A. Partecipazione della direzione
La partecipazione della direzione al BCP è indispensabile. Tutti i dirigenti devono essere coinvolti nelle questioni relative alla gestione dei rischi. Le possibili implicazioni richiedono decisioni che non possono essere prese semplicemente da un responsabile IT a nome dell’impresa. Si tratta di decisioni che riguardano le linee di attività, in cui ogni settore deve essere coinvolto.
Uno dei prerequisiti è un discorso chiaro da parte degli esperti. Il responsabile del settore IT deve essere in grado di tradurre questi termini, talvolta eccessivamente tecnici per i non addetti ai lavori, e trasporre il significato di continuità operativa nella cultura aziendale, ma anche il suo impatto su ogni linea di attività. Ad esempio, organizzando esercitazioni regolari, ad esempio una volta all’anno, con uno degli scenari definiti nel BCP.
Se la direzione non è coinvolta in modo trasparente e credibile nel piano di continuità, c’è il rischio che i collaboratori non stiano al gioco durante i test.
Un’altra questione essenziale è quella delle risorse finanziarie. Se la direzione non è pienamente convinta dell’importanza del BCP, potrebbe essere riluttante a stanziare i fondi necessari.
B. Coinvolgere tutti i team
Oltre alla necessaria comunicazione da parte della direzione e dei quadri, il coinvolgimento dei colleghi è fondamentale nelle esercitazioni. Durante i test, occorre osservare se le risposte previste funzionano correttamente, non solo a livello di procedure, ma anche di collaboratori. Per migliorare e acquisire i riflessi indispensabili per affrontare queste problematiche, le esercitazioni devono essere ripetute almeno una volta all’anno.
È molto utile che i team si familiarizzino in anticipo con gli strumenti di prevenzione. Per implementare risposte adeguate esistono grandi modelli e framework, come ad esempio il «cybersecurity framework» elaborato dall’istituto statunitense NIST («National Institute of Standards and Technology»). Questi elementi devono quindi essere integrati senza aspettare una crisi e spiegare ai team come si utilizzano. Se non si è pensato e preparato nulla in anticipo, si corre infatti il rischio che, quando si verifica l’evento, le persone che non sanno utilizzare questi strumenti, nella concitazione, scelgano soluzioni inadeguate.
