IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
TAVOLA ROTONDA
“Leadership e deleghe nella gestione dell’emergenza”
Chairman:
Dott. Luigi di Marco (esperto in leadership e gestione
del personale)
Interventi di:
- Ing. Giovanni Damiani (CIO Banca Popolare di
Milano)
- Dott. Giancarlo Vannuccini (Direttore S.I. Consorzio
Monte dei Paschi di Siena)
- Dott. Paolo Mazzotto (Presidente Fondazione BNL,
Consigliere BNL)
- Ing. Alessandro Lega (VPTech)
- Ing. Alessandro Musumeci (Presidente FIDA, Direttore
S.I. Comune di Milano)
- Dott. Carlo Tresoldi (Presidente SIA- SSB)
4.
Quando si tratta di prepararsi ad affrontare
situazioni di emergenza, esistono certamente
delle priorità sia in senso organizzativo che
operativo. Chi se ne deve occupare?
5.
Quali caratteristiche devono avere i preposti
agli uffici / reparti / attività? Queste
caratteristiche comportamentali e caratteriali
sono già previste per il ruolo da loro coperto o
vanno ad aggiungersi?
6.
Come si genera il senso di squadra? I singoli
uffici devono fare frequenti esercitazioni? Vi è
un’altra modalità? Quale? Se si, è
realizzabile? E’ praticabile per una banca
considerata la bassa possibilità di essere
coinvolta in un disastro a differenza di alcune
industrie od aziende operanti in settori a
rischio?
7.
Quali Competenze aggiuntive deve avere ogni
componente della squadra per interagire con i
colleghi? Quali i Manager di vario livello?
8.
Oltre ad attrezzarsi in proprio e prevedere
anche l’imprevedibile, è possibile trarre
vantaggio da ciò che accade in giro per il
mondo evitando possibilmente la sindrome del
“tanto a noi non può accadere”?
9.
Se si adotta la Business Continuity è
sufficiente individuare un responsabile a cui
affidarne la problematica senza destinare le
opportune
risorse
per
mantenerne
costantemente operativo il processo che lo
deve sostenere?
Introduzione alla discussione del Dott. Luigi di Marco:
Ciascuno dei presenti al convegno rappresenta una
persona che dirige una parte, sia piccola che più
ampia, di un’azienda.
Esistono tre tipi di Leader:
1. Leader di gestione: colui che gestisce il
quotidiano;
2. Leader di situazione: colui che sa gestire le
emergenze e sa reagire alle situazioni
contingenti;
3. Leader di visione: colui che è in grado di fare
previsioni su ciò che potrebbe accadere e sa
prevedere le interconnessioni e reagire di
conseguenza.
Un Leader che riunisce in sé le tre qualità sopra
descritte può essere considerato un Leader completo.
Prima di passare la parola agli intervenuti, il dott. Di
Marco ricorda che la conversazione seguirà il filo di
alcune domande che sono state poste prima dell’inizio
del convegno. Ciascuno dei relatori, pertanto, avrà un
filo logico da seguire.
Le domande:
1.
E’ necessario creare una Cultura
Prevenzione e della Preparazione?
2.
E’ auspicabile che il Top Management si senta
coinvolto ed abbia un ruolo nell’affrontare in
modo preparato una situazione di emergenza?
3.
Se c’è Cultura della Prevenzione e della
Preparazione e c’è il Coinvolgimento, quali
sono le conseguenze? Il top management
deve intervenire in prima persona?
I
coadiutori / preposti degli uffici coinvolti nella
gestione della crisi devono avere delle
opportune deleghe? Se sì,quali?
Relazioni Conclusive
della
10. IL processo di tutela è trasversale e tocca tutta
l’azienda, non sarebbe opportuno far
certificare quello della Business Continuity con
modalità tipiche di una certificazione di terza
parte?
11. Esiste in Italia/Europa una competenza capace
di certificare un processo di Business
Continuity?
12. Quali potrebbero essere i rapporti fra le
aziende e le Istituzioni che sono coinvolte nella
protezione delle infrastrutture critiche?
1 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
Ing. Giovanni Damiani
L’ Ing. Damiani riporta la sua esperienza in Deutsche
BanK Italia, BNL e in Banca Popolare di Milano,
soffermandosi, in via preliminare, sul concetto di
Continuità, un fattore indispensabile di ogni Sistema di
Sicurezza Informatica.
Di seguito sono elencati alcuni esempi di eventi
significativi relativi alla sua esperienza in Deutsche
BanK.
Esempio 1.
Il responsabile mondiale della realtà commerciale della
Deutsche Bank gli disse che
la sua principale
preoccupazione era che i colleghi, recandosi in filiale,
potessero lavorare con tranquillità: le informazioni,
pertanto, dovevano essere fruibili, accessibili e
consistenti. Non voleva preoccuparsi se lo strumento
informatico funzionasse o meno, ma solo di un corretto
svolgimento del proprio lavoro.
Questo episodio gli ha permesso di comprendere quello
che è un compito importante per un responsabile di
Sicurezza Informatica e cioè garantire la fruibilità,
l’accessibilità e la consistenza delle informazioni per
permettere che i colleghi, in ogni momento della
giornata, svolgano con tranquillità il proprio lavoro.
Tutto ciò significa ragionare e perseguire, attraverso le
decisioni operative, questo obiettivo forte: far sì che
ogni cambiamento possa essere allineato alla garanzia
della continuità operativa.
In Deutsche BanK la continuità era, ed è tuttora, un
valore fortissimo.
L’attività si è sempre basata su tre principi
fondamentali:
1. sicurezza
2. assistenza
3. qualità
e il cliente è disposto a pagare di più per questo
servizio.
La banca ha definito strutture organizzative, processi,
ruoli e responsabilità.
Appena assunto in Deutsche Bank, a differenza di altre
strutture, ha ricevuto un cartellino con scritto
esattamente ciò che avrebbe dovuto fare in caso di
emergenza, cosa avrebbe dovuto portare con sé e in
quale sede si sarebbe dovuto recare per poter
proseguire il suo lavoro.
Questo è l’approccio alla Deutsche.
Esempio 2.
Altro episodio capitato in Deutsche BanK fu quello
relativo all’improvvisa interruzione di un’applicazione
finanziaria di grande importanza. La conseguenza fu di
non permettere, a livello mondiale, l’effettuazione di
operazioni finanziarie.
In breve tempo, però, si erano già costituiti comitati di
intervento e comitati di crisi, portando alla risoluzione
tempestiva del problema (solo 2 giorni).
Relazioni Conclusive
Esempio.3.
Ha assistito al licenziamento di un consulente dovuto al
fatto di non aver consegnato la documentazione
richiesta nei tempi stabiliti dal processo.
Oggi si sente una fortissima sensibilità sulla continuità
come valore; purtroppo però tale valore si percepisce
solo nel momento in cui viene a mancare.
Esempio 4.
Sua esperienza in BPM.
Di recente la banca è stata vittima di un attacco
esterno: la minaccia da parte di un cliente di far saltare
tutti i dati e le informazioni della banca a causa di un
virus inserito nel sistema, un virus che ad una tale data
e ora avrebbe cancellato tutto.
In quel caso è emerso quanto il concetto della
continuità e della gestione del rischio sia soprattutto un
fatto culturale che va costruito nel tempo:
•
è un problema di organizzazione perché
bisogna avere chiari quali sono i compiti e le
responsabilità e come bisogna operare;
•
è un problema di leadership perché le persone
siano in grado di prendere decisioni in rapidità
e sapendole comunicare in maniera efficace;
•
è un problema di competenze e conoscenze
sapere come e cosa deve essere fatto.
E’ ovvio, però, che non si può normare tutto ed in
situazioni di stress assumono un ruolo fondamentale
anche le proprie personali capacità di intervento.
Bisogna fare anche molta attenzione alla cultura. Una
dovuta preparazione richiede tempo.
BPM è una realtà molto strutturata sulla quale però
c’è ancora da intervenire.
Dott. Giancarlo Vannuccini
Il dott. Vannuccini riporta una esperienza diversa
rispetto alla precedente: ha avuto la possibilità di
vedere sotto varie sfaccettature la stessa realtà e di
approfondire il ruolo del personale.
A suo avviso l’elemento personale e l’organizzazione
sono preziosi in uguale misura.
È pertanto importante:
•
conoscere il ruolo delle persone in azienda – è
importante disporre di personale competente
che conosca la materia per garantire sia la
sicurezza, ma anche per far crescere la
Società;
•
conoscere l’organizzazione in profondità in
modo di sapere come potrebbe reagire la
realtà aziendale in caso di emergenze.
Tali elementi sono necessari, in particolare, per poter
prendere decisioni veloci.
Nell’emergenza le strutture coinvolte sono tante. MPS
ha il vantaggio/svantaggio di avere più sedi.
“Vantaggio” in quanto la molteplicità di sedi permette di
continuare l’operatività fisicamente in luoghi diversi
senza subire disagi, “svantaggio” in quanto, senza una
condivisione di informazioni, dati ed esperienze tra sedi
2 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
differenti, non si potrebbe fare fronte comune alle
emergenze.
Per quanto possano essere codificate le procedure, di
fronte a situazioni d’emergenza il problema è di non
riuscire ad attivarsi velocemente, di non coordinarsi in
tempi veloci.
La soluzione proposta sulla base di queste
considerazioni è di svolgere, nel quotidiano, ripetute
esercitazioni basate sulla simulazione dei possibili
eventi.
Lo svantaggio è che tale soluzione necessita
l’utilizzazione di molte risorse, anche economiche.
Il vantaggio consiste nel poter analizzare in anticipo la
reazione dell’azienda nel suo complesso in modo da
poter individuare le carenze del sistema e ripartire da
alcuni punti fermi per risolvere le emergenze. Ad oggi
non si sono avuti particolari problemi, probabilmente
perché erano preparati sempre ad eventi più gravi di
quelli effettivamente accaduti.
È necessario portare esperienze reali e riconoscibili in
tutte le situazioni.
Inoltre servono persone inserite al posto giusto che nel
quotidiano svolgano correttamente il proprio lavoro, e
che
sappiano anche gestire bene le eventuali
emergenze.
Servono persone che, all’interno della stessa realtà, si
conoscano e che sappiano collaborare, coscienti che
nelle emergenze potrebbero dover fare a meno anche
di qualcuno, dato che non tutti reagiscono come
previsto in situazioni di forte stress.
È importante individuare un responsabile della business
continuity in grado di attivare, in emergenza, un
processo basato sul quotidiano.
Serve un riferimento nei processi collaudati.
Dott. Paolo Mazzotto
Il dott. Mazzotto fa riferimento alla domanda posta
relativa a qual è il ruolo del Top Management in
azienda.
A suo avviso è senz’altro la gestione del business in
continuità.
Ma che cos’è la gestione dell’emergenza? Se abbiamo
un’emergenza evidentemente si sarà verificato un fatto
naturale o umano che ha determinato una crisi. Nulla ci
assicura che il “responsabile” nominato per affrontare
l’emergenza non sia stato vittima dell’emergenza
stessa.
Pur lavorando sull’imponderabile c’è comunque la
necessità di avere una struttura di carattere gerarchico
di ausilio alle emergenze. A suo avviso in Italia siamo
sottoposti a troppe normative che rendono l’attività
estremamente disciplinata e che a volte descrivono
anche cose date per scontate. Il pericolo è che se
pensiamo di risolvere l’emergenza sulla base di risorse
che sono state strutturate e educate per risolvere un
determinato problema, rischiamo di minimizzare l’idea
di emergenza riducendola solo ad un fatto di
organizzazione.
Il rischio è di ingessare la struttura.
Relazioni Conclusive
Pertanto non è auspicabile una struttura verticale, che
irrigidisce la struttura, mentre si potrebbe immaginare
una struttura orizzontale, che disciplina ruoli e
responsabilità, ma con un forte interscambio di
informazioni.
L’idea dello scambio di cultura dovrebbe essere portato
anche all’esterno, ovvero creare una funzione a
matrice, definire le procedure e necessariamente avere
una leadership di gruppo moderna che sappia prendere
le decisioni per andare avanti e superare l’emergenza.
A livello di direzione il leader dovrà creare e diffondere
una cultura dell’emergenza.
È necessario saper superare l’emergenza non
basandosi sulla gerarchia, ma sulla professionalità.
Ing. Alessandro Musumeci
Il dott. Musumeci risponde alla domanda relativa a
come gli aspetti della politica possono influenzare la
sicurezza.
Il problema si inquadra nell’ambito della Pubblica
Amministrazione, con la necessità di porre particolare
attenzione agli aspetti legati alla riservatezza delle
informazioni.
Infatti, dal suo punto di vista, più che l’aspetto politico
ciò che conta è la riservatezza delle informazioni.
La realtà che porta come esempio è quella milanese,
nella quale il politico esercita una forte influenza su tutti
gli aspetti, cercando di condividere le informazioni e le
organizzazioni della sicurezza.
Nella Pubblica Amministrazione la sicurezza è un po’
carente perché tutti sono coinvolti dalle emergenze.
Ad oggi una grossa sfida è data dal passaggio dallo
sportello tradizionale allo sportello telematico. La sfida
è data da:
- continuità del servizio;
- riservatezza delle informazioni;
- affidabilità del servizio.
A Milano sono coinvolti contemporaneamente il settore
informatico e il settore organizzativo al fine di evitare la
fuga di dati e notizie. Si cerca di proteggere la fuga con
misure tecniche e organizzative, ad esempio limitando
gli accessi o mediante l’uso di procedure specifiche.
Inoltre, nello svolgimento della loro attività è
importantissima la collaborazione con le Forze
dell’Ordine ed in particolare con la Polizia delle
Telecomunicazioni, grazie alla quale sono riusciti a
prevenire molte situazioni di rischio.
Un altro esempio che l’ing. Musumeci riporta è il caso di
black out di informazioni che ha permesso di verificare
sul campo la business continuity nel settore della
Pubblica Istruzione.
A Milano è molto sentito il problema di riservatezza dei
dati dei cittadini. Servono procedure di Disaster
Recovery per prevenire crisi anche per quanto riguarda
i dati.
Un’annotazione che viene sollevata nel corso della
discussione è relativa al fatto che nella popolazione
3 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
manca questa cultura della sicurezza, in particolar
modo manca la cultura della prevenzione.
Molto probabilmente, a suo avviso, le banche sono più
avanti rispetto alla PA in tema di sicurezza.
Oggi Milano aspetta di avere la guida dell’EXPO 2015
(evento che impatta in modo molto forte sulla Business
Continuity e sul Disaster Recovery) e che porta a
Milano e nell’interland migliaia di persone.
È importante il confronto con il mondo bancario per
poter apprendere nuovi approcci e nuove tecniche
per incrementare il livello di sicurezza.
Ing. Alessandro Lega
L’analisi dell’ Ing. Lega si rivolge alla situazione italiana
rispetto a quella europea ed alle interconnessioni fra le
due realtà.
Quando parliamo di Business Continuity parliamo di un
processo.
L’indole nazionale latina cerca di privilegiare la capacità
di improvvisare quindi la creatività, anche se è più
d’ausilio la disciplina, in particolare modo se supportata
dalla cultura.
Si può notare come diverse aziende tedesche, che
sono al pari dell’Italia nella gestione delle emergenze,
hanno molta più disciplina, che supporta in modo più
efficace la gestione delle emergenze.
La popolazione italiana, però, non è preparata a questo
cambiamento di approccio.
L’ing. Lega si è trovato a gestire emergenze non solo in
ambito aziendale, ma anche in ambito mondiale, ad
esempio essendo parte del comitato olimpico di Atlanta.
Altri episodi che porta ad esempio sono relativi al volo
New York – Parigi o a quanto è accaduto e accade
tuttora in Georgia.
Se dovesse spiegare questi episodi e commentare cosa
è accaduto due anni fa nello stesso paese in occasione
di Katrina, direbbe che sono due realtà diverse. In
occasione di un evento noto ci si prepara, si fanno
prove, nascono dei comitati (ad esempio per le
Olimpiadi), ma non è sempre così.
Non accade così per fenomeni naturali quali i tifoni –
ricorrenti in alcune regioni del mondo – perché bisogna
investire, chiedere fondi alla popolazione per attivarsi e
prepararsi, ma il rischio che in quell’ anno l’evento non
si verifichi disincentiva ad attivarsi per il timore di
perdere milioni di dollari.
Le diversità nell’approccio alle emergenze, in Italia, in
Europa e nel Mondo dipendono dalla serietà con cui si
affrontano le cose, è quindi un problema di leadership.
Normalmente nelle crisi si fa ricorso al responsabile di
sicurezza, ma nessuno garantisce che questa sia una
soluzione.
La sicurezza all’inizio è un mix di disciplina e di
creatività, in Italia la creatività non manca; nei momenti
di crisi ha notato che è tutta l’organizzazione che si
attiva per risolvere il problema, a partire dalla segretaria
fino ai massimi vertici, viceversa nella realtà tedesca,
ad esempio, non ciò non accade mai, poiché si
Relazioni Conclusive
attengono in maniera molto rigida ai compiti e alle
responsabilità definite nel processo.
In Italia ci si organizza, anche se poi c’è carenza nella
parte disciplinare, forse a causa dei costi, o forse
addirittura per una forma di scaramanzia propria della
nostra popolazione.
Sicuramente servono certificazioni sulla sicurezza dei
processi e delle attività, serve la verifica da parte di enti
esterni all’azienda, in merito al funzionamento di un
processo. Oggi la difficoltà maggiore è acquisire
queste certificazioni.
Negli Stati Uniti d’America è stata approvata la legge
che regolamenta le modalità per attuare il processo di
best management, ritenendo necessario la previsione di
regole certe per poter agire,
Gli inglesi di conseguenza, hanno messo in piedi una
business continuity inventando la bs 25999-1 e 2.
In Italia le aziende sono in attesa che la BS 25999
diventi una norma ISO.
Dott. Carlo Tresoldi
Il dott. Tresoldi, quando era Direttore Centrale in Banca
d’Italia, si è trovato a gestire il rifinanziamento del
sistema bancario.
Oggi si occupa di verificare che le regole definite
rispondano agli obiettivi che si erano posti.
Sicuramente il problema della gestione delle
emergenze si è imposto dopo il disastro del Settembre
2001, quando ci si è resi conto della interdipendenza
che esiste tra paesi e all’interno di ogni paese.
Il problema delle emergenze non poteva essere risolto
all’interno di un singolo istituto in quanto la crisi di un
intermediario si ripercuote su tutti gli altri intermediari.
Ad oggi non esiste ancora una cultura di sistema e di
consapevolezza delle interdipendenze.
Il principale problema è la cultura di sistema che va
declinata e che diventa:
1.
2.
3.
un problema di reputazione (per un
intermediario il fatto di non avere strutture
preventive e sistemi di sicurezza fa
inevitabilmente diminuire la sua reputazione);
un
problema
di
utenza
(non
c’è
consapevolezza e si trascura l’utenza);
problema del contesto di riferimento (è
necessario diffondere la cultura di sistema,
perché se manca un tassello di un singolo
processo, i problemi si ripercuotono sul
funzionamento di tutti gli altri processi).
L’obiettivo deve essere quello di declinare la cultura di
sistema nel modo descritto fino ad ora.
Una prima analisi può essere rivolta agli strumenti che
sono stati adottati per affrontare il problema della
cultura di sistema.
I primi strumenti sono quelli che la Banca d’Italia e la
Consob hanno previsto per gli intermediari. Il primo
4 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
modo per creare una cultura di sistema è
responsabilizzare il capo della struttura, quindi il CdA e
non solo il singolo responsabile delle emergenze. Il
CdA a sua volta deve delegare ai sottoposti la
responsabilità delle attività da porre in essere.
Un esempio è il D.lgs 231/2001 relativo alla
responsabilità amministrativa degli enti per illeciti
commessi da apicali o sottoposti nell’interesse e a
vantaggio degli stessi. La responsabilità ricade sul
Consiglio e sarà compito di quest’ultimo delegare un
responsabile dell’amministrazione a svolgere le attività
per suo conto.
A sua sensazione, la cultura di sistema non è stata
molto ben compresa, forse non sono ancora state ben
recepite le disposizioni BI, anche se si inizia a ragionare
in un’ottica di prevenzione (come fanno ad esempio le
agenzie di rating che oggi considerano nelle loro
valutazioni anche le misure adottate dagli intermediari
per prevenire le emergenze).
Una ulteriore analisi può riguardare le esercitazioni e
simulazioni.
Esiste un problema di competenza, di cultura, di piano,
di divisione di compiti e responsabilità, ma oltre a questi
aspetti bisogna tener conto della realtà. Ci sono
problemi infiniti e bisogna considerare che la realtà è in
continuo movimento, e pertanto è necessario un
addestramento continuo: la soluzione si trova nel
“Learning by doing” permanente che porti a scoprire le
mancanze del sistema.
Questo piano oggi viene portato avanti a livello di
Banca Centrale Europea, mediante esercitazioni a
livello europeo. Tali esercitazioni sono ripetute negli
anni per osservare la reazione di soggetti diversi (ad
esempio per vedere come reagiscono le Autorità di
Vigilanza dei vari paesi, tra loro non coordinate), perché
è un problema di procedure informatiche, è un
problema di collateral, di garanzie, è un problema
complesso. Nel prossimo futuro l’esercitazione sarà
fatta sugli aspetti informatici della tecnologia.
In tal modo si cerca di far emergere le mancanze dei
sistemi per poterli risolvere.
In Giappone, ad esempio, hanno fatto una simulazione
di sistema ipotizzando che tre intermediari fossero usciti
dal mercato; di conseguenza dovevano essere attivati
dei siti secondari. In corso di simulazione hanno
scoperto che questi siti secondari non erano collegati
tra loro. Questo significa che era mancata la cultura di
sistema.
A livello di sistema ci si dovrebbe chiedere per quale
motivo 5000 persone che si occupano di finanza in
Italia sono racchiuse tutte in un chilometro quadrato che
è il centro di Milano e perché tutte le analisi fatte da BI
non sono riuscite a spostare dal centro di Milano
neanche le 50 persone più a rischio. La BI non può
obbligare, ma può solo invitare.
Pertanto chiede ai relatori un’ opinione sulle
caratteristiche che dovrebbe avere il responsabile di
sicurezza, caratteristiche che andrebbero evidenziate
dal responsabile delle risorse umane nel momento
dell’assunzione.
È infatti vero che di fronte alle emergenze ci vogliono
piani, strutture, persone, ma a suo avviso ci vuole
anche:
a) grande
capacità
di
capire
situazioni
complesse;
b) estrema velocità nella comprensione del
problema;
c) grande capacità di reagire in fretta;
d) grande capacità di mettere in piedi azioni che
blocchino l’effetto domino.
Servono persone capaci di capire, di decidere e di
coinvolgere.
Relativamente all’analisi di leadership e deleghe,
afferma che servono piani di emergenza e non solo
responsabili di sicurezza. Servono persone capaci di
reagire e ragionare in fretta.
2. Capacità di capire, decidere e coinvolgere sono le
caratteristiche di un responsabile di sicurezza. Ma c’è
spesso confusione tra manager e leader. Qual è la loro
opinione tra queste due figure?
Spesso assistiamo anche alle conseguenze della
mancanza della pena.
3. Allacciandosi al problema della certezza della pena,
c’è un problema di governance della prevenzione. La
responsabilità di chi deve organizzare una struttura per
risolvere possibili temi relativi alla crisi. Alla base di
un’efficace gestione delle situazioni di emergenza,
serve la fiducia interpersonale in modo da operare
insieme e fare fronte comune senza avere sospetti.
Esistono inoltre sistemi certificati per capire dove è
stato l’errore che ha causato la crisi (definendo deleghe
e responsabilità); inoltre è necessario portare a livello di
governance (inteso come alta professionalità) il
problema organizzativo.
Domande alla tavola
Qual è il livello di professionalità in Italia oggi?
1. Premesso che è vero che il sistema bancario è più
strutturato e preparato rispetto al sistema della Pubblica
Amministrazione, sulla cultura c’è ancora molto da fare.
Possiamo parlare di emergenza straordinaria (attentato
terroristico con degli aerei) o di emergenza ordinaria,
intesa nel senso di eventi su vasta scala, di durata
breve, ma che determinano un effetto domino a catena.
Relazioni Conclusive
Risposta Ing. Giovanni Damiani
1. concorda con quanto detto anche se un’azienda non
si può dotare di competenze e di leader solo per queste
5 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
situazioni di emergenza. Servono persone che
sappiano svolgere bene il lavoro quotidianamente ma
che siano anche in grado di reagire efficientemente alle
situazioni di crisi.
Risposta Dott. Carlo Tresoldi
2. Un leader normalmente è anche un manager, ma
non è sempre vero il contrario.
Leadership e coordinamento a suo avviso devono
essere considerati a tre livelli:
1.
Risposta Dott. Giancarlo Vannuccini
A suo avviso non è necessario rivolgersi al servizio
Risorse Umane dell’azienda per trovare persone con
caratteristiche specifiche del responsabile di sicurezza.
Servono persone capaci a livello di governance ed è
necessario dividere bene compiti e responsabilità fra
tutti coloro che operano nella routine, in modo da
renderli pronti a prendere decisioni in casi di
emergenza. In particolare a suo avviso sarebbero
necessari due siti primari e due siti operativi pronti
all’uso; forse questo è l’unico modo per stare veramente “tranquilli”.
2.
3.
Paese (servirebbe un collegamento con le
autorità pubbliche nazionali – es. Presidenza
del Consiglio – ma molto difficile da realizzare)
sistema finanziario (la Banca d’Italia è
responsabile con l’esterno del Sistema
finanziario. In BI il leader è colui che ha il più
ampio potere nell’azienda perché può
prendere decisioni sia prima che dopo
l’emergenza.)
singola azienda (vedere nel caso concreto a
chi affidare la responsabilità delle emergenze,
in alcuni casi il Direttore Generale potrebbe
essere la soluzione migliore)
Non è necessario avere un sito secondario ma forse è
più utile avere due siti primari che operano
contemporaneamente.
Risposta Dott. Paolo Mazzotto
La sua attenzione si focalizza sul discorso delle
deleghe in quanto, a suo avviso, rischiano di rendere
troppo burocratica l’operatività aziendale.
Relativamente invece alla differenza tra manager e
leader, afferma che, a seguito di un evento di crisi, il
Manager chiede “chi è stato”, mentre invece il leader
vuol comprendere “perché si è verificato”.
Risposta Ing. Alessandro Musumeci
Relativamente alla prima domanda considera che
effettivamente in Italia, in particolar modo a Milano, non
sono tranquilli. Anche se esistono centri presidiati, la
popolazione non è pronta ad affrontare certe situazioni.
Milano è la città italiana con il maggior numero di
telecamere, presidio a posteriori.
In occasione dell’EXPO 2015 il Comune di Milano sta
valutando di inserite tecniche a priori che permettano
un controllo sul movimento delle persone.
Un esempio è l’ECOPASS (tesserino per entrare nel
centro di Milano), utile per sapere esattamente chi entra
nel centro della città.
Altro aspetto da evidenziare è che mentre negli USA in
ogni ufficio pubblico ci sono metal detector, in Italia
sono ancora pochissimi gli uffici attrezzati.
Intervento Ing. Anthony Wright
Quando si parla di leadership, si deve tenere presente
che può essere di vario tipo (esemplificativa,
carismatica, di potere,…), e, inoltre, che spetta al
manager valutare il grado di autonomia dei sottoposti.
Un aspetto importante da rilevare è che, quando si
parla dell’importanza delle “lesson learned”, si ha la
necessità di tenere traccia anche degli episodi che si
sono conclusi positivamente, che sono molti di più di
quelli negativi (che potrebbero anche non essere mai
accaduti, per bravura e per una serie di fortunate
coincidenze).
Inoltre, riferendosi alle motivazioni che lo hanno spinto
a portare su questo tavolo tali temi, afferma che di
fronte alle situazioni di emergenza le persone si fanno
prendere dal panico, proprio perché si sentono sole
davanti ad eventi non accaduti in precedenza. Le
simulazioni pertanto sono una soluzione per cercare di
prevenire questa sensazione di disagio e di solitudine,
facendo sentire le persone coinvolte come parte di un
gruppo che opera insieme.
Risposta Ing. Alessandro Lega
Nell’analisi tra Leader e Manager, afferma che la figura
del manager si sostanzia in una carica, mentre il leader
no, è una qualità, una caratteristica personale. Inoltre in
Italia spesso il manager non si assume responsabilità.
Al contrario il leader si attiva per trovare soluzioni.
Relazioni Conclusive
6 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
TAVOLA ROTONDA
“Abbiamo parlato della sicurezza sotto vari profili. Possiamo parlare un attimo delle
prospettive, viste anche da chi è in contatto con le Istituzioni, il Consumatore, i
Giovani?”
I
Chairman:
Ing. Anthony Cecil Wright, Presidente ANSSAIF
Interventi di:
Dott. Fabio Picciolini, Segretario Gen.le ADICONSUM
Dott. Elio Ciaccia, Consigliere CNEL e Presidente
SImpresa
Prof. Michele Crudele, Direttore del Centro ELIS
Tale libretto, visualizzato prima della pubblicazione da
ADICONSUM, è risultato non del tutto chiaro per il
consumatore medio, ma ha evidenziato la possibilità di
miglioramenti attraverso rapporti costruttivi tra
Associazioni dei Consumatori e ABI.
Le soluzioni, al fine di far sentire il cliente più vicino alla
realtà bancaria, sono state di:
1.
2.
Dott. Fabio Picciolini
L’intervento del dott. Picciolini focalizza la sua
attenzione sulla tipologia di comunicazione tra le
strutture, quali anche la Banca e il mondo dei
consumatori.
In particolare la domanda principale che proviene più
frequentemente dal mondo dei consumatori è se la
Banca possa essere considerata effettivamente sicura.
Considerando che il sistema bancario italiano è uno dei
più sicuri, ne deriva che forse esiste un problema di
comunicazione tra Banca e Clienti, ovvero c’è discrasia
tra l’intermediario e il cliente finale.
Il dott. Picciolini incentra la discussione in particolare su
due aspetti:
1.
2.
c’è paura che un conto on-line non sia
sufficientemente sicuro. Pertanto c’è diffidenza
nell’usare la carta di credito anche per fare
delle semplici operazioni on - line.
esiste un problema assicurativo: nella maggior
parte dei casi, in occasione del verificarsi di
problemi relativi all’utilizzo della carta di credito
da parte di un cliente, ad esempio per
smarrimento o clonazione della stessa, per la
banca la causa è sempre da ricercare nel
cattivo utilizzo da parte del cliente, onde
evitare
il
risarcimento.
Si
potrebbe
immaginare,
pertanto,
una
forma
di
assicurazione collettiva, finalizzata a tutelare il
cliente da eventuali perdite non attribuibili a
sue colpe.
Un esempio relativo al problema di comunicazione è
relativo al libretto informativo che l’ABI sta
predisponendo per la diffusione alla clientela bancaria
relativo all’utilizzo del sistema obbligatorio IBAN.
Relazioni Conclusive
utilizzare il “tu” al posto del “lei”;
fornire, già dalle prime pagine del testo
informativo, la definizione chiara e dettagliata
di alcuni termini che, se posticipata numerose
pagine dopo, renderebbero incomprensibile il
contenuto del testo ed inefficace la
comunicazione.
Dott. Elio Ciaccia
Il dott. Ciaccia porta come testimonianza la sua
esperienza di membro del Consiglio Nazionale
dell’Economia e del Lavoro.
Le attività del Consiglio permettono l’attivazione di tavoli
di confronto tra persone di elevata professionalità
accomunate da analoghi interessi ed obiettivi.
Alcuni esempi di argomenti trattati riguardano:
1.
la globalizzazione della finanza e le relazioni
fra questa e le esigenze di sviluppo di aree che
interessano il sistema paese;
2.
la dematerializzazione nei flussi documentali
ed amministrativi ( ad esempio per ordini, consegna,
fatturazione, pagamenti ) in modo tale da ottenere un
innalzamento qualitativo dei relativi processi.
L’Italia è un paese formato principalmente da piccolemedie imprese che si pongono sul mercato in forme
organizzative di filiera o di distretto. Al fine di sviluppare
ulteriormente la loro posizione sul mercato
è
necessario rafforzare le relazioni tra clienti e fornitori
instaurando rapporti basati in misura crescente sulla
fiducia e sulla sicurezza.
Gli elementi che danno certezza sull’identità di ogni
soggetto che opera sul mercato forniscono fiducia e
concorrono allo sviluppo.
7 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
Due fattori sono in proposito di rilevante significato:
1.
la promozione della cultura della sicurezza tra i
soggetti che hanno responsabilità verso e nelle
comunità di business e più in generale della collettività;
2.
la valutazione di come figure specialistiche
quali quelle che si riconoscono nell’associazione
ANSSAIF possano contribuire alla diffusione del valore
della sicurezza come fattore competitivo.
Prof. Michele Crudele
L’intervento del prof. Crudele focalizza l’attenzione sul
tema relativo alla consapevolezza, da parte dei giovani,
sulla sicurezza.
È necessario nell'analisi della situazione distinguere gli
adolescenti dai bambini.
I primi sono ragazzi che utilizzano le tecnologie senza
freni e non danno importanza alla sicurezza, se non
quando vedono rischi immediati di perdere soldi. Non
percepiscono il valore economico dei beni immateriali
(documenti, musica, film) ai quali accedono con
strumenti leciti e illeciti. Il problema deriva anche dal
cattivo esempio dei genitori, che non esitano a utilizzare
Internet per scaricare canzoni e film.
A suo avviso non è più possibile recuperare il livello di
legalità di questa categoria di ragazzi (salvo casi
personali), in quanto troppo esposta alla negatività
(pirateria, violenza, erotismo). L'esposizione continua
alla negatività porta alla perdita di sensibilità, a tal punto
da non far percepire più il fatto di fare qualcosa di non
corretto o illegale.
I bambini, invece, hanno ancora la possibilità di essere
educati alla legalità informatica, in modo tale da far
capire loro la differenza tra cose “buone” e cose
“cattive”. È necessario farla percepire come valore etico
e non come semplice rispetto di regole stabilite da
un'autorità civile, visto che le norme cambiano da
Paese a Paese.
La proposta che ne de deriva è quella di effettuare una
“campagna di educazione alla legalità informatica”
rivolta ai maestri delle scuole primarie per arrivare ai
bambini. Infatti questo processo educativo non può
condotto dai genitori di oggi, che non sono in grado di
insegnare il retto uso dell'informatica e delle
telecomunicazioni, sia per ignoranza, che per cattiva
abitudine.
Il rischio è che anche i genitori di domani (attuali
adolescenti) siano cattivi maestri, perché abituati alla
negatività di oggi. Perciò le energie formative
dovrebbero essere concentrate sui maestri.
Relazioni Conclusive
Interventi
Si potrebbe allargare il discorso della legalità
non solo agli aspetti informatici, ma anche al resto. Ci
sono troppi comportamenti illegali da parte degli adulti.
Con riguardo ai sistemi di pagamento, va detto
che molte cose stanno cambiando in senso positivo,
anche per effetto degli incisivi interventi normativi e
delle Autorità di controllo. Nel rapporto banca/cliente, va
sicuramente migliorato il sistema di comunicazione,
rendendolo più semplice e trasparente; le stesse
banche ne trarrebbero benefici sul piano dell’efficienza
operativa attraverso la riduzione degli oneri connessi
alla gestione dei reclami e del relativo contenzioso (al
riguardo pesano anche inadeguati comportamenti e/o
inadempienze da parte delle associazioni dei
consumatori, come, ad esempio, sull’applicazione della
normativa sui bonifici cross-border). La trasparenza è
prevalentemente come un adempimento normativo
(compliance alle leggi e alle normative di Vigilanza),
mentre sono ancora deboli i passi verso la sua
attivazione come efficace leva per la fidelizzazione della
clientela e il miglioramento dei servizi offerti.
In tema di singoli strumenti di pagamento, è in
atto un’intensa azione tesa a elevare la qualità dei
servizi resi, ancorata ad approcci end-to-end e a uno
stretto monitoraggio dei risultati finali del funzionamento
dei diversi circuiti. Significativi gli interventi attuati, o in
corso, in materia di assegni e bonifici. Sui primi rileva la
fissazione di un limite massimo di 7 giorni alla loro
“disponibilità” (destinato a ulteriori abbassamenti), che
ha eliminato l’ampia e ingiustificata disparità tra banche
(con punte vicine ai 20 giorni). Sui bonifici, la SEPA e la
recente Direttiva comunitaria sui sistemi di pagamento
spingono verso l’applicazione di condizioni di maggiore
certezza e tempestività sulla loro esecuzione, fissando
in tre giorni il termine di esecuzione (da ridurre
gradualmente a uno) e regolando in modo trasparente
adempimenti e responsabilità dei diversi partecipanti al
servizio (con formalità prossime al riconoscimento di
una “responsabilità oggettiva” in capo all’intermediario
ordinante).
Un cenno a parte merita il problema delle frodi
sulle carte di pagamento, in aumento specie in quelle di
debito. Raramente esse si sono tradotte in perdite per il
possessore della carta; la chiara emersione di punti di
vulnerabilità presso i merchant sono alla base di recenti
interventi,
incentrati
sul
potenziamento
e
sull’incentivazione dei meccanismi di sicurezza
(eliminazione dei terminali più a rischio e adozione di
nuove specifiche di sicurezza) e sulla connessa
revisione delle regole di attribuzione delle responsabilità
e delle perdite subite (attivazione della liability shift e
revisione del sistema di autoassicurazione); decisiva, al
riguardo, si prospetta una più rapida e regolare migra -
8 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
zione al microcircuito, che impegna sia le Autorità sia i
diversi partecipanti al circuito. Da ultimo, è assai
significativa, al riguardo, l’istituzione presso il Ministero
dell’Economia – Ufficio Centrale Antifrode sulle carte di
pagamento (UCAMP) di un archivio per la prevenzione
delle frodi su carte di pagamento.
Un aspetto particolare attiene alla funzionalità del
circuito POS, la cui resiliency si è fatta cruciale a
seguito della concentrazione dei punti di acquisto e del
rapido sviluppo dei pagamenti via Pagobancomat.
Ripetuti incidenti di fermo del circuito e talune criticità
legate al complesso sistema autorizzativo inducono
ormai a considerare attentamente il problema della
continuità di servizio del circuito, valutando i necessari
interventi tecnico-operativi atti a isolare i punti di crisi e
a circoscrivere al massimo gli effetti sistemici di
eventuali malfunzionamenti (tra cui l’introduzione, in
uno con l’attivazione del “microcircuito”, di sistemi di
autorizzazioni off-line).
Forse esiste un problema nella multicanalità,
anche se questo fa parte della concorrenza dei prodotti.
Le tecnologie stanno evolvendo, ma non sempre sono
riconosciute e usate dai consumatori. Il problema
pertanto, consiste nella mancanza di garanzie sul
rispetto di certi standard di sicurezza da parte dei
fornitori di servizio. La soluzione da parte delle banche,
potrebbe trovarsi nell’informare il pubblico sull’esistenza
di un livello minimo di sicurezza al di sopra del quale il
cliente dovrebbe sentirsi sicuro e stare tranquillo.
L’incremento del livello di sicurezza potrebbe innalzare
il livello di fiducia riposta dal cliente nella banca, anche
supportato dal fatto che, in caso di inefficienze,
dovrebbe essere la banca stessa a risponderne.
Intervento prof. Marco Strano - ICAA
“Attacchi dall’esterno e dell’interno dell’Azienda:
profili criminali, rischi e possibili contromisure”
L’intervento del Prof. Strano pone l’attenzione sugli
attacchi all’azienda, che possono essere distinti in due
categorie, esterni ed interni.
Ad oggi, l’analisi degli attacchi esterni è costituita da
due filoni di ricerca:
1.
2.
Preventivo, che prevede l’osservazione e lo
studio di un campione di soggetti sui quali
viene applicata una strategia di analisi per
comprendere il livello della percezione del
crimine e della sicurezza che questi soggetti
hanno; tale livello viene poi misurato per
poter intervenire con formazione mirata
seguita da possibili verifiche sull’effettiva
diminuzione del rischio di un crimine.
Consuntivo, ovvero cosa fare nel momento
in cui è già successo il crimine, vale a dire se
la prevenzione non è stata efficace. Tale
filone si chiama CRIMINAL PROFILING.
Attualmente, però, sul tema dei crimini
informatici c’è poco materiale anche perché in
Italia sono gli unici psicologi ad occuparsi di
tale argomento.
Quando si parla di scienze forensi in campo digitale
servono comunque metodi standard per l’acquisizione
di prove che, insieme a studi e procedure,
rappresentano una prassi che tutto il mondo sta
percorrendo.
Prove, studi e procedure sono competenze che si
trovano sempre.
A questi elementi di analisi, poi, ne andrebbe aggiunto
anche un quarto: il Criminal Profiling.
In particolare, nel momento in cui si chiede una prima
opinione sul possibile autore del crimine, il gruppo ICAA
offre, a chi non è psicologo ma solo un forense, degli
strumenti di supporto per il loro lavoro.
La filosofia del profiling prevede che si cerchi di
individuare le persone che più di altre hanno le
caratteristiche del possibile autore del crimine. Proprio
in quanto ipotesi, non vengono eliminati gli altri sospetti,
ma si parla di “gerarchizzazione dei sospetti”.
Su tale argomento esistono due scuole di pensiero:
1.
Relazioni Conclusive
offender profiling: in caso di reato, cerca di
capire il profilo di chi ha commesso il crimine.
Si
parla
pertanto
di
“analisi
del
comportamento”, svolta mediante la creazione
di indicatori di comportamento. Ad esempio,
nel caso di un dipendente con un
9 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
comportamento “tipico”, se il comportamento
ad un tratto diventasse “atipico”, si
accenderebbe un alert per notificare la
modifica dell’atteggiamento che potrebbe
essere legata ad un comportamento illegale.
Nel concreto si considera l’esistenza di un
comportamento tipico e si valutano quegli
aspetti che esulano da quel comportamento
per ricercare le anomalie. Tale metodo si basa
appunto, su deduzioni logiche.
Un comportamento è atipico secondo diverse
scuole di pensiero:
1.
2.
3.
metodo deduttivo (il comportamento osservato
esula dalla normalità sulla base di deduzioni
logiche);
induttivo (statisticamente è atipico ma non
implica necessariamente l’esistenza di un
comportamento illecito); con tale metodo si
ricerca una soluzione nella statistica,
considerando la memoria storica dei
comportamenti vecchi;
misto tra i due, che prevede l’analisi dei
comportamenti sulla base del metodo induttivo
portato avanti con un continuo collegamento
all’analisi deduttiva, finalizzata a correggere, di
volta in volta, il risultato dell’analisi.
Anche nella continua ricerca di strumenti per diminuire
la rosa dei sospetti esistono diversi approcci:
1. classico: deduttivo basato su valutazioni logiche
2. induttivo: basato sulla statistica
3. misto (usato dalla maggior parte dei profiling. Viene
usata la statistica corretta sulla base di elementi
oggettivi)
4 Reti neurali, metodo che si affida all’intelligenza
artificiale. Tale metodo, sulla base delle prove fatte, ha
avvicinato l’analisi fino al 70/80% alla realtà.
Studi fatti dal Secret Service Cert, hanno analizzato un
campione di soggetti per determinare le caratteristiche
dell’autore di un comportamento criminale; il risultato di
tale analisi ha portato ad individuare delle
caratteristiche che sono comunissime tra i dipendenti
(insoddisfazione
sul
luogo
di
lavoro,
paga
insoddisfacente, …). L’analisi svolta in questo modo è
risultata inutile, in quanto le caratteristiche individuate
sono proprie di quasi tutti i dipendenti delle Società.
Tale analisi, oltretutto, è stata svolta su una base dati
estremamente limitata – 23 casi.
Ciò che in tale sede viene suggerito è l’utilizzo di uno
strumento più pratico.
Analizzando le categorie di persone che possono
commettere crimini sono di 3 tipi:
1.
high profile insider (HPI) (un dipendente
molto esperto nel suo lavoro che compie un
crimine essendone perfettamente cosciente,
ad esso sono noti anche i rischi della sua
attività illecita)
Relazioni Conclusive
2.
3.
low profile insider (LPI) (soggetti che
sottostimano la possibilità di essere scoperti e
non considerano il loro illecito come qualcosa
di estremamente grave)
anaware insider (soggetti che commettono
illeciti senza neanche rendersene conto.
Spesso accade perché non conoscono la
normativa di riferimento)
Tali soggetti, seppur
pericolosità analoga.
con
profili
diversi,
hanno
La soluzione proposta a questo tipo di analisi ha
seguito diversi step:
in origine era stato proposto un Data Base nel
quale venivano inseriti degli eventi. Ciascun evento
era semplificato in una serie di variabili:
a.
b.
c.
AMBIENTE - dimensioni, livello di
sicurezza interno, scena del crimine,
…
EVENTO – contenente informazioni
sull’evento, il danno, obiettivo del
crimine, …
AUTORE – caratteristiche dell’autore
quali età, sesso, …
Il Data Base è stato alimentato con questi elementi (di
provenienza sia statistica che logica…) e, nel momento
in cui si è ritenuto che il sistema fosse addestrato,
avendo all’interno un numero di casi sufficiente per fare
delle analisi, si è proceduto ad inserire degli INPUT
ottenendo in uscita degli OUTPUT relativi al profilo del
potenziale autore del crimine.
Un ulteriore passo avanti è stato fatto dall’utilizzo della
rete neurale.
I vantaggi della rete neurale:
Rispetto al DB, che fornisce dati asettici e non connessi
tra loro, il sistema neurale considera anche il nesso
delle variabili fornendo informazioni più vicine al modo
di ragionare umano.
Punti di riflessione:
a)
un sistema così sarebbe auspicabile che
fosse implementato dall’Organizzazione di
una Società. Per gli HPI non esistono molti
dati, mentre, al contrario, la base di dati
inseriti è elevata per gli LPI.
Inconveniente delle reti neurali: un inconveniente può
derivare dalla scelta dei nodi (correlazioni tra le
variabili) che se non scelti nella giusta maniera,
possono fare incorrere nel rischio che la rete fornisca
risultati estremamente banali o che vada in crash.
Tuttavia i costi sono bassi e alla portata di molti.
Ad oggi, il sistema è implementato con dati inseriti in
maniera
autonoma,
ma
sarebbe
auspicabile
implementare il sistema con dati provenienti
direttamente dall’organizzazione.
10 / 11
IV Convegno Nazionale
Castel Gandolfo, Hotel Villa degli Angeli
14-15 Settembre 2007
Interventi:
DOM.: Come sono stati in grado di addestrare i dati ad
oggi?
RISP.: Sulla base di 100 casi forniti direttamente dai
soci in via anonima. In totale sono casi veri e casi
artificiali contenenti variabili legate alla statistica.
DOM.: Si è detto che servono 5/6 min per implementare
il Data Base.
In tal caso sarebbe auspicabile la centralizzazione delle
informazioni?
RISP.: Non è necessario. Vengono inseriti INPUT. C’è
necessità di capire come promuovere all’interno delle
Società il vantaggio di usare questo sistema di
centralizzazione.
DOM.: Nelle grandi organizzazioni, a seguito di un
crimine, si riesce sempre ad individuare il colpevole. Il
problema principale è sempre quello di prevenire
l’illecito per capire dove intervenire e come agire per
prevenirlo più che sapere il colpevole.
RISP.: Lo stesso sistema usato come Data Base
fornisce indicazioni di tipi statistico utili per fare anche
analisi preventive. Per la prevenzione, però, non è
necessario dotarsi di un sistema esperto.
DOM.: Come andamento dei crimini c’è stato un
cambiamento?
RISP.: Non si sa e non si saprà mai. In Italia i dati sugli
Insider non sono attendibili. Ad oggi gli attacchi interni
sono più numerosi di quelli esterni.
Relazioni Conclusive
11 / 11