Unità 2 Concetti e definizioni

Tempo di definizioni!

Fino ad ora abbiamo menzionato la resilienza organizzativa e la gestione di continuità operativa come concetti strettamente collegati tra di loro.

Ma quali sono le definizioni esatte? Queste sono quelle comunemente adottate, come stabilito nell’ISO 22300: 2021.

Continuità operativa all’interno di un approccio olistico alla resilienza

La continuità operativa si concentra sull’erogazione di prodotti e servizi, mentre la resilienza è un concetto più ampio che identifica la capacità di una società di adattarsi al cambiamento.

Questo perché dobbiamo pensare alla continuità operativa come ad una delle svariate discipline che contribuiscono alla resilienza organizzativa di un’impresa. La business continuity da sola non può rendere una società perfettamente resiliente, ma è una condizione senza la quale nessuna organizzazione può essere tale.

La resilienza deve essere l’obiettivo strategico dell’organizzazione, che dovrebbe quindi impegnarsi su vari fronti e vari settori che contribuiscono alla realizzazione di questo risultato.

Standard internazionali

Nella maggior parte dei casi, le norme delle varie discipline legate alla resilienza sono stabilite da standard internazionali precisi, stabiliti dall’International Standards Organization (ISO).

Gli standard ISO definiscono i requisiti di un buon sistema di gestione in base alla sua disciplina di appartenenza nell’ambito della resilienza. Per esempio, l’ISO 22301:2019 definisce gli elementi necessari di un Sistema di Gestione di Continuità Operativa.

Inoltre, altre specifiche tecniche (ISO/TS) stabiliscono i requisiti per gli elementi particolari inerenti al BCMS (ad esempio l’ISO/TS 22317 sulla business impact analysis).

Concetti chiave della Gestione di Continuità Operativa

Ci sono molti concetti chiave nella gestione della continuità operativa che ogni figura professionale deve tenere a mente nell’implementazione di un BCMS.

L’implementazione di un BCMS può avvenire mediante metodologie diverse, ma tutte quelle principali si basano su concetti comuni che vengono spesso fraintesi.

Questi malintesi non sono problematici solo dal punto di vista del rigore teorico, ma soprattutto perché possono portare a complicazioni, ridondanze e altre inefficienze nel momento in cui un’organizzazione cerca di migliorare o implementare il proprio sistema di gestione di continuità operativa.

Per questo motivo, è importante chiarire alcuni punti fin dall’inizio.

La Continuità Operativa non è solo un altro tipo di Risk Management?

Le due presentano caratteristiche comuni, ma la continuità operativa non si occupa del rischio alla stessa maniera.

La famosa definizione di rischio che è ora inclusa nell’ISO 31000 recita, «il rischio è l’effetto dell’incertezza sugli obiettivi (risk is the effect of uncertainty on objectives).»1Il rischio di un evento per un’impresa è solamente calcolato come il prodotto tra la probabilità che l’evento si verifichi e il suo ipotetico impatto sull’organizzazione.

Nella gestione della continuità operativa, la probabilità che un evento occorra è di fatto irrilevante. In un certo senso lo è anche l’evento stesso.

Il BCMS è interessato semplicemente alle conseguenze di un incidente sull’organizzazione: quali asset renderebbe indisponibili, come questo impatterebbe l’erogazione di prodotti e servizi e come ristabilirli nel minor tempo possibile se questo accade.

Per dare un’idea dei diversi approcci:

La Continuità Operativa garantisce la protezione da quegli eventi che si pensa non accadranno mai, ma che, a lungo andare, succedono sempre.

1Risk Management — Guidelines ISO 31000: 2018, ISO, 2018.

“Il rischio è l’effetto dell’incertezza sugli obiettivi.”
– ISO 31000

Tutte le analisi devono essere «oggettive»

Ci sono molte conseguenze che derivano dall’implementazione di un BCMS, ma il risultato principale è sicuramente una mappa di tutti i processi critici che sono necessari al fine di erogare prodotti e servizi (l’unità 2 spiegherà come ottenere questo risultato).

Nel corso dell’implementazione di un BCMS, è necessario coinvolgere aree diverse dell’organizzazione, ognuna di queste con le proprie particolarità, criticità e diverse percezioni del rischio.

Se queste particolarità e diversità non vengono considerate durante l’analisi, il risultato sarà un aggregato di risposte e parametri che non sono comparabili tra loro. Per esempio:

Sia la funzione di accounting che quella di business sostengono che una loro interruzione avrebbe degli effetti gravi sull’intera organizzazione.

Ma cosa significa «grave»? Siamo sicuri che entrambi i dipartimenti abbiano gli stessi parametri di analisi? E che stanno parlando della stessa cosa?

Per questo motivo assicurarsi che tutti lavorino basandosi su un unico linguaggio e su parametri comuni, e che facciano quindi tutti riferimento a caratteristiche oggettive, è di fondamentale importanza.

«Critico» non vuol dire «importante»

La continuità operativa si occupa di salvaguardare l’erogazione dei prodotti e servizi di un’organizzazione. Per ottenere questo risultato è necessario garantire la continuità dei processi critici che sottostanno all’erogazione di suddetti prodotti e servizi. Ciò vuol dire che in caso di una crisi e quindi di un’interruzione, i processi critici devono essere ripristinati più velocemente di quelli meno critici o non critici.

Questo non vuol dire che i processi critici sono più importanti di quelli non critici. Vediamo un un esempio per chiarire questo concetto:

Stai pagando le bollette online ma all’improvviso salta la luce.

Pagare le bollette è sicuramente più importante del fatto che ci sia la luce accesa o spenta, ma in questa situazione di difficoltà, la priorità è assicurarsi che la luce torni a funzionare.

Non puoi pagare le bollette prima di essertene assicurato. Allo stesso modo, nell’ambito della continuità operativa, definiamo il fatto che torni la luce un processo critico, quindi urgente (non importante).

Principali conclusioni

La gestione di continuità operativa deve far parte degli sforzi di resilienza di un’organizzazione, e nessuna organizzazione può essere definita resiliente senza delle buone pratiche di business continuity management.

La business continuity di per sé presenta diversi vantaggi:

1. Salvaguarda l’erogazione di prodotti e servizi indipendentemente da qualsiasi evento;

2. Permette all’impresa di valutare razionalmente quali sono i processi prioritari da ristabilire a seguito di un incidente;

3. Rappresenta un vantaggio competitivo.

PASSARE ALL’UNITÀ PRECEDENTE TORNARE AL MODULO #2 PASSARE ALL’UNITÀ SUCCESSIVA