Il business continuity plan (BCP), o in italiano piano di continuità operativa (PCO), è l’insieme di procedure documentate che guidano un’organizzazione a rispondere a un’interruzione, a recuperare e a ripristinare le attività a un livello predefinito. Di norma copre le risorse, i servizi e le attività necessarie a garantire le funzioni critiche, ed è uno dei principali prodotti della business continuity management, di cui abbiamo parlato in un articolo dedicato.
Un piano si giudica da quanto si usa bene durante un’emergenza, con poco tempo e molta pressione. Prima di scrivere però, serve un lavoro a monte: quello del risk management, che individua le minacce e l’analisi d’impatto stabilisce quali attività non possono fermarsi.
In questo articolo scopriremo allora cos’è il BCP, come si struttura e come iniziare a scriverlo da subito nella vostra realtà.
Il business continuity plan in tre punti chiave
Dice chi decide e chi esegue
Il business continuity plan stabilisce chi decide, chi esegue e in che ordine si riparte.
Non ha una struttura unica
Gli elementi ricorrenti sono scopo, ruoli, criteri di attivazione, priorità, comunicazione e disattivazione.
Vale solo se viene usato
Deve essere breve da leggere, aggiornato e provato.
Business continuity plan: che cosa contiene
Per quanto possano esistere formulazioni comuni, non c’è una struttura di BCP standardizzata, valida per tutti. Piuttosto, è utile ragionare sugli elementi ricorrenti: quelli che servono a rispondere alle domande dell’emergenza, e perciò «che cosa è successo?», «quanto è grave?», «chi decide?», «che cosa si ripristina per primo?», «chi si avvisa?».
La tabella qui di seguito li mette in ordine.
| Sezione | Che cosa dice | Domanda a cui risponde |
|---|---|---|
| Informazioni sul documento | Versione, responsabile, data dell’ultima prova | Questo piano è quello in vigore? |
| Obiettivi e ambito | Quali attività e quali incidenti copre, fino a che gravità | Si applica a questa situazione? |
| Limiti | Le condizioni in cui il piano non si applica | Quando serve un altro piano? |
| Ruoli e responsabilità | Chi gestisce l’incidente e chi mobilita i gruppi di risposta | Chi comanda e chi esegue? |
| Criteri e attivazione | Come si valuta la gravità, quando si attiva, come si sale ai livelli superiori | Quando scatta il piano? |
| Priorità di ripristino | Ordine di ripartenza in base a criticità, RTO e RPO | Che cosa riparte per primo? |
| Comunicazione e contatti | Messaggi interni ed esterni, elenco degli interlocutori | Chi va avvisato e da chi? |
| Disattivazione | Come si torna alle procedure ordinarie | Quando è finita l’emergenza? |
Il piano può a quel punto, dopo aver risposto a queste domande, rimandare a piani specifici, per esempio quello di crisi, di pandemia o di comunicazione nella crisi.
Come scrivere un business continuity plan
Il piano nasce da tre decisioni prese prima di scrivere. Un testo che le ignora resta solo decorativo.
- Quali attività sono critiche. Si ricavano dall’analisi d’impatto (BIA), che stima come crescono gli effetti dell’interruzione con il passare del tempo (BCI). Un piano che copre tutto non dà priorità a niente.
- Quanto fermo si tollera. Dal periodo massimo di interruzione discendono il tempo di ripristino (RTO) e la quantità di dati che si accetta di perdere (RPO), che ordinano le priorità (Wikipedia). Sono scelte del vertice, non valori tecnici da lasciare all’IT.
- Chi ha l’autorità di attivare il piano. Se nessuno può dichiararlo in vigore, nelle prime ore si improvvisa.
Il testo va scritto per essere usato sotto stress, quindi è fondamentale che sia diretto, adattabile, conciso e rilevante (Wikipedia).
Niente periodi complessi: meglio frasi brevi, azioni numerate, nomi e recapiti al posto dei ruoli generici.
Esempio di business continuity plan
Prendiamo un caso ipotetico, inventato a scopo illustrativo: un’azienda di logistica con ottanta persone, un gestionale in cloud e un magazzino. L’analisi d’impatto indica come critiche due attività: la spedizione degli ordini e la comunicazione con i clienti. Il vertice fissa un fermo massimo di mezza giornata per le spedizioni.
Scenario coperto
Il gestionale è irraggiungibile per più di due ore.
Chi attiva
Il direttore operativo, o il suo sostituto indicato per nome.
Primi passi
Si passa alle procedure manuali su moduli cartacei, si avvisano i clienti con spedizione del giorno.
Priorità
Prima le consegne già assegnate, poi gli ordini del giorno, poi gli arretrati.
Comunicazione
Un responsabile scrive ai clienti con un testo già approvato, un altro aggiorna il personale.
Ripristino
Si reinseriscono i dati manuali, si verifica la coerenza con il gestionale.
Disattivazione
Il direttore operativo dichiara chiusa l’emergenza e avvia la revisione.
Il valore dell’esempio sta nel metodo: ogni riga risponde a una domanda e ha un nome accanto. E in questo modo, può essere utilizzata con grande serenità.
Attivazione e disattivazione del business continuity plan
L’attivazione si basa su criteri di decisione che valutano la gravità dell’incidente e i livelli da coinvolgere, su procedure di invocazione e su procedure di escalation, che stabiliscono come portare il problema alla direzione (Wikipedia). La regola pratica è che i criteri siano misurabili: non “un guasto serio”, ma “il servizio è fuori uso da più di due ore”.
La disattivazione viene spesso dimenticata: riporta in modo ordinato alle procedure ordinarie, per non lasciare in vita procedure d’emergenza che costano di più e producono errori. Alla chiusura segue una revisione di ciò che ha funzionato e di ciò che no.
Test e aggiornamento del business continuity plan
Un piano mai provato resta un’ipotesi. Un programma di mantenimento lo tiene aggiornato attraverso test ed esercitazioni; nel ciclo del BCI la fase di convalida usa prove, esercitazioni, valutazioni di performance e audit per verificare che programma e piano siano adeguati (Wikipedia).
Il piano va ripreso quando cambia qualcosa che lo riguarda. Parliamo di un sistema, una sede, un fornitore, una persona con un ruolo nominato. Quest’ultimo caso è il tipico rischio da persona chiave: se il nome indicato lascia l’azienda, il piano ha un buco che solo l’elenco dei ruoli rende visibile.
Piano di continuità e disaster recovery
Il piano di continuità operativa riguarda l’organizzazione intera: persone, sedi, fornitori, comunicazione, oltre ai sistemi. Il disaster recovery riguarda il ripristino dei sistemi informatici ed è, di norma, un piano specifico richiamato dal business continuity plan. I due non si sostituiscono: un’azienda può recuperare i dati in poche ore e non sapere dove far lavorare le persone nel frattempo.
Quando l’interruzione diventa un fatto che coinvolge la reputazione, il piano si collega al piano di gestione della crisi, che copre decisioni e comunicazione di vertice.
Gli scenari specifici sono tema del contingency planning, che presto approfondiremo a parte.
L’angolo Bliss: il piano che nessuno apre
Il difetto più frequente è creare un piano che nessuno apre. Si scrive per un audit, si archivia, e al primo fermo vero le persone fanno ciò che sanno fare, non ciò che è scritto. Il rimedio è un piano di poche pagine, con i nomi delle persone, provato abbastanza spesso da essere familiare.
Un test semplice
Scegliete una persona che non ha scritto il piano e chiedetele, a un’ora qualunque, che cosa farebbe se il sistema principale si fermasse.
Se la risposta coincide con il piano, il piano è vivo.
Se no, la distanza tra le due risposte è il lavoro da fare, e vale più di un’altra revisione del testo.
Il punto di vista di Bliss Agency
Domande frequenti
Che cos’è un business continuity plan?
Il business continuity plan è un insieme di procedure documentate che guidano un’organizzazione a rispondere a un’interruzione, a recuperare e a ripristinare le attività a un livello predefinito. Copre di norma le risorse, i servizi e le attività necessarie a garantire le funzioni critiche. È uno dei prodotti principali del ciclo di gestione della continuità operativa (Wikipedia).
Che cosa deve contenere un piano di continuità operativa?
Non esiste una struttura unica, ma gli elementi ricorrenti sono informazioni sul documento, obiettivi, ambito e limiti, ruoli e responsabilità, criteri di attivazione, procedure di escalation, priorità di ripristino, comunicazione e contatti, e disattivazione. Può inoltre rimandare ad altri piani, per esempio di crisi o di comunicazione (Wikipedia).
Chi redige il business continuity plan?
Lo redige chi conosce le attività critiche, di solito il responsabile della continuità operativa insieme ai responsabili di processo e all’IT, mentre le decisioni su tempi di fermo e priorità spettano all’alta direzione. Un piano scritto solo da un consulente o solo dall’IT rischia di non riflettere le scelte reali dell’organizzazione.
Come si scrive un piano di continuità operativa?
Si parte dalle attività critiche, che emergono dall’analisi d’impatto, si fissano i tempi di ripristino tollerati e si decide chi può attivare il piano. Poi si scrive in modo diretto e conciso, con azioni numerate e nomi al posto dei ruoli generici. Infine lo si prova, perché un piano mai testato resta un’ipotesi.
Qual è la differenza tra business continuity plan e disaster recovery?
Il piano di continuità riguarda l’organizzazione nel suo insieme: persone, sedi, fornitori, comunicazione e sistemi. Il disaster recovery riguarda il ripristino dei sistemi informatici ed è di solito un piano specifico richiamato dal primo. I due si integrano, e i tempi di recupero informatici devono essere coerenti con quelli richiesti dalle attività critiche.
Qual è la differenza tra BCM e BCP?
La business continuity management è il processo e il sistema di gestione che individua le minacce, valuta gli impatti, costruisce la capacità di continuare e la mantiene nel tempo. Il business continuity plan è uno dei suoi prodotti: il documento operativo che dice che cosa fare quando l’interruzione avviene. Il primo decide e aggiorna, il secondo guida l’azione.
Ogni quanto va aggiornato e provato il piano?
Il piano va tenuto aggiornato con un programma di mantenimento che comprende test ed esercitazioni, e ripreso quando cambiano sistemi, sedi, fornitori o persone con ruoli nominati. Una cadenza fissa dipende dall’organizzazione e dal settore: ciò che conta è che il programma esista, sia pianificato e produca correzioni documentate dopo ogni prova.
Quando si attiva il piano di continuità?
Si attiva quando un evento supera una soglia prevista dai criteri di decisione, che valutano la gravità dell’incidente e i livelli da coinvolgere. Le procedure di invocazione dicono chi dichiara il piano in vigore, quelle di escalation come si informa la direzione. Criteri misurabili, per esempio una durata di fermo, riducono i dubbi nel momento critico.
Un piano di continuità serve anche a una piccola impresa?
Sì, in forma proporzionata. Una piccola impresa ha meno attività critiche e meno sistemi, quindi il piano può stare in poche pagine: scenari principali, chi decide, procedure alternative e contatti. Il rischio di una realtà piccola è la concentrazione su poche persone o su un solo fornitore, che un piano semplice aiuta a rendere visibile.