IFI Advisory: Travel Security, lo Stato dell’Arte
IFI Advisory approfondisce, nell’articolo che segue a firma di Daniele Grassi, Security Risk Manager, Responsabile dell’Unità di Analisi di IFI Advisory, una tematica che desta sempre più interesse nel mondo del Security Risk Management: la Travel Security.
Buona lettura!
IFI ADVISORY: TRAVEL SECURITY, LO STATO DELL'ARTE
Il tema della Travel Security ha attirato, negli ultimi anni, crescente attenzione da parte delle aziende e delle organizzazioni con una proiezione internazionale più o meno marcata. Tuttavia, un’insufficiente regolamentazione di dettaglio in un ambito così complesso e competenze non del tutto espresse nel settore hanno contribuito a determinare un quadro che oggi si presenta estremamente frammentato e fonte di potenziali carenze strutturali, in quanto caratterizzato da approcci e modelli a volte inadeguati, sotto il profilo dell’efficacia operativa quanto della conformità all’esistente (seppur imperfetto) quadro normativo.
L’iniziativa intrapresa dall’International Standard Organization (ISO), impegnata da luglio 2018 nell’elaborazione di uno standard per la gestione dei c.d. ‘rischi travel’ (ISO 31030: Risk Management – Managing travel risks) offrirà di certo un utile supporto alle organizzazioni impegnate nella definizione di un modello di gestione efficace ed organico. Tale progetto si innesta, peraltro, nel solco tracciato dalla British Standard Institution, che già nel 2016 aveva pubblicato una specifica tecnica sulla gestione dei viaggi di lavoro sotto il profilo sanitario e di sicurezza (PAS 3001:2016 – Travelling for work. Responsibilities of an organization for health, safety and security. Code of practice). Tuttavia, tali iniziative potrebbero risentire dei deficit strutturali, sopra richiamati.
Primo tra tutti, la persistente reticenza a ritenere che dai ‘rischi travel’ e, più in generale, da quelli di security, derivino obblighi cogenti per il Datore di Lavoro, a dispetto della pronuncia del Tribunale di Roma che, lo scorso 22 gennaio, ha disposto condanne pari a 20 mesi di reclusione per tutti i membri del CDA di Bonatti – società coinvolta, a luglio 2015, in un caso di sequestro di persona avvenuto in Libia, a danno di 4 suoi tecnici (due dei quali in seguito deceduti). Contestualmente, è stata comminata una sanzione di 150.000€ ex art. 25 septies D.lgs 231/2001 nei confronti della stessa Bonatti, come diretta conseguenza del compimento del reato presupposto di “Omicidio colposo o lesioni gravi o gravissime commesse con violazione delle norme sulla tutela della salute e sicurezza sul lavoro” da parte del management.
La sentenza segue – in termini giurisprudenziali – quanto già ribadito in dottrina dalla Commissione per gli interpelli del Ministero del Lavoro che – nell’ottobre del 2016 – ha fugato ogni dubbio interpretativo sull’effettiva applicabilità del Testo Unico per la Sicurezza sul Lavoro ai rischi di security, chiarendo che il Datore di Lavoro deve “valutare tutti i rischi, compresi i potenziali e peculiari rischi ambientali legati alle caratteristiche del Paese in cui la prestazione lavorativa dovrà essere svolta, quali a titolo esemplificativo, i cosiddetti «rischi generici aggravati», legati alla situazione geopolitica del Paese (es. guerre civili, attentati, ecc.) e alle condizioni sanitarie del contesto geografico di riferimento non considerati astrattamente, ma che abbiano la ragionevole e concreta possibilità di manifestarsi in correlazione all’attività lavorativa svolta”.
Nonostante la loro crescente proiezione estera, sono oggi soprattutto le piccole e medie imprese a mostrare ampie opportunità di miglioramento in tema di consapevolezza sul tema e necessità di dotarsi di un efficace modello di gestione dei ‘rischi travel’. Ciò è dovuto anche all’azione non particolarmente incisiva delle associazioni di categoria, spesso non tempestive nel farsi promotrici di iniziative efficaci di sensibilizzazione sul tema e nel fornire linee guida chiare e circostanziate.
Più in generale, si avverte la improcrastinabile necessità di avviare – altresì – campagne di formazione professionale rivolte al personale di security che – nelle piccole e medie imprese – spesso non riceve neanche il necessario supporto finanziario (budget di spesa) per organizzare adeguati presidi di contenimento del rischio in parola.
Con riferimento a imprese e organizzazioni di maggiori dimensioni, le dimensioni del fenomeno appaiono sicuramente più contenute – grazie alla crescente attenzione alla creazione di strutture di security travel più performanti – al netto di possibili interventi migliorativi, utili a guadagnare piena conformità con la normativa vigente, oltreché con le best practices che, a livello nazionale ed internazionale, ispirano l’operato delle realtà più virtuose.
Il principale ostacolo verso il traguardo di una c.d. fully compliance in ambito ‘travel risk’ risiede anzitutto nell’attuale necessità avvertita da molte aziende di dotarsi di un’adeguata organizzazione e di definire processi chiari, in grado di delimitare le rispettive responsabilità e stabilire con puntualità i compiti in capo a ciascuna delle parti coinvolte.
Non di rado, infatti, la gestione della travel security viene affidata a personale non adeguatamente formato su tali specifiche competenze e, talvolta, privo di un background professionale maturato in ambito security. Laddove la funzione security è del tutto assente, tale ambito viene generalmente affidato ad altre componenti aziendali (risorse umane, HSE, ecc.), circostanza che rende, ad esempio, l’eventuale interlocuzione con provider esterni complessa e talvolta foriera di disallineamento tra esigenze organizzative e soluzioni operative suggerite.
La scelta di un full outsourcing della travel security, potenzialmente utile a ovviare a carenze strutturali e organizzative, viene presa in considerazione da un numero ancora molto ridotto di aziende, per ragioni di ordine culturale più che economico.
Si osserva, inoltre, la crescente tendenza, anche in realtà ben strutturate, a ritenere di poter adempiere in toto ai propri obblighi avvalendosi di soluzioni standard (on the shelf), veri e propri ‘pacchetti pre-confezionati’, acquistati talvolta con scarsa consapevolezza. Già da alcuni anni, si assiste, infatti, al proliferare sul mercato di sistemi di travel security sempre più evoluti e complessi. Sebbene rappresentino un supporto certamente valido – in molti casi, anzi, imprescindibile – l’illusione di poter risolvere tutto con un sistema automatizzato può rivelarsi pericolosa, essendo tali soluzioni insufficienti a garantire la piena compliance normativa, se non inserite in un più ampio sistema di gestione che sappia integrarne e valorizzarne appieno le potenzialità. Solo un’azienda matura in termini di organizzazione e competenze è in grado di affrontare tali tematiche con un approccio olistico, che tenga conto delle numerose criticità insite all’ambito di gestione della travel security. Diversamente, il rischio è quello di lasciare importanti attività afferenti all’ambito della travel security in una zona grigia di non-governo, esponendo, dunque, a gravi minacce il personale viaggiante, con conseguenze negative per l’azienda sotto il profilo legale e reputazionale.
Si pensi, in particolare, alla gestione di eventuali emergenze di security: non di rado, persino organizzazioni di dimensioni rilevanti sono sprovviste di specifiche procedure che regolamentino attività da intraprendere e processi da adottare in caso di sequestri di persona, attacchi terroristici o di altri eventi avversi che coinvolgano espatriati e personale viaggiante. L’invalsa tendenza a escludere che eventi statisticamente rari possano effettivamente concretizzarsi e danneggiare l’incolumità delle proprie persone o l’integrità dei propri asset alimenta una sorta di lassismo che si traduce, in termini organizzativi e operativi, nella mancata predisposizione delle misure necessarie per far fronte a situazioni critiche. Attivazione di provider in grado di intervenire sul terreno, composizione e funzionamento del comitato di crisi aziendale, interlocuzione con le competenti autorità locali e nazionali sono solo alcuni degli aspetti spesso gestiti senza una preventiva organizzazione, rispettosa di adeguati standard qualitativi.
In termini più operativi, si riscontrano ulteriori aree di obiettivo miglioramento, spesso frutto di valutazioni lacunose o, in altri casi, di scelte finalizzate esclusivamente al contenimento della spesa. A titolo del tutto esemplificativo, si possono annoverare:
• Applicazione delle misure di travel security ai soli viaggi effettuati in paesi extra-UE o, in taluni casi, alle sole aree ad alto rischio (Pakistan; Iraq; Nigeria; ecc.).
• Inattendibilità/Incompletezza del processo di valutazione dei rischi di viaggio, spesso generico (dunque non comprensivo di considerazioni relative alla specifica località di destinazione; all’ambito di attività; a eventuali specifiche esigenze della risorsa viaggiante e alla sua familiarità con lingua e cultura locali; ecc.) e ancorato alle sole indicazioni di enti istituzionali (Viaggiare Sicuri; US Department of State Travel Advisory; Foreign and Commonwealth Office Travel Advice; ecc.).
• Scarsa consapevolezza circa l’avvenuta attivazione e l’effettivo ambito di applicazione di polizze assicurative, con il rischio di dover affrontare spese significative al verificarsi di emergenze di security o di carattere sanitario.
• Informative carenti e spesso fornite in una lingua di difficile comprensione per una parte del personale viaggiante (nel caso dell’inglese, sarebbe opportuno verificare che i destinatari di tali informative abbiano competenze linguistiche adeguate, con un livello pari almeno a C1 secondo gli standard internazionali).
• Scarsa attenzione a tematiche quali la sensibilizzazione e la formazione rivolta al personale viaggiante (in particolare, di quello chiamato a operare in zone a rischio), a dimostrazione di un approccio che vede talvolta nelle attività di travel security una sorta di assolvimento di un obbligo formale del tutto insufficiente, tuttavia, a garantire una piena compliance con le normative vigenti e con le più recenti interpretazioni rese dalla giurisprudenza.
Un efficace modello richiede, dunque, una piena ed effettiva integrazione della travel security nei processi aziendali, condizione imprescindibile per una gestione tesa realmente a garantire la protezione delle persone e, conseguentemente, a preservare azienda e management sotto il profilo legale e reputazionale. In ultima istanza, dunque, si possono distinguere almeno tre livelli di intervento:
• organizzativo, definendo con chiarezza ruoli e compiti all’interno dell’azienda e valutando l’opportunità di avvalersi del supporto di provider esterni;
• procedurale, delineando processi chiari per gestire ciascuna delle principali fasi delle attività riconducibili alla travel security (valutazione dei rischi; iter autorizzativi in caso di viaggi in aree considerate a rischio e attivazione di eventuali misure di sicurezza sul terreno; formazione e informazione dei viaggiatori; gestione di situazioni potenzialmente critiche o di vere e proprie emergenze);
• operativo, adottando soluzioni che bene si adattino alla propria organizzazione e al proprio ambito di attività e selezionando provider affidabili, in grado di garantire il necessario supporto sul terreno, soprattutto in caso di emergenza.
di Daniele Grassi, Security Risk Manager, Responsabile dell’Unità di Analisi
di IFI Advisory
