La business continuity management (BCM), o in italiano gestione della continuità operativa, è il processo con cui un’organizzazione individua le minacce alle proprie attività, ne valuta gli impatti e costruisce la capacità di continuare a erogare prodotti e servizi, a un livello accettabile, durante e dopo un’interruzione. La norma internazionale di riferimento è la ISO 22301, che ne fissa i requisiti come sistema di gestione della continuità operativa, il BCMS (ISO).
Ciò che separa una continuità governata da una continuità sulla carta è chi decide quali attività non possono fermarsi, per quanto tempo e con quali risorse. Tutte scelte del vertice, perché costano e perché chi le sbaglia le paga durante l’interruzione. Se il risk management riconosce il rischio, la continuità operativa lo rende eseguibile. In questo articolo scopriremo in che modo.
Business continuity management: a cosa serve
La continuità operativa serve a decidere in anticipo che cosa proteggere, in quale ordine ripartire e chi risponde della ripartenza. Senza questo lavoro le priorità si stabiliscono durante l’interruzione, da chi è presente, con informazioni incomplete.
Le cause di un fermo sono molte: un guasto tecnico, un evento naturale, un errore umano, un attacco informatico, l’indisponibilità di un fornitore, l’uscita improvvisa di una persona chiave. La business continuity management non parte dalla causa ma dall’effetto: quale attività si ferma, per quanto tempo l’organizzazione può permetterselo, che cosa succede ai clienti nel frattempo. Per questo lo stesso sistema regge eventi molto diversi.
Il ciclo della business continuity management
Il ciclo della business continuity management segue lo schema della ISO 22301 e la logica dei sistemi di gestione: si parte dal contesto e si chiude con il miglioramento. La tabella traduce le fasi in decisioni.
Contesto e ambito
Quali sedi, processi e servizi rientrano nel sistema.
Chi rispondeAlta direzione
Leadership e ruoli
Politica, budget, responsabile della continuità.
Chi rispondeAlta direzione
Analisi
Quali attività sono prioritarie e quanto danno fa il fermo, e quali rischi le minacciano.
Chi rispondeResponsabili di processo, con il responsabile della continuità
Strategie e piani
Come si continua o si riparte: sedi, sistemi e fornitori alternativi, piani di crisi e di comunicazione.
Chi rispondeResponsabili di processo e IT
Esercitazioni
Se i piani funzionano davvero.
Chi rispondeResponsabile della continuità, con le persone coinvolte
Valutazione e miglioramento
Audit, correzioni, aggiornamenti.
Chi rispondeAlta direzione, con l’audit interno
L’analisi usa due strumenti. La business impact analysis (BIA) stima come crescono gli effetti dell’interruzione con il passare del tempo, per decidere priorità di ripristino e risorse; la valutazione dei rischi cerca invece le concentrazioni di rischio e i punti singoli di guasto (BCI). Dalla BIA discende il periodo massimo di interruzione che l’organizzazione può tollerare, e da questo i due obiettivi che guidano le strategie: il tempo entro cui ripristinare un’attività (RTO) e la quantità di dati che si accetta di perdere (RPO) (Wikipedia). Sono decisioni di tolleranza prima che valori tecnici.
Business continuity plan e disaster recovery: le differenze
Il business continuity plan è il documento operativo che comunica chi fa che cosa quando scatta l’interruzione. La business continuity management è il sistema che decide, produce, prova e aggiorna quel piano e gli altri. Il disaster recovery riguarda il ripristino dei sistemi informatici ed è uno dei piani dentro il sistema, non il sistema stesso: un’azienda può avere ottimi backup e non sapere dove far lavorare le persone o chi avvisare i clienti.
Accanto al piano di continuità esistono piani specialistici, per esempio di gestione della crisi, di comunicazione o di pandemia (Wikipedia). Come si scrive e come si struttura il piano è il tema del nostro approfondimento sul business continuity plan.
Business resilience e continuità operativa
La business resilience viene spesso usata come sinonimo di continuità operativa. Eppure, dal nostro punto di vista, indica soprattutto la capacità più ampia di assorbire gli urti e adattarsi, di cui la continuità è una componente: continuare le attività critiche è la parte che si può pianificare, provare e misurare. Quando la continuità riguarda servizi essenziali, il tema si sposta sulla operational resilience, che trattiamo a parte.
Quando la continuità è un obbligo
Per banche, imprese di investimento, gestori, istituti di pagamento e altre entità finanziarie vigilate, il regolamento DORA (UE) 2022/2554 si applica dal 17 gennaio 2025 e richiede una strategia di resilienza operativa digitale, con test avanzati dei sistemi ICT (Banca d’Italia). Per le altre imprese gli obblighi di continuità dipendono dal settore e dai contratti con i clienti, e dove non ce ne sono, la continuità resta una scelta del vertice. Resta da verificare, caso per caso, se un’attività rientra in un perimetro regolato.
L’angolo Bliss: la continuità come soglia di tolleranza
Nel nostro lavoro quotidiano consideriamo la business continuity management come una soglia di tolleranza che qualcuno deve firmare: quanto tempo di fermo, quanta perdita di dati o quanto ritardo con i clienti l’impresa è disposta ad accettare per ciascuna attività. La ragione per cui non si può delegare tutto all’IT o alla sicurezza è che la soglia dipende da ciò che l’impresa vale per i suoi clienti, e questo lo sa chi governa.
Se la soglia manca, succedono tre cose.
- Le priorità si decidono durante la crisi.
- Il piano esiste, ma nessuno ha l’autorità di dichiararlo attivo.
- La comunicazione verso clienti, dipendenti e stampa viene improvvisata, quando invece ha un proprio piano di gestione della crisi.
Chi risponde, davanti ai clienti e davanti al consiglio, è il vertice.
Per questo la business continuity management è una decisione di governo, non un progetto di manutenzione.
Il punto di vista di Bliss Agency
Domande frequenti
Che cos’è la business continuity management?
La business continuity management è il processo con cui un’organizzazione individua le minacce alle proprie attività, ne valuta gli impatti e costruisce la capacità di continuare a erogare prodotti e servizi durante e dopo un’interruzione. Si realizza con un sistema di gestione, il BCMS, i cui requisiti sono definiti dalla norma ISO 22301 (ISO).
A cosa serve la business continuity management?
La business continuity management serve a decidere in anticipo quali attività proteggere, in che ordine ripartire dopo un fermo e chi se ne assume la responsabilità. Riduce il tempo di inattività e la dipendenza da improvvisazioni durante l’evento. Il suo valore si misura nel momento in cui qualcosa si interrompe davvero, non nella documentazione prodotta.
Qual è la differenza tra BCM e BCP?
La BCM è il sistema di gestione: politica, ruoli, analisi, strategie, esercitazioni e miglioramento. Il BCP, business continuity plan, è il documento operativo che dice chi fa che cosa quando scatta un’interruzione. Il piano è uno dei prodotti del sistema, e un sistema può comprendere più piani.
Business continuity e disaster recovery sono la stessa cosa?
No. Il disaster recovery riguarda il ripristino dei sistemi informatici e dei dati dopo un guasto o un attacco, ed è uno dei piani previsti dalla business continuity management, che copre anche sedi, persone, fornitori e comunicazione: un’azienda con ottimi backup può non sapere dove far lavorare i dipendenti durante un fermo.
Chi è il responsabile della continuità operativa?
All’alta direzione spettano la politica, il budget e la definizione dei ruoli; un responsabile della continuità, spesso chiamato business continuity manager, guida il programma, mentre i responsabili di ciascun processo rispondono dei piani e delle prove della loro area (Wikipedia). La responsabilità ultima della soglia di tolleranza resta del vertice.
Che cos’è la BIA nella business continuity management?
La business impact analysis analizza gli effetti che un’interruzione avrebbe su attività e servizi e come crescono nel tempo. Serve a stabilire le priorità di ripristino, le risorse necessarie e gli obiettivi di tempo e di dati da recuperare. Va ripetuta ogni anno o quando cambiano in modo significativo processi o contesto esterno (Wikipedia; BCI).
Che cos’è la ISO 22301?
È la norma internazionale che stabilisce i requisiti di un sistema di gestione della continuità operativa. L’edizione in vigore è la seconda, pubblicata il 30 ottobre 2019, integrata nel 2024 da un emendamento sui cambiamenti climatici; ISO la indica come da rivedere e una nuova edizione è in sviluppo (ISO).
Ogni quanto si aggiornano e si provano i piani?
Non esiste una cadenza unica: dipende dalla criticità delle attività e da quanto cambiano processi, sedi e sistemi. I piani vanno rivisti dopo ogni modifica sostanziale e dopo ogni esercitazione o incidente. La BIA viene ripetuta almeno una volta l’anno, e l’audit interno del sistema almeno ogni due anni (Wikipedia).
Che differenza c’è tra business continuity e business resilience?
I due termini si sovrappongono e in italiano sono spesso usati come sinonimi. In senso più preciso la continuità operativa riguarda la capacità di proseguire le attività prioritarie durante un’interruzione, mentre la resilienza è la capacità più ampia di assorbire gli urti e adattarsi. È una distinzione di lettura, non una definizione normativa.