La gestione del rischio in azienda

La gestione del rischio (in inglese risk management) è il processo mediante il quale si misura o si stima il rischio e successivamente si sviluppano delle strategie per governarlo.
Il compito della gestione del rischio non è quello di eliminare tutti i rischi, che sarebbe del resto praticamente impossibile. Al contrario, l’intento è quello di raggiungere un rapporto ottimale tra rischi e opportunità e di proteggere e incrementare il valore di un’impresa a favore dei suoi interlocutori.

La gestione del rischio va inteso come un processo continuo che si articola in più fasi riconducibili al ciclo di Deming (Plan, Do, Check, Act) e, in particolare: analisi del contesto – identificazione dei rischi – analisi dei rischi – valutazione dei rischi – risk mitigation.

La ISO 31010 “Risk assessment Techniques”, all’allegato B, descrive in maniera dettagliate ben 41 tecniche di identificazione e valutazione dei rischi. Tra queste:

Brainstorming. Prevede di stimolare e incoraggiare la conversazione a flusso libero tra un gruppo di persone competenti per identificare potenziali modalità di fallimento e pericoli associati, rischi, criteri per le decisioni e / o opzioni per il trattamento. Il termine “brainstorming” è spesso usato molto liberamente per indicare qualsiasi tipo di discussione di gruppo. Tuttavia, il vero brainstorming comporta tecniche particolari per cercare di garantire che l’immaginazione delle persone sia innescata dai pensieri e dichiarazioni di altri nel gruppo. Il brainstorming può essere formale o informale. Il brainstorming formale è più strutturato con i partecipanti si sono preparati in anticipo e la sessione ha uno scopo e un risultato definiti con mezzi per valutare le idee. Il brainstorming informale è meno strutturato.
Interviste strutturate o semi strutturate. In un’intervista strutturata, ai singoli intervistati viene posta una serie di domande preparate che incoraggiano l’intervistato a vedere una situazione da una diversa prospettiva e quindi identificare i rischi da quella prospettiva. Viene creato un insieme di domande per guidare l’intervista. Le domande dovrebbero essere a risposta aperta, semplici e preferibilmente riguardare solo un determinato tema.
Metodo Delphi. Ci si avvale di un gruppo di esperti selezionati che rispondono a una serie di questionari. Le domande sono solitamente formulate come ipotesi su cui i membri esprimono il loro giudizio in un periodo di tempo prestabilito e in 2-3 round di domande. Ciascun round è seguito dal feedback sul precedente round di risposte fornite.
Checklists. Sono elenchi di pericoli, rischi o errori di controllo che sono stati sviluppati di solito per esperienza, a seguito di una precedente valutazione del rischio o in seguito a fallimenti passati. Sono utilizzabili anche dai non esperti in quanto pre-compilate e create per contesti analoghi a quello da analizzare.
HACCP Hazard Analysis and Critical Control Points (HACCP). Fornisce una struttura per l’identificazione dei pericoli e mettere in atto controlli in tutte le parti rilevanti di un processo per proteggersi dai pericoli e per mantenere l’affidabilità e la sicurezza della qualità di un prodotto. HACCP mira a garantire che i rischi siano minimizzati dai controlli durante tutto il processo piuttosto che attraverso il monitoraggio del momento finale.
Valutazione di rischio ambientale. Viene utilizzata qui per coprire il processo seguito nella valutazione dei rischi a seguito dell’esposizione a una serie di pericoli. Si riferisce alle fasi del processo decisionale, compresa la valutazione del rischio e il trattamento del rischio. Il metodo prevede l’analisi del pericolo o della fonte di danno e di come influisce sul bersaglio e i percorsi attraverso i quali il pericolo può raggiungere una popolazione target sensibile. Queste informazioni vengono quindi combinate per fornire una stima della probabile entità e natura del danno.
SWIFT (struttura what if). È uno studio sistematico, basato su un team, per stimolare i partecipanti a identificare i rischi. Il facilitatore e il team utilizzano delle ipotesi “cosa accadrebbe se” in combinazione con le istruzioni per indagare su come un sistema, un’organizzazione o una procedura saranno influenzati da deviazioni dalle normali operazioni e comportamenti. Sia il contesto esterno che quello interno sono stabiliti attraverso interviste e attraverso lo studio di documenti, piani e disegni. Normalmente, l’oggetto, la situazione o il sistema di studio sono suddivisi in nodi o elementi chiave per facilitare il processo di analisi.
Analisi di scenario. Può essere utilizzato per identificare i rischi considerando possibili sviluppi futuri ed esplorandone le implicazioni. Serie di scenari che riflettono (ad esempio) “caso migliore”, “caso peggiore” e “caso previsto” possono essere utilizzati per analizzare le conseguenze potenziali e le loro probabilità per ogni scenario come forma di analisi di sensibilità durante l’analisi del rischio.
Analisi di impatto sul business. Noto anche come valutazione dell’impatto sul business, analizza come i rischi di interruzione potrebbero influire sulle operazioni di un’organizzazione e identificare e quantificare le capacità che sarebbero necessarie per gestirla. In particolare, una BIA consente di:
identificare le criticità dei principali processi aziendali, funzioni e risorse e le interdipendenze esistenti per un’organizzazione;
comprendere come gli eventi dirompenti influenzeranno la capacità e la capacità di raggiungere obiettivi aziendali critici;
individuare le capacità necessarie per gestire l’impatto di un’interruzione e ripristinare l’organizzazione a livelli operativi concordati.
Analisi cause–effetto. Metodo strutturato per identificare le possibili cause di un evento o problema indesiderato. Organizza i possibili fattori che contribuiscono in categorie in modo da poter considerare tutte le possibili ipotesi. Non indica le cause effettive, dal momento che queste possono essere determinate solo da prove reali e test empirici di ipotesi. Viene utilizzato per consentire la presa in considerazione di tutti i possibili scenari e cause da un team di esperti e consente di stabilire un consenso sulle cause più probabili che possono quindi essere testate empiricamente o mediante valutazione dei dati disponibili.

Dallo sviluppo delle attività di Risk management, nel corso del tempo, si è arrivati allo sviluppo di un modello ancor più evoluto di gestione dei rischi, ovvero l’Enterprise Risk Management (ERM). Questo consiste nella piena integrazione delle attività di gestione del rischio con tutte le funzioni e processi aziendali, entrando negli stessi in modo strutturato, capillare e sotto la supervisione e indirizzo (a livello di indicazione degli obiettivi) del “board”.

Riconoscere e controllare i rischi è un elemento fondamentale della struttura di un’azienda.