Pensiero basato sul rischio. Risk-based thinking

Ioanis Tsiouras

• Editore: Youcanprint
• Anno: 2016
• eBook ISBN: 9788893321181
• Argomento: Business
• Categoria: Assicurazioni

Il Pensiero basato sul rischio (risk-based thinking) è il concetto introdotto dalle norme di nuova generazione sui di sistemi di gestione, come la ISO 9001, la ISO 14001, ISO/IEC 27001, ISO 22301 e tutte le altre norme che si basano su High Level Structure (HLS).
Il risk-based thinking è un concetto sistemico che dovrebbe essere interiorizzato da tutte le persone e dovrebbe essere trasformato in un approccio pratico e immediato, attivo permanentemente nella mente per identificare i fattori di rischio e di opportunità il prima possibile e gestirli in modo preventivo. Agendo in questo modo l'approccio diventa proattivo al fine di ridurre gli effetti indesiderati attraverso l'identificazione dei fattori che potrebbero fare deviare i processi e il sistema di gestione dai risultati pianificati, mettendo in atto misure e controlli per minimizzare preventivamente gli effetti negativi e massimizzare le opportunità, quando esse si presentano.
Per accrescere, dunque, l'efficacia del sistema di gestione e per prevenire gli effetti negativi conseguendo risultati migliori è necessario gestire i rischi e sfruttare le opportunità che si presentano. L'impostazione emergente delle norme sui sistemi di gestione, al requisito 4.1, richiede che l'organizzazione comprenda il proprio contesto e identifichi i fattori di rischio e di opportunità come base per la pianificazione del sistema di gestione stesso. Questo rappresenta il punto di partenza dell'approccio risk-based thinking per pianificare e attuare i processi del sistema di gestione (req. 4.4), per pianificare (req. 6.1) e per implementare le azioni (req. 8.1) da intraprendere allo scopo di affrontare i rischi e le opportunità e per misurare l'efficacia delle azioni intraprese (req. 9.1).
Il libro presenta il concetto del risk-based thinking, i benefici, il concetto del rischio e l'importanza del rischio nel processo decisionale. In seguito si sviluppa in dettaglio la metodologia strutturata per affrontare i rischi e le opportunità seguendo l'approccio PDCA che parte dall'analisi del contesto esterno e interno dell'organizzazione e prosegue con l'identificazione, l'analisi dei fattori rilevanti per le finalità e per gli indirizzi strategici e che influenzano i risultati attesi del sistema di gestione, l'implementazione delle azioni necessarie e il riesame dell'efficacia di ogni azione intrapresa. La metodologia sviluppata è supportata da due Casi di Studio pratici utili per apprendere e per applicare la metodologia stessa in tutti i contesti della vita delle organizzazioni, ma anche alle attività della vita privata. Nell'Appendice sono stati riportati gli strumenti e le tecniche, richiamati/e e usati/e nell'analisi dei due Casi di Studio e che possono essere usati in tutti casi qualora ci si trovi di affrontare rischi e opportunità.

1. INTRODUZIONE

Il risk-based thinking è radicato nella nostra mente fin dal momento in cui cominciamo a prendere coscienza della nostra esistenza ed è indispensabile per la nostra sopravvivenza. Questo pensiero è sempre attivato e agisce in modo automatico nella nostra vita quotidiana tutte le volte che siamo costretti a prendere una decisione, come quando decidiamo di attraversare la strada, oppure quando stiamo per fare un acquisto o quando siamo in montagna e, per arrivare alla nostra meta, dobbiamo attraversare un ruscello o il lato ripido della montagna. Una valutazione del rischio viene fatta dal nostro cervello, istintivamente e in modo automatico, quando ci mettono davanti a opportunità diverse e dobbiamo scegliere quale di queste è più conveniente.

Il risk-based thinking è essenziale durante l’orientamento professionale, quando si è costretti a decidere se frequentare una facoltà piuttosto che un’altra oppure quando si deve scegliere, davanti a diverse opportunità di lavoro, un posto con basso rischio di fallimento e il massimo della carriera professionale e di remunerazione.

La sopravvivenza spinge ogni essere vivente e soprattutto ogni uomo a effettuare istintivamente delle scelte, affrontando i fattori di rischio e di opportunità in modo efficace per soddisfare i propri obiettivi di vita.

Quando si tratta di compiere delle scelte e di decidere, dunque, nella vita privata come anche nella vita professionale, generalmente non si segue un approccio strutturato, ma si porta avanti un ragionamento quasi coerente, che qualche volta porta a decidere in modo non del tutto adeguato per la realizzazione dei risultati che ci si è prefissati di raggiungere.

Nella vita delle organizzazioni il risk-based thinking è essenziale per il conseguimento di un efficace sistema di gestione. Questo concetto è una delle caratteristiche fondamentali delle norme di nuova generazione dei sistemi di gestione (ISO 9001, ISO 14001, ISO 18001, ISO/IEC 27001, ISO 22301 e tutte le altre). Il concetto di risk-based thinking era presente anche nelle edizioni precedenti delle norme, ma non in modo esplicito; era, infatti, nascosto nel requisito di azione preventiva, che doveva essere commisurata ai rischi esistenti e doveva essere adottata per eliminare le cause delle non conformità potenziali, al fine di evitare che queste si verificassero. Il concetto del rischio era richiamato anche quando una stessa non-conformità si verificava ripetutamente nello spazio e nel tempo della vita dell’organizzazione e si rendeva necessaria l’adozione di azioni appropriate ai rischi reali, al fine di prevenirne il ripetersi.

2. IL PENSIERO BASATO SUL RISCHIO

I rischi e le opportunità possono trovarsi in tutti gli aspetti di un sistema di gestione e possono essere riscontrati ovunque: nei processi, nelle attività, nelle funzioni, nelle competenze, nel comportamento delle persone e in ogni situazione. Per avere un sistema di gestione efficace è necessario gestire i rischi e le opportunità in modo preventivo.

Il normatore, pertanto, dopo l’esperienza di un quarto di secolo sulle norme di sistemi di gestione le ha aggiornate (ISO 9001, ISO 14001, ISO/IEC 27001, ISO 22301 e tutte le altre) e la nuova generazione di queste contiene un concetto avanzato e indispensabile per garantire l’efficacia di un sistema di gestione.

Questo concetto è il risk-based thinking, che spinge l’organizzazione a stabilire un approccio sistematico e preventivo per affrontare i rischi e le opportunità e non trattarli come requisiti specifici.

Ilrisk-based thinking è un concetto sistemico che dovrebbe essere interiorizzato da tutti i livelli dell’organizzazione; dovrebbe essere trasformato in un approccio che permetta di identificare i fattori di rischio e di opportunità il prima possibile e gestirli in modo preventivo. I fattori di rischio portatori di minacce o di opportunità dovrebbero essere accertati, valutati e trattati in modo continuo durante la vita del sistema di gestione. In questo modo l’approccio diventa proattivo al fine di ridurre gli effetti indesiderati attraverso l’identificazione dei fattori che, come sottolineano le norme, potrebbero fare deviare i processi e il sistema di gestione dai risultati pianificati, mettendo in atto misure e controlli per minimizzare preventivamente gli effetti negativi e massimizzare le opportunità, quando esse si presentano.

Ogni organizzazione, nell’ambito del contesto interno ed esterno del proprio business, deve tenere in considerazione i possibili fattori di rischio e di opportunità, che devono essere affrontati. Per accrescere l’efficacia del sistema di gestione e per prevenire gli effetti negativi conseguendo risultati migliori è necessario gestire sia i rischi sia le opportunità.

Le norme emergenti sui sistemi di gestioni, come anche gli altri modelli organizzativi per l’eccellenza nel business, fanno una distinzione tra “rischi” e “opportunità”. Infatti, tutte le norme di sistemi di gestione, al paragrafo 6.1, specificano esplicitamente che l’organizzazione deve intraprendere azioni per affrontare i fattori di rischio e di opportunità.

Il termine opportunità non si riferisce solo alle opportunità di miglioramento, ma anche alle conseguenze positive del rischio. Un’opportunità è un insieme di circostanze che permettono di fare qualcosa. Le diverse azioni individuate per rimuovere una causa sono le varie opportunità da intraprendere. In altre parole il significato della parola opportunità in questo caso si riferisce agli scenari che si individuano per realizzare una o più azioni.

Naturalmente si adotta lo scenario che ottimizza il rapporto costi/benefici, tenendo conto del fatto che i rischi e le opportunità da affrontare saranno diversi. Il pensiero basato sul rischio permette di analizzare le minacce, le vulnerabilità e i punti forti di ogni scenario, di calcolare il relativo rischio e di decidere di conseguenza in modo consapevole.

Le opportunità possono emergere come esito di una situazione favorevole al raggiungimento di un obiettivo; per esempio, un insieme di circostanze che permettono all’organizzazione di sviluppare un nuovo business, di aumentare la quota di mercato, di attrare nuovi clienti, di sviluppare nuovi prodotti e servizi, di ridurre gli sprechi o di migliorare le prestazioni e la produttività. Le azioni pensate al fine di cogliere le opportunità possono anche comprendere una considerazione dei rischi associati.

Generalmente, il termine "rischio" è considerato in senso negativo, ovvero dove c’è un rischio ci sono conseguenze negative. Il rischio è l’effetto dell’incertezza sugli obiettivi e ogni incertezza può avere effetti positivi o negativi. Uno scostamento positivo derivante da un rischio può fornire un’opportunità, ma non tutti gli effetti positivi di un rischio si traducono in opportunità.

L’impostazione emergente delle norme sui sistemi di gestione, al requisito 4.1, richiede che l’organizzazione comprenda il proprio contesto e identifichi i fattori di rischio e di opportunità come base per la pianificazione del sistema di gestione stesso. Questo rappresenta il punto di partenza dell’approccio risk-based thinking per pianificare e attuare i processi del sistema di gestione (req. 4.4), per pianificare (req. 6.1) e per implementare (req. 8.1) le azioni da intraprendere allo scopo di affrontare i rischi e le opportunità e per misurare l’efficacia delle azioni intraprese (req. 9.1).

Non tutti i processi di un sistema di gestione presentano gli stessi livelli d’incertezza, e quindi di rischio, inteso come l’abilità dell’organizzazione a raggiungere gli obiettivi. Alcuni processi richiedono molta più attenzione, pianificazione e controllo rispetto ad altri. Le conseguenze sui processi, sul prodotto, sui servizi e sui sistemi non sono le stesse per tutte le organizzazioni. Per alcune organizzazioni le conseguenze di una non conformità possono provocare piccoli inconvenienti agli obiettivi e agli stakeholder; per altre le conseguenze possono essere di portata vasta e fatale. Il risk-based thinking, quindi, significa analizzare e valutare i rischi in funzione del contesto reale e affrontarli in modo adeguato, pianificando e tenendo sotto controllo le azioni al fine di evitare che questi si verifichino.

Sebbene il requisito 6.1 specifichi che l'organizzazione deve pianificare azioni per affrontare i rischi e le opportunità, non vi è alcun requisito che richieda metodi formali o un processo documentato. In questa maniera potrebbe venire a mancare la coerenza e la produzione di risultati validi a confrontabili tra loro. Per garantire appunto queste caratteristiche, al cap. 8 è stata riportata una metodologia strutturata e descritta dettagliatamente che potrebbe essere applicata in modo rigoroso, qualora la situazione permettesse di raccogliere dati reali come si presenta nel Caso di Studio 2. Qualora invece la situazione non fornisse l’opportunità di raccogliere dati, la metodologia potrebbe essere seguita con meno rigore, facendo delle valutazioni qualitative e non quantitative come nel Caso di Studio 1.

Le organizzazioni che decidono di sviluppare una metodologia di gestione del rischio più ampia e più strutturata di quanto è richiesto dalle norme dei sistema di gestione, possono seguire approcci di altre guide o norme come la ISO 31000 - Risk management – Principles and guidelines, la quale fornisce una linea guida sulla gestione formale del rischio applicabile in tutti i contesti organizzativi.

La ISO 31000 è una linea guida e propone un processo strutturato per il risk management, fornendo indicazioni di massima senza approfondire in dettaglio i concetti e le attività e senza fornire un supporto operativo per l’applicazione efficace della metodologia che propone. Il processo del risk management proposto dalla norma ISO 31000 è stato sviluppato ampiamente, con casi di studio pratici, nel libro con il titolo Risk Management – la norma ISO 3001. La metodologia per applicare efficacemente il risk management in tutti i contesti [14] al quale si rimanda per eventuali adeguati approfondimenti.

3. BENEFICI DAL PENSIERO BASATO SUL RISCHIO

È evidente che l’introduzione della gestione del rischio nella struttura del sistema di gestione e dei processi migliora la probabilità di soddisfare gli obiettivi stabiliti e la coerenza e consistenza dei risultati. Le organizzazioni di successo intuitivamente sono permeate del pensiero basato sul rischio.

I benefici che l’organizzazione può ottenere con il pensiero basato sul rischio, oltre a quanto è stato detto sopra, possono riguardare almeno i seguenti argomenti:

• miglioramento del governo dell’organizzazione;
• aumento della fiducia degli stakeholder;
• introduzione della cultura e della gestione proattiva per il miglioramento;
• aumento della solidità dell’organizzazione e la riduzione delle perdite;
• miglioramento del processo decisionale;
• identificazione dei rischi prima possibile e la loro gestione in modo sistematico;
• miglioramento del processo d’identificazione preventiva delle vulnerabilità (punti deboli) e delle minacce;
• garanzia di essere conformi alle leggi.

4. IL CONCETTO DEL RISCHIO

Come dimostrano le esperienze quotidiane di ciascuno di noi, il rischio è connaturato a tutte le attività umane. Nonostante la continua esposizione alla quale siamo soggetti una definizione al concetto di rischio, che sia accettata da tutti, è difficile da trovare. Il rischio assume svariate accezioni in base agli ambiti sociali e culturali in cui ognuno di noi opera e in base alle diverse prospettive attraverso le quali ognuno di noi osserva gli eventi e si espone agli eventi stessi.

In questo nostro contesto la definizione che prendiamo in considerazione è quella data dalla norma ISO Guide 73:2009, la quale definisce il Rischio come l’effetto dell’incertezza sugli obiettivi.

Per capire il significato di questa definizione analizziamo i tre termini: obiettivo, effetto e incertezza

Un obiettivo è qualcosa cui si aspira o a cui si mira; è il risultato pianificato da raggiungere.

L’uomo, per sua natura, consapevolmente o no, pone sempre degli obiettivi da soddisfare. La sua sopravvivenza lo spinge istintivamente a stabilire degli obiettivi. L’attraversamento della strada, per esempio, lo spinge a pensare e a stabilire degli obiettivi per la sua salute e per i suoi impegni. Arrivare al marciapiede opposto della strada trafficata, tutte le mattine quando va al lavoro e in modo sicuro, senza danni fisici e in modo veloce, è per lui un obiettivo. La decisione che deve prendere su come attraversare la strada e su quale percorso seguire, lo spinge, senza accorgersene, a compiere una valutazione dei rischi che deve affrontare.

Nell’ambito delle organizzazioni gli obiettivi discendono dalla politica aziendale e dagli indirizzi strategici. Gli obiettivi potrebbero essere del tipo strategico, tattico o operativo (progetto, prodotto, processo) e possono riguardare diverse discipline (economico/finanziarie, salute e sicurezza, tutela ambientale, sicurezza delle informazioni, etica, ecc).

Naturalmente, un obiettivo potrebbe essere espresso in modi diversi, ad esempio, come risultato voluto, desiderio, scopo, criterio operativo o mediante l’uso di altre parole con significato simile (ad esempio: goal o target).

Un effetto è una deviazione rispetto all’obiettivo da raggiungere. L’effetto è percepito dal risultato raggiunto, cioè le conseguenze positive o negative. L’effetto potrebbe essere positivo, quando si raggiunge l’obiettivo, o negativo, qualora il risultato raggiunto non soddisfa l’obiettivo stabilito.

Il terzo termine è incertezza.

L'incertezza è lo stato, anche parziale, di mancanza d’informazioni che ci permettono di conoscere un evento, le sue circostanze e le conseguenze.

L’incertezza è insita nelle attività umane ed è dovuta alla mancanza della “conoscenza assoluta” della situazione contingente alla quale ci si riferisce. La conoscenza assoluta è un limite invalicabile dell’uomo, che non riuscirà mai a possederla tutta. Anche se si approfondisce una situazione o un contesto, ci sarà semp...

Indice dei contenuti

• Cover
• Frontespizio
• Diritto d'autore
• Indice
• 1 Introduzione
• 2 Il pensiero basato sul rischio
• 3 Benefici dal pensiero basato sul rischio
• 4 Il concetto del rischio
• 5 Il rischio nel processo decisionale
• 6 Risk-based thinking e approccio per processi
• 7 Il pensiero basato sul rischio: un requisito dei sistemi di gestione
• 8 La metodologia per affrontare i rischi e le opportunità
• 9 Caso di Studio 1- Attraversamento del passaggio a livello
• 10 Caso di Studio 2- Il negozio INFOPICS
• 11 Bibliografia
• 12 Appendice A – Strumenti e tecniche di supporto