レジリエンスを高める文化

本稿は、2023 年 9 月 5 日に AWS Cloud Enterprise Strategy Blog で公開された “A Culture of Resilience” を翻訳したものです。

※訳者注：本ブログにおいての「レジリエンス」とは「困難を乗り越え回復する力」を意味しています。

レジリエンスを計画することはに厄介さがあリます。

一方では、それが必要であることもわかっています。COVID　(訳者注：新型コロナウィルス) のパンデミックから学んだことは、予期せぬ大混乱が起こり得ること、そして、それは必ず起こるということです。そして、そうした混乱は、テクノロジーだけでなく、場合によっては、 ビジネスプロセス、人材、コミュニケーション、さらには需給と供給という基本的な市場特性までも巻き込むことになります。さらに、運河の航路を塞ぐ船、ランサムウェアによる機能停止、工場の火災など、小規模な (あるいは小規模に見える)　混乱もあります。

次の破滅的な出来事は、まったく異なる種類のパンデミックかもしれませんし、あるいは、パンデミックではないかもしれません。地球温暖化、戦争、貿易戦争、あるいはゾンビによる黙示録の結果かもしれないのです。レジリエンスとは、これらのいずれかを想定して計画を立てることではなく、あらゆる未知の混乱、あるいは、少なくとも極めて広範な可能性に対処できるレジリエンスを構築することなのです。今日、大小の様々な混乱や破壊が発生するペースが速くなっていることを考えれば、われわれは、すべての行動にレジリエンスを設計しなければならないことがわかります。私たちはこのことを理解しており、今日、確かに不可能な目標に近づくためのツールを手にしているのです。

しかし、レジリエンスへの投資をどのように正当化するのでしょうか？　私は最近、優先順位に関するブログ記事を投稿しましたが、その中で、投資の優先順位をランク付けし、その上位の一部だけを選んで実行することには問題があることを示そうとしました。機能的な優先事項、つまり、企業が事業を継続するために、あるいは収益が増加するような方法で成長し、改善するために必要な事項のリストは、常に多くのことが記載され過ぎています。ガバナンスプロセスでは、IT業務に対する需要が常に供給より多いのは当然のことになります。そのため、期待されるリターンに基づいて優先順位をつけなければなりません。

正直に言えば、レジリエンス　(またはアジリティ)　への投資から「リターン」は得られないのです。ただし、リターンを得られる可能性はあリます。なぜなら、破壊的な出来事や予期せぬ大混乱が発生する確率と、それらが発生した場合にレジリエンスが維持するビジネス価値　(災害が発生した場合の収益への増分)　を掛け合わせるからです。しかし、私が言及しているのは、本当に予期しない混乱、つまり確率を合理的に割り当てることができない混乱に備えた設計のことなのです。つまり、一般的な原則や長期の戦略として、レジリエンスを組み込むということなのです。では、優先順位のどこにレジリエンスが位置づけられるかは、どのように判断すればよいのでしょうか？

私は、レジリエンスを計画する際に、実はもっと深い問題があると考えています。今日の企業はデータ主導型であり、定量化可能な目標とその目標に対する測定に重点を置いています。従業員には、具体的な目標を達成するためのインセンティブが付与され、少なくともそれらにより動機付けられています。ほとんどの場合、それらの目標は収益性の成長に沿ったものです。レジリエンスを高めるために従業員の目標を設定する企業があるのでしょうか？　そして、その目標が従業員の行動を牽引することも分かっています。だからこそ、最初に目標を設定するのです。

もう 1 つの問題は、レガシーシステムにレジリエンスを追加することは、過去に間違ったことが行われていたことを認めているように思えることです。そもそも、なぜシステムが回復力を持つように構築されていなかったのでしょうか？　誰がしくじったのでしょうか？　すでに完成しているものに、なぜ、突然さらなる出費を強いられるのでしょうか？

レジリエンスのメリットは長期的に現れるものですが、企業は短期的に結果を出すよう強く動機付けられています。短期的には、レジリエンスへの投資の効果は、キャッシュアウトするにつれておそらくマイナスになっていくと思われますが、経済の基礎的条件は変わりません。レジリエンスへの投資は守りの投資なのです。

確かに、経営者や従業員は、レジリエンスを確保しないことで、個人的なリスクを負うことになるかもしれません。しかし、一般に、人々はリスクをうまく管理したり評価できません。そして、そのリスクは実際には個人的なものではない可能性が高いのです。物事がうまくいかなくなったとき、それは避けられない予期せぬ状況、つまり予測できなかった稀な要因の組み合わせのせいにされるでしょう。

要するに、レジリエンスを阻む唯一のものは、コーポレート・ガバナンスと人間のモチベーションについて私たちが知っているすべての知識なのです。

大げさな表現になってしまいました。レジリエンスに投資を行う方法はあるのです。ただ、優先順位をつけるプロセスについて、少し違った考え方をすればよいのです。

私は、レジリエンスを品質の一側面と考えたいと思います。　IT の黎明期には、レジリエンスに対する基準やニーズが低かったため、真にレジリエンスがない　IT 機能を提供することも容認されていました。しかし、現在ではそうではありません。セキュリティの脆弱性や不十分なスケーリング機能を持つ IT 機能を提供することが容認されなくなったように、小規模もしくは大規模の障害に耐えられないシステムを提供することも、もはや容認されなくなりました。この場合、レジリエンスのコストは、単に新しい IT 機能の提供に組み込まれるだけなのです。私たちの品質水準は単純に上がったのです。レジリエンスは、もはや機能的な優先事項とともに優先されなければならないプロジェクトではなくなりました。

そして、レジリエンスは文化的な問題となります。レジリエンスの文化とは、すべての人がレジリエンスを自分の仕事の一部とし、レジリエンスのないものは品質が低いとみなし、潜在的な故障状態に集団で対処し、それを緩和するために努力することです。レジリエンスは、目標というよりも、物事の進め方に関する譲れない基準であり、作業チームによって強化され、マネージャーによって見直されます。レジリエンスは継続的なリスク評価の対象であり、その欠如は欠陥とみなされるのです。

しかし、それではレガシーシステムに関する問題には対応できません。レガシーシステムの回復力を高めるために、どのように投資すればよいのでしょうか？　多くのレガシーシステムが現在も使用されている場合、そのシステムを積極的に更新するという単純な方法もあります。そして、新たに導入される更新は、この新しい品質基準を満たす必要があります。論理的に考えると、そのためには何らかのリファクタリング (レガシーコードの改良) が必要になります。リファクタリングにはコストがかかり、新機能の提供が遅れることもありますが、現在のベストプラクティスには、既知の欠陥がゼロの新しいコード (すなわち、すべてのテストに合格するコード) をデプロイすることが含まれています。レジリエンスは、単にその品質基準の 1 つの側面になる可能性があります。

レジリエンスを高めるための 2 つ目のテクニックは、そのコストを下げることです。クラウドはあなたの味方であり、優れた DevOps のプラクティスに伴う自動化もあなたの味方です。自社に最適なレジリエンスアーキテクチャと設計パターン (複数のアベイラビリティゾーン、クラスタ化されたマイクロサービス、データのレプリケーション、低コストのストレージへのバックアップなど) を見つけましょう。

そうしているうちに、使われなくなったシステムや使用頻度の低いシステムを廃止することで、すぐに実現できる対策があるかもしれません。そうすることで、レジリエンスを高めるだけではなく、コストとメンテナンスの労力を削減することができます。なぜそうしないのでしょうか？

レジリエンスに関連する活動を優先的に行うための 3 つ目の方法は、リスクという観点から考えることです。今日、組織は、そのレジリエンス基準が満たされていないリスクをあらゆる場所で負っています。その中には、株主に開示する必要があるかどうかに関わらず、ビジネスにとって重要なリスクもあります。取締役会の監査委員会、リスク管理責任者、CFO は、これらのリスクについて知らされているべきであり、リスクを低減するための積極的な投資を検討すべきです。リスク削減のためのガバナンスは、期待されるリターンによってプロジェクトをランク付けするガバナンスとは (潜在的に) 別のプロセスなのです。

これを機能させるためには、IT 組織がリスクを適切に把握し、説明することに長けていなければならず、そうすることで適切な意思決定が可能になります。すべてのリスクに直ちに対処する必要はありませんが、リスクは蓄積していきます。レジリエンスリスクの要因が多い組織は、事実上、市場で不利な立場に置かれることとなります。IT リーダーは、リスクをバランスよく組織に認識させ、その潜在的な影響と、リスクが顕在化するシナリオを示し、それらに対処するための適切な計画を示すべきなのです。私の経験では、IT 組織が予算不足を愚痴っているように聞こえる技術的負債への言及を除けば、このような会話は頻繁に行われるものではありません。

リスクの議論は、技術的な危険性にとどまらないきっかけです。今日、多くの既存企業が抱えているリスクのひとつは、古い技術やシステムに精通した1人か2人の専門家への依存と、その後任となる新しい人材を見つけることが不可能であることです。この一見小さなリスクは、あるシナリオではビジネスに多大な影響を及ぼす可能性があります。もうひとつ見過ごされがちななリスクは、経営管理者層がいなくなることです。たしかに、他の社員が経営陣の役割を担うという継続計画はあるかもしれません。しかし、その代理の経営管理者は、必要なデータにアクセスし、必要なときに資金を投入する能力があるのでしょうか？

有能な CIO は、有能な CFO と連携して、レジリエンスに対するこうしたリスクを特定し、どのリスクに対処すべきかを決定し、その取り組みにリソースを投入する方法を見つけることで、組織に長期的に大きな価値をもたらすことができます。

ここで朗報です。レジリエンスを高めるための投資は、副次的な効果として、多くの場合、アジリティと機動性をも高めることになるでしょう。

この記事はアマゾン ウェブ サービス ジャパン ソリューションアーキテクトの佐藤伸広が翻訳を担当しました。