Dare forma alla resilienza | Trovare le azioni concrete di risposta a ciascuna fonte di rischio. (seconda parte)

In questo nuovo articolo della nostra rubrica “Adattarsi, Sopravvivere, diventare Invulnerabili (conoscendo i propri limiti)“: come identificare e selezionare soluzioni più appropriate per raggiungere l’obiettivo di continuità operativa desiderato dall’azienda.

Nell’ultimo articolo abbiamo visto quali sono le soluzioni e le tattiche più appropiate. Oggi le spiegheremo più nel dettaglio.

Strategie e tecniche utili per dar corpo alla resilienza aziendale

Strategie

Esistono numerose strategie per raggiungere l’obiettivo di continuità operativa prefissato:

• diversificazione
• replicazione
• standby
• acquisizione post incidente
• non fare nulla
• subappalto

A prescindere da ciò, va comunque prevista un’assicurazione per compensare finanziariamente tutte le perdite economiche e le interruzioni subite dall’azienda.

Diversificazione:

la diversificazione di attività e risorse garantisce che le funzioni vitali dell’organizzazione non si arrestino, pur a seguito di un gravissimo incidente. Questa strategia viene realizzata creando più siti di produzione in luoghi molto distanti tra loro. In questo modo, il malfunzionamento di un impianto, non pregiudica il normale funzionamento dei siti gemelli. E’ una strategia alla quale ricorrere quando l’RTO è misurato in minuti e che certamente offre un alto grado di resilienza, ma è chiaro che sia anche molto costosa; inoltre, va considerato che fenomeni su larghissima scala come una pandemia o un virus informatico sarebbero comunque il grado di interrompere la produzione.

Replicazione:

a differenza della diversificazione, nella replicazione le risorse ridondate sono poste in un sito “dormiente” che viene portato in produzione solo a seguito di un incidente. Tutte le attività precedentemente interrotte possono essere riprese, ma solitamente è necessario spostare il personale nel nuovo sito produttivo. E’ una strategia da intraprendere, laddove l’RTO è stimabile in ore (e in ogni caso inferiore ad un giorno). Le difficoltà risiedono nel garantire che il sistema di trasferimento sia celere e che il personale sia disposto a lavorare anche per lunghi periodi di tempo lontani dal sito di lavoro originario.

Standby:

quando l’RTO è maggiore di un giorno, una strategia appropriata potrebbe essere quella di avere una struttura di riserva disponibile che può essere resa operativa in questo lasso di tempo. Anche in questo caso molto dipende dalla disponibilità dello staff a lavorare per lunghi periodi in condizioni logistiche sfavorevoli.

Acquisizione post incidente:

questa strategia prevede l’acquisizione delle risorse necessarie a ripristinare l’attività dopo un incidente, laddove l’RTO viene misutato in giorni o settimane. E’ essenziale dotarsi di fornitori qualificati, in grado di rispondere con un breve preavviso. Questo tipo di soluzione non è adatta per quel tipo di attività che necessita di attrezzature/strutture/competenze specialistiche che potrebbero essere di difficile reperimento.

Non fare nulla:

un’opzione da vagliare quando l’RTO ammonta a mesi è aspettare che la crisi passi e poi decidere come agire. E’ chiaro che in un siffatto contesto attrezzature/strutture/competenze devono essere facilmente ottenibili. 

Le organizzazioni dovrebbero sempre documentare i motivi per cui l’inazione è la strategia più appropriata, in modo da evitare in seguito controversie in caso di gravi incidenti.Da notare che questa è la strategia designata implicitamente da tutte le azinde che che non hanno implementato un BCP.

Subappalto:

le terze parti possono essere ingaggiate per produrre direttamente un prodotto o servizio, fornire le infrastrutture produttive e intraprendere attività che attualmente l’organizzazione non è in grado di eseguire. Il successo di questa strategia dipende principalmente dalla velocità con cui l’azienda collaboratrice può diventare operativa. Andrà dunque previsto pianificato che tutte le risorse necessarie (materie prime, progetti, macchinari, tecnologie, ecc) siano stoccate vicino al sito del subappaltatore. Allo stesso modo, il loro personale andrà adeguatamente addestrato.

Assicurazione:

quando adeguatamente stipulata, può fornire le risorse finanziarie per coprire la perdita di beni aziendali, accresciuti costi di lavorazione, il ripristino delle attività, nonché una protezione per eventuali pendenze legali. Va anche detto però che difficilmente la polizza potrà coprire integralmente i danni causato da un grave incidente, la perdita di clienti, del valore delle azioni, della reputazione e dell’immagine del marchio. È importante, quindi, che le misure selezionate siano coerenti con la copertura assicurativa dell’organizzazione. Da specificare che la copertura assicurativa integra la pratica di business continuity ma non può sostituirla, a meno che l’RTO sia misurato nell’arco di mesi e le risorse, le strutture e le competenze siano facilmente rimpiazzabili.

Tattiche

La pianificazione della continuità aziendale richiede di individuare delle tattiche da mettere in campo in casi di perdita delle risorse:

• persone (abilità e conoscenza)
• locali (edifici e strutture)
• risorse (IT, attrezzature, materiali, ecc.)
• fornitori (prodotti e servizi forniti da terzi parti)

Tutte le tattiche predisposte devono poter essere eseguite autonomamente (ad esempio, se la perdita è relativa ad un sistema informatico o una singola linea di produzione), ma devono anche poter interagire le une con le altre, in qualsiasi ordine o configurazione (per esempio, quando un edificio è distrutto da una catastrofe assieme a tutte le risorse in esso contenute, impedendo al personale di operare.

Distanza di sicurezza:

Per migliorare le proprie capacità di recupero, un’organizzazione può conservare dei duplicati delle sue risorse vitali, utilizzare diversi fornitori, replicare le operazioni in siti geograficamente distanti. Incidenti particolarmente gravi possono precludere l’accesso ad intere aree del territorio, è dunque necessario assicurarsi che ci sia una distanza fisica ragionevolmente adeguata tra la risorsa originale e la sua copia, tra i vari fornitori, tra il sito principale e quello secondario.

L’individuazione della distanza di sicurezza determinerà automaticamente anche la massima estensione geografica di un incidente che l’organizzazione sarà in grado di sopportare, un dato che successivamente dovrà essere parte integrante di ogni decisione nella pianificazione della continuità aziendale.

Nella pratica la scelta dovrà essere compiuta in funzione della strategia, degli obiettivi e della cultura aziendali. Alcune aziende troveranno opportuno far coincidere la distanza con la loro area di mercato, altre potrebbero semplicemente assumere come fattore determinante la distanza massima che la propria forza lavoro sarebbe disposta a percorrere per trasferisti verso il sito di backup. Una metodologia efficace per determinare una distanza di sicurezza adeguata al proprio business è quella di associare le tipologie di minaccia individuate nella fase di Analisi ad aree geografiche specifiche. 

Livelli di servizio:

Molte organizzazioni si limitano a determinare il livello minimo accettabile per riuscire a garantire l’erogazione dei propri servizi o la distribuzione dei propri prodotti. E’ un punto di partenza, ma spesso non è sufficiente. E’ meglio quindi determinare differenti livelli di servizio tra il livello di funzionamento minimo e quello ordinario.

Dettagli di progettazione delle misure di ripristino:

Il livello di dettaglio col quale il business continuity plan, nella fattispecie le strategie e le tattiche di recupero che lo costituisco, dipende dal livello di urgenza e complessità dei processi, delle infrastrutture o delle attività danneggiati. Il progetto sarà sicuramente dettagliato per proccesi e attività con RTO bassi, mentre per valori meno stringenti (settimane o addirittura mesi) potrebbe non essere necessario pianificare delle procedure eccessivamente dettagliate. L’incidente stesso potrebbe costituire addirittura un’occasione per rivalutare a tutto tondo le modalità operative aziendali.

Affidabilità:

Quando nei processi di recupero sono coinvolte le terze parti, è opportuno trovare la giusta via di mezzo tra il costo della collaborazione e l’affidabilità del partner. I termini del rapporto spaziano dall’accordo verbale in caso di RTO poco impegnativi, sino alla stipulazione di un contratto vincolante, comprensivo di livelli di servizio (SLA) definiti nero su bianco. Minore l’RTO, maggiori dovranno essere i requisiti richiesti alla terza parte.

Le esigenze delle parti interessate: 

le conseguenze di un disastro potrebbero coinvolgere molteplici individui e gruppi. Il livello di responsabilità dell’organizzazione (sia legale che morale) rispetto a questi soggetti deve essere stabilito ufficialmente. L’organizzazione deve verificare quali siano le loro necessità, assegnando diversi livelli di priorità, così da evitare spiacevoli disguidi durante le operazioni di ripristino. Per esempio, in caso di disagi i residenti della zona potrebbero spingere le autorità locali a rifiutare permesso di ricostruire su un sito danneggiato.

La disponibilità dei servizi erogati da terze parti: 

Esistono molte opzioni per attrezzare un sito alternativo di backup, fornito da terze parti. Va specificato però che in alcuni paesi servizi di questo genere potrebbero non essere disponibili e che alcuni governi non permettono alle organizzazioni di erogare tali prestazioni al di fuori dei propri confini.

Laddove non ci sia la possibilità di perseguire questa strada, l’organizzazione deve rivedere la propria progettazione della continuità operativa. Un possibile sbocco è quello di organizzare un sito autonomamente, valutando anche di metterlo a disposizione di altre aziende.

Nella prossima puntata

Oggi abbiamo visto quali siano le strategie e le tattiche più adeguate a seconda del contesto aziendale, per ridurre i disservizi derivati dai fattori di rischio individuati attraverso il risk assessment e business impact analysis. In particolare come utilizzare il parametro fondamentale RTO per priorizzare gli investimenti.

Nel prossimo articolo intitolato:

Implementazione | Redigere un buon documento di continuità operativa

vedremo come formalizzare i risultati sin qui ottenuti. Verranno fornite utili indicazioni su quali siano le procedure corrette e la forma più adatta da dare al documento di continuità operativa, oltre alle buone pratiche da includere; in breve: cosa un BCP debba effettivamente contenere per poter essere ritenuto adeguato.

Indice della Rubrica

Articoli

1. Presentazione | Adattarsi, Sopravvivere, diventare Invulnerabili (conoscendo i propri limiti) Un percorso formativo sulla Business Continuity

2. Introduzione | I fondamentali della Business Continuity 
   [prima parte] [seconda parte]

3. Preparazione | Creare un team per raggiungere l’obiettivo: non fermarsi mai
   [prima parte] [seconda parte]

4. Integrazione | Seminare la cultura della resilienza

5. Analisi | Gli strumenti di conoscenza: Valutazione del Rischio & Analisi dell’Impatto sul Business

6. Progettazione | Dare forma alla resilienza [prima parte] [seconda parte]

7. Implementazione | Redigere un buon documento di continuità operativa [prima parte] [seconda parte]

8. Validazione | Un processo continuo di miglioramento

9. Disaster Recovery | L’ancora di salvezza

Appendici

1. Catalogo ISO Business Continuity (prossimamente)

2. La genesi della Business Continuity