Il processo di pianificazione della contingenza inizia con una valutazione dei rischi per valutare il potenziale impatto di ciascun rischio. In genere, l’analisi dei rischi viene condotta da dirigenti e dipendenti aziendali. I membri del team iniziano con una sessione di brainstorming in cui parlano dei potenziali rischi, dei corsi d’azione e della preparazione generale dell’azienda. In questa fase è importante essere chiari sulla portata del progetto e invitare tutte le parti interessate a dare il proprio contributo. Le aziende non hanno bisogno di creare un piano di gestione del rischio per ogni minaccia che si trovano ad affrontare, ma solo per quelle ritenute altamente probabili e che potrebbero interrompere le operazioni aziendali.

Un’efficace analisi dell’impatto aziendale (BIA) è fondamentale per comprendere le diverse funzioni aziendali e il modo in cui reagiranno a eventi imprevisti. Ad esempio, mentre una carenza di microprocessori potrebbe essere devastante per una parte dell’azienda che si occupa della produzione di console da gioco, probabilmente avrà un impatto minimo o nullo sul reparto risorse umane della stessa azienda.

Per valutare l’urgenza di creare un piano d’azione per questa specifica minaccia, l’azienda avrebbe bisogno di sapere la percentuale dei suoi ricavi proveniente dalla parte dell’azienda minacciata dalla carenza di microprocessori. Se le console da gioco rappresentano un’alta percentuale delle sue entrate, vorrà assicurarsi di predisporre rapidamente un piano valido.Una BIA ben sviluppata aiuta le parti interessate a valutare i rischi e a comprendere meglio quali parti della loro attività sono più critiche per le operazioni quotidiane.

Dopo aver individuato i rischi che l’azienda deve affrontare, aver determinato la probabilità e la gravità di ciascun rischio e aver condotto una BIA, i leader aziendali possono seguire un semplice processo in tre fasi per costruire il proprio piano di backup.

Identificare i fattori scatenanti che faranno entrare in azione il piano: Ad esempio, se si sta avvicinando un uragano, in quale momento l’avvicinarsi della tempesta farà scattare il piano di contingenza? Quando è a 50 miglia di distanza, a 100 miglia? Dovranno prendere decisioni chiare in modo che i team incaricati dell’esecuzione sappiano quando iniziare il proprio lavoro.

Progettare una risposta adeguata: la minaccia per la quale l’azienda si era preparata è qui. I team dovranno sapere esattamente cosa ci si aspetta da loro in modo che l’azienda possa riprendersi rapidamente. Avranno bisogno di istruzioni chiare e accessibili, di protocolli facili da seguire e di un modo in cui tutti possano comunicare tra loro.

Delegare la responsabilità in modo chiaro e equo: come per qualsiasi altra iniziativa, per andare a buon fine la pianificazione delle contingenze richiede una gestione efficace dei progettiNel caso di una minaccia esistenziale come un disastro naturale, tutti coloro che sono coinvolti nella ripresa dell’azienda devono conoscere il proprio ruolo e aver ricevuto la formazione adeguata necessaria per svolgerlo. Ad esempio, in caso di incendio, non sarebbe giusto aspettarsi che dipendenti non addestrati agli interventi antincendio usino una manichetta. Tuttavia, con la giusta formazione, potrebbero effettuare il conteggio del personale o procedere da un piano all’altro per assicurarsi che gli altri dipendenti evacuino l’edificio.

Un modo per migliorare il flusso di lavoro tra i team durante la progettazione di un piano è la creazione di un grafico RACI. RACI sta per Responsible (Responsabile), Accountable (Responsabile dell’approvazione), Consulted (Persona consultata) e Informed (Persona informata) ed è un processo ampiamente utilizzato per aiutare team e individui a delegare la responsabilità e reagire alle crisi in tempo reale.

Anche se può essere difficile giustificare l’importanza di investire risorse finanziarie in qualcosa che potrebbe non accadere mai, questi ultimi anni ci hanno insegnato il valore di una buona pianificazione di emergenza. Pensiamo a tutti i problemi della supply chain, alle carenze critiche di dispositivi di protezione individuale e al caos finanziario provocato dalla pandemia. Cosa sarebbe cambiato se le organizzazioni avessero già predisposto piani di contingenza efficaci per il tipo di minacce che hanno dovuto affrontare?

I costi e l’incertezza rappresentano grandi ostacoli quando si tratta di convincere i leader aziendali dell’importanza di investire nella pianificazione di emergenza. Poiché tutti i costi dei piani di emergenza sono stimati, non c’è modo di sapere con precisione in che modo gli eventi interromperanno l’attività e i responsabili delle decisioni sono comprensibilmente riluttanti.

Settori diversi hanno modi diversi di affrontare questo problema. Nel settore dell’edilizia è pratica comune mettere da parte il 10% del budget complessivo di un progetto per le contingenze. Altri settori utilizzano metodi diversi. Un metodo popolare è quello di stimare i rischi in base alla percentuale di probabilità che si verifichino. Secondo questo metodo, se esiste un rischio del 25% che si verifichi un evento che comporti 200.000 dollari di costi di recupero, l’azienda deve accantonare il 25%, ovvero 50.000 dollari, per essere conforme al proprio piano di contingenza.

I mercati e le industrie sono in costante cambiamento, quindi la realtà che un piano di contingenza deve affrontare quando viene attivato potrebbe essere molto diversa da quella per cui è stato creato. Ad esempio, dopo gli attacchi terroristici dell’11 settembre, molti dei piani di contingenza che il governo statunitense aveva adottato sono risultati improvvisamente irrilevanti, essendo stati preparati decenni prima.

Per evitare una simile disconnessione tra piani e minacce, le aziende devono testare e rivalutare costantemente i piani elaborati. Ad esempio, le linee guida di IBM impongono che i piani debbano essere testati almeno una volta all’anno e migliorati, se necessario.³ Se vengono scoperti nuovi rischi e la loro gravità e probabilità sono ritenute sufficientemente elevate, i vecchi piani potrebbero essere completamente abbandonati.

Le aziende che creano piani efficaci si riprendono più rapidamente da un evento dirompente rispetto alle aziende che non lo fanno. Quando si verifica un evento negativo, quanto più velocemente l’azienda si riprende e torna alla normalità, tanto minore è il rischio per l’azienda, i suoi clienti e i suoi dipendenti.

Un buon piano di contingenza riduce al minimo i danni arrecati a un’azienda, sia reputazionali che finanziari. Ad esempio, mentre una violazione dei dati danneggerà senza dubbio la reputazione di una banca, nonché i suoi profitti, il modo in cui la banca risponderà svolgerà un ruolo fondamentale nel decidere se i suoi clienti decideranno di continuare a fare affari con essa.

Molte organizzazioni utilizzano un piano di contingenza efficace per dimostrare a dipendenti e clienti che prendono sul serio la preparazione. Pianificando una vasta gamma di eventi potenzialmente dannosi, i leader aziendali possono dimostrare agli investitori, ai clienti e ai lavoratori che hanno adottato le misure necessarie per ridurre al minimo il rischio.

Gravità e probabilità del rischio: i produttori hanno seguito le notizie relative a una regione in cui si riforniscono di pezzi specifici per aerei e definiscono “alta” la probabilità di interruzioni. Inizialmente cercano un altro fornitore, ma presto si rendono conto che ci vorranno mesi, anche anni, per trovarne uno. Poiché il pezzo è necessario per la costruzione di tutti i loro aeroplani, hanno definito "elevata" anche la gravità di questa interruzione.

Fattore scatenante: i fornitori informano il produttore che presto esauriranno il prezzo necessario a causa di un evento geopolitico dirompente nel Paese di origine.

Risposta: il produttore inizia la ricerca di un nuovo fornitore del componente tanto necessario in un Paese più stabile.

Gravità e probabilità di rischio: i gestori di una banca vengono a conoscenza di una vulnerabilità della loro app e si impegnano a risolvere. Qualora l’app venga violata e i loro sistemi informativi siano compromessi, è probabile che perdano i dati fondamentali dei clienti. Valutano la probabilità di questo evento come “alta” poiché, come istituto finanziario, sono un obiettivo desiderabile. Inoltre, osservando i loro concorrenti alle prese con situazioni simili, sanno che il rischio di interruzione della loro attività in uno scenario come questo è elevato. Anche la gravità di questo rischio viene definita “elevata”.

Fattore scatenante: il reparto IT informa i dirigenti della banca che l’app della banca è stata violata e che i dati dei clienti non sono più al sicuro.

Risposta: l’app viene immediatamente chiusa e i clienti vengono informati che i loro dati sono stati compromessi. I clienti vengono informati delle misure che la banca sta adottando per garantire loro l’accesso al rispettivo denaro e che le loro informazioni personali non vengano messe a disposizione di nessuno sul dark web. Un team di esperti di sicurezza, appositamente formato per questo scenario, interviene per ripristinare i sistemi bancari e proteggere le informazioni dei clienti.

Gravità e probabilità di rischio: i gestori dell’impianto sanno che gravi inondazioni potrebbero diffondere acqua non trattata nelle strade della città e nei corsi d’acqua pubblici. Sia la gravità di questo rischio che la sua probabilità data la tempesta imminente sono ritenute “elevate”."

Causa scatenante: l’uragano si dirige verso la città e si trova a meno di 100 miglia di distanza con velocità del vento superiori alla soglia classificata come "sicura". Il piano di contingenza dell’impianto viene messo in pratica.

Risposta: tutti i lavoratori necessari vengono richiamati allo stabilimento 24 ore su 24, 7 giorni su 7 e vengono adottate misure per trattare la massima quantità possibile di acqua prima dell’arrivo dell’uragano. Secondo il piano dell’azienda, tutta l’acqua avanzata verrà pompata in serbatoi di contenimento progettati per resistere a un uragano. Quando la velocità del vento raggiunge un determinato valore, l’impianto stesso viene spento e tutti i lavoratori evacuati.