Per continuità operativa (in inglese business continuity) si intende la capacità di un'organizzazione di continuare a erogare prodotti o servizi a livelli predefiniti accettabili a seguito di un incidente.
Storia La continuità operativa nacque verso la fine degli anni '70 negli Stati Uniti d'America come conseguenza dell'avvento dell'Information Technology nelle aziende. I manager si resero conto che in caso di malfunzionamento dei sistemi IT, non era più possibile tornare a processi manuali. Pertanto iniziarono a riflettere sulla continuità dei processi IT, attraverso le prime attività di "Disaster Recovery". Una delle difficoltà iniziali dei tecnici chiamati a fare queste riflessioni fu quella di giustificare investimenti significativi per preparare l'organizzazione a reagire a eventi distruttivi con bassa probabilità di accadimento. Si instaurò così verso la metà degli anni '80 la prima metodologia di Business Impact Analysis, che venne originariamente applicata al solo ambito informatico.
La disciplina iniziò quindi a evolversi e a essere implementata anche in altri Paesi anglosassoni (principalmente nel Regno Unito e in Australia). Negli anni '90 le organizzazioni incominciarono inoltre ad allargare la riflessione anche alle risorse umane, agli asset fondamentali e ai processi aziendali nel loro complesso. In quegli stessi anni il British Standards Institution lanciò un primo standard per la sicurezza informatica (che negli anni è stato modificato fino a diventare l'attuale Norma ISO/IEC 27001) che tra i principi fondamentali enunciava la necessità di continuità operativa, definita ai tempi ancora in termini di disponibilità dei dati.
A cavallo tra la fine degli anni '80 e l'inizio degli anni '90 vennero fondate anche diverse associazioni professionali, alcune delle quali diventate con il tempo di rilevanza globale. Verso la fine del XX secolo, grazie soprattutto al lavoro di questi enti, emerse invece l’idea di un approccio olistico alla materia. Stava diventando ormai evidente la necessità di fornire protezione e resilienza a tutte le attività di un'organizzazione, non solo a quelle di derivazione IT.
Negli anni 2000, quindi, anche a seguito dell'impulso di gravi eventi (come gli Attentati dell'11 settembre 2001) che hanno ampliato ulteriormente la riflessione agli aspetti di gestione delle crisi, si è cercato di codificare la continuità operativa e classificarla come parte della famiglia degli standard dei sistemi di gestione, seguendo un percorso già tracciato dai servizi di Qualità, Ambiente e Information Security. Questo ebbe inizio con una serie di norme guida che hanno poi portato alla definizione della Norma ISO 22301:2012.
Descrizione Si tratta di una disciplina di gestione che consente all’organizzazione - privata o pubblica che sia - di diventare più resiliente agli incidenti che potrebbero causarne l’interruzione delle attività o addirittura minacciarne l'esistenza. Come tale, la continuità operativa è una delle discipline chiave della resilienza organizzativa e contribuisce quindi a un significativo miglioramento delle performance dell'organizzazione. La continuità operativa, infatti, fornisce in modo univoco il quadro di riferimento per comprendere come il valore viene creato e mantenuto all’interno di un’organizzazione e stabilisce una relazione diretta con le dipendenze o le vulnerabilità inerenti alla distribuzione di tale valore.
Erroneamente, viene spesso confusa con il disaster recovery che è applicabile (come misura di gestione di un incidente critico) unicamente alla sicurezza informatica. La continuità operativa ha un campo di applicazione molto più ampio e prevede riflessioni anche su persone, siti, risorse, fornitori dell'organizzazione e servizi pubblici. Pertanto, il concetto di disastro ha a che fare unicamente con la sicurezza informatica, l'emergenza, la crisi e la catastrofe con la continuità operativa.
Continuità operativa e gestione del rischio Tramite i modelli di gestione del rischio, le organizzazioni danno la percezione di tutela e creazione di valore per le parti interessate (azionisti, addetti, clienti e utenti, fornitori, comunità locale, autorità di regolamentazione e pubblico in generale). Questo obiettivo è molto simile a ciò che è espresso quale fondamento logico per la continuità operativa. Quindi è chiaro che le due discipline debbano condividere una serie di caratteristiche.
Il risk management ha solitamente una più ampia portata rispetto alla continuità operativa, comportando in alcune grandi organizzazioni - specialmente nel settore finanziario - la necessità per la continuità operativa di adeguarsi al quadro complessivo dei rischi. Questo è perfettamente possibile da realizzare, purché vi sia una chiara distinzione a livello di terminologia e di contenuti tra le due discipline. A questo proposito è importante notare come la continuità operativa si focalizzi - in particolare nella fase di Analisi - sull’identificazione delle vulnerabilità organizzative collegate al valore di base che supportano (Analisi delle Minacce) e sulla comprensione dell’impatto di una loro indisponibilità sull’organizzazione (Business Impact Analysis).
La continuità operativa non è dunque solo identificazione, valutazione e segnalazione di ogni singolo rischio concepibile per un’organizzazione, i suoi mercati, i clienti e il contesto in cui opera e non è certamente mera assegnazione delle probabilità di manifestazione degli eventi. La gestione dei rischi identifica le minacce catastrofiche che sono al di fuori del controllo dell’organizzazione, mentre la gestione della continuità operativa si preoccupa di definire il modo per ridurre l’impatto di tali minacce, qualora si dovessero verificare.
La valutazione dei rischi che viene svolta all’interno di un programma di gestione della continuità operativa è di solito a livello operativo, in quanto riguarda l’interruzione delle attività. Tale valutazione dei rischi può integrare quella intrapresa come parte del programma di gestione dei rischi. L’implementazione di entrambe le discipline, continuità operativa e gestione dei rischi, fornisce a un'organizzazione l’opportunità di rafforzare la sua resilienza, ma questo avverrà solo se il management delle due discipline è effettivamente coordinato.
Continuità operativa e gestione delle crisi
La gestione delle crisi è il processo tramite il quale viene sviluppata e applicata la capacità organizzativa di affrontare eventi critici, intesi come situazioni anormali e di grave instabilità che minacciano gli obiettivi strategici, la reputazione o la sopravvivenza stessa di un'organizzazione. Le crisi non comportano necessariamente un’interruzione delle attività dell’organizzazione, si pensi ad esempio all'eventualità di dover gestire notizie mediatiche negative potenzialmente in grado di danneggiare la reputazione di un’organizzazione. Tuttavia, la gestione delle crisi richiede conoscenze e competenze specialistiche del tutto assimilabili a quelle previste nell'ambito del Programma di gestione della continuità operativa.
La gestione delle crisi è quindi certamente una delle attività che deve essere affrontata da qualsiasi organizzazione che implementi la continuità operativa. Non dovrebbe pertanto essere separata dalla continuità operativa, in quanto parte integrante di una qualsiasi risposta positiva a un incidente. Potrebbero esserci comunque ulteriori aspetti della disciplina da considerare quando viene applicata a incidenti derivanti da minacce non operative, come ad esempio la gestione dei media e la comunicazione con gli stakeholder esterni in caso di crisi. In ogni caso, il coordinamento delle attività di gestione delle crisi pertiene al livello strategico del Sistema di Gestione della Continuità Operativa.
Standard e norme di riferimento Nel mese di maggio del 2012 è stata pubblicata dallInternational Organization for Standardization la Norma ISO 22301:2012 Societal security -- Business continuity management systems -- Requirements, alla quale nel mese di dicembre ha fatto seguito la Norma ISO 22313:2012 Societal security -- Business continuity management systems -- Guidance. Nel mese di dicembre del 2015, invece, sono state emanate le seguenti Technical Specification correlate: ISO TS 22317:2015 Societal security -- Business continuity management systems -- Guidelines for business impact analysis (BIA) e ISO TS 22318:2015 Societal security -- Business continuity management systems -- Guidelines for supply chain continuity.
In materia di gestione delle crisi, invece, nel mese di maggio del 2014 è stato pubblicato dal British Standards Institution la Norma BS 11200:2014 Crisis management -- Guidance and good practice.
Tutti questi standard forniscono un metodo formalizzato per garantire che il Programma di continuità operativa e gestione della crisi dell’organizzazione sia efficace e allineato alla cultura e ai requisiti dell'organizzazione. L’approccio dei Sistemi di Gestione è utilizzato anche per altre discipline - come l'Information Security (Norma ISO/IEC 27001:2013) e la Qualità (Norma ISO 9001:2015) e quindi un sistema di gestione della continuità operativa può essere facilmente aggiunto poiché vi è una convergenza di tali Sistemi intorno a un testo standard comune.
Infine, il Business Continuity Institute: nel 2013 ha rilasciato le BCI Good Practice Guidelines - basate sulla Norma ISO 22301:2012 - che ad oggi rappresentano il principale punto di riferimento a livello internazionale dei professionisti di continuità operativa per la gestione di un Programma di continuità operativa in azienda; nel 2016 ha pubblicato il BCM Legislations, Regulations & Standards Report che riassume tutti i riferimenti normativi in materia per ciascun singolo Paese.
Focus sulla Normativa Italiana Pubblica Amministrazione La pubblica amministrazione era tenuta ad assicurare la continuità dei propri servizi per garantire il corretto svolgimento della vita nel Paese secondo l'Art. 97 della Costituzione ed il principio di buon andamento dell'amministrazione, da rispettare seguendo il Codice dell'Amministrazione Digitale (CAD) che agli articoli 50 e 50-bis esprimeva e dichiarava le norme che ogni pubblica amministrazione avrebbe dovuto seguire in caso di disastro.
Il d. lgs. 30 dicembre 2010 aveva infatti introdotto nel CAD l'articolo 50-bis (Continuità operativa) i seguenti punti: In relazione ai nuovi scenari di rischio, alla crescente complessità dell'attività istituzionale caratterizzata da un intenso utilizzo della tecnologia dell'informazione, le pubbliche amministrazioni predispongono i piani di emergenza in grado di assicurare la continuità delle operazioni indispensabili per il servizio e il ritorno alla normale operatività. Il ministro per la pubblica amministrazione e l'innovazione assicura l'omogeneità delle soluzioni di continuità operativa definite dalle diverse Amministrazioni e ne informa con cadenza almeno annuale il Parlamento. Per la Pubblica Amministrazione, la Continuità Operativa era un dovere perché: Sarebbe tenuta ad assicurare la continuità dei propri servizi per garantire il corretto svolgimento delle funzioni pubbliche ed il diritto dei cittadini ad accedere ai servizi pubblici per via telematica (art. 3, d. lgs. 82/2005, “Codice dell'Amministrazione Digitale”); L'Art. 97 della Costituzione ed il principio di buon andamento dell'amministrazione devono essere garantiti anche se si utilizzano tecnologie ICT a supporto dei procedimenti;