Valutazione dell'impatto sul business (BIA)

La valutazione dell'impatto sul business (BIA, business impact analysis) è l'analisi che stima le conseguenze dell'interruzione di ciascun processo di un'organizzazione (economiche, operative, legali, di reputazione) e da queste ricava quali processi ripristinare per primi e con quali tempi. È il primo passo di ogni piano di continuità operativa e di disaster recovery.

A cosa serve la BIA?

Serve a spendere dove serve. Non tutti i processi hanno lo stesso valore: la fatturazione può aspettare un giorno, un e-commerce o una linea di produzione no. La BIA trasforma queste differenze in numeri che guidano le scelte tecniche e di budget, invece di proteggere tutto allo stesso modo.

Come si fa una business impact analysis?

• si elencano i processi e i servizi, con i loro responsabili;
• per ciascuno si stima l'impatto di un fermo che dura un'ora, un giorno, una settimana;
• si fissa il periodo massimo di interruzione tollerabile (MTPD), oltre il quale il danno diventa inaccettabile;
• se ne ricavano l'RTO, il tempo in cui il processo deve ripartire, e l'RPO, la quantità di dati che si può perdere;
• si mappano le dipendenze: applicazioni, server, fornitori, persone, sedi.

Il riferimento internazionale è la norma ISO 22301 sui sistemi di gestione della continuità operativa, con la guida ISO/TS 22317 dedicata proprio alla BIA.

Che differenza c'è tra BIA e BCP?

La BIA è l'analisi, il BCP (business continuity plan) è il piano che ne deriva: la BIA dice cosa proteggere e con quali tempi, il BCP dice come farlo. Sul fronte IT, i valori di RTO e RPO usciti dalla BIA diventano i requisiti del piano di disaster recovery. Nel disaster recovery di Rackone RPO e RTO si definiscono sui workload critici prima di progettare il piano.