複合危機時代のBCP最前線：ポリクライシスに備える組織レジリエンス高度化の実践知

自然災害、サイバー攻撃、地政学リスク、そしてサプライチェーン規制の強化。こうしたリスクが同時多発的に企業経営を揺さぶる時代において、従来型のBCPでは十分とは言えなくなっています。

近年、首都直下地震の被害想定見直しや、EUを起点とする国際規制の波及、実際の企業被害事例を通じて、事業継続に対する前提条件そのものが大きく変化していることが明らかになってきました。

本記事では、最新の統計データや具体的な企業事例、政府・自治体・国際機関の動向を踏まえながら、なぜ今「組織レジリエンス」が経営課題として重要視されているのかを整理します。

さらに、サイバーと物理災害が交錯する複合危機の実像や、中小企業と大企業の間に広がる備えの格差にも目を向け、実務に直結する示唆を提示します。

読み進めることで、自社のBCPがどこまで現実に耐えうるのか、そして次に取るべき一手は何かを具体的に描けるはずです。

ポリクライシス時代にBCPの前提が崩れた理由

ポリクライシス時代において、従来型BCPの前提が通用しなくなった最大の理由は、リスクが単発ではなく、相互に連鎖・増幅する構造へ変質した点にあります。2020年代前半までのBCPは、地震なら地震、感染症なら感染症といった個別シナリオを想定し、それぞれに対応策を用意する設計思想が主流でした。しかし2026年現在、その前提自体が現実から乖離しています。

政府や金融庁が2024〜2025年に改定した業務継続ガイドラインでは、パンデミックが自然災害やサイバー攻撃を誘発・併発させる「システミック・リスク」と明確に再定義されました。金融庁によれば、従業員の長期出社制限、物流停滞、IT障害が同時進行する事態を前提に、業務継続性そのものを再設計する必要があるとされています。これは、想定外を例外として切り捨ててきた従来BCPの限界を公式に認めた転換点だといえます。

従来BCPの前提	ポリクライシス下の現実
単一災害を個別に想定	複数リスクが同時・連鎖的に発生
短期的な復旧を前提	長期の機能不全が常態化
自社内完結の対策	サプライチェーン全体が影響

この構造変化を象徴するのが、2025年の首都直下地震被害想定の改定です。耐震化の進展により死者数や建物被害は減少した一方、経済被害は約82兆円と依然として甚大です。これは、物理的な倒壊よりも、電力・通信・データといった見えないインフラへの依存度が飛躍的に高まった結果です。東京都が指摘したように、約10年前の電力データを用いた国の想定では、現代のデジタル依存社会におけるブラックアウトの影響を過小評価する危険性があります。

さらに前提崩壊を決定づけたのが、サプライチェーンと規制環境の変質です。EUの企業持続可能性デュー・ディリジェンス指令は、災害や事故だけでなく、人権・環境リスクを理由とした取引停止を現実の経営リスクへと引き上げました。ジェトロの分析によれば、2026年時点ですでにEU企業は日本の取引先に対し、平時から詳細なリスク情報の提出を求め始めています。つまり、BCPは「有事対応計画」ではなく、平時からのリスク排除プロセスそのものへと性格を変えたのです。

自然災害、規制、サイバー攻撃が互いに引き金となり、時間差で企業活動を蝕む現在、過去の延長線上でBCPを更新しても実効性は得られません。前提が崩れたという事実を直視すること自体が、2026年型BCPの第一歩になっています。

政府・金融庁ガイドライン改定が示すオールハザード思考

政府および金融庁による近年のガイドライン改定は、BCPの前提条件そのものを大きく転換させています。最大の特徴は、特定の災害や事故を個別に想定する発想から脱却し、あらゆる危機を横断的に捉えるオールハザード思考を明確に打ち出した点にあります。

2024年から2025年にかけて改定された新型インフルエンザ等対策政府行動計画および金融庁の業務継続計画では、パンデミックが単独で発生する事象ではなく、自然災害やサイバー攻撃、社会不安を同時に誘発し得るシステミックリスクであると位置づけられました。金融庁によれば、長期の出社制限や人員不足が続く状況下でも、決済や資金供給といった中核機能を止めない体制構築が不可欠とされています。

この考え方は金融機関に限らず、一般企業にも波及しています。従来のBCPでは「地震が起きたら」「感染症が流行したら」と事象別に対応手順を定めるケースが多く見られました。しかし複合危機が常態化した2026年現在、想定シナリオは容易に破綻するという認識が、ガイドラインを通じて共有されつつあります。

観点	従来型BCP	オールハザード型BCP
リスクの捉え方	地震・感染症など個別想定	人・物・情報が使えない状態を前提
計画構造	事象別マニュアル中心	共通対応基盤と意思決定プロセス重視
想定期間	短期復旧が前提	長期機能低下を前提

金融庁ガイドラインが示す実務的な示唆は、リスクを原因ではなく結果で整理する点にあります。例えば、原因が地震であれサイバー攻撃であれ、電力が使えない、システムにアクセスできない、人が集まらないという状態は共通します。そのため、リソースベースで業務継続能力を点検することが、最も合理的な備えだとされています。

また、国土強靱化年次計画2025が示す行政機能の代替性確保やデジタル活用の方向性も、オールハザード思考と軌を一にします。行政自身が単一拠点・単一システムの脆弱性を認め、分散と冗長性を重視していることは、企業にとって重要なメッセージです。政府計画に関与した有識者の間でも、危機対応力は個別対策の積み上げではなく、平時からの設計思想で決まると指摘されています。

ガイドライン改定が突きつけているのは、BCPを作ること自体ではなく、不確実性を前提に経営判断を下せる組織かどうかという問いです。オールハザード思考は、防災担当部門の話にとどまらず、経営・人事・IT・調達を横断した共通言語として、企業統治の中核に組み込まれ始めています。

EU CSDDDが日本企業のサプライチェーンに与える影響

EUの企業持続可能性デュー・ディリジェンス指令（CSDDD）は、2026年時点で日本企業のサプライチェーン管理に質的転換を迫っています。ジェトロの整理によれば、CSDDDは2024年に発効し、EU加盟国での国内法化期限が2026年7月に到来することで、**EU企業が日本の取引先に対して人権・環境リスクの具体的説明責任を本格的に求め始める段階**に入っています。

最大の特徴は、規制の影響がEU域外にも及ぶ点です。日本企業が直接EUで事業を行っていなくても、EU企業のサプライヤーである限り、間接的に適用されます。これは単なるCSR対応ではなく、**調達継続そのものが法令遵守能力によって左右される構造変化**を意味します。

特に日本企業に影響が大きいのが、サプライチェーンの可視化範囲です。CSDDDではTier1にとどまらず、合理的に把握可能な範囲でTier2以降も含めたリスク特定と是正が求められます。経済協力開発機構（OECD）の責任ある企業行動ガイダンスでも、一次取引先のみの管理は不十分とされており、国際基準との整合性が強く意識されています。

実務面では、2026年に入りEU企業から日本企業へ、質問票の高度化や契約条項の修正要請が相次いでいます。強制労働、児童労働、環境汚染に関する方針の有無だけでなく、監査頻度、是正プロセス、取引停止基準まで問われるケースが増えています。これは調達部門だけで対応できる問題ではなく、法務、コンプライアンス、BCP担当を巻き込んだ全社的対応が不可欠です。

影響を整理すると、従来型のサプライチェーン管理との違いが明確になります。

観点	従来	CSDDD下
管理対象	Tier1中心	Tier2以降も考慮
位置付け	CSR・努力義務	法的義務・制裁対象
リスク対応	問題発生後対応	予見・予防が必須

日本企業にとって重要なのは、CSDDD対応をコストではなく事業継続投資として捉える視点です。人権・環境リスクが顕在化すれば、EU企業は自社の法的責任を回避するため、迅速に取引停止を選択します。その結果、代替調達先を持たない日本企業は、売上減少だけでなく生産計画全体の見直しを迫られます。

2026年は、形式的な方針整備だけでは不十分です。**サプライチェーンの可視化、リスク評価、是正プロセスを平時から回しているかどうか**が、EU市場との取引継続を左右します。CSDDDは、災害やサイバー攻撃と同列に、サプライチェーンレジリエンスの中核要素として位置付けられつつあります。

首都直下地震の新被害想定が突きつける経済リスク

2025年に公表された首都直下地震の新たな被害想定は、人的・建物被害の減少という一見ポジティブな側面の裏で、**日本経済に突きつけられた構造的リスクの深刻さ**をより鮮明にしました。中央防災会議の報告書や科学技術振興機構の分析によれば、想定される経済被害は約82兆円超に達し、これは単年の国家予算規模に匹敵します。

重要なのは、この数字の大半が「間接被害」で構成されている点です。建物倒壊や火災といった直接被害以上に、電力・通信・物流の停止が企業活動を麻痺させ、国内外のサプライチェーンを連鎖的に寸断します。とりわけ東京圏に本社機能や中枢ITを集中させている企業ほど、全国、さらには海外拠点にまで影響が波及するリスクを抱えています。

被害の質が「物理的損失」から「機能停止損失」へと移行している点は、今回の想定改定の最大の特徴です。クラウド、キャッシュレス決済、AIデータセンターへの依存度が高まった2026年現在、停電や通信障害は即座に売上喪失や信用低下に直結します。

経済リスク領域	想定される影響	企業経営への帰結
電力・通信途絶	業務システム停止、決済不能	即時の売上減少と顧客離反
物流網の寸断	原材料・製品の滞留	生産停止、違約金リスク
都市機能の低下	人材移動・出社不能	長期的な事業縮小

さらに見過ごせないのが、**国と東京都の電力被害想定の乖離**です。東京都は、約10年前のデータを基にした国の試算が現状の電力依存社会を過小評価していると指摘しています。このズレは、企業側が「数日で復旧する」という前提で資金繰りや在庫計画を立ててしまう危険性を孕みます。

経済学者や防災研究者の間でも、首都直下地震は「一度の災害ではなく、数年にわたる経済ショック」と位置づけられています。特に中小企業は、短期間の売上停止がそのまま倒産リスクに直結し、結果として大企業のサプライチェーンにも深刻な影響を及ぼします。

新被害想定が突きつけているのは、災害対策をコストと見る発想の限界です。経済リスクを正確に織り込まない経営判断こそが、最大の損失を生む時代に入ったと言えます。

国と東京都で分かれた電力被害想定の意味

国と東京都で電力被害想定が分かれて示されている最大の意味は、単なる見解の違いではなく、リスクをどう捉え、どの時間軸で社会と企業を守ろうとしているのかという思想の差にあります。国の想定は全国一律の防災計画や財政配分の基準としての役割を持ち、一定の平均化や保守性が前提となっています。一方で東京都は、首都圏という極度に電力依存度の高い都市機能を前提に、より実務的・現実的な視点からリスクを評価しています。

中央防災会議の被害想定では、電力インフラは段階的に復旧し、広域停電は数日規模で解消されるシナリオが基本となっています。これは過去の震災データや電力会社の復旧計画をベースにしたものです。しかし東京都は、算定に用いられているデータが約10年前の社会構造に基づいている点を問題視しました。2026年の東京は、2015年当時とは電力の「質」と「量」の両面で別物だからです。

観点	国の被害想定	東京都の問題提起
データ基準年	2010年代前半中心	現行の都市構造を反映していない
停電期間の想定	数日〜短期間	数週間以上の長期化リスク
電力需要の前提	従来型需要モデル	AI・EV・データセンター増加を考慮

東京都が強調するのは、クラウドサービス、キャッシュレス決済、EV充電、医療・行政のDX化などにより、停電が即座に社会機能停止へ直結する構造が出来上がっている点です。都の担当者コメントでも、電力はライフラインの一つではなく「都市機能を動かす前提条件」になったと指摘されています。これは内閣府や学術機関が示すデジタル依存社会の脆弱性分析とも一致します。

この乖離が企業に突きつけるメッセージは明確です。どちらが正しいかを判断するのではなく、想定が分かれている事実そのものがリスクだという点です。国の想定に沿ったBCPだけでは、東京都が警告する長期停電シナリオに対応できません。逆に、東京都の悲観的シナリオを前提にすれば、非常用電源、燃料調達、業務の非電化手段まで踏み込んだ検討が不可欠になります。

国と東京都で想定が分かれたことは、企業に「自社はどの前提で生き残るのか」を主体的に選ばせるための警鐘とも言えます。統一見解がないからこそ、業種・立地・事業モデルごとに最悪ケースを描き、備えを再定義する必要があります。このズレを理解せずにBCPを語ることは、2026年の首都圏リスク環境においては極めて危うい判断と言えます。

日本企業のBCP策定率とレジリエンス格差の実態

日本企業におけるBCP策定の現状を見ると、2026年時点でもその普及は限定的であり、企業間でレジリエンスの格差が明確に存在しています。帝国データバンクが2025年6月に実施した全国2万6千社超を対象とする調査によれば、BCPを「策定している」と回答した企業は20.4％にとどまりました。初めて2割を超えたとはいえ、依然として約8割の企業が未策定である事実は、日本経済全体の耐久力に直結する課題です。

特に注目すべきは、企業規模によってレジリエンスに大きな差が生じている点です。**大企業ではBCP策定率が4割近くに達している一方、中小企業では2割未満**にとどまっています。この差は一時的なものではなく、過去数年にわたり拡大傾向が続いています。

企業区分	BCP策定率	前年比
大企業	38.7％	＋1.6pt
中小企業	17.1％	＋0.6pt

この「レジリエンス・デバイド」が生まれる背景について、同調査では中小企業側の構造的制約が浮き彫りになっています。策定できない理由として最も多いのは「必要なスキルやノウハウがない」で4割超を占め、「人材を確保できない」「時間を割けない」が続きます。**リスクを認識していても、実務に落とし込めない現実**が存在しています。

さらに深刻なのは、リスク認識と実態の乖離です。損害保険業界団体の調査によれば、中小企業の約4社に1社が何らかの危機による被害を経験しているにもかかわらず、被災企業の半数以上が「備えが不十分だった」「想定以上の損害だった」と回答しています。これは、平時には危機を過小評価してしまう正常性バイアスが根強いことを示唆します。

この格差は単に個社の問題にとどまりません。中小企業は日本のサプライチェーンの大部分を担っており、**一社の機能停止が連鎖的に取引先全体へ波及するリスク**を内包しています。実際、専門家の間では「大企業のBCPが高度化しても、取引先が脆弱であれば全体最適は達成できない」との指摘がなされています。

2026年の複合危機環境において、BCP策定率の低さそのもの以上に問題なのは、このレジリエンス格差が放置されている点です。BCPはもはや個社防衛の手段ではなく、企業間の相互依存を前提とした経営インフラであり、その未整備は日本企業全体の競争力を静かに蝕んでいます。

事業停止を招くサイバー攻撃の最新トレンド

2026年におけるサイバー攻撃の最大の特徴は、被害の焦点が情報漏洩から事業停止へと明確に移行した点です。金融庁や国内外のセキュリティ専門機関の分析によれば、攻撃者の目的は金銭要求や破壊行為にとどまらず、企業の基幹業務を長期間止めること自体に価値を見出す傾向が強まっています。**システムが数日停止するだけで、売上喪失、契約違反、ブランド毀損が連鎖的に発生する構造**が、攻撃をより致命的なものにしています。

特に顕著なのが、正規アカウントの悪用を起点とした侵入です。2025年後半以降の国内インシデント分析では、VPNやファイアウォールの脆弱性よりも、フィッシングや認証情報窃取によって入手されたIDが使われる割合が増加しています。ゼロトラストを前提としない環境では、侵入後の横展開を防げず、結果として生産管理、受発注、物流連携といったコア業務が一斉に停止します。

攻撃トレンド	主な手法	事業への影響
正規ID悪用型	フィッシング、認証情報売買	基幹システム停止、全社業務麻痺
二重恐喝型ランサムウェア	暗号化＋情報公開予告	復旧遅延と信用失墜の同時発生
サプライチェーン攻撃	委託先・子会社経由侵入	自社無傷でも事業停止

また、ランサムウェアは進化し、バックアップ破壊や復旧妨害を前提とした設計が一般化しています。米国NISTや欧州ENISAの報告でも、暗号化そのものより復旧プロセスを狙う攻撃が増えていると指摘されています。**バックアップを持っているだけでは不十分で、隔離性と復旧訓練の有無が事業再開時間を左右します**。

見落とされがちなのが、サイバー攻撃と物理的リスクの同時発生です。自然災害発生直後の混乱期を狙い、監視体制が弱まった時間帯に攻撃を仕掛ける事例が実際に確認されています。BCPの観点では、IT部門だけで完結する対策ではなく、非常時の指揮命令系統、アナログ業務への切り替え、外部委託先との連絡手段まで含めた設計が不可欠です。

専門家の間では、2026年以降のサイバー対策は防御力より回復力が競争力になるとされています。攻撃を完全に防ぐ前提を捨て、**止まることを前提に、どこまで早く事業を再開できるか**を具体的に定義することが、事業停止を最小化する現実的な戦略となっています。

サプライチェーンと物流に潜む2026年型リスク

2026年のサプライチェーンと物流には、従来の「止まるリスク」だけでなく、止めざるを得なくなるリスクが顕在化しています。背景にあるのが、EUの企業持続可能性デュー・ディリジェンス指令（CSDDD）の実務影響です。ジェトロの整理によれば、2026年時点ですでにEU企業は取引先に対し、人権・環境リスクに関する詳細な情報開示や契約条項の改定を求め始めています。これに対応できない場合、災害が起きていなくても取引停止という形でサプライチェーンが断絶します。

特に見落とされがちなのが、Tier2以下の間接サプライヤーです。自社や一次取引先が問題なくても、下流で強制労働や環境破壊が発覚すれば、企業は即時の是正措置や取引解消を迫られます。これはBCPの想定外になりやすく、平時の調達体制そのものが危機対応能力を左右する時代に入ったことを意味します。

リスク要因	2026年の特徴	事業への影響
規制リスク	CSDDDによる間接適用	突発的な取引停止
物流リスク	固定契約の崩壊	コスト急騰・輸送不能
災害リスク	広域・長期化	代替ルート不足

物流面では、2024年問題後のドライバー不足に加え、燃料価格の変動や地政学リスクによる迂回輸送が常態化しています。物流専門家の分析では、2026年は「数年単位で安定する輸送コスト」という前提自体が崩れ、月次・四半期で条件が変わる流動的な物流環境が標準になるとされています。単一の物流会社やルートに依存する企業ほど、BCP上の脆弱性が高まります。

さらに深刻なのが、自然災害と物流制約が同時に起きるケースです。能登半島地震の復旧過程でも明らかになったように、道路や港湾が使えなくなると、物資や部品が「存在していても届かない」状況が発生します。これは在庫戦略の見直しを迫るもので、ジャストインタイムを極限まで突き詰めた企業ほど影響が大きくなります。

経営層に求められるのは、コスト最適化とレジリエンスを二項対立で捉えない視点です。規制対応、人権・環境配慮、物流多重化はコスト増に見えますが、事業停止という最大損失を回避するための保険でもあります。2026年のサプライチェーンは、静的な設計ではなく、変化を前提とした動的マネジメントができるかどうかで、企業の生存力に決定的な差が生まれます。

AIとデジタル技術が変える防災・危機管理の現場

AIとデジタル技術は、防災・危機管理の現場を「事後対応」から「リアルタイム判断」へと根本的に変えつつあります。2026年時点で最大の変化は、災害発生そのものよりも「情報把握の遅れ」が最大リスクと認識されるようになった点です。従来は被害確認に数時間から数日を要していましたが、現在は分単位での意思決定が求められています。

この課題に対し、AIを活用したリアルタイム防災システムが急速に社会実装されています。代表例として、Spectee ProはSNS投稿、気象データ、河川カメラ、交通情報などをAIで解析し、災害や事故を平均1分以内に検知します。内閣官房の国土強靱化年次計画2025でも、こうしたデジタル防災技術の活用が重点施策として位置付けられました。

重要なのは「情報収集」ではなく「判断に使える形での可視化」です。北海道北斗市や豊田合成の事例では、取引先拠点を地図上にマッピングし、被災エリアと重ねることで、影響を受けた可能性のある拠点を瞬時に特定しています。これにより、初動確認の人手と時間を大幅に削減できたと報告されています。

技術領域	主な機能	現場での効果
AI災害検知	SNS・映像・気象データ解析	初動対応の高速化
位置情報連動	被災エリアの自動特定	人的確認作業の削減
予測分析	被害拡大シナリオ算出	先回りした意思決定

従業員の安全確保においても、デジタル技術の役割は拡大しています。安否確認システムにSMSを組み合わせたSMS Alertは、通信輻輳時でも到達率が高い点が評価されています。2026年から本格導入が進み、位置情報と連動したピンポイント通知が可能になりました。

「誰に、いつ、どの情報を届けるか」を自動化できるかどうかが、人的被害を左右します。損保業界や危機管理専門家の分析によれば、大規模災害時の混乱は情報過多と情報不足が同時に発生することが原因とされています。AIはその整理役として機能します。

さらに注目すべきは、AIが「現在」だけでなく「数時間後」を示し始めている点です。Spectee Proの最新機能では、過去データを基に被害拡大の可能性を予測し、警戒レベルを事前に引き上げる判断を支援します。これは人間の経験や勘に依存していた領域への大きな変化です。

防災・危機管理におけるAIとデジタル技術は、万能な答えを出す存在ではありません。しかし、判断材料を圧倒的に早く、網羅的に提示することで、組織の意思決定精度を引き上げています。2026年の防災現場では、これらの技術を「使える状態で日常業務に組み込めているか」が、組織レジリエンスの差となって表れています。

中小企業でも実践できるBCP強化の現実的アプローチ

中小企業にとってBCP強化は「重要だが手が回らない課題」と捉えられがちですが、2026年時点では発想を変えることで現実的な実践が可能になっています。帝国データバンクの2025年調査では、中小企業のBCP策定率は17.1%にとどまり、最大の障壁はノウハウ不足と人的余力の欠如でした。しかし、完璧な計画を最初から目指す必要はなく、業務停止を最小化する一点突破型のBCPが有効だと専門家は指摘しています。

現実的な第一歩は、「止まると致命的な業務は何か」を1〜2個に絞り込むことです。金融庁のオールハザード型BCPの考え方によれば、災害種別ではなく、電力・人・ITといった経営資源が失われた場合の影響から整理する方が実効性が高いとされています。例えば受発注業務や請求業務など、キャッシュフローに直結する機能だけを守る簡易BCPでも、被害後の廃業確率を大きく下げられるとされています。

次に重要なのが、「お金をかけずにレジリエンスを高める選択肢」を知ることです。東京都や港区の助成制度では、クラウドバックアップや安否確認システムといった比較的低コストの対策も補助対象となっています。自治体資料によれば、クラウド化は災害だけでなくランサムウェア被害からの復旧時間を大幅に短縮する効果が確認されています。

対策項目	中小企業での現実的対応	期待できる効果
データ保全	基幹データのみクラウド保存	事業再開までの時間短縮
人の確保	最低限の代替要員を事前指定	属人化リスクの低減
連絡手段	SMS対応の安否確認導入	初動対応の迅速化

さらに、損保ジャパンの2025年調査では、実際に被害を受けた中小企業の半数以上が「想定以上の損失だった」と回答しています。これは正常性バイアスによる過小評価が原因とされており、年1回の簡易見直しだけでもBCPの実効性は大きく向上すると分析されています。分厚い計画書ではなく、A4数枚の行動マニュアルを更新するだけでも十分な意味があります。

中小企業でも実践できるBCP強化の本質は、「自社にできる範囲で、止めてはいけないものを守る」ことです。大企業と同じ水準を目指すのではなく、自社の規模と資源に即したレジリエンスを積み上げる姿勢こそが、複合危機時代における最も現実的な生存戦略となります。

参考文献

• 金融庁（紹介：ニュートン・コンサルティング）：「金融庁業務継続計画（新型インフルエンザ等対応編）」を改定
• 内閣官房：国土強靱化年次計画2025
• ジェトロ：EUの「企業持続可能性デュー・ディリジェンス指令（CSDDD）」に関する解説
• Science Portal：首都直下地震の新被害想定、死者1万8000人、経済被害82兆円超
• 帝国データバンク（オフィスのミカタ）：事業継続計画（BCP）策定企業はわずか20.4％
• BCG Japan：「2025年の崖」システム投資に失敗する理由
• PR TIMES：AIリアルタイム防災・危機管理サービス「Spectee Pro」導入事例