Mettete alla prova il piano di ripristino prima dell'interruzione

Un piano di ripristino serve solo se le persone riescono a eseguirlo nell'ordine giusto e con le risorse disponibili. Un elenco di contatti di emergenza e un titolo rassicurante non dicono quanto tempo serve per riprendere il lavoro critico. Nell'esempio qui sotto, un piano che sulla carta dura 80 minuti ne richiede 90 in esercitazione, supera l'obiettivo di 60 minuti di 30, e il fermo costa 530 $ — oppure 130 $ più 40 ordini in attesa, a seconda di cosa fanno i clienti.

Partite da uno scenario definito

«È saltata l'informatica» non è uno scenario. Un blocco del servizio di pagamento, la perdita di accesso a un laboratorio o il guasto di un sistema interno richiedono azioni, persone e decisioni diverse. Prima di stimare i tempi, annotate:

• la causa scatenante — ad es. i terminali rifiutano ogni pagamento;
• il perimetro — cosa conta come ripristinato: pagamento con carta su ogni cassa e vendite di nuovo sincronizzate con il magazzino;
• gli obiettivi — l'RTO (entro quando il lavoro critico deve ripartire) e, se ci sono dati da ripristinare, l'RPO (i dati più vecchi di cui accettate la perdita). L'RPO non è la durata del fermo.

Rendete esplicite le dipendenze

Il negozio fittizio della demo — articoli per la casa, otto addetti:

L'inizio più presto di ogni passo è la fine più presto più tardiva dei suoi prerequisiti; la fine più presto è quell'inizio più la durata: A 0 → 30, B 30 → 50, C 30 → 70, D 70 → 80. Il ripristino pianificato è di 80 minuti, determinato dalla catena A → C → D. Accelerare B non cambia nulla; accelerare C sì.

L'obiettivo è un obiettivo

L'RTO del negozio è di 60 minuti: scarto di 20 minuti. Indica dove sta il problema, ma non dimostra che l'attività ripartirà in 80 o in 60 minuti: è un calcolo da durate annotate che presuppone persone sufficienti per ogni ramo parallelo.

Controllate le risorse condivise

B e C richiedono entrambi il responsabile IT, la stessa persona, pianificata due volte tra il minuto 30 e il 50. Un buon strumento non lo riordina in silenzio: avvisa e lascia a voi la scelta — aggiungere un prerequisito perché i passi si susseguano (la stima sale) o affidare B a un altro ruolo.

In un'azienda media conta ancora di più. Nella seconda demo un distributore ha tre sedi, sei reparti e un'unica squadra IT centrale. Ogni piano di sede sembra ragionevole, ma il ricollegamento delle casse dello showroom, degli scanner del deposito e l'esportazione delle paghe cadono nella stessa mezz'ora: tre sovrapposizioni per una sola squadra.

Registrate un'esercitazione — onestamente

Il passo C ha richiesto 50 minuti invece di 40; D dipende da C e il ritardo si propaga. Il ripristino registrato è di 90 minuti, non 80, e supera l'RTO di 30 minuti.

Tre regole rendono affidabile la registrazione: un passo non completato resta non completato e non vale mai zero minuti (nell'esercitazione del distributore manca il completamento degli scanner e non viene mostrato alcun tempo di ripristino); i dati mancanti non si inventano (un completamento senza inizio conta, senza durata); e l'ordine conta (un completamento prima di quello di un prerequisito è un errore).

L'esercitazione verifica anche il backup: ultimo backup riuscito alle 06:30, esercitazione alle 08:00 — 90 minuti di età con un RPO di 60, 30 minuti di troppo. È un controllo d'età, non la prova che il backup sia ripristinabile.

Ore trascorse e ore di apertura

Per la vista economica il negozio usa una variante separata: un fermo di 240 minuti da martedì alle 10:00. Con apertura dalle 09:00 alle 19:00, tutte e quattro le ore sono ore di apertura. Questa variante resta distinta dagli 80 minuti del piano e dai 90 dell'esercitazione.

Valori inseriti: margine per ora di apertura 100 $, costo extra per ora di fermo 20 $, costo fisso dell'incidente 50 $. Il margine è già al netto dei costi variabili; i costi fissi non vanno aggiunti di nuovo.

Domanda persa o rinviata — non entrambe

Se le vendite spariscono: margine perso 4 × 100 $ = 400 $, costi extra 4 × 20 $ + 50 $ = 130 $, totale 530 $.

Se gli ordini attendono: il margine è rinviato, non perso; restano 130 $ di costi extra; con 10 ordini all'ora si forma un arretrato di 40 ordini. Mostrare entrambe le cose insieme conterebbe due volte gli stessi clienti.

L'arretrato si può smaltire?

Dopo il ripristino il negozio evade 20 ordini all'ora invece di 10: 10 di riserva. 40 ÷ 10 = 4 ore di apertura a ritmo costante; con ripristino alle 14:00 l'arretrato è smaltito verso le 18:00. Se la capacità dopo il ripristino non supera quella normale — come al deposito dell'aeroporto —, in questo modello non c'è un tempo di recupero finito, e il report deve dirlo.

Le ore di chiusura si comportano diversamente: al deposito manca la corrente venerdì alle 17:00 e torna dopo 15 ore, sabato alle 08:00; solo 3 di quelle ore erano di apertura. Il margine perso conta 3 ore; il costo extra orario (un generatore a noleggio), tutte e 15.

Mantenete il documento utilizzabile

Stampate la sequenza con responsabili e orari obiettivo, una scheda dei recapiti (ruoli e come raggiungerli — mai password o codici di accesso) e il confronto dell'esercitazione con orari pianificati e registrati in colonne separate. Rivedetelo dopo ogni esercitazione.

Ripristino operativo ed esercitazioni collega piano, obiettivo ed esercitazione registrata e aggiunge l'effetto sull'attività in base agli orari e al fuso di ogni sede. Aprite la demo per vedere l'obiettivo mancato, la sovrapposizione di risorse e la differenza tra ordini persi e rinviati. Per individuare le vulnerabilità usate Business Fragility X-Ray; per preparare e verificare la sequenza di ripristino, questo strumento. Nessuna ipotesi di IA: ogni numero qui sopra è calcolato dai dati mostrati.