Maturità · Norma nazionale emiratina di gestione della continuità operativa
La vostra continuità operativa misurata sul quadro di riferimento emiratino, tradotta in un piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità · Norma nazionale emiratina di gestione della continuità operativa
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi AE/SCNS/NCEMA 7000:2021, Business Continuity Management Standard (Émirats arabes unis) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) a trasformare una constatazione in una traiettoria.
Il programma di esercitazioni copre i processi critici e genera azioni correttive monitorate?
- N1
Non è stata condotta alcuna esercitazione. I piani esistono sulla carta e non sono mai stati messi alla prova.
- N2
Si svolgono esercitazioni occasionali, spesso sullo stesso scenario. I riscontri vengono discussi in riunione ma non danno luogo a un monitoraggio formalizzato.
- N3
Un programma annuale copre i processi critici. Ogni esercitazione è oggetto di un verbale e di azioni correttive assegnate a un responsabile.
- N4
Gli scenari variano e includono la cellula di crisi e i fornitori critici. Le azioni correttive vengono chiuse nei tempi previsti e verificate nell’esercitazione successiva.
- N5
Il programma viene rivisto ogni anno in base agli incidenti verificatisi, all’evoluzione delle attività e agli scenari nazionali. Gli insegnamenti alimentano l’aggiornamento dei piani e dell’analisi d’impatto, con tracciabilità delle revisioni.
Azione per passare da L2 a L3
Stabilire un calendario annuale di esercitazioni che copra ogni processo critico, designare per ogni esercitazione un relatore che produca un verbale entro quindici giorni, e inserire il monitoraggio delle azioni correttive all’ordine del giorno del comitato di pilotaggio trimestrale.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazione
Di cosa parla questo quadro di riferimento
La norma nazionale emiratina di gestione della continuità operativa è il quadro di riferimento pubblicato dalla National Emergency Crisis and Disasters Management Authority (NCEMA). Si applica agli enti governativi federali e locali, nonché alle organizzazioni private che operano in attività ritenute sensibili o critiche per il paese. Riprende la logica del ciclo di vita della continuità: politica e governance, analisi d’impatto sull’attività, valutazione dei rischi, strategie di ripristino, piani documentati, programma di esercitazioni, revisione e miglioramento. La conformità è verificata tramite audit condotti o commissionati dall’autorità, con livelli di valutazione attribuiti agli enti.
In pratica, il dispositivo è difficile da gestire perché si basa su dati che invecchiano in fretta. L’analisi d’impatto è stata rifatta dopo l’ultima riorganizzazione, o risale al fascicolo predisposto per il precedente audit? I tempi massimi di interruzione tollerabili sono stati validati dalle funzioni di business, o fissati dal team continuità in assenza di risposta? Le esercitazioni coprono gli scenari realmente plausibili per il sito, o ripropongono ogni anno lo stesso scenario perché facile da organizzare? Questi scostamenti non emergono da un raccoglitore di piani aggiornati.
Un aspetto di contesto ricorre spesso: la norma emiratina e la ISO 22301 condividono un’architettura simile, ma non si sostituiscono a vicenda. Il quadro nazionale aggiunge aspettative proprie, in particolare il collegamento con i dispositivi nazionali di gestione delle crisi e delle emergenze, i canali di notifica verso l’autorità e la considerazione dei rischi locali. Un’organizzazione certificata ISO 22301 dispone di una base solida, ma non ha per questo dimostrato il proprio allineamento ai requisiti emiratini. Vale anche il contrario.
La diagnosi di maturità risponde a una domanda diversa da quella dell’audit. L’audit si conclude con uno scostamento o una conformità su un requisito. La diagnosi colloca ogni prassi su una scala progressiva e indica l’azione che consente di passare al livello successivo. Per un gruppo presente su più siti o più entità negli Emirati, questa lettura permette di confrontare le business unit tra loro, misurare i progressi da una campagna all’altra e decidere dove investire per primo.
In Datamensio, il quadro di riferimento è pronto all’uso. Potete adattarlo al vostro contesto: l’IA regola gli ambiti, le domande e i livelli, oppure costruisce una versione derivata a partire dai vostri documenti, politica di continuità, piani esistenti o report delle esercitazioni.
Norma di riferimento: AE/SCNS/NCEMA 7000:2021, Business Continuity Management Standard (Émirats arabes unis)
Gli ambiti valutati
Politica e governance della continuità
Esistenza di una politica approvata dalla direzione, perimetro dichiarato, ruoli e responsabilità, comitato di pilotaggio, risorse allocate al programma.
Quadro normativo e relazione con l’autorità
Identificazione degli obblighi applicabili, punti di contatto designati, canali di notifica, monitoraggio delle raccomandazioni derivanti dalle valutazioni precedenti.
Analisi d’impatto sull’attività
Inventario dei processi critici, tempi massimi di interruzione tollerabili, obiettivi di ripristino, dipendenze interne, validazione da parte dei responsabili di processo.
Valutazione dei rischi e scenari
Identificazione delle minacce rilevanti per il sito e il settore, scenari selezionati, probabilità e impatto, collegamento con i rischi nazionali censiti.
Strategie di continuità e ripristino
Opzioni scelte per processo, siti alternativi, ridondanza dei sistemi, risorse umane di riserva, bilanciamento tra costo e tempi di ripristino.
Piani di continuità e gestione delle crisi
Contenuto e accessibilità dei piani, procedure di attivazione, soglie di innesco, cellula di crisi, catena decisionale e di supplenza.
Catena di fornitura e fornitori critici
Mappatura dei fornitori essenziali, requisiti contrattuali di continuità, alternative individuate, verifica dei dispositivi dei terzi.
Comunicazione di crisi
Rubrica di crisi, messaggi predisposti, portavoce designati, informazione ai dipendenti, ai clienti e alle autorità, mezzi di riserva in caso di caduta dei canali abituali.
Formazione, sensibilizzazione ed esercitazioni
Programma annuale di esercitazioni, varietà degli scenari, partecipazione della direzione, verbali, monitoraggio delle azioni correttive derivanti dalle esercitazioni.
Monitoraggio, revisione e miglioramento
Indicatori di performance del dispositivo, audit interni, riesame della direzione, aggiornamento dopo incidenti o riorganizzazioni, storico delle versioni.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Questa diagnosi rilascia una conformità alla norma emiratina?
No. Datamensio misura la maturità delle vostre prassi e prepara la valutazione condotta dall’autorità o da un organismo incaricato. Ottenete un punteggio per ambito, l’elenco degli scostamenti e il piano d’azione per trattarli, non un attestato.
Che differenza c’è tra questa diagnosi e un audit di conformità?
L’audit verifica la presenza di un requisito e si conclude con conforme o non conforme. La diagnosi colloca ogni prassi su una scala a cinque livelli e indica l’azione che consente di passare al livello successivo. I due strumenti sono complementari: la diagnosi prepara, l’audit convalida.
Siamo già certificati ISO 22301. Questa diagnosi ci porta qualcosa in più?
Sì. I due quadri condividono un’architettura simile, ma il quadro di riferimento emiratino aggiunge aspettative proprie, in particolare il collegamento con i dispositivi nazionali di gestione delle crisi e i canali di notifica verso l’autorità. La diagnosi evidenzia ciò che è già coperto dal vostro sistema di gestione e ciò che resta da costruire sul perimetro locale.
Quanto tempo richiede la valutazione?
La versione breve viene compilata in un’unica sessione da un responsabile della continuità. La versione completa, in modalità collaborativa, si sviluppa in una o due settimane: la maggior parte del tempo serve a raccogliere gli elementi presso i responsabili di processo, l’IT e i siti.
È possibile adattare il quadro di riferimento alla nostra organizzazione?
Sì. Potete modificare le domande, le formulazioni dei livelli e gli ambiti, oppure aggiungerne di vostri. L’IA genera una versione derivata a partire dalla vostra politica di continuità e dai vostri piani esistenti, e affina i livelli secondo il metodo CMMI. Il quadro di riferimento vi appartiene.
È possibile confrontare più siti o più entità?
Sì. La diagnosi può essere avviata come campagna su tutte le entità necessarie, con un benchmark tra business unit e rispetto alle campagne precedenti. Gli scostamenti consolidati alimentano una roadmap trasversale piuttosto che un piano d’azione per singolo sito.
Cosa succede dopo la diagnosi?
Lo scostamento tra il punteggio ottenuto e l’obiettivo genera il piano d’azione. L’IA lo raggruppa in una roadmap con priorità, e il catalogo di prestazioni propone una soluzione per ogni elemento, con costo, tempi e impatto atteso sul punteggio. La restituzione dei risultati alle direzioni e alle entità avviene in uno spazio collaborativo personalizzato con la vostra identità.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento al di fuori dell’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.