Maturità ISO 22316 · Gestione della resilienza organizzativa

ISO 22316 tratta di sicurezza e resilienza, in particolare della capacità di un’organizzazione di assorbire le perturbazioni, adattarsi e proseguire le proprie attività. Pubblicata nel 2017, non formula requisiti ma descrive principi e una serie di attributi: una visione e una ragione d’essere condivise, una comprensione del contesto interno ed esterno, una leadership capace di decidere nell’incertezza, una cultura che sostiene la resilienza, un’informazione condivisa, risorse disponibili, un coordinamento tra le discipline di gestione, e un miglioramento continuo alimentato dall’esperienza. È un quadro di governo, non una checklist.

Questa natura ne fa un argomento difficile da gestire. La resilienza non si legge su nessuna dashboard esistente: si distribuisce tra la continuità operativa, la gestione dei rischi, la sicurezza, le risorse umane, la supply chain e la comunicazione, ciascuna con le proprie strutture. Le domande che ricorrono sono concrete. Chi decide quando due discipline propongono risposte contraddittorie? Le decisioni prese durante l’ultima perturbazione hanno modificato qualcosa nell’organizzazione, o sono rimaste nel verbale? Le dipendenze critiche, fornitori, sistemi, competenze rare, sono note al di là dei team che le gestiscono?

Una confusione ricorrente riguarda ISO 22316 e ISO 22301, che non coprono lo stesso oggetto. ISO 22301 stabilisce requisiti per un sistema di gestione della continuità operativa e si certifica. ISO 22316 amplia il quadro alla capacità globale dell’organizzazione, al di là degli scenari di interruzione identificati, e non si certifica. Un’organizzazione può disporre di un piano di continuità testato e restare fragile sul coordinamento, la cultura o l’adattamento. Il contrario è più raro, ma esiste.

La diagnosi di maturità risponde a una domanda diversa da quella dell’audit. L’audit conclude con uno scarto o una conformità. La diagnosi posiziona ogni attributo su una scala progressiva, in cinque livelli costruiti secondo il metodo CMMI, e indica l’azione che consente di passare al livello successivo. Lo scarto tra il punteggio ottenuto e l’obiettivo genera direttamente il piano d’azione, che l’IA raggruppa in una roadmap prioritaria. Le business unit si confrontano tra loro e con la propria valutazione precedente.

In Datamensio, il quadro di riferimento è pronto all’uso e resta vostro. Potete modificare gli ambiti, le domande e la formulazione dei livelli. L’IA affina questi livelli, adatta il vocabolario al vostro settore, oppure costruisce una declinazione a partire dai vostri documenti: politica di continuità, resoconti di gestione delle crisi, mappatura delle dipendenze.