NEW　事業継続マネジメントシステム/セキュリティとリスクマネジメントシステムの最新規格一覧　（2020.09.21現在）

NEW

NEW

（部分）


NEW　BCMS/リスクマネジメント　構築・実践のコンサルを始めました。（2020.06.25）
　　　新型コロナウイルスの流行・パンデミックに直面し社会、今までの社会秩序、経済環境などが根本から狂い見直しを余儀なくされてきている。本来なら、これらの事象でも機能し、対処するべきであったBCMS（事業継続マネジメントシステム）やBCP(事業継続プラン）、リスクマネジメントであるが、残念ながら多くは機能を果たせないでいる。当社では、既報の通り、ISOの改訂版が出ているのに、JIS化が遅れている事や、ISO以外にも参照すべき規格・ガイドラインなどが存在する。組織（organization )のみではなく、Entity=エンティティ＝事業体・法人（※USAの全米防火協会規格、NFPA1600-2019では、

5.2.2.1リスクアセスメントの項（3） （b）感染症/伝染病/パンデミック病が載せられている。）
企業組織の力のみでなく、事業体全体が、BCMS,BCP.リスクマネジメントに取り組まなければならないことが、今回のパンデミックにより多くの人々にそれがわかってきたといえよう。今回当社は、入門編とも言うべき「BCMS/BCP/リスクマネジメント」のコンサルを開始いたしましたのでご案内いたします。ISO22301/ISO31000/JIS化されていないISO規格、のみならず、内閣府や中小企業庁のガイドライン、NFPA16000などにも幅広く触れてまいります。　　コンサル案内はこちら　　（2020.06.25）

NEW IEC 31010:2019 (改訂）第2版　国際電気標準会議 リスクマネジメント-リスクアセスメント手法発行（2020.06.17）
　JIS Q　31010-2012　リスクマネジメント−リスクアセスメント技法は、ISO/IEC31010:2009をベースに発行されていたが、その後改訂が止まっていて注目していたところ、最近の調べで、IEC 31010:2019　第2版が発行されていることが分かった。先頭のISO が消えていたので見つけにくかったわけである。なお、まだJISは発行されておらず、英語原文及び日本語訳は、JSAから販売されている。当社では、以下に英語版簡易訳により、一部を紹介する。　先に提言したように、ISO22301:2019とか、IEC31010:2019は、折しも緊急事態が続いているこの時期、早急にJIS化されることを望む。
この第2版には、第1版と比較して以下の重要な技術変更が含まれています。
1）技術の使用を計画、実装、検証、検証するプロセスの詳細。
2）技法の適用の数と範囲が増加しました。
3）ISO 31000でカバーされている概念は、この規格ではもう繰り返されていません。

目次の比較


紹介されている技法の比較


※有名な、「特性要因図」は、単に「Ishikawa(fishbone)と掲載されている。

ISO 31000 リスクマネジメントプロセスにおける手法の適用(IEC 31010:2019 図A.1)


NEW ISO 22301:2019(改訂）事業継続マネジメントシステム―要件の概要（3）　（2020.05.31）
　ISO22301第2版は、2019年10月に正式発行された.日本語対訳版はJSAより入手可能（かなり高価）であるが、JIS　Q22301-2020（?）は、2020年5月末時点では、未発行である。折しも、新コロナウイルスの流行で世界中が大混乱の中、各組織生き残りをかけて大奮闘中であり、この規格の重要性もクローズアップされてきている。こういう時期だからこそ、1日も早いJISの発行が待たれる。当社でも、私的な日本語概訳で分析して情報をお知らせしているが、以下に、第1版2012年版との大きな違いを示しておく。今回の大きな違いは、第8章にあり、
8.2.2 事業影響度分析：再構築/追記
8.2.3 リスクアセスメント：再構築/追記
8.3 事業継続戦略とソリューション(解決策)　：追記
8.4 事業継続計画及び手順：再構築/追記
8.6 事業継続文書及び能力（capabilities）の評価：追記　が大きく変わっている。　リスクアセスメントから解決策といった事業継続の中核をなすところである。

ISO本部のHPを見ていたところ、ISOは、異例ともいえるサービスで、原文（英語、仏語）ではあるが、ISO22301をプレビューでほぼ全文を無償で公開している。ISO22300：2018=定義、ISO22301:2019=要求事項,ISO22320:2018＝セキュリティと回復力—緊急マネジメント—インシデントマネジメントのガイドラインなど（2020.5月末現在）。
※https://www.iso.org/obp/ui/#home　
「Serch」のページから、規格名（例:　ISO 22301）を入れると規格一覧が出てくるので該当規格をクリックすると「preview」が表示される。


NEW 事業継続マネジメントシステムの系統図と適用範囲　（2020.04.12）
　事業継続マネジメントシステムの系統をたどると、日本の、事業継続ガイドライン，中央防災会議，内閣府，日本政府，2005 年や、事業継続計画策定ガイドライン，経済産業省，2005 年が参考規格として重要な役割を占めていることがわかる。現在は、国際規格では、ISO23301として各国で採用されているが、国によっては、独自のBCMS,ガイドラインを用意しているところもある。日本の上記二つのガイドラインは、それぞれ改訂しながら継続している。当社編集による、BCMSの系統図を以下に示す。また、それぞれの規格の適用範囲も調べたが、ISOも、日本のガイドラインも、基本的に民間組織の事業継続となっていて、例外は、USA/全米防火協会のNFPA1600である。NFPA1600は、「公的、私的、非営利および非政府機関に適用される」と明記されている。またNFPA:2019最新版ではリスクアセスメントで、「感染症/伝染病/パンデミック病」まで書かれていて、極めて詳細、実務的である。
　しかし、現在の大災害「新型コロナウイルス」には、事業継続の面でいずれの規格も有効性が示されていないように思われる。今後、「新型コロナウイルス」の問題を検証し、規格の在り方検討が必要となるであろう。

　（2020.03.27）
ISO22301 事業継続マネジメントシステム―要求事項は、2019年10月に改訂されました。また、そのガイダンスというべき、ISO22313セキュリティとレジリエンス（回復力 ）-ガイダンスは、2020年2月に改訂されました。ISの改訂版は、2020年3月27日現在出版されていない。ISO22301：2019 の英文と日本語訳、及び、ISO22313：2020の英文は JSAより入手できる。

NEW ISO22313:2020 セキュリティと回復力(レジリエンス）-事業継続マネジメントシステム-ISO22301使用に関するガイダンス　　概要　（2020.03.27）
（原文より抜粋＝当社仮訳）
ガイダンスの意図は、ISO22301の要求事項の意味と目的を説明し、明確にし、解釈の問題の解決を支援することである。これらの文書の範囲は、ISO22301の要求事項を超えることがある。したがって、組織は、満たすべき要求事項を確認するために、常にISO22301を参照することが望ましい。 前版と比較した主な変更点は以下の通りである。
- この文書を ISO22301 の最新版と整合させるために、構造と内容を変更した。
- 重要な概念と用語を説明するためのガイダンスを追加した。
- ISO/TS 22332（開発中）に含まれる予定の8.4から内容を削除した。

0.6　中断・阻害は、組織全体の業務と製品やサービスを提供する力量を中断させる可能性がある。しかし、中断が発生する前に BCMS を導入することで、インシデント発生後に無計画に対応するのではなく、組織は、許容できないレベルの影響が発生する前に業務を再開することが可能になる。

事業継続管理には、次のことが含まれる。

a) 組織の製品やサービス、そしてそれらを提供する活動を特定する。

b) 活動を再開しないことによる影響と、その活動に依存しているリソースを分析する。

c) 事業中断のリスクを理解する。

d) 製品やサービスの提供を再開するための優先順位、時間枠、力量、戦略を決定する。

e) 途絶後、必要な時間枠内に活動を再開するための解決策と計画を用意すること。

f) あらゆる状況下で効果を発揮するように、これらの手配が定期的に見直され、更新されていることを確認すること。 

事業継続管理に対する組織のアプローチ及びその文書化された情報は、その文脈（例えば、事業環境、複雑性、ニーズ、リソー ス）に応じて適切であるべきである。

事業継続は、突然の中断・阻害（例：爆発）と漸進的なもの（例：パンデミック）の両方に対処する上で有効である。

NEW ISO31000:2019 リスクマネジメント－指針　概要　（2010.03.27）
ガイダンスの狙い：（序文）この規格は，リスクのマネジメントを行い，意思を決定し，目的の設定及び達成を行い，並びにパフォーマンスの改善のために，組織における価値を創造し保護する人々が使用するためのものである。
あらゆる業態及び規模の組織は，自らの目的達成の成否を不確かにする外部及び内部の要素並びに影響力に直面している。
リスクマネジメントは，反復して行うものであり，戦略の決定，目的の達成及び十分な情報に基づいた決定に当たって組織を支援する。
リスクマネジメントは，組織統治及びリーダーシップの一部であり，あらゆるレベルで組織のマネジメントを行うことの基礎となる。リスクマネジメントは，マネジメントシステムの改善に寄与する。
リスクマネジメントは，組織に関連する全ての活動の一部であり，ステークホルダとのやり取りを含む。
リスクマジメントは，人間の行動及び文化的要素を含めた組織の外部及び内部の状況を考慮するものである。
リスクマネジメントは，図1 に示すように，この規格に記載する原則，枠組み及びプロセスに基づいて行われる。これらの構成要素は，組織の中にその全て又は一部が既に存在することもあるが，リスクマネジメントが効率的に，効果的に，かつ，一貫性をもって行われるようにするためには，それらを適応又は改善する必要がある場合もある。
　　　　

ISO22301:2019 セキュリティと回復力(レジリエンス）-事業継続マネジメントシステム- 要件　概要（2）
　（2020.03.27）
この規格は、中断・阻害が発生した場合に、その発生から保護し、発生の可能性を低減し、準備し、対応し、復旧するため のマネジメントシステムを実装し、維持し、改善するための要求事項を規定するものである。 この規格の適合性の実証は、「自己宣言」でも「顧客による確認」でも「第3者認証」でも可能である。
第1版（2012年）に比べて主な変更点は以下の通りである。（原文より抜粋＝当社仮訳）

　- 2012年以降に進化したマネジメントシステム規格に対するISOの要求事項が適用されている。

 - 要求事項が明確化され、新しい要求事項は追加されていません。

 - 分野固有の事業継続性要求事項は、現在ではほぼすべて第8節の中に含まれている。

 - 第8節は、主要要件の理解をより明確にするために再構成された。

注意すべき点は、「8.2.3　リスクアセスメント」において、組織は、リスクアセスメントプロセスを実施し、維持しなければならない。とあるが、「注：リスクアセスメントのプロセスは、ISO 31000 に記載されている。」とあるので実質、ISO31000を適用を考慮しなければならない点である。

　f）中断・阻害の詳細、実行されたアクション、および行われた決定を記録する。
などがあげられる。

ISO 22301:2019（事業継続マネジメントシステム－要求事項）発行　（2019.12.22）
BCMS適合性評価制度の適用規格であるISO 22301:2012が改訂され、2019年10月 にISO 22301:2019として発行されました。
　これに伴い、JIS Q 22301:2013(ISO 22301:2012)の認証取得組織は、 ISO 22301:2019への移行が必要になります。
１．認証の移行について
移行期間は、規格発行月の月末(2019年10月31日)を開始日とし、それから3年間(2022年10月30日まで)です。
JIS Q 22301:2013(ISO 22301:2012)による初回審査及び再認証審査が行えるのは、 移行期間の開始(2019年10月31日)から18ヶ月以内です。
　　　一般社団法人情報マネジメントシステム認定センター (ISMS-AC) HPより

IATF16949:2016 公式解釈集による実質改訂情報　(2019.10最新版)

3）機能解析、が強化され、いずれも「３D構造」となっている。
  1）計画と準備：プロジェクト計画、ベースラインFMEAの初期範囲と使用
  2）構造解析：視覚的描写、インタフェースの識別および 顧客 - サプライヤ間のコミュニケーション
  3）機能解析：機能および機能を満たすための関連要件/特性
  4）故障解析：「故障連鎖」の確立 - 故障モード、影響および原因
  5）リスク解析：予防および検出管理策の割り当て、S-O-D評価の割り当て、および行動の優先順位(AP)付け
  6）最適化：リスク軽減活動
  7）結果の文書化：実施された行動とその有効性、残存リスクおよび管理の要約
その他のトップレベルの変更：
 ・データ列数の大幅な追加を含む、より規範的なリスク解析フォーム:3D構造となった結果、フォームがスプレッドシートには収まりにくくなって、FMEAフォームの再構築が必要であろう。
 ・設計およびプロセスFMEA解析のための重大度、発生および検出指数の新しい定義
 ・相対リスクを分類するための「行動優先度(AP)」と呼ばれる新しい複合指標の使用：今までのRPNやS×O方式はもはや掲載されておらず、新たに「行動優先（AP)｣が紹介されている。所謂「マトリクス方式」(下記参考掲載)である。
 ・「モニタリングとシステムの対応」のリスク解析のための新しい補足設計FMEAの導入。(FMEA-MSR)が第4章に追加された。
尚、故障モードの定義は変わっていませんので、「JIS Z 8115の定義(故障状態の形式による分類。例えば，断線，短絡，折損，摩耗，特性の劣化など。)ではなく、「（DFMEAの定義)故障モードは、アイテムが意図した機能を満たすことまたは提供することに故障する可能性がある方法として定義されます(第1版)」、「（PFMEAの定義）故障モードは、プロセスが製品に意図した機能を提供または提供させない原因となる可能性がある方法」の使用が望まれます。