まず最初に自社の経営方針や内外の経営環境を整理した上で、現状の防災対策や対象とするリスク等を踏まえ、事業継続のための目的や対象範囲等の方針を設定します。

【目的】

ビジネスインパクト分析では、継続あるいは早期復旧させる重要な事業を選び、目標とする復旧時間（目標復旧時間）とその時間に達成する操業度を設定します。すなわち、ＢＣＰにおける目標を設定する作業となります。

1. 中核事業の選定
   ヒト、モノ、カネ等の経営資源が限られる非常時においては、通常行っている事業全てを維持することは困難です。そのために、まず非常時においても、継続や早期復旧の対象とする事業（中核事業）を選定します。
2. 業務プロセスの整理と重要業務及び経営資源の明確化
   次に、中核事業の業務フローを整理し、重要となる業務群（重要業務）に分解します。これらの重要業務を実施する上で必要となる経営資源や各種要素を明確にします。これらの経営資源が対策を施す具体的な対象となります。
3. 目標復旧時間の設定
   さらに、分解した重要業務が停止した場合を想定した上で、売上や利益、顧客との関係、社会的な影響等の評価項目をもとに、許容される中断時間（許容中断時間）を設定します。この許容中断時間を参考に、重要業務の目標復旧時間を設定します。 これで、ＢＣＰの目標設定が行えました。

【目的】

リスク分析は発生する被害を想定するにとどまらず、ビジネスインパクト分析によって抽出した重要業務を支える経営資源が、復旧までにどの程度の時間を要するのか（予想復旧時間）を明確にするものです。

1. リスクの洗い出し
   自社の事業を中断に至らせる思われる各種リスクを検討し、ＢＣＰで対象とするリスクを特定します。
2. 被害内容の推定
   重要業務を支える経営資源が特定した各種リスクにより、どのような被害を受けるのかを推定します。
3. 予想復旧時間の把握
   被害内容を推定した後は、被害を受けた経営資源が復旧までにどの程度の時間が必要になるのかを推定します。あわせて、復旧を阻害する要素や資源を明確にしていきます。リスク分析の重要なポイントは、経営資源が復旧する時間を推定することです。
4. 目標復旧時間と予想復旧時間の乖離の把握
   経営資源の予想復旧時間を踏まえて、重要業務が復旧する予想時間を推定します。これら、重要業務の再開に向けた「目標復旧時間」と「予想復旧時間」の乖離を把握します。この重要業務の「予想復旧時間」が「目標復旧時間」より長い場合、ＢＣＰの目標を達成することができないということになります。 このような場合、各経営資源の予想復旧時間を短縮し、目標復旧時間を達成していくための対策を具体的に検討していくことになります。

上記の2.、3.の作業を行うことで、ＢＣＰを進めるための具体的な課題を明らかにすることができます。

事業継続するための対策の基本は、「早期復旧」「代替」「停止」「縮退」があげられます。（３）のリスク分析で導きだされた結果をもとに、目標復旧時間内に重要業務を再開するため、上記４つの方法をどのように行うのかを設定します。 目標復旧時間を達成する方法は複数検討します。最終的にそれぞれの対策における費用対効果を踏まえ、どのような対策を選定するのかを決めていきます。 これらの戦略を踏まえて、建物設備の耐震化、情報システムやデータのバックアップ、サプライチェーンとの協力体制の構築、連絡通信手段の代替策の確保等、目標復旧時間内に事業再開を達成させるための具体的な実施計画を検討していきます。

非常事態における対応を進めるための体制や手順をとりまとめたもので、事業継続を実現させるための行動計画として重要となります。従来の初動マニュアル等がこれに近い計画と言えます なお、本部体制や安否確認などの情報収集、外部への情報発信方法等、対応するリスクに関わらず共通する対策に加えて、対象とするリスクによって異なる対策があります。それらに留意しながら、必要となる対策を検討、整理していくことが必要となります。なお、より詳細に内容を規定する際は行動マニュアルとして別途規定してくことが必要となります。

ＢＣＰは一度作ってしまって終わってはいけません。BCPは非常時において確実に実行される必要があるため、社内での教育訓練の実施や計画内容や各種資料は常にアップデートしておくことが必要となります。このように、BCPについては既存の社内システムと同様に、マネジメントシステムとして機能させていくことが重要となります。 そこで、教育訓練や計画内容の改善方法等をとりまとめる維持管理計画を策定します。