Cos’è il risk management

Il risk management, o gestione del rischio, è il processo sistematico con cui si analizzano i possibili rischi aziendali e si prendono delle decisioni per mitigare le conseguenze. Piccola o grande che sia, qualsiasi attività di business è esposta a fattori di rischio e, se impreparata, potrebbe incorrere in conseguenze come danni economici, d’immagine, giuridici o legati alla sicurezza. Grazie all’approccio integrato delle procedure di risk management, è possibile prevedere ed evitare queste conseguenze, e talvolta anche trasformarle in opportunità di consolidamento.

Se nelle piccole realtà le attività di gestione dei rischi sono generalmente svolte dai o dalle titolari o da una loro persona di fiducia, nelle imprese più grandi sono presenti figure specifiche, come quella di risk manager o CRO (Chief Risk Officer). Il loro è un ruolo delicato, cruciale e strategico, strettamente collegato alla governance e alla leadership dell’organizzazione.

Rischio e fattori di rischio

Nell’ambito del risk management è importante comprendere appieno cosa si intende per rischio e quali sono i principali fattori di rischio a cui un’azienda può andare incontro. Con una chiave di lettura molto semplificata, possiamo dire che i rischi aziendali sono tutto ciò che potrebbe avere risvolti negativi sul business. Di seguito, alcune delle principali categorie di rischio aziendale:

• Rischio strategico: minacce derivanti da scelte strategiche sbagliate o da cambiamenti nel mercato come un cambio di leadership, l’arrivo di nuovi competitor o la scelta di esternalizzare la produzione.
• Rischio operativo: interruzioni o malfunzionamenti dei processi aziendali causati da fattori interni o esterni. Ad esempio, scioperi, errori umani, eventi naturali, guasti ai macchinari o ai sistemi informatici.
• Rischio finanziario: perdite economiche legate a fluttuazioni, volatilità o condizioni di mercato sfavorevoli. Fra questi potrebbero esserci il crollo della valuta o l’insolvenza dei clienti.
• Rischio di conformità: la possibilità di incorrere in sanzioni per violazioni di leggi, norme o regolamenti, come quella sulla privacy o le leggi sulla sicurezza sul lavoro.
• Rischio reputazionale: il potenziale danno all’immagine e alla reputazione dell’organizzazione a causa di eventi dal forte impatto esterno, come scandali aziendali e campagne di boicottaggio.
• Rischio di sicurezza: minacce alla struttura dell’azienda o ai suoi sistemi di rete, come intrusioni negli edifici della compagnia, cyber attacchi o furto di informazioni sensibili.
• Rischio di qualità: è direttamente collegato con la qualità dei prodotti o dei servizi offerti dall’azienda. I cali qualitativi possono includere difetti estetici, scarsa durata, componenti difettosi o prodotti non sicuri per l’uso.

Poniamo, ad esempio, che un’azienda farmaceutica scopra che uno dei suoi prodotti più noti provochi un grave effetto collaterale che non era stato riscontrato durante la fase di sperimentazione. L’azienda ritira il farmaco, ma la notizia viene diffusa causando un forte impatto mediatico. In questo scenario, l’azienda farmaceutica si trova ad affrontare le conseguenze del rischio di conformità (ha violato le normative sulla sperimentazione e rischia severe sanzioni), operativo (il ritiro del farmaco ha interrotto l’attività produttiva e causato perdite economiche), di qualità (il prodotto non è sicuro) e reputazionale (l’immagine del marchio è gravemente compromessa). Un sistema di risk management ben strutturato avrebbe potuto prevenire o ridurre l’impatto di questi eventi avversi proteggendo l’azienda dalle conseguenze.

Vantaggi di un risk management efficace

I vantaggi di un buon risk management si estendono ben oltre il suo scopo originale:

• migliora il processo decisionale;
• permette di allocare in modo più efficiente le risorse;
• riduce i costi e le perdite finanziarie;
• aumenta il valore e la solidità dell’azienda;
• migliora la capacità di adattamento in caso di eventi avversi;
• aumenta la fiducia da parte di stakeholder e investitori;
• sviluppa una cultura del miglioramento continuo.

Per un’azienda, un progetto di risk management efficace non è da considerarsi un costo ma un investimento per il futuro.

Come strutturare un processo di risk management

Un solido processo di gestione del rischio è cruciale per mettere l’azienda al riparo da qualsiasi tipo di rischio, ma per essere davvero efficace dev’essere pianificato da persone preparate, con un approccio strutturato e continuativo. L’esecuzione si sviluppa in cinque fasi: identificazione, analisi, valutazione, mitigazione, e controllo e aggiornamento.

Fase 1: identificazione del rischio

In questa prima fase, leader dell’azienda, manager, stakeholder e la figura responsabile della gestione dei rischi dovrebbero incontrarsi per identificare gli obiettivi da raggiungere e i rischi che si potrebbero incontrare lungo il percorso. A partire da quelli di entità maggiore, il lavoro dovrebbe essere tanto accurato da riuscire a individuare anche i rischi specifici a singoli progetti.

Un’ottima strategia può essere quella di fissare il punto di inizio e l’obiettivo, per poi elencare tutte le attività intermedie necessarie a raggiungerlo. Per ogni punto, ci si domanderà: “Cosa potrebbe succedere?”. I rischi identificati dovrebbero essere registrati in un documento ufficiale con il nome del rischio, la persona responsabile, il piano di mitigazione e il livello di rischio calcolato.

Fase 2: analisi del rischio

Nella fase di analisi delle priorità, si osservano tutti i rischi rilevati e li si ordina in base al rispettivo livello di rischio, che può essere definito assegnando un punteggio che tenga conto della probabilità che esso si verifichi e della gravità delle conseguenze. Calcolarlo è molto semplice: per entrambi i fattori si crea un punteggio da 1 a 5 (o da 1 a 3), dove 1 rappresenta il livello più basso di probabilità e di gravità, e 5 il livello più alto. Moltiplicando il punteggio della probabilità per quello della gravità, si otterrà il livello di ogni rischio identificato nella prima fase.

Fase 3: valutazione del rischio

Una volta quantificato il livello di rischio con il calcolo di probabilità e conseguenze, l’azienda deve decidere se è accettabile o troppo azzardato. Il rischio generalmente si valuta secondo quattro criteri:

• accettazione: il rischio è accettabile e l’azienda decide di accettarlo;
• trasferimento: l’azienda sceglie di trasferire il rischio in toto o in parte a terzi, ad esempio a un gruppo assicurativo;
• evitamento: l’azienda sceglie di non correre il rischio e lo evita;
• mitigazione: l’azienda stabilisce un piano per ridurre o circoscrivere il rischio a un livello accettabile.

Si tratta di una valutazione personale dove tutte le parti in causa potranno esprimere il proprio giudizio e le motivazioni. Ovviamente, accettando il rischio, l’azienda si fa implicitamente carico di tutte le possibili conseguenze.

Fase 4: mitigazione del rischio

Partendo dai rischi con livello di priorità maggiore, il team sviluppa dei piani concreti per ridurre la probabilità o l’impatto dei rischi rilevati. Il piano d’azione deve essere dettagliato e indicare gli obiettivi, le risorse dedicate, i fondi stanziati, i tempi definiti e il modo in cui andrà attuato. Tutto dovrà essere accuratamente inserito nel registro dei rischi.

Fase 5: controllo e aggiornamento

L’ultimo punto è quello del controllo e dell’aggiornamento periodico del piano di risk management. Sia i rischi che le strategie di mitigazione devono essere monitorati in modo costante per verificare che tutto sia sempre sotto controllo. In base al settore e agli obiettivi dell’azienda, indicatori come i KPI (Key Performance Indicators) e i KRI (Key Risk Indicators) possono essere strumenti utili per lo scopo. Nonostante le attente valutazioni in fase di pianificazione, infatti, con il passare del tempo potrebbero presentarsi nuove criticità che in passato non erano state considerate. Pensiamo, ad esempio, al passaggio da lira a euro.

Per concludere, in un contesto globale caratterizzato da innumerevoli rischi, il risk management è uno strumento a dir poco fondamentale per il successo a lungo termine delle aziende. Quando viene strutturato in modo efficace, permette di identificare, valutare e gestire proattivamente i rischi minimizzandone l’impatto negativo, oltre a cogliere le opportunità che emergono in un ambiente in continua evoluzione.