ITダウンタイム1時間の損失はいくらか：調査データと、香港・シンガポール・米国の規制当局がすでに許容している停止時間

主な調査結果： ITICが2024年に世界1,000社超を対象に行った調査では、中堅・大企業の90%超が1時間のダウンタイムで30万米ドルを超える損失が出ると回答し、41%は100万米ドルから500万米ドル超と答えました。いずれも回答者自身の見積もりで、訴訟、罰金、制裁金は含まれていません。Uptime Instituteの2026年版停止分析によると、同社の2025年調査の回答者の57%が、直近の大規模停止の損失は10万米ドルを超えたと答えています。香港やシンガポールの従業員30〜300人規模の企業について、1時間あたりの損失を信頼できる形で示した公表調査はありません。規制当局が公表しているのは上限です。シンガポール金融管理局（MAS）は重要システムごとの計画外停止を任意の12か月で合計4時間に制限し、香港金融管理局（HKMA）は銀行に中断許容度を自ら設定させ、米国には一律の時間数の規定がありません。

本レポートは、財務責任者、コンプライアンス担当者、IT責任者がよく同時に聞かれる2つの質問に答えます。ITが1時間止まると損失はいくらか。そして、どこまでの停止なら許容できるのか。1つ目の質問には、出典が示されないまま繰り返し引用される「1分あたりの損失額」が答えとして出回っています。2つ目の質問には実は規制当局がすでに答えていますが、監督対象の機関向けに限られ、両者を並べて見る人はほとんどいません。

対象は、従業員がおよそ30〜300人の企業です。香港を第一に、続いてシンガポールと米国を取り上げます。資産運用会社、銀行のベンダー審査を受けるフィンテック企業、法律事務所、海外グループの地域拠点などを想定しています。以下の数字にはすべて出典と年を付けました。回答者の自己申告による見積もりはその旨を明記し、数字が存在しない場合はないとはっきり書きます。

なぜ「1分あたりの損失額」は誤解を招くのか？

ダウンタイムのコストを検索すると、同じ1分あたりの数字が何ページにもわたって出てきます。この数字は10年以上前のもので、サンプルも手法も公表されておらず、しかも非常に大きな企業の平均値です。香港の60人規模のオフィスにとっては、低すぎる見積もりでも高すぎる見積もりでもなく、そもそもそのオフィスの話ではありません。

単一の数字が当てにならない理由は3つあります。

• 幅が大きすぎる。 1時間の損失は、その1時間に影響を受けたシステムを通る売上、作業できなくなる従業員の数、契約や規制当局が課すペナルティの有無で決まります。トレーディングデスクとデザイン事務所では、この3つが桁違いに異なります。
• 多くの数字は見積もりであって損失ではない。 大規模な調査は、回答者が1時間の損失をいくらと考えているかを尋ねています。企業がリスクをどう捉えているかを知るには役立ちますが、監査済みの損失ではありません。
• 数字に含まれないものがある。 最もよく引用される調査は、訴訟、罰金、民事・刑事上の制裁を明示的に除外しています。規制対象の企業にとっては、これが最大の項目になることもあります。

したがって誠実な答えには2つの部分があります。企業の自己申告による数字とその限界、そして規制当局がすでに求めていることです。規制対象の買い手にとっては、後者のほうが重要な場合が多くあります。

企業は1時間のダウンタイムをいくらと見積もっているのか？

ITIC 2024年 時間あたりダウンタイムコスト調査

Information Technology Intelligence Consulting（ITIC）は、ダウンタイムのコストに関する独立したウェブ調査を実施しています。2024年版は、2023年11月から2024年3月中旬にかけて世界1,000社超を対象に行われました。主な結果は次のとおりです。

• 中堅・大企業の90%超が、1時間のダウンタイムの平均コストは30万米ドルを超えると回答しました。
• 41%が、1時間のダウンタイムによる自社の損失は100万米ドルから500万米ドル超だと回答しました。
• これらの数字は訴訟や民事・刑事上の制裁を含まないと、ITICは結果とあわせて明記しています。

この数字には2つの注意点があります。第一に、回答者の見積もりであって実測の損失ではありません。第二に、サンプルが大きめの組織に偏っているため、見出しの数字は中小企業よりも大企業の姿を表しています。最も小さい規模の企業についてのITICの内訳も探しましたが、二次情報での引用が一致しなかったため、本稿では取り上げません。

Uptime Institute 2026年版 年次停止分析

Uptime InstituteはITとデータセンターの停止に関する年次分析を公表しています。2026年5月13日に発表された2026年版の内容は次のとおりです。

• Uptimeの2025年年次調査では、回答者の57%が、直近の大規模停止の損失は10万米ドルを超えたと答えました。
• 約10人に1人が、直近の停止は深刻または非常に深刻な影響をもたらしたと答えました。
• Uptimeが公に報告された停止を追跡してきた9年間で、クラウド、インターネット、通信、コロケーション事業者を含む第三者のITおよびデータセンター事業者が、その約3分の2を占めています。

Uptimeの年次調査の対象は主にデータセンターやITインフラの運用者で、レポート全文は会員と購読者のみが閲覧できます。本稿の数字は公開された発表から引用しています。

小規模な企業にとっては、コストの数字よりも3つ目の結果のほうが重要です。香港の50人規模の会社が自前でデータセンターを運営していることはまずありません。システムが止まる原因は、クラウド基盤、インターネット回線、SaaSアプリケーション、外部委託サービスなど、提供事業者の側にあることが多いのです。損失を負うのは自社ですが、障害は他社との契約の中で起きています。

シンガポール：MASはどこまでの停止を許容しているのか？

本レポートで扱う市場のうち、規制当局が停止時間の数字を拘束力のある規則に書き込んでいるのはシンガポールだけです。

シンガポール金融管理局（MAS）は、2022年金融サービス・市場法に基づき、免許の種類ごとに「テクノロジー・リスク管理に関する通知」を出しています。現行の通知は2024年5月に出されたもので、2013年の通知に代わりました。銀行向けのNotice 644は2024年5月10日付で廃止されています。銀行には現在FSM-N05、免許保険会社にはFSM-N03が適用され、ほかの免許の種類にもそれぞれの番号があります。

免許保険会社向けのFSM-N03には、この文脈で最もよく引用される要件が定められています。

• 計画外停止： 業務や顧客サービスに影響する重要システムごとに、計画外停止の時間は任意の12か月で合計4時間を超えてはならない。
• 目標復旧時間： 重要システムごとに4時間以内の目標復旧時間（RTO）を設定し、少なくとも12か月に1回検証して記録する。
• 報告とその後の対応： 該当するインシデントは発見から1時間以内にMASへ報告し、14日以内に根本原因と影響の報告書を提出する。報告期限については、関連レポート香港・シンガポール・米国のサイバーインシデント報告期限で詳しく扱っています。

この文言は新しいものではありません。廃止された銀行向けNotice 644にも、12か月で4時間という同じ上限がありました。

MASの規則は変わるのか？

MASは2026年6月10日にテクノロジー・リスク管理通知の改正案に関する意見募集文書を公表し、意見募集は2026年7月31日に締め切られました。可用性に関する主な提案は、部分的または断続的な中断も重要システムの計画外停止に算入することを明確にするものです。一部の機関がこれを計算から除外していたことをMASが確認したためです。2026年11月初めの時点で、確定版の通知や意見への回答は公表されていません。改正が採用されれば、午後いっぱい動作が遅かったシステムが、これまで数えられていなかった形で4時間の枠を消費する可能性があります。

年4時間とは実際にはどの程度か？

以下は規制上の表現ではなく単なる計算です。24時間稼働する重要システムには1年に8,760時間あります。4時間の計画外停止はその約0.046%にあたり、計画保守を除いて約99.95%の稼働率に相当します。多くのサービス契約が掲げる99.9%より厳しい水準です。

香港：HKMAはどこまでの停止を許容しているのか？

香港金融管理局（HKMA）の方針はMASと逆です。数字を書かず、各認可機関に自ら決めさせます。

HKMAの監督政策マニュアル（SPM）のモジュールOR-2「オペレーショナル・レジリエンス」は2022年5月31日に公表されました。認可機関には、オペレーショナル・レジリエンスの枠組みを策定するために1年、その後に実装するために3年が与えられました。OR-2のもとで機関は重要業務を特定し、それぞれに中断許容度、すなわち重要業務について受け入れられる最大の中断の程度を設定します。許容度は取締役会が承認し、マッピングとシナリオテストによって許容度の範囲内にとどまれるかを検証します。

HKMAは2026年5月29日付の書簡で、同局の調査に基づき、すべての認可機関が予定どおり2026年5月末までにオペレーショナル・レジリエンスを達成し、重要業務と中断許容度を特定したと報告しました。また、各機関は今後も許容度の短縮に取り組むべきだとしています。

銀行ではない会社はOR-2から何を学べるのか？

OR-2が拘束するのは銀行などの認可機関で、香港の従業員30〜300人規模の企業の多くは認可機関ではありません。しかし、その多くが認可機関の取引先であったり、認可機関の審査を受けたりしています。銀行のパートナーからベンダー審査を受けるフィンテック企業、ファンドアドミニストレーター、銀行のデータを預かる専門サービス会社などです。

こうした企業にとってOR-2で役に立つのは、規則そのものではなく手法です。

• 重要業務を挙げる。 システムではなく、事業として続けなければならないこと。顧客の注文を受ける、給与を支払う、規制当局に回答する、などです。
• それぞれに許容度を決める。 どれだけの時間、どの程度まで中断しても、損害が取り返しのつかないものにならないか。
• 依存関係を洗い出す。 連鎖の中にいるすべての提供事業者を含めます。
• 許容度に照らしてテストする。 許容度を守れると示すシナリオテストは、守れると書いた文書より価値があります。

銀行業以外の企業に対して固定の停止上限を公表している香港の規制当局は見当たりませんでした。また、この規模の香港企業の1時間あたりダウンタイムコストを調べた公表調査も見つかりませんでした。他所の数字を借りるのではなく、その事実をそのまま記します。

米国：停止時間について一律の規則はあるのか？

ありません。企業全般に適用されるMASの4時間上限のような規定は、米国には存在しません。

• 銀行とその検査官は、連邦金融機関検査協議会（FFIEC）のIT検査ハンドブックに依拠しています。2019年11月に改訂された事業継続管理（BCM）の冊子は、時間数を定めるのではなく、事業影響度分析を通じて経営陣が目標復旧時間を設定し、見直すことを求めています。
• 報告に関する規則が定めるのは期限であって許容度ではない。 米国の銀行規制当局によるコンピュータセキュリティ・インシデント報告規則や、上場企業向けのSECの開示規則は、インシデントを報告する期限を定めていますが、許容できる停止時間は定義していません。どちらもインシデント報告期限のレポートで取り上げています。

実際には、米国で許容される停止時間は契約で決まります。企業と提供事業者の間のサービスレベル契約、そして企業自身の顧客の要求によってです。

稼働率99.9%と99.99%では、実際にどれだけ止まってよいのか？

稼働率のパーセンテージは、提供事業者が停止の上限を示す最も一般的な方法であり、最も誤読されやすいものでもあります。24時間計測するサービスを1年単位で計算すると次のとおりです。

• 稼働率99%：年間約87.6時間、月にして約7.3時間の停止。
• 稼働率99.9%：年間約8.8時間、月にして約44分。
• 稼働率99.95%：年間約4.4時間で、MASの4時間上限に近い水準。
• 稼働率99.99%：年間約53分、月にして約4.4分。

これは計算であり、特定の事業者についての記述ではありません。パーセンテージを当てにする前に、契約の3点を確認してください。月単位か年単位か、計画保守が除外されているか、何をもって「停止」とするかです。応答はするが遅すぎて使えないシステムは契約上は停止に数えられないことがあり、それこそがMASが規制対象の機関について塞ごうとしている抜け穴です。

自社の1時間あたりのダウンタイム損失はどう見積もればよいか？

従業員30〜300人規模の企業に当てはまる公表調査がない以上、役に立つのは自社の数字です。以下は統計ではなく手法です。自社の数字を使い、会社全体ではなく重要業務ごとに計算してください。

4つのインプット

• 1時間あたりの売上損失。 影響を受ける業務を1時間に通る売上に、遅れるだけでなく実際に失われる割合を掛けます。顧客が翌日に出し直す注文は遅延であり、発注できなかった取引が損失です。
• 1時間あたりの従業員の待機コスト。 作業できない従業員の数に、1人あたりの総人件費（時間単価）と、実際に止まる業務の割合を掛けます。
• 復旧コスト。 残業、提供事業者の出動費用、システム復旧後に遅れを取り戻すための時間。これが停止そのものを上回ることもよくあります。
• 契約上・規制上のリスク。 自社の顧客に支払うサービスクレジット、違約金、規制当局への報告にかかるコスト。大規模調査はこの多くを含めていません。

例示

この例の数字は説明のために作ったもので、データではありません。従業員60人の香港の投資顧問会社で、平日の午前中に注文管理システムとメールが3時間使えなくなったとします。

• 売上損失： 取引時間中は1時間あたり約2万香港ドルの手数料収入がこれらのシステムを通り、そのうち4分の1が遅延ではなく実際に失われると見積もると、1時間あたり5,000香港ドル。
• 従業員の待機： 40人が実質的に作業できず、総人件費は1人1時間400香港ドル、業務の70%が停止すると、1時間あたり約11,200香港ドル。
• 復旧： 停止後の残業と事業者の作業で合計約15,000香港ドル。
• 契約リスク： 今回は発生しなかったものの、ある顧客との運用契約では通知が必要だと確認。

3時間の停止による損失は約63,600香港ドル、1時間あたり2万1,000香港ドル強になります。この計算の意味は合計額ではありません。この会社では売上損失よりも従業員の待機コストのほうが大きいとわかったことです。投資先は取引システムだけでなく、従業員が仕事を続けられるようにすること（代替のアクセス手段、メールの迅速な復旧）にあると示しています。

ITサービス契約には停止について何を書くべきか？

自社の許容度と1時間あたりの損失がわかったら、提供事業者との契約をそれに合わせます。私たちが目にする不備の多くは、稼働率の数字そのものではなく、その周辺の条項にあります。

• 重要業務に対応した優先度の定義。 契約上の「P1」は重要業務リストにある業務の停止であるべきで、初回応答とオンサイト対応の時間が時間単位で書かれている必要があります。Brocentが自社のP1〜P5の優先度定義、応答と解決の目標、8×5または24×7のサービス時間帯を公開しているのは、買い手が契約前に読めるようにするためです。
• 許容度に合った計測方法。 許容度をインシデントごとに測るのであれば、年単位の稼働率は適切な指標ではありません。インシデントごとの復旧目標もあわせて求めてください。
• 応答だけでなく検知も。 停止の時計はシステムが故障した瞬間から動きますが、応答の時計は通常、誰かが気づいた時点から動き始めます。監視と、24時間体制のセキュリティオペレーションセンター（SOC）は、故障から対応までの間隔を縮めます。時間が失われるのは多くの場合この間です。
• 応答を速くするほど費用は上がる。 アジアにおけるSLA応答時間の価格プレミアムに関する当社の調査（Brocentによる調査であることを明記します）は、より速い応答レベルがフィールドサービスの料金をどれだけ押し上げるかを示しています。必要以上に厳しい許容度は高くつき、必要より緩い許容度は自社が負うリスクになります。
• サービスクレジットは補償ではない。 翌月の料金からの差し引きが、停止による実際の損失に近づくことはまずありません。この点はSLAのサービスクレジットと履行保証に関するシナリオ記事で詳しく扱っています。

香港オフィス向けのマネージドITサービスで、こうした条件がどのように価格に反映されるかは、見積もりツールで参考プランを作成して確認できます。

本レポートが主張していないことは何か？

• 香港やシンガポールの1時間あたりの損失額はない。 両市場の企業の1時間あたりダウンタイム損失を測った公表調査は見つからず、数字を作ることもしていません。
• Brocentのダウンタイム統計はない。 BrocentはマネージドITとセキュリティの提供事業者です。本レポートはBrocentの顧客基盤に由来する数字を一切示していません。
• 予測はない。 調査の数字は過去の年を表すもので、将来への延長はしていません。
• 法的助言ではない。 規制上の位置づけは、2026年11月初めまでに公表された通知や書簡をもとに整理したものです。規制対象の企業は、自社の免許に適用される原文を確認してください。

よくある質問

ITダウンタイム1時間の損失はいくらですか？

ITICの2024年調査では、中堅・大企業の90%超が1時間あたり30万米ドル超と見積もり、41%が100万米ドルから500万米ドル超と見積もりました。いずれも回答者の見積もりで、罰金や訴訟は含まれません。従業員30〜300人の企業については信頼できる公表値がないため、売上損失、従業員の待機、復旧コスト、契約上のリスクから自社で見積もってください。

MASの計画外停止の上限は何時間ですか？

MASのテクノロジー・リスク管理通知は、業務や顧客サービスに影響する重要システムごとに、計画外停止が任意の12か月で合計4時間を超えないこと、目標復旧時間を4時間以内とすることを求めています。通知はMASが規制する金融機関に、免許の種類ごとの通知として適用されます。

HKMAは銀行の最大停止時間を定めていますか？

固定の数字としては定めていません。SPMのモジュールOR-2「オペレーショナル・レジリエンス」のもとで、各認可機関が重要業務ごとに中断許容度を設定し、取締役会が承認します。HKMAは2026年5月、すべての認可機関が2026年5月末までにこれを終えたと報告しました。

稼働率99.9%ではどれだけ止まってよいのですか？

24時間計測するサービスで、年間約8.8時間、月にして約44分です。契約が月単位か年単位か、計画保守が除外されているかを確認してください。

米国に許容停止時間の規則はありますか？

企業全般に時間数の上限を定める一律の規則はありません。銀行の検査官は事業影響度分析に基づく目標復旧時間の設定を求め、インシデント報告の規則は停止の上限ではなく報告の期限を定めています。許容される停止時間は主に契約で決まります。

目標復旧時間（RTO）とは何ですか？

RTOは、中断後にシステムを復旧しなければならない時間です。MASは規制対象機関の重要システムについて最長4時間と定めています。それ以外では、企業が事業影響度分析をもとに自らRTOを設定し、達成できるかをテストすべきです。

ダウンタイムのコスト調査は信頼できますか？

企業が自社のリスクをどう捉えているか、その規模感を知る材料としては信頼できます。ただし監査済みの損失ではなく、サンプルは大きな組織に偏り、最も知られた調査は罰金や訴訟を含めていません。背景情報として使い、判断には自社の計算を使ってください。

出典

内容と数字は2026年11月3日時点のものです。ITIC「2024 Hourly Cost of Downtime Survey」（独立ウェブ調査、2023年11月〜2024年3月中旬）。Uptime Institute「Annual Outage Analysis 2026」、2026年5月13日の公開発表。シンガポール金融管理局：テクノロジー・リスク管理通知 FSM-N03（免許保険会社）、Notice 644・644A・655・655A・1114・1118の廃止通知（2024年5月9日）、テクノロジー・リスク管理通知の改正案に関する意見募集文書（2026年6月）。香港金融管理局：監督政策マニュアル OR-2「Operational Resilience」（2022年5月31日）、書簡「Operational Resilience: Sustaining and Uplifting」（2026年5月29日）。FFIEC IT検査ハンドブック 事業継続管理冊子（2019年11月）。稼働率の計算と例示はBrocentによる計算です。