Pantaleo: dall’analisi del rischio alla Business Continuity passando per la gestione degli incidenti e delle crisi

L’evoluzione dei modelli di safety e di sicurezza partono da un sostanziale approccio “reattivo” per evolversi oggi ad un modello “preventivo”, teso ad interpretare il contesto, valutare il rischio reale e realizzare le necessarie azioni di gestione. Livelli di complessità sempre crescenti richiedono alle Imprese continui aggiustamenti, se non ristrutturazioni vere e proprie dei processi operativi:
• Crescente dematerializzazione delle attività
• Maggiore apertura geografi ca alla competitività con crescita dei rapporti internazionali
• Moltiplicazione dei fronti di impegno per conservare la competitività e la capacità di ottenere risultati soddisfacenti
• Aumentata consapevolezza della presenza di minacce di natura non competitiva, dolosa o accidentale, mirate ai processi produttivi, alle attività interne dei dipendenti, ai rapporti con l’esterno

In questo scenario, le Imprese, per una efficace creazione del valore aziendale e per il mantenimento della propria capacità reddituale nel tempo, si troveranno sempre di più a dover affiancare la gestione delle variabili tradizionali imposte dal mercato con l’azione di tutela del patrimonio. Ancora oggi, in molte Imprese, l’occuparsi di alcuni aspetti di Internal Audit, Business Control, Rischi, Gestione degli Incidenti, Security, Safety o Strategie a medio/lungo termine avviene in modo isolato. Tali argomenti vengono affrontati singolarmente e spesso in modo tale da non considerarne le strette interrelazioni.

Per affrontare il presente e prepararsi al futuro, le Imprese devono imparare a guardare a queste aree tra loro interconnesse e ad occuparsi di esse in maniera più strutturata, combinata ed ovviamente correlata.
Ciò vale anche e soprattutto per le PMI, che spesso hanno nicchie di mercato e costi alti per reggere una competizione globale sempre più agguerrita.
Non ignorando che le analisi di questi ultimi anni ci presentano un Paese diviso tra grande impresa e PMI, tra nord e sud, tra privato e pubblico, dove il lavoro viene inoltre percepito come instabile o precario, le retribuzioni molto allineate ed omogenee ed il merito sembra non sempre riconosciuto, come pure in alcuni casi, l’alta preparazione professionale.

Più spesso di quanto sembrerebbe, le organizzazioni tendono a sottovalutare la dipendenza che hanno non tanto dagli Asset, ma dagli strumenti mediante i quali questi Asset sono accessibili ed utilizzabili.
Risulta quindi evidente che la Sicurezza del business non può essere affidata a soluzioni tecnologiche standard o del tipo copia-incolla, quando le minacce e le vulnerabilità possono essere note o molto spesso sconosciute o emergenti. L’attuazione della sicurezza stessa passa attraverso molteplici “dimensioni” o aree, che devono essere uniformemente considerate nell’ambito dell’implementazione delle misure organizzative, procedurali e tecniche.
Sarebbe molto facile iniziare parlando solo di Risk Management, Probabilità di Accadimento, Danno Potenziale, etc., ma l’Organizzazione che non l’ha fatto fino ad oggi, difficilmente può permettersi di aderire immediatamente ad un approccio “virtuoso” ed “ortodosso”.  Al contrario, questo tipo di organizzazione deve comunque superare i problemi di ogni giorno ed innescare una serie di “circoli virtuosi” per prepararla ad utilizzare strumenti certamente più evoluti, ma non ancora alla propria portata.

La comprensione di quale possa essere la strategia difensiva che l’Azienda deve adottare passa attraverso una conoscenza approfondita dei contesti interni e di come essi devono adeguarsi agli scenari esterni, sempre molto dinamici. Certamente esistono molti standard e best practices, emessi da organismi internazionali, che aiutano nella corretta impostazione di un sistema per la gestione della sicurezza che affrontano il problema da differenti punti di vista: di processo, di controllo, di rischio e di prodotto.
L’obiettivo certamente è quello di creare un sistema di sicurezza che attui una modalità operativa di tipo predittivo e proattivo, analizzando:
• i fattori di cambiamento interni (ad esempio, evoluzione del modello di business, evoluzione tecnologica, modifi che organizzative, …)
• I fattori esterni all’Azienda (ad esempio, nuove minacce ed attacchi, nuovi standard o leggi, cambiamenti politici, sociali, economici, …) che possono evidenziare la necessità di modifi care il sistema di sicurezza per garantire una protezione adeguata delle proprie operazioni correnti e future. Il sistema, quindi, dovrà disporre di elementi che aiutino nella continua fase di alimentazione di una “knowledge base” che consenta:
• di mantenere alto il livello di attenzione
• di migliorare la propria abilità
• di estendere la capacità di adattamento attivo per adottare nuovi “comportamenti / contromisure” necessari per contrastare in modo effi cace ed effi ciente i nuovi scenari di rischio.
In estrema sintesi, tale approccio consente alla Security aziendale di giocare un ruolo strategico realmente al servizio e a sostegno del business dell’Impresa.

Oggi, il business non può evitare di essere esposto a rischi o danni potenziali, quindi l’organizzazione aziendale deve identifi care e gestire i rischi che potrebbero causare qualche sofferenza. Rischi o danni potenziali, che possono generare:
• Incapacità di garantire l’erogazione di servizi critici (Interni ed Esterni)
• Danni alla quota di mercato
• Danni all’immagine aziendale, alla reputazione o al marchio
• Mancata protezione dei beni aziendali (Personale, Dipendenti, Merci, Informazioni, Clienti, Proprietà Intellettuale e beni materiali & immateriali)
• Errori nel Business Control o inosservanza delle disposizioni di legge o legali o regolamenti o esigenze sociali

Non dimenticando il possibile effetto “DOMINO” della globalizzazione (Finanza, Produzione, Fornitori, Servizi, Marketing, Sanità, Trasporti, Energia sono settori interconnessi e interdipendenti l’uno dall’altro, …).
L’approccio deve quindi essere olistico che punti alla continuità di business dell’Impresa e ovviamente alla sua crescita nel mercato. Questo approccio fondamentale per affrontare le sfi de odierne e di domani è correntemente identifi cato con il termine “Business Continuity Planning”.
Il Business Continuity Planning è un Processo che deve consentire alla Impresa di continuare a fornire servizi vitali e critici in caso di interruzione causata da eventi negativi. Comprende una analisi di dettaglio ed una pianificazione rigorosa e precisa, che prevede l’impegno sull’impiego di possibili risorse necessarie per pianificare in modo adeguato e per continuare a contrastare possibili eventi negativi. Quindi il processo di Business Continuity Planning deve ridurre i rischi al normale svolgimento del business, derivanti da una interruzione inaspettata alle funzioni critiche o alle operazioni necessarie all’Impresa per il suo naturale svolgimento degli affari e in alcuni casi per la sua stessa sopravvivenza.

Business Continuity Planning, per poter rispondere e gestire incidenti “naturali” o “causati”.
Le interruzioni al normale svolgimento del business hanno ampia casistica:
• Incendi, Inondazioni, Tornado, Uragani, Terremoti, Cattive condizioni climatiche, Tempeste invernali, Eruzioni vulcaniche, Incidenti con materiali pericolosi, Perdita di energia elettrica, Contaminazione dell’aria o dell’acqua (chimica o …), Malicious code e virus, …
• Esplosione oleodotto, Incidenti di trasporto (incidenti aerei, navi mercantili, disastri ferroviari, strade bloccate …), Vandalismo, Terrorismo, Attentati, Sommosse o disordini civili, Sabotaggi, Perdita del principale fornitore o cliente principale. Perdita delle comunicazioni (voce, dati, video, …), Scioperi ad oltranza dei nostri suppliers, …
• In altre parole, tutto ciò che diminuisce o distrugge la capacità di un normale svolgimento delle attività di business e che ha Impatto sui processi di business critici, sulle risorse, sulla vita dell’impresa, …

È evidente che trattasi di un approccio “Timebased”, ovvero legato al tempo. La domanda primaria è: per quanto tempo il business è in grado di gestire situazioni senza grande sofferenza?

Si tratta quindi di un processo continuo, che ha un inizio ma non una fine. Il modello di business interno dell’Impresa può cambiare; il mondo esterno comunque cambia velocemente senza darci grandi preavvisi ma solo segnali deboli e difficili da intercettare. Il team di Business Continuity certamente deve includere persone rappresentative e responsabili di tutti i processi di business critici e non critici dell’Impresa.

Non va dimenticato che ogni nuovo processo di business dell’Impresa deve diventare parte integrante del Business Continuity Plan, perché molti sanno fare business ma pochi sanno come difenderlo!

di Claudio Pantaleo, Senior Chief Security Officer, Presidente Ass.Pri.Com.,
e Membro Comitato Scientifico S News