危機管理体制図の作り方｜企業で必要な項目と設計手順を確認

危機管理体制図（指揮命令系統・連絡フロー図）を危機管理マニュアルやBCPの改訂に合わせて作ろうとしても、平時の組織図を写すだけでは有事に「誰が決めて、誰が動くか」が曖昧になりがちです。とくに常設のリスク管理委員会と、有事に立ち上げる緊急対策本部の区別が付かないままだと、参加者過多や対外発信の統制崩れにつながり、初動が遅れます。放置すると、安否確認の「下から上へ」の集約や、説明責任者を1名に限定するといった運用上の要点が図に落ちず、訓練や見直しでも改善点が特定しにくくなります。本稿では、体制図の基本構造から作成手順、危機類型別の設計、運用・見直しの要点までを順に整理します。

危機管理体制図の役割

危機管理体制図とは何か

危機管理体制図は、災害・事故・不祥事・サイバー事故などの緊急時に、意思決定と情報伝達を止めないための指揮命令系統（誰が決め、誰が動き、誰が報告するか）を可視化した図です。平時の組織図（職能別の分掌）をそのまま使うのではなく、危機時に必要な機能だけを抜き出し、連絡・報告・指揮を最短化するのが目的です。

参照しやすい体制図にするには、危機対応の「3つの柱」のうち1柱目（危機対応組織）として、常設のリスク管理委員会と、有事に立ち上げる緊急対策本部を区別して描くことが実務上有効です。リスク管理委員会はリスクと危機対応全体を管理する常設組織で、通常は代表取締役（社長または会長）が委員長を務め、全役員・全部署・関連会社の代表が参加する形が想定されます。緊急対策本部は、発生した危機に直接対応する一時的組織として、トップは社長が務め、リスク管理室・法務・総務・広報に加え、当該危機に直接関係する部署の役員・社員に絞って編成します。

体制図には、対外説明の一貫性を確保するための危機管理広報体制（広報部門の役割）も、少なくとも「誰が社外発信の統制をするか（窓口の一本化）」として明記しておくと、情報の錯綜を抑えられます。

マニュアルとBCPの違い

危機管理マニュアルとBCP（事業継続計画）は、同じ「危機対応」でも狙うゴールと対象期間が異なります。危機管理マニュアルは、被害を局限するための平時準備事項と、緊急時に対策本部を中心に組織的活動を適切に行うための活動要領を定めるものです。一方BCPは、緊急時でも重要業務を継続し、中断した場合でも可能な限り短期間で再開するために、平時の準備事項と危機時の業務基準をあらかじめ定める色彩が強い計画です。

参照可能な定義としては、BCPは「危機の発生により、従業員、建物・施設・設備等の経営資源が被害を受けても、事業活動上最も重要な機能を継続または短期間で再開できるように、事前の準備・対応・取決め（予想される危機対応業務を含む）を規定化するもの」と整理できます。

危機管理の基本方針

基本方針と目的を定める

危機管理体制図は、図の前提として「何を優先して守るか」という危機対応の基本方針が定まっていないと機能しません。基本方針が曖昧だと、同じ体制図でも班ごとに判断基準がズレ、初動の優先順位（止血か、対外発信か、復旧か）が揃わなくなります。

参照される目的例として、危機対応の目的を少なくとも次の3点に整理しておくと、体制図の班設計（安否、設備、供給、受発注など）に落とし込みやすくなります。

また、BCP側の目標（何をどの水準で維持するか）を、体制図の「復旧・事業継続」機能に接続するのが実務的です。参照される目標例では、製品A・製品Bの生産量80%の確保、原材料・部品等の仕入ルート確保、受発注業務の継続が挙げられており、これらを「誰が判断し、誰が調整し、誰が取引先連絡をするか」まで体制図の箱に割り当てると、BCPが机上の計画で終わりにくくなります。

リスク洗い出しを反映する

体制図は、一般論ではなく、自社の「リスクの洗い出し」と優先順位付けを反映して設計する必要があります。想定しない危機は、体制図上の担当（情報収集、分析、通知、対外連絡、現場復旧など）が空白になりやすく、有事に「誰がやるのか」で止まります。

特に情報セキュリティ領域では、平時からの役割関連（情報収集→統制→通知→内外発信）を意識して体制図に落とすと実務が回ります。参照される役割の流れでは、社外から脆弱性情報を入手する担当（PoC）から統制担当（コマンダー）へ情報伝達し、インシデントマネージャーや分析担当（リサーチャー、キュレーター）へ確認依頼を回し、必要なら通知担当（ノーティフィケーション担当）が対象システムへ情報発信・対応依頼を行う、といった整理が示されています。このような「情報の入口・統制・分析・通知」を、少なくとも箱と矢印で表現しておくことが、サイバー事故での初動遅延を防ぎます。

全社共通図と危機類型別の個別図を分ける判断基準

危機管理体制図は、(1)どの危機でも起動する全社共通図と、(2)危機の性質により要員・権限・対外窓口が変わる危機類型別の個別図を使い分ける設計が現実的です。単一の体制図に全てを詰め込むと、参加者が過多になり、緊急対策本部が意思決定できない会議体になりやすいです。

参照される危機対応組織の考え方では、常設のリスク管理委員会（全役員・全部署・関連会社の代表が参加）に対し、緊急対策本部は当該危機に直接関係する部署の役員・社員だけが参加する設計が想定されています。この「常設は広く、緊急は絞る」という基準を体制図にも反映させると、全社共通図（委員会・事務局）と、危機別個別図（災害、情報事故、不祥事など）の切り分けが明確になります。

危機管理体制の基本構造

平時と緊急時の指揮命令系統

体制図の核は、緊急時に意思決定と指揮命令が一本化されるように描くことです。平時の稟議・合議を前提にすると、有事の初動で「誰の指示で動くのか」が曖昧になり、現場と本部の判断が分裂します。

参照される危機対応組織の整理に沿えば、平時はリスク管理委員会が全体統括（方針、教育、体制整備、改善）を担い、有事は緊急対策本部が直接対応（現場統制、対外対応、復旧判断）を担う二層構造が分かりやすいです。加えて、リスク管理担当役員の下にリスク管理室が置かれる場合は、平時の事務局と日常の危機管理業務を担当し、リスク管理室がない場合は経営企画またはCSR部門に事務局が置かれることが多い、という実務上の配置も体制図の注記に向きます。

業務分担と責任を明確にする

有事は時間がなく、個々の善意に依存すると抜け漏れが出ます。そのため体制図は、箱の配置だけでなく、誰が何の責任を持つかが読み取れる必要があります。実務で多い失敗は、リーダー箱に複数名が併記され、責任範囲が不明確になって「誰も最終責任を取りにいかない」状態になることです。

この観点では、RACI（実行責任・説明責任・相談先・報告先）で役割を整理し、少なくとも重要タスク（安否、対外発信、復旧判断、行政対応、顧客対応）については説明責任者を必ず1名に限定して体制図または補助資料に落とすのが実務的です。

責任者不在でも止まらない代行順位と権限委任の描き方

体制図は、責任者が不在・被災・連絡不能でも止まらない設計である必要があります。実務では、代行順位が文章に埋もれると、初動で参照されません。

権限委任の考え方自体は危機種別で異なりますが、少なくとも体制図上は「本部長不在時の代行ライン」と「現場が即断できる領域」を分けて見せると運用しやすいです。また、参照される実務論点として「委任」「受任」といった意思決定要領の整備が挙げられており、体制図の注記に「どの判断をどの役職が受任するか（現場統制、対外連絡、復旧着手等）」を置く設計が有効です。

危機別の体制図設計

自然災害と事故の体制パターン

自然災害や設備事故では、安全確保と被害局限が中心タスクになります。体制図は、現場の即応（救助・応急手当・二次災害防止）を回せるよう、現地指揮と本部統制の関係が一目で分かる構造が望ましいです。

参照される緊急時の業務要素として、自然災害・事故では少なくとも次の活動が核になります。

また、安否情報は混乱下で正確に把握しにくいため、安否確認は「下から上へ」の情報伝達を基本に要領化する、という整理が示されています。体制図にも、現場・従業員から部門責任者を経由して本部に集約するボトムアップの矢印を必ず描き、報告の入口が迷子にならないようにします。

不祥事と感染症の体制パターン

不祥事や感染症では、物理的被害よりも、情報の錯綜・法的評価の遅れ・社内統制不全が損失を拡大させやすいです。そのため体制図は、管理部門中心で「事実確認→評価→対外発信→収束・再発防止」の流れが詰まらないように設計します。

感染症対応では、事業者に求められる配慮として「感染症と安全配慮義務」という論点があり、健康・就労に関する判断（出社停止、衛生措置、業務配置等）を誰が決め、誰が周知し、誰が記録するかを体制図上で明確にします。不祥事対応では、「類型別不正・不祥事への初動対応」を前提に、法務・コンプライアンス・広報の連携を太線で結び、社外説明の窓口を一本化します。

さらに、危機管理広報の実務では、危機管理広報マニュアルに「危機管理広報対応方針」をまとめ、運用として収束活動や教育・訓練、見直し・改訂、イメージ回復への取り組みまで含めて管理する整理が示されています。体制図はあくまで「誰が統制するか」を示す図ですが、広報統制の箱に「方針策定・収束・教育訓練・改訂の主管」を紐づけると、マニュアルと分断しにくくなります。

情報漏えい・サイバー事故で法務広報ITをどの段階で同列化するか

サイバー事故では、技術対応だけでなく、法的評価・通知・対外説明が並走します。そのため体制図は、検知直後からIT・法務・広報を同列に置き、統制担当の下で同時に動ける構造にしておくのが実務上安全です。

参照されるCSIRT等の役割整理（表2-2）には、少なくとも次のような役割が示されており、体制図の箱として転用しやすいです。

また、平常時の役割関連の流れとして「PoC→コマンダー→インシデントマネージャー→通知担当」といった情報伝達・判断のパスが示されているため、体制図に矢印として落とし込み、検知から通知までの渋滞点を減らします。

危機管理体制図の作成手順

関係者を洗い出して責任者を置く

体制図作成の最初の作業は、関係者（社内外）を洗い出し、最終責任者を置くことです。緊急時に「誰が責任者か」が不明だと、報告が滞留し、対外対応の統制も崩れます。

参照される危機対応組織の前提に沿うと、平時はリスク管理委員会として全役員・全部署・関連会社の代表を巻き込み、有事の緊急対策本部は法務・総務・広報・リスク管理室等に、当該危機に直接関係する部署だけを加えて編成する、という「広く整備して、緊急で絞る」設計が作りやすいです。

連絡フローと緊急連絡網を描く

体制図は組織の箱だけでは足りず、連絡フロー（矢印）と緊急連絡網がセットで必要です。緊急連絡網は作成して終わりではなく、随時更新されなければ実務で機能しません。

参照される整理では、緊急連絡網は「部署別（通常の組織）」または「地域別」があり、会社規模が大きくなるほど部署別の緊急連絡網が機能的とされています。また、緊急連絡網には、社内だけでなく、病院・診療所等の所在地・連絡先をあらかじめ把握して周知することが挙げられています。体制図（または体制図の付表）に「救護・搬送先の参照先」を載せると、現場判断が速くなります。

さらに、安否確認については「下から上へ」の情報伝達が基本とされているため、連絡フローもトップダウンだけでなく、ボトムアップの集約経路を必ず描きます。

経営・総務・人事・法務・現場で誰がいつ何を確認するか

危機時は、事実確認が遅れるほど誤判断が増えます。そのため体制図（または体制図に紐づく指示書）には、経営・総務・人事・法務・現場が「いつ」「何を」確認するかを、最低限のチェック項目として揃えます。

参照される初期的な事実確認の要点として、安否情報の把握は困難であり、安否確認システムの有無にかかわらず従業員一人一人の積極的な報告が基本であること、そして安否確認は「下から上へ」の情報伝達方法を用いるべきことが示されています。したがって、現場・従業員の報告起点を明確にし、誰が集約・未報告フォロー・本部報告を担うかを体制図の業務として割り当てます。

また、BCPの記載要素として「重要業務の継続に必要な経営資源（人・もの・金・サービス・情報等）を事前に想定・準備する」ことが示されているため、確認項目も「人的稼働（出社可否）」「設備」「資材・物流」「資金」「情報システム」まで含めて横串で持つ設計が実務的です。

危機管理体制図の運用

訓練で体制図の有効性を確かめる

体制図は作成しただけでは機能せず、訓練で「動くか」を検証して初めて実務ツールになります。参照される整理では、演習・訓練は使用ツールによって分類され、例えば地図・図版型（Map Maneuver）として、火災、交通路遮断、避難民移動等を地図上で表示して検討する方法が示され、DIG（Disaster Imagination Game）もこの技法を応用したものとされています。また、コンピュータ型（Computer Based Simulation Training）として、地図・図版型をコンピュータで再現し、状況の現示や対応過程の再現を効率的・効果的かつ安全に体験できる特徴が示されています。

体制図の検証としては、訓練の種類を固定せず、体制図の弱点（連絡集中、代行発動、対外発信の統制など）に合わせて訓練方法を選ぶのが合理的です。

見直し時期と更新ルールを決める

危機管理は、策定した瞬間から陳腐化が始まるため、継続的改善が前提です。参照される整理では、多くの企業で災害対策マニュアル等が策定された後、改訂されず形骸化した例が多いことが指摘され、リスクマネジメントでは訓練・監査・経営層の見直し等により問題点・改善点・検討点を洗い出し、フィードバックしてより良い体制にする継続的改善のシステム作りが重要とされています。

また、具体的な実践例として、定期的なリスクの発見・評価（新しいリスクの発見にも有効）、被害想定等の見直し、マニュアル等の継続的改善、シミュレーション訓練等の実施が挙げられています。体制図もこの改善サイクルの対象とし、「どのイベントで更新するか」をルールとして文章化し、最新版が参照される状態を作ります。

組織図どおりに作って機能しない会社の典型的なつまずき方

平時の組織図をそのまま危機管理体制図に転用すると、危機時に必要な機能（統制、報告、通知、対外発信など）が抜けたり、責任が曖昧になったりします。参照される実務上の指摘として、責任の所在が曖昧なケースが非常に多く、体制図のリーダー箱に複数名が書かれていたり、箱や名前が並列に置かれて責任範囲が分からない状態になりがちで、その結果、積極的に責任を取る人が現れにくく、責任感のない運営になりやすいとされています。

したがって、危機管理体制図は「平時の偉い順」を描くのではなく、危機時のタスクを起点に、最終責任者を1名に特定し、必要な機能を過不足なく配置するのが基本です。

よくある質問

危機管理体制図は会社の規模でどこまで細かく作るべきですか？

体制図の細かさは、人数規模だけで決めるのではなく、「危機対応に必要な機能を回せるか」「緊急連絡網が機能するか」で決めるのが実務的です。参照される整理では、会社規模が大きくなるほど、緊急連絡網は部署別（通常の組織）によるものが機能的とされています。したがって、拠点・部署が多い企業ほど、部署別の連絡網と体制図を整合させ、情報の入口と出口（誰が集約し、誰が社外に出すか）を揃えると運用負荷が下がります。

また、サイバー領域では兼務可能な役割（表2-2で☆が付く役割がある）も示されているため、人数の限られる企業は「兼務可の箱」を明示し、過負荷の集中を事前に認識できる形にしておくと安全です。

危機管理体制図と組織図は別に作成する必要がありますか？

はい、別に作成する必要があります。危機管理体制図は、危機時に必要な機能（統制、報告、通知、対外発信、救護など）を起点に設計され、平時の分掌とは一致しません。

参照される危機対応組織の整理でも、平時はリスク管理委員会として全社・関連会社まで含めて広く関与し、有事は緊急対策本部として危機に直接関係する部署に絞る、とされています。つまり、平時の組織図は全体最適の運営図であるのに対し、危機管理体制図は「絞って動く」ための実働図であり、同一にすると目的が衝突します。

危機管理体制図の整備は法令上義務づけられているのでしょうか？

危機管理体制図そのものの作成を一律に直接義務づける条文は、一般論としては整理が難しい一方で、企業には従業員の安全配慮義務が問題となり得ます。安全配慮義務は、労働契約上の義務として整理され、危機時の安全確保（避難誘導、救護、二次災害防止、安否把握等）の準備が不十分な場合、紛争リスクが高まります（労働契約法第5条）。

また、取締役には善管注意義務があり、リスク管理・危機対応体制の整備を全く行わないことが、結果として会社に損害を与えた場合の論点になり得ます（会社法第330条、民法第644条）。体制図は単体で完結する書類ではなく、マニュアル・BCP・広報方針・訓練・見直しと連動して初めて「合理的な管理」を説明しやすくなります。

複数拠点やグループ会社の体制図はどう描けばよいですか？

複数拠点・グループ会社を持つ場合は、平時の統制（グループ管理）と、有事の情報集約・指揮命令をつなぐ設計が必要です。参照される回答例では、親会社が子会社の独自性を尊重しつつ、企業グループにおける業務の適正を確保するための体制として、各子会社の規程と別個にグループ管理規程を策定し、親会社にグループ統轄本部を設置し、親会社の各部署と子会社関連部署との連携体制、グループ各社からの情報集約体制を整備する、という整理が示されています。

この考え方を体制図に落とすと、少なくとも「グループ統轄本部（司令塔）」「各社・各拠点の対策本部（自律対応）」「情報集約ルート（平時と緊急の双方）」を矢印で明確化し、どの情報がどこに集まり、どこから全体判断が出るのかを迷わせない構造にするのが実務的です。

危機管理体制図への対応で次にすべきこと

危機管理体制図は、常設のリスク管理委員会と有事の緊急対策本部を区別しつつ、指揮命令の一本化と対外発信の統制までを「箱と矢印」で示すことが出発点になります。作成時は、最終責任者を1名に限定する（RACIの説明責任者を明確化する）ことと、安否確認を「下から上へ」集約する連絡フローを外さないことが、運用上のつまずきを減らします。BCPの目標（例：製品A・製品Bの生産量80%の確保）と体制図の復旧・事業継続機能を結び付けると、判断や調整の担当が明確になりやすいです。次のアクションとしては、全社共通図と危機類型別の個別図に分ける範囲を決めたうえで、訓練で連絡集中や代行発動が実際に回るかを確認し、見直し・改訂ルールに接続します。法的評価や個別事情が絡む場面（不祥事・サイバー事故・感染症等）は、法務や顧問弁護士等の相談先を体制図上でも分けて示し、個別の判断は専門家と検討する前提で整備します。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ