La presenza di un piano di continuità operativa non permette, da sola, di stabilire quanto un’impresa sia preparata ad affrontare un’interruzione delle proprie attività. Un documento può descrivere procedure corrette, individuare i responsabili e prevedere modalità di ripristino senza che sia stata adeguatamente verificata la disponibilità delle risorse necessarie o la compatibilità dei tempi previsti con le esigenze aziendali.
Queste criticità diventano particolarmente evidenti quando l’organizzazione deve gestire contemporaneamente più problemi: un impianto indisponibile, attività che dipendono dalle stesse risorse, scadenze contrattuali da rispettare e funzioni aziendali che attribuiscono priorità differenti al ripristino delle operazioni.
In circostanze simili, la capacità di risposta dipende in larga misura da valutazioni effettuate prima dell’evento. Occorre conoscere le conseguenze delle possibili interruzioni, stabilire quali attività debbano essere preservate e verificare che le soluzioni individuate siano realisticamente applicabili.
La ISO 22301 affronta questi aspetti attraverso il Business Continuity Management System (BCMS), un Sistema di Gestione che integra analisi degli impatti, strategie di continuità, responsabilità organizzative, esercitazioni e attività di verifica. Il riferimento normativo permette di affrontare la continuità operativa come una responsabilità gestionale continuativa, nella quale i piani rappresentano uno degli strumenti necessari, ma non l’unico elemento da considerare.
La continuità operativa si valuta prima che si verifichi un’interruzione
La continuità operativa riguarda la capacità di un’organizzazione di proseguire l’erogazione di prodotti e servizi a livelli predefiniti e accettabili a seguito di un’interruzione. Per valutarla è necessario comprendere quali conseguenze possa produrre l’indisponibilità delle attività e quali condizioni debbano essere soddisfatte per mantenerle o ripristinarle.
Si consideri il fermo di un impianto produttivo. La manutenzione può conoscere con precisione le operazioni necessarie per riparare il guasto, ma la gestione dell’interruzione richiede informazioni ulteriori. Quali lavorazioni dipendono dall’impianto? Quali commesse rischiano di subire ritardi? Esistono alternative praticabili? E, soprattutto, quanto tempo può trascorrere prima che il fermo produca conseguenze non più accettabili?
Le risposte possono essere diverse anche all’interno della stessa organizzazione. Un processo apparentemente secondario potrebbe essere indispensabile per completare una consegna imminente, mentre un’attività normalmente considerata prioritaria potrebbe disporre di margini temporanei di sospensione.
Inoltre, le funzioni aziendali non sempre valutano l’urgenza secondo gli stessi criteri. La produzione può privilegiare il recupero della capacità complessiva degli impianti, mentre la funzione commerciale potrebbe considerare più urgente completare una determinata commessa. La direzione deve poter confrontare queste esigenze sulla base di informazioni attendibili, anziché lasciare che le priorità siano determinate dalle pressioni del momento.
È difficile affrontare valutazioni di questo tipo quando l’interruzione è già in corso. La disponibilità di criteri condivisi, responsabilità definite e informazioni sulle conseguenze delle diverse alternative permette di assumere decisioni più consapevoli, pur senza eliminare l’incertezza che accompagna ogni evento critico.
Dal Business Continuity Plan al sistema di gestione ISO 22301
Il Business Continuity Plan (BCP) contiene informazioni e procedure destinate a supportare la risposta e il recupero delle attività durante un’interruzione. La sua efficacia operativa dipende dalla chiarezza delle indicazioni, dall’adeguatezza delle risorse previste e dalla possibilità di applicarle nelle condizioni per le quali è stato predisposto.
Un piano che individua una sede alternativa, per esempio, dovrebbe fondarsi su valutazioni relative alla sua effettiva disponibilità, alle attività che vi possono essere trasferite e alle risorse necessarie per renderla operativa. La semplice indicazione di una soluzione alternativa non chiarisce se questa sia compatibile con i requisiti di continuità dell’organizzazione.
Analogamente, l’assegnazione formale delle responsabilità non dimostra che le persone coinvolte siano in grado di coordinarsi efficacemente durante un’interruzione. Le procedure devono essere comprese, le dipendenze tra le attività considerate e le capacità previste sottoposte a verifiche adeguate.
Il Business Continuity Management System comprende il processo attraverso il quale queste valutazioni vengono sviluppate, tradotte in decisioni organizzative e riesaminate nel tempo. Il BCP ne costituisce una componente operativa, mentre il sistema include anche la definizione delle priorità, la scelta delle strategie, l’assegnazione delle risorse, il monitoraggio e il miglioramento.
La ISO 22301:2019 stabilisce i requisiti del BCMS; la ISO 22313:2020 fornisce indicazioni per la loro applicazione. In Italia, il riferimento pubblicato è la UNI EN ISO 22301:2019+A1:2024, che integra l’emendamento del 2024 relativo al cambiamento climatico.
Le modalità con cui un’organizzazione applica questi requisiti dipendono dalle sue caratteristiche e dalle esigenze di continuità individuate. Un’impresa manifatturiera e una società che eroga servizi professionali possono adottare strategie molto differenti, pur facendo riferimento alla stessa norma. La conformità del sistema non richiede soluzioni operative identiche, ma un approccio coerente con il contesto e con gli obiettivi stabiliti.
Business Impact Analysis: stabilire quali attività hanno priorità
Uno dei problemi più complessi nella gestione di un’interruzione riguarda l’assegnazione delle priorità, soprattutto quando più attività richiedono risorse che non possono essere rese disponibili contemporaneamente.
La Business Impact Analysis (BIA), prevista nell’ambito del Sistema di Gestione per la continuità operativa secondo la ISO 22301, consente di esaminare le conseguenze che l’interruzione di prodotti, servizi e attività può determinare nel tempo. L’analisi permette di individuare le esigenze di continuità dell’organizzazione, distinguendo le attività che richiedono un ripristino prioritario e le risorse necessarie per sostenerle.
La rilevanza economica di un processo, da sola, non è sempre sufficiente a determinarne l’urgenza di ripristino. Due attività possono contribuire in misura significativa ai risultati aziendali, ma presentare conseguenze molto diverse in caso di sospensione. Una potrebbe tollerare un’interruzione relativamente prolungata, mentre l’altra potrebbe compromettere rapidamente obblighi contrattuali o processi dai quali dipendono ulteriori lavorazioni.
Questa differenza diventa decisiva quando la direzione deve scegliere come distribuire personale, attrezzature o capacità produttiva disponibili in misura limitata. Le priorità possono inoltre essere interpretate diversamente dalle singole funzioni aziendali: ciò che appare urgente per la produzione potrebbe non coincidere con le esigenze commerciali o con gli impegni assunti nei confronti dei clienti.
La BIA offre gli elementi necessari per affrontare queste valutazioni attraverso criteri condivisi, considerando gli impatti delle interruzioni e la loro evoluzione temporale. Il coinvolgimento del management è essenziale, poiché la definizione delle priorità comporta decisioni che possono incidere sull’intera organizzazione e richiedere un confronto tra esigenze operative, economiche e contrattuali.
Nell’ambito della ISO 22301, i risultati dell’analisi contribuiscono alla definizione dei requisiti di continuità e costituiscono un riferimento per individuare le strategie più coerenti con le caratteristiche e gli obiettivi aziendali. Le decisioni sul ripristino delle attività devono quindi fondarsi su una valutazione delle conseguenze dell’interruzione, anziché esclusivamente sulla rilevanza attribuita ai singoli processi durante il normale funzionamento dell’impresa.
È importante, inoltre, distinguere la BIA dalla valutazione dei rischi. Quest’ultima prende in esame gli eventi e le condizioni che possono compromettere le attività, mentre la Business Impact Analysis approfondisce le conseguenze delle interruzioni e le esigenze di continuità che ne derivano. Le due analisi sono complementari, ma rispondono a finalità differenti.
I risultati della BIA devono fornire alla direzione informazioni sufficientemente solide per orientare le successive scelte organizzative. Se un’attività viene considerata prioritaria senza averne compreso le effettive esigenze di ripristino, le dipendenze operative o le risorse indispensabili, anche una strategia formalmente ben definita potrebbe rivelarsi inadeguata rispetto alle necessità dell’impresa.
Strategie, risorse ed esercitazioni: come verificare la preparazione
Una volta individuate le attività prioritarie e le relative esigenze di continuità, l’organizzazione deve stabilire quali soluzioni adottare per mantenerle operative o ripristinarle entro tempi compatibili con le conseguenze dell’interruzione.
Le strategie possono prevedere l’impiego di risorse sostitutive, modalità operative alternative, il trasferimento temporaneo di determinate attività o altre soluzioni coerenti con le caratteristiche dell’impresa. La scelta richiede una valutazione delle condizioni necessarie per attuarle, delle risorse effettivamente disponibili e dei limiti che potrebbero comprometterne l’applicazione.
Un’impresa potrebbe, ad esempio, prevedere il trasferimento di una lavorazione presso un’altra sede in caso di indisponibilità dell’impianto principale. La praticabilità di questa soluzione dipende da diversi fattori: disponibilità delle attrezzature, competenze del personale, capacità produttiva residua, condizioni logistiche e tempi necessari per avviare le operazioni. La semplice presenza di uno stabilimento alternativo non dimostra che il trasferimento possa avvenire nei tempi richiesti.
La ISO 22301 affronta questi aspetti attraverso un Sistema di Gestione nel quale le strategie e le soluzioni di continuità devono essere coerenti con i risultati delle analisi, con le priorità individuate e con le capacità organizzative disponibili. La pianificazione deve quindi tradursi in modalità operative concretamente attuabili, sostenute da responsabilità definite e risorse adeguate.
Per valutare la preparazione dell’organizzazione assumono particolare rilievo le esercitazioni e le attività di verifica, che consentono di esaminare l’applicazione delle procedure e il funzionamento delle soluzioni predisposte. Attraverso scenari opportunamente definiti è possibile osservare il coordinamento tra le funzioni coinvolte, la comprensione delle responsabilità e le difficoltà che potrebbero emergere durante la gestione di un’interruzione.
La valutazione dei risultati deve tuttavia considerare l’estensione e gli obiettivi delle verifiche effettuate. Un’esercitazione dedicata all’attivazione delle procedure di emergenza e alla comunicazione interna, ad esempio, può fornire informazioni significative sulla capacità di coordinamento, senza dimostrare necessariamente che le risorse alternative siano sufficienti a sostenere i livelli operativi previsti per un periodo prolungato.
Per il management è quindi importante comprendere quali aspetti siano stati effettivamente verificati, quali condizioni siano state simulate e quali limiti debbano essere considerati nell’interpretazione dei risultati. Il completamento di un’esercitazione non equivale, di per sé, alla dimostrazione dell’efficacia di tutte le strategie di continuità adottate.
Le informazioni raccolte devono essere utilizzate per individuare eventuali criticità e valutare gli interventi necessari. Se una verifica evidenzia tempi di attivazione incompatibili con gli obiettivi di continuità, potrebbe essere necessario rivedere la strategia, modificare l’organizzazione delle risorse o approfondire le condizioni operative sulle quali era stata costruita.
In questo processo, la verifica delle capacità predisposte assume un significato che va oltre il controllo formale delle procedure: fornisce alla direzione elementi per valutare la coerenza tra le soluzioni pianificate e le effettive possibilità di risposta dell’organizzazione.
Audit e certificazione ISO 22301: che cosa viene valutato
La gestione della continuità operativa produce informazioni che consentono di esaminare le decisioni assunte e il funzionamento del sistema. Le analisi degli impatti, le strategie, i risultati delle esercitazioni e le attività di monitoraggio documentano aspetti differenti della preparazione organizzativa.
L’esistenza di queste evidenze non implica automaticamente che tutte le soluzioni siano adeguate. La loro valutazione richiede di considerare la coerenza tra requisiti di continuità, capacità predisposte e risultati delle verifiche, tenendo conto dello scopo e delle condizioni nelle quali ciascuna attività è stata svolta.
L’audit interno permette all’organizzazione di valutare il proprio Sistema di Gestione rispetto ai criteri stabiliti e ai requisiti applicabili, individuando eventuali non conformità e necessità di miglioramento.
L’audit di certificazione viene invece svolto da un organismo di certificazione indipendente, con l’obiettivo di valutare la conformità del sistema ai requisiti della norma di riferimento entro uno scopo definito. La ISO/IEC 17021-1:2015 stabilisce i requisiti relativi alla competenza, alla coerenza e all’imparzialità degli organismi che effettuano audit e certificazione dei Sistemi di Gestione.
Una certificazione ISO 22301 può attestare la conformità del BCMS valutato, ma il suo significato deve essere interpretato correttamente. Non costituisce una garanzia dell’assenza di interruzioni e non dimostra che ogni strategia produrrà i risultati attesi in qualsiasi scenario futuro.
La valutazione indipendente riguarda un sistema definito, sulla base di requisiti ed evidenze esaminati attraverso il processo di certificazione. La gestione delle capacità di continuità rimane una responsabilità dell’organizzazione, che deve mantenerle coerenti con le proprie attività e con gli eventuali cambiamenti intervenuti.
Anche l’accreditamento deve essere distinto dalla certificazione: riguarda la valutazione della competenza dell’organismo di certificazione secondo i requisiti applicabili, non la capacità dell’impresa certificata di evitare qualsiasi interruzione.
Per il management, comprendere questi limiti è importante quanto conoscere il valore della certificazione. Consente di interpretare correttamente ciò che viene attestato e di non attribuire alla valutazione di conformità un significato più ampio rispetto al suo effettivo oggetto.
Quali informazioni dovrebbe conoscere il management sulla continuità operativa
La gestione della continuità richiede il coinvolgimento di funzioni aziendali che, nelle attività ordinarie, operano con responsabilità e obiettivi differenti.
La direzione operativa deve conoscere le condizioni necessarie per mantenere o ripristinare le attività prioritarie. Chi presidia il rischio aziendale ha bisogno di comprendere le conseguenze delle interruzioni, le dipendenze rilevanti e le criticità ancora aperte. La direzione generale deve poter valutare se le strategie individuate siano compatibili con gli obiettivi dell’impresa e con le risorse che intende destinare alla loro attuazione.
Non sempre queste valutazioni conducono a decisioni semplici. Una soluzione tecnicamente praticabile può richiedere investimenti che l’organizzazione considera sproporzionati rispetto alle conseguenze attese dell’interruzione. Al contrario, un’attività apparentemente marginale può giustificare misure specifiche perché la sua indisponibilità comprometterebbe impegni particolarmente rilevanti.
Le scelte sulla continuità operativa devono confrontarsi con questi vincoli. La disponibilità di analisi e verifiche permette di rendere più espliciti i criteri utilizzati, le alternative considerate e le eventuali limitazioni delle capacità predisposte.
Il BCMS fornisce una struttura entro la quale mantenere queste informazioni aggiornate e sottoporle a riesame. Quando cambiano i processi, vengono introdotte nuove attrezzature o si modificano le responsabilità, anche le valutazioni che sostengono le strategie di continuità possono richiedere una revisione.
La ISO 22301 offre un riferimento per organizzare e verificare tale processo, collegando le decisioni del management alle attività attraverso le quali l’impresa si prepara alle interruzioni e valuta le proprie capacità di risposta.
Resta una differenza inevitabile tra ciò che viene pianificato e quanto accadrà durante un evento reale. La conformità a una norma, così come l’esito positivo di un’esercitazione, non elimina questa incertezza. Permette però di disporre di elementi sui quali fondare una valutazione più consapevole della preparazione aziendale.
Per chi ha responsabilità di direzione, il punto è conoscere non soltanto quali piani siano disponibili, ma quali decisioni ne sostengano l’applicabilità, quali capacità siano state effettivamente verificate e quali criticità debbano ancora essere affrontate.
Dalla pianificazione alla verifica della continuità operativa
La capacità di affrontare un’interruzione dipende dalla qualità delle decisioni assunte prima che questa si verifichi. Conoscere le attività prioritarie, disporre di strategie realisticamente applicabili e verificare periodicamente le risorse e le responsabilità coinvolte permette all’organizzazione di valutare con maggiore consapevolezza la propria preparazione.
La ISO 22301 offre un riferimento strutturato per governare questo processo, integrando la continuità operativa nelle responsabilità e nei meccanismi di controllo aziendali. Il valore di un Sistema di Gestione emerge soprattutto dalla coerenza tra le esigenze individuate, le soluzioni adottate e le evidenze disponibili per valutarne l’applicazione.
La certificazione rappresenta un ulteriore livello di valutazione: attraverso un audit indipendente, consente di attestare la conformità del Sistema di Gestione ai requisiti della norma, entro lo scopo oggetto di verifica. Non elimina il rischio di interruzioni, ma fornisce un riscontro sulla conformità dell’approccio organizzativo adottato.
Per le organizzazioni che intendono intraprendere un percorso di certificazione ISO 22301, conoscere i requisiti della norma e comprendere le modalità di valutazione del Sistema di Gestione costituisce un passaggio importante per affrontare il processo con maggiore consapevolezza.
In questa prospettiva, TCL Italia può fornirti informazioni sull’iter di certificazione ISO 22301, chiarendone le fasi, i criteri di valutazione e gli aspetti da considerare prima di avviare il percorso. Contattaci per maggiori informazioni