{"id":44579,"date":"2026-08-20T17:12:34","date_gmt":"2026-08-20T15:12:34","guid":{"rendered":"https:\/\/smartfense.com\/?p=44579"},"modified":"2026-08-20T17:12:44","modified_gmt":"2026-08-20T15:12:44","slug":"esercitazione-continuita-operativa-cosa-dimostra","status":"publish","type":"post","link":"https:\/\/smartfense.com\/it\/blog\/esercitazione-continuita-operativa-cosa-dimostra\/","title":{"rendered":"Cosa dimostra un’esercitazione di continuit\u00e0 operativa e cosa resta senza verifica"},"content":{"rendered":"

Il BCI Emergency & Crisis Communications Report 2026<\/a> riporta che il 72,4% delle organizzazioni ha attivato il proprio piano di comunicazione di emergenza negli ultimi dodici mesi. Nello stesso rapporto, quasi il 90% dichiara di avere un piano formale e pi\u00f9 di tre quarti affermano di poterlo attivare in meno di trenta minuti.<\/p>\n

L\u2019attivazione ha smesso di essere un\u2019ipotesi da laboratorio e il documento, in generale, esiste. Quello che resta aperto nella maggior parte dei framework di continuit\u00e0 che revisiono \u00e8 un\u2019altra cosa. Quando l\u2019esercitazione di continuit\u00e0 operativa finisce e il rapporto dice che \u00e8 andata bene, raramente \u00e8 chiaro cosa sia stato verificato esattamente e cosa sia rimasto senza verifica.<\/p>\n

Questa distinzione determina se il consiglio di amministrazione sta decidendo su una capacit\u00e0 misurata o sulla tranquillit\u00e0 lasciata da una prova.<\/p>\n

Cosa chiede la ISO 22301 sulle esercitazioni?<\/h2>\n

Ci\u00f2 che la ISO 22301 esige \u00e8 un programma di esercitazioni<\/strong>, e lo fa nella clausola 8.5, che nella revisione del 2019 ha sostituito la vecchia sotto-clausola su esercitazione e test. Il programma definisce calendario, obiettivi, ambito, scenari, partecipanti e criteri di valutazione, e ammette formati diversi in base a ci\u00f2 che si vuole verificare.<\/p>\n

La differenza tra programma ed evento \u00e8 la prima cosa che si perde quando la continuit\u00e0 viene gestita contro una data di audit. Un evento produce un rapporto. Un programma produce una serie, e una serie permette di confrontare.<\/p>\n

A questo si aggiunge la clausola 8.6, che chiede di valutare periodicamente sia la documentazione di continuit\u00e0 sia le capacit\u00e0 dell\u2019organizzazione, e di verificare che restino adeguate mentre l\u2019organizzazione cambia. Le due clausole lavorano insieme: la 8.5 genera l\u2019evidenza e la 8.6 obbliga a farne qualcosa.<\/p>\n

Per le entit\u00e0 finanziarie europee l\u2019obbligo arriva anche per un\u2019altra via, perch\u00e9 la normativa DORA tratta i test di resilienza operativa digitale come un pilastro autonomo. La porta d\u2019ingresso a quell\u2019obbligo \u00e8 a chi si applica il regolamento DORA<\/a>.<\/p>\n

Cosa dimostra ogni tipo di esercitazione?<\/h2>\n

I quattro formati ammessi dalla norma verificano strati diversi, e ognuno lascia intatto il resto.<\/p>\n\n\n\n\n\n\n\n\n
Tipo di esercitazione<\/th>\nCosa dimostra<\/th>\nCosa resta senza verifica<\/th>\nChi coinvolge<\/th>\n<\/tr>\n<\/thead>\n
Revisione documentale<\/td>\nChe il piano sia completo, aggiornato e senza contraddizioni interne<\/td>\nQualsiasi capacit\u00e0 di risposta reale<\/td>\nIl team che mantiene il piano<\/td>\n<\/tr>\n
Esercitazione a tavolino (tabletop exercise<\/em>)<\/td>\nI criteri di decisione del comitato e le dipendenze tra le aree<\/td>\nChe i sistemi e i canali alternativi rispondano<\/td>\nIl comitato di crisi e i responsabili di processo<\/td>\n<\/tr>\n
Simulazione funzionale<\/td>\nChe una procedura concreta si esegua entro il tempo obiettivo<\/td>\nLa reazione dell\u2019organizzazione che non partecipa<\/td>\nIl team tecnico dell\u2019ambito verificato<\/td>\n<\/tr>\n
Commutazione reale<\/td>\nChe la capacit\u00e0 alternativa sostenga l\u2019operativit\u00e0<\/td>\nIl rilevamento dell\u2019evento, perch\u00e9 la commutazione parte per decisione propria<\/td>\nL\u2019operativit\u00e0 del processo commutato<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Letta per colonne, la tabella spiega un\u2019asimmetria frequente nei rapporti di governance. Un\u2019organizzazione pu\u00f2 accumulare tre anni di esercitazioni a tavolino impeccabili e non avere una sola evidenza che la sua capacit\u00e0 alternativa sostenga l\u2019operativit\u00e0.<\/p>\n

Il programma si ordina per strati coperti. Conviene sapere quali sono stati verificati negli ultimi dodici mesi e quali sono da pi\u00f9 tempo senza verifica.<\/p>\n

Perch\u00e9 un\u2019esercitazione con preavviso dimostra meno di quanto dice il rapporto?<\/h2>\n

Un\u2019esercitazione annunciata resta utile e difficile da sostituire. Ci\u00f2 che fa il preavviso \u00e8 neutralizzare tre presupposti, e conviene annotarli accanto alla conclusione del rapporto.<\/p>\n

Il primo \u00e8 il rilevamento. L\u2019esercitazione inizia quando qualcuno la annuncia, mentre l\u2019evento reale inizia quando qualcuno lo riconosce e decide di escalarlo. Tutto l\u2019intervallo tra il guasto e il momento in cui qualcuno lo qualifica come incidente resta fuori dalla prova.<\/p>\n

Il secondo \u00e8 l\u2019orario. Le esercitazioni si svolgono in orario di lavoro, con le persone al proprio posto e le deleghe decisionali disponibili. L\u2019attivazione alle tre di notte di una domenica dipende da deleghe scritte che quasi mai vengono messe alla prova.<\/p>\n

Il terzo \u00e8 la disponibilit\u00e0. All\u2019esercitazione partecipano i titolari del ruolo. Il giorno dell\u2019evento ci sono ferie, permessi, posizioni vacanti e persone entrate tre settimane prima. Un piano che funziona con i titolari presenti non dice nulla sulle loro sostituzioni.<\/p>\n

Cosa si fa del risultato dell\u2019esercitazione?<\/h2>\n

Qui, nella mia esperienza, cade il maggior numero di programmi. L\u2019esercitazione rileva scostamenti, il rapporto li elenca, e da l\u00ec in avanti il circuito si perde.<\/p>\n

La clausola 8.6 spinge nella direzione opposta e chiede che la valutazione porti all\u2019aggiornamento della documentazione e delle procedure. Perch\u00e9 questo avvenga, ogni scostamento rilevato ha bisogno di tre attributi dal giorno dell\u2019esercitazione: un responsabile con nome, una data di chiusura e una verifica successiva che confermi la risoluzione. Senza quella verifica, lo scostamento ricompare nell\u2019esercitazione dell\u2019anno seguente e viene registrato come rilievo nuovo.<\/p>\n

Uno scostamento rilevato e mai chiuso fa qualcosa di peggio che restare aperto. Si installa. \u00c8 lo stesso meccanismo per cui una scorciatoia operativa diventa la norma prima dell\u2019incidente<\/a>: se l\u2019esercitazione mostra che la procedura viene saltata e nessuno corregge, l\u2019esercitazione ha appena documentato la pratica reale e l\u2019ha legittimata.<\/p>\n

\u00c8 anche il motivo per diffidare del rapporto che conclude che l\u2019esercitazione si \u00e8 svolta come previsto. Un risultato senza scostamenti indica di solito uno scenario progettato per confermare il piano invece di metterlo sotto tensione, e funziona esattamente come la percentuale di conformit\u00e0 che arriva al 100% e smette di informare<\/a>.<\/p>\n

Conviene una grande esercitazione all\u2019anno o diverse brevi?<\/h2>\n

La scala ha un costo di coordinamento che raramente viene contabilizzato. Un caso pubblicato dal Business Continuity Institute nel maggio 2026, a partire da un progetto pilota al British Council, documenta che i team accettano un\u2019esercitazione di due ore con molta pi\u00f9 disponibilit\u00e0<\/a> rispetto a una significativamente pi\u00f9 lunga, e che oltre una certa durata l\u2019esercitazione viene percepita come un\u2019interruzione dell\u2019operativit\u00e0 invece che come un\u2019attivit\u00e0 di sviluppo.<\/p>\n

Per un programma di continuit\u00e0 la conseguenza \u00e8 pratica. Un formato breve e ripetibile copre pi\u00f9 strati della tabella precedente nello stesso anno rispetto a un\u2019unica esercitazione di grande scala, e ogni ripetizione permette di verificare se lo scostamento dell\u2019esercitazione precedente \u00e8 stato chiuso.<\/p>\n

L\u2019esercitazione maggiore conserva il suo posto, ma come eccezione annuale e non come unica prova di tutto l\u2019anno. Sostenere quella cadenza \u00e8 un problema di pianificazione prima che di metodologia, e si appoggia sull\u2019avere una vista mese per mese di ci\u00f2 che \u00e8 programmato<\/a> per ciascun gruppo, area o livello gerarchico, invece di una data annuale difesa contro il calendario di tutti gli altri.<\/p>\n

Quali evidenze lascia un programma di esercitazioni?<\/h2>\n

Un auditor che esamina la clausola 8.5 chiede la serie completa del periodo. Quattro registrazioni ordinano ci\u00f2 che conviene avere disponibile.<\/p>\n