Il rischio operativo nel settore estrattivo offshore è uno dei più complessi e pericolosi al mondo. Il caso Deepwater Horizon dimostra che anche quando i segnali di pericolo sono chiari, documentati e visibili in tempo reale, possono essere ignorati — con conseguenze devastanti e irreversibili per le persone, l’ambiente e l’economia.
Una notte nel Golfo del Messico
Il 20 aprile 2010, alle 21:50, la piattaforma petrolifera Deepwater Horizon — di proprietà di Transocean e in leasing a BP — esplode nel Golfo del Messico. L’esplosione uccide 11 lavoratori e ne ferisce 17. La piattaforma affonda due giorni dopo, il 22 aprile 2010.
Quello che segue è il più grande disastro ambientale offshore della storia. Per 87 giorni consecutivi, petrolio grezzo si riversa nel Golfo del Messico — più di 200 milioni di galloni di petrolio grezzo si sono versati nel Golfo per quasi tre mesi prima che il pozzo potesse essere tappato.
Un evento che ha cambiato per sempre l’industria petrolifera offshore. E che avrebbe potuto essere evitato.
La catena di cause : un disastro annunciato
Le indagini successive all’incidente hanno rivelato una realtà agghiacciante. La perdita di vite umane al pozzo Macondo il 20 aprile 2010, e il conseguente inquinamento del Golfo del Messico per tutta l’estate 2010, sono stati in parte il risultato di una cattiva gestione del rischio, cambiamenti dell’ultimo minuto ai piani, mancata osservazione e risposta agli indicatori critici, risposta inadeguata al controllo del pozzo e formazione inadeguata alle emergenze.
Non si trattava di un singolo errore. Era una catena di decisioni sbagliate, ognuna delle quali aveva aumentato il rischio in modo esponenziale.
I segnali che nessuno ha voluto vedere
Segnale #1 — Le anomalie di pressione ignorate in tempo reale :
Durante la sera del 20 aprile 2010, mentre il comandante della Deepwater Horizon conduceva un tour della piattaforma per i visitatori di BP e Transocean, l’equipaggio di perforazione osservò pressioni anomale nel tubo che conduceva al pozzo e iniziò ad adottare misure per chiudere il pozzo per prevenire il rilascio di idrocarburi.
I segnali di pressione anomala erano visibili sui display in tempo reale. Erano stati registrati ore prima dell’esplosione. Non sono stati interpretati correttamente — o peggio, sono stati deliberatamente ignorati per rispettare il calendario di produzione.
Segnale #2 — Il test di integrità del cemento fallito :
Al centro del disastro c’è il fallimento della barriera di cemento nel pozzo Macondo. Il rapporto afferma che una causa centrale del blowout è stato il fallimento della barriera di cemento nella stringa del rivestimento di produzione. Halliburton, l’azienda responsabile del lavoro di cementazione, aveva effettuato test che mostravano risultati preoccupanti. Questi risultati non hanno impedito di procedere. Claims Journal
Segnale #3 — I sistemi di sicurezza disattivati :
Le indagini hanno rivelato numerose deficienze dei sistemi, e atti e omissioni da parte di Transocean e del suo equipaggio, che hanno avuto un impatto negativo sulla capacità di prevenire o limitare l’entità del disastro. Questi includevano la scarsa manutenzione delle apparecchiature elettriche che potrebbero aver innescato l’esplosione, il bypass degli allarmi del gas e automatici. Claims Journal
Segnale #4 — La pressione commerciale sul calendario :
Come risultato di una cascata di analisi dei guasti e dei segnali profondamente difettosa, processi decisionali, comunicativi e organizzativo-manageriali difettosi, la sicurezza è stata compromessa al punto che… il disastro era diventato inevitabile. La piattaforma era in ritardo sul calendario. BP aveva già speso oltre 50 milioni di dollari di costi aggiuntivi sul pozzo Macondo. La pressione per completare le operazioni e abbandonare il pozzo era enorme. CGT
Le responsabilità : tre aziende, un disastro
Le indagini hanno stabilito responsabilità multiple e condivise. Nel settembre 2014, il tribunale federale che sovrintendeva le cause legali contro BP e altri ha stabilito che BP era responsabile al 67% per il blowout, l’esplosione e il versamento. Transocean, il proprietario della piattaforma, è stato ritenuto responsabile al 30%. Il restante 3% della colpa è stato attribuito a Halliburton, un appaltatore. Breached Company
Tre aziende. Tre catene di comando separate. Un unico disastro che avrebbe potuto essere fermato in qualsiasi punto della catena.
Il costo dell’accecamento
Il costo umano :
11 lavoratori hanno perso la vita nell’esplosione del 20 aprile 2010. 17 sono rimasti feriti. Centinaia di migliaia di persone che vivono e lavorano lungo le coste del Golfo del Messico hanno subito conseguenze economiche devastanti — pescatori, ristoratori, operatori turistici, comunità intere.
Il costo finanziario :
In giugno 2016, BP ha annunciato la sua stima finale dei costi del disversamento petrolifero : 61,6 miliardi di dollari. Questo include il più grande accordo per danni ambientali nella storia degli Stati Uniti. The Record
Nell’aprile 2016, BP ha accettato di risarcire le richieste ambientali per 20,8 miliardi di dollari — il più grande accordo per danni ambientali nella storia della nazione. Questo accordo includeva una penale federale di 5,5 miliardi di dollari ai sensi del Clean Water Act, la più grande nella storia del diritto ambientale. Breached Company
Separatamente, BP ha pagato 4 miliardi di dollari in multe e sanzioni penali, inclusi 2,4 miliardi di dollari per ripristinare le risorse naturali danneggiate. Breached Company
Il costo ambientale :
La mareggiata di petrolio ha coperto una parte significativa del Golfo del Messico per mesi. Le conseguenze sull’ecosistema marino, sulle popolazioni di uccelli, sui fondali e sulle coste del Louisiana, Mississippi, Alabama e Florida sono state devastanti e durano ancora oggi.
Il costo reputazionale :
BP era una delle più grandi compagnie petrolifere del mondo. Il caso Deepwater Horizon ha incrinato questa reputazione in modo permanente. Il CEO Tony Hayward è stato licenziato nel luglio 2010 dopo una serie di dichiarazioni pubbliche disastrose — inclusa la sua famosa frase “I’d like my life back” mentre 11 famiglie piangevano i loro morti.
La lezione per ogni organizzazione
Il caso Deepwater Horizon non riguarda solo il settore petrolifero offshore. Riguarda ogni organizzazione in cui la pressione commerciale può prevalere sulla cultura della sicurezza.
Tre principi fondamentali emergono da questo disastro.
Primo — I segnali in tempo reale devono essere ascoltati : le anomalie di pressione erano visibili sui display della piattaforma ore prima dell’esplosione. In ogni organizzazione, i dati operativi in tempo reale sono segnali. Ignorarli per convenienza o per pressione del calendario è una scelta deliberata — con conseguenze potenzialmente catastrofiche.
Secondo — La responsabilità condivisa è un rischio sistemico : quando tre aziende — BP, Transocean e Halliburton — operano sullo stesso sito con catene di comando separate, la responsabilità della sicurezza può cadere nelle fessure tra le organizzazioni. Come nel caso Carillion con i subappaltatori, la complessità della catena di fornitura amplifica il rischio operativo.
Terzo — La pressione commerciale non può mai prevalere sulla sicurezza : la piattaforma era in ritardo. I costi erano fuori controllo. La pressione per completare le operazioni era enorme. In questo clima, i segnali di rischio vengono minimizzati, le procedure vengono abbreviate, le decisioni vengono prese in fretta. È il momento in cui il rischio operativo smette di essere gestito e inizia ad accumularsi.
Conclusione
L’esplosione della Deepwater Horizon non è stata un incidente. È stata la conseguenza inevitabile di una catena di scelte sbagliate, di segnali ignorati e di una cultura organizzativa in cui la velocità di produzione aveva sostituito la sicurezza come valore primario.
87 giorni di petrolio nel Golfo del Messico. 11 vite perdute. 61,6 miliardi di dollari di costi totali. E un ecosistema che porta ancora le cicatrici di quella notte del 20 aprile 2010.
Come nei casi Boeing 737 MAX, KNP Logistics, Carillion e Miteni — i segnali esistevano. Erano documentati. E sono stati ignorati.
La gestione del rischio operativo non inizia quando la crisi esplode. Inizia ogni giorno, in ogni decisione operativa, in ogni segnale che si sceglie di ascoltare — o di ignorare.
Fonti : BP Deepwater Horizon Accident Investigation Report (settembre 2010) — BOEMRE Panel Report, U.S. Department of the Interior (ottobre 2011) — U.S. Coast Guard Report of Investigation (luglio 2011) — U.S. Department of Justice, Deepwater Horizon Settlement (aprile 2016) — NOAA, Deepwater Horizon Oil Spill Settlements (2016) — National Commission on the BP Deepwater Horizon Oil Spill and Offshore Drilling, Final Report (gennaio 2011).
Il caso Boeing 737 MAX, Quando l’indifferenza ai segnali deboli uccide 346 persone e costa 20 miliardi di dollari
Dopo tre decenni trascorsi ad analizzare, cartografare e tentare di padroneggiare i rischi operativi in settori ad alta criticità, devo ammetterlo : pochi dossier mi hanno gelato il sangue quanto quello del Boeing 737 MAX.
346 morti. Più di 20 miliardi di dollari di perdite dirette. Due aerei nuovi precipitati al suolo in pochi minuti. Eppure, tutto era stato sussurrato, scritto, segnalato, anni prima dei crash del volo Lion Air 610 e del volo Ethiopian Airlines 302.
Il MCAS : anatomia di un sistema mal progettato
Nel 2010, Airbus lanciò l’A320neo con nuovi motori più efficienti. La pressione commerciale su Boeing fu immediata e brutale. Il 30 agosto 2011, Boeing approvò il progetto del 737 MAX — con il solo motore CFM LEAP-1B — per recuperare il ritardo. I nuovi motori CFM LEAP-1B, più grandi e più potenti, dovevano essere posizionati più in avanti e più in alto sull’ala per garantire la distanza dal suolo.
Questa modifica alterava le caratteristiche aerodinamiche dell’aereo, aumentando la tendenza a cabrare (far ruotare un velivolo attorno al suo asse trasversale per sollevare il muso (la prua) rispetto alla linea dell’orizzonte, solitamente per iniziare una salita) ad alto angolo di attacco — con il rischio concreto di entrare in stallo.
Boeing scelse una soluzione software invece di riprogettare strutturalmente l’aereo. Una scelta che avrebbe richiesto anni di sviluppo e una nuova certificazione completa. Il MCAS (Maneuvering Characteristics Augmentation System) era programmato per abbassare automaticamente il piano di coda quando il sistema rilevava un angolo di attacco anomalo, riportando il muso verso il basso e compensando così la tendenza alla cabrata.
Un anno prima che il 737 MAX fosse completato, Boeing rese il sistema ancora più aggressivo. Mentre la versione originale si basava sui dati di almeno due sensori diversi, la versione finale ne utilizzava soltanto uno — lasciando il sistema privo di qualsiasi protezione contro i malfunzionamenti di un singolo componente. La FAA, nel suo rapporto finale del novembre 2020, ha identificato tre safety issue fondamentali legate al MCAS.
Safety Issue #1 — Il sensore unico : il MCAS dipendeva da un unico sensore dell’angolo di attacco (AOA), senza ridondanza né sistema di verifica incrociata. In aviazione, il principio della ridondanza è sacro. Nessun sistema critico dovrebbe dipendere da un singolo punto di guasto. Qui, questa regola fondamentale è stata violata deliberatamente — per ragioni di costo e di calendario.
Safety Issue #2 — La riattivazione ogni 5 secondi : quando il sensore forniva dati errati, il MCAS si attivava ripetutamente, abbassando il muso dell’aereo con forza crescente. I piloti potevano contrastarlo manualmente, ma il sistema si riattivava automaticamente ogni 5 secondi. Il controllo dell’aereo diventava progressivamente impossibile — esattamente quello che è successo sui voli Lion Air 610 e Ethiopian Airlines 302.
Safety Issue #3 — I piloti non sapevano che il MCAS esistesse : Boeing aveva deliberatamente omesso di menzionare il sistema nei manuali di volo originali, per evitare l’obbligo di una formazione aggiuntiva su simulatore. Una formazione che avrebbe aumentato i costi per le compagnie aeree e ridotto l’attrattiva commerciale del 737 MAX rispetto all’A320neo. I piloti si sono trovati a combattere un sistema di cui ignoravano l’esistenza, il funzionamento e le procedure di disattivazione. Questa non è stata una svista tecnica. È stata una scelta deliberata, documentata, validata a tutti i livelli della catena di comando.
I segnali deboli, tutti ignorati
Le segnalazioni interne soffocate La pressione commerciale non si limitava ai piani alti del management. Permeava ogni livello dell’organizzazione Boeing — fino agli ingegneri che lavoravano direttamente sul programma 737 MAX. L’inchiesta della Commissione Trasporti della Camera degli Stati Uniti, durata 18 mesi e basata su oltre 600.000 documenti interni, ha rivelato un quadro agghiacciante. I dipendenti Boeing erano sotto una pressione costante per rispettare i calendari di produzione e consegna. La fretta era simboleggiata da “orologi con conto alla rovescia” appesi sui muri delle sale conferenze — un messaggio implicito ma potentissimo: il tempo conta più della sicurezza. In questo clima, diversi ingegneri avevano espresso preoccupazioni concrete sulla progettazione del MCAS. Le loro segnalazioni riguardavano tre punti precisi:
la sottovalutazione della criticità del sistema
la dipendenza da un unico sensore AOA
l’assenza di formazione dedicata per i piloti.
Queste segnalazioni non sono andate perdute per caso. Sono state sistematicamente marginalizzate. La decisione di non accogliere le modifiche proposte non è stata dettata da incompetenza, bensì dalla consapevolezza che la loro implementazione avrebbe comportato un rallentamento del programma, la necessità di una nuova certificazione e l’obbligo di imporre una formazione su simulatore alle compagnie aeree. Tale scelta avrebbe comportato una perdita di miliardi di dollari e avrebbe consentito all’A320neo di Airbus di guadagnare terreno sul mercato.
La dichiarazione più rivelatrice è emersa durante le indagini del Congresso americano nel 2020. Un ingegnere Boeing aveva descritto internamente il MCAS come “progettato da clown, supervisionati da scimmie”. Una frase brutale — ma che nascondeva qualcosa di più profondo di una semplice frustrazione. Era la voce di un professionista che vedeva compromessi standard di sicurezza fondamentali, e che sapeva che nessuno stava ascoltando.
La dichiarazione dell’Amministratore FAA Michael Whitaker davanti al Senato americano nel settembre 2024 ha confermato che questo problema culturale non era limitato ai crash del 2018-2019. Boeing “deve mantenere robusti programmi di segnalazione della sicurezza e promuovere una cultura di segnalazione sicura e proattiva all’interno delle proprie organizzazioni”. Sei anni dopo, il regolatore imponeva ancora a Boeing quello che avrebbe dovuto essere il punto di partenza.
In gestione dei rischi operativi, esiste un principio fondamentale:
un’organizzazione in cui chi segnala un rischio viene percepito come un ostacolo al business — e non come un garante della sicurezza — ha già scelto, inconsapevolmente, il suo prossimo disastro. Boeing lo ha dimostrato due volte. In cinque mesi.
Il costo dell’accecamento
Quando i segnali di rischio vengono ignorati sistematicamente, il conto finale non si paga solo in denaro. Si paga in:
vite umane
in reputazione distrutta
in organizzazioni decimate
sanzioni.
l caso Boeing 737 MAX ha prodotto uno dei bilanci più devastanti della storia dell’aviazione commerciale.
Il costo umano 346 persone hanno perso la vita in cinque mesi. Non in due incidenti separati — ma nello stesso incidente, ripetuto due volte. Il volo Lion Air 610 del 29 ottobre 2018 e il volo Ethiopian Airlines 302 del 10 marzo 2019 hanno seguito la stessa sequenza di eventi, prodotto dallo stesso sistema difettoso, ignorato dalle stesse persone. Dietro ogni statistica si cela un individuo, una famiglia, una vita irrecuperabile.
Il costo finanziario Il 737 MAX è rimasto a terra per 20 mesi — dal marzo 2019 al novembre 2020 — il blocco più lungo nella storia dell’aviazione commerciale. Il costo totale per Boeing è stato stimato in oltre 20 miliardi di dollari, tra risarcimenti alle famiglie delle vittime, rimborsi alle compagnie aeree, perdita di ordini, costi di riprogettazione e di ricertificazione.
Nel gennaio 2021, Boeing ha raggiunto un accordo con il Dipartimento di Giustizia americano per 2,5 miliardi di dollari — riconoscendo di aver ingannato la FAA durante il processo di certificazione del MCAS. Nel settembre 2022, Boeing è stata condannata a pagare una multa aggiuntiva di 200 milioni di dollari alla SEC per dichiarazioni fuorvianti agli investitori sugli incidenti.
Il costo di non aver ascoltato gli ingegneri che sollevavano preoccupazioni? Una frazione di questi numeri.
Il costo reputazionale Boeing era un’icona dell’ingegneria americana. Un simbolo di precisione, affidabilità, eccellenza tecnica. Il caso 737 MAX ha incrinato questa reputazione in modo duraturo. La fiducia del pubblico nell’aviazione commerciale è stata scossa. Le compagnie aeree hanno dovuto gestire passeggeri che rifiutavano di imbarcarsi su un 737 MAX. Alcuni piloti hanno chiesto formalmente di non essere assegnati a quel tipo di velivolo. Un marchio costruito in decenni è stato danneggiato in pochi mesi.
Il costo operativo e sistemico Le catene di approvvigionamento sono state destabilizzate. I fornitori che dipendevano dai programmi Boeing hanno subito perdite enormi. Il CdA è stato decimato — il CEO Dennis Muilenburg è stato licenziato nel dicembre 2019.
Ma il costo più profondo, quello che non appare nei bilanci, è il costo culturale. Come ha dichiarato l’Amministratore FAA Michael Whitaker davanti al Senato americano nel settembre 2024, sei anni dopo i disastri Boeing deve ancora essere obbligata ad “incoraggiare i propri dipendenti a parlare senza timore di ritorsioni”. Un’organizzazione in cui il silenzio è ancora la norma non ha ancora pagato il conto più importante. Quello della cultura.
Conclusione
Il Boeing 737 MAX non è crollato per una falla tecnica improvvisa. È crollato per una catena di scelte deliberate, documentate, validate a tutti i livelli di un’organizzazione che aveva smesso di ascoltare. I segnali esistevano. Gli ingegneri avevano parlato. I quasi-incidenti erano stati registrati. Il sensore unico era un’eresia nota. I piloti non sapevano che il MCAS esistesse. Eppure, nulla è cambiato — finché due aerei non si sono schiantati al suolo in cinque mesi. Quello che questo caso ci insegna, con una brutalità rara, è che il rischio operativo non è una funzione di supporto. È una questione di sopravvivenza. Un sistema di gestione dei rischi degno di questo nome non si limita a cartografare i rischi su una tabella. Garantisce la trasmissione non filtrata dei segnali deboli. Protegge chi alza la voce. Impone una reale indipendenza del controllo. E — soprattutto — rifiuta di subordinare la sicurezza alla performance finanziaria. Come ha dichiarato l’Amministratore FAA Michael Whitaker davanti al Senato americano nel settembre 2024 — sei anni dopo i crash — Boeing deve ancora essere obbligata a costruire una cultura in cui i dipendenti possano segnalare i rischi senza timore di ritorsioni. Sei anni. Due disastri. 346 morti. E la lezione non è ancora stata completamente appresa. Quando ascolti “è sotto controllo” oppure “non bisogna preoccuparsi” o frasi simili, ponetevi sempre tre domande: chi lo dice, con quale prova, e sotto quale angolo cieco? I più grandi disastri operativi non vengono dall’ignoto. Vengono da rischi identificati, documentati — e deliberatamente messi da parte. Rimanere in ascolto. Ascoltare la base. Trattare ogni segnale come un precursore di crisi potenziale. Questo è il DNA del risk manager. Il giorno in cui si smette di farlo, il prezzo si conta in vite umane e in miliardi.
Rodolfo Liuzzi, CEO Wrm
Fonti : FAA Summary of the Review of the Boeing 737 MAX (novembre 2020) — ITAFSC, Boeing B737 MAX: The SMS Would Have Avoided Two Fatal Accidents (maggio 2021) — Il Sole 24 Ore, Le vicissitudini del Boeing 737 MAX (gennaio 2024) — Rapporto della Commissione Trasporti della Camera USA (settembre 2020) — U.S. Department of Transportation, FAA Oversight of Boeing’s Broken Safety Culture, Dichiarazione di Michael Whitaker, Amministratore FAA, Senato USA (settembre 2024).
Miteni S.p.A. : quando il rischio ambientale diventa un disastro irreversibile
Il rischio ambientale e la gestione operativa sono inseparabili. Il caso Miteni lo dimostra in modo devastante : quando il rischio ambientale viene ignorato per decenni, le conseguenze non riguardano solo l’azienda. Riguardano le persone, il territorio, le generazioni future.
Un’azienda chimica nel cuore del Veneto
Miteni S.p.A. era uno stabilimento chimico situato a Trissino, in provincia di Vicenza. Per decenni ha prodotto composti chimici industriali, tra cui i famigerati PFAS (sostanze perfluoroalchiliche), utilizzati in numerosi settori produttivi.
Sulla carta, era un’azienda produttiva e redditizia. Nella realtà, stava avvelenando silenziosamente la falda acquifera di una delle regioni più densamente popolate d’Italia.
Cosa sono i PFAS e perché sono pericolosi
I PFAS sono sostanze chimiche sintetiche estremamente persistenti nell’ambiente e nel corpo umano. Non si degradano. Non scompaiono. Si accumulano nei tessuti, nell’acqua, nel suolo.
L’esposizione prolungata ai PFAS è associata a gravi problemi di salute : tumori, malattie della tiroide, alterazioni del sistema immunitario, problemi riproduttivi. Sono conosciuti come “inquinanti eterni”, e per una ragione precisa.
Decenni di silenzio
Per decenni, Miteni ha rilasciato PFAS nell’ambiente circostante. Le sostanze si sono infiltrate nella falda acquifera, contaminando le acque potabili di centinaia di migliaia di persone in tre province venete : Vicenza, Verona e Padova.
I segnali esistevano. Le indagini interne avevano rilevato la contaminazione. Ma la gestione del rischio ambientale era totalmente assente. Nessun protocollo di sicurezza adeguato. Nessuna comunicazione alle autorità. Nessuna azione correttiva.
Il territorio continuava a essere avvelenato. In silenzio.
La scoperta e il crollo
Nel 2013, l’Istituto Superiore di Sanità ha rilevato livelli anomali di PFAS nelle acque potabili del Veneto. Le indagini hanno portato rapidamente a Miteni.
Quello che è emerso era devastante : decenni di contaminazione sistematica, violazioni gravissime dei protocolli di sicurezza, totale assenza di una cultura della gestione del rischio ambientale.
Le inchieste giudiziarie si sono moltiplicate. I costi di bonifica sono diventati insostenibili. Nel novembre 2018, il tribunale ha dichiarato ufficialmente il fallimento di Miteni S.p.A.
Ma il danno ambientale era già fatto. E non è reversibile.
Le conseguenze che durano
Il fallimento di Miteni non ha chiuso il problema. Lo ha solo reso più complicato.
La bonifica della falda acquifera contaminata richiederà decenni e costi enormi, stimati in centinaia di milioni di euro. Le popolazioni delle aree contaminate continuano a essere monitorate per gli effetti sulla salute. Le cause legali sono ancora in corso.
Un disastro ambientale che nessun tribunale, nessun risarcimento e nessuna bonifica potrà mai cancellare completamente.
La lezione per ogni azienda
Il caso Miteni non è un caso estremo riservato all’industria chimica. È un monito per ogni azienda che opera in un ambiente fisico, che si tratti di produzione, logistica, costruzioni o servizi.
Il rischio ambientale non è una questione di compliance burocratica. È una questione di responsabilità verso le persone e il territorio. Identificarlo, monitorarlo e gestirlo non è un optional. È un dovere.
Come nei casi PG&E, KNP Logistics e Carillion, i segnali esistevano. Erano documentati. E sono stati ignorati.
Conclusione
Miteni aveva una cosa che molte aziende sottovalutano : il potere di fare del male invisibile per molto tempo. Quel silenzio non era innocenza. Era negligenza sistemica.
La gestione del rischio ambientale non inizia quando arrivano le autorità. Inizia ogni giorno, nelle scelte operative di chi gestisce un’azienda.
Carillion: la storia di un crollo annunciato
Il rischio supply chain e la gestione operativa sono inseparabili. Quando uno dei due viene trascurato, il crollo è solo una questione di tempo. Il caso Carillion lo dimostra in modo inequivocabile : il rischio supply chain non esplode da un giorno all’altro. Si accumula. Lentamente. Silenziosamente. È la storia di un crollo annunciato, dove ogni segnale era visibile, ogni allarme era documentato, e nessuno ha voluto fermarsi ad ascoltare.
2008 : Le fondamenta che scricchiolano
Tutto inizia con la crisi finanziaria globale del 2008. Carillion, come molte grandi aziende del settore costruzioni, decide di espandersi aggressivamente sui contratti pubblici britannici. Ospedali. Scuole. Ferrovie. L’obiettivo è crescere, a qualsiasi costo.
Per finanziare questa espansione, l’azienda adotta una strategia che diventerà la sua condanna : impone ai fornitori tempi di pagamento fino a 120 giorni. Quattro mesi. In un settore dove la liquidità è ossigeno, questa scelta crea una pressione enorme su tutta la catena di fornitura.
2012-2015 : I segnali ignorati
Nel corso degli anni successivi, i bilanci di Carillion raccontano una storia sempre più preoccupante. I debiti crescono. I margini si assottigliano. I contratti pubblici vengono vinti a prezzi sempre più bassi, spesso sotto costo, pur di mantenere il volume d’affari.
Internamente, i segnali di allarme esistono. Alcuni manager li segnalano. Ma il board preferisce guardare altrove. I comunicati stampa continuano a essere ottimisti. I dividendi continuano a essere pagati agli azionisti. La facciata regge.
2016-2017 : Lo schema Ponzi si incrina
A questo punto, Carillion opera come uno schema Ponzi. Usa i nuovi contratti per pagare i debiti precedenti. Accumula debiti verso i subappaltatori per circa 350 milioni di sterline. E continua ad aggiudicarsi nuovi appalti pubblici, non perché sia competitiva, ma perché ha bisogno di liquidità fresca per sopravvivere.
Nel 2017, l’azienda pubblica tre profit warning in soli sei mesi. Il titolo in borsa crolla dell’80%. Eppure il governo britannico continua ad assegnarle nuovi contratti pubblici. Nessuno vuole credere che un colosso del genere possa davvero crollare.
Gennaio 2018 : Il crollo
Il 15 gennaio 2018, Carillion dichiara insolvenza. È il più grande fallimento nella storia del settore costruzioni britannico.
I numeri sono devastanti : 1,5 miliardi di sterline di debiti. 30.000 subappaltatori lasciati senza pagamento. Migliaia di dipendenti diretti senza lavoro. Cantieri bloccati in tutto il paese. Lo Stato britannico costretto a intervenire d’urgenza per garantire la continuità dei servizi pubblici essenziali.
Un effetto domino che nessuno aveva voluto prevenire.
Cosa ci insegna Carillion
La storia di Carillion non è la storia di una crisi improvvisa. È la storia di dieci anni di segnali ignorati.
I tempi di pagamento insostenibili erano visibili nei contratti. I debiti crescenti erano documentati nei bilanci. La fragilità della supply chain era evidente a chiunque volesse guardare.
Monitorare la salute finanziaria dei propri fornitori non è un lusso. È una necessità. Diversificare la catena di fornitura non è una precauzione eccessiva. È la differenza tra un’azienda resiliente e una bomba a orologeria.
Conclusione
Carillion aveva tutto : contratti pubblici miliardari, migliaia di dipendenti, decenni di storia. Non aveva una cosa sola, una cultura seria di gestione del rischio supply chain.
Il rischio era lì. Da anni. Visibile a tutti. E ignorato da tutti.
KNP Logistics: quando una password debole distrugge 150 anni di storia
La cybersecurity e la gestione del rischio operativo sono inseparabili. Il caso KNP Logistics lo dimostra in modo brutale : a volte, basta una sola password debole per mandare in fumo 150 anni di storia aziendale.
Un’azienda storica, un attacco devastante
KNP Logistics, conosciuta anche come Knights of Old, era una delle più antiche aziende di trasporti del Regno Unito. Fondata oltre 150 anni fa, aveva costruito una reputazione solida nel settore della logistica britannica. Nel giugno 2024, tutto è crollato in pochi giorni.
Un attacco ransomware del gruppo criminale “Akira” ha paralizzato completamente i sistemi operativi dell’azienda. La flotta si è fermata. Le operazioni si sono bloccate. I dati essenziali sono stati crittografati e resi inaccessibili.
Cosa è successo davvero: cybersecurity e gestione del rischio operativo a confronto
L’attacco non è partito da una falla tecnica sofisticata. Non da un sistema obsoleto impossibile da aggiornare. È partito da una password estremamente debole utilizzata da un dipendente, senza alcuna autenticazione a più fattori (MFA) attiva.
Il gruppo “Akira” ha sfruttato questa vulnerabilità per crittografare tutti i dati essenziali dell’azienda — sistemi finanziari, database clienti, infrastruttura operativa. I backup sono stati distrutti. La flotta di 500 camion si è fermata completamente. La domanda di riscatto stimata era di circa 5 milioni di sterline — una cifra che KNP non poteva permettersi.
Come riportato da The Record, KNP ha dichiarato l’insolvenza citando l’attacco ransomware come causa principale, lasciando 730 dipendenti senza lavoro.
L’esito
A distanza di un anno dall’attacco, nel 2025, KNP Logistics ha cessato definitivamente la propria attività. Oltre 150 anni di storia aziendale cancellati da un incidente che avrebbe potuto essere prevenuto con misure di sicurezza di base.
Il costo di una politica di password robusta ? Praticamente zero.
Il costo di non averla avuta ? Un’azienda intera.
Gestione del rischio operativo e cybersecurity: la lezione per ogni azienda
Il caso KNP non riguarda solo il settore dei trasporti. Riguarda ogni organizzazione che dipende da sistemi digitali — e oggi, nel 2025, questo significa praticamente tutte le aziende.
Come abbiamo analizzato nel caso PG&E, i segnali di rischio esistevano ma sono stati ignorati. Anche lì, il costo dell’inazione ha superato di gran lunga quello della prevenzione.</a>
La cybersecurity non è una questione tecnica riservata al reparto IT. È una questione di cultura aziendale. Ogni dipendente che accede a un sistema è un potenziale punto di ingresso per un attacco.
Una password debole. Un click su un link sospetto. Un allegato aperto senza verificare il mittente. Sono questi i veri rischi operativi del mondo digitale.
Conclusione
KNP Logistics aveva superato due guerre mondiali, crisi economiche, rivoluzioni tecnologiche. Non ha superato una password debole.
La gestione del rischio informatico non inizia dai firewall. Inizia dalla consapevolezza di ogni persona che lavora in azienda.
PG&E: quando la manutenzione mancata diventa un disastro
La manutenzione e la gestione del rischio sono due facce della stessa medaglia. Il caso PG&E lo dimostra in modo inequivocabile : quando la manutenzione viene trascurata, il rischio non scompare. Si accumula. Silenziosamente. Fino a diventare irreversibile.
Un’azienda centenaria, un errore fatale
Pacific Gas and Electric Company — PG&E — è una delle più grandi aziende energetiche degli Stati Uniti. Fondata nel 1905, serviva milioni di californiani con elettricità e gas naturale. Eppure, nel gennaio 2019, ha presentato istanza di fallimento. Non per mancanza di clienti. Non per un crollo del mercato. Per un programma di manutenzione inesistente.
Cosa è successo
Tra il 2015 e il 2018, le infrastrutture elettriche di PG&E hanno causato una serie di devastanti incendi in California. Il più grave — il “Camp Fire” del novembre 2018 — ha distrutto la città di Paradise, causando 85 vittime e bruciando oltre 18.000 edifici. È stato l’incendio più mortale della storia della California.
Le indagini hanno stabilito una responsabilità chiara : PG&E non disponeva di un programma efficace di ispezione e manutenzione delle proprie linee elettriche. Cavi usurati, infrastrutture obsolete, controlli saltati. I segnali di rischio esistevano. Erano documentati. E sono stati ignorati per anni.
Il costo dell’inazione
Schiacciata da richieste di risarcimento stimate in circa 30 miliardi di dollari, PG&E ha presentato istanza di fallimento nel gennaio 2019 — diventando il primo caso nella storia americana di un’azienda dichiarata penalmente responsabile per un incendio doloso.
Il costo della manutenzione preventiva che non è stata fatta ? Una frazione di quella cifra.
La lezione per ogni azienda
Il caso PG&E non riguarda solo il settore energetico. Riguarda ogni organizzazione che gestisce infrastrutture, macchinari o impianti.
La manutenzione non è un costo operativo da ottimizzare. È un presidio di sicurezza. Quando viene trascurata — per ragioni economiche, organizzative o semplicemente per abitudine — il rischio si accumula silenziosamente. Fino al punto di rottura.
Un’ispezione saltata non è un risparmio. È un rischio trasferito al futuro.
Conclusione
PG&E aveva i mezzi, le risorse e le competenze per prevenire quei disastri. Quello che mancava era una cultura della manutenzione come strumento di gestione del rischio — non come voce di costo da ridurre.
La prevenzione non si vede quando funziona. Si vede solo quando non c’è stata.
