Tutti i lavoratori dovrebbero essere inclusi nel processo di gestione del rischio. Quando le interruzioni della catena di approvvigionamento colpiscono, la mitigazione del rischio colpisce di nuovo. E lo fa in molte forme. Che si tratti di un software migliorato, di una migliore formazione dei dipendenti o di soluzioni dotate di funzioni di visibilità, la gestione del rischio è un lavoro 24/7/365. Richiede tutto l'aiuto possibile, le ultime e più grandi tecnologie e la capacità di cambiare di conseguenza. Questo perché anche le interruzioni della catena di approvvigionamento si presentano in molte forme: attacchi ransomware e chiusure di porti, disastri naturali e pandemie globali, frodi alimentari e frodi sui carichi.

Le sfide di rischio/sicurezza causate da Covid19.

Nessuno è sfuggito all'impatto che COVID-19 ha avuto sulle catene del valore. Ogni persona coinvolta ha sperimentato - e continua a sperimentare - questi impatti personalmente, nelle loro famiglie e comunità, professionalmente e nelle loro aziende, e come consumatori che fanno acquisti per le loro famiglie; e molto comunemente tutte e tre le cose insieme. Contrastare questi shock a lungo termine e multidimensionali è meglio farlo in un contesto collaborativo e aperto dove tutti possono attingere ai punti di forza dell'esperienza condivisa, una chiara comprensione delle aspettative e la flessibilità per escogitare nuovi modi di risolvere i problemi.

Un piccolo ma illustrativo esempio visto ripetersi con risultati incoraggianti è quello in cui i datori di lavoro si sono presi il tempo per assicurare che i giusti processi e procedure di sicurezza siano in atto per mitigare gli impatti delle sfide di risorse. Per esempio, quando i lavori sono stati influenzati dai livelli di personale o dagli obiettivi di produzione, le relative analisi di sicurezza del lavoro sono state riviste in una serie di workshop collaborativi per garantire che coprissero, per esempio, come le fasi di lavoro che richiedono più personale possano essere eseguite in modo sicuro se eseguite da uno solo, o gli obiettivi di produzione basati su determinati livelli di squadra scalati con personale ridotto. Includendo le aspettative sulla qualità, la produttività e, naturalmente, la sicurezza, questi lavori sono diventati più realistici, più comprensibili e scalabili, hanno costruito la fiducia nei team di lavoro coinvolti, hanno reso i processi più a prova di shock per il futuro e hanno avuto l'effetto benefico di rinforzare la coesione del team in un momento di grande stress e instabilità.

Un altro esempio riguarda l'impatto di assenze su larga scala di personale tecnico, di produzione o di gestione chiave per durate indeterminate. È in questo contesto che le aziende che avevano fatto affidamento su personale chiave per gestire il flusso di conoscenze e processi si sono fermate. L'opzione di trasferire semplicemente il set di competenze mancanti su un altro dipendente non era disponibile perché chi sapeva quanto tempo poteva passare prima che quel dipendente si ammalasse? A diverse velocità, le aziende hanno iniziato la transizione, aprendo e condividendo le conoscenze e le competenze, le autorizzazioni e le approvazioni necessarie per far girare gli ingranaggi e mantenere le luci accese per le loro aziende. Invece di una base di necessità di sapere, i datori di lavoro si sono chiesti: "C'è qualche motivo per cui i nostri dipendenti non dovrebbero avere accesso alle conoscenze e alle informazioni sulla sicurezza? I permessi del software sono stati allentati, le restrizioni al materiale per la sola gestione sono state rimosse e la conoscenza, come l'acqua, è fluita a quelle persone che potevano farne qualcosa. E’ così che si sono viste analisi dei rischi riutilizzate, apprendimenti perspicaci generati e applicati e cose semplici come le verifiche di controllo trovare miglioramenti misurabili semplicemente perché era un nuovo gruppo di occhi a svolgere il compito.

I cyberattacchi stanno diventando più comuni nelle Supply Chain: come prepararsi per quando la cybersicurezza interrompe la catena del valore.

I cyberattacchi alla supply Chain sono come ogni altro attacco al business. Richiedono esperti in materia che lavorino con il personale per sviluppare una comprensione condivisa delle minacce, degli impatti potenziali e dei livelli di rischio corrispondenti e poi una revisione e un'implementazione dei trattamenti o dei controlli appropriati per prevenire queste minacce e mitigare qualsiasi conseguenza potenziale. La gente a volte dimentica che uno dei vantaggi di una buona gestione del rischio è che quando si realizza una minaccia, si ha già un piano di gioco e una serie di azioni per prevenirla - fermarla nel suo percorso, per così dire - e mitigare qualsiasi impatto.

Una carenza che si vede spesso si verifica subito dopo che i controlli concordati sono stati identificati e implementati (transizione a soluzioni basate sul cloud-CHECK; assicurarsi che i fornitori di sicurezza aderiscano ai rigorosi standard AICPA SOC 2 Type II allineati con la più ampia gamma di requisiti nazionali e internazionali di protezione dei dati-CHECK). A questo punto, tipicamente, tutti tirano un sospiro di sollievo, dato che quelle caselle sono spuntate e l'attenzione si sposta sulla prossima sfida.

La gestione del rischio non riguarda la gestione dei rischi; si tratta di gestire i controlli che gestiscono i rischi. E le domande che si devono fare a questi controlli includono:

- Quali sono i criteri in base ai quali ci aspettiamo che i controlli funzionino?
- I controlli sono in atto e funzionano come specificato dai criteri quando vengono testati?
- Vengono testati e verificati da qualcuno che è addestrato e competente con la frequenza richiesta?
- Se si sono verificati incidenti o attacchi, i controlli hanno risposto secondo i criteri e, in caso contrario, abbiamo corretto e testato nuovamente le loro prestazioni per garantire la piena conformità?

Questi sono i tipi di domande che le aziende dovrebbero porsi più e più volte per ridurre al minimo i rischi di attacchi informatici alla loro attività.

Proteggere i dipendenti, il prodotto, gli impianti e la flotta.

Tutta l’energia deve andare nella creazione di strumenti di gestione del rischio che aiutano ad eseguire in modo rapido ed efficiente le valutazioni del rischio, collaborando e comunicando con la forza lavoro e incorporando gli apprendimenti e i miglioramenti. I processi supportati nella gestione del rischio possono essere utilizzati per gestire i rischi a casa, in macchina o al lavoro. Il processo di gestione del rischio può valutare il rischio ambientale, il rischio del consumatore, il rischio di qualità, il rischio informatico o quello del fornitore.

In altre parole, il rischio è un processo, non un prodotto, e l’obiettivo è disporre di un set di strumenti di gestione del rischio che permetta di identificare, valutare e gestire qualsiasi tipo di rischio. Mantenendo costante il set di strumenti, la forza lavoro impara e si fida del processo per ottenere i giusti risultati. E, proprio come quasi tutti i rischi hanno impatti consequenziali multipli (ad esempio, un infortunio di un lavoratore avrà un impatto finanziario e sulla sicurezza, un cliente con un'intossicazione alimentare potrebbe avere un impatto reputazionale, finanziario e legale), dando corpo a tutte le parti interessate, si avrà più probabilità di avere più menti intelligenti che risolvono i problemi correttamente con il giusto livello di risorse.

Si raccomanda l'analisi del rischio bowtie in queste situazioni multidisciplinari perché aiuta a mappare visivamente i rischi e a illustrare i percorsi tra le cause e i potenziali impatti. Oltre alla mappatura dei rischi, o di qualsiasi tipo, i bowties permettono di assegnare i controlli ai singoli percorsi causali o consequenziali, applicare gli standard di performance e tracciare visivamente la performance di quei controlli. Le persone ricordano le immagini e capiscono i flussi o la causa e l'effetto, quindi quando si esplorano scenari più complessi in un ambiente collaborativo, avere uno strumento che visualizza tutti gli elementi invece di un foglio di calcolo Excel costruisce la comprensione comune che aiuta gli utenti a organizzare meglio e dare priorità ai rischi e facilitare una comprensione più completa dei rischi che affrontano le aziende e come controllarli e gestirli.

Cosa dovrebbero fare le aziende per identificare al meglio i rischi della Supply Chain nel 2022.

Bisogna impegnarsi con la propria forza lavoro e rimanere impegnati con loro durante questo periodo di transizione che si spera riporti alla normalità o a qualcosa di simile. Ascoltare e imparare il più possibile sulle sfide affrontate dai propri concorrenti, dai propri vicini, dai propri fornitori e dai propri clienti e chiedetersi: "Potrebbe succedere qui?

Analizzare i dati della propria soluzione EHS può aiutare a generare molte idee per un workshop sui rischi. Si può anche usare la crescente conoscenza che viene raccolta dal proprio programma di garanzia di controllo per identificare potenziali modalità di fallimento e migliorare la propria risposta. Risolvere i problemi una volta sola, correttamente. Eseguire dei workshop di what-if o scoprire come sia possibile usare le HAZOP per standardizzare le domande che si fanno sul processo, l'impianto, i fornitori, gli appaltatori, i vostri, i dipendenti. L'identificazione del rischio come la garanzia del controllo non si ferma.

Tutti i lavoratori dovrebbero essere inclusi nel processo di gestione del rischio. Le conoscenze su come funziona effettivamente l'azienda, il ruolo di ognuno, chi fa cosa, ecc. sono condivise e comprese nel workshop e i risultati pagano i dividendi negli anni. Catturare tutta la conoscenza generata è ovviamente fondamentale perché nessuno vuole reinventare la ruota, quindi averla disponibile e online in ogni momento è fondamentale. Mantenere le cose semplici, iniziare in piccolo e scalare man mano che si condivide e si incorpora la conoscenza nell'esecuzione del processo in tutta la forza lavoro. Seguire le azioni correttive e assicurarsi che ci sia una visibilità dall'alto verso il basso e dal basso verso l'alto. Non comprare un pacchetto software e cercare di configurarlo per replicare il modo in cui si lavora ora. È un viaggio. Scegliere un pacchetto software che sia costruito su principi comprovati di best practice e che supporti da questo punto di partenza e che accompagni fino a dove si desidera arrivare. Impegnarsi con i propri dipendenti e renderli parte della soluzione. Condividere le conoscenze e la passione con tutti, e man mano che il programma di gestione del rischio viene adottato e gestito da altri, iniziare a pensare a dove si può portarlo in seguito.

Ricordare sempre che la gestione del rischio non riguarda la gestione dei rischi, ma la gestione dei controlli che gestiscono i rischi.