La gestione del personale può avere impatti anche notevoli sulla sicurezza aziendale, a seconda di quanto efficaci siano le politiche adottate.
Comprendere quali sono le figure chiave interessate e applicare buone pratiche organizzative può, dunque, fare la differenza.
Indice degli argomenti
Politica di gestione del personale: le figure chiave
Iniziamo con una situazione che è facile ritrovare in parecchie realtà, quella relativa alla presenza di figure chiave senza le quali alcuni processi che riguardano la gestione del sistema informativo non possono aver luogo.
Tali figure tendono spesso a non condividere la loro conoscenza, in quanto la conoscenza e le competenze costituiscono il loro punto di forza, elementi che li rendono indispensabili per l’azienda.
Dal canto loro le aziende sono coscienti della importanza di tali figure e sono solite premiarle per evitare di perderle.
Questa modalità di gestione è, però, molto pericolosa per l’azienda in quanto si rischia di creare una dipendenza che, nei casi più gravi, può compromettere la sopravvivenza stessa dell’organizzazione.
La corretta modalità di gestione di tale figure è quella di legare la loro retribuzione alla loro capacità e volontà di condividere le informazioni.
In realtà, tale politica dovrebbe costituire un fondamento per l’azienda ed essere uno dei primi parametri da prendere in considerazione nella valutazione delle prestazioni del personale.
La conoscenza è, infatti, uno degli asset più rilevanti per le aziende di qualunque settore o dimensione, ma spesso le aziende tendono a sottovalutarla o a proteggere esclusivamente la conoscenza che si trova esplicitata in informazioni strutturate (ad esempio in database) o in documenti.
Le competenze costituiscono molto spesso un patrimonio personale e non condiviso dei dipendenti e collaboratori delle aziende, che non fanno nulla per incentivare la loro condivisione e per trasformare tali conoscenze implicite in informazioni esplicite e condivisibili.
Le aziende dovrebbero cercare di rendersi meno dipendenti dalle figure chiave, formalizzando fra i vari compiti del personale l’obbligo della condivisione delle informazioni e prevedendo di affiancare alle eventuali figure chiave che dovessero emergere, colleghi che possono acquisire nel tempo le stesse competenze.
Va evidenziato, inoltre, che non è possibile definire un piano di business continuity funzionante, nel caso in cui in azienda siano presenti figure non sostituibili.
Lo scenario della indisponibilità delle “figure essenziali” è uno di quelli che deve essere preso in considerazione durante la stesura di un piano di continuità operativa, per cui anche per poter dare seguito alla creazione di soluzioni di continuità è necessario rendere sostituibile qualunque soggetto presente in azienda.
Sempre in tema di continuità operativa, oltre alla conoscenza implicita che non può essere accettata dalle policy aziendali, vanno formalizzate anche quelle conoscenze che sono formalizzate in file e strumenti che sono sviluppati e fanno parte del patrimonio personale dei singoli individui la cui esistenza non è nota all’azienda (si va dagli EUC – end user computing allo shadow IT).
Solo la conoscenza esplicita può essere protetta con adeguate misure di sicurezza, mentre nel caso della conoscenza implicita la prima forma di protezione è la sua esplicitazione[1].
Le risorse aziendali che si occupano di business continuity
Se non si hanno informazioni dettagliate su tutte le attività che si svolgono, come si svolgono e con quali strumenti, non è possibile predisporre delle soluzioni di continuità operativa.
Ma c’è un altro aspetto che la politica di gestione del personale deve considerare in questo ambito.
Le risorse che sono coinvolte nella gestione dei piani di continuità operativa devono dedicare molto del loro tempo:
- all’attività di formazione;
- alla formalizzazione delle loro attività affinché possano essere svolte da soggetti che normalmente non svolgono tale lavoro;
- alle attività di apprendimento in affiancamento fra gli uffici che rientrano nel piano di continuità operativa e i loro uffici di backup;
- ai test.
Tutte queste e altre attività non fanno parte della normale operatività che il funzionigramma aziendale attribuisce ai vari uffici coinvolti.
Ne consegue, che una discreta parte del tempo che tutte queste risorse dovrebbero dedicare alla loro attività principale e per le quali sono valutate ed eventualmente premiate, sono in realtà dedicate ad altri compiti.
Questo è ancora più vero nel caso degli uffici di backup, che non fanno parte del perimetro di continuità operativa individuato dall’azienda, ma che loro malgrado sono coinvolti nelle relative attività.
È evidente che l’azienda, nel fissare gli specifici obiettivi da raggiungere da parte di tutte queste strutture, non può ignorare il loro impegno nell’ambito della continuità operativa.
Quindi:
- da un lato deve inserire la corretta gestione delle attività legate alla continuità operativa, fra gli obiettivi e le responsabilità di tutti gli uffici coinvolti;
- in secondo luogo, la valutazione degli obiettivi raggiunti ed il relativo sistema premiante dovrà prendere in considerazione il fatto che questi comprendono anche gli aspetti legati alla continuità operativa e non solo quelli della “normale operatività”.
Solo in questo modo le aziende possono sperare di coinvolgere positivamente tutto il personale coinvolto, che altrimenti potrebbe considerare queste attività, aggiuntive a quelle legate al proprio ruolo, come un ostacolo al raggiungimento dei propri obiettivi.
Il sistema premiante
Riprendiamo il tema del sistema premiante.
Nel paragrafo precedente ho evidenziato come sia importante che gli obiettivi legati alla continuità operativa (potremmo in realtà estendere questa considerazione a tutti gli aspetti che riguardano la sicurezza), siano parte integrante del sistema premiante.
Per le figure apicali, i sistemi premianti prevedono spesso, che parte della retribuzione sia legata agli obiettivi raggiunti.
Ecco che al riguardo si pone un tema che potrebbe costituire un rischio non indifferente per la sicurezza in azienda.
Quali sono questi obiettivi nell’ambito di temi legati alla sicurezza e come faccio a misurarli realmente?
È sufficiente una metrica numerica (ad esempio devo riuscire ad aggiornare l’analisi dei rischi su almeno il 90% del patrimonio informativo aziendale ogni anno) ovvero sono in grado di valutare anche la qualità dell’attività svolta?
È evidente che i numeri da soli non bastano e sarebbe opportuno che gli obiettivi che devono essere valutati in ambito sicurezza contengano anche parametri che consentano di valutarne la qualità, ovvero che vi sia un lavoro di revisione svolto da soggetti indipendenti delle strutture di controllo che possano verificare la qualità del lavoro svolto.
Il rischio, in caso contrario, è che il desiderio di raggiungere in ogni caso gli obiettivi prefissati (e relativo compenso), porti a ridurre la qualità del lavoro svolto. Nel caso in esame, una serie di analisi dei rischi eseguite senza un’adeguata attenzione può portare ad una sottostima di situazioni di rischio che quindi non vengono adeguatamente presidiate.
Conclusioni
Il tema della politica di gestione del personale non è al primo posto fra le misure di sicurezza ed anzi, solitamente non viene nemmeno considerato.
Gli esempi qui riportati evidenziano, viceversa, quale attenzione dovrebbe essere dedicata a questo tema.
NOTE
Per una trattazione più completa dell’argomento si rimanda a: G.Butti, Manuale di resilienza, ITER, 2023. Per una introduzione sull’argomento si rimanda a: G.Butti, La tutela del capitale intellettuale – Sistema di informazione per la sicurezza della Repubblica (sicurezzanazionale.gov.it). ↑
