Come condurre un crisis management exercise

Un piano di gestione della crisi non dimostra la propria efficacia quando viene approvato, ma quando persone reali devono prendere decisioni incomplete sotto pressione. Capire come condurre un crisis management exercise significa quindi progettare una prova credibile della capacità decisionale aziendale, non organizzare una semplice riunione di verifica.

Per un’organizzazione industriale, regolamentata o esposta a rischi cyber, operativi e reputazionali, l’esercitazione deve misurare un fatto preciso: se la governance di crisi riesce a proteggere persone, continuità operativa, asset, obblighi normativi e fiducia degli stakeholder nel tempo disponibile. Un buon exercise porta alla luce ambiguità, dipendenze e ritardi prima che lo faccia un evento reale.

Definire lo scopo prima dello scenario

L’errore più frequente è partire da uno scenario spettacolare – un ransomware, un incendio, un’interruzione del sito produttivo – senza aver stabilito quale capacità si intenda verificare. In questo modo l’esercitazione genera discussioni interessanti, ma risultati poco utilizzabili.

Lo scopo deve essere formulato in termini osservabili. Per esempio, si può verificare la capacità del Crisis Management Team di attivarsi entro tempi definiti, decidere la sospensione controllata delle attività, coordinarsi con il sito interessato e approvare una comunicazione iniziale a clienti e autorità. In alternativa, l’obiettivo può riguardare l’integrazione tra gestione della crisi, business continuity, disaster recovery IT e gestione assicurativa del sinistro.

La scelta dipende dal livello di maturità dell’organizzazione. Un team di nuova costituzione dovrebbe testare anzitutto ruoli, soglie di escalation e flussi informativi. Un’organizzazione più evoluta può sottoporre a verifica decisioni complesse: priorità tra stabilimenti, indisponibilità simultanea di fornitori critici, tensione sui media o compromissione dei dati.

Gli obiettivi devono essere pochi e misurabili. Se l’esercitazione vuole valutare tutto, finirà per non produrre evidenze affidabili su nulla.

Come condurre un crisis management exercise credibile

Un crisis management exercise efficace richiede una progettazione separata dalla sua conduzione. Chi prepara lo scenario non dovrebbe guidare il team verso la soluzione attesa, mentre gli osservatori devono poter registrare comportamenti e decisioni senza intervenire nel dibattito.

Delimitare perimetro, partecipanti e regole

Il perimetro stabilisce quali funzioni sono coinvolte, quali processi vengono simulati e quali informazioni restano volutamente indisponibili. Il Crisis Management Team è normalmente al centro della prova, ma possono essere chiamati in causa responsabili di stabilimento, IT, sicurezza fisica, legal, HR, comunicazione, procurement, compliance e funzioni assicurative. Non tutti devono partecipare dall’inizio: anche l’attivazione progressiva dei ruoli può essere un elemento da testare.

Prima dell’avvio, ogni partecipante deve conoscere le regole del gioco. L’esercitazione non è una valutazione individuale né una gara a chi conosce meglio le procedure. È una verifica controllata del sistema organizzativo. Deve essere altrettanto chiaro se la sessione è tabletop, ossia basata sulla discussione guidata, oppure se include chiamate simulate, attivazione di reperibilità, comunicazioni operative e interazione con team locali.

La riservatezza merita attenzione. Gli scenari possono fare riferimento a vulnerabilità tecnologiche, siti strategici, informazioni personali o rapporti contrattuali. Un exercise serio definisce in anticipo gestione dei materiali, partecipanti autorizzati e modalità di archiviazione delle evidenze.

Costruire uno scenario plausibile, non soltanto grave

La qualità dello scenario dipende dalla sua aderenza al profilo di rischio dell’impresa. Un attacco cyber è poco utile se non considera i sistemi effettivamente critici, le dipendenze OT, i tempi di ripristino, i vincoli di produzione e il possibile impatto su clienti o dati. Analogamente, un evento fisico deve riflettere layout del sito, misure di emergenza, catena di fornitura e capacità alternativa realistica.

La plausibilità non richiede la previsione esatta dell’incidente futuro. Richiede conseguenze coerenti. Se un sistema di pianificazione è indisponibile, quali ordini non possono essere evasi? Se un magazzino viene interdetto, quali scorte sono realmente trasferibili? Se circola una notizia sui social, chi la valida e con quali elementi?

Lo scenario va sviluppato attraverso inject, cioè aggiornamenti progressivi che obbligano il team a rivalutare il quadro. Un primo inject può confermare l’evento. I successivi possono introdurre l’indisponibilità di un fornitore, una richiesta di chiarimento da parte di un’autorità, informazioni contrastanti dal sito o l’interesse della stampa. Ogni inject deve mettere alla prova una decisione, non aggiungere complessità per puro effetto narrativo.

Preparare evidenze e criteri di osservazione

Gli osservatori devono sapere che cosa rilevare. Non basta annotare che il team ha discusso a lungo o ha individuato una soluzione. Occorre verificare, ad esempio, se l’evento è stato classificato correttamente, se l’autorità decisionale era chiara, se le assunzioni sono state dichiarate, se le decisioni sono state registrate e se gli stakeholder critici sono stati identificati.

Una griglia di osservazione può coprire almeno queste dimensioni:

• attivazione, composizione e disciplina del Crisis Management Team;
• qualità del situational awareness e gestione delle informazioni non confermate;
• tempestività, proporzionalità e tracciabilità delle decisioni;
• coordinamento con response operativa, IT, continuità e recovery;
• comunicazioni interne, esterne e verso soggetti regolatori;
• gestione degli impatti su persone, sicurezza, clienti, fornitori e assicuratori.

Il criterio non è l’assenza di incertezze. Durante una crisi reale le informazioni saranno inevitabilmente parziali. Ciò che conta è la capacità di decidere entro una soglia di rischio accettabile, definendo azioni, responsabilità, tempi e condizioni di revisione.

Conduzione: pressione controllata e decisioni documentate

La sessione deve essere guidata da un facilitatore autorevole, capace di mantenere il ritmo e di evitare che il gruppo si rifugi in discussioni tecniche non pertinenti. Il facilitatore presenta gli inject, chiarisce i fatti disponibili e pone domande che riportano l’attenzione sulle decisioni: chi è responsabile? Quale azione viene autorizzata? Entro quando? Quale evidenza manca? Chi deve essere informato ora?

Non è utile correggere immediatamente una scelta discutibile. Se la decisione non crea un rischio inaccettabile nella simulazione, è preferibile consentire al team di sperimentarne le conseguenze attraverso l’inject successivo. Questo rende visibili i legami tra una scelta iniziale, il ritardo nell’escalation e l’aggravamento dell’impatto.

La gestione del tempo è decisiva. In un tabletop di due o tre ore non si replica la durata dell’evento, ma se ne comprime la cronologia. Ogni salto temporale deve essere esplicito, così da distinguere ciò che il team ha deciso nell’immediato da ciò che avrebbe pianificato nelle fasi successive.

È opportuno mantenere un decision log durante tutta la prova. Deve riportare decisione, responsabile, orario, razionale, assunzioni e azioni conseguenti. Questo registro non è un adempimento formale: è lo strumento con cui il gruppo verifica se le decisioni sono state comunicate, eseguite e riesaminate quando il contesto è cambiato.

Debrief e piano di miglioramento: il valore si genera dopo

Il debrief dovrebbe iniziare subito al termine della sessione, quando i partecipanti ricordano passaggi, dubbi e vincoli. La discussione deve distinguere tra osservazioni, cause e azioni correttive. Dire che la comunicazione è stata lenta non è ancora un risultato utile. Bisogna capire se il ritardo è dipeso da una soglia di attivazione ambigua, dall’assenza di contatti aggiornati, dalla mancanza di una delega o da contenuti non pre-approvati.

Il report finale deve tradurre le evidenze in un piano di miglioramento con priorità, owner e date di completamento. Alcuni interventi saranno documentali, come l’aggiornamento della matrice di escalation. Altri richiederanno formazione mirata, modifica della governance, investimenti tecnologici o revisione delle dipendenze operative. Non tutte le lacune hanno lo stesso peso: la priorità va assegnata considerando impatto potenziale, probabilità, obblighi normativi e fattibilità dell’intervento.

Un exercise non va considerato chiuso alla consegna del report. Le azioni devono essere monitorate e, quando incidono su procedure o responsabilità rilevanti, verificate con una nuova esercitazione. Continuitaly adotta questo approccio per trasformare il testing in un ciclo di apprendimento misurabile, coerente con la resilienza operativa richiesta a organizzazioni complesse.

La prova più utile non è quella che conferma che il piano esiste. È quella che consente al management di scoprire, con metodo e senza conseguenze reali, quale decisione prenderebbe domani mattina quando il piano da solo non basta.

This post is also available in: