Il rischio
Autore: operàri s.r.l. Fonte: www.operari.it
Il rischio è un evento incerto con conseguenze avverse. L'incertezza dell'evento è determinata dalla probabilità di accadimento dell'evento stesso. Le conseguenze - che sono necessariamente negative - rappresentano la significatività o l'impatto derivante dalla manifestazione del rischio stesso.
Le metodologie di identificazione e di valutazione dei rischi richiedono la disponibilità di una classificazione sintetica dei domini di rischio.
Un dominio di rischio definisce l’ambito che caratterizza il rischio stesso. Il framework suggerito dal documento “Enterprise Risk Management – Integrated Framework” edito nel settembre 2004 dal Committee of Sponsoring Organizations of the Treadway Commission propone categorie di dominio di rischio strettamente connesse al raggiungimento degli obiettivi:
Le metodologie di identificazione e di valutazione dei rischi richiedono la disponibilità di una classificazione sintetica dei domini di rischio.
Un dominio di rischio definisce l’ambito che caratterizza il rischio stesso. Il framework suggerito dal documento “Enterprise Risk Management – Integrated Framework” edito nel settembre 2004 dal Committee of Sponsoring Organizations of the Treadway Commission propone categorie di dominio di rischio strettamente connesse al raggiungimento degli obiettivi:
- Rischi strategici relativi alla capacità di raggiungere gli obiettivi aziendali.
- Rischi operativi relativi all’efficace ed efficiente utilizzo delle risorse aziendali.
- Rischi amministrativi-contabili relativi all’affidabilità delle informazioni di carattere finanziario.
- Rischi di conformità relativi alla capacità di rispettare procedure interne, regolamenti e leggi.
Un rischio può essere ulteriormente classificato in maniera diversa a seconda del punto di vista oggetto di interesse.
Innanzi tutto, poiché l’azienda è un sistema organizzato, è possibile tracciare il fattore abilitante soggetto a rischio.
Il fattore abilitante è appunto il fattore o l’elemento che abilita lo svolgimento di una determinata funzione nel sistema azienda. Il rischio, manifestandosi, deteriora il fattore abilitante, e di conseguenza deteriora l’equilibrio del sistema azienda.
Un rischio può essere ulteriormente classificato – tra gli altri aspetti rilevanti – in base alla causa scatenante e all’effetto derivante.
Il fattore abilitante è soggetto a rischio, ma ciò non è sufficiente – in termini informativi – alla sua gestione, in quanto è necessario comprenderne sia i motivi scatenanti, al fine di poterli gestire (root-cause analysis), sia gli effetti derivanti, per valutarne priorità e necessità di intervento (cause-effect analysis).
Esistono molteplici tecniche di valutazione dei rischi. Tanto più il fenomeno da valutare ha serie storiche che possono essere utilizzate, tanto più si avrà preferenza per tecniche di valutazione di tipo quantitativo. Molte minacce in azienda, tuttavia, non si prestano a valutazioni di tipo quantitativo, perché per esempio non esiste una storia di accadimenti precedenti tali da permettere una valutazione puntuale. In tali casi la valutazione è necessariamente di tipo qualitativo.
Le valutazioni qualitative sono normalmente ricondotte a scale di valutazioni pragmatiche e flessibili, del tipo: Alto, Medio, Basso. Normalmente si evitano classificazioni a tre livelli, poiché le valutazioni tendono ad essere concentrate nella fascia intermedia; si propongono pertanto spesso scale di valutazioni a cinque livelli, dove il livello medio è corrispondente alla classe 3, quella intermedia.
Le metodologie di risk management tendono a distinguere, in termini valutativi, la dimensione dell’impatto dalla dimensione della probabilità di accadimento.
La ragione principale della distinzione tra le due dimensioni è da ricondurre ai diversi strumenti di gestione del rischio idonei nei diversi casi. Alcune contromisure a gestione del rischio si prestano molto bene a ridurre la probabilità di accadimento, come per esempio le misure di carattere preventivo, mentre altre, agendo a posteriori, intervengono sulla dimensione dell’impatto.
Si viene a creare così una matrice di rischio cinque per cinque. La matrice va a determinare una griglia di rischio che deve chiaramente indicare curve di indifferenza al rischio.
Una curva di indifferenza al rischio è un approccio razionale alla gestione del rischio, in quanto è sicuramente ragionevole pensare che una persona razionale sia appunto indifferente ad un rischio con un impatto significativo, ma altamente improbabile, rispetto ad un rischio con un impatto minore, ma con significativa probabilità di accadimento.
Innanzi tutto, poiché l’azienda è un sistema organizzato, è possibile tracciare il fattore abilitante soggetto a rischio.
Il fattore abilitante è appunto il fattore o l’elemento che abilita lo svolgimento di una determinata funzione nel sistema azienda. Il rischio, manifestandosi, deteriora il fattore abilitante, e di conseguenza deteriora l’equilibrio del sistema azienda.
Un rischio può essere ulteriormente classificato – tra gli altri aspetti rilevanti – in base alla causa scatenante e all’effetto derivante.
Il fattore abilitante è soggetto a rischio, ma ciò non è sufficiente – in termini informativi – alla sua gestione, in quanto è necessario comprenderne sia i motivi scatenanti, al fine di poterli gestire (root-cause analysis), sia gli effetti derivanti, per valutarne priorità e necessità di intervento (cause-effect analysis).
Esistono molteplici tecniche di valutazione dei rischi. Tanto più il fenomeno da valutare ha serie storiche che possono essere utilizzate, tanto più si avrà preferenza per tecniche di valutazione di tipo quantitativo. Molte minacce in azienda, tuttavia, non si prestano a valutazioni di tipo quantitativo, perché per esempio non esiste una storia di accadimenti precedenti tali da permettere una valutazione puntuale. In tali casi la valutazione è necessariamente di tipo qualitativo.
Le valutazioni qualitative sono normalmente ricondotte a scale di valutazioni pragmatiche e flessibili, del tipo: Alto, Medio, Basso. Normalmente si evitano classificazioni a tre livelli, poiché le valutazioni tendono ad essere concentrate nella fascia intermedia; si propongono pertanto spesso scale di valutazioni a cinque livelli, dove il livello medio è corrispondente alla classe 3, quella intermedia.
Le metodologie di risk management tendono a distinguere, in termini valutativi, la dimensione dell’impatto dalla dimensione della probabilità di accadimento.
La ragione principale della distinzione tra le due dimensioni è da ricondurre ai diversi strumenti di gestione del rischio idonei nei diversi casi. Alcune contromisure a gestione del rischio si prestano molto bene a ridurre la probabilità di accadimento, come per esempio le misure di carattere preventivo, mentre altre, agendo a posteriori, intervengono sulla dimensione dell’impatto.
Si viene a creare così una matrice di rischio cinque per cinque. La matrice va a determinare una griglia di rischio che deve chiaramente indicare curve di indifferenza al rischio.
Una curva di indifferenza al rischio è un approccio razionale alla gestione del rischio, in quanto è sicuramente ragionevole pensare che una persona razionale sia appunto indifferente ad un rischio con un impatto significativo, ma altamente improbabile, rispetto ad un rischio con un impatto minore, ma con significativa probabilità di accadimento.
Commenti
Posta un commento