Il Codice ISM in breve
Il Codice internazionale di gestione della sicurezza (International Safety Management Code, ISM) è lo strumento con cui l’Organizzazione Marittima Internazionale (IMO) ha fatto passare la sicurezza marittima da una logica di conformità tecnica della nave a una logica di gestione organizzata del rischio. Adottato con la risoluzione A.741(18) nel 1993 e reso obbligatorio dal capitolo IX della convenzione SOLAS, è entrato in vigore in due fasi — 1998 per navi passeggeri, petroliere e portarinfuse, 2002 per gli altri tipi di nave.
L’ISM è nato da una serie di catastrofi marittime, la più emblematica delle quali resta il capovolgimento dell’Herald of Free Enterprise nel 1987, in cui carenze organizzative a terra e a bordo — e non un semplice guasto tecnico — erano costate la vita a 193 persone. La constatazione fondante del Codice è che una nave sicura non dipende solo dalla qualità dello scafo o delle macchine, ma dalla catena di responsabilità che collega la plancia all’ufficio dell’armatore, e dalla capacità di tale catena di anticipare, segnalare e correggere le carenze prima dell’incidente.
L’obiettivo esplicito dell’ISM è duplice: garantire la sicurezza in mare, prevenire lesioni e perdite di vite umane ed evitare danni all’ambiente. Per riuscirci, impone a ogni compagnia di elaborare, attuare e mantenere un sistema di gestione della sicurezza (Safety Management System, SMS): un corpo documentato di politiche, procedure e responsabilità, realmente applicato e sottoposto ad audit.
Il Codice ISPS in breve
Laddove l’ISM tratta la safety — proteggere la nave e l’equipaggio dagli incidenti — il Codice internazionale per la security delle navi e degli impianti portuali (International Ship and Port Facility Security Code, ISPS) tratta la security — proteggere la nave dagli atti intenzionali e dolosi. Le due nozioni, confuse nel linguaggio corrente, sono giuridicamente distinte.
L’ISPS è la risposta diretta della comunità marittima agli attentati dell’11 settembre 2001. Adottato nel dicembre 2002 da una conferenza dei governi parti della SOLAS e integrato nel capitolo XI-2 della SOLAS, è entrato in vigore il 1º luglio 2004. Come il Codice STCW, si compone di una Parte A obbligatoria (requisiti dettagliati) e di una Parte B raccomandata (orientamenti di attuazione).
L’ISPS poggia su un approccio di analisi del rischio: valutare la vulnerabilità della nave e delle sue interfacce (porti, fornitori, trasferimenti), definire misure graduate secondo tre livelli di security e designare responsabili chiaramente identificati a bordo e a terra. Per un superyacht, il cui profilo — armatore di alta visibilità, ospiti facoltosi, scali mediatizzati — costituisce per l’appunto un potenziale bersaglio, la logica dell’ISPS va ben oltre la mera formalità amministrativa.
ISM, ISPS e yachting: la soglia delle 500 GT
Nello yachting, l’applicazione dei due codici è governata da una soglia divenuta emblematica: 500 GT. Uno yacht commerciale (esercito in charter) di almeno 500 GT in navigazione internazionale rientra nella categoria delle navi da carico ai sensi della SOLAS: deve applicare integralmente l’ISM e l’ISPS, con DOC, SMC, SMS completo, piano di security e ISSC. È questa soglia a spiegare l’esistenza di un’intera generazione di yacht progettati per restare appena sotto le 500 GT — così da sottrarsi al regime più gravoso.
Al di sotto delle 500 GT, l’ISM non è obbligatorio ai sensi della SOLAS, ma l’ecosistema delle bandiere ha colmato il vuoto: il REG Yacht Code (Red Ensign Group Yacht Code, che ha fuso il vecchio Large Yacht Code LY3 e il Passenger Yacht Code) e le regole proprie di ogni bandiera impongono un sistema di gestione della sicurezza alleggerito, spesso chiamato «Mini-ISM», proporzionato alla dimensione della nave. Il rigore atteso cresce con la stazza e con il numero di persone a bordo.
Per gli yacht privati il principio è l’esenzione: uno yacht non esercito commercialmente non rientra nel campo obbligatorio dell’ISM né dell’ISPS. Ma diverse grandi bandiere richiedono o raccomandano un SMS per le grandi unità private, e il passaggio al charter — anche occasionale, tramite dispositivi del tipo Private Yacht Limited Charter — fa entrare la nave nel regime obbligatorio. Per l’armatore, anticipare tale passaggio è un tema di strutturazione a sé stante.
Architettura dell’SMS: cosa deve coprire il sistema
Il cuore dell’ISM è il sistema di gestione della sicurezza. Il Codice non prescrive un modello unico: fissa obiettivi funzionali che ogni compagnia traduce nella propria organizzazione. Un SMS conforme copre almeno:
- Una politica di sicurezza e protezione dell’ambiente — l’impegno formale della compagnia, declinato in obiettivi.
- Istruzioni e procedure per assicurare l’esercizio sicuro delle navi e la protezione dell’ambiente, conformemente alle normative applicabili.
- Livelli di autorità e linee di comunicazione definiti tra personale a terra e a bordo, e internamente a bordo.
- Procedure di notifica di incidenti, quasi-incidenti e non conformità al Codice.
- Procedure di preparazione e risposta alle situazioni di emergenza — esercitazioni, scenari, organizzazione di crisi.
- Procedure di audit interno e riesame della direzione per valutare e migliorare l’efficacia del sistema.
L’SMS si organizza attorno a un ciclo di miglioramento continuo — pianificare, attuare, verificare, correggere — che distingue in modo fondamentale l’ISM da una semplice checklist normativa. La trappola classica, sugli yacht come altrove, è l’«SMS da scaffale»: un manuale impeccabile sulla carta, ma scollegato dalla vita reale del bordo. Un sistema sovraccarico di procedure inapplicabili è tanto pericoloso quanto un sistema lacunoso: l’equipaggio finisce per aggirarlo.
Gli attori: compagnia, DPA, comandante, CSO, SSO
L’ISM e l’ISPS poggiano su una chiara distribuzione dei ruoli, a terra e a bordo.
La compagnia è l’entità responsabile dell’esercizio della nave — armatore, gestore o noleggiatore che ha assunto la responsabilità dell’esercizio. È essa a detenere il DOC e a rispondere dell’SMS. L’identità della compagnia ISM deve essere inequivocabile: è un punto di strutturazione giuridica di primo piano per uno yacht.
Il DPA (Designated Person Ashore) è il pezzo cardine dell’ISM. Collegamento diretto tra il bordo e il più alto livello di direzione della compagnia, sorveglia gli aspetti di sicurezza e antinquinamento di ogni nave e vigila sull’adeguatezza delle risorse e del supporto a terra. Il suo accesso diretto al decisore finale è un requisito del Codice, non un’opzione.
Il comandante occupa una posizione singolare: l’ISM riafferma esplicitamente la sua autorità prevalente (overriding authority) e la responsabilità di prendere, in materia di sicurezza e prevenzione dell’inquinamento, ogni decisione che ritenga necessaria — anche discostandosi dall’SMS se la sicurezza lo esige. L’SMS deve enunciare questa autorità nero su bianco.
Sul versante security, l’ISPS designa due responsabili: il CSO (Company Security Officer), garante a terra della valutazione e del piano di security, e l’SSO (Ship Security Officer), ufficiale di security a bordo incaricato dell’attuazione quotidiana del piano. A terra, gli impianti portuali hanno il proprio PFSO (Port Facility Security Officer).
DOC e SMC: i due certificati dell’ISM
Il dispositivo di certificazione ISM poggia su un binomio inscindibile.
Il Document of Compliance (DOC) è rilasciato alla compagnia. Attesta che la sua organizzazione a terra dispone di un SMS conforme all’ISM, per i tipi di nave che esercita (un DOC precisa le categorie coperte). La sua validità è di 5 anni, fatta salva una verifica annuale. Una copia certificata del DOC deve trovarsi a bordo di ogni nave della compagnia.
Il Safety Management Certificate (SMC) è rilasciato alla nave. Attesta che la nave esercita realmente l’SMS approvato della sua compagnia. La sua validità è di 5 anni, fatta salva almeno una verifica intermedia tra il secondo e il terzo anniversario.
La dipendenza è stretta: nessun SMC valido senza un DOC valido che copra il tipo di nave interessato. Se il DOC della compagnia cade, è l’intera flotta a trovarsi in difetto. Per le situazioni di avvio — nave nuova, nuova compagnia, cambio di bandiera — esistono certificati provvisori: DOC provvisorio valido 12 mesi, SMC provvisorio valido 6 mesi, il tempo di costituire lo storico di esercizio necessario alla certificazione definitiva.
ISPS: valutazione, piano di security e ISSC
La certificazione ISPS segue una logica parallela, articolata in tre tempi.
La valutazione di security della nave (Ship Security Assessment, SSA) individua le vulnerabilità: punti di accesso, zone sensibili, interfacce con la terra e i fornitori, scenari di minaccia. È condotta sotto la responsabilità del CSO.
Il piano di security della nave (Ship Security Plan, SSP) traduce tale valutazione in misure concrete, declinate per ciascuno dei tre livelli di security: controllo degli accessi, sorveglianza delle zone riservate, gestione di carichi e approvvigionamenti, procedure in caso di minaccia. L’SSP è un documento riservato, protetto da qualsiasi consultazione non autorizzata.
Il certificato internazionale di security della nave (International Ship Security Certificate, ISSC) è rilasciato dopo la verifica che il piano sia approvato ed effettivamente attuato. Valido 5 anni, presuppone almeno una verifica intermedia tra il secondo e il terzo anniversario. Un ISSC provvisorio di 6 mesi non rinnovabile copre le fasi di avvio.
A questo dispositivo si aggiungono due elementi strutturanti imposti dal capitolo XI della SOLAS: il sistema di allarme di security della nave (Ship Security Alert System, SSAS), che consente di far scattare discretamente un allarme verso le autorità in caso di atto doloso, e la scheda sinottica continua (Continuous Synopsis Record, CSR), che ricostruisce lo storico della nave (bandiera, proprietario, compagnia ISM) e deve essere tenuta aggiornata.
I tre livelli di security
L’ISPS gradua la risposta secondo tre livelli, fissati dallo Stato di bandiera o dal governo interessato — mai dalla sola nave:
- Livello 1 — normale. La nave opera in condizioni abituali: misure minime di security mantenute in permanenza (controllo accessi, ronde, verifica dell’identità dei visitatori).
- Livello 2 — rafforzato. Si percepisce un rischio accresciuto di incidente di security: misure aggiuntive mantenute per il periodo interessato (intensificazione dei controlli, restrizione degli accessi, maggiore sorveglianza della banchina).
- Livello 3 — eccezionale. Un incidente di security è probabile o imminente: misure specifiche supplementari, in genere per breve durata e spesso in coordinamento con le autorità.
Il piano di security deve descrivere con precisione le misure applicabili a ciascun livello e le modalità di passaggio dall’uno all’altro. A bordo, l’SSO e l’equipaggio devono conoscere queste procedure e saperle eseguire senza indugio. Per un superyacht in scalo in un porto sensibile o durante un evento mediatizzato, il passaggio temporaneo al livello 2 è uno scenario realistico che si prepara.
Audit ISM/ISPS: il ciclo di verifica
La conformità ai due codici non è mai acquisita una volta per tutte: si verifica con audit regolari, interni ed esterni.
Gli audit interni sono condotti dalla compagnia stessa, con una periodicità che l’SMS deve fissare (in pratica almeno annuale per ogni nave e per l’ufficio). Mirano a rilevare e correggere gli scostamenti prima dell’audit esterno — il meccanismo di autocontrollo al cuore dell’ISM.
Gli audit esterni sono svolti dallo Stato di bandiera o, il più delle volte, da un organismo riconosciuto (Recognized Organization, RO) — una società di classificazione abilitata. Scandiscono il ciclo di certificazione: audit iniziale (rilascio di DOC, SMC e ISSC), verifica annuale del DOC, verifica intermedia di SMC e ISSC, poi audit di rinnovo a 5 anni. Per una nave nuova o una nuova compagnia, la certificazione provvisoria apre l’esercizio il tempo di costruire lo storico richiesto.
Nella pratica dello yachting, questi audit sono spesso raggruppati e coordinati con quelli della MLC (condizioni di lavoro) e con le visite di classe, per limitare l’immobilizzo della nave. La preparazione documentale — registri aggiornati, esercitazioni registrate, non conformità chiuse, formazioni dell’equipaggio aggiornate — è la parte essenziale del lavoro: un audit non si prepara la vigilia.
Non conformità, osservazioni e Port State Control
Gli audit ISM/ISPS distinguono più livelli di rilievo. Un’osservazione segnala una situazione suscettibile di degenerare se non trattata. Una non conformità (NC) constata uno scostamento oggettivo rispetto al Codice o all’SMS. Una non conformità maggiore (major NC) caratterizza uno scostamento serio che rappresenta una grave minaccia per la sicurezza, la security o l’ambiente, e che richiede un’azione correttiva immediata: può comportare la sospensione o il ritiro del certificato interessato finché non è risolta.
Oltre agli audit programmati, il controllo dello Stato di approdo (Port State Control, PSC) verifica, durante gli scali, la validità dei certificati (DOC a bordo, SMC, ISSC) e la realtà della loro applicazione: un certificato valido ma un SMS manifestamente non applicato costituisce un motivo di carenza. Le non conformità ISM/ISPS classiche rilevate sugli yacht: SMS non aggiornato, esercitazioni di emergenza non svolte, non conformità precedenti non chiuse, piano di security obsoleto, SSAS non testato, equipaggio che non conosce le proprie funzioni di emergenza.
A seconda della gravità, il PSC emette una carenza da correggere entro un termine o, per una mancanza grave, può fermare la nave fino alla regolarizzazione. Un fermo figura nelle banche dati pubbliche (tipo Equasis) e pesa durevolmente sulla reputazione della bandiera, della compagnia e dell’armatore. La logica di controllo è qui la stessa della STCW e della MLC: si vedano le nostre guide STCW superyacht e MLC 2006 superyacht.
Notifica degli eventi e miglioramento continuo
Una delle maggiori innovazioni dell’ISM è imporre una cultura della notifica. L’SMS deve prevedere procedure per segnalare alla compagnia gli incidenti, i quasi-incidenti (near-miss) e le non conformità al Codice, per analizzarli e ricavarne azioni correttive e preventive. È questo flusso di informazioni ad alimentare il miglioramento continuo del sistema.
Perché funzioni, questo meccanismo presuppone una condizione culturale: l’equipaggio deve poter segnalare uno scostamento senza timore di sanzioni. Un sistema in cui il messaggero viene punito si svuota della sua sostanza — i quasi-incidenti smettono di essere segnalati, e il sistema perde proprio i segnali deboli che permettono di evitare l’incidente grave. Su uno yacht, dove la prossimità con l’armatore e la pressione di servizio sono forti, instaurare questa fiducia è tanto una questione di management quanto di procedura.
Il riesame della direzione chiude il ciclo: periodicamente, la compagnia valuta l’efficacia del suo SMS alla luce degli audit, delle notifiche e delle azioni correttive, e decide gli aggiustamenti. Il ruolo del DPA è centrale in questo processo: è lui a consolidare le segnalazioni del bordo e a portare le questioni di sicurezza al livello decisionale appropriato.
Il DPA: pietra angolare del dispositivo
Se si dovesse trattenere un solo ruolo nell’architettura ISM, sarebbe quello del DPA. Il capitolo 4 del Codice ne fa il garante che l’esercizio di ogni nave avvenga in sicurezza e che il collegamento tra bordo e direzione funzioni davvero. Il suo accesso diretto al più alto livello di management è ciò che impedisce alle questioni di sicurezza di essere soffocate da considerazioni commerciali o gerarchiche.
Per uno yacht, la domanda pratica è: chi ricopre questo ruolo, e con quale competenza? Affidare il DPA a una persona priva di esperienza marittima — un assistente di family office, un avvocato generalista — svuota la funzione del suo senso: il DPA deve capire cosa è in gioco su una plancia, saper leggere un rapporto di quasi-incidente, valutare l’adeguatezza di un organico o di una procedura di emergenza. Per questo l’esternalizzazione del DPA presso un professionista marittimo esperto — tipicamente un ex comandante — è una pratica diffusa e sana nello yachting.
Un DPA esternalizzato apporta tre cose che un armatore da solo non può in genere riunire: la competenza marittima, la disponibilità (reattività 24/7 in caso di emergenza) e l’indipendenza (uno sguardo che non dipende dal solo comfort dell’armatore). È uno dei servizi strutturanti dello ship management. Per il versante «competenze dell’equipaggio», questo ruolo si coniuga con la certificazione STCW; per il versante «condizioni di lavoro», con la MLC.
Convergenza ISM/ISPS/MLC/STCW e rischio cyber
La tendenza di fondo, sui superyacht come sulla flotta mercantile, è alla convergenza dei quattro grandi regimi — ISM, ISPS, MLC e STCW — in un sistema di gestione integrato della nave. I registri si mettono in comune (ore di riposo comuni STCW/MLC), i cicli di audit si coordinano, le matrici documentali si sovrappongono. Per uno yacht, questa integrazione riduce la duplicazione ma esige una riorganizzazione coerente di manuali e procedure, pena incoerenze che saltano all’occhio in audit.
Il tema più dinamico resta il rischio cyber. Con la risoluzione MSC.428(98) del 2017, l’IMO ha stabilito che un SMS approvato deve integrare la gestione del rischio cyber marittimo, al più tardi alla prima verifica annuale del DOC successiva al 1º gennaio 2021. In concreto, l’SMS deve identificare, valutare e controllare i rischi che gravano sui sistemi informatici e operativi: navigazione (ECDIS, GPS), propulsione e macchina, comunicazioni, reti di bordo e — specificità yacht — domotica, connettività satellitare ad alta capacità, sistemi audiovisivi e reti ospiti.
Per un superyacht, iperconnesso per natura e portatore di dati personali sensibili (quelli dell’armatore e dei suoi ospiti), il rischio cyber sta all’incrocio tra safety, security e vita privata. Richiede misure al tempo stesso tecniche (segmentazione delle reti, backup, aggiornamenti) e organizzative (sensibilizzazione dell’equipaggio, procedure di incidente), ormai verificabili ai sensi dell’ISM.
Per Cursorio, queste evoluzioni confermano il valore di un accompagnamento esternalizzato: tenere vivo un SMS, assicurare il ruolo di DPA, mantenere aggiornati i certificati ISM/ISPS, coordinare gli audit con la MLC e con la certificazione STCW dell’equipaggio è un lavoro continuo, dalle scadenze esigenti, che spesso supera la banda passante di un comandante in mare o di un family office generalista. Per i due regimi complementari, si vedano le nostre guide STCW superyacht e MLC 2006 superyacht.