Exit strategy and exit plan (una strategia di uscita e un piano di uscita) sono due concetti congiunti, che possono integrare i piani di business continuity, anche se non sono la stessa cosa.
I piani di business continuity operano su scenari a breve e brevissimo termine, quindi un incidente presso un fornitore deve essere gestito con soluzioni che possono intervenire entro gli RTO definiti contrattualmente e nel mondo bancario si parla di poche ore.
Il DORA è operativo. Così cambia la cyber security nella finanza europea
Indice degli argomenti
Gestire l’indisponibilità di un fornitore
Un exit plan (piano di uscita) opera necessariamente su settimane o mesi in quanto le soluzioni possibili più comuni comprendono o il passaggio ad altro fornitore o la reinternalizzazione.
In ogni caso, la normativa bancaria, che costituisce sempre un punto di riferimento anche per altri settori non specificatamente normati, ha ampliato già da qualche anno le sue richieste agli enti vigilati e richiede che i piani di continuità operativa operino sia sul breve sia sul lungo periodo.
Richiede, inoltre, che un incidente occorso ad un fornitore, che non sia risolto dalle soluzioni predisposte da quest’ultimo, non abbia a compromettere la continuità operativa della banca, che deve quindi predisporre autonomamente delle soluzioni alternative.
In altre parole, oltre ai vincoli contrattuali, alle attività di verifica presso il fornitore, alla partecipazione ai test eseguiti dallo stesso, la banca deve essere in grado di far fronte ad una sua indisponibilità.
Tutte queste richieste sono in realtà molto onerose e difficili da ideare e realizzare, salvo operare sempre almeno con due fornitori per lo stesso tipo di servizio, con contratti che consentano ad uno dei fornitori superstiti di farsi carico dell’intero servizio nel caso in cui l’altro venisse meno per un certo periodo.
Ma questo non è né facile e nemmeno sempre possibile.
Le categorie di fornitori secondo il regolamento DORA
In effetti, i fornitori non sono tutti uguali e la stessa DORA li distingue in varie categorie.
Ci sono innanzitutto i fornitori che sono essi stessi soggetti a DORA e cioè i fornitori terzi di servizi TIC.
Fra questi ci sono poi i fornitori critici identificati secondo diverse caratteristiche, indicate all’art. 31 di DORA, fra le quali il grado di sostituibilità, per il quale DORA prende in considerazione i seguenti parametri:
- la mancanza di alternative reali, anche parziali, dovuta al limitato numero di fornitori terzi di servizi TIC attivi su un mercato specifico, alla quota di mercato del fornitore terzo di servizi TIC in questione, o ancora alla complessità tecnica o al grado di sofisticazione, anche in relazione a eventuali tecnologie proprietarie, o alle caratteristiche specifiche dell’organizzazione o dell’attività del fornitore terzo di servizi TIC;
- difficoltà inerenti alla migrazione, totale o parziale, dei dati e dei carichi di lavoro dal fornitore terzo di servizi TIC pertinente a un altro, a causa dei cospicui costi finanziari, del tempo o di altre risorse che possono essere necessarie per il processo di migrazione, oppure dei maggiori rischi informatici o di altri rischi operativi cui l’entità finanziaria può esporsi a causa di tale migrazione.
Sebbene qui ci riferisca unicamente a fornitori di servizi TIC, in realtà gli stessi criteri si possono applicare a qualunque tipologia di fornitori.
Ci sono infatti fornitori difficilmente sostituibili in quanto unici, ed altri per i quali sarebbe troppo complessa o costosa la sostituzione.
In questi casi non resta che l’alternativa della reinternalizzazione, ovvero della cessazione del servizio, soluzioni entrambe non necessariamente facilmente percorribili.
L’esternalizzazione rende le organizzazioni vulnerabili
Quindi il sempre maggior ricorso a fornitori esterni per l’acquisizione di servizi o beni, rende sempre più vulnerabili dal punto di vista della resilienza le organizzazioni se tale attività non viene analizzata da tutti i punti di vista.
Al di là della situazione estrema di indisponibilità di un fornitore a causa di un incidente o ad altre cause endo o eso aziendali (ad esempio il fallimento del fornitore o nel caso di un fornitore straniero l’attivazione di sanzioni che bloccano l’importazione di beni e servizi da una determinata nazione) DORA definisce una serie di circostanze che consentono la risoluzione di un accordo contrattuale di fornitura:
- rilevante violazione, da parte del fornitore terzo di servizi TIC, di leggi, regolamenti o condizioni contrattuali applicabili;
- circostanze, identificate nel corso del monitoraggio dei rischi informatici derivanti da terzi, ritenute suscettibili di alterare l’esercizio delle funzioni previsto a norma dell’accordo contrattuale, tra cui modifiche di rilievo che incidano sull’accordo o sulla situazione del fornitore terzo di servizi TIC;
- punti deboli del fornitore terzo di servizi TIC emersi riguardo alla sua gestione complessiva dei rischi informatici e, in particolare, nel modo in cui il fornitore garantisce la disponibilità, autenticità, integrità e riservatezza dei dati, siano essi dati personali o altrimenti sensibili, oppure dei dati non personali;
- laddove l’autorità competente non sia più in grado di vigilare efficacemente sull’entità finanziaria per via delle condizioni dell’accordo contrattuale in questione o delle circostanze ivi afferenti.
Mentre la normativa EBA – Orientamenti in materia di esternalizzazione, cita fra le possibili cause:
- il dissesto del fornitore di servizi;
- il deterioramento della qualità della funzione eseguita e interruzioni effettive o potenziali delle attività causate dall’inadeguata o mancata esecuzione della funzione;
- l’insorgenza di rischi rilevanti per lo svolgimento adeguato e continuativo della funzione.
Il ricorso a una strategia e a un piano d’uscita
Il ricorso ad un exit plan, quindi, non è legato solo a un evento avverso, come avverrebbe nel caso della business continuity, ma anche in altre circostanze.
Al riguardo DORA richiede che le strategie di uscita prevedano la definizione di un adeguato periodo di transizione obbligatorio:
- durante il quale il fornitore terzo di servizi TIC continuerà a prestare i suoi servizi TIC o a esercitare le sue funzioni allo scopo di ridurre il rischio di perturbazioni presso l’entità finanziaria o di garantire la sua efficace risoluzione e ristrutturazione;
- che permetta all’entità finanziaria di migrare verso un altro fornitore terzo di servizi TIC oppure di adottare soluzioni interne coerenti con la complessità del servizio prestato.
Ma quali sono le conseguenze indirette derivanti dall’obbligo di predisposizione di un exit plan?
Obbligo di predisposizione di un exit plan: quali conseguenze
Partiamo dal considerare la motivazione che porta un’azienda a esternalizzare una attività che svolgeva in precedenza presso di sé (diverso è ovviamente il caso in cui un’azienda decide di attivare un nuovo servizio basandosi unicamente sui un fornitore esterno).
Probabilmente le ragioni sono principalmente di natura economica; all’azienda interessa occuparsi di un servizio, ma non della sottostante infrastruttura IT che lo supporta.
Ma quanto costerebbe all’azienda il dover reinternalizzare al proprio interno quella infrastruttura o quanto costerebbe migrare il servizio da un fornitore ad un altro?
Nel primo caso è necessario quantificare diversi elementi.
Prima di tutto nel momento della reinternalizzazione dovrò disporre nuovamente al mio interno della infrastruttura a supporto del servizio; questo vuole dire che io la riacquisisco al momento della reinternalizzazione, o mantengo attiva, con tutti i relativi costi (licenze software comprese), l’infrastruttura oggi operativa al mio interno per erogare il servizio.
In entrambi i casi dovrò quantificare tale costo e, nel caso decida di mantenere attiva presso di me l’infrastruttura che già è disponibile, mantenendola aggiornata nel tempo, dovrò quantificare un costo annuale da sommare al costo del fornitore.
I costi per la riacquisizione di un fornitore
Nel caso di riacquisizione dovrei ipotizzare il costo dell’operazione e decidere come suddividerlo arbitrariamente anno per anno. Questa seconda soluzione ha però un rischio intrinseco, legato al fatto che alcune componenti della soluzione non siano più disponibili nel momento del riacquisto.
Analogo discorso va fatto per le risorse umane che oggi presso di me erogano quel determinato servizio.
Se non servono più dovrò ricollocarle in azienda, ma se la mia soluzione di exit strategy prevede la reinternalizzazione dovrò mantenere costantemente aggiornata la loro capacità di svolgere la precedente attività, o dovrò essere certo di poter acquisire all’interno o all’esterno dell’azienda figure con le necessarie competenze.
Il tutto ha un costo, sia per quanto riguarda l’aggiornamento continuo, sia perché tali risorse sono sottratte al loro normale lavoro.
Va inoltre considerato che non necessariamente tali risorse possano, quando occorra, tornare al loro lavoro.
Potrebbero infatti nel frattempo aver fatto carriera in altre posizioni o comunque le strutture presso cui sono collocate potrebbero opporre resistenza ad un loro trasferimento.
Conclusioni
Gli oneri periodici della gestione delle risorse umane sono quindi tutt’altro che banali.
Anche questi oneri vanno sommati al costo del fornitore.
Sarà inoltre necessario quantificare quanto costerà l’operazione di reinternalizzazione, che ovviamente comporterà il coinvolgimento di ulteriori figure professionali, sia dell’azienda, sia del fornitore, sia di eventuali altri soggetti.
Analogamente si dovranno valutare i costi dell’operazione di esternalizzazione se questa avrà effettivamente luogo dopo tutte le valutazioni di cui sopra.
I costi di esternalizzazione, reinternalizzazione nonché i costi ricorrenti del mantenimento di infrastrutture e risorse umane, ovvero della loro riacquisizione, dovranno essere in qualche modo sommati ai costi del fornitore.
Solo in questo modo darà possibile valutare l’effettiva convenienza dell’operazione, perlomeno dal punto di vista economico.
Un requisito normativo porta quindi a riconsiderare in una forma più completa tutti gli aspetti di una esternalizzazione.
