最高レジリエンス責任者を設置すべき理由
Artur Debat/Getty Images
サマリー：企業を襲う障害は、単一システムに留まらず、組織全体へ連鎖して被害を拡大させる。機能や組織を横断して復旧を統括する責任者の不在が多くの企業において課題となっている。そこで、全社のレジリエンスを担うチーフ・レジリエンス・オフィサー（CResO）設置の重要性が高まっている。本稿では、CResOの具体的な役割や各企業の先進的な導入事例、設置による投資対効果について詳しく解説する。

突然の危機に襲われた時、システム復旧の責任は誰が負うべきか

　現代の企業がディスラプションに襲われた場合、最初の事象そのものより、関連するシステム全体に障害が波及することによって生じる被害のほうが大きい。技術的な不具合でデジタルインフラがダウンする。それによって業務が停止し、製品やサービスの提供が遅れ、顧客が混乱する。続いて金銭的損失や規制上の影響が生じる。個々の障害は特定のシステムで発生しても、その影響は組織全体に広がる。

　2024年7月に発生したCrowdStrikeのソフトウェア障害は、この問題を鮮明に浮き彫りにした。CrowdStrikeのソフトウェア、Falconの定期更新が、世界中の航空会社、病院、物流システムに連鎖的な障害を引き起こし、推定850万台のマイクロソフトデバイスに影響を与え、多額の金銭的損失をもたらした。個々の技術チームは影響を受けたシステムを復旧させたが、復旧状況は不均一で長期化した。問題は単に障害の原因を特定することではなく、オペレーション、技術、組織の境界を越えて復旧の調整を行うことにあった。組織の重要機能を「統合されたシステム」として復旧させる責任を負う幹部が一人もいなかったのだ。

　この空白は、多くの組織に見られる構造を反映している。リスク担当は脅威、エクスポージャー、コンプライアンスを評価し、セキュリティ担当はデジタルインフラを保護し、オペレーション担当は通常時のパフォーマンスを確保し、戦略担当は長期的な成長に注力し、サステナビリティ担当は環境や規制への依存に対処する。それぞれが不可欠な役割を果たしている。しかし、企業のレジリエンス──つまり、障害が複数のシステムに同時に影響を及ぼした際にも企業の機能が稼働し続けることを保証すること、あるいは機能横断的に障害が連鎖した際のエンドツーエンドの復旧を調整すること──に対する責任を負う者はいない。

　そのため、チーフ・レジリエンス・オフィサー（CResO）やそれに相当する経営幹部職を設置する企業が増えている。この役割は、レジリエンスが単なるオペレーション上や技術上の問題ではないという認識を反映している。それは、組織が重要な機能を迅速に復旧させ、悪条件下でも業務を継続できるかどうかを決定づける、ガバナンス機能である。

多くの組織内に存在するガバナンスの空白

　ほとんどの企業は、すでに広範なリスク管理、事業継続、セキュリティの体制を備えている。しかし、これらの体制はサイロ化されている場合が多い。

・脅威、エクスポージャー、および影響を評価するリスクチーム
・インフラを保護するセキュリティチーム
・処理能力と信頼性を維持するオペレーションチーム
・計画を策定し、施策を実施する事業継続チーム

　各部門はそれぞれの領域内では効果的に機能するかもしれない。だが、組織的なディスラプションが生じると、この分断されたアプローチの限界が露呈する。レジリエンスが機能しないのは、組織に専門知識が欠けているからではなく、責任が広く分散している一方で、組織全体の復旧と適応を調整する権限がどこにも集中していないためだ。

　この統合の課題に直接対処するのがCResOである。この役職は既存のリーダーに取って代わるものではない。目的は、レジリエンスを独立した活動の寄せ集めではなく、組織全体のケイパビリティとして管理することである。実際の職務は、組織全体のレジリエンス基準の設定、部門間における復旧目標の整合、CEOや取締役会へのパフォーマンス報告などである。

企業におけるこの役職の導入状況

　業務上および戦略上の課題に対応するため、レジリエンスを担う経営幹部職を正式に確立した企業はいくつかある。