Avete vissuto situazioni di urgenza negli ultimi dodici mesi? Avete organizzato con i vostri collaboratori incontri di formazione specifici sulla cybersecurity? I vostri progetti, liste clienti, procedure, sono protetti abbastanza da qualificarli come segreti commerciali o industriali? I log dei sistemi informatici sono archiviati per almeno 6 mesi? Siete certi di essere compliant rispetto alla protezione dei dati personali? Avete rilevato attività anomale o minacce nell’ultimo anno verso la vostra impresa? Avete codificato una procedura interna sulle situazioni d’urgenza e potenziali crisi?
Se avete risposto “no” alla maggior parte di queste domande, è il caso di correre ai ripari. Perché siete vulnerabili. «Le statistiche ci dicono che l’80% delle situazioni critiche per le imprese non sono esogene, ma nascono dall’interno dell’impresa», conferma a Economy Enea Nepentini, founding partner di Consilium Hub, società di consulenza specializzata in prevenzione e gestione delle crisi, anche complesse. «Riuscire a mandare avanti un’impresa tenendo sotto controllo tutto è davvero molto difficile», osserva, «ma il nuovo Codice Civile impone in capo all’impresa un adeguato assetto organizzativo privo di vulnerabilità , per non incorrere in guai giudiziari in caso di difficoltà. In altre parole: per rendere il quadro delle Pmi italiane più stabile possibile occorre un cambio di passo culturale».
Inutile girare la testa dall’altra parte, facendo finta di nulla: la complessità interna ed esterna all’impresa è in costante aumento, il rischio di crisi a tutti i livelli è elevato per ogni tipologia di organizzazione, di qualsiasi settore, sia nella grande impresa che nella Pmi. Così, Consilium Hub ha codificato una serie di procedure preventive e di emergenza apposita per prevedere e – nel caso – fronteggiare gli eventi imprevisti, in linea con le responsabilità del nuovo Codice Civile, che, appunto, all’art. 2086 prevede che l’imprenditore “ha il dovere di istituire un assetto organizzativo, amministrativo e contabile… anche in funzione della rilevazione tempestiva della crisi dell’impresa”.
Il Codice Civile parla di “dovere”, ma è anche una questione di buonsenso: «Analizzare, studiare e prevedere situazioni di crisi è decisivo», sottolinea Nepentini, «perché non ci fa trovare impreparati all’eventuale manifestarsi di situazioni d’urgenza. E poi, più spesso di quanto non si creda, è possibile la trasformazione da problema in opportunità per l’impresa se si è preparati. Non solo: l’impresa che mette sotto controllo questo aspetto risulta essere più competitiva e proiettata allo sviluppo».
Si fa presto a dire “crisi”
Ce ne sono di almeno otto tipi diversi: c’è la crisi organizzativa e quella politica, la crisi giudiziaria e quella finanziaria, ma anche quella digitale, o ambientale, oppure sindacale, e ancora la contaminazione su problematiche di un partner o di un intero settore, senza contare il singolo evento fortuito. «Per crisi o stati d’urgenza si intendono avvenimenti, non controllati o non controllabili, che vengono a colpire l’impresa, modificando il normale flusso delle attività e incidendo sull’immagine che i pubblici di riferimento hanno della stessa e del suo posizionamento, reputazione ed operatività», specifica Nepentini. «Proprio per questo è fondamentale farsi trovare pronti».
Insomma: non capita… ma se capita? Mettiamo il caso che i giornali, anche solo quelli locali – ma è un attimo finire nelle cronache nazionali, ricordiamoci la regola delle tre “s”: sangue, soldi e sesso – renda nota una problematica giudiziaria – si qualsiasi tipo – da parte di un membro della governance dell’impresa. Si tratta di una situazione che compromette l’immagine e la reputazione dell’impresa, mina i rapporti con i clienti, l’offerta e l’indotto complessivo dell’attività d’impresa. Come muoversi per tamponare la situazione? «In questo caso il portavoce dell’impresa riferisce immediatamente della messa a disposizione dell’autorità compente, si offrono le informazioni che posizionano la persona e l’impresa su una certa risoluzione dell’accaduto», risponde il founding partner di Consilium Hub. «Si attivano le procedure per contrastare le informazioni media e si traccia la strategia risolutiva cercando di trasformare l’accaduto da problema a vantaggio, ad esempio attraverso una riorganizzazione.
E se invece venga rilevato, magari attraverso alcuni stakeholder, un furto di informazioni certo? «Si avvia la procedura per mettere sotto controllo quanto successo e prevenire l’uso delle stesse informazioni. Da quel momento oltre ai dispositivi di protezione è attivato un sistema ad hoc, un rilevamento complessivo delle informazioni e dei dati aziendali». Poi c’è l’eventualità più probabile: l’attacco cyber. «In questo caso vengono scollegati momentaneamente i sistemi e si passa al ripristino dei dati salvati avvisando clienti e stakeholder del possibile disagio. Se l’impatto dell’attacco ha rilevanza esterna, parte la procedura per tenere l’informazione aggiornata sulla risoluzione». E nel caso il problema sia grave, ad esempio se non si dispone di un salvataggio? «Viene adottata procedura di valutazione del danno, la risoluzione e le relative comunicazioni. In casi gravi vi sono i rapporti con le autorità preposte», risponde Nepentini.
«Soprattutto con il progredire dello sviluppo digitale le possibili situazioni critiche si sono moltiplicate». Ma il servizio di prevenzione, gestione e risoluzione delle situazioni di crisi per l’impresa elaborato da Consilium Hub «non si ferma ai soli rischi digitali», specifica Nepentini: «analizza e tratta globalmente il tema includendo anche quelli fisici e di natura diversa, soprattutto permette di istituire l’adeguato assetto e le misure idonee nell’impresa al fine di rilevare tempestivamente un possibile stato di crisi. Soluzione che, appunto, permette all’imprenditore di scongiurare i rischi delle nuove responsabilità penali e amministrative sancite dal Nuovo Codice della Crisi d’Impresa del 2022».
Prevenire è meglio che curare
Così, al classico assessment – che verifica la coerenza tra il livello di rischio accettabile dall’azienda e la situazione reale aziendale – viene affiancata una simulazione per costruire la mappa delle possibili situazioni critiche ed eventi che possono manifestarsi, per poi mettere a punto un protocollo specifico che guida rapidamente l’impresa nel momento del bisogno per tutelare l’integrità e il funzionamento generale, insieme a un piano di prevenzione.
«Nonostante sia impossibile prevedere la tipologia precisa di una situazione di crisi, si possono identificare le aree da cui è possibile ipotizzare l’emersione di problematiche». Quanto al patrimonio aziendale, ovvero asset, brevetti e proprietà intellettuali, «per tutelarlo viene eseguito preliminarmente un censimento e una catalogazione con informazioni dettagliate su ciascun elemento», spiega il co-founder di Consilium Hub. È anche questo un obbligo di legge: per tutelare in giudizio formule, disegni, liste clienti e qualsiasi segreto commerciale industriale, l’azienda, secondo l’art. 98 del Codice della proprietà industriale, deve essersi dotata di adeguate misure di sicurezza in relazione al settore, alla dimensione aziendale e alla evoluzione tecnica.
A proposito di tutela in giudizio: Nepentini caldeggia l’installazione di una “black box forense“, «un dispositivo che permette in caso di crisi, di poter limitare e avere un quadro preciso di quanto successo internamente all’impresa. Il sistema include un automatismo di “vulnerability assessment”, di file transfer criptato e di gestione del whistleblowing. È determinate in alcuni momenti poiché permette di individuare con tempestività quando procedere ad una indagine interna o alla produzione di copie forensi: ovvero la cristallizzazione con data certa del contenuto di un asset digitale (inclusi i dati cancellati) al fine di rispondere, anche a mesi di distanza a possibili contenziosi, claim e richieste delle autorità competenti».
