Garantire la continuità operativa (business continuity) di un’impresa industriale significa prepararsi a gestire eventi capaci di interrompere la produzione, limitandone le conseguenze economiche e organizzative. Un obiettivo particolarmente complesso quando l’azienda dispone di più stabilimenti, caratterizzati da processi produttivi, impianti e tecnologie differenti.
È la sfida affrontata da KME, gruppo industriale internazionale attivo nella lavorazione del rame e delle sue leghe, che ha sviluppato un progetto di business continuity con l’obiettivo di definire un modello comune, applicabile progressivamente alle diverse realtà produttive.
A raccontare il percorso è stato Luigi Gobbi, Group IT Security Manager di KME, intervenuto nel corso dell’evento dedicato alla cybersecurity industriale del 20 ottobre.
L’esperienza è interessante soprattutto per l’approccio scelto: partire da uno stabilimento pilota, mettere a punto una metodologia replicabile, coinvolgere direttamente le funzioni aziendali responsabili dei processi e costruire internamente le competenze necessarie per estendere il progetto.
Indice degli argomenti
Una metodologia comune per stabilimenti molto diversi
Come molte realtà industriali, KME è caratterizzata da una forte eterogeneità. I suoi stabilimenti presentano differenze non soltanto nelle attività produttive, ma anche nelle tecnologie, nei sistemi informativi e nell’organizzazione.
Definire un unico piano di continuità operativa valido indistintamente per tutti i siti non sarebbe stato quindi realistico.
“Per noi l’unico approccio percorribile era quello graduale e progressivo: partire da uno stabilimento, definire un piano operativo efficace per quella realtà e poi estendere il lavoro agli altri siti. Dovevamo trovare un equilibrio fra risorse disponibili, tempi, costi e risultati da raggiungere”, spiega Gobbi.
Il gruppo ha quindi deciso di sviluppare, con il supporto iniziale di una società di consulenza specializzata, una metodologia trasversale di business continuity, sufficientemente strutturata da garantire coerenza a livello aziendale, ma anche abbastanza flessibile da adattarsi alle caratteristiche dei singoli stabilimenti.
Il progetto pilota è partito nel gennaio 2026 da uno dei principali siti produttivi del gruppo.
La prima fase è stata dedicata alla mappatura dei processi e all’identificazione delle attività critiche. A questa è seguita l’analisi dei rischi e la valutazione degli impatti che un’interruzione avrebbe potuto determinare sul funzionamento dello stabilimento.
È stato quindi definito il piano di continuità operativa, integrando anche le procedure di emergenza e di sicurezza già presenti.
L’intero percorso ha richiesto circa sette mesi e ha permesso di costruire un primo modello da utilizzare come riferimento per le successive implementazioni.
Il coinvolgimento del management e dei responsabili dei processi
Uno degli aspetti centrali dell’esperienza KME riguarda il modello organizzativo.
Un piano di business continuity non può essere affidato esclusivamente alla funzione IT, perché le conseguenze di un’interruzione interessano l’intera organizzazione aziendale.
La capacità di valutare quali attività siano davvero critiche, quali risorse siano indispensabili e quali conseguenze provocherebbe il loro fermo appartiene innanzitutto alle funzioni che gestiscono quotidianamente i processi produttivi.
“Parliamo di progetti di business, non semplicemente di progetti tecnologici. Per questo è fondamentale avere un forte commitment da parte del top management e coinvolgere fin dall’inizio tutti i responsabili dei processi interessati”, sottolinea Gobbi.
In KME il percorso è iniziato proprio dalla sensibilizzazione dei vertici aziendali, attraverso attività di formazione finalizzate a spiegare il valore della continuità operativa e le sue implicazioni economiche.
Successivamente sono state coinvolte le diverse funzioni operative, a partire dai responsabili dei processi e sottoprocessi aziendali, chiamati a contribuire all’identificazione delle criticità e alla valutazione degli impatti.
Le competenze di sicurezza, gestione degli impianti e tecnologie digitali hanno completato il quadro, consentendo di esaminare sia i rischi per la produzione sia quelli legati alla disponibilità dei sistemi informatici.
La distinzione delle responsabilità è stata uno degli elementi determinanti per la riuscita del progetto. Ciascun soggetto coinvolto doveva conoscere fin dall’inizio il proprio ruolo, le informazioni da mettere a disposizione e le attività di cui sarebbe stato responsabile.
Questo approccio ha permesso di evitare uno dei rischi più frequenti nei progetti di continuità operativa: affidare ai tecnici valutazioni che richiedono invece una conoscenza approfondita delle priorità aziendali.
La continuità operativa ha un valore economico, non soltanto normativo
Secondo Gobbi uno degli errori più comuni è considerare la business continuity un’attività da realizzare esclusivamente per soddisfare richieste esterne.
La spinta può arrivare da una disposizione normativa, da un cliente importante oppure da un partner commerciale che chiede garanzie sulla capacità di assicurare le forniture. Si tratta di motivazioni legittime, che però rischiano di condurre a un approccio prevalentemente documentale.
“Se realizziamo un piano di continuità soltanto perché ce lo chiede un cliente o perché dobbiamo rispettare un requisito normativo, rischiamo di produrre documentazione formalmente corretta, ma poco utile nella pratica. La business continuity ha invece un valore intrinseco per l’impresa, che è anche un valore economico”, osserva il manager.
In un’azienda manifatturiera il fermo di un impianto può provocare conseguenze che si estendono lungo l’intera catena produttiva e commerciale. Alle perdite direttamente collegate all’interruzione della produzione si possono aggiungere i costi di ripristino, i ritardi nelle consegne, le possibili penalità contrattuali e le ripercussioni sui rapporti con i clienti.
Per questo la business continuity deve essere considerata una componente della gestione economica e organizzativa dell’impresa, al pari degli altri strumenti utilizzati per proteggere la continuità del business.
Non si tratta soltanto di prevenire gli incidenti, ma di conoscere in anticipo le attività più vulnerabili, le dipendenze critiche e le azioni necessarie per ridurre la durata di un’eventuale interruzione.
Il ruolo decisivo dei test: un piano deve funzionare anche nella pratica
Il progetto KME attribuisce particolare importanza alla verifica periodica dei piani sviluppati.
Un documento può essere costruito seguendo metodologie consolidate e contenere procedure dettagliate, ma soltanto una simulazione permette di verificare se quelle indicazioni siano effettivamente applicabili.
“I test periodici sono importanti quanto il piano di continuità stesso. Un piano può essere stato definito rispettando tutte le best practice, ma fino a quando non viene testato rimane un buon piano soltanto sulla carta”, spiega Gobbi.
Le analisi dei processi aziendali, per quanto accurate, possono infatti contenere errori, imprecisioni o valutazioni incomplete. Lo scopo delle esercitazioni è proprio quello di far emergere queste criticità in un contesto controllato, anziché scoprirle durante una situazione reale di emergenza.
KME ha già effettuato nel settembre 2026 un primo test relativo al sito pilota.
La metodologia prevede verifiche ordinarie con cadenza annuale, alle quali possono aggiungersi test straordinari quando intervengono modifiche significative ai processi produttivi o alle condizioni operative che potrebbero influire sull’efficacia del piano.
In questo modo la business continuity diventa un processo di miglioramento continuo, e non un’attività che si esaurisce con l’approvazione del documento iniziale.
Dalla sperimentazione all’estensione agli altri stabilimenti
Il completamento del progetto pilota rappresenta per KME il punto di partenza di una fase successiva. L’obiettivo è estendere gradualmente la metodologia agli altri siti produttivi, adattandola alle caratteristiche di ciascuno stabilimento.
Il programma prevede l’avvio delle attività in un primo sito tedesco nel novembre 2026.
Ma il risultato del progetto pilota non riguarda soltanto la disponibilità di un modello replicabile. Il gruppo ha utilizzato questa prima esperienza anche per individuare e sviluppare le competenze interne necessarie a realizzare le successive implementazioni, con l’obiettivo di ridurre la dipendenza dai consulenti esterni.
Una scelta che punta a rendere la gestione della continuità operativa una capacità stabile dell’organizzazione.
Il legame tra cybersecurity e business continuity: due aspetti diversi e complementari della resilienza aziendale
L’esperienza KME mette infine in evidenza un principio fondamentale: la cybersecurity e la business continuity sono strettamente collegate, ma hanno finalità differenti. La prima interviene soprattutto sulla prevenzione, sul monitoraggio e sull’individuazione delle minacce. La seconda parte dal presupposto che, nonostante tutte le misure di sicurezza adottate, un incidente possa comunque verificarsi.
“Le due discipline sono complementari. La cybersecurity cerca di prevenire e rilevare gli eventi che possono compromettere i sistemi; la business continuity si concentra sulla capacità dell’azienda di reagire quando qualcosa accade. Devono procedere insieme, perché l’obiettivo è rendere l’impresa non soltanto sicura, ma anche resiliente”, conclude Gobbi.
È probabilmente questa la lezione più importante del progetto: la continuità produttiva non si garantisce soltanto investendo in tecnologie di protezione, ma costruendo un’organizzazione capace di conoscere i propri rischi, prepararsi agli incidenti e reagire efficacemente quando si verificano.
