Gestione delle crisi, delle emergenze e della resilienza

Perché è importante per il valore pubblico

Ogni ente pubblico opera oggi dentro una serie più lunga di shock sovrapposti: eventi meteorologici estremi più frequenti e più severi, pandemie, attacchi informatici a infrastrutture critiche, shock alle catene di approvvigionamento e sfollamenti dovuti a conflitti. I cittadini giudicano governi e organizzazioni del terzo settore meno in base a una singola decisione che in base a come si comportano quando il terreno si muove – se l'ospedale continua a funzionare, se l'ordine di evacuazione arriva in tempo, se la banca alimentare riesce a crescere dall'oggi al domani. Quel giudizio è durevole: una singola crisi gestita bene o male può rimodellare la fiducia pubblica in un'istituzione per una generazione (vedi Argomento 4.2 — Fiducia nelle istituzioni e impegno civico).

La logica di bilancio lavora contro la preparazione. La capacità permanente di rispondere a una crisi che potrebbe non verificarsi quest'anno compete, in ogni ciclo annuale di bilancio, con l'erogazione visibile di servizi che elettori e finanziatori possono vedere oggi. Una difesa dalle alluvioni ben mantenuta o un piano di continuità esercitato non produce titoli quando funziona – il suo valore emerge solo come il disastro che non è avvenuto. È la tensione centrale di questo argomento: la resilienza è costosa da costruire, invisibile quando riesce e spietata quando manca.

La gestione di crisi, emergenze e resilienza non è quindi un'appendice specialistica della gestione pubblica; è una prova di se la proposta di valore pubblico di un'organizzazione – la sua legittimità, la sua capacità operativa, il suo valore dichiarato per i cittadini – regga sotto la condizione che più rivela se sia mai stata reale (vedi Argomento 1.2 — Il triangolo strategico: legittimità, valore e capacità). Questo argomento tratta la resilienza non solo come mitigazione del rischio ma come un valore pubblico a pieno titolo, che le società dovrebbero essere disposte a pagare in anticipo, nello stesso modo in cui pagano per la difesa o la sanità pubblica.

Concetti chiave

Un pericolo (hazard) è una potenziale fonte di danno – un'alluvione, un patogeno, un'intrusione informatica, il guasto di un fornitore critico. Un pericolo diventa un disastro solo quando travolge la capacità di fronteggiamento delle persone e dei sistemi che colpisce; la stessa alluvione che è un piccolo fastidio in una città ben drenata e ben assicurata può essere catastrofica senza quelle difese. Il rischio è la combinazione di probabilità di un pericolo, sua gravità ed esposizione e vulnerabilità di ciò che si trova sul suo cammino – l'apparato analitico per valutare quella combinazione è trattato per intero altrove, e questo argomento si basa su di esso anziché ripeterlo (vedi Argomento 3.10 — Regolazione e gestione dei rischi pubblici).

La gestione delle emergenze è la disciplina di ridurre la vulnerabilità ai pericoli e di coordinare la risposta quando si verificano, organizzata attorno a un ciclo di quattro fasi. Prevenzione e mitigazione riducono la probabilità o la gravità di un pericolo prima che colpisca – norme edilizie, barriere contro le alluvioni, programmi di vaccinazione, rafforzamento informatico. La preparazione costruisce la capacità di rispondere bene quando la prevenzione fallisce – piani, personale formato, scorte, esercitazioni. La risposta è la fase operativa durante e subito dopo un evento, e la ripresa è il compito più lungo di ripristinare comunità e sistemi, idealmente a uno stato meno vulnerabile di prima anziché a una ricostruzione identica.

La leadership di crisi è la dimensione umana del più ampio campo della gestione delle crisi e differisce dalla gestione ordinaria in tre modi. Le decisioni devono essere prese sotto severa pressione di tempo, spesso in minuti anziché nelle settimane che una normale decisione di politica consente; l'informazione disponibile è sempre incompleta e spesso sbagliata nelle prime ore, per cui i leader devono agire su un quadro di lavoro che sanno dovrà essere rivisto; e il vaglio è immediato e pubblico, per cui la condotta visibile di un leader diventa parte del giudizio del pubblico su se l'istituzione abbia il controllo. La leadership di crisi combina quindi due compiti insieme: prendere la migliore decisione operativa disponibile e fornire il senso che mantiene intatta la fiducia pubblica mentre l'evidenza è incompleta.

Un approccio multi-pericolo (all-hazards) costruisce pianificazione, strutture di comando e capacità di base che funzionano per molti tipi di pericolo – alluvione, pandemia, attacco informatico, incidente industriale – anziché mantenere un piano separato e a compartimenti stagni per ciascuno. Poiché capacità come comunicazione, logistica e mutuo soccorso sono comuni a quasi ogni tipo di pericolo, un quadro multi-pericolo con allegati specifici per pericolo fronteggia molto meglio il pericolo che nessuno aveva pianificato di una biblioteca di piani per singolo pericolo.

La pianificazione della continuità operativa è la controparte organizzativa della gestione delle emergenze: mantenere in funzione, o ripristinare rapidamente, le funzioni critiche di un'organizzazione quando sono interrotte da un incidente che può non avere nulla a che fare con un'emergenza pubblica – un incendio in un centro dati, la perdita di un fornitore chiave, uno sciopero. Lo standard di riferimento è ISO 22301, pubblicato dall'Organizzazione internazionale per la normazione (ISO), che specifica i requisiti di un sistema di gestione che protegge da, si prepara a, risponde a e si riprende da tali incidenti. Le due discipline si sovrappongono ma non sono identiche: un'organizzazione può avere un piano di continuità superbo per il proprio sistema paghe e nessun piano di emergenza per un'alluvione che colpisce l'intera area di servizio.

La resilienza è la capacità di anticipare uno shock, assorbirlo, adattarsi durante di esso e – idealmente – uscirne più forti di prima. La resilienza ingegneristica riguarda come un sistema fisico resista al danno e torni a funzionare; la resilienza comunitaria riguarda come famiglie, quartieri e istituzioni fronteggino e si riprendano, attingendo spesso al capitale sociale tanto quanto ai beni fisici. Un ponte tecnicamente resiliente serve a poco a una comunità priva di un modo resiliente per raggiungerlo, evacuare attraverso di esso o finanziarne la riparazione.

La resilienza ha la struttura di un bene pubblico (vedi Argomento 1.4 — Beni pubblici, beni meritori e pluralismo dei valori): una volta che esiste una difesa dalle alluvioni o un sistema di allerta precoce, il suo beneficio protettivo è in gran parte non escludibile (tutti nella sua area ne beneficiano, che l'abbiano finanziato o no) e non rivale (la protezione di una famiglia non diminuisce quella del vicino). Lasciata alla fornitura individuale o di mercato, la resilienza è sistematicamente sottoprodotta, perché nessun singolo attore cattura abbastanza del beneficio da giustificare il pagamento dell'intero costo – esattamente il caso di valore pubblico per un investimento collettivo e finanziato in anticipo.

Infine, molti dei fallimenti più dannosi non sono singoli pericoli ma crisi a cascata o composte, in cui un guasto ne innesca o ne maschera un altro – una tempesta mette fuori uso la corrente, che disabilita il trattamento dell'acqua, che costringe un ospedale a ricorrere a generatori di riserva che poi falliscono. Il sociologo Charles Perrow, in Normal Accidents, la sua analisi di sistemi complessi e strettamente accoppiati, sostenne che in tali sistemi alcuni incidenti sono quasi inevitabili a prescindere da quanto sia attento un operatore, perché i guasti si propagano attraverso le interdipendenze più in fretta di quanto chiunque possa intervenire. Una pianificazione che mette alla prova un solo pericolo alla volta non troverà il guasto che viene dall'arrivo insieme di due o tre.

Buone pratiche

1. Trattate il ciclo di gestione delle emergenze come una capacità permanente, non come un progetto. Prevenzione e mitigazione, preparazione, risposta e ripresa sono funzioni continue e dotate di risorse con responsabili nominati, riesaminate a un ciclo fisso anziché solo dopo che un incidente forza la questione.
2. Pianificate su base multi-pericolo, con allegati specifici per pericolo sovrapposti. Costruite una volta le capacità comuni – comando, comunicazione, logistica, mutuo soccorso – poi aggiungete il dettaglio che un'alluvione, una pandemia o un incidente informatico richiedono ciascuno, evitando la trappola di essere superbamente preparati all'ultima crisi e ciechi alla prossima.
3. Investite in monitoraggio e allerta precoce prima di investire in capacità di risposta. Un giorno di preavviso vale spesso più di una settimana di capacità di risposta aggiuntiva, perché permette a persone e sistemi di spostarsi fuori dal pericolo anziché essere salvati da esso. I sistemi di allerta precoce sono anche tra gli esempi più chiari del carattere di bene pubblico della resilienza: economici da estendere a una famiglia in più e inutili se negati a qualcuno.
4. Esercitatevi prima che la capacità serva, non dopo. Esercitazioni a tavolino, funzionali e simulazioni in scala reale fanno emergere le lacune che un piano scritto nasconde – l'albero telefonico fuori aggiornamento da due anni, l'autorità che nessuno ricorda esistere. Esercitatevi attraverso i confini organizzativi, non solo dentro uno, perché la maggior parte delle crisi reali non rispetta un organigramma.
5. Negoziate in anticipo accordi di mutuo soccorso e di capacità di picco prima di una crisi, non durante. Accordi su attrezzature condivise, distacco di personale e garanzie finanziarie richiedono settimane di negoziato in tempi normali e sono quasi impossibili da negoziare sotto la pressione di una crisi. Gli assetti locali, regionali e transfrontalieri dovrebbero essere firmati, finanziati e messi alla prova ben prima.
6. Definite per iscritto i livelli di comando e l'autorità decisionale, e verificate che l'autorità funzioni davvero. Separate le decisioni strategiche (obiettivi e priorità), tattiche (coordinamento della risposta) e operative (esecuzione sul campo), con inneschi chiari di escalation fra loro, seguendo un modello standardizzato come l'Incident Command System dove ne è in uso uno. Sappiate, e provate, esattamente chi può dichiarare un'emergenza e attivare il piano alle tre del mattino in un giorno festivo.
7. Costruite e mettete alla prova un piano di continuità operativa per le funzioni critiche dell'organizzazione. Individuate le funzioni la cui perdita sarebbe inaccettabile in ore, non settimane, e progettate accordi di ripristino – sedi alternative, copie di dati, autorità delegata – per quelle funzioni specificamente, seguendo uno standard riconosciuto come ISO 22301 anziché una lista di controllo ad hoc.
8. Comunicate presto, onestamente e attraverso un unico canale fidato. Nel vuoto informativo delle prime ore di una crisi, voci e disinformazione riempiono qualunque spazio la comunicazione ufficiale lasci vuoto. Dite che cosa è noto, che cosa non è ancora noto e quando arriverà il prossimo aggiornamento, anche se la risposta sostanziale è ancora "non lo sappiamo ancora".
9. Progettate la ripresa per ridurre il rischio del prossimo disastro, non semplicemente per ricostruire ciò che c'era prima. "Ricostruire meglio" è una disciplina, non uno slogan: i fondi di ripresa sono il singolo maggiore fondo di denaro che la maggior parte degli enti pubblici avrà mai disponibile per investimenti di resilienza, e spenderli per ricreare la vulnerabilità di ieri è un'occasione sprecata che sarà pagata di nuovo.
10. Finanziate la resilienza come voce permanente nel bilancio di base, non solo attraverso fondi di emergenza e di disastro. Il finanziamento reattivo dei disastri, a posteriori, costa tipicamente molte volte più della spesa di mitigazione che avrebbe ridotto il bisogno, eppure i bilanci di base sono il primo posto in cui gli investimenti di resilienza vengono tagliati in un anno fiscale difficile. Proteggete un'allocazione minima come un bilancio della difesa protegge la prontezza permanente.
11. Svolgete una revisione strutturata a posteriori dopo ogni incidente ed esercitazione significativi e seguite se le sue risultanze sono state attuate. Un rapporto di lezioni individuate che nessuno attua è indistinguibile, dal punto di vista della prossima crisi, dal non aver mai riesaminato nulla. Assegnate responsabili e scadenze a ogni raccomandazione e riferite sul completamento.
12. Proteggete il benessere delle persone che dotano di personale la risposta. Le crisi prolungate esauriscono fisicamente e psicologicamente i soccorritori, e il burnout fra il personale esperto è di per sé un rischio di resilienza che svuota la capacità che l'organizzazione cerca di proteggere. Incorporate fin dall'inizio nel piano rotazione, riposo e sostegno dopo l'incidente, non come ripensamento quando le persone sono già esaurite.

Domande da discutere con il vostro team

Chi ha l'autorità di dichiarare una crisi, e abbiamo verificato che funzioni davvero alle tre del mattino in un giorno festivo? Un'autorità che esiste solo su un organigramma non è la stessa di un'autorità che funziona quando la consueta catena di comando dorme, viaggia o è irraggiungibile. Ripercorrete concretamente chi viene contattato per primo, che cosa accada se quella persona non può essere raggiunta entro 15 minuti e chi possa in pratica prendere la prima decisione consequenziale. Molte organizzazioni scoprono, solo durante un incidente reale, che l'autorità nominata ha cambiato lavoro, che l'elenco dei contatti di riserva è fuori aggiornamento o che nessuno al di sotto del vertice della gerarchia crede di poter agire senza permesso. Risolvetelo prima che la prova sia reale.

Qual è il nostro bilancio di resilienza, e lo riconosceremmo se qualcuno ci chiedesse di indicarlo? La maggior parte delle organizzazioni sa nominare il proprio bilancio di risposta ai disastri ma fatica a identificare che cosa spenda, in un anno ordinario, per prevenzione, mitigazione e preparazione. Se la spesa di resilienza è invisibile perfino a chi la gestisce, sarà la prima cosa tagliata quando i bilanci si stringono, perché nessuno noterà la sua assenza finché non arriva la prossima crisi. Discutete se l'investimento in resilienza sia una voce protetta ed etichettata e chi dovrebbe approvarne la riduzione.

Quando abbiamo esercitato per l'ultima volta i nostri piani di continuità operativa e di emergenza, e che cosa è fallito davvero? Un piano mai messo alla prova rispetto a uno scenario realistico è un'ipotesi, non una capacità. Riesaminate onestamente l'esercitazione o l'incidente reale più recente: quale presupposto si è rivelato sbagliato, quale contatto non è stato raggiungibile, quale dipendenza non era stata mappata. Se nulla è fallito, ciò merita di per sé un esame – può significare che l'esercitazione non era abbastanza impegnativa.

Come prendiamo decisioni quando l'evidenza è incompleta e l'orologio corre? La formazione ordinaria delle politiche può attendere evidenze migliori; la leadership di crisi no. Discutete quali autorità e opzioni predefinite esistano per il momento in cui un team deve scegliere fra agire subito su informazioni parziali e attendere a costo di tempo. Concordate in anticipo quali decisioni siano abbastanza reversibili da essere prese rapidamente e quali abbastanza consequenziali da giustificare un ritardo deliberato anche sotto pressione.

Di quale voce si fida il pubblico in una crisi, e abbiamo costruito deliberatamente la capacità di quella persona di guidare? La persona più senior dell'organigramma non è automaticamente quella di cui il pubblico si fiderà, né quella più adatta al ruolo di dare senso che la leadership di crisi richiede. Discutete chi dovrebbero essere quella persona o quelle persone, se abbiano avuto una reale formazione in media e comunicazione di crisi e se l'organizzazione abbia costruito ridondanza così che il ruolo non dipenda dalla disponibilità di un solo individuo.

Che cosa abbiamo imparato dal nostro ultimo incidente significativo, e possiamo indicare qualcosa che abbiamo cambiato a causa di esso? Molte organizzazioni producono rapporti a posteriori approfonditi che sono letti una volta, archiviati e mai ripresi. Discutete le ultime tre raccomandazioni di una revisione passata e ripercorrete, specificamente, se ciascuna sia stata attuata, attuata in parte o silenziosamente lasciata cadere. Un'organizzazione che non sa rispondere a questa domanda non sta davvero imparando dall'esperienza, per quanto buone appaiano le sue revisioni scritte.

In pratica: un esempio di valore pubblico

Lo scenario seguente è immaginario e illustrativo. Non descrive alcuna istituzione reale.

La Città di Rivermouth, un comune costiero immaginario di medie dimensioni, gestisce direttamente la propria azienda idrica municipale al servizio di 340.000 residenti. A tarda stagione autunnale, un severo sistema di tempeste si ferma sulla regione, producendo le piogge più intense nei 40 anni di registro operativo dell'azienda, e i livelli del fiume superano entro sei ore la soglia di progetto delle difese dalle alluvioni dell'impianto di trattamento. Nello stesso momento – senza relazione con la tempesta, ma sfruttando la distrazione che essa ha causato – viene rilevata un'intrusione nel sistema di controllo di supervisione e acquisizione dati (SCADA) dell'azienda, il software che aziona a distanza pompe e valvole, e una sottostazione che serve sia l'impianto sia un vicino ospedale perde l'alimentazione.

Il piano operativo di emergenza dell'azienda, costruito su un modello multi-pericolo con un allegato per le alluvioni e uno per gli incidenti informatici, è attivato dal responsabile di turno in reperibilità sulla base di un'autorità delegata in anticipo per iscritto, senza bisogno di raggiungere prima l'amministratore delegato. Un gruppo di comando strategico si riunisce in video entro 20 minuti per fissare gli obiettivi – proteggere la sicurezza dell'acqua potabile e l'alimentazione dell'ospedale al di sopra di tutto – mentre una cellula tattica, composta congiuntamente da ingegneri dell'azienda, dall'ufficio comunale di gestione delle emergenze e dall'operatore regionale dell'energia, gestisce la risposta momento per momento. Poiché l'allegato informatico aveva ipotizzato esattamente questo tipo di guasto composto, il sistema SCADA è isolato dall'accesso remoto entro 30 minuti, e gli operatori ripiegano su una procedura di controllo manuale esercitata due volte nei 18 mesi precedenti – più lenta, ma non improvvisata.

Il piano di continuità operativa dell'azienda aveva già individuato trattamento dell'acqua potabile ed energia adiacente all'ospedale come le due funzioni la cui perdita era inaccettabile in ore, il che aveva guidato il precedente investimento in un contratto per un generatore mobile di riserva e nella procedura manuale di ripiego che si sta ora rivelando decisiva. Un portavoce formato dà aggiornamenti pubblici ogni ora dicendo che cosa è confermato, che cosa no e quando arriverà il prossimo aggiornamento, il che impedisce alle voci di riempire il vuoto. Entro 36 ore il servizio idrico è confermato sicuro e l'alimentazione dell'ospedale è ripristinata con una linea temporanea; la piena stabilità della rete richiede altri cinque giorni.

Il consiglio di ripresa, riesaminando l'incidente tre mesi dopo, non ricostruisce semplicemente l'impianto alla specifica originaria. Innalza la difesa dalle alluvioni a una nuova soglia informata da proiezioni climatiche riviste, il tipo di adattamento che questo argomento lascia alla letteratura specialistica (vedi Argomento 4.3 — Clima, sostenibilità e valore pubblico ambientale), finanzia un secondo centro di controllo SCADA separato e richiede che i futuri aggiornamenti dell'infrastruttura siano valutati rispetto a scenari a cascata e multi-pericolo anziché solo a singolo pericolo. Nulla di questa spesa appare come servizio che i cittadini vedono giorno per giorno; tutto il suo valore pubblico sta nel disastro che non avviene la prossima volta.

Quattro prospettive settoriali

Amministrazione locale

L'amministrazione locale è quasi sempre il primo soccorritore e il livello di governo più vicino a dove un pericolo colpisce, il che le dà una conoscenza operativa che nessun livello superiore può replicare ma anche la più sottile capacità fiscale per assorbire da sola uno shock importante. La resilienza locale dipende tipicamente da partenariati fra comuni vicini, servizi di emergenza, aziende di servizio pubblico e organizzazioni di volontariato, perché quasi nessun singolo ente locale detiene al proprio interno ogni capacità che un incidente grave richiede. La sua vera sfida è sostenere la prontezza specialistica – personale formato, piani esercitati, attrezzature mantenute – dentro una struttura di forza lavoro e di bilancio costruita attorno all'erogazione di servizi di routine (vedi Argomento 3.6 — Forza lavoro del settore pubblico e mercati del lavoro).

Amministrazione nazionale

L'amministrazione nazionale fissa standard, detiene riserve strategiche che nessuna singola località potrebbe giustificare di mantenere da sola ed è di solito l'unico attore con l'autorità di dichiarare un'emergenza nazionale, coordinare un approccio di governo nel suo insieme (whole-of-government) fra regioni e ministeri e finanziare una ripresa su larga scala. Il suo rischio distintivo è l'opposto di quello dell'amministrazione locale: un ministero nazionale può produrre un'eccellente dottrina che non si traduce mai in capacità testata dove un incidente si verifica, perché l'attuazione dipende da livelli inferiori che non controlla direttamente. L'efficace resilienza nazionale dipende molto da come le responsabilità nazionali e subnazionali siano divise e finanziate (vedi Argomento 3.9 — Relazioni intergovernative e federalismo).

Terzo settore e non profit

Le organizzazioni non profit e comunitarie detengono spesso una capacità di resilienza che il governo formale non può replicare facilmente: fiducia preesistente e raggio d'azione verso le popolazioni più difficili da servire in una crisi, e la flessibilità di improvvisare l'erogazione – cibo, ricovero, intervento di prossimità – più in fretta di un ente pubblico vincolato dagli appalti. La loro vulnerabilità caratteristica è la volatilità del finanziamento: donazioni e sovvenzioni di emergenza schizzano subito dopo un disastro visibile e si prosciugano durante la fase poco affascinante della preparazione, proprio quando pianificazione e infrastruttura di volontari hanno più bisogno di investimenti (vedi Argomento 3.8 — Gestione del terzo settore e del non profit). L'esaurimento dei volontari durante crisi prolungate o ripetute è qui un rischio ricorrente in modo specifico, perché la capacità di picco dipende da una buona volontà che non è infinitamente rinnovabile.

Livello multilaterale e internazionale

Gli organismi multilaterali aggiungono un valore che nessun singolo governo nazionale può fornire da solo: coordinare pericoli transfrontalieri come pandemie o alluvioni transfrontaliere, mettere in comune competenze tecniche che gli Stati più piccoli non possono mantenere individualmente e gestire meccanismi di finanziamento predisposti in anticipo – fondi di contingenza, assicurazioni legate alle catastrofi, riserve comuni – che distribuiscono il rischio fra molti paesi. Il loro vincolo caratteristico è la sovranità: un organismo internazionale può raccomandare, convocare e finanziare, ma non può costringere un governo nazionale a prepararsi, e la sua efficacia dipende dalle autorità nazionali che agiscono su standard condivisi come il Quadro di Sendai per la riduzione del rischio di disastri, coordinato attraverso l'Ufficio delle Nazioni Unite per la riduzione del rischio di disastri (UNDRR) come principale riferimento globale per la riduzione del rischio di disastri.

Modalità di fallimento comuni

Il piano come artefatto di conformità. Un piano scritto di emergenza o di continuità esiste, soddisfa un requisito di audit e non è mai esercitato, aggiornato né letto dalle persone che dovrebbero usarlo. Il costo emerge solo durante un incidente reale, quando numeri di contatto, presupposti e autorità si rivelano fuori aggiornamento da anni.

Autorità di comando poco chiara o non verificata. Nessuno è sicuro di chi possa effettivamente dichiarare un'emergenza, attivare il mutuo soccorso o autorizzare spese di emergenza, così le prime ore di un incidente reale sono spese a stabilire l'autorità anziché a esercitarla – consumando l'unica risorsa che una crisi non può recuperare: il tempo iniziale.

Visione a tunnel su un solo pericolo. Pianificazione e risorse si concentrano sul rifare la battaglia dell'ultima crisi anziché su una diversa o composta, così un'organizzazione superbamente preparata a un'alluvione è cieca all'attacco informatico che arriva durante di essa. Il resoconto di Perrow del guasto a cascata in sistemi strettamente accoppiati descrive esattamente questo schema, che ricorre in settori che non hanno mai pianificato per pericoli che arrivano insieme.

Improvvisazione eroica scambiata per preparazione. Una crisi è gestita bene perché un individuo eccezionalmente capace ha improvvisato sotto pressione, e l'organizzazione conclude che il sistema abbia funzionato – quando ha funzionato nonostante il sistema, non grazie ad esso. Quella fragilità è invisibile finché l'individuo capace non è disponibile la prossima volta.

Il vuoto comunicativo. Il silenzio ufficiale nelle prime ore di un incidente, per cautela o per processo, non è mai davvero silenzio – è riempito da voci e disinformazione molto più difficili da correggere poi di quanto sarebbe stato prevenirle (vedi Argomento 4.4 — Social media, disinformazione e comunicazione pubblica).

Ricostruire la vulnerabilità anziché la resilienza. I fondi di ripresa ripristinano ciò che esisteva prima di un incidente anziché ridurre il rischio del prossimo, perché "ricostruire meglio" costa di più all'inizio di "ricostruire uguale" e i tempi di ripresa raramente premiano quella pazienza.

Tagli procicli alla resilienza. L'investimento permanente in mitigazione e capacità di riserva è la prima voce tagliata in un anno di bilancio stretto proprio perché la sua assenza è invisibile finché una crisi non la espone – così la spesa di resilienza cala più in fretta proprio quando la pressione fiscale rende gli shock futuri più dannosi, non meno.

Modello di maturità

Lista di controllo

• Esiste un piano scritto di emergenza multi-pericolo, con allegati specifici per pericolo, di proprietà di un ruolo nominato.
• L'autorità di comando – chi può dichiarare una crisi e attivare il piano – è documentata ed è stata verificata fuori dall'orario normale di lavoro.
• Il piano di continuità operativa individua le funzioni critiche dell'organizzazione e il loro massimo periodo tollerabile di interruzione.
• Gli accordi di mutuo soccorso e di capacità di picco con organizzazioni o giurisdizioni vicine sono firmati e in corso di validità, non solo discussi.
• Almeno un'esercitazione (a tavolino, funzionale o in scala reale) è stata svolta negli ultimi 12 mesi e le sue risultanze seguite fino al completamento.
• Un unico portavoce o canale di comunicazione fidato è individuato, formato e pronto ad attivarsi entro la prima ora di un incidente.
• L'investimento in resilienza compare come voce identificabile e protetta nel bilancio di base, non solo nei fondi di disastro o di contingenza.
• La pianificazione della ripresa include un esplicito requisito di "ricostruire meglio" anziché ripiegare su una ricostruzione identica.
• Le revisioni a posteriori seguono ogni incidente ed esercitazione significativi, con raccomandazioni assegnate a responsabili e scadenze.
• Il benessere dei soccorritori – rotazione, riposo e sostegno dopo l'incidente – è incorporato nel piano, non aggiunto dopo che le persone sono già esauste.
• Le dipendenze da fornitori, aziende di servizio pubblico e organizzazioni partner sono mappate, così che un guasto composto o a cascata non sia una sorpresa.
• I rimandi alla gestione del rischio (vedi Argomento 3.10 — Regolazione e gestione dei rischi pubblici) e, ove rilevante, alla resilienza specifica per il clima (vedi Argomento 4.3 — Clima, sostenibilità e valore pubblico ambientale) sono stati verificati per coerenza con questo piano.

Fonti chiave

Questo argomento attinge al ciclo in quattro fasi della letteratura internazionale sulla gestione delle emergenze (prevenzione/mitigazione, preparazione, risposta, ripresa), al Quadro di Sendai per la riduzione del rischio di disastri dell'Ufficio delle Nazioni Unite per la riduzione del rischio di disastri come principale riferimento politico globale per la riduzione del rischio di disastri, all'ISO 22301 dell'Organizzazione internazionale per la normazione come standard di riferimento per i sistemi di gestione della continuità operativa, al lavoro dell'Organizzazione per la cooperazione e lo sviluppo economico sulla governance del rischio e la resilienza e all'analisi di Charles Perrow del guasto a cascata in sistemi complessi e strettamente accoppiati. Esempi nazionali sono tratti dal National Preparedness Goal della Federal Emergency Management Agency degli Stati Uniti e dal Resilience Framework del Cabinet Office del Regno Unito, citati come illustrazioni di schemi nazionali anziché come modelli universali.

Riferimenti

1. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
2. Business continuity planning — Wikipedia — https://en.wikipedia.org/wiki/Business_continuity_planning
3. Crisis management — Wikipedia — https://en.wikipedia.org/wiki/Crisis_management
4. Disaster risk reduction — Wikipedia — https://en.wikipedia.org/wiki/Disaster_risk_reduction
5. Sendai Framework for Disaster Risk Reduction — Wikipedia — https://en.wikipedia.org/wiki/Sendai_Framework_for_Disaster_Risk_Reduction
6. Resilience (engineering and construction) — Wikipedia — https://en.wikipedia.org/wiki/Resilience_(engineering_and_construction)
7. Community resilience — Wikipedia — https://en.wikipedia.org/wiki/Community_resilience
8. Incident Command System — Wikipedia — https://en.wikipedia.org/wiki/Incident_Command_System
9. Normal Accidents — Wikipedia — https://en.wikipedia.org/wiki/Normal_Accidents
10. Public good (economics) — Wikipedia — https://en.wikipedia.org/wiki/Public_good_(economics)
11. Whole-of-government approach — Wikipedia — https://en.wikipedia.org/wiki/Whole-of-government_approach
12. What is the Sendai Framework for Disaster Risk Reduction? — United Nations Office for Disaster Risk Reduction — https://www.undrr.org/implementing-sendai-framework/what-sendai-framework
13. ISO 22301:2019 Security and resilience — Business continuity management systems — International Organization for Standardization — https://www.iso.org/standard/75106.html
14. Risk governance — OECD — https://www.oecd.org/en/topics/sub-issues/sustainable-and-resilient-infrastructure/risk-governance.html
15. National Preparedness Goal — Federal Emergency Management Agency (US) — https://www.fema.gov/emergency-managers/national-preparedness/goal
16. The UK Government Resilience Framework — Cabinet Office (UK) — https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1125536/6.8213_CO_Resilience_Framework_FINAL_1_.pdf