Risk Management – La norma ISO 31000:2018 - La metodologia per applicare efficacemente il risk management in tutti i contesti

Ioannis Tsiouras

• Editore: Youcanprint
• Anno: 2015
• ISBN:
  9788891186201
• Argomento: Business
• Categoria: Gestione

Le organizzazioni nello svolgimento delle proprie attività si imbattono in delle incertezze, dovute a fattori inerenti ai loro contesti. Le incertezze sono fonte di rischio e le organizzazioni cercano in una certa misura di gestire tali rischi. Per affrontarli in modo sistematico, efficace ed efficiente, il normatore ha emesso la norma ISO 31000 Risk management – Guidelines. Questa norma è applicabile a tutte le organizzazioni senza distinzione di categoria merceologica e dimensione. Si tratta di una linea guida in grado di designare le prescrizioni di massima, senza approfondire i concetti e senza fornire un supporto operativo per l'applicazione efficace della metodologia che propone. L'autore, forte di una vasta e significativa esperienza sul campo, ha ingegnerizzato la metodologia del risk management, fornendo un metodo pratico, operativo e modulare per la gestione dei rischi sulla base della metodologia della norma. Non si limita ad interpretazioni generiche delle prescrizioni, ma sviluppa gli approcci in dettaglio utilizzando tecniche ed eseguendo analisi ed elaborazioni per calcolare i rischi reali. La spiegazione teorica delle prescrizioni si concretizza nei cinque casi di studio che vengono sviluppati per trasferire l'esperienza acquisita sul campo e il know-how necessario a tutti coloro che sono interessati. Il libro è strutturato in modo da consentire un'introduzione progressiva nell'argomento. Nei primi sei capitoli vengono sviluppati in modo approfondito i concetti relativi all'incertezza e al rischio, l'approccio per processi, il risk-based thinking, il risk management nel processo decisionale, la risk governance, i principi che guidano il risk management e il framework per il risk management. Nel settimo capitolo è sviluppato in dettaglio il processo del risk management. I casi di applicazione sono distinti secondo gli approcci dalla norma ISO/IEC 27005: 2022: - approccio basato sugli eventi (event-based approach) - approccio basato sugli asset (asset-based approach) I capitoli 8, 9, 10, 11 e 12 sviluppano i casi di studio in cinque diverse entità (eventi o asset). In questi capitoli si affrontano molte delle sfide tipiche che si riscontrano nella vita reale delle organizzazioni e delle persone e si forniscono consigli su come affrontarle e superarle. Il libro è destinato a tutte le organizzazioni delle categorie del tipo commerciale, pubblica amministrazione, senza scopo di lucro e a tutti coloro che hanno la necessità di gestire i rischi.

1. introduzione

L’ uomo, per la sua natura, è portato a gestire il rischio, sia in modo consapevole, stabilendo approcci strutturati e li usa tutte le volte che deve decidere, sia in modo inconsapevole. Questo avviene perché la gestione dei rischi è vitale per la sopravvivenza degli esseri viventi.

Quando si prende una decisione, si compie una valutazione dei rischi in modo istintivo; generalmente questa valutazione raramente è sistematica. Segue comunque un approccio che è quello di stabilire uno o più obiettivi, di stimare i risultati dell’azione, di confrontarli con gli obiettivi e, di conseguenza, si decide. Si compie, comunque, una valutazione durante la quale si rendono evidenti eventuali scostamenti dei risultati stimati rispetto agli obiettivi, quindi potrebbe essere necessario apportare delle modifiche alle azioni da compiere. Nella valutazione si possono ipotizzare diversi scenari e di conseguenza si dovrebbe decidere di seguire lo scenario che contiene meno incertezze e minor rischio.

La necessità di gestire i rischi è dovuta al fatto che le organizzazioni nello svolgimento delle proprie attività si affacciano a delle incertezze, dovute, soprattutto, a fattori che risiedono sia nel contesto interno sia in quello esterno. I rischi, quindi, hanno un effetto sul raggiungimento degli obiettivi e l’impatto potrebbe essere notevole per il business dell’organizzazione.

L’incertezza, dunque, è insita nelle attività umane ed è dovuta alla mancanza della “conoscenza assoluta” della situazione contingente alla quale ci si riferisce. La conoscenza assoluta è un limite invalicabile dell’uomo, poiché non riuscirà mai a possederla tutta in assoluto. Anche se si approfondisce una situazione o un aspetto, ci sarà sempre qualcosa che sfugge, con la conseguenza di avere una incertezza residua che ci porta ad avere il relativo rischio.

Per affrontare il rischio in modo sistematico e in modo efficace ed efficiente, il normatore ISO (International Organization for Standardization) ha emesso una serie di norme per il rischio e per il risk management, come la norma ISO/IEC Guide 73, la norma ISO 31000 e altre.

La ISO/IEC Guide 73 fornisce il vocabolario di base e i termini relativi al risk management, allo scopo di sviluppare un contesto armonizzato comune per aiutare le organizzazioni a comprendere e ad aumentare la consapevolezza in materia di risk assessment.

La norma ISO 31000:2018 ha il titolo Risk management – Guidelines ed è applicabile a tutte le tipologie di organizzazioni (manifatturiere, di servizi, commerciali, organizzazioni governative, come anche alle organizzazioni senza scopo di lucro) e di qualsiasi dimensione e tipologia merceologica, ma potrebbe essere applicata anche a qualsiasi entità che ha la necessità di gestire i rischi.

La norma ISO 31000, essendo una linea guida, fornisce solo indicazioni senza approfondire in dettaglio i concetti. La norma potrebbe essere adottata per impostare il framework del risk management e per progettare il processo del risk management. Essendo una linea guida non può essere utilizzata per effettuare audit, tanto meno per emettere certificazioni, in quanto le sue prescrizioni non sono requisiti.

Il risk management potrebbe essere applicato su tutta l’organizzazione, ma anche in un solo processo, in una sola area, in una sola attività o progetto e in qualsiasi momento della vita dell’organizzazione, ma anche in qualsiasi momento della vita di un individuo. Potrebbe essere applicato su più livelli, come per esempio a livello strategico, a livello gestionale o tattico e a livello operativo.

Il successo della gestione dei rischi dipende dall’efficace gestione del framework per il risk management. Il framework fornisce la struttura e definisce le risorse necessarie per l’integrazione con i processi dell’organizzazione.

L’applicazione efficace del processo di risk management dipende anche da alcuni fattori chiave, come per esempio dalla “definizione del contesto” nel quale dovrebbe essere applicato il risk management e dal campo di applicazione, inteso come l’estensione dei confini del processo, dalla identificazione completa delle “parti interessate” (stakeholder) e delle loro esigenze, aspettative e requisiti, dagli obiettivi da soddisfare, nonché dai criteri di accettazione dei rischi.

I numerosi benefici che derivano dall’efficace applicazione del risk management sono elencati nella norma ISO 31000 alla quale si rimanda per avere l’elenco completo. Si richiamano qui, a titolo di esempio, alcuni benefici chiave, come ad esempio:

• aumenta la probabilità per soddisfare gli obiettivi;
• incoraggia la gestione proattiva;
• aumenta la consapevolezza sulla necessità dell’identificazione e della gestione dei rischi;
• assicura la soddisfazione dei requisiti legali e regolamentari, come anche i requisiti delle norme sui sistemi di gestione (per esempio, ISO 9001, ISO 14001, ISO 22301, ISO 27001, e altre);
• migliora la confidenza e la fiducia degli stakeholder;
• migliora l’applicazione dei controlli;
• migliora l’allocazione e l’utilizzo efficace delle risorse;
• migliora l’efficacia e l’efficienza operativa;
• migliora la prevenzione e la gestione degli incidenti.

Il presente lavoro ha lo scopo di fornire un’introduzione sull’argomento risk management e di presentare:

• i principi che devono guidare la gestione dei rischi;
• l’infrastruttura (framework) per una efficace gestione dei rischi;
• il processo del risk management.

2. risk governance

La governance guida il corso dell'organizzazione, le sue relazioni con il mondo esterno e il contesto interno e le regole, i processi, gli approcci e le pratiche necessari per raggiungere la sua missione. La gestione strategica traduce il governance in strategia e in relativi obiettivi per raggiungere i livelli desiderati di rendimento sostenibile e redditività a lungo termine e la soddisfazione dei propri stakeholder.

La risk governance è il modo con il quale l’organizzazione gestisce i rischi che riscontra durante le sua attività. La risk governance è, dunque, l’impostazione strategica dei processi di risk mana...

Indice dei contenuti

• Copertina
• Titolo e diritti
• L'autore
• Dedica
• Prefazione
• Indice completo
• 1. Introduzione
• 2. Risk governance
• 3. Il rischio
• 4. Il risk management nel processo decisionale
• 5. I principi che guidano il risk management
• 6. Il framework per il risk management
• 7. Il processo del risk management
• 8. Caso di Studio 1: Il tesoretto
• 9. Caso di Studio 2: Caso di Studio 2: Attraversamento del passaggio a livello
• 10. Bibliografia
• 11. Appendice A - Strumenti e tecniche per il risk management