Maturità ISO 22301 · Continuità operativa e gestione delle crisi finanziarie
Il vostro dispositivo di continuità, misurato su ISO 22301 e tradotto in piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità ISO 22301 · Continuità operativa e gestione delle crisi finanziarie
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi ISO 22301:2019 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma un rilievo in una traiettoria.
I tempi massimi di interruzione tollerabile delle attività prioritarie sono definiti, validati dalle funzioni di business e coerenti con le soluzioni di continuità in atto?
- N1
Nessun tempo di interruzione tollerabile è definito. Le attività prioritarie non sono identificate in modo esplicito.
- N2
Alcuni tempi figurano in un’analisi d’impatto, stabilita dal team rischi e non validata dai responsabili di business. La loro coerenza con i mezzi di ripristino non è verificata.
- N3
I tempi sono validati dalle funzioni di business, documentati attività per attività e confrontati con le capacità reali di ripristino. Gli scostamenti individuati sono tracciati.
- N4
I tempi sono testati durante le esercitazioni, gli scostamenti rispetto alle capacità di ripristino sono oggetto di piani d’azione monitorati, e le dipendenze verso i fornitori critici sono integrate.
- N5
I tempi sono riesaminati a ogni evoluzione dell’attività, del sistema informativo o del portafoglio di fornitori, con uno storico documentato delle revisioni e dei relativi effetti sulle soluzioni adottate.
Azione per passare da L2 a L3
Organizzare un workshop di validazione per area di business sull’analisi d’impatto, far firmare i tempi di interruzione tollerabile a ciascun responsabile di attività prioritaria, quindi confrontare ogni tempo con le capacità di ripristino esistenti e registrare gli scostamenti nel piano d’azione presentato al riesame di direzione.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ISO 22301.
Di cosa parla questo quadro di riferimento
ISO 22301 è la norma internazionale sulla gestione della continuità operativa. Pubblicata nella versione attuale nel 2019, è certificabile da un organismo accreditato. Richiede un perimetro definito, un’analisi d’impatto sull’attività che identifichi le attività prioritarie e i relativi tempi massimi di interruzione tollerabile, strategie e soluzioni di continuità proporzionate, procedure di risposta e gestione delle crisi, un programma di esercitazioni e test, quindi un riesame di direzione. Nel settore finanziario, questi requisiti si intrecciano con quelli di DORA, di Basilea III e con le attese dei supervisori in materia di resilienza operativa.
In pratica, il dispositivo si lascia difficilmente governare. La documentazione esiste quasi sempre, la sua fedeltà al funzionamento reale molto meno. I tempi massimi di interruzione tollerabile sono stati validati dalle funzioni di business, o fissati dal team rischi? Le dipendenze verso i fornitori critici, le infrastrutture di mercato e i fornitori di dati sono mappate fino in fondo alla catena? L’ultima esercitazione ha prodotto rilievi corretti, o un verbale archiviato? Queste domande si pongono entità per entità, e le risposte divergono all’interno dello stesso gruppo.
Un equivoco frequente merita di essere chiarito: ISO 22301 non è il piano di disaster recovery informatico. Il ripristino tecnico, coperto in particolare da ISO 27031, è solo una componente delle soluzioni di continuità. La norma riguarda le attività di business, la loro prioritizzazione, le modalità di funzionamento in condizioni degradate e la gestione della crisi. Nel settore bancario e assicurativo, l’entrata in vigore di DORA ha spostato l’asticella: i test di resilienza, il monitoraggio dei fornitori di servizi digitali critici e la segnalazione degli incidenti diventano vincolanti, e un sistema ISO 22301 maturo ne costituisce la base riutilizzabile.
La diagnosi di maturità risponde a una domanda diversa rispetto all’audit di certificazione. L’audit verifica la presenza dei requisiti e conclude con una conformità o uno scostamento. La diagnosi posiziona ogni pratica su una scala progressiva e indica l’azione che permette di passare al livello superiore. Datamensio misura la maturità e prepara l’audit, non rilascia alcun certificato. Il punteggio per ambito si confronta tra business unit e nel tempo, e lo scostamento rispetto all’obiettivo genera il piano d’azione.
Il quadro di riferimento è pronto all’uso e si adatta alla vostra organizzazione. L’IA adegua gli ambiti, le domande e i livelli al vostro settore e al vostro perimetro, oppure costruisce una declinazione a partire dai vostri stessi documenti: politica di continuità, analisi d’impatto, verbali delle esercitazioni. I modelli utilizzati possono essere selezionati, anche tra soluzioni europee.
Norma di riferimento: ISO 22301:2019
Gli ambiti valutati
Governance e politica di continuità
Politica formalizzata e approvata, perimetro del sistema di gestione, ruoli e responsabilità, coinvolgimento della direzione, risorse assegnate.
Analisi d’impatto sull’attività
Identificazione delle attività prioritarie, tempi massimi di interruzione tollerabile, obiettivi di ripristino, validazione da parte delle funzioni di business, frequenza di aggiornamento.
Valutazione dei rischi di interruzione
Scenari considerati, valutazione delle probabilità e degli impatti, integrazione con il dispositivo di rischio operativo, presa in conto degli incidenti verificatisi.
Dipendenze e fornitori critici
Mappatura delle dipendenze interne ed esterne, infrastrutture di mercato, fornitori di dati, clausole contrattuali di continuità, piani di uscita.
Strategie e soluzioni di continuità
Opzioni scelte per attività prioritaria, modalità di funzionamento in condizioni degradate, siti e risorse di riserva, ridondanza dei sistemi, adeguatezza agli obiettivi di ripristino.
Procedure di risposta e gestione delle crisi
Dispositivo di allerta ed escalation, cellula di crisi e mandati decisionali, procedure documentate, continuità della direzione, comunicazione interna ed esterna.
Comunicazione con le parti interessate
Informazione a clienti, regolatori e controparti, notifica degli incidenti nei termini regolamentari, coordinamento con i fornitori.
Programma di esercitazioni e test
Tipologia e realismo delle esercitazioni, copertura delle attività prioritarie e dei fornitori, partecipazione dei dirigenti, gestione dei rilievi.
Performance e monitoraggio
Indicatori di continuità, controlli permanenti, audit interni, riesame di direzione, monitoraggio degli scostamenti fino alla chiusura.
Miglioramento continuo e lezioni apprese
Analisi delle interruzioni reali, aggiornamento delle analisi d’impatto e delle procedure, confronto dei risultati nel tempo, maturità del dispositivo stesso.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
ISO 22301 è certificabile, e Datamensio rilascia la certificazione?
La norma è certificabile da un organismo accreditato. Datamensio non certifica: misura la maturità del dispositivo, documenta gli scostamenti e produce il piano d’azione che prepara l’audit di certificazione.
Quale differenza tra questa diagnosi e un audit di conformità?
L’audit verifica la presenza dei requisiti e conclude con una conformità o uno scostamento. La diagnosi posiziona ogni pratica su una scala di maturità e indica l’azione che permette di passare al livello successivo. I due si completano: la diagnosi prepara, l’audit valida.
Quanto tempo richiede la valutazione?
Un’autovalutazione condotta dal responsabile della continuità si svolge in una sessione di lavoro. In modalità collaborativa, con le funzioni di business, l’IT e gli acquisti, la raccolta si estende su una o due settimane, con la maggior parte del tempo dedicata agli scambi con i contributori.
Si può adattare il quadro di riferimento alla nostra organizzazione?
Sì. Gli ambiti, le domande e i livelli sono modificabili, e potete aggiungere i vostri requisiti interni. L’IA adegua il quadro di riferimento al vostro settore o costruisce una declinazione a partire dai vostri documenti di continuità.
Come si integra questa diagnosi con DORA e le attese del supervisore?
DORA riprende principi convergenti: attività critiche, test di resilienza, monitoraggio dei fornitori, notifica degli incidenti. Una diagnosi ISO 22301 costituisce una base riutilizzabile. Una roadmap trasversale permette di consolidare più audit senza duplicare le azioni.
Servono competenze tecniche per rispondere?
Le domande riguardano le pratiche di gestione della continuità, non le configurazioni tecniche. Alcuni punti riguardano il disaster recovery informatico o i contratti con i fornitori: la modalità collaborativa permette di assegnare queste domande all’interlocutore giusto.
Si possono confrontare i risultati tra entità?
Sì. Gli audit condotti sullo stesso quadro di riferimento si confrontano tra business unit, tra paesi e con le vostre stesse valutazioni passate. L’IA raggruppa gli scostamenti in una roadmap prioritizzata, con costo, tempistica e impatto atteso sul punteggio.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.