Business Impact Analysis

Ogni azienda si deve tutelare dai possibili rischi mettendo in sicurezza la propria capacità di operare anche nel caso di guasti. Data la natura im­pre­ve­di­bi­le di eventi quali ca­ta­stro­fi naturali, attacchi in­for­ma­ti­ci o furti di vario genere, risulta in­di­spen­sa­bi­le iden­ti­fi­ca­re anzitempo i possibili rischi e svi­lup­pa­re strategie efficaci. In quest’ottica l’analisi BIA (Business Impact Analysis) gioca un ruolo fon­da­men­ta­le.

La BIA serve a sin­te­tiz­za­re, sotto forma di rapporto, le con­se­guen­ze di una si­tua­zio­ne di crisi ai danni dell’azienda. Per una gestione del rischio efficace, di cui l’analisi di Business Impact fa parte, è im­por­tan­te ri­co­no­sce­re le relazioni e i legami di di­pen­den­za presenti all’interno della propria or­ga­niz­za­zio­ne.

Una Business Impact Analysis è un pro­ce­di­men­to si­ste­ma­ti­co composto di due com­po­nen­ti, una esplo­ra­ti­va e una di pia­ni­fi­ca­zio­ne. Quella co­sid­det­ta esplo­ra­ti­va cor­ri­spon­de all’iden­ti­fi­ca­zio­ne dei po­ten­zia­li rischi che l’azienda deve af­fron­ta­re in caso di ostacoli allo svol­gi­men­to dell’attività. Qui l’at­ten­zio­ne si concentra sulle con­se­guen­ze reali che eventuali ac­ca­di­men­ti possono avere sull’or­ga­niz­za­zio­ne, sulla sicurezza, sul marketing, sul controllo qualità o sulla si­tua­zio­ne fi­nan­zia­ria dell’azienda. La pia­ni­fi­ca­zio­ne, invece, consiste nello svi­lup­pa­re una o più strategie atte a mi­ni­miz­za­re tali rischi.

Il risultato dell’analisi BIA è il rapporto BIA che, assieme al crisis ma­na­ge­ment plan, rap­pre­sen­ta una com­po­nen­te im­por­tan­te del piano di con­ti­nui­tà operativa generale. Nei seguenti paragrafi vi spie­ghia­mo pro­ce­di­men­to e contenuto di un’analisi di business impact.

Se il formato e il contenuto esatto di una BIA variano in base all’azienda, l’at­tua­zio­ne dell’analisi prevede quasi sempre gli stessi passaggi, elencati di seguito:

1. Raccolta delle in­for­ma­zio­ni
2. Va­lu­ta­zio­ne delle in­for­ma­zio­ni
3. Sintesi dei risultati
4. Pre­sen­ta­zio­ne all’am­mi­ni­stra­zio­ne

La redazione di un rapporto BIA può avvenire basandosi esclu­si­va­men­te sulle risorse interne o con l’aiuto di risorse esterne. In­di­pen­den­te­men­te da ciò, la col­la­bo­ra­zio­ne dei propri di­pen­den­ti risulta ir­ri­nun­cia­bi­le, so­prat­tut­to nelle fasi iniziali. Infatti, è grazie al loro aiuto che riuscite a iden­ti­fi­ca­re tutti i processi di lavoro o attività che avvengono quo­ti­dia­na­men­te all’interno della vostra azienda e le cor­re­la­zio­ni tra le singole funzioni e i singoli reparti.

Questa raccolta di in­for­ma­zio­ni avviene spesso at­tra­ver­so colloqui diretti con il personale o con l’utilizzo di que­stio­na­ri, e serve a sem­pli­fi­ca­re la ca­ta­lo­ga­zio­ne delle funzioni aziendali secondo la loro im­por­tan­za e a valutare in caso di im­pre­vi­sti le ri­spet­ti­ve con­se­guen­ze in termini fi­nan­zia­ri e non. Per la raccolta e la suc­ces­si­va com­pi­la­zio­ne dei dati utili all’analisi possono aiutare le seguenti domande:

• In che misura i vari reparti sono di­pen­den­ti da de­ter­mi­na­ti sistemi e processi la­vo­ra­ti­vi?
• Quali tipi di rischio com­por­ta­no i punti deboli in­di­vi­dua­ti?
• Chi è il re­spon­sa­bi­le per i Service Level Agree­men­ts?
• Quali e quanti di­pen­den­ti sono necessari per una strategia di ripresa?
• Quale tipo di risorse/at­trez­za­tu­ra è ne­ces­sa­ria nel caso di mancata ope­ra­ti­vi­tà?
• Come deve essere gestita la liquidità e la cassa durante la fase di ripresa?

Con­fron­tan­do­si con queste domande capite subito di quale tipo di dati avete bisogno per la vostra Business Impact Analysis. Nella maggior parte dei casi le in­for­ma­zio­ni richieste sono le seguenti:

• Nome dell’attività svolta e relativa de­scri­zio­ne, il più precisa possibile
• Reparto e po­sta­zio­ne di lavoro
• Risorse umane e tec­no­lo­gi­che coinvolte nell’attività la­vo­ra­ti­va
• Elenco dei relativi dati in input e in output dell’attività
• Elenco di tutti i reparti che dipendono dai suddetti output
• Tempo di inat­ti­vi­tà massima senza che si ve­ri­fi­chi­no con­se­guen­ze si­gni­fi­ca­ti­ve
• Con­se­guen­ze interne ed eco­no­mi­che
• Con­se­guen­ze esterne/legali (con clienti, autorità, ecc.)
• De­scri­zio­ne di guasti/fasi di inat­ti­vi­tà pre­ce­den­ti e delle ri­spet­ti­ve con­se­guen­ze
• De­scri­zio­ne delle procedure di ripresa o del di­slo­ca­men­to/ester­na­liz­za­zio­ne dell’attività la­vo­ra­ti­va

In una seconda fase, tutte le in­for­ma­zio­ni raccolte devono essere validate da una revisione per poi essere suc­ces­si­va­men­te ana­liz­za­te. In­di­pen­den­te­men­te che si conduca un’analisi dei dati com­pu­te­riz­za­ta o manuale, l’obiettivo è quello di evi­den­zia­re le funzioni, i sistemi, i la­vo­ra­to­ri e le risorse stret­ta­men­te es­sen­zia­li per la con­ti­nui­tà operativa. A questo scopo diventa chiaro anche quali sono le tem­pi­sti­che da ri­spet­ta­re per ri­pri­sti­na­re le funzioni operative soggette a blocco, prima che si ve­ri­fi­chi­no ritardi nel pagamento dei salari, danni di immagine, sanzioni o in­sod­di­sfa­zio­ne diffusa tra i clienti.

I due passaggi seguenti ri­guar­da­no invece il resoconto dei risultati e la pre­sen­ta­zio­ne del rapporto di BIA all’am­mi­ni­stra­zio­ne aziendale. Il rapporto può contenere grafici e diagrammi per una migliore chiarezza nell’il­lu­stra­zio­ne delle possibili perdite e delle misure di ripresa con­si­glia­te. Per sup­por­ta­re al meglio quanto evi­den­zia­to dall’analisi, ag­giun­ge­te in­for­ma­zio­ni relative al pro­ce­di­men­to di redazione dell’analisi BIA, così come i risultati det­ta­glia­ti dei que­stio­na­ri di cui vi siete serviti. Con la guida che trovate qui di seguito potete redigere e per­so­na­liz­za­re il vostro modello di Business Impact Analysis, adat­tan­do­lo di volta in volta a seconda delle vostre esigenze.

Nel modello di Business Impact Analysis fornito qui di seguito trovate quattro tabelle che dovete compilare nel modo più preciso possibile. Più de­scri­ve­te nel dettaglio i processi, i relativi rapporti e le loro im­pli­ca­zio­ni, maggiore sarà l’efficacia del piano di con­ti­nui­tà operativa.

• Colonna A: settore di impiego – au­toe­spli­ca­ti­vo
• Colonna B: numero di impiegati – numero degli impiegati a tempo pieno nel ri­spet­ti­vo settore
• Colonna C: processo di lavoro – de­scri­zio­ne della prin­ci­pa­le funzione del proprio settore di impiego
• Colonna D: scala delle priorità – elenco delle funzioni secondo il grado di im­por­tan­za per il corretto svol­gi­men­to del lavoro nel ri­spet­ti­vo settore di impiego
• Colonna E: Recovery Time Objective – il tempo ne­ces­sa­rio per il ri­pri­sti­no del processo di lavoro dopo il guasto
• Colonna F: Recovery Point Objective – il termine entro il quale il processo di lavoro deve essere stato ri­pri­sti­na­to
• Colonna G: processo di­pen­den­te da – i nomi dei processi o delle or­ga­niz­za­zio­ni dai quali dipende il processo di lavoro
• Colonna H: di­pen­den­te dal processo – il nome dei processi o delle or­ga­niz­za­zio­ni di­pen­den­ti dal processo di lavoro

• Colonna A: sot­to­pro­ces­so – de­scri­zio­ne delle funzioni se­con­da­rie legate al proprio settore di impiego
• Colonna B: scala delle priorità – elenco delle funzioni secondo il grado di im­por­tan­za per il corretto svol­gi­men­to del lavoro nel ri­spet­ti­vo settore di impiego
• Colonna C: Recovery Time Objective – il tempo ne­ces­sa­rio per il ri­pri­sti­no del sot­to­pro­ces­so dopo il guasto
• Colonna D: Recovery Point Objective – il termine entro il quale il sot­to­pro­ces­so deve essere stato ri­pri­sti­na­to
• Colonna E: sot­to­pro­ces­so di­pen­den­te da – i nomi dei processi o delle or­ga­niz­za­zio­ni dai quali dipende il sot­to­pro­ces­so
• Colonna F: di­pen­den­te dal sot­to­pro­ces­so – nome dei processi o delle or­ga­niz­za­zio­ni di­pen­den­ti dal sot­to­pro­ces­so
• Colonna G: con­se­guen­ze quan­ti­ta­ti­ve – im­pli­ca­zio­ni fi­nan­zia­rie connesse al sot­to­pro­ces­so, per esempio il relativo fatturato generato

• Colonna A: con­se­guen­ze qua­li­ta­ti­ve – im­pli­ca­zio­ni di natura non fi­nan­zia­rie, come per esempio i danni d’immagine
• Colonne B-G: il tempo ne­ces­sa­rio per la ripresa del personale – indicate quanto tempo è ne­ces­sa­rio per far sì che i vostri di­pen­den­ti possano tornare a lavorare in con­di­zio­ni di semi-normalità (“business almost as usual”)

• Colonna A: strategia di ripresa – de­scri­ve­te i passaggi necessari per ri­pren­de­re il normale flusso di lavoro, come lavorando da casa o in un ufficio prov­vi­so­rio
• Colonna B-G: il tempo ne­ces­sa­rio per il ri­pri­sti­no delle tec­no­lo­gie e dei servizi – elenco dei servizi di rete e dei sistemi in­for­ma­ti­ci necessari che devono essere ri­pri­sti­na­ti entro un de­ter­mi­na­to periodo di tempo

La Business Impact Analysis non deve essere confusa con la va­lu­ta­zio­ne dei rischi. Entrambe sono elementi fon­da­men­ta­li di una strategia di con­ti­nui­tà operativa, che tra gli altri comprende anche la crisis com­mu­ni­ca­tion. Un’analisi BIA viene so­li­ta­men­te redatta pre­ce­den­te­men­te alla va­lu­ta­zio­ne dei rischi. Serve infatti all’am­mi­ni­stra­zio­ne aziendale come punto di partenza per l’ela­bo­ra­zio­ne delle strategie di con­ti­nui­tà operativa.

Una BIA si concentra sulle con­se­guen­ze di guasti o incidenti sui processi di lavoro, valutando i danni sia in termini monetari che non. Al contrario, la va­lu­ta­zio­ne del rischio tenta di in­di­vi­dua­re i possibili pericoli, come incendi, terremoti o altre ca­ta­stro­fi naturali. Qui viene ana­liz­za­to come il personale, gli immobili o l’intera filiera po­treb­be­ro essere messi in pericolo da si­tua­zio­ni di crisi di questo tipo.