ISO 22301

Chi ne ha bisogno

Banche, assicurazioni e prestatori di servizi di pagamento che operano secondo le aspettative della Banca centrale; data center, operatori di telecomunicazioni e fornitori di servizi gestiti che contrattano sulla disponibilità; operatori logistici, ospedali e utility. Compare nelle gare degli EAU ovunque un'interruzione del proprio servizio diventi un'interruzione di quello dell'acquirente.

Che cosa richiede la norma

L'analisi di impatto sul business

Individuare le attività che erogano i propri prodotti e servizi e, per ciascuna, stabilire entro quanto deve riprendere e di che cosa ha bisogno per farlo. È l'analisi su cui è costruito tutto il resto del sistema, e un piano scritto senza di essa è un piano per l'interruzione che qualcuno ha immaginato anziché per quella che farebbe male.

La valutazione dei rischi

Valutare che cosa può interrompere quelle attività prioritarie. La norma non chiede di prevedere la causa; chiede di comprendere l'interruzione, per cui la dipendenza da un unico fornitore conta sia che questo venga meno per un incendio, per una sanzione o per insolvenza.

Le strategie e le soluzioni di continuità operativa

Scegliere e dotare di risorse ciò che si farà davvero — siti alternativi, capacità di riserva, personale formato su più ruoli, accordi con i fornitori — e dimostrare che le soluzioni scelte rispettano i tempi fissati dall'analisi di impatto. Gli auditor verificano che le risorse indicate in una strategia esistano e siano disponibili.

Piani documentati e una struttura di risposta

Ruoli nominati con l'autorità di attivare un piano, un modo per raggiungere le persone quando i sistemi ordinari sono fuori uso, e procedure scritte per essere utilizzabili da chiunque sia di turno. Rileviamo risultanze dove l'unica copia di un piano si trova sul sistema a cui quel piano deve sopravvivere.

Le esercitazioni e i test

È il punto che separa un sistema certificato da un sistema documentato. I piani vanno esercitati secondo un programma definito, i risultati registrati con onestà compreso ciò che non ha funzionato, e i piani modificati di conseguenza. Un'esercitazione che nessuno ha fallito di solito è un'esercitazione che non ha messo alla prova nulla.

Perché le organizzazioni si certificano

• Risponde alle sezioni su continuità e resilienza delle gare del settore finanziario e pubblico con un certificato indipendente anziché con un'autovalutazione
• Dà ai clienti che contrattano sulla disponibilità un'evidenza di parte terza dietro l'impegno assunto
• Trasforma la continuità da documento affidato a una sola persona a sistema con ruoli nominati, una risposta collaudata e un ciclo di riesame

Che cosa determina l'onorario

Sotto il nostro accreditamento la durata dell'audit è fissata da criteri definiti, non dalla trattativa. Questi sono i fattori che la fanno variare, così si vede da dove viene il preventivo:

• Numero di attività prioritarie e numero di prodotti e servizi distinti nel campo di applicazione
• Numero di dipendenti e quanti siti, data center e sedi operative sono coperti
• Complessità della mappa delle dipendenze, in particolare il ricorso a fornitori esterni i cui accordi devono essere documentati
• Presenza o meno di un programma di esercitazioni già in corso, poiché è all'evidenza delle esercitazioni che l'audit dedica la maggior parte del tempo

Come si svolge l'audit

1. 01

   Certificazione

   Stage 1 e stage 2

   Due stage. Lo stage 1 è un riesame documentale e una raccolta di informazioni; lo stage 2 è l'audit che determina la certificazione.

2. 02

   1ª sorveglianza annuale

   Primo audit di verifica successivo

   Un audit nel primo anno del ciclo, che conferma che il sistema è ancora operativo e che le azioni correttive sono state efficaci.

3. 03

   2ª sorveglianza annuale

   Secondo audit di verifica successivo

   Il secondo audit di verifica, nell'ultimo anno prima del rinnovo, che copre le parti del sistema non campionate nel primo anno.

4. 04

   Rinnovo della certificazione

   Audit di rinnovo per il ciclo successivo

   Un audit di rinnovo prima della scadenza del certificato, che valuta l'intero sistema di gestione e le sue prestazioni lungo i tre anni.

Le domande che ci vengono poste