La sicurezza aziendale che si nota solo quando manca

La sicurezza aziendale che funziona si riconosce soprattutto quando non accade nulla, perché il rischio è stato previsto e ridotto prima che si manifestasse; per un'impresa questo vuol dire conoscere le proprie vulnerabilità organizzative, procedurali e fisiche, sapere come appaiono a chi la osserva da fuori e affrontarle con metodo, prima che a metterle in evidenza sia un furto, una fuga di informazioni o un incidente.

Quando entriamo in un'azienda per un'indagine, che si tratti di merce che sparisce dal magazzino o di notizie riservate finite a un concorrente, le falle che troviamo raramente sono tecnologiche. Molto più spesso c'è una procedura che si fida di una voce al telefono, una sala riunioni in cui si discute di tutto senza che nessuno si chieda chi possa ascoltare, oppure dipendenti che usano strumenti esterni per lavorare senza che qualcuno abbia mai stabilito che cosa si può fare e che cosa no.

La voce al telefono, in particolare, è diventata un problema serio da quando l'intelligenza artificiale permette di imitarla in modo credibile, e ne abbiamo scritto a proposito di deepfake e frodi ai vertici aziendali. Per le altre due, la sala riunioni e gli strumenti esterni, il discorso è simile, nel senso che non c'è un software da comprare che risolva la questione; c'è un'abitudine da cambiare, e chi lavora in quell'azienda da anni di solito non la vede più.

Nessuna di queste falle richiede grandi investimenti per essere chiusa.

L'in-sicurezza secondo Cristian Re

Ci è tornata in mente questa esperienza leggendo la rubrica Il Dazebao della Security, che Cristian Re, esperto di sicurezza aziendale, firma su S News e in cui propone di guardare la sicurezza da una prospettiva insolita, quella che lui chiama in-sicurezza. L'idea è che la sicurezza non vada pensata come un insieme di muri, telecamere e procedure ben visibili, ma come una condizione di equilibrio che si percepisce soprattutto quando viene a mancare; quando cioè non accade nulla di dannoso, l'organizzazione continua a lavorare senza interruzioni e il rischio non si manifesta perché qualcuno l'ha prevenuto.

Per spiegarsi Re prende in prestito l'arte contemporanea, con l'opera immateriale di Salvatore Garau, e la filosofia taoista del vuoto che rende utile il pieno. Il paragone può sembrare lontano dal mondo delle imprese, però coglie una cosa che chi fa il nostro mestiere conosce bene, e cioè che la sicurezza migliore spesso non si vede, e che parlarne seriamente non significa inseguire un ideale assoluto ma riconoscere che ogni sistema ha le sue fragilità e lavorare tutti i giorni per ridurre gli spazi in cui un danno può entrare.

Su questo siamo d'accordo con lui, posto che la sicurezza totale non esiste e chi la promette, diciamo, sta vendendo qualcosa che non può consegnare.

Come appare un'azienda a chi la osserva da fuori

La parte della riflessione che ci sembra più utile per chi guida un'impresa è un'altra. Se è vero che la sicurezza totale non esiste, è altrettanto vero che le crepe organizzative, le procedure incoerenti e i controlli assenti si notano subito dall'esterno, e non soltanto dai malintenzionati; clienti, partner e fornitori capiscono in fretta se un'azienda trasmette solidità o se lascia trasparire incertezza e disattenzione, e quell'impressione finisce per pesare sulla reputazione esattamente come un bilancio in ordine o un prodotto ben fatto.

Pensiamo a un fornitore che entra nei reparti senza che nessuno gli chieda dove stia andando, a un centralino che passa una telefonata all'amministrazione senza fare una domanda, a un documento riservato lasciato sulla stampante comune. Prese una per una, sono cose che non provocano alcun danno. Messe insieme, però, raccontano a chi guarda con attenzione che in quell'azienda i controlli ci sono sulla carta e poco nella pratica, e chi cerca un punto debole sa leggere questi segnali molto meglio di chi ci passa davanti ogni giorno.

La domanda che Re suggerisce di farsi è semplice e scomoda insieme; quanto è sicura la mia organizzazione, e quanto appare sicura agli occhi di chi la osserva da fuori?

Quando serve la compliance e non un'indagine

Alla tradizionale attività investigativa DDS ha affiancato da anni una Divisione Compliance dedicata alla consulenza in materia di compliance e di sicurezza dei siti produttivi, perché le indagini ci hanno insegnato che accertare un illecito risolve il caso ma non sempre il problema che lo ha reso possibile.

La divisione interviene in due situazioni diverse. La prima è quella dell'azienda che, dopo aver chiarito con un'indagine mirata un furto o una fuga di informazioni, vuole evitare che lo stesso fenomeno si ripresenti con altre persone; la seconda, meno ovvia, è quella in cui un'indagine non si può fare, perché un'attività investigativa richiede un diritto preciso da tutelare e il sospetto concreto che qualcuno l'abbia violato, e tuttavia ci sono lacune organizzative che stanno già producendo danni o inefficienze. In quel caso non c'è un colpevole da cercare, c'è un'organizzazione da sistemare, e il lavoro consiste nella valutazione delle vulnerabilità dei siti produttivi, nell'analisi delle procedure interne, nella definizione di protocolli e policy e nel supporto agli Organismi di Vigilanza previsti dal decreto legislativo 231 del 2001.

Il consiglio pratico, per chi vuole cominciare, è di farsi guardare da fuori da qualcuno che non abbia interesse a rassicurare. Un sopralluogo fatto con gli occhi di un estraneo, che entra, chiede, osserva come circolano le persone e i documenti e prova a farsi passare una telefonata all'amministrazione, è il modo più rapido per avere un elenco concreto di cose da sistemare, da cui poi decidere le priorità con calma.