ISO 31030 spiegata: perché è più importante che mai per i team di gestione dei rischi di viaggio

Per anni la gestione dei rischi di viaggio si è retta su conoscenza istituzionale e buone pratiche prese in prestito. I responsabili della sicurezza costruivano i programmi partendo da ciò che aveva funzionato nell'azienda precedente, da ciò che imparavano dai colleghi o da ciò che sembrava giusto rispetto alle minacce del momento. Non esisteva una norma formale né una definizione condivisa di ciò che un programma completo dovesse includere. Due aziende potevano entrambe sostenere di avere un programma di gestione dei rischi di viaggio e intendere cose completamente diverse.

Le cose sono cambiate nel settembre 2021, quando l'Organizzazione internazionale per la normazione ha pubblicato la ISO 31030, il cui titolo ufficiale è Travel risk management: Guidance for organizations. La norma ha preso decenni di esperienza del settore e li ha codificati in un unico documento che definisce che cosa richiede davvero il duty of care, il dovere di tutela verso i dipendenti in trasferta. È una specifica, messa per iscritto, con cui chiunque può confrontare il proprio programma.

L'adozione è stata lenta. Uno studio di Everbridge ha rilevato che il 76% dei dirigenti di vertice intervistati non disponeva di un solido programma di gestione dei rischi di viaggio come definito dalla ISO 31030. Nello stesso periodo, il Risk Outlook Report di International SOS registra un netto aumento, anno su anno, delle destinazioni classificate a rischio elevato o alto. Il contesto di rischio continua a peggiorare mentre la maggior parte delle organizzazioni opera ancora senza un programma all'altezza della norma. Quel divario merita attenzione, ed è la ragione per cui esiste questo articolo.

Da dove viene la norma, e che cos'è

L'ISO è una federazione di 168 enti nazionali di normazione, la stessa organizzazione dietro le norme di gestione della qualità come la ISO 9001 e di sicurezza delle informazioni come la ISO 27001. La ISO 31030 deriva dalla ISO 31000, la norma generale sulla gestione del rischio, adattata specificamente ai viaggi organizzativi. Chi l'ha redatta veniva dal settore: professionisti della sicurezza, fornitori di assistenza medica, travel manager e accademici che hanno passato la carriera a osservare programmi riuscire e fallire.

Una cosa da chiarire subito: la ISO 31030 è una norma di indirizzo, non certificabile. Niente audit, niente certificato da appendere al muro e nessuna legge che obblighi a rispettarla. Si usa valutando il proprio programma rispetto alle linee guida e colmando poi le lacune che contano per il proprio volume di trasferte e il proprio profilo di rischio.

Alcuni dirigenti sentono "linee guida volontarie" e si rilassano. È un errore, e la vicenda giudiziaria trattata più avanti in questo articolo mostra perché. Ai tribunali e alle autorità interessa che cosa avrebbe fatto un'organizzazione ragionevole, e da quando esiste una norma internazionale, "ragionevole" ha una definizione scritta.

Che cosa copre davvero la ISO 31030

La norma descrive l'intero ciclo di vita della gestione dei rischi di viaggio, dalla decisione di partire fino al riesame post-trasferta. E abbraccia un perimetro più ampio di quanto molti si aspettino. I rischi considerati vanno dagli incidenti stradali e dai problemi di salute ordinari fino a epidemie, catastrofi naturali, conflitti, criminalità e minacce alla sicurezza, e la norma include esplicitamente la salute mentale dei viaggiatori accanto alla loro incolumità fisica. Spinge i responsabili di programma a guardare oltre gli scenari eclatanti e a considerare fattori poco appariscenti come le condizioni delle strade, l'affidabilità delle telecomunicazioni locali e la qualità dell'assistenza medica nelle vicinanze. Nella maggior parte dei programmi di viaggio, un incidente stradale nel tragitto dall'aeroporto è un evento molto più probabile di un rapimento.

I requisiti fondamentali si articolano così.

Valutazione del rischio legata a destinazione, viaggiatore e attività. Si valuta dove va la persona, chi è e che cosa farà sul posto. Questi tre dati determinano il profilo di sicurezza di quella trasferta. Un trentenne in salute che partecipa a una conferenza a Copenaghen e un dirigente con una patologia cardiaca in visita a un sito minerario nel Sahel richiedono livelli di preparazione molto diversi, e la norma lo dice esplicitamente. Il profilo del viaggiatore conta: esperienza, esigenze mediche e fattori di rischio personali cambiano tutti l'esposizione. La valutazione del rischio non può essere generica e non può essere saltata.

Politica di viaggio e autorizzazioni. La norma si aspetta regole chiare su come vengono approvate le trasferte. Significa canali di prenotazione obbligatori perché l'organizzazione sappia davvero dove si trovano le persone, soglie di approvazione legate alla classificazione di rischio della destinazione, restrizioni sulle destinazioni dove servono e un percorso definito per le eccezioni. Se un itinerario cambia a metà viaggio in un modo che esce dalla policy, un responsabile dovrebbe saperlo in fretta, non a cose fatte.

Governance e responsabilità chiare. Qualcuno è proprietario del programma. I ruoli sono definiti tra le funzioni sicurezza, viaggi, risorse umane, legale e medica, e c'è un processo di escalation e di decisione quando una trasferta comporta un rischio elevato. Molte organizzazioni hanno funzionato per anni su una titolarità implicita, in cui ognuno dava per scontato che qualcun altro stesse vigilando. La ISO 31030 la formalizza.

Preparazione e comunicazione con il viaggiatore. I dipendenti vengono informati prima della partenza sui rischi che incontreranno e sulle risorse a loro disposizione. Questo include briefing di sicurezza pre-viaggio, formazione dove il rischio lo giustifica, contatti di supporto nel Paese e indicazioni chiare su cosa fare quando qualcosa va storto. E continua durante il viaggio: allerte in tempo reale quando una situazione si sviluppa vicino a un viaggiatore, procedure di check-in e modi affidabili di raggiungere le persone attraverso più di un canale.

Trasporti e alloggi verificati. La norma copre anche il livello logistico. Fornitori di trasporto via terra, itinerari, hotel e altri fornitori vengono valutati in funzione della sicurezza del viaggiatore, e le decisioni di acquisto nelle località a rischio più alto tengono conto della sicurezza, non solo del prezzo.

Risposta agli incidenti e protocolli di duty of care. Quando accade un incidente, c'è un piano. La norma si aspetta che le organizzazioni definiscano come risponderanno a emergenze mediche, eventi di sicurezza, catastrofi naturali e altre crisi che colpiscono i dipendenti in trasferta, compresi i percorsi di escalation, i dispositivi di assistenza ed evacuazione e il coordinamento con la continuità operativa.

Monitoraggio continuo e miglioramento. I programmi vengono riesaminati. Gli incidenti e i mancati incidenti vengono analizzati. L'organizzazione misura le prestazioni, impara da ciò che è successo e aggiorna il programma di conseguenza invece di lasciarlo fossilizzare.

Niente di tutto questo è rivoluzionario per chi fa gestione dei rischi di viaggio da un decennio. È la prima volta che questi requisiti sono stati messi per iscritto in un'unica norma valida per tutti i settori e tutte le geografie, e questo cambia ciò che accade quando i programmi vengono confrontati, sottoposti ad audit o contestati.

Perché l'adozione resta bassa

Il divario del 76% esiste per diverse ragioni. Alcune organizzazioni vedono nella ISO 31030 burocrazia inutile, un'altra casella di conformità che non aggiunge valore reale. Ad altre mancano le risorse per costruire un programma da zero o per adeguare quello esistente alle linee guida. Molte semplicemente non sanno che la norma esiste.

Anche la struttura pesa parecchio. Il rischio di viaggio tocca sicurezza, travel management, risorse umane, legale, area medica e leadership regionali, e questi team raramente condividono gli stessi sistemi o gli stessi dati. Il lavoro di Everbridge con i programmi aziendali fa emergere di continuo gli stessi punti di rottura: titolarità frammentata tra reparti, processi di approvazione incoerenti, visibilità limitata su dove si trovano davvero i viaggiatori, consapevolezza tardiva degli eventi critici, contatti e check-in manuali e percorsi di escalation poco chiari quando le cose vanno male. Una norma può dare un nome a questi problemi, ma qualcuno dentro l'organizzazione deve comunque risolverli.

C'è anche un problema di percezione. La gestione dei rischi di viaggio viene spesso trattata come un'appendice delle risorse umane o degli acquisti anziché come una funzione di sicurezza. Quando vive nella parte sbagliata dell'organizzazione, non riceve né l'attenzione né il budget di cui ha bisogno. La ISO 31030 aiuta a chiarire che si tratta di una disciplina di gestione del rischio con implicazioni reali di duty of care, ma quel messaggio non ha ancora raggiunto tutti i vertici aziendali.

Il retroterra legale

Il duty of care è un obbligo giuridico, e i tribunali hanno già mostrato che cosa succede alle organizzazioni che vi vengono meno. Il caso più citato nel settore è Dennis contro Norwegian Refugee Council. Steve Dennis, operatore umanitario, fu ferito da un colpo d'arma da fuoco e rapito durante un attacco a Dadaab, in Kenya, nel 2012. Fece causa al suo datore di lavoro e nel 2015 il tribunale distrettuale di Oslo giudicò l'organizzazione colpevole di negligenza grave, stabilendo che i rischi erano prevedibili e che l'organizzazione non li aveva gestiti. Gli furono riconosciuti milioni di corone di risarcimento, e il caso ha ridisegnato il modo in cui l'intero settore umanitario pensa alla sicurezza del proprio personale.

Quel precedente conta ben oltre il mondo umanitario. Quando un dipendente in trasferta subisce un danno e segue un contenzioso, la domanda diventa se l'organizzazione abbia adottato misure ragionevoli per proteggerlo. Prima del 2021, il "ragionevole" si discuteva caso per caso a colpi di perizie. Ora esiste una norma internazionale che descrive come appare un programma competente, ed è difficile immaginare che gli avvocati dei ricorrenti non la usino come metro di giudizio.

Perché la norma conta di più adesso

Il panorama del rischio è cambiato. Il Risk Outlook di International SOS mostra ogni anno più destinazioni scivolare nelle categorie di rischio elevato e alto. Instabilità geopolitica, disordini civili, crisi sanitarie e perturbazioni legate al clima crescono tutte insieme. I dipendenti viaggiano verso più destinazioni, spesso con meno preavviso, e le minacce che incontrano sono più varie di appena cinque anni fa.

La ISO 31030 vi dà una base di riferimento. Definisce come appare un programma difendibile se qualcosa va storto e dovete dimostrare di aver adottato misure ragionevoli per proteggere le vostre persone. Non garantisce che non accada nulla di brutto. È la prova che avete costruito un programma pensato per ridurre il rischio e rispondere con efficacia quando gli incidenti accadono, e in un'aula di tribunale o in un consiglio di amministrazione quella prova pesa.

I benefici vanno oltre la difendibilità legale. Le organizzazioni che si allineano alla norma riportano vantaggi ben visibili sul piano del business: la capacità di operare con fiducia nei mercati a rischio più alto, maggiori garanzie a investitori, banche e partner commerciali che il rischio di viaggio è sotto controllo, più credibilità della catena di fornitura verso i clienti, maggiore fiducia e fidelizzazione del personale e, in alcuni casi, premi assicurativi più bassi perché l'organizzazione sa dimostrare un controllo efficace dei rischi legati ai viaggi. Un programma ben gestito è un abilitatore del business, e la norma vi dà il vocabolario per sostenere questa tesi all'interno.

Per le organizzazioni che hanno già un programma di gestione dei rischi di viaggio, la norma funziona come strumento di audit. Si mappano i processi attuali sul testo e le lacune diventano visibili in fretta. Per chi parte da zero, è un progetto che evita di reinventare decenni di lezioni apprese a caro prezzo.

Che cosa farne

Se siete responsabili della gestione dei rischi di viaggio, procuratevi una copia della ISO 31030 e leggetela. Non è lunga ed è scritta in linguaggio semplice. Confrontatela con ciò che avete oggi in essere e annotate ogni lacuna che trovate.

L'esperienza delle società di consulenza che conducono queste gap analysis fa emergere sempre gli stessi punti deboli: nessun processo di prenotazione obbligatorio, nessun passaggio di autorizzazione pre-viaggio, nessuna valutazione del rischio prima della partenza, politiche di viaggio che non menzionano mai il rischio, processi di acquisto che ignorano la sicurezza e nessuna formazione per i viaggiatori diretti in luoghi difficili. Controllate prima queste aree, perché è molto probabile che almeno una vi riguardi.

Poi date le priorità in base ai reali schemi di trasferta e all'esposizione della vostra organizzazione. Se i dirigenti vanno regolarmente in destinazioni ad alto rischio, concentratevi sulla risposta agli incidenti e sulla preparazione del viaggiatore. Se nessuno sa dire chi è il proprietario del programma, partite dalla governance. Un programma che chiude le sue due lacune più grandi questo trimestre vale più di un piano quinquennale che non viene mai finanziato.

Infine, usate la norma per costruire consenso interno. Quando vi serve budget o l'appoggio dei vertici, la ISO 31030 vi dà un punto di riferimento che non è solo la vostra opinione. È una norma internazionale che riflette il consenso del settore su ciò che il duty of care richiede, sostenuta da una giurisprudenza che mostra quanto costa fallire. È una posizione molto più solida da cui argomentare rispetto a "fidatevi di me, ci serve".

Le organizzazioni che tratteranno la ISO 31030 come un documento di lavoro e non come un esercizio di conformità saranno quelle con programmi capaci di reggere quando verranno messi alla prova. Vista la direzione dei numeri del rischio, saranno sempre di più a esserlo.