Analisi e ponderazione

La fase di analisi può essere svolta con numerose tecniche e strumenti qualitativi, semi-quantitativi o quantitativi. Data la difficoltà nel fare valutazioni in termini numerici accurati, per questo genere di rischi e a questo grado di approfondimento, ci concentreremo su valutazioni qualitative utilizzando parole o scale descrittive per spiegare gli effetti e le probabilità. Questo metodo è particolarmente indicato per chi si avvicina per la prima volta alla valutazione dei rischi. Con l’aumento di esperienza sarà possibile approfondire o adoperare altre tecniche.

Lo strumento qui utilizzato è la Matrice di Probabilità-Impatto, precedentemente accennata nel primo capitolo. Questa tecnica è piuttosto semplice da implementare e poco dispendiosa anche se può talvolta risultare approssimativa. La principali variabili sono, per l’appunto, la probabilità di manifestazione dell’evento (rischio o opportunità) e la magnitudine potenziale dell’impatto. Questa matrice ha generalmente dimensioni che vanno da 3x3 a 5x5. La dimensione più appropriata e le classi di valori devono essere scelti considerando il caso specifico dell’organizzazione oggetto dell’analisi: non esiste una regola prestabilita ma la scelta si rimanda all’esperienza, alle capacità e alla precisione dei dati in possesso di chi conduce l’analisi. Sia per la

74 probabilità che per l’impatto è necessario specificare una scala qualitativa rappresentativa di valori e definire degli intervalli, ad esempio con l’aiuto di un documento chiamato Tabella di Valutazione della probabilità e dell’impatto.

Tre esempi del modo in cui le probabilità potrebbero essere classificate sono visibili in Figura 18:

 Nel primo caso si divide la scala di valori in cinque intervalli e si considera un valore molto basso di probabilità (raro) se ha il meno del 10% di possibilità di verificarsi, un valore basso (improbabile) fino al 30%, medio al 50%, alto (probabile) al 70% e molto alto (frequente) oltre il 90%;  Il secondo caso è più cautelativo ed una probabilità che vada oltre al 50% è

già considerata troppo elevata; il primo intervallo avrà valori sotto all’1%, il secondo tra l’1% e il 5%, l’intervallo medio tra il 5% e il 20%, il quarto intervallo tra il 20% e il 50% ed il più alto comprende tutti i valori sopra al 50%;

 Il terzo caso è un esempio di organizzazioni che hanno a che fare con la sicurezza; se progettiamo aerei una probabilità dell’1% che un aereo presenti gravi avarie in volo è sicuramente troppo elevata. Dei valori più appropriati, considerando una scala composta da 4 intervalli, potrebbero essere minori di un caso su un miliardo per l’intervallo più basso e superiori ad uno su centomila per i valori più elevati di probabilità.

75

Figura 18 Tabella di valutazione delle probabilità

Per quanto riguarda la magnitudine dell’impatto l’impostazione è analoga (Fig. 19): nel primo caso abbiamo un generico esempio di valori percentuali per gli impatti con valori dal 5% per valori di impatto insignificanti a più dell’80% per impatti catastrofici; il secondo caso invece viene calato in un contesto più specifico con misurazioni dell’impatto su costi, ritardi o non conformità. I valori delle tabelle riportate sono sempre puramente d’esempio, ogni organizzazione dovrà scegliere e personalizzare la scala di valori più adatta al proprio contesto.

76

Figura 19 Tabella di Valutazione dell'Impatto

La fase successiva consiste nell’assegnare un risk rating, o livello di rischio, ovvero una valutazione di tutte le possibili combinazioni fra le probabilità e gli impatti; se i valori delle combinazioni sono i risultati del prodotto fra i corrispondenti valori di impatto e probabilità, prendendo in considerazione i dati dell’esempio 1 per entrambe le variabili avremo la serie di valori riportati nella Tabella di risk rating in Figura 20.

77

Figura 20 Tabella di Risk Rating

Nella fase di ponderazione del rischio ogni risk rating viene confrontato con dei

criteri di rischio fissati dall’Organizzazione in base al livello di rischio o

opportunità che intende accettare e alle risorse che intende impiegare per il loro trattamento. Nel caso in Figura 21 sono stati considerati tre intervalli per il livello di rischio, che viene classificato basso, moderato o elevato:

 Nel caso di rischio basso (nell’esempio proposto il risk rating è minore di 0,05) è probabile che le procedure richiedano operazioni di registrazione e monitoraggio;

 In caso di rischio moderato (risk rating fra 0,05 e 0,14 compresi) è plausibile aspettarsi che siano previste delle procedure di valutazione e di gestione di tale rischio o opportunità;

 Il rischio elevato (risk rating maggiore di 0,14) necessita di un’immediata presa di decisione riguardo a quale strategia di trattamento intraprendere.

Questa fase dipende fortemente dalle politiche e dalle strategie dell’organizzazione e dovrebbe quindi coinvolgere manager e responsabili di alto livello.

78

Figura 21 Matrice di Ponderazione del Rischio

Ogni rischio precedentemente individuato può essere associato ad una lettera o ad un numero ed inserito nell’opportuna casella della matrice permettendo di avere una chiara e veloce lettura della situazione dell’organizzazione.

Al fine di decidere una strategia di trattamento un approccio complementare che potrebbe fornire qualche informazione aggiuntiva è quello di considerare la probabilità di accadimento in riferimento all’orizzonte temporale della manifestazione, ottenendo la cosiddetta “esposizione”: tale approccio può fornire un aiuto nel dare una priorità ai rischi. Dalla Figura 22 possiamo vedere come, al diminuire dell’orizzonte temporale e all’aumentare della probabilità di accadimento l’esposizione aumenti. È logico dedurre che all’aumentare dell’esposizione aumenti conseguentemente la priorità che il rischio o l’opportunità dovrebbero avere (a parità di magnitudine).

79 Quello che segue in Figura 23 è un esempio di Documento di Valutazione dei

Rischi e delle Opportunità (DVRO) che colleziona in poche colonne i dati risultati per quanto riguarda la probabilità di accadimento, la magnitudine dell’impatto potenziale e la combinazione di questi due indici corrispondente al valore del rischio o dell’opportunità. Questo documento non è richiesto dalla norma, la quale non fornisce alcun tipo di indicazione riguardo a manuali o registrazioni ma, grazie alla sua semplicità e chiarezza, aiuterà nell’analisi e può risultare utile come esempio o punto di partenza per un’organizzazione che intenda applicare la nuova normativa.

80

Figura 23 Documento di Valutazione dei Rischi e delle Opportunità

APPLICAZIONE: caso A

2)

L’azienda utilizza come tabella di valutazione delle probabilità e degli impatti la seguente:

Classi di Probabilità % Classi di Impatto %

Molto Alta >90 Molto Alto >70

Alta 70 Alto 60

Media 50 Medio 50

Bassa 30 Basso 30

81 Successivamente si valutano la probabilità e l’impatto dei rischi e delle opportunità individuati e si redigono la seguente Matrice Probabilità-Impatto e il Documento

di Valutazione dei Rischi e delle Opportunità. La matrice ha dimensione 5x5 ed

è divisa in tre aree a cui appartengono tre differenti livelli di rischio (elevato, moderato e ridotto) con relative azioni da intraprendere.

Matrice Probabilità-

Impatto

Probabilità Molto

Bassa Bassa Media Alta

Molto Alta Impatto Molto Basso Basso _{H G} Medio _{A E B, D} Alto _{F, C} Molto Alto

Documento di Valutazione dei Rischi e delle Opportunità

Rischio/

Opportunità Probabilità Impatto

Livello di Rischio

Azioni

A Bassa Medio MODERATO Valutare

B Alta Medio MODERATO Valutare

82

D Alta Medio MODERATO Valutare

E Media Medio MODERATO Valutare

F Media Alto ELEVATO Intervenire

G Bassa Basso RIDOTTO Monitorare

H Molto Bassa Basso RIDOTTO Monitorare

APPLICAZIONE: caso B

2)

Le tabelle utilizzate dall’organizzazione, per la valutazione delle probabilità e degli impatti, si basano su una scala di quattro valori:

PROBABILITA’ % IMPATTO %

Molto probabile >=70% Elevato >=70%

Probabile 50%=< <70% Moderato 50%=< <70%

Possibile 30%=< <50% Contenuto 30%=< <50%

Improbabile <30% Poco _{significativo} <30%

Prendendo a riferimento il “Registro dei Rischi e delle Opportunità” si stimano la probabilità e l’impatto di ogni rischio ed opportunità e si riportano nel “Documento di Valutazione dei Rischi e delle Opportunità”. Essi vengono successivamente inseriti nella Matrice Probabilità-Impatto per associare loro un livello di rischio.

83

Documento di Valutazione dei Rischi e delle Opportunità

Rischio/

Opportunità Probabilità Impatto

Livello di Rischio

Azioni

A Possibile Moderato MEDIO Valutare B Improbabile Contenuto RIDOTTO Monitorare C Probabile Elevato ELEVATO Intervenire D Possibile Contenuto MEDIO Valutare E Possibile Moderato MEDIO Valutare F Possibile Elevata MEDIO Valutare

Matrice Probabilità- Impatto

Probabilità

Molto

probabile Probabile Possibile Improbabile

Impatto _Elevato C F

Moderato A, E

Contenuto D B

Poco

84