La resilienza delle imprese e il Business Continuity Management strutturato

Transcript

1 La resilienza delle imprese e il Business Continuity Management strutturato Ing. Marco Santinato Amm. Delegato Per Consulting S.r.l. Convegno sul tema: Conferenza Nazionale dell Industria sull ambiente e le bonifiche. Direttiva IED e semplificazioni rete carburanti Ferrara, 23 Settembre 2015

2 Introduzione La routine dei processi aziendali può essere scossa da eventi inattesi che possono dare luogo a situazioni di emergenza. Tali eventi possono innescare situazioni di vera crisi, ovvero di grave difficoltà dell impresa, con risvolti sulla sua capacità produttività, la sua competitività sul mercato e la sua immagine. Quando si verificano situazioni di crisi, i processi di creazione di valore vengono compromessi più o meno pesantemente.

3 Crisi In caso di crisi, la sopravvivenza del business dell impresa dipende dalla sua capacità e rapidità di reazione, ovvero dalla sua «resilienza». La Resilienza è la capacità di un materiale di resistere ad urti improvvisi senza spezzarsi. Nell ambito della strategia aziendale, per resilienza s intende la capacità e rapidità di un organizzazione a ritornare nelle condizioni di business as usual dopo un evento dirompente. Il tempo di reazione diventa quindi un fattore di successo determinante.

4 Andamento tipico di una crisi EVENTO 1 1 BUSINESS AS USUAL 2 EMERGENZA 3 GESTIONE DELL EMERGENZA 4 RECUPERO t 1 t 2 t 3 t 4 t 5 Δt tempo (t)

5 Le Imprese e i rischi Una corretta Gestione dei Rischi («Risk Management») è un prerequisito fondamentale per il successo di ogni impresa. Questa affermazione è ancora più valida nella congiuntura attuale, dove la vulnerabilità delle imprese di ogni dimensione e di tutti i settori di attività è aumentata notevolmente per effetto della crisi finanziaria e del mercato. Gli obiettivi fondamentali del Risk Management sono: la salvaguardia del patrimonio aziendale. la Garanzia di continuità operativa nel tempo (Business Continuity).

6 Il Risk Management: l Analisi e la valutazione dei rischi Il primo step del processo di Risk Management è l esecuzione dell Analisi e Valutazione dei Rischi, il cui scopo è: Identificare quali siano i principali scenari di rischio che possono interessare l azienda, causando una interruzione significativa dei processi di business critici della stessa Quantificare gli scenari di rischio di cui sopra in termini di probabilità di accadimento e di severità dell evento (danni diretti, indiretti e consequenziali) Definire e sviluppare le opportune misure di prevenzione, protezione, trasferimento e controllo di tali rischi Stabilire le priorità di intervento, ovvero di allocazione delle risorse.

7 Il Risk Management: l Analisi e la valutazione dei rischi RISCHIO TOTALE INIZIALE ELIMINARE RIDURRE TRASFERIRE RISCHIO RESIDUO RITENERE

8 Strategie di gestione e controllo dei rischi Gli strumenti a disposizione dell impresa per gestire in modo ottimale i rischi evidenziati nel processo di Analisi e Valutazione sono di due tipi: Strumenti di controllo Strumenti di finanziamento

9 Strategie di gestione e controllo dei rischi STRUMENTI CONTROLLO FINANZIAMENTO PREVENZIONE PROTEZIONE RITENZIONE TRASFERIMENTO GIURIDICO ASSICURATIVO TECNICI ORGANIZZATIVI

10 Strategie di gestione e controllo dei rischi Gli strumenti prevenzione e di elusione (o eliminazione) mirano a impedire il verificarsi dell evento. Gli strumenti di protezione, dato per scontato che l evento dannoso si verifichi, consentono di minimizzarne gli effetti sulle strutture e sulle operazioni aziendali. Gli strumenti della assicurazione, del trasferimento non assicurativo e della ritenzione consentono di sottrarre l impresa alle conseguenze finanziarie derivanti dal prodursi dell evento e del danno conseguente.

11 Strategie di gestione e controllo dei rischi La prevenzione è' l insieme delle misure di sicurezza finalizzate a impedire il prodursi di eventi dannosi. La prevenzione è un azione che consente di ridurre la probabilità di accadimento di un evento, a parità di grado di severità (magnitudo). La protezione è l insieme delle misure di sicurezza finalizzate a minimizzare il danno. La protezione è un azione che consente di ridurre il grado di severità di un evento (magnitudo), a parità di probabilità di accadimento. Prevenzione e protezione del rischio vengono spesso riunite nell unica denominazione di Loss control.

12 Risk Management: Linee guida e standard attuali di riferimento UNI ISO 31000:2010 Il Documento titolato Gestione del rischio - Principi e linee guida costituisce l adozione nazionale in lingua italiana della prima norma internazionale dedicata alla gestione dei rischi, la ISO (ed. novembre 2009). La ISO non è destinata ad essere utilizzata a scopo di certificazione nè contiene requisiti cogenti, ma solo una raccolta di best practices.

13 Risk Management: Linee guida e standard attuali di riferimento UNI ISO 31000:2010 La norma contiene 11 Principi da seguire per far sì che la gestione del rischio sia efficace: a) La gestione del rischio crea e protegge il valore b) è parte integrante di tutti i processi dell organizzazione; c) è parte del processo decisionale; d) tratta esplicitamente l incertezza; e) è sistematica, strutturata e tempestiva; f) si basa sulle migliori informazioni disponibili; g) è su misura ; h) tiene conto dei fattori umani e culturali; i) è trasparente e inclusiva; j) è dinamica, iterativa e reattiva al cambiamento; k) favorisce il miglioramento continuo dell organizzazione.

14 Politica ambientale e di prevenzione degli incidenti (1) Principi generali 1. rispettare scrupolosamente, nella sostanza e nei principi, tutte le leggi e i regolamenti applicabili, nonché gli eventuali impegni liberamente assunti, 2. perseguire il miglioramento continuo del Sistema di Gestione Ambientale, delle prestazioni ambientali e del Sistema di Gestione della Sicurezza, 3. valutare in maniera appropriata il livello di rischio connesso alle attività svolte e la loro efficienza ambientale, al fine di perseguirne il miglioramento continuo, 4. perseguire la sicurezza nei cicli produttivi e nelle lavorazioni, nonché nelle manipolazione, movimentazione e stoccaggio dei prodotti

15 Politica ambientale e di prevenzione degli incidenti (2) Prevenzione, controllo e riduzione degli effetti indesiderati 5. Adottare tecnologie e processi corrispondenti all applicazione economicamente praticabile della migliore tecnologia disponibile al fine di: Ridurre e/o controllare gli aspetti ambientali Migliorare le misure di prevenzione e/o controllo di salute e sicurezza di lavoratori, collettività e ambiente 6. Individuare ed analizzare i rischi connessi con i processi produttivi e gli stoccaggi di sostanze pericolose 7. valutare in anticipo la modifica o l introduzione di processi, tecnologie, attività e servizi al fine di identificare correttamente aspetti ambientali significativi e rischi ad essi connessi, assicurarne il controllo e minimizzare gli effetti 8. Esaminare in anticipo i nuovi prodotti a fine di ottimizzare, anche da un punto di vista ambientale e di sicurezza, la scelta delle materie prime e le modalità di produzione, distribuzione, uso e smaltimento

16 Politica ambientale e di prevenzione degli incidenti (3) Prevenzione, controllo e riduzione degli effetti indesiderati 9. Contenere le emissioni gassose, gli scarichi e i rifiuti (con particolare riferimento a quelli pericolosi) partendo dalla fonte e la generazione di rumore e vibrazioni in ogni fase di lavorazione 10. Eliminare o ridurre l impiego e la generazione di gas che contribuiscono a determinare l effetto serra e/o l erosione della fascia di ozono. Favorire una gestione dei rifiuti secondo una scala di priorità che privilegi, ove possibile, il riutilizzo, il riciclo ed il recupero come materia prima, nonché la combustione con produzione di energia 11. Perseguire il contenimento dei consumi energetici e di risorse naturali 12. introdurre criteri ambientali e di sicurezza nella scelta degli imballaggi e dei materiali di consumo

17 Politica ambientale e di prevenzione degli incidenti (4) Prevenzione, controllo e riduzione degli effetti indesiderati 13. Assicurare la responsabilizzazione del Management a tutti i livelli nell ambito del Sistema di Gestione Ambientale e della Sicurezza 14. Promuovere la sensibilizzazione ed il coinvolgimento di tutto il personale, anche mediante opportuni programmi di formazione ed informazione; assicurare che il personale, il cui comportamento potrebbe avere influenza in materia di ambiente e sicurezza, sia adeguatamente istruito al fine di permettere una partecipazione attiva alla gestione ambientale e alla gestione della prevenzione nei luoghi di lavoro 15. Promuovere l adozione di corretti comportamenti in campo ambientale e di sicurezza da parte dei fornitori e delle imprese che lavorano per conto delle Società operanti nel Sito

18 Politica ambientale e di prevenzione degli incidenti (5) Rapporti con le controparti esterne 16. Predisporre informazioni per i Clienti su natura, pericolosità e possibili effetti ambientali dei prodotti loro destinati ed istruzioni circa il loro impego e smaltimento, in modo da minimizzare i relativi impatti sull ambiente 17. Perseguire un dialogo aperto nei confronti del pubblico: pubblicare e diffondere materiale informativo inerente tematiche ambientali e di sicurezza, come la «Dichiarazione Ambientale» e le «Schede di informazione sui rischi per i lavoratori ed i cittadini» 18. Valutare con sensibilità le istanze e le esigenze della collettività, anche mediante l adozione di tecniche e procedure di prevenzione e controllo degli incidenti e delle emergenze, nonché la collaborazione con le autorità locali sui temi dell ambiente e della sicurezza 19. Rendere edotte le società esterne operanti nel sito dei rischi presenti nelle attività, affinchè esse possano essere adeguatamente tutelate.

19 Politica ambientale e di prevenzione degli incidenti (6) Controlli 20. Mettere in atto appropriate e rigorose metodologie di verifica, controllo ed audit della gestione delle prestazioni sia in campo ambientale e della sicurezza. Questa politica deve essere comunicata al personale di tutte le società operanti nel Sito e resa nota, nelle forme opportune, ai fornitori. Essa è disponibile al pubblico e a chiunque ne faccia richiesta.

20 Un nuovo approccio: il Business Continuity Management E molto importante che le imprese siano preparate in modo adeguato per poter reagire agli eventi avversi ritornando rapidamente alle condizioni di business as usual. Per poter reagire in modo efficace, ogni Azienda dovrebbe definire preventivamente e poi implementare uno specifico programma di Business Continuity Management (BCM), comprendente: l analisi e la valutazione degli scenari di rischio che potrebbero manifestarsi e il loro impatto sul business (Business Impact Analysis - BIA) il Business Continuity Plan (BCP) Il Disaster Recovery Plan (DRP)

21 Un nuovo approccio: il Business Continuity Management Il Business Continuity Management viene definito, in accordo con le principali organizzazioni internazionali (Disaster Recovery Institute International, DRII e Business Continuity Institute UK, BCI), come un processo olistico che consente di identificare le minacce alle quali una organizzazione è soggetta e di definire un modello di gestione che assicuri la resilienza dell organizzazione stessa e quindi la sua capacità di fronteggiare le situazioni incidentali. Un sistema di Business Continuity Management consente quindi all impresa di prepararsi in modo organico e strutturato a fronteggiare qualsiasi situazione potenzialmente impattante sul business, e di reagire nel modo più efficace riducendo le conseguenze sui processi di creazione del valore.

22 Business Continuity Management: gli obiettivi Gli obiettivi di un sistema di BCM sono, in sintesi: Assicurare la continuità operativa e la sopravvivenza dell organizzazione in ogni circostanza Garantire la migliore protezione possibile degli assets aziendali Mitigare i rischi e le esposizioni Identificare e implementare le opportune misure di prevenzione e protezione Assumere il controllo di ogni interruzione del business aziendale.

23 Business Continuity Management: la struttura (1) Definizione delle finalità del sistema di BCM e della struttura organizzativa Analisi e Controllo dei Rischi (Risk Evaluation and Control) Analisi degli impatti sul Business (Business Impact analysis - BIA) Sviluppo delle strategie di Business Continuity (Business Continuity Strategies) Risposta all Emergenza e relative operazioni (Emergency Response and Operations) Sviluppo e implementazione del Piano di Continuità del Business (Business Continuity Plan - BCP)

24 Business Continuity Management: la struttura (2) Disaster Recovery Plan (DRP) (incluso nel BCP) Programma di Formazione e Informazione (Awarness and Training Program) Programma di Manutenzione e Test dei piani di continuità operativa (Business Continuity Plan Exercise, Audit and Maintenance) Relazioni con i Media e Comunicazione durante la Crisi (Crisis Communications) Coordinamento con le Autorità Pubbliche (Coordination with External Agencies)

25 Perché BCM? Perché le crisi non sono pianificabili

26 Perché BCM? ma si può essere preparati per affrontarle

27 Perché è necessario essere preparati? 29% 43% 20% 93% Perché Il 43% delle aziende non ha ripreso le attività dopo un disastro Perché più del 29% ha chiuso nei successivi 3 anni (Fonte: U.S. National Fire Protection Agency) Perché il 20% delle PMI è soggetta a disastri gravi ogni 5 anni (Fonte: Richmond House Group) Perché il 93% delle aziende che hanno una perdita significativa di dati escono dal business nei successivi 5 anni (Fonte: U.S. Bureau of Labor)

28 Business Continuity Management: perché? Perché i clienti si aspettano continuità nella fornitura, sempre Perché gli stakeholders si aspettano che il management abbia il controllo della situazione, sempre Perché i dipendenti e i fornitori si aspettano che la loro «relazione» e il loro sostentamento sia garantito nel tempo Perché è un indicatore di una gestione manageriale responsabile e lungimirante Perché gli investimenti in questo campo aumentano il valore dell Impresa.

29 Conclusioni I costi di una crisi possono essere drammaticamente elevati per qualsiasi impresa. Per gestire nel modo più efficace una crisi occorre prepararsi «prima» che l evento si manifesti, dotandosi degli strumenti più opportuni. Un approccio di Business Continuity Management strutturato consente di migliorare in modo significativo la resilienza del sistema azienda.

30 Conclusioni Per gestire una crisi occorre saper imparare rapidamente... Per imparare rapidamente nel corso della crisi è necessario aver già imparato molto tempo prima... Per gestire correttamente i rischi dobbiamo «imparare ad imparare!»

31 Grazie per l attenzione! Ing. Marco Santinato Amm. Delegato Per Consulting S.r.l. marco.santinato@gruppoper.com Tel