Sistema integrato di continuità operativa e gestione delle crisi: come passare dai rischi alla resilienza e mantenere il controllo quando nulla va secondo i piani

Le imprese industriali e infrastrutturali affrontano rischi che vanno ben oltre i normali guasti alle apparecchiature: interruzioni della catena di fornitura, minacce informatiche, incidenti nei siti limitrofi e fattori di sicurezza locali richiedono il passaggio dalla gestione emergenziale dei singoli problemi a una resilienza sistemica. Quando una situazione di emergenza si sviluppa rapidamente, procedure di affidabilità frammentate non salvano dal caos nel processo decisionale. La pratica di costruire un'architettura unificata di gestione della continuità operativa e di risposta alle crisi in un polo portuale-industriale viene analizzata da Aleksandr Kuzin, responsabile della continuità operativa presso OTEKO.

Valutazione della maturità e analisi d'impatto sul business

Il punto di partenza del progetto, alla fine del 2023, è stato lo sviluppo di una scala proprietaria a cinque livelli per valutare la maturità dei processi di continuità. All'inizio l'azienda si trovava a un livello frammentato: le apparecchiature critiche e le scorte venivano individuate, ma mancavano uno standard valido per tutta l'organizzazione e un'allocazione proattiva delle risorse. L'obiettivo era passare a un livello misurabile, con politiche standardizzate e supervisione da parte della direzione.

Per valutare la vulnerabilità dell'impresa è stata condotta un'analisi d'impatto sul business (BIA): è stato effettuato un inventario dei processi che generano profitto e sono stati calcolati il costo di ogni minuto di fermo, le penali e i rischi per la sicurezza. Sulla base delle interviste con i responsabili dei processi è stata creata una mappa di criticità, suddividendo le operazioni in base al tempo massimo di ripristino accettabile: da quelle più vulnerabili (meno di una settimana prima dell'insorgere di una crisi) a quelle resilienti (con un margine di sicurezza fino a un mese). Ciò ha permesso di definire le priorità nell'allocazione delle risorse su basi oggettive.

Strategie di ripristino ed esercitazioni sul campo

L'analisi di 32 processi chiave e risorse critiche li ha suddivisi in tre zone di preparazione:

• Coperti da strategia e risorse (16 aree). Laddove la capacità progettuale o i metodi di controllo ridondanti consentivano di passare agevolmente ai sistemi di riserva, sono stati sviluppati piani di ripristino passo-passo con assegnazione dei ruoli, procedure di escalation e notifica ai reparti.
• Coperti da strategia ma senza risorse sufficienti (7 aree). Qui sono rientrati gli scenari in cui la soluzione alternativa teorica non superava la verifica dei requisiti di sicurezza. Ad esempio, in caso di guasto alla sala quadri principale, il piano prevedeva il passaggio a una fonte di alimentazione alternativa, ma è emerso che in tale modalità si disattivavano i sistemi di sicurezza e di arresto di emergenza dei nastri trasportatori. Tali strategie sono state inviate a revisione e a supporto delle richieste di investimento per l'adeguamento tecnico.
• Privati di strategia e riserve (9 aree). I reparti in cui un ripristino rapido è impossibile e il fermo porta a danni diretti sono stati trasferiti nel perimetro della gestione delle crisi.

L'efficacia dei piani viene verificata attraverso tre tipi di addestramento: simulazioni a tavolino (se sono necessari lunghi fermi o ammodernamenti), esercitazioni a ciclo completo durante le fermate per manutenzione programmata ed esercitazioni operative sul campo, considerate prioritarie, durante il normale ciclo produttivo. È proprio la verifica su un impianto in funzione a far emergere le barriere organizzative nascoste. Ad esempio, testando il guasto di una sala di controllo, si è scoperto che l'operatore incaricato di effettuare il collegamento diretto tramite il locale quadri non possedeva l'abilitazione necessaria per la sicurezza elettrica. Eliminare tali non conformità prima di un incidente reale rende i piani concretamente applicabili.

Architettura di gestione delle crisi e simulazioni

Per le nove aree critiche e le minacce esterne è stata creata una struttura verticale di gestione delle crisi. L'azienda ha definito propri criteri di crisi e una scala di escalation che consente di monitorare un evento in evoluzione prima che entri nella fase acuta, e per sincronizzare Mosca e Taman ha nominato dei crisis manager scelti tra il top management.

L'elenco delle minacce — dalla sicurezza industriale e ambientale ai rischi normativi e legati al personale — è stato declinato in 35 scenari. Nell'unità di crisi, a composizione fissa e variabile, sono stati inclusi solo dirigenti e specialisti in servizio che conoscono i processi «sul campo»: reparti operativi e di manutenzione, HSE, ambiente, sicurezza antincendio, informatica e aziendale, area commerciale, logistica e HR.

Lo strumento principale per testare l'unità di crisi sono state simulazioni di due giorni da 4 ore ciascuno. Nel corso di quattro esercitazioni (attacco alle infrastrutture, incidente con fuoriuscita di sostanze pericolose in uno stabilimento limitrofo, attacco informatico e blackout nel porto) i partecipanti non conoscevano gli scenari in anticipo e i vertici aziendali sono stati intenzionalmente esclusi dal processo per verificare la preparazione dei sostituti e la trasmissione degli ordini fino agli esecutori. Questo ha messo in luce i colli di bottiglia: ad esempio, durante la prova di evacuazione di massa è emerso che il piano di trasporto delle persone con gli autobus non teneva conto dell'evacuazione simultanea dei dipendenti delle aziende vicine lungo la stessa ed unica strada. In seguito alle simulazioni sono stati elaborati percorsi alternativi, sono stati acquistati DPI e mezzi antincendio, sono state attuate oltre 40 delle 100 misure previste, riducendo il tempo di evacuazione nel sito a tre minuti, ed è stato approvato un budget annuale per le misure anticrisi.

Cosa imparerete da questo intervento

• Come sviluppare una scala di maturità per il sistema di continuità operativa ed effettuare un inventario dei processi critici calcolando il costo di ogni minuto di fermo?
• Perché una strategia di controllo di riserva tecnicamente funzionante può entrare in conflitto con i requisiti di salute e sicurezza sul lavoro e come individuare tali rischi?
• Come combinare simulazioni a tavolino, test durante le manutenzioni ed esercitazioni sul campo nel ciclo operativo senza compromettere la produzione corrente?
• Secondo quali principi formare l'unità di crisi, preparare i sostituti e colmare il divario tra la sede centrale e i terminal produttivi?
• Come condurre simulazioni di crisi con scenari non noti in anticipo e quali problemi nascosti di evacuazione e comunicazione aiutano a risolvere?