです。

ただし、未策定の会社が多いから安心してよいわけではありません。取引先が災害対応やサイバー対策を確認する場面が増えれば、BCPの有無は信用を測る材料になります。策定率が低い今こそ、早く着手した会社は説明しやすい立場を取れます。

低い理由はスキル、人手、時間の不足

策定が進まない理由を、やる気の問題だけで片づけると対策を誤ります。同じ調査では、未策定の理由として、策定に必要なスキル、ノウハウがないこと、策定する人材や時間を確保できないことが上位でした。

2025年版中小企業白書も、未策定の理由にはスキルや人材といったリソース不足が比較的高いと示しています。³ つまり低い理由の本質は、必要性を知っていても、誰が何から書けばよいか分からないことです。

費用への不安もありますが、最初から大がかりな設備投資をする必要はありません。むしろ最初にやるべきなのは、紙1枚で中核業務、責任者、連絡先、復旧の優先順位を決めることです。BCPを完璧な文書として考えるほど着手が遅れます。小さく始めて、訓練で直すという考え方のほうが、中小企業には合っています。

もう一つの低い理由は、日常業務が忙しいほど、危機対応が緊急ではない仕事に見えてしまうことです。売上を作る営業、納期を守る製造、請求や支払いの処理は毎日発生します。

BCPは平常時には成果が見えにくいため、期限のある仕事に押し出されやすいです。だからこそ、年に数回の大きな作業ではなく、月1回の会議で1項目だけ決める方法に変えると続けやすくなります。

未策定企業の倒産リスクはどこで生まれるか?

売上より先に崩れる現金と信用

BCP未策定だから必ず倒産する、という単純な話ではありません。ただし、事業が止まると、売上より先に現金と信用が苦しくなります。納品できない、請求できない、給与や仕入代金の支払いだけは続く。この状態が長引くほど、取引先は代替先を探し、金融機関への説明も難しくなります。中小企業庁も、災害で被害を受けた中小企業の事業中断は、廃業や倒産につながりかねないと説明しています。⁴

特に中小企業は、代替拠点や予備人員を多く持ちにくいです。社長だけが主要取引先の連絡先を知っている、経理担当者だけが支払い手順を分かっている、特定のパソコンにしか重要データが入っていない。このような状態では、災害そのものの被害が小さくても、復旧に時間がかかります。倒産リスクは大きな被害だけでなく、小さな停止が長引くことでも生まれます。

サイバー攻撃で止まる日常業務

近年は、地震や台風だけでなくサイバー攻撃も事業停止の原因になります。IPA(情報処理推進機構)の情報セキュリティ10大脅威2026では、組織向け脅威の1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスクでした。AIの悪用によって攻撃が容易になり、手口が巧妙になるリスクも挙げられています。⁵

警視庁は、2025年のランサムウェア被害報告件数を226件とし、令和4年以降高い水準で推移していると説明しています。ランサムウェアは、社内データを使えなくして身代金を要求する攻撃です。

受発注、配送、請求、会計がデジタル化している会社では、パソコンやサーバーが止まるだけで日常業務が動かなくなります。だからこそ、サイバー対策もBCP対策の一部として扱う必要があります。⁶

ここで注意したいのは、サイバー攻撃を専門部署だけの問題にしないことです。小さな会社では、情報システム担当者がいない場合もあります。

だからこそ、感染した端末をネットワークから離す、社内外へ誰が連絡するかを決める、請求や配送を一時的に手作業で続ける方法を考えるといった実務の準備が欠かせません。専門的な防御と同時に、止まった後の動きを決めることがBCPです。

低コストで始めるBCP対策の優先順位

最初に決める中核業務、連絡、バックアップ

初めてBCP対策に取り組むなら、厚い計画書よりも、止まったら困る順番を決めることから始めます。警視庁のランサムウェア対策でも、基本ルールとして、OSやソフトウェアを最新にすること、ウイルス対策ソフト、パスワード強化、共有設定の見直し、バックアップが挙げられています。

さらに、サイバー攻撃を想定したBCPとして、初動対応の手順や社内外の連絡体制を盛り込むことも求めています。⁷

最初の1週間で決める項目は、次の4つに絞ると進めやすくなります。

• 最低限続ける業務と、止めてもよい業務
• 社長が不在のときの判断者と、社員、取引先への連絡順
• 重要データの保管場所と、復元を試す日
• 1か月売上が遅れた場合の支払い優先順位

この4つは、どれも高額なシステムを入れなくても始められます。例えばバックアップは、保存するだけでなく復元できるかを確認することが重要です。連絡網も、作るだけでは不十分です。休日、夜間、停電時に本当に使えるかを確かめて初めて、使えるBCPになります。

事業継続力強化計画の活用

何から書くか迷う場合は、中小企業庁の事業継続力強化計画を入口にする方法があります。これは中小企業者などが作る防災、減災の事前対策に関する計画を経済産業大臣が認定する制度で、中小企業のための取り組みやすいBCPと位置づけられています。認定を受けると、税制措置、金融支援、補助金の加点などを受けられる場合があります。⁸

ここで大切なのは、認定そのものを目的にしないことです。申請書を書く過程で、何を守るか、誰が判断するか、どの取引先へ先に連絡するかを決めることに価値があります。中小企業BCP策定運用指針も、サンプルのような書類を作れる構成になっており、初めての会社がゼロから悩まないように作られています。⁹

また、社外の専門家に相談する場合でも、何もない状態で依頼するより、自社の優先業務だけでも書き出してから相談したほうが具体的な助言を受けやすくなります。

士業、金融機関、商工団体、IT事業者へ相談するときも、守りたい業務と困っている点を示せば、過剰な対策ではなく現実的な選択肢を比較できます。BCPは外部に丸投げする書類ではなく、経営者が判断の軸を持つための道具です。

作って終わらせないための見直し方

半年に一度の小さな訓練

BCPは作った瞬間より、見直した後に強くなります。社員が入れ替わる、取引先が変わる、クラウドサービスを導入する。どれか一つが変われば、連絡先や復旧手順も変わります。半年に一度、30分だけでも、安否確認、受注停止、データ復元のどれか一つを試すと、計画書では見えなかった穴が見つかります。訓練は大げさなイベントではなく、業務を止めないための確認作業です。

訓練では、失敗を見つけるほうが価値があります。緊急連絡先が古い、クラウドの管理者が退職していた、バックアップの保存先はあるが復元手順を誰も知らない。このような問題は、実際の事故が起きてからでは修正に時間がかかります。平常時に小さく失敗して直すことが、BCPを会社の実力に変えます。

明日決める一枚のメモ

未策定企業が最初に作るべきなのは、完成度の高い冊子ではありません。明日から使える一枚のメモです。そこには、優先業務、判断者、連絡先、重要データ、資金繰りの確認日だけを書きます。足りない項目は、訓練や見直しのたびに足していけば十分です。

明日動くなら、まずは次の順番で進めます。

• 会社が3日止まったときに最も困る業務を一つ選ぶ
• その業務を動かす人、場所、データ、取引先を紙に書く
• そのうち一つが使えない場合の代替策を決める

最後に確認したいのは、BCP対策は危機のときだけの作業ではないということです。業務の優先順位を決めることは、普段のムダを減らすことにも役立ちます。取引先に説明できる備えは、信用の材料にもなります。

中小企業のBCP策定率が低い今だからこそ、未策定のまま不安を抱えるより、小さく始めて会社を止めない選択肢を増やすことが、現実的な倒産リスク対策になります。

出典・参考資料

1. 「1.1 BCP（事業継続計画）とは」中小企業庁 ↩

2. 「事業継続計画（BCP）に対する企業の意識調査（2025年）」帝国データバンク ↩

3. 「2025年版　中小企業白書（HTML版） 第4節　BCP」中小企業庁 ↩

4. 「中小企業ＢＣＰ策定運用指針の公開にあたって」中小企業庁 ↩

5. 「情報セキュリティ10大脅威 2026」IPA ↩

6. 「マルウェア｢ランサムウェア｣の脅威と対策（脅威編）」警視庁 ↩

7. 「マルウェア｢ランサムウェア｣の脅威と対策（対策編）」警視庁 ↩

8. 「事業継続力強化計画」中小企業庁 ↩

9. 「中小企業BCP策定運用指針」中小企業庁 ↩