Con il termine Risk management ci si riferisce all’insieme di processi attraverso cui un’azienda identifica, analizza, quantifica, mitiga e monitora i rischi legati alla propria attività.

Quali attività un’azienda può mettere in atto per mitigare i rischi che si trova a dover affrontare?

Partiamo dal presupposto che il rischio è dato dalla combinazione delle 3 componenti:

• probabilità
• gravità (impatto) delle conseguenze di un evento che causi o possa causare un danno (dove per danno si intende anche la perdita di un’opportunità)
• vulnerabilità

Individuazione e valutazione sono le prime due fasi cruciali per la successiva fase di gestione: è infatti necessario individuare correttamente i rischi e la causa che li ha scatenati.

Una volta individuati i rischi potenziali, si potrà misurare e valutare la propria vulnerabilità, riconoscere il proprio profilo di rischio e decidere come allocare in maniera efficiente le risorse per la gestione dei rischi. Una previsione più coerente della frequenza/impatto degli eventi dannosi garantisce una migliore gestione dei rischi e conseguentemente una minore esposizione, minori costi e maggior valore per l´azienda.

Vulnerabilità: intesa come debolezza che può consentire alle minacce di avere impatto sugli asset.

Occorre quindi determinare le vulnerabilità ossia le condizioni di debolezza.

Esempi di vulnerabilità:

• Accessi non autorizzati
• Eventi naturali
• Instabilità dell’alimentazione elettrica
• Attività terroristica
• Dipendenza da una sola persona
• Errori degli utenti o degli operatori
• Incendio
• Furto di risorse

Quantificare le vulnerabilità:

I livelli di vulnerabilità sono calcolati basandosi sulle contromisure attualmente esistenti. Il processo di risk analysis deve identificare le aree di vulnerabilità e i loro livelli.

Il fatto che vi possano essere singole interazioni tra minacce e vulnerabilità e interazioni multiple reciproche tra essi, crea il concetto di rischio aggregato che non è altro che la somma dei rischi parziali incidenti su ogni singola vulnerabilità. Quindi il processo di analisi dei rischi tende a determinare tutti i rischi, dai quali il processo di raggiungimento dell’obbiettivo è minacciato per poter passare alla fase successiva.

Le diverse strategie di mitigazione vanno quindi ad intervenire su questi tre principali elementi e possono essere raggruppate in quattro principali approcci:

• Evitare il rischio: in questo caso l’azienda decide di evitare il rischio non intraprendendo l’attività che lo potrebbe provocare. Chiaramente questo metodo presenta gravi limitazioni prima fra tutti quella di rinunciare ai vantaggi che l’attività potrebbe portare con sé.
• Ridurre il rischio: l’azienda, grazie alla conoscenza dei propri rischi, può definire una serie di attività che permettono di ridurre la probabilità o l’impatto del rischio. I rischi possono essere ridotti con l’attuazione di procedure operative standard, la definizione e la messa in atto di attività di istruzione e formazione del personale, l’attuazione di metodologie di sicurezza (quali duplicazione di documenti, selezione di opportune sedi, la manutenzione preventiva, ecc).
• Trasferimento del rischio: Per trasferimento del rischio, si intende non già il trasferimento fisico del rischio stesso, ma il ricorso a coperture assicurative che vanno a coprire le conseguenze economiche derivanti dal concretizzarsi del rischio in un evento dannoso. Va da sé che tale procedura diviene attuabile solo nel caso in cui i rischi coperti siano assai infrequenti e di impatto limitato, poiché in caso contrario il trasferimento diverrebbe economicamente insopportabile.

Questo tipo di approccio può rappresentare un’arma a doppio taglio: l’azienda interviene trasferendo il rischio pensando spesso di non doversene più occupare. Diventa invece fondamentale la combinazione con le altre modalità di trattamento del rischio, in particolare la riduzione, permettendo così di diminuire i costi di trasferimento oltre che gli eventuali perdite nel caso si verifichi l’evento dannoso.

• Ritenzione del rischio: con ritenzione del rischio, si intende quella situazione in cui l’azienda, rinuncia a qualsiasi intervento assumendosi l’onere delle eventuali conseguenze del verificarsi dell’evento dannoso. Rappresenta una scelta di politica aziendale, più o meno giustificabile secondo i casi, ed è generalmente limitata ai rischi con bassa probabilità e impatto.

La ritenzione del rischio diventa d’obbligo quando si ha a che fare con rischi che non sono trasferibili. Tali rischi sono quelli il cui trasferimento è precluso o per mancanza di offerta di copertura sul mercato o perché il costo che esso comporta è così alto che di fatto ne impedisce il ricorso.

Chiaramente non esiste un’unica strategia corretta, ma ciò che conta è che tutto venga fatto con consapevolezza, avendo ben chiari tutti i processi che giorno per giorno vengono messi in atto e rischi che comportano. Solo così si conosceranno costi e benefici di ogni scelta riducendo al minimo spiacevoli e indesiderate “sorprese”.