Unità 3. Migliori pratiche
• Cos’è un BCMS e come implementarlo
• Impostazione di un BCMS
• BCMS Policy vs BCMS Program: quali differenze?
• Integrare la resilienza nella cultura organizzativa
• Capire cosa è cosa
• Come si può quantificare il livello di criticità di un processo?
• Come condurre la BIA
• Come arrivare dal punto A al punto B
• Piani, piani e ancora piani
• Testare tutto per vedere se funziona
Cos’è un BCMS?
Un sistema di gestione della continuità operativa è composto da una serie di pratiche che promuovono e mantengono tutte le attività necessarie con il fine di assicurare la continua erogazione dei prodotti e dei servizi di un’azienda.
L’ISO 22301: 2019 è lo standard internazionale che definisce i requisiti per ottenere un BCMS funzionale, ma ci sono molti metodi diversi sul mercato che illustrano come implementarne uno nella propria organizzazione.
L’ISO 22313: 2020 approfondisce il contenuto dell’ISO 22301. Qui sotto si possono vedere gli step generali per l’implementazione di un BCMS così come sono concettualizzati dal Business Continuity Institute.
Impostazione di un BCMS
Ogni BCMS ha bisogno di ricevere un adeguato supporto e adeguate risorse per funzionare efficientemente.
Solo il top management può assicurare queste due condizioni, sia inizialmente che nel successivo corso degli anni.
Di conseguenza, il top management deve assicurarsi che non ci siano dubbi rispetto alle quattro domande seguenti:
1.Qual è lo scopo del BCMS?
2.Chi è responsabile del BCMS?
3.Quali sono i suoi obiettivi strategici e operativi?
4.La cultura aziendale è pronta per accettare il BCMS?
BCMS Policy vs BCMS Program: quali differenze?
Molte aziende confondono la BCMS Policy e il BCMS Program. Infatti è abbastanza comune che le organizzazioni definiscano come BCMS Policy un documento che è in realtà un BCMS Program. In realtà i due documenti sono molti diversi fra loro.
“Se non sai dove stai andando, finirai per arrivare da qualche altra parte.” – Yogi Berra
Integrare la resilienza nella cultura organizzativa
Una volta che il BCMS è adeguatamente stabilito e promosso, bisogna porre la propria attenzione sull’assicurarsi che la cultura organizzativa e i dipendenti siano pronti ad assorbire e mantenere il nuovo sistema di gestione.
Gli obiettivi chiave di questa fase sono:
1.Assicurarsi che ognuno comprenda e utilizzi lo stesso linguaggio operativo.
2.Sviluppare una consapevolezza dei ruoli del BCMS nello staff a 360°
3.Incorporare la continuità operativa nelle attività quotidiane.
Ci sono molti modi per farlo.
Incorporare la continuitàoperativa in un’aziendarichiede uno sforzo continuo. Come moltealtrepraticheorganizzative, necessita di un continuo mantenimento.
Se è mantenuta adeguatamente, la business continuity nellungoterminesarà in grado di apportare grandi vantaggi collateralial l’organizzazione.
Capire cosa è cosa
Durante la fase di analisi, l’azienda conduce quella che è definita come Business Impact Analysis (o BIA) per determinare:
1.I processi critici
2.Le priorità di ripristino (tra i processi critici, quali sono i più critici?)
3.Quali sono le risorse necessarie per continuare a produrre output a livelli accettabili a seguito di un’interruzione.
Durante la BIA, le opinioni soggettive non possono essere prese in considerazione in modo da rendere i risultati il più oggettivi e comparabili possibili.
Come si può quantificare il livello di criticità di un processo?
La BIA deve essere il più oggettiva possibile. Questo significa che, soprattutto per il livelli di criticità, ci deve necessariamente essere un criterio quantificativo che permetta all’organizzazione di distinguere tra processi critici e non critici, e tra diversi gradi di criticità.
Questo criterio viene spesso chiamato RTO (Recovery Time Objective). La criticità di un processo viene definita come la quantità di tempo massima in cui un’azienda può interrompere la propria operatività, nel peggior momento possibile, prima che l’impatto venga considerato troppo alto.
Un’impresa può quindi definire cosa costituisce un impatto o un arco di tempo accettabile o inaccettabile (impatto massimale) e di conseguenza derivare una scala RTO da applicare durante l’analisi.
Come condurre la BIA
Ogni organizzazione ha il suo proprio modo di condurre una BIA, ma nella maggior parte dei casi si inizia mostrando i vari livelli d’impatto al responsabile del processo, chiedendogli: se non fossi in grado di eseguire le tue normali attività, nel peggior momento possible (per esempio nei momenti di picco di attività), per un periodo di tempo prolungato, quali sarebbero gli impatti sull’organizzazione?
È importante aiutare il responsabile del processo nella valutazione, con tre suggerimenti:
1.Non considerare la probabilità di un’interruzione
2.Non considerare le strategie/tattiche attualmente attive
3.Non considerare i recovery plan attualmente attivi
Il responsabile del processo deve valutare l’impatto “lordo” sull’organizzazione, per valutare l’efficacia delle strategie/tattiche/piani esistenti, per assicurarsi che i processi veramente critici, quelli che tendono ad essere già salvaguardati, siano già identificati come prioritari.
Dopo la BIA, la CRA: Continuity Requirements Analysis
Dopo aver compreso il funzionamento dei processi critici di un’organizzazione, il prossimo passo è quello di condurre una ContinuityRequirements Analysis (CRA). L’organizzazione deve capire quali sono le funzioni che un processo critico deve portare avanti, in modo da poter sviluppare strategie efficaci per assicurarsi che le risorse necessarie siano disponibili anche nel momento in cui si verifichi un incidente o un’interruzione.
A seguito sono illustrati i requisiti necessari che il responsabile del processo deve approfondire durante la fase di analisi.
Infine, la valutazione della minaccia
L’ultima attività di analisi che un’organizzazione deve condurre è una valutazione della minaccia per individuare i «single points of failure» (singoli punti di vulnerabilità) e i livelli di rischio inaccettabili inerenti ai processi critici.
Capire cosa è cosa (Step by Step)
Come arrivare dal punto A al punto B
L’analisi è il momento in cui si acquisiscono informazioni.
La fase di progettazione è quella in cui l’organizzazione cerca di progettare le strategie e le soluzioni per far sì che:
1.Le priorità di recupero siano soddisfatte
2.Le minacce e vulnerabilità siano mitigate
3.Le risorse e i requisiti di continuità siano implementabili.
Per fare ciò, l’organizzazione deve confrontare i suoi obiettivi con le risorse di cui dispone, per assicurarsi che qualsiasi misura che viene approvata sia realistica, efficace e non sia in conflitto con strategie esistenti o promosse.
Le strategie e soluzioni che un’organizzazione progetta e seleziona sono nella maggior parte dei casi coerenti con le priorità di recupero identificate nell’analisi.
In particolare, è importante che le RTO confermate siano realistiche, e che ci siano varie strategie per assicurarsi che lo siano.
Piani, piani e ancora piani
Una volta che l’organizzazione ha identificato le proprie strategie e tattiche di continuità operativa, deve stabilirne l’implementazione esatta all’interno del piano di continuità operativa (BCP).
I piani di continuità operativa di successo hanno alcune caratteristiche in comune:
1.Sono concisi, flessibili e rilevanti.
2.Sono documenti pratici, fatti per essere usati, non solo letti
3.Sono costantemente aggiornati e testati
I piani di continuità operativa di un’organizzazione dovrebbero essere scenario-indipendenti, non dovrebbero focalizzarsi su una specifica causa dell’interruzione dell’operatività, ma anzi dovrebbero assicurarsi che l’azienda è in grado di reagire a:
•Perdita della base operativa
•Perdita di personale
•Perdita di IT/tecnologia
•Perdita di fornitori/forniture
Testare tutto per vedere se funziona
L’ultimo step di un buon BCMS è la fase di convalida, dove l’organizzazione deve mettere alla prova le proprie strutture di gestione di continuità operativa per vedere se sono efficaci e se possono essere migliorate.
La continuità operativa è un ciclo in costante miglioramento, in cui i cambiamenti devono essere incorporati ad ogni ciclo, volta per volta.
Non deve essere tutto perfetto già dall’inizio, non sarebbe nemmeno un fatto auspicabile.
Un esercizio che non è in grado di trovare alcun difetto è un completo fallimento. C’è sempre qualcosa che può essere migliorato, e se quel qualcosa non viene trovato dai test dell’organizzazione, significa che i test stessi non sono efficaci.
