La Business Continuity: dall’IT all’intero sistema banca
Massimo Marrocco, Responsabile Sicurezza e Logistica ICCREA Banca e Responsabile del Dipartimento Rischi Aziendali di AIPROS, presenta nell’articolo qui di seguito il ruolo degli RLS nella redazione dei piani di continuità operativa e di disaster recovery, ma anche nella pianificazione delle attività di verifica e di contingency.
Il recente terremoto che ha colpito l’Emilia Romagna ha evidenziato ,ancora una volta e come già accaduto in occasione del terremoto dell’Aquila, la carenza di piani di Business Continuity e Disaster Recovery che possano contribuire a salvaguardare la sopravvivenza delle imprese colpite diminuendo i tempi di fermo della produzione.
In tale ambito un’azione di sensibilizzazione degli RLS affinché prendano coscienza dell’importanza dei processi di pianificazione della continuità operativa delle aziende in caso di coinvolgimento in gravi calamità naturali, è di fondamentale importanza, come ha evidenziato FABI, in occasione della recente Assemblea Nazionale.
Ma cosa si intende per Business Continuity e Disaster Recovery? A dircelo le attuali best practices di riferimento, in particolare la ISO 22301 che recentemente ha sostituito la BS 25999.
Grazie a questa nuova ISO si è passati da una logica di “visione aziendale” propria dello standard BS 25999 ad una logica di “interesse sociale”, più esteso nella formulazione della ISO 22301, come già emerge nel titolo di quest’ultima: Societal Security – Business continuity management systems – Requirements”.
Fino al settembre 2001 il tema della Business Continuity nel settore bancario era gestito principalmente nelle aree IT e si prefiggeva, in generale, di salvaguardare gli apparati ed il salvataggio delle procedure da guasti o eventi esterni.
Dopo tale data ed a seguito dell’attentato alle Twin Towers che , oltre a provocare ingenti perdite di vite umane provocò il blocco totale delle attività amministrative contribuendo ad accrescere i danni collaterali all’evento, la comunità mondiale si è resa conto che anche l’operatività bancaria rappresenta un fattore della sicurezza nazionale ed ha imposto al settore creditizio di pianificare attività in grado di garantire la ripresa del servizio in caso di disastri, entro tempi stabiliti.
Quindi si è passati da una logica confinata al settore IT ad una logica estesa all’intero sistema-banca che deve essere in grado di limitare i tempi di fermo e ricominciare a produrre servizi verso la comunità a tempo indeterminato utilizzando soprattutto risorse proprie.
Quindi non si tratta di mantenere in funzione le strutture IT con il personale dedicato ma di prevedere il mantenimento in funzione ed in sicurezza di posti di lavoro, anche per i dipendenti amministrativi in numero minimo per erogare i servizi alla comunità.
Da queste considerazioni nasce l’essenza dei Piani di Business Continuity (BCP) e dei piani di Disaster Recovery che si sostanziano nella indicazione di diverse procedure che, prendendo come riferimento degli scenari di disastro opportunamente individuati dagli esperti, guidino il processo di recupero della produzione fino al riavvio dello stesso nella percentuale obiettivamente raggiungibile.
Il BCP è comunque un documento “dinamico” in quanto è continuamente aggiornato anche in
base a:
– Risultato dei test periodici pianificati
– Accadimenti di disastri non ancora presi in considerazione
– Modifiche organizzative
– Modifiche normative
Nella considerazione degli eventi disastrosi rientrano per esempio: terremoti, incendi, allagamenti, frane, interruzione della viabilità e dei collegamenti con vettori, caduta di aerei, pandemie, sommosse, attentati, interruzione di erogazione energia o collegamenti, inquinamenti sia delle acque che dell’aria.
Tutto il processo, di cui abbiamo preso visione assume rilevanza ai fini anche della sicurezza nei luoghi di lavoro ( Dlgs 81/2008) per vari aspetti:
– Le condizioni di sicurezza per i lavoratori debbono essere garantite anche in condizioni diverse dall’usuale;
– Un buon piano di Business Continuity deve prevedere verifiche dei livelli di sicurezza dei luoghi di lavoro anche dopo gli eventi disastrosi. Occorreranno verifiche dell’ integrità delle protezioni esistenti nelle condizioni standard e sulla stabilità dell’edificio e dei macchinari ed in generale sulle condizioni obiettive in cui si troveranno ad operare i lavoratori;
– Se le condizioni di sicurezza non potranno essere garantite sarà opportuno attivare una procedura di Disaster Recovery trasferendo l’attività in un sito secondario opportunamente e preventivamente predisposto.
In conclusione si evidenzia il ruolo degli RLS, sia nella normale attività, quali figure interessate alla redazione dei piani di Continuità Operativa e di Disaster Recovery per gli aspetti relativi alla sicurezza sui luoghi di lavoro, ma anche nella pianificazione delle attività di verifica, dopo eventi disastrosi, essenziali per l’avvio delle procedure di contingency.
di Massimo Marrocco
