L'ENTERPRISE RISK MANAGEMENT: MODELLI E CASI … · L’aumento della globalizzazione dei mercati,...

FACOLTÁ DI SCIENZE POLITICHE

Corso di Laurea Magistrale in Finanza delle Aziende e dei Mercati

Tesi di Laurea

in Risk Management in Finance

L'ENTERPRISE RISK MANAGEMENT:

MODELLI E CASI PRATICI NELLE PMI.

LAUREANDA RELATORE

Sarah DE BERARDINIS Ch.mo Prof. Paolo DI ANTONIO

MATR. 70540

Anno Accademico 2014 – 2015

INDICE Introduzione ..............................................................................................1

Capitolo 1 - Classificazione e valutazione dei rischi di impresa ............. 4

1.1 L’impresa e il rischio ......................................................................................................... 4

1.2 Le nozioni di rischio e gli approcci al rischio. .............................................................. 6

1.3 Le possibili classificazioni dei rischi. ............................................................................ 14

1.3.1 Rischi economici e rischi non economici ............................................................ 14

1.3.2 Rischi interni (esogeni) e rischi esterni (endogeni) ............................................ 15

1.3.3 Rischi puri e rischi speculativi ............................................................................... 15

1.3.4 Rischi sistemici (non diversificabili) e rischi specifici (diversificabili) ............. 17

1.3.5 Rischi imprenditoriali e rischi associati ................................................................ 18

1.4 I principali rischi considerati nel processo di ERM ................................................... 18

1.4.1 Rischi finanziari ....................................................................................................... 19

1.4.2 Rischi strategici ....................................................................................................... 22

1.4.3 Rischi operativi ........................................................................................................ 23

1.4.4 Rischi emergenti ...................................................................................................... 25

1.5 La quantificazione dei rischi aziendali .......................................................................... 31

1.5.1 La variabile aleatoria aziendale .............................................................................. 32

1.5.2 Il valore atteso ......................................................................................................... 33

1.5.3 Gli indicatori di rischio .......................................................................................... 33

1.5.4 L’asimmetria ............................................................................................................ 36

Capitolo 2 – La gestione dei Rischi d’impresa: dai processi di Risk

Management all’Enterprise Risk Management ..................................... 37

2.1 Le strategie di gestione dei rischi aziendali .................................................................. 37

2.1.1 Le strategie interne di gestione ............................................................................. 38

2.1.2 Le strategie esterne di gestione ............................................................................. 39

2.2 Definizione ed evoluzione del sistema di Risk Management ................................... 42

2.2.1 Gli obiettivi e il processo di Risk Management .................................................. 45

2.2.2 I diversi approcci al Risk Management ................................................................ 51

2.3 Il passaggio dal Risk Management alla gestione integrata dei rischi ........................ 55

2.4 Definizione del processo di Enterprise Risk Management ....................................... 61

2.4.1 La cultura del rischio .............................................................................................. 63

2.4.2 L’organizzazione ..................................................................................................... 65

2.4.3 Il Processo ............................................................................................................... 65

2.5 Le linee guida e gli standard internazionali ................................................................. 66

2.5.1 COSO ERM FRAMEWORK .............................................................................. 67

2.5.2 ISO 31000 ................................................................................................................ 77

2.6 Il processo e i principali strumenti operativi dell’ERM ............................................. 81

2.6.1 Identificazione degli obiettivi e del Risk Appetite ............................................. 82

2.6.2 Risk Assessment: identificazione e valutazione dei rischi. ................................ 83

2.6.2 Integrazione dei rischi ............................................................................................ 95

2.6.3 Reporting dei rischi ................................................................................................ 96

2.6.4 Trattamento dei rischi ............................................................................................ 96

2.6.5 Assessment e Reporting dei rischi residui ........................................................... 98

2.6.6 Monitoraggio dei rischi .......................................................................................... 99

2.7 La struttura organizzativa dell’ERM .......................................................................... 100

2.7.1 Il Consiglio di Amministrazione ............................................................................... 100

2.7.2 I singoli centri di responsabilità .......................................................................... 102

2.7.3 La funzione risk management ............................................................................. 102

2.7.4 L’Internal Audit .................................................................................................... 103

2.8 Benefici e limiti dell’ERM ............................................................................................ 104

Capitolo 3 – L’ enterprise risk management nelle PMI italiane........... 110

3.1 Il punto di vista delle PMI ........................................................................................... 110

3.2 L’Osservatorio sul Risk Management nelle PMI Italiane ........................................ 112

3.2.1 Il Campione ........................................................................................................... 113

3.2.2 La percezione del rischio nelle PMI ................................................................... 115

3.2.3 Il Profilo di rischio attuale ................................................................................... 116

3.2.4 Modello integrato di RM ..................................................................................... 118

3.2.5 Ruoli e Responsabilità .......................................................................................... 119

3.2.6 I principali rischi considerati dalle PMI ............................................................. 120

3.2.7 Utilizzo di software a sostegno del RM ............................................................. 122

3.2.8 Procedure formali di RM ..................................................................................... 122

3.2.9 Gli aggiornamenti dell’edizione 2015 ................................................................ 129

3.3 Un ERM semplificato per le PMI .............................................................................. 131

Capitolo 4 - Progettazione ed implementazione di un sistema di ERM in

una PMI ................................................................................................. 136

4.1 Descrizione del progetto .............................................................................................. 136

4.2 La costruzione di un sistema ERM ............................................................................ 137

4.3 Un esempio di valutazione e trattamento di un rischio ........................................... 140

4.3.1 Analisi qualitativa .................................................................................................. 140

4.3.2 Analisi quantitativa ............................................................................................... 141

4.3.3 Il trattamento del rischio ..................................................................................... 143

4.3.4 Il monitoraggio del rischio .................................................................................. 145

Conclusioni ............................................................................................ 146

Allegato n. 1 ............................................................................................ 149

Allegato n. 2 ........................................................................................... 169

Bibliografia e Sitografia ......................................................................... 179

1

INTRODUZIONE

Il lavoro di ricerca nasce con l'obiettivo di evidenziare la rilevanza dell'Enterprise Risk

Management all'interno delle PMI cercando di prospettare una possibile soluzione alle

difficoltà riscontrate da queste ultime nell'implementazione di sistemi di gestione del rischio

così complessi. L'Enterprise Risk Management rappresenta il superamento del risk

management tradizionale, che si realizza mediante l'adozione di un approccio integrato nella

gestione dei rischi aziendali. In particolare il processo di ERM prevede una serie di fasi

correlate tra loro che permettono di realizzare uno sguardo d’insieme al complesso dei rischi

aziendali, di comprendere le eventuali correlazioni e le migliori strategie per fronteggiarli.

Nell'ultimo decennio il risk management ha assunto una crescente rilevanza sia nelle imprese

finanziarie che in quelle non finanziarie a causa dell'aumento dell'incertezza connessa ad una

serie di fattori interni ed esterni ad esse. Negli Stati Uniti, già a partire dal 1992 COSO,

Committee of Sponsoring Organizations, pubblica le prime linee guida in tema di controllo

interno che nel 2004 confluiscono nello standard internazionale per l'Enterprise Risk

Management. In Europa il primo documento di riferimento è quello di FERMA, Federation

of European Risk Management Association del 2003. Infine nel 2009 si aggiunge ai

precedenti un altro framework di origine neozelandese, diretto concorrente del modello

COSO, proposto dalla ISO 31000.

In ambito accademico i primi studi relativi ai rischi aziendali, risalgono agli inizi del

Novecento con i contributi di Knight, della scuola tedesca di Leitner e della scuola italiana

di Corsani. In questa prima fase il rischio era concepito solo con accezione negativa

(downside risk) connessa al manifestarsi di danni o perdite. Solo a partire dagli anni Duemila,

si rileva l'adesione ad un concetto più "positivo" di rischio (upside risk), portatore anche di

possibili opportunità di creazione di valore, come proposto dall'autore italiano Beretta.

Tuttavia il concetto di rischio condiviso in questo lavoro di ricerca è quello esposto da Segal,

che nel 2011 lo descrive così: "il rischio è incertezza, include la volatilità in rialzo ed è una

deviazione dalle aspettative". Si segnalano inoltre gli importanti contributi di Floreani e di

Giorgino, come punti di riferimento italiani nello sviluppo dei più recenti contributi

scientifici in tema di ERM.

Nel primo capitolo si è cercato di giungere ad una definizione condivisa di rischio realizzando

un excursus tra le più importanti definizioni rilevate in letteratura. Ci si è soffermati sulle

2

possibili classificazioni dei rischi aziendali, dando enfasi alle categorie di rischio considerate

nel processo di ERM: rischi finanziari, strategici, operativi ed emergenti. Su quest'ultima

categoria si è realizzato un focus in riferimento alle più recenti ricerche svolte dalle principali

compagnie assicurative. Infine vengono introdotti i più semplici strumenti statistici per la

quantificazione dei rischi.

Nel secondo capitolo, partendo dalle strategie provenienti dal mondo assicurativo e degli

strumenti derivati, il lavoro si è strutturato in modo tale da comprendere l'evoluzione del risk

management tradizionale verso l'ERM. In particolare dopo aver definito il RM nel dettaglio

dei suoi processi e dei possibili approcci, ci si è concentrati sul passaggio dalla gestione dei

rischi a silos a quella integrata/olistica teorizzata dal metodo ERM. Successivamente il focus

si è spostato sulla descrizione dell'ERM: dalla enunciazione delle possibili definizioni e del

processo, alla presentazione degli standard COSO ed ISO, fino alla presentazione dei soggetti

chiave e dei possibili benefici e limiti riscontrabili nella sua adozione. In questo capitolo sono

presentati i principali concetti sul tema dell'ERM quali l'importanza della cultura del rischio,

le fasi del processo e l'introduzione alla figura del CRO Chief Risk Officer. Infine

evidenziando i benefici e i limiti nell'adozione di un sistema di gestione integrata dei rischi,

sono state poste le premesse per spostare l'attenzione sulle PMI e su come poter promuovere

un ERM semplificato per le loro esigenze.

Nel terzo capitolo si affronta il tema dell'ERM nelle PMI. Le principali difficoltà che queste

ultime riscontrano, riguardano la scarsità di risorse economiche ed umane da destinare alla

gestione dei rischi. La loro situazione viene sintetizzata dai dati dell'Osservatorio sul Risk

Management nelle PMI italiane realizzato dal Politecnico di Milano. L'Osservatorio ha

intervistato 700 PMI sul territorio nazionale al fine di rilevare lo stato dell'arte in tema di RM

analizzando le questioni chiave ad esso connesse come la diffusione della cultura del rischio,

gli strumenti maggiormente adottati nei vari step del processo, l'approccio verso il rischio

ecc. I risultati dell'Osservatorio evidenziano i punti di forza e di debolezza sul tema, che

giustificano la necessità di costruire un modello ERM semplificato.

Nel quarto capitolo, infine, si entra nel merito di un progetto di creazione ed

implementazione di un sistema di ERM all’interno di una PMI. La società oggetto del caso è

la LT FORM 2 srl di Montorio al Vomano, che con l’occasione si ringrazia per la disponibilità

a fornire i propri dati aziendali. Il progetto permette di evidenziare le principali tappe del

processo di ERM. In particolare viene presentato un esempio di valutazione di un rischio tra

3

quelli identificati e il procedimento di scelta tra le strategie di trattamento più opportune. A

partire dall’analisi SWOT costruita in sede di analisi interna ed analisi esterna, e mediante

l’ausilio di un apposito software per l’analisi dei rischi, è stato possibile rendere operativo

quanto presentato nei precedenti capitoli della dissertazione.

4

CAPITOLO 1 - CLASSIFICAZIONE E VALUTAZIONE DEI

RISCHI DI IMPRESA

1.1 L’impresa e il rischio

L’attività esercitata professionalmente dall’imprenditore per la produzione e lo scambio di

beni e servizi non può sostenersi escludendo la nozione di rischio. Qualsiasi sia la tipologia

di azienda, è indispensabile comprendere che l’aspettativa di reddito, sia un utile o una

perdita, comporta comunque l’assunzione di un rischio per l’imprenditore1. Il rischio infatti,

è connaturato all’attività economica dell’impresa, in quanto originato dalla sua stessa

vocazione creativa, dalla concezione strutturale sistemica, dalla aleatorietà degli eventi

circostanti, nell’ambiente e nel mercato, rispetto ai quali interagisce2.

Il rischio di impresa risulta strettamente legato al divenire dei fenomeni che ricadono nella

sfera dell’azienda e ai mutevoli rapporti che si instaurano tra l’azienda e l’ambiente in cui essa

si trova ad operare3. Possiamo definirlo come la possibilità che si verifichino e che si

abbattano sull’azienda, eventi che pregiudicano lo svolgimento in maniera economica

dell’attività di produzione per il mercato4. La genesi del rischio di impresa può collegarsi alla

divergenza tra i tratti distintivi dell’ambiente esterno e quelli delle strutture organizzative ed

operative delle aziende: mentre l’ambiente è in continua evoluzione, le strutture presentano

una tendenziale rigidità e resistenza al cambiamento tanto da non risultare adatte allo

svolgimento efficiente ed efficace dell’attività produttiva.

Durante la sua esistenza l’impresa si trova ad interagire in continuazione con il mercato e con

l’ambiente nel quale è inserita ed opera: si trova a misurarsi in un contesto economico

altamente mutevole. Negli ultimi decenni in particolare, l’impresa ha assistito da un lato

all’aumento del numero e della portata dei rischi con i quali confrontarsi e, dall’altro,

all’aumento della sua sensibilità verso il rischio. I fattori che hanno contribuito ad accrescere

l’incertezza e quindi i rischi che l’impresa è chiamata a gestire e fronteggiare, sono5:

1 Cfr. (Marinoni, 2012) 2 Cfr. (Bruni, 2003) 3 Cfr. (Centro Studi Finanza, s.d.) 4 Cfr. (Giunta, 1996) 5 Cfr. (Selleri, 2006)

5

L’aumento della globalizzazione dei mercati, che ha portato all’aumento del numero,

della dimensione e della complessità dei rischi che l’impresa nel tempo è stata

chiamata a fronteggiare;

L’aumento della pressione sulla performance, originato dall’aumento dell’efficienza

dei mercati finanziari regolamentati;

L’aumento della pressione sulle imprese, ed in particolare di quelle che per finanziarsi

ricorrono ai mercati finanziari regolamentati;

L’aumento della regolamentazione sulla Corporate Governance, che impone alle

imprese di improntare la loro amministrazione e la loro gestione ai principi di

trasparenza, d’integrità e di accountability;

Lo sviluppo delle tecnologie produttive che, da un lato, ha permesso alle imprese di

realizzare sistemi di produzione integrati altamente flessibili ma, dall’altro lato, ha

reso detti sistemi altamente vulnerabili;

Lo sviluppo delle tecnologie informatiche e telematiche, che ha contribuito a

modificare in profondità la struttura dei processi di impresa, riguardanti sia le attività

di base, sia le attività produttive, sia le attività di marketing;

L’aumento dei rischi finanziari ai quali è esposta l’impresa;

L’aumento dei rischi di responsabilità dell’impresa, come conseguenza dell’aumento

del controllo dei differenti stakeholders e, più in generale, del controllo della società

sull’impresa.

Tali fattori, di natura interna ed esterna all’impresa, concorrono alla formazione del

cosiddetto sistema dei rischi d’impresa, il quale include tutte le possibili cause della

vulnerabilità a cui è soggetta l’attività aziendale. Il sistema dei rischi nel complesso, include

sia i rischi generali che quelli specifici. Il concetto di rischio generale ci rimanda alla

definizione aziendalistica di rischio: il rischio si identifica nell’alea che l’azienda è costretta a

sopportare in seguito al possibile manifestarsi degli eventi che ricadono nella sua orbita; è

l’insieme dei possibili effetti positivi e negativi di un evento rischioso sulla situazione

economica, finanziaria e patrimoniale dell’impresa6. I rischi specifici invece, sono quelli

connessi a determinati aspetti dell’attività di impresa e di cui ci si occuperà successivamente.

6 Cfr. (AIRMIC, Association of insurance and risk management professionals, 2002)

6

Nel tentativo di ottenere la massima compatibilità tra ambiente interno ed esterno, le strategie

adottate dalle imprese dovrebbero essere orientate a ridefinire continuamente l’immagine

dell’azienda e gli assetti di competitività sui mercati e/o i rapporti di collaborazione

nell’ambiente (mercati) in cui si muovono. Il miglioramento del rapporto azienda-ambiente,

si ottiene solo con una efficace politica di gestione dell’intero sistema dei rischi di impresa.

Le problematiche relative alla gestione degli eventi avversi all’interno delle aziende sono

demandate ad una funzione creata ad hoc, cioè il Risk Management, una innovazione

manageriale, il cui obiettivo consiste nel garantire la protezione del sistema azienda dagli

eventi sfavorevoli e dei loro effetti7.

Nell’attuale contesto di mercato, caratterizzato da un clima di incertezza diffuso e da una

costante volatilità, le aziende sono chiamate a rivedere le proprie politiche di Risk

Management, considerando l’evoluzione del concetto di gestione del rischio. Infatti occorre

costruire un approccio integrato che coinvolga tutti gli aspetti fondamentali della vita di

un’impresa. Il risk management, utilizzato per formulare strategie ponderate per il rischio

assunto, deve evolversi verso un approccio integrato con tutti i processi aziendali e che

consideri il rischio non solo come minaccia, ma anche come fonte di opportunità e vantaggio

competitivo. L’approccio integrato richiesto al risk management, è quello dei sistemi di

Enterprise Risk Management, un framework che coinvolge in maniera interattiva e capillare

le diverse funzioni aziendali secondo dei processi gestiti d’insieme8.

1.2 Le nozioni di rischio e gli approcci al rischio.

Riprendendo l’accezione aziendalistica di rischio adottata in precedenza, il rischio aziendale

d’impresa è definito come l’insieme dei possibili effetti positivi (opportunità) e negativi

(minacce) di un evento rischioso sulla situazione economica, finanziaria e patrimoniale

dell’impresa. Tale definizione merita di essere approfondita su alcuni fronti9:

Il risk management riguarda solo gli aspetti economico-aziendali del rischio: trattare

di rischi aziendali significa riferirsi esclusivamente agli eventi aleatori sui valori

economici, finanziari e patrimoniali dell’impresa; la natura monetaria delle variabili

aleatorie aziendali, permette di semplificare il processo di risk management in quanto

7 Cfr. (Rija, 2006) 8 Cfr. (Risk Governance, 2014) 9 I seguenti spunti sono tratti da (Floreani, Introduzione al Risk Management, 2005)

7

si introducono criteri decisionali collaudati e scientificamente fondati che permettono

di affrontare le decisioni di risk management con razionalità;

Il risk management riguarda tutti gli eventi rischiosi: non vi è alcuna limitazione alla

tipologia di eventi che possono determinare effetti economici, finanziari e

patrimoniali sull’azienda; i rischi non sono additivi, non possono essere valutati

disgiuntamente, per questo solo un approccio integrato e globale dei rischi può

contribuire a creare valore aziendale;

Il risk management non riguarda solo le manifestazioni negative e ha come

riferimento la situazione attesa (aspettative): nel linguaggio corrente, il termine rischio

viene associato a manifestazioni negative. In realtà, se valutati rispetto ad una

situazione media o attesa, tutti gli eventi rischiosi hanno delle possibili manifestazioni

negative (downside risk) a cui corrispondono dei risultati peggiori rispetto alle

aspettative, e delle manifestazioni positive (upside risk), a cui corrispondono dei

risultati migliori rispetto alle attese. Nelle decisioni di risk management i rischi, cioè

il possibile divario tra la manifestazione di un fenomeno e la situazione attesa, sono

estremamente importanti. Tuttavia il rischio è sempre secondario rispetto al valore

atteso: per prendere una decisione aziendale con razionalità è necessario valutare gli

effetti economici della decisione sotto almeno due profili cioè il risultato atteso e il

rischio.

La definizione adottata finora, risulta comunque non esaustiva e non sufficiente a catturare

altri aspetti del rischio aziendale. Infatti sebbene esistano numerosi studi che riguardano la

tematica del rischio, gli autori non sono ancora giunti ad una definizione univoca del termine.

Di seguito infatti si presenterà un breve excursus che racchiude le principali nozioni ed

accezioni di rischio, per poi giungere ad una classificazione dal generale al particolare.

La rilevanza del rischio nell’attività imprenditoriale è stata fortemente sottolineata ed ha

assunto valore cruciale a partire dagli anni ’90. Molti interventi normativi hanno, infatti,

comportato l’obbligo per le imprese di dotarsi di procedure di contenimento del rischio e di

controllo interno, portando all’attenzione di tutte le imprese la necessità di destinare adeguate

risorse alla gestione dell’incertezza. Tuttavia sono degni di nota numerosi contributi di autori

che, molto prima degli anni ’90, hanno incentrato i propri studi sulla nozione di rischio. Di

seguito ne riportiamo alcuni:

8

L’economista americano F.H. Knight10 è stato uno dei principali promotori della

distinzione tra rischio e incertezza. L’incertezza può manifestarsi sia sotto forma

misurabile che non misurabile. Nella sua accezione misurabile, l’incertezza coincide

con il rischio. Il rischio si palesa quando si verificano eventi considerati ripetibili e

quindi suscettibili di stime statistiche. La visione di Knight rientra nella cosiddetta

corrente oggettivistica, che attribuisce al rischio i connotati dell’oggettività e della

misurabilità;

In contrapposizione all’interpretazione di Knight, si colloca la corrente

soggettivistica, secondo cui la distinzione tra rischio e incertezza, è da ricercarsi nella

natura degli eventi. De Finetti e Savage11, esponenti di questa corrente, sottolineano

che la differenza tra rischio e incertezza è da ricercarsi nella conoscenza degli eventi

da parte dei diversi soggetti in base alle informazioni di cui essi dispongono, in quanto

la determinazione di ogni scenario futuro rappresenta una problematica comune ad

entrambe le situazioni;

Per la scuola tedesca, Friedrich Leitner attribuiva al rischio una sola accezione

negativa, definendolo una minaccia per l’impresa in quanto rappresenta “il pericolo

del mancato successo di un fatto economico”;

Per la scuola italiana, Corsani12 si discosta dalla visione di Leitner definendo il rischio

come il differenziale tra i risultati previsti e stimati dall’operatore e quelli

effettivamente osservati. Dunque in tale ottica, il rischio può esplicitarsi sia in

un’ottica favorevole che sfavorevole, in quanto la variazione tra risultati previsti e

risultati effettivi, può essere sia positiva che negativa;

Il noto studioso italiano Gobbi13, definiva il rischio come il campo estesissimo fra i

due estremi della certezza dell’impossibilità e la certezza del verificarsi, in cui si ha, in

varie gradazioni, l’incertezza che un dato evento si verifichi o meno;

La visione offerta da Ferrero14, invece, rappresenta l'incertezza come una

componente inevitabile con la quale ogni individuo ed ogni impresa, sono

costantemente costretti ad interfacciarsi. Secondo l'Autore, il rischio, avendo la sua

origine nell'incertezza, è considerato una condizione esistenziale ed imprescindibile

10 Cfr. (Knight, 1921) 11 Cfr. (Furlanetto, 2014) 12 Cfr. (Corsani, 1936) 13 Cfr. (Gobbi, Trattato di economia, 1974) 14 Cfr. (Ferrero, 1968)

9

tipica di tutte le aziende, indipendentemente dalla loro origine e dalle singole

caratteristiche di ognuna e può manifestarsi, come l'incertezza, sotto forma oggettiva

o soggettiva;

Il contributo più recente di matrice italiana, risulta quello di Beretta15, il quale

definisce il rischio come "la distribuzione dei possibili scostamenti dai risultati attesi

per effetto di eventi di incerta manifestazione, interni o esterni al sistema aziendale.

Tale distribuzione può essere più o meno ampia in funzione della sensibilità delle

variabili chiave del business model all'influsso dei fattori di rischio. L'influsso dei

fattori di rischio può avere connotazione sia positiva, sia negativa, configurandosi il

rischio come generatore sia di possibili perdite, sia di opportunità di creazione di

valore";

Infine, la definizione di natura più tecnica, è quella offerta da Segal16, il quale sostiene

che il rischio è caratterizzato da tre aspetti fondamentali:

1. Il rischio è incertezza: un buon modo per considerare il rischio è che si

presenta ogni qualvolta vi sia meno del 100% di probabilità che un evento si

verifichi esattamente come previsto. In quest’ottica, qualsiasi circostanza può

comportare incertezza e quindi esporre all’incorrere di un rischio.

2. Il rischio include anche la "volatilità in rialzo": si consideri il rischio

come la possibilità che i risultati possano non essere esattamente uguali a

quanto previsto, ma piuttosto o inferiori o superiore alle previsioni. La

"volatilità in rialzo" riguarda tutte le possibilità che si verifichino eventi più

positivi delle aspettative (upside risk), mentre la volatilità a ribasso, riguarda

tutte le possibilità che si verifichino eventi più negativi del previsto (downside

risk). Includere la volatilità in rialzo, permette di soffermarsi su tre

caratteristiche del rischio, fondamentali nell’approccio ERM:

a) Equilibrare/controbilanciare gli effetti tra i vari settori di business: un

evento che può essere negativo per un settore di business, potrebbe

essere positivo per un altro. Talvolta ciò che appare come un

downside risk, può tramutarsi per l’entità, in un upside risk;

b) Equilibrare/controbilanciare rispetto agli altri eventi: eventi rischiosi

possono manifestarsi simultaneamente, alcuni divenendo degli

15 Cfr. (Beretta, 2004) 16 Cfr. (Segal, 2011)

10

upside risk, e altri dei downside risk. In questi casi il management

necessita di quantificare l’impatto complessivo della combinazione di

tutti gli eventi rischiosi;

c) Il costo della volatilità: un eccesso di volatilità, anche quando gli

aspetti positivi sono di maggior impatto rispetto ai negativi, possono

ridurre il valore d’impresa tramite l’incremento del costo del capitale.

Quindi non sempre la volatilità a rialzo rappresenta una buona

notizia, perché è accompagnata comunque da una quota di volatilità

a ribasso addizionale.

3. Il rischio è una deviazione dalle aspettative: il concetto di perdita

connessa ad un evento rischioso, risulta incompleto, alla luce di quanto detto

finora, in quanto esclude il concetto di volatilità a rialzo e quindi un possibile

guadagno. Talvolta la paura di registrare una perdita fa sì che venga

sovrastimata la gravità e la grandezza del rischio. Ciò avviene perché quando

si considera un evento negativo, si quantifica la perdita come la fuoriuscita

complessiva di denaro. Purtroppo ciò si traduce in una doppia

contabilizzazione delle perdite attese, le quali dovrebbero essere escluse. Il

piano di proiezione strategico è di solito sviluppato con un focus particolare

sui driver di valore e ciò influisce su quali elementi sono inclusi e sulla loro

contabilizzazione. Nei processi ERM, lo sviluppo degli scenari di rischio

invece, considera i driver di rischio, includendo sia gli aspetti del settore, sia

quelli di redditività-rischio.

Di fronte agli innumerevoli significati che di volta in volta vengono attribuiti al termine

“rischio”, si possono individuare almeno tre principali approcci17 nei quali possono esser

fatte confluire buona parte delle definizioni introdotte in letteratura.

1. Approccio tradizionale-assicurativo: secondo tale approccio, il rischio è inteso

come l’insieme delle possibili minacce. La visione solo negativa del rischio, trae

origine dal fatto che, fino a pochi decenni fa, veniva prestata attenzione

esclusivamente ai rischi puri, i quali si caratterizzano per l’esistenza di due soli scenari.

Nel primo scenario, altamente probabile, non si verificano effetti economici

sull’azienda, nel secondo scenario, a bassa probabilità, si verifica un evento che

17 (Floreani, Introduzione al Risk Management, 2005) op.cit. pag. 5-7

11

determina un danno molto elevato. Tale approccio è perfettamente adeguato e risulta

più semplice, per la gestione dei rischi puri e in generale di quei rischi caratterizzati

da uno scenario migliore possibile in cui non si verifica alcun evento avverso.

L’applicazione del concetto di rischio come minaccia si presenta ricca di insidie in

presenza di rischi i quali presentano anche opportunità, oltre che minacce. Se si

tengono in considerazione tutti gli scenari possibili, positivi e negativi, e si misura il

rischio considerando sia le evenienze positive che negative, si può giungere a risultati

corretti, altrimenti, tenendo conto dei soli aspetti negativi, si rischia di giungere a

conclusioni errate. Altra grave conseguenza dell’approccio tradizionale, è quella di

trascurare o sottostimare gli effetti degli eventi estremi, con scenari a bassa

probabilità ma con danni molto ingenti.

2. Approccio statistico-finanziario: secondo tale approccio, il rischio è inteso come

aleatorietà stocastica, cioè come il possibile scostamento di una variabile aleatoria

rispetto alle aspettative. Tale approccio nasce dallo sviluppo delle scienze statistiche

e può essere adattato a tutte le tipologie di rischio, in quanto minimizza la possibilità

di incorrere in errori metodologici.

3. Approccio manageriale: secondo tale approccio, il rischio è visto come possibile

scostamento rispetto agli obiettivi del soggetto che si trova ad affrontarlo. In tale

filone rientra la definizione di Price Waterhouse Cooper18 secondo cui “i rischi sono

eventi futuri ed incerti che possono influenzare il raggiungimento degli obiettivi

strategici, operativi e finanziari di un’istituzione”. In tale approccio, come in quello

statistico, sono contemplati sia le minacce che le opportunità. Nello statistico sono

rilevanti gli scostamenti rispetto al valore atteso, mentre in quello manageriale, si

rilevano gli scostamenti rispetto agli obiettivi. Il manageriale, ragionando in termini

di obiettivi, risulta più comprensibile per il management, inoltre risulta essere il più

flessibile, infatti si adatta sia ai rischi puri che ai rischi speculativi. Dalla fusione

dell’approccio tradizionale con il manageriale, nasce un nuovo approccio detto

“pessimistico-manageriale” secondo cui il rischio riguarda esclusivamente le minacce

al raggiungimento degli obiettivi dell’istituzione).

18 Cfr. (AIIA & PWC, 2006)

12

Superando le definizioni letterarie, possiamo dedurre che il rischio aziendale è composto in

parte da elementi oggettivi e in parte da elementi soggettivi19. Gli elementi soggettivi

dipendono principalmente dalle ipotesi formulate dal management sugli effetti derivanti da

decisioni, comportamenti, mutamenti ambientali futuri. Tali ipotesi traggono origine dal

grado di conoscenza ed esperienza dell’individuo che la formula: quanto maggiore è la

possibilità di errore nell’ipotesi, tanto più grande sarà la presenza nel rischio di elementi

soggettivi. Ne consegue che il rischio si può caratterizzare da un lato per una componente

soggettiva strettamente correlata alla capacità ed alla conoscenza dell’individuo che formula

la previsione, dall’altro per una dimensione oggettiva, in relazione cioè all’aleatorietà degli

eventi che l’azienda è costretta a subire ed alle modalità attraverso le quali questi eventi si

manifestano. Pertanto il rischio è strettamente connesso al processo di formulazione delle

ipotesi e ai processi di valutazione relativi a eventi incerti. Da quanto affermato si può, quindi,

concludere che “mentre nel rischio l’elemento conoscenza è presente associato all’esperienza,

quest’ultima è assente nell’incertezza”. È proprio per questo che il rischio viene considerato

un fenomeno oggettivo e soggettivo. L’incertezza, invece, costituisce un fatto prettamente

soggettivo poiché si è impossibilitati a ricorrere all’esperienza per risolvere i problemi. Sulla

base di tali affermazioni si parla di rischio in relazione alle operazioni aziendali e di incertezza

in riferimento a decisioni aziendali20. Le prime sono relative a scelte nelle quali è possibile

tener conto sia della frequenza con la quale certi eventi si sono prodotti in passato, sia del

loro grado di probabilità futuro; le seconde riguardano, invece, decisioni prese in ordine di

eventi futuri che rimangono del tutto sconosciuti. Pertanto il concetto di rischio in ambito

aziendale si caratterizza per due fondamentali elementi:

Il primo è relativo all’esistenza di fatti eventuali dei quali non è possibile stabilire

esattamente le probabili manifestazioni future ed i possibili effetti sull’azienda;

Il secondo elemento fa riferimento all’analisi sia dei processi di valutazione,

previsione e stima degli andamenti futuri dell’azienda, sia dei rischi che vengono

originati dai processi di valutazione individuali.

In conclusione, il rischio aziendale può esser considerato come il risultato di un processo di

analisi e di valutazione, trae origine dall’esistenza dell’incertezza e si manifesta nello

scostamento potenziale esistente tra quanto previsto da un soggetto all’interno di

19 (Dessì, 2012) op. cit. pag. 12 20 Cfr. (Bertini, 1968)

13

un’organizzazione e quanto empiricamente osservato. Il rischio, quindi, risulta essere

strettamente correlato alla combinazione di variabili di sistema che determinano sia

l’esposizione al rischio, sia le potenzialità di creazione di valore dell’impresa. Tali variabili

possono essere ricondotte alle seguenti categorie21:

1. Variabili istituzionali – I rischi comportati da tale fattore sono prevalentemente

inerenti al mancato soddisfacimento delle attese degli stakeholder. Ciò si può tradurre

in una scarsa stabilità degli assetti proprietari, e delle relazioni che l’impresa intrattiene

con altri portatori di interessi. Assumono, in tale contesto, particolare importanza

l’insieme dei sistemi predisposti, al fine di garantire all’impresa di ottenere risultati

coerenti con le aspettative dei vari stakeholder.

2. Variabili economiche – L’insieme delle variabili relative alla gestione caratteristica,

patrimoniale e finanziaria determina le circostanze economiche che condizionano

l’attività d’impresa. Tali fattori possono comportare l’insorgere di fenomeni rischiosi,

derivanti da eventi aziendali, ovvero riconducibili al contesto competitivo.

3. Variabili patrimoniali – Sono le variabili relative alle fonti di finanziamento e agli

impieghi di tali risorse. I rischi maggiori collegati a tale fattore sono rappresentati

dalla criticità del reperimento di mezzi e dalle decisioni relative al loro investimento,

nonché dalla possibile scelta di strutture finanziarie non ottimali.

4. Variabili organizzative – Sono riconducibili a questa categoria tutte le variabili che

definiscono la struttura organizzativa dell’impresa, le sue procedure, il suo personale.

I rischi collegati a tali fattori sono principalmente riconducibili alla scarsa efficienza

di tale assetto e all’eventualità che quest’ultima pregiudichi il raggiungimento degli

obiettivi prefissati.

5. Variabili produttive – Ci si riferisce alla struttura tecnico-produttiva, intesa come

scelta dei processi di realizzazione dell’output e della dimensione di quest’ultimo.

L’incertezza relativa a questo fattore è prevalentemente legata alla struttura dei costi

e alla capacità del prodotto di soddisfare le esigenze della clientela.

Tali variabili consentono di iniziare a definire le possibili declinazioni del rischio aziendale,

secondo delle classificazioni di varia natura evidenziate in letteratura e rilevabili nella maggior

parte delle realtà imprenditoriali.

21 Cfr. (Prandi, 2010)

14

1.3 Le possibili classificazioni dei rischi.

Finora abbiamo trattato i rischi aziendali in modo indistinto, fino a delineare le variabili

chiave che vanno a definire gli ambiti a cui fanno riferimento le varie tipologie di rischio che

si configurano per l’impresa. Tali distinzioni comportano per l’impresa diverse strategie e

modalità di risk management.

Come anticipato nel primo paragrafo, fattori interni ed esterni all’impresa concorrono alla

formazione e all’evoluzione nel tempo del sistema dei rischi d’impresa. I fattori esterni

possono essere ricondotti a quattro poli fondamentali: quello economico, quello politico-

giuridico, quello tecnologico e quello ecologico. I sistemi sottostanti a questi poli sono in

continuo e crescente cambiamento, sotto l’influsso sia dei fattori ad essi interni, sia delle

continue e complesse interazioni con i fattori degli altri poli. I fattori interni, invece,

riguardano la struttura organizzativa dell’impresa stessa, il proprio management, le risorse, i

processi, i meccanismi operativi, la propria cultura e i comportamenti e le dinamiche delle

persone che in essa vi operano22.

Da questa premessa si andranno a delineare le principali macro-classificazioni del rischio

aziendale:

Rischi economici e rischi non economici;

Rischi interni (endogeni) e rischi esterni (esogeni);

Rischi puri e rischi speculativi;

Rischi sistemici (non diversificabili) e rischi specifici (diversificabili);

Rischi imprenditoriali e rischi associati.

1.3.1 Rischi economici e rischi non economici

Una prima classificazione dei rischi, di natura prettamente economica, riguarda la tipologia

degli effetti che scaturiscono dal verificarsi dell’evento rischioso. Il rischio economico è il

rischio che determina effetti positivi o negativi sull’attività d’impresa, generando impatti sulla

produzione di beni e/o servizi e che sono in grado di produrre delle perdite monetarie. I

rischi economici possono essere a loro volta suddivisi in tre sottocategorie:

a) Rischi economico-singoli se connessi a fenomeni che avvengono all’interno

dell’impresa (rischi attivi) o ai rapporti che legano l’impresa ai terzi (rischi passivi);

22 Cfr. (Selleri, 2006)

15

b) Rischi commerciali se legati alla fase di commercializzazione del prodotto;

c) Rischi tecnici se riferibili alla fase di produzione.

Il rischio non economico detto anche extra-aziendale, è il rischio che non genera effetti

sull’attività aziendale in quanto l’eventuale perdita generata, non è quantificabile a livello

monetario23. Tale approccio è stato ampiamente criticato in quanto il rischio non economico,

potrebbe provocare delle perdite che seppur non monetizzabili, incidano ad esempio sugli

asset intangibili dell’impresa (impatto morale o sociale).

1.3.2 Rischi interni (esogeni) e rischi esterni (endogeni)

Questa classificazione distingue i rischi interni o esogeni, originati da eventi interni

all’azienda, dai rischi esterni o endogeni, si originano da eventi esterni al complesso aziendale.

Gli esogeni sono diretta conseguenza delle dinamiche poste in essere all’interno

dell’impresa: derivano la loro origine dalle scelte del management, dall’organizzazione della

produzione, dalla logistica, dal personale ecc. L’azienda, quindi, è in grado di influenzare,

almeno parzialmente, l’andamento e la portata di questi rischi24. I rischi endogeni, invece,

nascono da fenomeni esterni sui quali l’azienda non ha possibilità di modificare la natura, la

direzione e la dinamica. Tali rischi hanno un impatto economico-patrimoniale sull’impresa

ma non risultano da essa influenzabili e gestibili. L’impresa può solo porre in essere

meccanismi di prevenzione e di trasferimento a terzi in modo da tutelarsi dall’eventuale

manifestazione di questi pericoli. Rientrano in questa tipologia di rischi: le variazioni del ciclo

economico, la dinamica dei tassi di interesse e di cambio, le catastrofi naturali e tutte le

variabili non governabili dall’impresa stessa.

1.3.3 Rischi puri e rischi speculativi

Questa classificazione si focalizza sull’impatto positivo o negativo dei rischi. Mentre i rischi

puri presentano eventi sempre sfavorevoli, i rischi speculativi possono produrre esiti sia

positivi che negativi per l’impresa25. I rischi puri, dotati di asimmetria negativa, sono quei

rischi a cui è associata la possibilità di sostenere un onere elevato, ma non la possibilità di un

guadagno. Nascono da eventi improvvisi che non possono essere previsti ex-ante mediante

attività di previsione. Possono solamente essere gestiti mediante attività ex-post di

trasferimento del rischio. Per questo sono definiti anche rischi assicurabili, per i quali risulta

23 Cfr. (Gobbi, L'assicurazione in generale., 1974) pag. 15 24 Cfr. (Prandi, 2010) 25 Cfr. (Conti, 1996)

16

possibile il loro trasferimento ad imprese assicurative. Ad esempio: rischi da responsabilità

civile, rischi che causano danni materiali alla proprietà di impresa o a quella altrui, catastrofi

naturali, morte, invalidità e malattia dei dipendenti. I rischi puri si caratterizzano per26:

a) Una realizzazione improvvisa;

b) Una manifestazione immediatamente osservabile;

c) Effetti economici che si determinano in un brevissimo lasso di tempo;

d) La possibilità di ridurre le conseguenze fisiche ed economiche dell’evento tramite

l’adozione di tempestive misure di contenimento o riduzione del danno.

Rientrano nei rischi puri i rischi sui beni aziendali, cioè quelli che possono determinare un

impatto aziendale negativo in seguito al danneggiamento o alla perdita di disponibilità di beni

aziendali. Vi rientrano i rischi sulle persone cioè quelli che possono determinare un impatto

aziendale negativo in seguito a eventi che colpiscono le persone operanti nell’azienda. Infine

i rischi di responsabilità riguardanti gli impatti aziendali negativi che possono derivare da

danni arrecati all’impresa a persone, animali o cose di terzi.

I rischi speculativi invece, sono connessi ad eventi futuri incerti che possono generare sia

risultati economici negativi, sia risultati economici positivi. Sono definiti rischi propriamente

imprenditoriali e non assicurabili, in virtù della frequenza con la quale l’impresa è chiamata a

fronteggiarli, infatti sono rischi che l’impresa si trova ad affrontare quotidianamente: rischi

operativi, rischi di mercato, rischi finanziari, rischi di business ecc. I rischi speculativi si

caratterizzano per:

a) Una realizzazione progressiva nel tempo;

b) Un’osservabilità ritardata della sua manifestazione;

c) Effetti economici che si determinano progressivamente;

d) L’impossibilità di intervento per ridurre le conseguenze economiche negative degli

eventi che si sono già realizzati.

Le macro categorie di riferimento per i rischi speculativi sono i rischi di business e i rischi

derivati. I rischi di business si ricollegano allo svolgimento dell’attività tipica dell’impresa:

rischi finanziari, operativi e strategici, che si andranno ad approfondire in seguito. Mentre i

rischi derivati, si originano dalle attività finanziarie diverse dal core business.

26 (Floreani, Introduzione al Risk Management, 2005) op. cit. pag.38

17

Talvolta non risulta semplice la distinzione tra rischi puri e speculativi infatti come afferma

Conti27: “si rivela infine come tutti i rischi sarebbero qualificabili come speculativi, qualora

nei loro riguardi venissero regolarmente formulate delle aspettative”.

Le differenze tra i rischi puri e quelli speculativi hanno implicazioni gestionali molto rilevanti.

In particolare, anche se il processo logico di risk management è uguale, l’importanza delle

specifiche fasi del processo è molto differenziata. Per i rischi puri è fondamentale la fase di

identificazione e la prevenzione risulta la modalità di gestione preferita, invece per i rischi

speculativi, è fondamentale la fase di monitoraggio mentre la prevenzione non risulta

sufficiente come modalità di gestione.

1.3.4 Rischi sistemici (non diversificabili) e rischi specifici (diversificabili)

I rischi sistemici o non diversificabili si riferiscono alle dinamiche dell’economia globale, per

questo vengono spesso sintetizzati nel concetto di rischio di mercato. Ci si riferisce infatti

all’andamento del ciclo economico, alle oscillazioni del tasso di interesse e del tasso di

cambio, alla propensione al rischio degli investitori e in generale a qualsiasi evento la cui

rischiosità non può essere eliminata mediante la diversificazione.

I rischi specifici o diversificabili, derivano dalle caratteristiche proprie dell’impresa stessa e

dalle specifiche del settore in cui opera. Tali rischi possono essere mitigati attraverso il

processo di diversificazione. Tale processo consiste nell’assumere numerose variabili

aleatorie non perfettamente correlate tra di loro, al fine di ridurre la variabilità complessiva

attraverso la compensazione dei rischi.

Molto spesso non è intuitiva la differenziazione tra queste due tipologie di rischio: un rischio

è non sistematico quando può essere eliminato con la diversificazione, non quando è

effettivamente eliminato dalla diversificazione, inoltre la diversificabilità non è una proprietà

soggettiva, cioè riferibile a una specifica azienda, ma oggettiva. La maggior parte dei rischi

aziendali ha una componente sistematica e una diversificabile. La parte sistematica è quella

parte di variabilità che dipende dall’andamento generale dell’economia e dei mercati

finanziari, mentre la quota diversificabile è specifica dell’azienda. Alcuni rischi non hanno

componente sistematica; ad esempio gli eventi naturali come il rischio terremoto risulta

totalmente diversificabile a meno che non sia tale da influenzare l’economia mondiale.

27 (Conti, 1996)

18

Quindi il rischio terremoto è completamente diversificabile a meno che non riguardi aree

geografiche particolarmente rilevanti geograficamente (es. Giappone o California)28.

1.3.5 Rischi imprenditoriali e rischi associati

Infine un’ultima classificazione è quella tra rischi imprenditoriali e rischi associati29. Questa

distinzione deriva dal modello della catena del valore di Porter del 1987.

Porter delinea un modello in cui si può suddividere l’attività d’impresa in attività primarie

e attività di supporto. In sostanza è dalle attività primarie che deriva il rischio

imprenditoriale, mentre dalle attività secondarie i rischi associati.

Il rischio imprenditoriale, è un rischio per sua natura non eliminabile, non trasferibile a terzi

e inoltre non può essere coperto mediante la stipulazione di polizze assicurative. Attenzione

che questo non significa non considerarlo, ma anzi è possibile attuare una politica di

prevenzione in grado di adottare politiche gestionali coerenti alla tipologia di impresa presa

a riferimento.

I rischi associati, invece, riguardano aspetti collaterali della realtà aziendale. Essi, a differenza

dei primi, sono oggetto di specifiche politiche volte a minimizzare il loro impatto sull’azienda.

La distinzione tra rischi associati e rischio imprenditoriale va adattata alla specifica

azienda presa a riferimento. E’ una distinzione quindi che va relativizzata alle singole

imprese, che non deve essere presa in maniera troppo rigida. In dottrina, si è consci del

fatto che questa classificazione può risultare per certi versi fuorviante, ma l’obiettivo è

quello di aumentare le potenzialità dell’impresa nel prevenire i pericoli a cui è esposta.

1.4 I principali rischi considerati nel processo di ERM

Nel paragrafo precedente si è proposta una tassonomia dei possibili rischi aziendali

considerando i contributi di vari autori, i quali non presentano opinioni condivise su quali

tipologie di rischio includere o meno nel sistema dei rischi aziendali. Tuttavia dovendo

orientare il lavoro di ricerca verso quelle imprese che intraprendono o che hanno intrapreso

l’adozione di un modello di gestione integrata dei rischi (ERM), in questo paragrafo ci si

soffermerà sui rischi considerati nelle varie fasi del processo di ERM. Nel modello dovranno

essere necessariamente inclusi i rischi di natura finanziaria, quelli strategici, quelli operativi e

28 Cfr. (Floreani, Introduzione al Risk Management, 2005) pag. 35 29 (Prandi, 2010)

19

quelli di compliance. A questi ultimi vanno aggiunti i cosiddetti rischi emergenti legati ad

esempio alla tecnologia, alla supply chain, alla reputazione ecc.

1.4.1 Rischi finanziari

I rischi finanziari sono un’ampia categoria di rischi che ingloba tre importanti categorie: il

rischio di mercato, quello di credito e quello di liquidità. Dunque la gestione dei rischi

finanziari presenti in azienda deriva da posizioni commerciali e finanziarie non coperte,

esposte a variazioni di mercato dei tassi di cambio, dei tassi di interesse, delle varie attività

presenti in portafoglio, e del merito di credito delle controparti30. Si riconducono quindi a

questa categoria tutti i rischi aziendali con una forte componente di fonti finanziarie.

Il rischio di mercato31 è legato al movimento dei prezzi sui mercati finanziari. Crouhy e altri

autori32, definiscono il rischio di mercato come "il rischio che le variazioni dei prezzi e dei

tassi di interesse nei mercati finanziari riducano il valore di un titolo o di un portafoglio". Il

rischio di mercato nasce da una serie di fattori, come le esposizioni ai tassi d'interesse, le

esposizioni in valuta estera, costi e ricavi connessi a materie prime sensibili ai prezzi ecc. I

rischi di mercato sono principalmente tre:

a) Il rischio di prezzo si manifesta quando, a parità di tutte le altre condizioni, il valore

di mercato degli strumenti in portafoglio è sensibile all’andamento dei mercati

azionari. Ad esempio il prezzo di una certa commodity (petrolio) genera un effetto

negativo sul conto economico per un aumento di prezzo tra il momento in cui si è

definito un listino e il momento di effettivo esborso finanziario;

b) Il rischio di cambio trova origine nella diversa combinazione delle operazioni

generate dai processi operativi dell’impresa. La maggior parte delle decisioni inerenti

alle operazioni in valuta estera, che sono la principale fonte del rischio di cambio,

vengono prese di fatto dall’area operativa e determinano le modalità con cui tale

rischio influenzerà in futuro l’azienda. Si riferisce alla presenza di una probabilità, più

o meno elevata, che le variazioni dei tassi di cambio producano effetti

sull’economicità della gestione diversi da quelli attesi. Gli effetti che si suole

ricondurre al concetto sono evidentemente quelli di segno negativo, che possono

danneggiare l’impresa. L’ampia definizione data indica che il rischio a carico

30 (ERM “Casistiche aziendali di rischi operativi”, Sett-Ott 2007) 31 (Lin, 2009) 32 (Crouhy, 2006)

20

dell’impresa dipende dalla variabilità attesa dei cambi stessi e dal grado di dipendenza

dei risultati economici dalla dinamica dei cambi;

c) Il rischio di interesse si manifesta quando a parità di tutte le altre condizioni il valore

di mercato dell’investimento è sensibile a variazioni dei tassi d’interesse. Una

variazione degli ultimi produce un mutamento del valore delle attività o del costo

delle passività detenute. Un aumento dei tassi di mercato comporta una riduzione del

valore di mercato di un titolo e viceversa. Tale variazione inciderà dunque sui margini

economici in funzione della struttura (es. temporale) delle attività e passività

sottostanti.

Le strategie di gestione dei rischi di mercato sono molteplici e molto complesse33. E’

opportuno che le aziende si dotino di una capacità analitica e previsionale che permetta di

comprendere i vari scenari di mercato e di formulare previsioni, o comunque di valutare in

modo consapevole le previsioni fornite loro da banche o analisti esterni. L’obiettivo è quello

di proteggere l’azienda da perdite impreviste, mantenere la stabilità dei ricavi e la certezza dei

flussi, beneficiando se possibile, di movimenti favorevoli dei tassi di mercato nei limiti di

rischio prestabili e contribuire a generare valore per gli azionisti.

Il rischio di credito34 rappresenta l'eventualità che una delle parti di un contratto non onori

gli obblighi di natura finanziaria assunti, causando una perdita per la controparte creditrice35.

Giesecke36 definisce il rischio di credito come "la distribuzione delle perdite finanziarie

dovute a variazioni inattese del merito creditizio di una controparte in un accordo

finanziario". Esempi di rischio di credito sono il downgrade da parte di un'agenzia di rating

o lo status di fallimento o di liquidazione. Tali definizioni contemplano solamente il caso

estremo in cui il debitore si rende insolvente. Ma una perdita di valore della posizione

creditoria può derivare anche da un deterioramento delle condizioni economico finanziarie

del debitore da cui dipende la capacità di far fronte agli impegni finanziari, pur non divenendo

insolvente. In un'accezione meno semplificata, per rischio di credito si intende allora la

possibilità che da una variazione inattesa del merito creditizio di un debitore derivi una

33 Cfr. (ERM “Casistiche aziendali di rischi operativi”, Sett-Ott 2007) 34 Cfr. (Lin, 2009) 35 Cfr. (Ammann, 2001) 36 Cfr. (Giesecke, 2004)

21

variazione inattesa del valore del credito. Il rischio di credito ha tre caratteristiche, così come

individuato da Dowd37:

Probability of default: è la probabilità che la controparte non rispetterà gli obblighi

contrattuali;

Recovery rate: è la parte del nostro credito che potremmo recuperare in caso di

inadempimento contrattuale del debitore;

Credit exposure: è la parte che perderemo in caso di default della controparte.

I rischi di credito possono essere suddivisi nelle seguenti fattispecie:

a) Il rischio di paese consiste nella possibilità che il debitore non sia in grado di pagare

i flussi di cassa attesi, a causa di problemi inerenti il paese d’appartenenza dello stesso

emittente;

b) Il rischio di emittente si concretizza nella possibilità che un’emittente non sia in

grado di pagare i flussi di cassa attesi;

c) Il rischio di regolamento è il rischio che una controparte non adempia ai propri

impegni in fase di regolamento delle partite creditorie/debitorie;

d) Il rischio di controparte è il rischio che una controparte non tenga fede agli impegni

presi.

Sebbene il rischio di credito richieda un’analisi accurata del portafoglio crediti costante e

precisa, in presenza di scelte strategiche di medio/lungo termine, è opportuno attivare

adeguati meccanismi di copertura come ad esempio operazioni con contratti derivati.

Il rischio di liquidità è il rischio che l’impresa non sia in grado di avere i fondi necessari per

adempiere ai propri obblighi in scadenza e quindi sia costretta ad aumentare le proprie

passività a costi onerosi e/o vendere degli asset aziendali con la possibilità di doverli

svalutare.

L’impresa deve sempre cercare di allineare le attività con le passività, questo significa che

deve cercare di finanziare attività che produrranno reddito a breve termine con strumenti

finanziari a breve termine. Analogamente i fabbisogni legati a investimenti di medio/lungo

termine devono essere soddisfatti con risorse a scadenza pluriennale o con il capitale di

rischio. Il mancato rispetto di questi principi può generare dei problemi; in un dato momento

37 Cfr. (Dowd, 1998)

22

l’impresa si può trovare a dover estinguere un debito o pagare un onere senza avere il denaro

necessario per farlo andando incontro ad un problema di liquidità. Più in generale però

possiamo dire che riscontrare un problema di liquidità non è sempre un problema legato

all’allineamento delle scadenze di attività e passività. L’approccio aziendale al problema deve

chiaramente tenere conto anche degli imprevisti e quindi possiamo dire che l’impresa deve

predisporre la liquidità disponibile tenendo conto dei futuri fabbisogni finanziari e degli

imprevisti in modo tale da poter ridurre il ricorso a improvvisi finanziamenti esterni

eccessivamente onerosi ed evitando di svendere asset aziendali38.

1.4.2 Rischi strategici

I rischi strategici sono da riferire a tutti gli eventi aleatori esterni ed interni che possono

incidere

in misura rilevante e durevole sulla gestione dell’impresa. A motivo della loro portata, si deve

tener conto dell'impatto di detti eventi, nella definizione degli obiettivi e nella decisione delle

strategie che l’impresa intende perseguire39.

Il rischio strategico riguarda il grado di successo delle strategie aziendali di più alto livello.

Si tratta, essenzialmente, di definire i segmenti di mercato su cui operare e le risorse da

impiegare in ciascuno di questi. Le decisioni di entrare su nuovi segmenti di mercato o di

abbandonare quelli esistenti, comportano strategie di diversificazione o di specializzazione il

cui successo è incerto e, dunque, soggetto a rischi. Rientrano nelle decisioni strategiche anche

le scelte riguardanti il lancio di nuovi prodotti che sono particolarmente rilevanti per

l’impresa e/o che richiedono l’investimento di ingenti risorse per essere realizzate. Infine,

sono da considerarsi parte del rischio strategico il grado di successo commerciale delle

principali linee di prodotto dell’impresa. Le principali fonti esterne di aleatorietà da cui

dipende il successo di una strategia aziendale riguardano40:

L’andamento generale dell’economia;

L’andamento della domanda nei segmenti di mercato interessati dalla strategia;

Il comportamento dei competitors;

Le possibili innovazioni tecnologiche;

L’andamento dell’immagine e della reputazione aziendale;

38 Cfr. (Prandi, 2010) 39 Cfr. (Selleri, 2006) 40 Cfr. (Floreani, La valutazione dei rischi e le decisioni di risk management, 2004) op.cit. pag. 133-134

23

Le possibili modificazioni del contesto regolamentare e/o politico.

Nel definire e perseguire una data strategia è estremamente importante identificare tutti i

rischi che possono influenzarne la realizzazione. Inoltre è necessario individuare i possibili

scenari che si possono realizzare e, per ciascuno di questi, definire delle linee di azione

contingenti, in modo tale da massimizzare i risultati positivi negli scenari favorevoli

(opportunità) e da minimizzare i risultati negativi negli scenari sfavorevoli (minacce).

La letteratura in merito, permette l’individuazione delle numerose cause alle quali possono

essere ricondotte le perdite o gli utili derivanti da questa tipologia di rischio. Gli autori Adrian

J. Slywotzky e John Drzik di Mercer in un articolo della Harvard Business Review dell'aprile

2005 distinguono sette classi di rischio strategico41:

Settore;

Tecnologia;

Brand;

Concorrenza;

Cliente;

Progetto;

Stagnazione.

Il fattore chiave per affrontare e gestire il rischio strategico sarà quello di individuare la pratica

di successo per il conseguimento, il mantenimento e l’accrescimento nel tempo dei vantaggi

competitivi aziendali. Per quanto riguarda il grado di orientamento strategico dell’impresa è

essenziale una pianificazione della gestione, coerente alla missione aziendale, il

perseguimento di vantaggi competitivi sostenibili ed attuabili attraverso precisi assetti

strutturali, organizzativi e finanziari. I rischi strategici non sempre condurranno a delle

perdite specifiche, spesso il loro impatto finanziario è rappresentato da un costo-

opportunità42.

1.4.3 Rischi operativi

I rischi operativi sono riconducibili a tutti gli eventi aleatori che al loro verificarsi

determinano livelli insoddisfacenti di efficienza e di efficacia nei processi di gestione, nonché

41 Cfr. (Drzik, 2005) 42 Cfr. (Dessì, 2012)

24

bassi livelli nel soddisfacimento della clientela e nel raggiungimento degli obiettivi di qualità,

di costo e di tempestività nella performance43.

I rischi operativi riguardano l’attività tipica d’impresa e possono essere definiti in via residuale

rispetto agli altri rischi (strategici, finanziari e puri). Proprio per tale motivo essi hanno

caratteristiche piuttosto disomogenee. Infatti, i principali rischi operativi riguardano44:

Il grado di efficienza dei processi aziendali (il rapporto tra un indicatore dell’output

di un processo e un indicatore della quantità dei fattori produttivi impiegati) quali, ad

esempio, il processo produttivo o la supply-chain. Tali rischi sono di natura

prevalentemente interna, cioè dipendono in larga misura dalle capacità del

management;

Il rischio di prezzo riguardante i prodotti dell’impresa o i costi di acquisizione dei

fattori produttivi che non sono delle commodities, cioè dei beni standardizzati

negoziati sui mercati regolamentati tramite contratti finanziari. Tali rischi sono di

natura prevalentemente esterna;

L’effetto della leva operativa, cioè l’effetto moltiplicativo del rischio di volume,

determinato dalla presenza di costi fissi aziendali.

Prendendo come riferimento la definizione di rischio operativo offerta dal Comitato di

Basilea45, secondo cui “il rischio operativo è il rischio di perdite derivanti da strategie inadeguate o da

errori generati da persone e processi interni o da eventi esterni”, definiamo le quattro fattispecie di

rischio operativo racchiuse nella definizione stressa:

a) Rischi operativi connessi alla strategia: attengono al grado di perseguimento della

strategia aziendale46: ad esempio riguardano la fase di definizione degli obiettivi

aziendali, la definizione del business plan, la ricerca di nuove opportunità di business,

la reputazione e l’immagine dell’impresa ecc.47

b) Rischi operativi connessi alle persone: vi fanno parte tutti i rischi connessi alla

gestione delle risorse umane, ai salari, alla regolamentazione di diritti e doveri dei

lavoratori, nonché alla salute e alla sicurezza sul posto di lavoro;

43 Cfr. (Selleri, 2006) 44 Cfr. (Floreani, La valutazione dei rischi e le decisioni di risk management, 2004) op.cit. pag.138 45 Cfr. (Basel Committee on Banking Supervision, 2009) 46 Cfr. (Prandi, 2010) 47 Cfr. (Chapman, 2006)

25

c) Rischi operativi connessi ai processi e ai sistemi: sono rischi derivanti dal mancato

rispetto delle procedure e delle regole stabilite per far funzionare in maniera ottimale

i processi aziendali. Ad esempio uno scorretto uso delle informazioni aziendali o

un’informazione non inserita nel sistema aziendale, possono generare una forte

esposizione al rischio per l’impresa;

d) Rischi operativi connessi agli eventi esterni: si riferiscono a qualsiasi fenomeno

esterno alla realtà aziendale in grado di influenzare e di porre a rischio l’attività della

stessa.

1.4.4 Rischi emergenti

Tale categoria di rischi sarà definita ricorrendo ai dati forniti da tre importanti sondaggi a

livello internazionale, svolti da tre gruppi assicurativi, che hanno evidenziato delle nuove

categorie di rischio, definiti appunto rischi emergenti, che risultano i più temuti degli ultimi

anni e che comporteranno una rivisitazione dei rischi finora considerati dal risk management

aziendale.

Il Barometro dei rischi emergenti di ACE European Group

La ricerca svolta da ACE nel corso del 2013 si è svolta mediante un sondaggio su 650 top

manager impiegati nella gestione dei rischi in un’ampia gamma di settori, in imprese di medie

e grandi dimensioni situate in 15 paesi dell’area EMEA (Europa, Medio Oriente e Africa

Settentrionale). La ricerca suggerisce che i rischi emergenti non sono ancora entrati a far parte

delle discussioni più ampie sulla gestione dei rischi all’interno dei consigli di amministrazione.

Il 57% degli intervistati parla della mancanza di attenzione come scoglio principale, che a sua

volta porta al secondo e terzo problema: la mancanza di risorse umane e di strumenti e

processi di gestione del rischio. Il 45% delle società considerano la dipendenza dalla catena

di approvvigionamento (supply chain) e dalle infrastrutture come principale rischio

emergente. Seguono la responsabilità ambientale (42%), il rischio informatico (40%) e la

responsabilità D&O (40%). Questi i rischi emergenti che probabilmente registreranno il

maggiore impatto finanziario sulla propria società nel corso dei prossimi due anni48.

48 Cfr. (Rosa, 2013)

26

Figura n.1 - Principali ostacoli nella gestione dei rischi emergenti – da Risk Management News n.31

di Febbraio 2014

L’indagine ha visto emergere e posizionarsi nei primi posti della classifica i seguenti rischi

emergenti49:

Rischio infrastruttura e supply chain: di tutti i rischi emergenti, le aziende

prevedono che quelli associati alla supply chain e alle infrastrutture abbiano il

maggiore impatto finanziario negativo sulle loro attività nei prossimi due anni. Le

sofisticate supply chain transnazionali hanno abbattuto i costi, ma le aziende pagano

la mancanza di visibilità su quanto potrebbe accadere a fornitori e sub-fornitori. In

più, in molti paesi di approvvigionamento esistono problemi legati alle infrastrutture

che espongono le aziende a sostanziali rischi finanziari. Comprendere la reale portata

dell’esposizione in materia di supply chain e di infrastruttura è problematico per

molte aziende, data la frammentazione che hanno acquisito le catene di creazione del

valore. È prioritario trovare modalità di condivisione delle informazioni e creare

strumenti utili alla comprensione delle supply chain e delle esposizioni ad esse

associate.

Rischio ambientale: il rischio ambientale, pur collocandosi mediamente in seconda

posizione, risulta essere al primo posto per gli intervistati di alcuni settori, tra cui

petrolio e gas naturale, servizi pubblici, viaggi e trasporti. La posizione in classifica

evidenzia una maggiore consapevolezza che si tratti di un problema comune a tutti i

settori, non solo su quelli tradizionalmente “inquinanti”. Tutte le aziende sono

49 Cfr. (ACE European Group, 2013)

27

esposte al rischio ambientale, nonostante ci sia il consenso generale sul principio “chi

inquina paga”, a livello internazionale questo viene fatto rispettare in modo

incoerente: attualmente esistono oltre 17.000 normative diverse che si occupano di

contaminazione di aria, acqua e terreni. Metà delle aziende oggetto dello studio sono

convinte di essere assicurate contro il rischio ambientale: in realtà vi è confusione su

quali rischi sono coperti dai diversi tipi di polizza, quindi il numero effettivo potrebbe

essere decisamente inferiore.

Rischio informatico: non sorprende assistere al posizionamento del rischio

informatico al terzo posto (a pari merito) nella classifica dei rischi emergenti. Quasi

la metà delle aziende intervistate prevede che nei prossimi due anni la minaccia

rappresentata da virus, hackeraggio e furto di dati possa aggravare il rischio

informatico per la propria azienda. Ciononostante, le aziende dispongono ancora di

protezioni inadeguate e quasi 2 su 5 dichiarano di avere intenzione di prendere in

seria considerazione il rischio informatico solo quando questo sarà obbligatorio per

legge. Quel momento potrebbe arrivare prima di quanto si creda. Nell’Unione

Europea stanno per essere varate leggi in base alle quali le aziende che violino le

nuove normative in materia di dati potranno essere multate con somme che

ammontano fino al due percento dei loro ricavi globali. Le aziende sono sempre più

consapevoli che gran parte del rischio spesso è attribuibile a errori dei dipendenti e

alla mancanza di processi di sicurezza interni. Per quelle aziende che intendono

“mettersi al passo” su questa importante area dei rischi emergenti, questo potrebbe

essere un buon punto di partenza.

Rischio D&O legato a amministratori e dirigenti: Le responsabilità di

amministratori e dirigenti sono tutt’altro che una novità, ma il fatto che si classifichi

al terzo posto nel monitoraggio dei rischi emergenti enfatizza che, il rischio legato a

amministratori e dirigenti è diventato un rischio “ri-emergente”. Questioni

fondamentali quali la corruzione e i cambiamenti nella legislazione sull’illecito

colposo aziendale si sommano agli errori di rendicontazione come preoccupazioni

principali in quest’area. Una cultura più radicata delle controversie giudiziarie sta

rendendo più arduo per le aziende collocare i talenti migliori nelle posizioni

nevralgiche: più di 2 intervistati su 5 concordano sul fatto che la responsabilità

personale rappresenta un deterrente per il personale in posizione non esecutiva ad

assumere ruoli di responsabilità in azienda.

28

Figura n.2 - Le categorie di rischio che preoccupano maggiormente i board – da Risk Management

News n.32 di Aprile 2014

Analizzando i dati relativi all’Italia, si notano alcune significative differenze rispetto al dato

medio EMEA. La differenza più macroscopica è quella relativa al Rischio Esportazioni che

viene valutato tra i più rilevanti nel 46% dei casi contro il 34% del dato EMEA. Viceversa il

Rischio Informatico sembra essere sottovalutato rispetto agli altri Paesi ponendosi al 28%

contro il 40% medio. Su tale divergenza potrebbe impattare, sia una posizione di relativa

arretratezza informatica sia una scarsa consapevolezza del problema data anche dalla minore

esposizione globale delle aziende italiane rispetto alle multinazionali di altri Paesi. Anche il

Rischio Terrorismo/ Violenza politica al 20% viene percepito come più limitato rispetto al

28% medio: una minor percezione del rischio legata in parte a minor centralità del Paese

rispetto ad altri e ad una minore esposizione internazionale. Più limitate le differenze su

Rischio Supply Chain/ Infrastrutture (48% Italia vs. 45% medio), Rischio Ambientale (48%

Italia vs. 42% medio) e Rischio Viaggi d’affari (38% vs. 33%); differenze imputabili a

caratteristiche intrinseche del sistema infrastrutturale del Paese, della cultura ambientale

italiana non sviluppatissima specie in certe aree del Paese e di una minor propensione al

“viaggiare” dei manager italiani. Assolutamente in media invece la percezione del rischio

D&O al 40%.

29

Figura n.3 - Le categorie di rischio a confronto tra paesi EMEA e Italia – da ilbroker.wordpress.com

SONAR Report 2015 Swiss Re50

L’edizione 2015 del report, ha preso in esame 21 nuove minacce, il loro impatto potenziale

e gli effetti a cascata che potrebbero avere a breve sull’industria assicurativa. Il SONAR

Report è un’indagine, condotta annualmente da Swiss Re, che si basa sulle competenze di

risk management interne al gruppo per osservare e valutare i nuovi rischi emergenti. Vengono

definite come tali quelle minacce, appena emerse o in fase di mutamento, che sono difficili

da quantificare e il cui potenziale impatto economico non viene ancora tenuto

sufficientemente in considerazione. I fattori chiave nel cambiamento del panorama dei rischi

sono i continui sviluppi economici, tecnologici, socio politici e ambientali, così come anche

le crescenti interdipendenze tra gli attori del settore e tra gli stati.

Ne risulta che i quattro rischi emergenti con il potenziale impatto più alto sono:

1. La de-globalizzazione;

2. Le sempre più impattanti catastrofi naturali;

3. I “grandi esperimenti finanziari”;

4. La sfida dell’ “Internet of Things”.

50 Cfr. (Swiss RE, 2015)

30

Figura n.4 - Classifica dei 21 rischi emergenti e dei loro impatti nel tempo – www.anra.it

L’indagine si focalizza su una grande varietà di rischi. Tra questi, la scarsità di materie prime,

l’aumento del traffico aereo (per l'uso crescente dei droni), il degrado delle infrastrutture

essenziali, e l’uso degli strumenti di auto-monitoraggio ecc. Se da una parte i temi presentati

minacciano un aumento dell’esposizione al rischio, potrebbero anche dar vita a nuove

opportunità.

Allianz Risk Barometer 201551

L'edizione 2015 dell'Allianz Risk Barometer, indagine condotta tra oltre 500 risk manager e

dirigenti del gruppo Allianz e di altre multinazionali in 47 Paesi, inclusa l'Italia, certifica la

crescita della preoccupazione per le minacce informatiche e geopolitiche. Una tendenza

globale, cui fa eccezione l'Italia che sottovaluta il pericolo. Si evidenzia chiaramente

l'andamento della percezione dei rischi corporate: i rischi informatici e quelli geopolitici

registrano, in questa edizione, i maggiori tassi di crescita. Il 73% degli intervistati nell'indagine

Allianz ritiene che molte aziende sottovalutano i diversi impatti del cyber risk: servono alti

budget per combattere gli attacchi cyber in modo strutturato, e al momento mancano le

risorse. I diversi soggetti coinvolti, come gli esperti di sicurezza IT e i manager di sicurezza

operativa, devono condividere le competenze per identificare e valutare le situazioni di

pericolo. Il numero crescente e sempre più sofisticato di minacce informatiche fa sì che sia

impossibile, per qualsiasi organizzazione, garantire una protezione completa dal cyber risk.

All'estero quest'anno, per la prima volta, il rischio informatico è entrato nella Top 5 dei

peggiori rischi per le aziende nella graduatoria globale. L'altro rischio in grande rimonta nella

51 Cfr. (Allianz Risk Pulse, 2015)

http://www.anra.it/

31

graduatoria è quello geopolitico seguito dal terrorismo. Infine, anche il crollo dei prezzi del

petrolio è considerato un rischio emergente per la stabilità internazionale, da cui potrà

dipendere la gestione delle minacce aziendali per i prossimi cinque anni.

Figura n.5 - Classifica Top10 dei rischi globali Vs. Top10 dei rischi in Italia - www.anra.it

Ma se il cyber risk è una preoccupazione sempre più sentita all'estero, nei confini italiani,

si rileva una decisa sottovalutazione: nella classifica, infatti, il rischio informatico non

compare tra i primi 10 rischi più sentiti, segno che fino a oggi molte aziende non sembrano

comprendere la gravità di questo tipo di minaccia. Al primo posto si colloca, come

nell’indagine ACE, il rischio di infrastruttura e supply chain, sintomo di una forte dipendenza

delle imprese italiane dalle sofisticate supply chain transnazionali che non consentono di

evidenziare le reali aree di esposizione al rischio.

1.5 La quantificazione dei rischi aziendali

Il problema dell’effettiva misurazione dei rischi aziendali è una della principali fasi del

processo di risk management di cui ci occuperemo nel prossimo capitolo. Tuttavia in questo

paragrafo, si andranno a presentare i concetti chiave necessari per comprendere le principali

metodologie di misurazione dei rischi.

Secondo l’approccio statistico finanziario, presentato in precedenza, il rischio riguarda la

possibilità che una variabile aleatoria si realizzi in modo diverso rispetto al suo valore atteso.

http://www.anra.it/

32

Le prime due nozioni che andremo a trattare sono proprio la variabile aleatoria aziendale

e il valore atteso52.

1.5.1 La variabile aleatoria aziendale

Una variabile aleatoria aziendale è definita come l’insieme dei possibili effetti economici di

un evento rischioso e delle corrispondenti probabilità di manifestazione. Una qualsiasi

grandezza aziendale, se valutata in ottica prospettica, è una variabile aleatoria aziendale. Una

variabile aleatoria può essere vista come un insieme costituito da N coppie di elementi a

ciascuna delle quali corrisponde uno scenario possibile, a cui sono assegnati due numeri, uno

rappresentativo della probabilità di realizzazione dello scenario e l’altro del valore assunto

dalla variabile in quello scenario. Le variabili aleatorie sono quindi un insieme di numeri. Ad

esempio se chiamiamo Ua l’utile del prossimo esercizio di una impresa a, ipotizziamo tre

scenari possibili di risultato con diverse probabilità, la rappresentazione della variabile

aleatoria Ua sarebbe la seguente:

Ua = (50,100,150; 25%,50%,25%)

Scenario Utile (mln €) Probabilità

Cattivo 50 25%

Normale 100 50%

Buono 150 25%

Le caratteristiche di una variabile aleatoria aziendale sono percepibili nell’immediato solo

quando questa è descritta da un numero limitato di scenari. Nella realtà il confronto fra

variabili aleatorie viene effettuato mediante degli indicatori sintetici. Nel risk management le

tre principali classi di indicatori sono:

Gli indicatori di posizione: il valore atteso;

Gli indicatori di rischio: lo scarto quadratico medio, la perdita massima potenziale e il

concetto di VaR (value at risk);

Gli indicatori di simmetria.

52 Questi contributi sono offerti da una interpretazione aziendalistica di concetti statistici eseguita da Floreani nelle sue due opere citate in bibliografia.

33

1.5.2 Il valore atteso

Il principale indicatore di posizione è il valore atteso: indica il risultato medio che si

otterrebbe se fosse possibile ripetere indefinitamente l’esperimento che coinvolge la variabile

aleatoria in esame. Il valore atteso si calcola come una media delle possibili realizzazioni della

variabile aleatoria, ponderata per le rispettive probabilità.

E(Ua) = 50*25% + 100*50% + 150*25%

Il valore atteso rappresenta il primo e principale parametro a cui guardare per avere una

prima idea delle caratteristiche della variabile aleatoria ed è dotato di due importanti

proprietà:

Additività: l’additività afferma che il valore atteso della somma di due variabili

aleatorie è pari alla somma dei valori attesi delle variabili aleatorie di partenza;

Linearità: la linearità afferma che il valore atteso di una trasformazione lineare di una

variabile aleatoria è pari alla trasformazione lineare del valore atteso della variabile

aleatoria originaria.

1.5.3 Gli indicatori di rischio

1.5.3.1 Lo scarto quadratico medio

Lo scarto quadratico medio () indica di quanto mediamente le realizzazioni della variabile

aleatoria si scosteranno dal valore atteso: è una media delle possibili distanze dal valore atteso

che considera sia le manifestazioni peggiori della media (downside risk), sia quelle migliori

(upside risk). Riprendendo l’esempio della variabile Ua, nello scenario cattivo si ha uno scarto

dal valore atteso di 50, nello scenario normale uno scarto nullo mentre in quello favorevole

uno scarto di 50. Lo scarto medio sarebbe dato da:

50*25% + 0*50% + 50*25% = 25

Invece per calcolare lo scarto quadratico medio è necessario elevare al quadrato gli scarti,

farne la media ponderata per le probabilità ed estrarre la radice quadrata. La media ponderata

per le probabilità è detta varianza (2). Nel caso di Ua:

2(Ua) = 502*25% + 02*50% + 502*25% = 1250

(Ua) = 35,35

34

La radice quadrata della varianza è lo scarto quadratico medio che indica di quanto si può

mediamente scostare dal valore atteso, l’effettiva realizzazione di una variabile aleatoria. Nel

risk management allo scarto quadratico medio viene spesso preferito il value at risk (VaR) in

quanto quest’ultimo indicatore è ritenuto più semplice e intuitivo (ne parleremo in seguito).

1.5.3.2 La perdita massima potenziale

La perdita massima potenziale (PMP) è un indicatore utilizzato soprattutto in circostanze

interessate da rischio di downside, cioè dalla possibilità che si verifichino scenari avversi che

comportano perdite per l’azienda. La PMP rappresenta la perdita conseguibile nello scenario

peggiore. La PMP applicata a variabili aleatorie monetarie, fornisce un’indicazione

probabilistica delle perdite a cui si può andare incontro mantenendo una determinata

esposizione al rischio. La PMP indica la massima perdita a cui si può andare incontro, a meno

che non si verifichi uno scenario eccezionalmente negativo, dotato di una probabilità di

realizzazione prefissata e molto bassa (es. 1%). Per questo motivo è importante definire

preliminarmente il livello di confidenza desiderato:

Con livello di confidenza al 99,9%, la PMP sarà utilizzata per indicare il massimo

livello di perdita a meno di scenari del tutto eccezionali (1 caso su 1000).

Con livello di confidenza al 95%, la PMP indica un livello di perdite improbabile ma

non del tutto eccezionale (1 caso peggiore ogni 20).

Tuttavia la PMP non è considerata una buona misura di rischio, sia perché non si hanno

informazioni su cosa accada quando si supera la PMP, sia perché è una misura non

subadditiva53. Viene comunque ritenuta un adeguato indicatore del rischio di downside.

1.5.3.3 Il concetto di VaR

La definizione del value at risk è da riferire alla distanza tra la perdita massima potenziale e il

valore atteso: il value at risk di una variabile aleatoria monetaria di flusso è la differenza tra il

valore atteso della variabile aleatoria e il percentile a cui corrisponde il livello di confidenza

prefissato. Nel linguaggio aziendale al temine value at risk viene spesso sostituita una

53 Subadditività: il rischio della somma di due variabili aleatorie è inferiore alla somma dei rischi delle variabili aleatorie singolarmente analizzate, tranne nel caso in cui vi sia una perfetta correlazione tra di esse. Per chi deve prendere decisioni razionali, la non additività dei rischi determina un aumento della complessità. Implica infatti la non separabilità delle decisioni dal contesto aziendale di riferimento. La subadditività dei rischi è una proprietà desiderabile per chi è avverso ai rischi. Infatti il rischio complessivo di un’azienda è inferiore alla somma dei rischi delle singole fonti di rischio. Tale proprietà è alla base della teoria della diversificazione, estremamente importante nel risk management. (Floreani, Introduzione al Risk Management, 2005) op.cit. pag. 14

35

denominazione in grado di richiamare la variabile aleatoria su cui l’indicatore di rischio è

calcolato. Ad esempio il VaR calcolato sull’utile di esercizio di un’impresa viene denominato

earning at risk (EaR) mentre quello calcolato sui flussi monetari prodotti dall’impresa è detto

cash flow at risk (CFaR).

Il VaR è una misura statistica che sintetizza il rischio attraverso una distribuzione di

probabilità dei potenziali profitti e delle perdite: indica la perdita peggiore a cui è possibile

andare incontro, in condizioni di mercato normali, dato un certo livello di confidenza, in un

certo intervallo di tempo. Nella pratica quotidiana esistono diverse metodologie per il calcolo

del VaR, ognuna con i suoi punti di forza e di debolezza. Le più utilizzate sono54:

Le metodologie analitiche (o parametriche): I metodi analitici sono basati su una

serie di ipotesi, la più importante delle quali vuole che la distribuzione empirica dei

profitti e delle perdite (la distribuzione dei rendimenti) abbia una determinata forma,

cioè sia una distribuzione normale;

La simulazione storica: Tale metodologia tenta di predire come i prezzi si

muoveranno in futuro sulla base dell’analisi degli eventi di mercato passati. I

rendimenti storici sono esplorati in modo tale da generare un gran numero di scenari

di mercato realistici. Il VaR viene in questo caso stimato sulla base della distribuzione

empirica dei profitti e delle perdite potenziali costruiti sugli scenari simulati;

Il metodo di Monte Carlo: Tale metodo presenta alcune similitudini con la

simulazione storica, in quanto anch’esso simula una serie di scenari sulla base di dati

storici. A differenza della simulazione storica tuttavia è necessario presupporre una

precisa distribuzione di probabilità per i fattori di rischio, e questo costituisce un

punto di contatto con le metodologie analitiche. Il punto di forza del metodo Monte

Carlo è che consente di generare un numero molto elevato di scenari. I dati storici

sono utilizzati per determinare i parametri (ad esempio la media, la volatilità e le

correlazioni) con cui descrivere la distribuzione di probabilità scelta.

I tre gruppi di metodologie sono basati su ipotesi molto diverse tra loro e per tale motivo i

risultati che si ottengono possono differire sensibilmente. Il value at risk è la misura di rischio

attualmente più utilizzata nella pratica. Il suo successo è dovuta alla sua intuitività. Inoltre, in

54 Cfr. (Rischio e calcolo del VaR, 1996)

36

circostanze particolari, il value at risk fornisce le medesime informazioni dello scarto

quadratico medio. Ciò si verifica, ad esempio, quando la variabile aleatoria di riferimento ha

una distribuzione normale. In questo caso la conoscenza del value at risk permette

univocamente di ricavare lo scarto quadratico medio della distribuzione e viceversa.

1.5.4 L’asimmetria

Due variabili aleatorie aziendali possono essere profondamente diverse pur avendo uguale

valore atteso e scarto quadratico medio. Ciò che le rende differenti è l’asimmetria positiva o

negativa. Nel caso di asimmetria positiva, la variabilità è prevalentemente determinata dalle

opportunità (upside risk), mentre nel caso di asimmetria negativa, la variabilità è

prevalentemente determinata dalle minacce (downside risk). Per distinguere variabili aleatorie

con differente asimmetria:

Si affianca al valore atteso e allo scarto quadratico medio un indicatore capace di

evidenziare se la dispersione dei valori della variabile aleatoria dipenda maggiormente

dagli scenari positivi o da quelli negativi;

Si determinano due indicatori di rischio, uno per misurare il downside e uno per

l’upside;

Si affianca ad una misura di rischio che considera opportunità e minacce, una misura

del solo rischio di downside, considerato più rilevante.

Rappresentare una variabile aleatoria mediante degli indicatori sintetici, permette di iniziare

a descrivere una realtà complessa limitando la perdita di informazioni. Tali indicatori

permettono al risk management di prendere delle decisioni in maniera consapevole. Tuttavia

l’analisi tecnica di una variabile aleatoria, deve continuare verso la quantificazione del suo

valore per l’azienda in esame. Cioè andrà valutato il costo-opportunità di “acquisire” o

“cedere” quella specifica variabile. Nella realtà la stima di una variabile aleatoria è molto

complessa e proprio di questi aspetti si occupa la fase di risk assessment, una delle principali

tappe del processo di risk management, di cui parleremo nel prossimo capitolo.

37

CAPITOLO 2 – LA GESTIONE DEI RISCHI D’IMPRESA: DAI

PROCESSI DI RISK MANAGEMENT ALL’ENTERPRISE RISK

MANAGEMENT

2.1 Le strategie di gestione dei rischi aziendali

Prima di focalizzare l’attenzione sul concetto di risk management e sulla sua evoluzione verso

una gestione integrata dei rischi aziendali (Enterprise Risk Management - ERM), ci

focalizzeremo sulle principali strategie adottate per fronteggiare internamente ed

esternamente i rischi.

Arthur Andersen55 affermava che: “la gestione dei rischi costituisce l’elemento caratterizzante

la gestione d’impresa, di qualsiasi impresa: saper gestire adeguatamente tutti i rischi cui

un’attività aziendale è esposta, rappresenta l’elemento essenziale del successo”. Quindi

un’impresa deve conoscere e comprendere i rischi a cui è potenzialmente esposta,

identificandone la portata e collegando il piano di risk management alle strategie aziendali.

Nonostante sia necessaria un’apposita funzione interna preposta al presidio e al controllo dei

rischi (risk management), si possono identificare una serie di politiche e decisioni che

l’impresa può porre in essere al fine di una preliminare gestione del rischio. Come evidenziato

da Crouhy56, le possibili strategie sono quattro:

1. Non compiere alcuna attività così da evitare il rischio ad esse associato: ciò può

comportare la perdita di opportunità per l’impresa, è un comportamento tipico dei

soggetti avversi al rischio, cioè da chi lo evita invece di gestirlo o sfruttarlo;

2. Trasferire il rischio a terzi attraverso assicurazioni, strumenti di copertura o

outsourcing: il trasferimento implica dei costi legati al servizio, ma tali strategie,

opportunamente gestite, riescono ad eliminare i rischi connessi;

3. Mitigare il rischio attraverso controlli preventivi: prevede una serie di controlli interni

per prevenire la manifestazione dei rischi;

55 Fondatore nel 1913 della società Arthur Andersen, che è stata per lungo tempo una delle principali società multinazionali di revisione di bilancio e consulenza a livello mondiale, parte delle "Big Five", gruppo delle principali società di revisione di bilancio e consulenza per grandi aziende. Nel 2002 la società statunitense del gruppoha rimesso la sua licenza di "Certified Public Accountant" a causa del processo Enron. Questo ha generato a catena la frammentazione del gruppo a livello mondiale, con le società di ciascun paese che sono in breve tempo confluite, attraverso acquisizioni o fusioni, nelle rimanenti "Big Four". da www.wikipedia.org 56 Cfr. (Crouhy, 2006)

38

4. Accettare il rischio riconoscendo che le attività rischiose possono creare valore per gli

azionisti: atteggiamento tipico di soggetti propensi all’assunzione di rischio a scopo

speculativo.

Il mix tra trasferimento, mitigazione e accettazione del rischio, risulta essere la strategia

migliore che si espleta mediante delle politiche interne o esterne all’impresa stessa.

2.1.1 Le strategie interne di gestione

In questa categoria rientrano tutte le strategie volte alla mitigazione e all’accettazione del

rischio. Ci riferiamo alle cosiddette tecniche di controllo57, che agiscono direttamente sulle

caratteristiche intrinseche delle determinanti di rischio e possono prevedere l’eliminazione

dei rischi o la loro riduzione mediante la prevenzione o la protezione. Le tecniche di

prevenzione hanno l’obiettivo di eliminare o ridurre la probabilità di manifestazione degli

eventi dannosi quindi sono legati alle ipotesi in cui il fattore di rischio è, almeno in parte,

controllabile da parte dell’impresa. Le tecniche di protezione, invece, hanno l’obiettivo di

limitare le conseguenze derivanti dal verificarsi dei fenomeni rischiosi e si applicano a rischi

particolari che derivano da cause non controllabili da parte dell’impresa. Si prenderanno ad

esempio le strategie interne di gestione riferibili al rischio operativo e al rischio finanziario.

Per quanto concerne il rischio operativo, sono tre le principali strategie interne per gestire e

mitigare tale rischio58:

Riduzione delle perdite: a tal fine l’impresa dovrebbe cercare di mitigare i costi legati

agli errori che possono sorgere a seguito di inefficienze nel processo produttivo o

nello svolgimento delle varie attività, dunque dovrà porre in essere un costante

efficientamento del processo produttivo. Quest’ultimo consiste nel ricercare tutti gli

elementi, gli eventi e i modi di fare degli operatori che potrebbero creare costi

eccedenti rispetto al budget previsto;

Prevenzione delle perdite: tale strategia può essere perseguita attraverso la

pianificazione delle attività e la corretta dotazione di materiali e macchinari che

permettono un risparmio negli sprechi;

Evitare l’esposizione: evitare completamente le attività idonee a creare perdite.

57 Cfr. (Crestani, 2012) 58 Cfr. (Segatto, 2013)

39

Per quanto riguarda i rischi finanziari, la loro prevenzione si realizza agendo sulle loro

determinanti come le scelte di struttura finanziaria, le modalità di regolamento delle

transazioni, la selezione della clientela ecc. Riportiamo alcuni esempi:

La prevenzione del rischio di tasso di interesse su un finanziamento può essere

effettuata quando sia l’incidenza degli oneri finanziari che l’ammontare di capitale da

rimborsare, vengono trasformati in dati certi permettendo all’azienda di pianificare le

proprie uscite e di eliminare l’incertezza legata alle eventuali variazioni del livello dei

tassi di mercato;

La prevenzione del rischio di liquidità si realizza solamente attraverso la

pianificazione finanziaria ovvero attraverso politiche di gestione dei flussi finanziari

che siano finalizzate a garantire la coerenza temporale e dimensionale tra entrate e

uscite monetarie;

La prevenzione del rischio di cambio può essere attuata contrapponendo ai flussi

finanziari in entrata, dei flussi finanziari in uscita che abbiano uguale importo

nominale e uguale valuta, in modo tale che il saldo di tali flussi per ammontare e

scadenza si annulli.

La prevenzione del rischio di credito, invece, è difficilmente realizzabile dall’impresa

in quanto dipende prevalentemente da fattori esterni all’impresa e non controllabili.

Per tale ragione, molte volte le imprese sono costrette ad adottare interventi ex-post

(strategie esterne) di copertura o trasferimento dei rischi stessi.

2.1.2 Le strategie esterne di gestione

Nel caso in cui gli strumenti interni di prevenzione e mitigazione non siano sufficienti a

ridurre i rischi al di sotto del limite tollerabile, l’impresa può affidarsi alle strategie esterne di

gestione dette strategie di copertura o hedging, attraverso degli strumenti di trasferimento

dei rischi che permettono di agire sugli effetti prodotti dagli eventi dannosi anziché sulle

cause che li determinano. Gli strumenti a cui ci riferiamo sono i contratti derivati e le polizze

assicurative. I rischi che tipicamente si prestano all’adozione di queste politiche sono i rischi

finanziari e di mercato per quanto riguarda l’uso dei derivati, mentre l’assicurazione permette

di gestire rischi operativi e alcuni rischi di business.

Nel caso dei derivati il soggetto offerente è rappresentato dall’intermediario creditizio,

mentre nel secondo caso dalla compagnia di assicurazione. Gli strumenti finanziari di

40

trasferimento possono essere standardizzati o non standardizzati, a seconda che siano

negoziati in mercati regolamentati o in mercati over the counter e possono, essi stessi, generare

rischi finanziari che, in funzione dell’andamento delle variabili di mercato, potrebbero

contribuire ad incrementare il livello complessivo di esposizione aziendale anziché ridurne il

grado di rischiosità. Al contrario, gli strumenti assicurativi di trasferimento operano

esclusivamente in termini riduttivi del rischio intervenendo sugli effetti negativi prodotti

dall’evento dannoso, non dispongono di mercati secondari e vincolano le parti fino alla

scadenza o fino a una loro revoca anticipata59.

I contratti derivati

Gli strumenti finanziari derivati sono contratti il cui valore dipende dall'andamento di

un'attività sottostante nota anche come "underlying asset". Le attività sottostanti possono avere

natura finanziaria (come ad esempio i titoli azionari, i tassi di interesse e di cambio, gli indici)

o reale (come ad esempio il caffè, il cacao, l'oro, il petrolio, ecc.). Gli strumenti finanziari

derivati possono essere simmetrici o asimmetrici. Nel primo caso entrambi i contraenti

(acquirente e venditore) si impegnano ad effettuare una prestazione alla data di scadenza,

viceversa, nei derivati asimmetrici, soltanto il venditore è obbligato a soddisfare la volontà

del compratore. Nei derivati asimmetrici, infatti, il compratore, pagando un prezzo (detto

premio), acquisisce il diritto di decidere in data futura se effettuare oppure no la

compravendita del bene sottostante. Un’ulteriore distinzione concerne i derivati negoziati sui

mercati regolamentati ed i derivati over-the-counter (OTC). I primi sono rappresentati da

contratti le cui caratteristiche sono standardizzate e definite dall’autorità del mercato su cui

vengono negoziati; tali caratteristiche riguardano l’attività sottostante, la durata, il taglio

minimo di negoziazione, le modalità di liquidazione, ecc.

I contratti derivati prevedono un rapporto bilaterale tra banca e impresa e i contenuti tecnico-

operativi possono essere definiti sulla base delle specifiche esigenze delle parti o avere

carattere standardizzato. Nel caso in cui i contenuti tecnico-operativi siano definiti sulla base

delle specifiche esigenze delle parti, se da un lato si ha la possibilità di eliminare in modo

pressoché totale il rischio che si intende coprire, dall’altro si ha una ridotta possibilità di

scambio e un basso livello di liquidità dei contratti dovuti alla loro forte specificità. Al

contrario, i contratti standardizzati, se da un lato sono caratterizzati da dimensioni e

condizioni generali che ne facilitano la diffusione e lo scambio, dall’altro lato hanno una

59 Cfr. (Crestani, 2012)

41

limitata capacità di trasferire integralmente i rischi finanziari. Difficilmente, infatti, un

contratto preconfezionato sarà in grado di adattarsi per importo, valuta e scadenza alla

posizione aperta che l’impresa intende coprire. Gli strumenti derivati più diffusi sono i

forward, i futures, gli swap e le opzioni, tuttavia non andremo ad approfondire le singole

tipologie di strumento in questa sede.

Le polizze assicurative

Tra le strategie esterne di gestione annoveriamo anche gli strumenti assicurativi, contratti che

prevedono il trasferimento di un rischio ad una compagnia di assicurazione previo

pagamento di un premio. Sono strumenti che operano in ottica risarcitoria ossia operano ex-

post rispetto al verificarsi dell’evento dannoso. Infatti, un rischio che non si può eliminare,

ridurre o assumere in proprio, si può assicurare.

Mentre gli strumenti finanziari di copertura permettono di gestire sia i rischi puri che i rischi

speculativi, gli strumenti assicurativi permettono di realizzare la copertura solamente dei

rischi puri. Il vantaggio principale derivante del trasferimento del rischio a terzi è quello di

trasformare l’incertezza del verificarsi dell’evento dannoso e delle conseguenze economiche,

in un costo conosciuto: il premio della polizza. Gli altri vantaggi sono riconducibili a:

agevolazioni nell’ottenimento di finanziamenti, assorbimento del rischio, consulenza

continua in materia da parte della compagnia assicurativa.

Quando si stipula una polizza, si può decidere la quantità di rischi dai quali coprirsi: ci si può

coprire da tutti i rischi o ci si può coprire solo dai grandi rischi, cioè da quelli non tollerabili.

E’ chiaro che nel primo caso la polizza sarà molto più costosa rispetto al secondo. Solo

lavorando sulle quantità ossia fissando il limite di rischio non tollerabile e coprendosi solo da

quest’ultimo, è possibile ridurre il costo della copertura.

I rischi che maggiormente si prestano alla copertura mediante polizza sono il rischio

operativo e il rischio di credito. Per il primo, i rischi relativi a danni, interruzione dei processi

o fallimento del sistema, possono essere esternalizzati efficacemente con le polizze a

rimborso dei costi che si manifestano; mentre per il secondo, nel caso ad esempio, di crediti

commerciali insoluti, la compagnia assicuratrice provvederà per conto dell’assicurato al

recupero del credito.

42

Nel prossimo capitolo verrà analizzato tutto il processo di risk management, che non si limita

alla scelta della migliore strategia di gestione, ma che prevede una serie di fasi che vanno

dall’identificazione dei rischi fino al monitoraggio costante delle strategie adottate.

2.2 Definizione ed evoluzione del sistema di Risk Management

L’attuale contesto macroeconomico, caratterizzato da elevata incertezza e instabilità, cresce

il numero dei rischi a cui le imprese sono esposte, inoltre l’esigenza imprenditoriale di dover

gestire simultaneamente più obiettivi strategici, porta ad un continuo accrescimento della

rischiosità e della volatilità. La gestione del rischio in tale contesto appare particolarmente

critica e complessa.

Come abbiamo avuto modo di valutare nel primo capitolo, il concetto stesso di rischio ha

subito un’evoluzione nel corso del tempo, passando da una visione del rischio downside (solo

minacce), alla considerazione anche dell’aspetto upside (considerare anche i vantaggi

connessi all’assunzione dei rischi). In concomitanza a tale evoluzione, si è assistito anche ad

importanti variazioni nell’approccio alla gestione dei rischi e quindi del sistema di risk

management. In questo paragrafo andremo infatti a definire preliminarmente il risk

management, per poi presentare un excursus in merito alla sua evoluzione pratica e

concettuale nel tempo.

L’attività di gestione dei rischi o risk management, consiste nell’identificazione dei fattori di

rischio, nella misurazione dell’esposizione da essi derivante e nel costante monitoraggio con

lo scopo di valutare la convenienza della realizzazione di operazioni di trasferimento dei

rischi sul mercato finanziario e assicurativo o di interventi correttivi sulle posizioni

originarie60. Secondo Urciuoli e Crenca61, il risk management è “il processo che tende a

salvaguardare il patrimonio dell’impresa contro le perdite che possono colpirla nell’esercizio

della propria attività, attraverso l’uso di strumenti di varia natura (prevenzione, ritenzione,

assicurativo, ecc.) e nelle migliori condizioni di costo.”

A partire dagli anni Venti la letteratura italiana e internazionale ha iniziato ad evidenziare la

stretta relazione tra la gestione dell’impresa ed il rischio, inteso nell’accezione negativa, come

condizione di incertezza da cui può derivare il pericolo di insuccesso nell’agire dell’impresa.

In questo periodo Henry Fayol62 individuò l’esigenza di predisporre un organo aziendale che

60 Cfr. (Potrich, n.16 - 2002) 61 Cfr. (Crenca, 1989) 62 Cfr. (Henry, 1916)

43

si dedicasse costantemente alla gestione delle polizze assicurative e dei relativi rischi. Infatti

a partire dal suo contributo, la gestione del rischio nelle organizzazioni, assunse un carattere

di processo, cioè di sistema di attività tra loro collegate, volte alla protezione dell’impresa da

eventi avversi. Negli anni Cinquanta si rileva la vera nascita del concetto più moderno di risk

management negli Stati Uniti, grazie al contributo di una serie di accademici sull’Harvard

Business Review. In questa fase si registra il passaggio dall’Insurance Management, al Risk

Management. Quest’ultimo doveva diventare un insieme di strumenti volti ad eliminare

gradualmente il tradizionale approccio assicurativo per abbracciare una logica di gestione

interna dei rischi. Negli anni Sessanta, il risk management si diffuse anche in Europa e iniziò

ad ottenere una certa rilevanza anche a livello istituzionale. A questo periodo risalgono i primi

principi e linee guida sul tema proposti da Robert Mehr e Bob Hedges, considerati i padri del

risk management, i quali nel 1963 pubblicarono “Risk Management in the Business

Enterprise”, il primo testo che ha individuato le diverse fasi del processo di gestione del

rischio, con l’obiettivo di massimizzare l’efficienza produttiva dell’impresa63. Negli anni

Settanta, invece, si rilevano i primi tentativi volti a realizzare in maniera operativa, una

gestione appropriata dei rischi. Infatti in questo periodo nascono i primi approcci alla

gestione dei rischi in ottica integrata: si distinguono per la prima volta i rischi puri, in grado

di generare solo perdite, dai rischi imprenditoriali, in grado di generare anche guadagni64.

Questa nuova percezione dei rischi ha portato all’affermarsi di due scuole di pensiero: una

che identifica la gestione del rischio con un approccio di tipo finanziario, l’altra che sostiene

la gestione del rischio nei processi aziendali. Questi due orientamenti non sono gli unici: nei

decenni successivi si sono diffusi una serie di approcci al risk management con metodologie

differenti di gestione del rischio (ci occuperemo successivamente di alcuni approcci). Dagli

anni Ottanta in poi, infatti, si rileva una notevole evoluzione e diffusione di differenti

orientamenti alla gestione del rischio in azienda: era ormai assodato che un’attenta attività di

gestione dei rischi poteva consentire all’impresa non solo di risparmiare dei costi ma anche

di sfruttare delle opportunità. Nei decenni successivi, infine, si riscontra un avvicendarsi di

diversi approcci alla gestione dei rischi caratterizzati da contributi teorici e applicativi con

caratteristiche indipendenti e finalità diverse. Alcuni di questi filoni verranno analizzati

successivamente, ma principalmente si andrà a delineare la gestione integrata dei rischi

prevista dall’Enterprise Risk Management (ERM). Tendenzialmente si può affermare che il

63 Cfr. (Monda & Giorgino, Dal risk management all'enterprise risk management, 2013) 64 Cfr. (Gaudenzi, 2006)

44

risk management si evolve da un’attività settoriale, limitata all’analisi di particolari tipologie

di rischio commissionata a pochi referenti aziendali, ad un approccio maggiormente integrato

che coinvolge un maggior numero di rischi e una molteplicità di attori. Si rileva il passaggio

dal Traditional Risk Management (TRM) all’Enterprise Risk Management (ERM). In tabella

si riportano i principali stadi di sviluppo del Risk Management mutuate dalla ricostruzione

effettuata da Marco Giorgino e Barbara Monda:

Anni ‘60

Le prime forme di risk management erano finalizzate alla sola gestione dei rischi

puri, quelli che si prestano bene ad essere assicurati perché:

Il risk management iniziò a svilupparsi ad opera di soggetti che lavoravano nel

campo assicurativo e quindi focalizzati su quella tipologia di rischio;

Negli anni ’60 la maggior parte delle minacce aziendali proveniva da rischi puri in

quanto non vi era particolare interesse nei confronti dei rischi finanziari (tassi di

cambio fissi, inflazione e tassi di interesse stabili)

L’obiettivo del risk management consisteva quindi, nella mera riduzione delle perdite:

era un approccio di tipo difensivo e di minimizzazione delle perdite nel breve periodo.

Anni ’70-‘80

Le crisi finanziarie che hanno interessato gli anni ’70 hanno introdotto i rischi finanziari

come ulteriore fonte di incertezza. L’instabilità dei tassi di cambio, l’aumento dei prezzi

del petrolio e la lotta all’inflazione con l’immissione di liquidità, portò ad un rapido

incremento dei tassi d’interesse con effetti significativi sugli asset aziendali. Il secondo

stadio del risk management si focalizza quindi sulla volatilità del business e dei

risultati finanziari, possibile grazie allo sviluppo degli strumenti derivati. Nascono le

prime tecniche di ART Alternative Risk Transfer, studiate per garantire il trasferimento

dei rischi non assicurabili sul mercato e per offrire un’alternativa efficiente di

trasferimento dei rischi tradizionalmente accettati dal mercato.

Anni ‘90

La terza fase di sviluppo del risk management si focalizza sull’ottimizzazione delle

performance aziendali, a partire dalla progressiva integrazione nella gestione delle

diverse tipologie di rischio fino ai processi di razionalizzazione delle strategie di

individuazione e trasferimento dei rischi. Il rischio, se ben gestito, comincia a non

avere una connotazione meramente negativa, diventando una leva per creare vantaggio

competitivo.

Anni 2000

L’ultima fase di sviluppo del risk management si è indirizzata verso una gestione

sempre più integrata del rischio e nell’abbandono di una logica meramente difensiva a

favore di un approccio proattivo e finalizzato ad incrementare le performance.

45

2.2.1 Gli obiettivi e il processo di Risk Management

Lo Standard di Risk Management di Ferma65, definisce il risk management come parte

integrante del management strategico di ogni organizzazione. È il processo attraverso il quale

le organizzazioni affrontano i rischi legati alle loro attività con lo scopo di ottenere benefici

durevoli nell’ambito di ogni attività. La base di un buon risk management consiste

nell’identificazione e nel trattamento di questi rischi. Il suo scopo è di conferire il massimo

valore sostenibile ad ogni attività dell’organizzazione.

Come discusso nel primo capitolo, i rischi che minacciano un’organizzazione e la sua gestione

possono avere origine da fattori sia esterni che interni. Il seguente diagramma li riassume:

Tabella n.1 - Fattori di stimolo dei rischi principali - (FERMA, 2003)

65 (FERMA, 2003) Lo Standard di Risk Management è il risultato del lavoro di un team creato dalle più importanti organizzazioni di risk management del Regno Unito - The Institute of Risk Management (IRM), The Association of Insurance and Risk Managers (AIRMIC) e ALARM, The National Forum for Risk Management in the Public Sector. Esso rappresenta il punto di riferimento principale nella definizione degli obiettivi e del processo di risk management a livello europeo.

46

La struttura del processo di risk management può avere molteplici articolazioni, infatti in

letteratura sono presenti numerose proposte alternative, ma sostanzialmente l’approccio

standard è quello teorizzato da Ferma. Le fasi centrali che caratterizzano qualsiasi approccio

sono l’identificazione (risk identification), la stima (risk estimation) e la gestione (risk treatment).

Figura n.2 - Rielaborazione personale del processo di risk management proposto da Ferma

Il risk management protegge e dà valore all’organizzazione e ai suoi stakeholder, sostenendo

gli obiettivi dell’organizzazione con:

La predisposizione di un quadro metodologico che consente uno svolgimento

coerente e controllato di ogni futura attività;

Il miglioramento del processo decisionale, della pianificazione e della creazione di

priorità attraverso una comprensione esauriente e strutturata dell’attività

commerciale, della volatilità e degli elementi positivi /negativi del progetto;

Risk

Identification

Risk

Estimation

Risk

Treatment

Risk

Assessment

Risk

Reporting

Risk

Monitoring

47

Il contributo ad un utilizzo/allocazione più efficace del capitale e delle risorse

all’interno dell’organizzazione;

La riduzione della volatilità nelle aree non essenziali dell’attività;

La protezione e il potenziamento del patrimonio e dell’immagine aziendale;

Lo sviluppo e il sostegno delle persone e della base di conoscenza

dell’organizzazione;

L’ottimizzazione dell’efficienza operativa.

Gli obiettivi strategici

Gli obiettivi strategici e il contesto di mercato in cui si muove l’impresa contribuiscono a

determinare l’atteggiamento della stessa di fronte alle varie tipologie di rischio, le risorse da

dedicare all’attività di risk management, la sua strutturazione e i criteri da adottare per la

valutazione e il trattamento dei rischi. Tale aspetto è particolarmente complesso in quanto

ogni impresa ha obiettivi, risorse e criteri propri. Considerando in linea generale lo shareholder

approach, l’obiettivo dell’impresa è quello di massimizzare il valore aziendale a favore degli

azionisti. In tale ottica:

L’obiettivo dell’attività di risk management è quello di contribuire a creare valore per

gli azionisti;

Le risorse assegnate al risk management e la struttura del processo sono tali da

massimizzare la differenza tra valore aziendale e costi del processo di risk

management;

Il criterio adottato è quello del massimo valore aziendale creato a fronte delle diverse

alternative decisionali.

Dunque la riduzione dei rischi aziendali sarebbe auspicabile solo quanto contribuisce a creare

valore aziendale, cioè se i benefici economici derivanti dalla riduzione dei rischi sono

maggiori dei costi che è necessario sostenere per ottenerla66.

Risk Assessment

Questa fase consiste nella identificazione, descrizione, stima, integrazione e valutazione dei

rischi.

66 Cfr. (Floreani, Introduzione al Risk Management, 2005)

48

Identificazione – tale fase consiste nell’individuare le fonti di aleatorietà, cioè quegli eventi

rischiosi che possono determinare effetti inattesi sugli obiettivi dell’impresa. La mancata o

non corretta identificazione dei rischi può pregiudicare il successo di determinati progetti o

mettere in pericolo l’equilibrio economico-patrimoniale dell’azienda. L’identificazione del

rischio va affrontata con metodo per garantire che tutte le attività significative all’interno

dell’organizzazione siano state individuate e che tutti i rischi derivanti da tali attività siano

stati determinati.

Descrizione – tale fase consiste nel descrivere le principali caratteristiche dei singoli rischi

identificati secondo una modalità standardizzata. La descrizione serve da un lato ad agevolare

le successive fasi del processo, dall’altro a disporre in ogni momento di un’informativa

sintetica e aggiornata dei rischi. La descrizione dei rischi deve avvenire in forma strutturata,

ad esempio mediante una tabella che può favorire la valutazione dei rischi descritti.

Tabella n.3 - Descrizione del rischio - (FERMA, 2003)

Stima – rappresenta la fase centrale del risk assessment. Attraverso opportune tecniche, si

procede a definire probabilità e conseguenze del rischio. La stima del rischio può essere

quantitativa, semi-quantitativa o qualitativa in termini di probabilità dell’evento e di possibili

conseguenze. Le conseguenze in termini sia di minacce (rischi negativi) sia di opportunità

(rischi positivi) possono essere alte, medie o basse. Il diverso grado di probabilità richiede

definizioni distinte in quanto a minacce e opportunità. Stimare quantitativamente un rischio,

significa determinare sia la distribuzione di probabilità delle variabili aleatorie obiettivo, sia

49

degli indicatori sintetici più importanti. Le tecniche di stima qualitative e semi-qualitative si

limitano, invece, a fornire una descrizione qualitativa o numerica delle possibili frequenze e

conseguenze del rischio.

Tabella n.4 - Minacce & Opportunità - (FERMA, 2003)

Probabilità dell’evento: Minacce Vs. Opportunità

Integrazione67 - questa fase consiste nell’aggregazione di tutti i rischi individuati e stimati, e

nella stima dell’impatto che ciascuno di questi ha sulla rischiosità complessiva dell’impresa

(rischio incrementale). Tale aspetto risulta di particolare importanza nell’ enterprise risk

management.

Valutazione – con questa fase si conclude il processo di risk assessment. Si vanno a

confrontare i rischi stimati e i criteri di rischio fissati dall’organizzazione. Essi possono

comprendere costi e benefici associati, requisiti legali, fattori socioeconomici ed ambientali,

questioni riguardanti gli stakeholder, ecc. La valutazione del rischio serve quindi a definire la

rilevanza dei rischi per l’organizzazione e l’accettazione o meno di ogni rischio specifico.

67 (Floreani, Introduzione al Risk Management, 2005)

50

2.2.1.1 Risk Reporting

Il risk assessment genera un report sintetico volto ad evidenziare i principali risultati

dell’analisi e permettere ai responsabili aziendali di prendere le adeguate decisioni.

L’assessment è una fase tecnica, mentre il successivo risk treatment è una fase decisoria, di

responsabilità. Il report presenta il rischio così com’è o come sarà. Se il rischio risulterà

adeguato, non andrà trattato, ma al massimo monitorato, mentre se risulterà non adeguato,

l’intervento da porre in atto dovrà essere deciso nella fase successiva.

2.2.1.2 Risk Treatment

Il trattamento del rischio coincide con la fase di gestione del rischio. Rappresenta il processo

di selezione e di attuazione di misure che modificano il rischio. Questo processo ha come

elemento principale il controllo e la mitigazione del rischio, ma si estende fino a

comprendere, per esempio, l’eliminazione del rischio, il trasferimento del rischio, il

finanziamento del rischio ecc. Qualsiasi sistema di trattamento del rischio deve consentire

quanto meno:

Il funzionamento efficace ed efficiente dell’organizzazione;

Efficaci controlli interni;

La conformità alle leggi e ai regolamenti.

In questo momento del processo di risk management, si selezionano e implementano le

misure più adatte a modificare il profilo di rischio, in linea con gli obiettivi e i criteri stabiliti.

Si devono prendere delle decisioni aziendali in merito ai rischi esaminati. Alcune strategie di

gestione del rischio sono state descritte all’inizio del capitolo: ci sono quelle interne, quelle

esterne ma anche le modalità di gestione ex-ante ed ex-post.

Le misure ex-ante sono principalmente due:

Quelle di prevenzione/protezione, volte a ridurre la probabilità o le conseguenze del

downside risk;

Quelle di copertura, volte a controbilanciare il rischio originario assumendosi un

rischio aziendale con caratteristiche speculari a quello in essere.

51

Le misure ex-post invece, sono quelle azioni attuate dopo la manifestazione del rischio:

misure di contenimento, di riduzione del danno, crisis management68 ecc.

Dopo aver individuato ed implementato la modalità di gestione più adatta, è necessario

effettuare una nuova stima del rischio residuale. Questa genera un nuovo report sui rischi

residuali, che conclude il processo di risk management.

Risk Monitoring

Un’efficace gestione del rischio richiede una struttura di reporting e revisione che assicuri

l’efficace identificazione e valutazione dei rischi e l’esistenza di controlli e di risposte

adeguate. L’ultima fase del processo di risk management, infatti è quella di controllo o

monitoring.

Le organizzazioni sono dinamiche e operano in ambienti dinamici, quindi risulta

fondamentale identificare i cambiamenti interni ed esterni all’organizzazione ed effettuare le

opportune modifiche ai sistemi. Il processo di controllo deve garantire l’esistenza di un

monitoraggio adeguato delle attività dell’organizzazione, nonché la comprensione e il rispetto

delle procedure. Il processo di controllo e revisione consiste nello svolgimento delle seguenti

attività:

Controllo dell’esposizione al rischio e dell’andamento dei rischi assunti;

Reiterazione parziale o totale del processo di risk management in caso di modifiche

sostanziali alle condizioni di ambiente;

Validazione dell’efficacia del processo di risk management ed eventuale revisione

dello stesso;

Sottoporre il risk management all’auditing interno, verificando che le persone

chiamate a definire obiettivi, politiche, processi e procedure, agiscano correttamente.

2.2.2 I diversi approcci al Risk Management

Le principali fasi del processo di risk management sono per lo più condivise dalla maggior

parte degli approcci alla materia. Infatti l’articolazione del processo mantiene per lo più gli

stessi passaggi. I principali elementi di differenziazione tra i diversi filoni di risk management

possono essere ricondotti a diversi obiettivi dell’impresa e ad un diverso peso attribuito alle

fasi del processo e alle modalità di gestione adottati. Gli approcci che andremo a delineare

68 Con l’espressione crisis management si definisce il processo attraverso il quale una qualunque organizzazione fronteggia un evento che rischia di danneggiarla.

52

sono parziali rispetto a tutti quelli presenti in letteratura, ma funzionali a comprendere

l’evoluzione verso un approccio integrato alla gestione dei rischi.

Il contributo di Gaudenzi69, ci evidenzia che già a partire dagli anni Cinquanta nell’ambito

del Risk Management si erano affermate due scuole di pensiero, quella del Financial Risk

Management (FRM) e quella del Business Risk Management (BRM). Il FRM identificava il

risk manager come soggetto che dovesse gestire tutti i rischi dell’impresa mediante un

approccio integrato e trasversale e quindi con una gestione del rischio integrata in tutti i

processi e in tutte le funzioni aziendali. Il BRM, invece, indentificava il risk manager come

soggetto atto a gestire i soli rischi assicurabili, quindi concepiva il risk management come una

disciplina finanziaria/assicurativa. Successivamente, negli anni Ottanta, il FRM si evolve

verso una gestione simultanea sia dei rischi assicurabili che di quelli finanziari, quindi apre le

porte alla nascita del Financial risk management Integrato, diretto antenato dell’attuale

ERM70.

Dallo sviluppo di queste due scuole di pensiero, al fine di giungere ad una definizione

dell’ERM, possiamo identificare quattro principali filoni di risk management71:

1. Traditional risk management;

2. Financial risk management;

3. Project risk management;

4. Control risk management;

Traditional risk management (TRM)

Il risk management tradizionale si occupa dell’identificazione, stima e gestione dei rischi puri,

abbracciando una accezione di rischio solo negativa e trascurando la globalità dei rischi

aziendali. Si pone come obiettivo quello di creare valore aziendale. Il TRM è da molti

considerato l’antenato più vicino dell’ERM. Il passaggio dal TRM all’ERM è da considerarsi

maturo quando:

Un rischio aziendale viene valutato congiuntamente agli altri rischi e, di conseguenza,

risulta necessario considerare tutti i rischi aziendali adottando un approccio integrato;

69 Cfr. (Gaudenzi, 2006) 70 Cfr. (Gaudenzi, 2006) 71 Gli approcci qui riportati, non risultano esaustivi, ma funzionali al proseguimento della trattazione. Si veda a riguardo (Prandi, 2010) e (Cardin, 2014)

53

I rischi puri vengono messi in secondo piano, riconoscendo ai rischi strategici,

operativi e finanziari, la centralità nel contribuire al successo o insuccesso

dell’impresa.

Sono quattro le fasi che caratterizzano il TRM:

a) Identificazione dei potenziali rischi in grado di generare dei danni all’impresa. Si

organizza un sistema informativo in grado di descrivere in maniera esaustiva e chiara

il profilo di rischio al quale è esposta l’impresa;

b) Valutazione dei rischi a cui è esposta l’impresa. Questa fase si concretizza nella

conduzione di analisi di convenienza e quindi nella selezione del piano di gestione

ottimale;

c) Gestione dei rischi. Essa consiste nell’applicazione delle misure di prevenzione e

trasferimento a terzi individuate nella fase precedente;

d) Control risk. È un processo di continua verifica dei risultati raggiunti nel prevenire,

eliminare e gestire i rischi aziendali, e di eventuale identificazione e monitoraggio di

nuove esposizioni.

Financial Risk Management (FRM)

Il FRM è un ulteriore approccio alla gestione dei rischi che si focalizza esclusivamente sulla

gestione dei rischi finanziari, che possono riguardare tanto l’area operativa (cambiamenti

metereologici, variazione dei prezzi delle materie prime e così via) quanto l’area finanziaria

(variazione dei tassi di interesse, di cambio, ecc.)72. Il FRM rappresenta una funzione

aziendale che si pone lo scopo di assicurare l’allocazione ottimale del capitale aziendale,

garantendone la remunerazione nel tempo sotto opportune condizioni di rischio accettate,

che consentano all’impresa di sopravvivere nel tempo. Le tecniche di Capital Management73

e di Asset & Liability Management (ALM)74, largamente diffuse nel mondo bancario e

assicurativo, sono strettamente connesse a questo approccio che si concentra prettamente su

obiettivi di natura finanziaria. Le principali fasi che caratterizzano il FRM sono:

72 (Prandi, 2010) 73 La politica di capital management ha lo scopo di presidiare vincoli gestionali e regolamentari in modo da poter anticipare eventuali situazioni di criticità, ricostituendo le necessarie riserve di capitale. 74 Le tecniche di Asset & Liability Management mirano a definire e gestire il rischio che variazioni nel livello di interesse possono provocare sul conto economico di una organizzazione. Sono caratterizzate da tre momenti: distinzione tra attività e passività sensibili, misurazione del relativo gap e governo del gap, in relazione alla previsione sul futuro andamento dei tassi.

54

Individuare i vari possibili scenari di manifestazione e definire l’orizzonte

temporale di riferimento;

Determinare i flussi di cassa dell’attivo e del passivo per tipologia e scadenza in

modo da ottenere il matching tra attivo e passivo;

Riuscire a determinare l’andamento futuro dei tassi di interesse e dei flussi di

cassa avvalendosi di tecniche statistico-finanziarie la cui analisi e valutazione è

resa attendibile dalla possibilità di disporre di serie storiche consolidate.

Il FRM presenta gli stessi obiettivi dell’ERM, tuttavia, come affermato per il TRM, l’ambito

di analisi risulta ristretta ai soli rischi finanziari, trascurando i più rilevanti rischi operativi e

strategici.

Project risk management (PRM)

Il PRM si occupa più limitatamente dell’identificazione, dell’analisi e del trattamento dei rischi

associati a grandi opere di fornitura, ad esempio è molto utilizzato nell’industria edile o

meccanica. L’approccio al rischio previsto nel PRM risente dell’orientamento tecnico,

tecnologico e ingegneristico che caratterizza le grandi opere per cui potremmo parlare di

approccio qualitativo o semi-quantitativo piuttosto che di un approccio quantitativo. È

considerato rischio tutto ciò che può costituire una minaccia alla realizzazione del progetto.

Il successo di un progetto va misurato sulla base dei tempi di realizzazione, dei costi di

esecuzione e della performance tecnica dell’opera. L’obiettivo principale, quando si adotta

questa modalità di gestione dei rischi, non è tanto risparmiare i costi che si potrebbero

generare durante la realizzazione del progetto quanto piuttosto giungere alla conclusione e

alla realizzazione dell’opera. L’atteggiamento verso i rischi è meramente “difensivo”.

L’approccio tecnologico-ingegneristico è in netta contrapposizione con la componente

economico-finanziaria dell’ERM, dunque anche questo filone risulta piuttosto distante dalla

gestione integrata del complesso dei rischi d’impresa.

Control Risk Management (CRM)

Tale approccio al rischio può essere definito come una modalità gestionale che ha il fine di

garantire che lo svolgersi delle attività aziendali avvenga nel rispetto di quelle che sono le

procedure e le norme definite dall’impresa. Il CRM è interessato a tutti i rischi aziendali,

anche se si focalizza soprattutto sul rischio downside e assume connotazioni differenti a

55

seconda dei soggetti a cui si rivolge e a seconda del soggetto che ha il compito di controllare

che l’attività rispetti i parametri e le indicazioni definite a livello aziendale.

2.3 Il passaggio dal Risk Management alla gestione integrata dei

rischi

Dopo aver definito e presentato il processo di risk management con alcune delle sue

accezioni, nel seguente paragrafo andremo a definire il passaggio da un processo di gestione

dei rischi “settoriale” a quello integrato, gettando le basi per la definizione dell’Enterprise

Risk Management, più volte citato ma non ancora delineato.

Negli ultimi quindici anni, a seguito di una serie di eventi che hanno cambiato la mentalità di

imprese e manager nell’approcciarsi al rischio, possiamo rilevare un graduale passaggio da un

approccio tradizionale alla gestione dei rischi, ad un metodo innovativo e più completo quale

quello dell’ERM. I fattori che hanno portato all’affermarsi di questo modello sono molteplici:

il mutamento dello stesso concetto di rischio (inclusione dell’upside risk), gli eventi e gli

incessanti cambiamenti che, soprattutto a seguito della crisi finanziaria degli ultimi anni,

hanno posto al centro delle preoccupazioni aziendali, il rischio. Segal75 rileva una serie di

avvenimenti chiave che hanno segnato questo passaggio negli Stati Uniti:

L’attacco alle Torri Gemelle del 2001;

L’uragano Katrina del 2005, che ha segnato l’inclusione dei disastri naturali all’interno

del risk management;

L’inclusione nel calcolo del rating delle società di assicurazioni, anche della presenza

o meno dei sistemi di ERM, considerati un elemento positivo nella valutazione della

probabilità di default delle imprese. Standard & Poor introdusse questo fattore a

partire dal 2005;

La crisi finanziaria del 2008 che ha portato all’introduzione di regole sulla trasparenza,

sull’informazione e sulle modalità di approcciarsi ai vari strumenti finanziari,

ponendo le basi ad approcci più trasversali alla gestione del rischio come l’ERM.

I metodi di gestione del rischio precedenti all’ERM, trattavano il rischio con una concezione

a silos gestendo il rischio a livello di ogni singola business unit: ognuna opera per proprio

conto senza comunicare con le altre e con l’obiettivo di contenere il costo della propria

75 Cfr. (Segal, 2011)

56

strategia di gestione del rischio. Tale sistema non considera le interrelazioni esistenti tra alcuni

rischi, pecca nella coordinazione tra le varie funzioni oltre che in una gestione

economicamente vantaggiosa. Inoltre la gestione a silos, valuta il management sulla base di

obiettivi di breve termine, senza considerare gli effetti delle scelte nel lungo periodo. Altro

aspetto negativo riguarda la considerazione del solo downside risk, cioè la concezione della

sola esistenza di danni provenienti dal rischio e non dei possibili effetti positivi. Quindi i

principali limiti e svantaggi dei metodi precedenti la gestione integrata del rischio sono

incompletezza, inefficacia e inconsistenza76:

L’incompletezza si lega alla valutazione dei singoli rischi senza considerare le

implicazioni del verificarsi di altri eventi dannosi che potrebbero aggravare

ulteriormente la situazione (eccesiva semplificazione della realtà);

L’inefficienza riferita ai problemi di comunicazione che possono svilupparsi o al

sostenimento di costi in eccesso dovuti alla gestione separata dei rischi;

L’inconsistenza riferita alla diversità delle valutazioni di scenario tra le varie

funzioni. Ciò si connette alla mancanza di una condivisione di visioni, regole e

modalità di valutazione dei rischi, che invece sono presenti in una gestione integrata.

Figura n.5 - Enterprise risk management trends - Lab ERM – SDA Bocconi – Livatino &

Tagliavini77

Come abbiamo avuto modo di comprendere, il termine ERM viene spesso tradotto come

gestione integrata dei rischi. Ciò è dovuto principalmente all’approccio olistico rilevabile in

una gestione evoluta dei rischi di impresa. L’approccio olistico altrimenti detto enterprise, si

76 Cfr. (Segal, 2011) 77 Cfr. (Livatino & Tagliavini, 2013)

57

riferisce all’analisi della struttura aziendale nel suo complesso da cui si deriva come

conseguenza la struttura dei rischi sottostanti. Tale approccio (si veda la figura sotto riportata)

si contrappone a quello statico e retrospettivo che si basa in primis sull’analisi di ciò che ‘sta

sopra all’acqua’ ossia sulle conseguenze di un rischi (ad esempio: eventi di perdita derivanti

dal rischio operativo). Al contrario, un approccio di tipo enterprise analizza in primis ciò che

‘sta sotto l’acqua’ cioè la struttura del sistema e considera le manifestazioni del rischio come

conseguenze del possibile malfunzionamento di una o più componenti del sistema stesso.

Considerare la struttura nella sua essenza significa recepirne l’evoluzione nel tempo e

potenzialmente prevedere rischi emergenti, quelli cioè che non hanno mai prodotto

conseguenze in passato e che quindi non possono essere recepiti da un approccio di tipo

retrospettivo. Un approccio efficace per la gestione del rischio deve essere in sostanza in

grado di adattarsi all’evoluzione strutturale della realtà di riferimento. In altre parole deve

essere di tipo dinamico.

Figura n.6 - Milliman Enterprise Risk Management – Approccio olistico di tipo enterprise78

La Casualty Actuarial Society79 ha individuato i fattori chiave che hanno contribuito allo

sviluppo della logica integrata nella gestione dei rischi. Ne elenchiamo alcuni:

L’aumento della molteplicità e della complessità dei rischi è sicuramente il più

rilevante. Le imprese, infatti, si trovano a dover affrontare rischi legati al progresso

tecnologico, alla globalizzazione e alla maggior sofisticazione degli strumenti

finanziari, che precedentemente non erano assolutamente contemplati.

78 (Luraschi, 2011) 79 (Casualty Actuarial Society, 2003)

58

La crescita delle pressioni esterne derivanti da regolamentazioni e normative,

Comunitarie e nazionali, da società di rating e da investitori istituzionali, rappresenta

un altro importante fattore di stimolo insieme alla nascita della “portfolio point of view”,

alla tendenza cioè a valutare il rischio secondo una logica integrata e non più

funzionale o a silos, e alla crescente necessità di quantificarlo, per valutarne l’impatto

sul business dell’impresa, non più solo in termini economici e finanziari,

evidenziando eventuali correlazioni con altri rischi con l’obiettivo di facilitare il

processo di decision making.

Il “boundary-less benchmarking factor” fa invece riferimento al fatto che lo sviluppo di

questo approccio, non più correlato alle sole organizzazioni che forniscono servizi

assicurativi o finanziari, ma comune ad ogni attività di tipo imprenditoriale, abbia

permesso, grazie anche al progressivo sviluppo tecnologico, l’agevolazione degli

scambi interaziendali di informazioni relative ai rischi.

Grande rilevanza infine deve essere data alla rinnovata concezione di rischio, che

non si limita più alla sola accezione negativa della parola, ma ne accredita anche quella

positiva, sviluppando quindi una ambivalenza minaccia-opportunità.

Sui vantaggi dell’approccio integrato, si tornerà successivamente, al fine di spiegare i benefici

connessi all’adozione dell’ERM.

A seguito di quanto esposto finora, dopo aver anticipato le caratteristiche principali della

gestione integrata/olistica dei rischi, si andranno a delineare le principali differenze rilevabili

dal TRM, presentato nel precedente paragrafo, e l’ERM.

Si prende come riferimento l’evoluzione del risk management teorizzato da Monda e

Giorgino80 riportato di seguito:

80 Cfr. (Monda & Giorgino, Dal risk management all'enterprise risk management, 2013)

59

Diversi autori hanno cercato di delineare le principali differenze che intercorrono tra la

gestione tradizionale del rischio e l’ERM. Come possiamo notare dalle tabelle sotto riportate

e da quanto illustrato precedentemente, l’ERM ambisce a superare molti limiti del TRM,

come quelli dovuti ad una visione funzionale e parcellizzata dei rischi, a silos, che impedisce

di cogliere le correlazioni tra rischi di natura differente o della stessa natura; quelli dovuti

all’assenza di collegamento tra i criteri di valutazione dei rischi e il cambiamento nelle

strategie aziendali; infine quelli causati dalla mancanza di una sensibilizzazione, di una cultura

del rischio condivisa a tutti i livelli dell’organizzazione. Un approccio integrato consente di

trattare ciascun rischio come parte di un portafoglio complessivo definito a livello di impresa:

ogni rischio viene affrontato e valutato in ragione del suo impatto globale sull’impresa sia nel

breve che nel lungo periodo, garantendo così una maggiore efficacia ed efficienza del

processo di gestione. A tal fine, l’ERM incentiva, all’interno dell’impresa, una maggiore

comunicazione inerente i rischi e un migliore coordinamento organizzativo, sia verticale,

verso il vertice aziendale, che orizzontale, data la natura integrata del processo. Prevede,

inoltre, che vengano assegnate in maniera chiara tutte le responsabilità relative al rischio e

che vengano eventualmente introdotti sistemi di remunerazione collegati a performance di

risk-adjusted, incentivando così modalità adeguate di gestione e promuovendo al tempo

stesso la diffusione di una cultura del rischio all’interno dell’impresa. Passando dal TRM

all’ERM muta anche il concetto stesso di rischio: non è più concepito come una minaccia da

eliminare a tutti i costi ma anche come un’opportunità. L’abbandono di un approccio

puramente difensivo a favore di uno proattivo ed integrato, consente di identificare

precocemente i mutamenti del contesto e di cogliere le occasioni favorevoli, con un impatto

positivo sul valore aziendale. La capacità di identificare, misurare e gestire i rischi, finisce per

Riduzione delle perdite

Gestione della volatilità

Ottimizzazione della

performace

Enterprise Risk Management

Traditional Risk Management

60

configurarsi quale differenziale competitivo che l’impresa può sfruttare per cogliere

opportunità di business compatibili con il profilo di rischio prescelto.

L’evoluzione proposta in questo paragrafo permette di comprendere le ragioni principali del

passaggio da una logica di traditional risk management ad una logica integrata nella gestione

dei rischi aziendali. Sono state evidenziate una serie di caratteristiche dell’ERM che ci

agevoleranno nella sua definizione nel prossimo capitolo, dando enfasi ai principi ispiratori

di questo processo e ad alcuni dei vantaggi rilevabili dalla sua adozione in azienda. Le tabelle

di seguito, oltre ad evidenziare le principali differenze tra il TRM e l’ERM, riassumono

sinteticamente i cardini su cui si poggia l’intero impianto di una gestione integrata dei rischi.

Tabella n.7 - Le principali differenze secondo De Loach81

TRM ERM

Frammentato Integrato

Reattivo Proattivo

Discontinuo Continuo

Cost-based Value-based

Funzionale Eseguito con logica di processo

Tabella n.8- Le principali differenze secondo Olson & Wu82

TRM ERM

Rischi come pericoli individuali Rischi valutati nel contesto delle strategie di business

Identificazione e assessment dei rischi Sviluppo del “portafoglio dei rischi”

Focus sui rischi discreti (parcellizzazione dei rischi) Focus sui rischi critici per l’organizzazione

Mitigazione dei rischi (visione solo negativa) Ottimizzazione dei rischi (rischi anche come opportunità)

Soglia di rischio Strategia di rischio

Rischi senza responsabilità Assegnazione di responsabilità (“risk ownership”)

Quantificazione dei rischi non sistematica Monitoraggio e misurazione dei rischi

“Il rischio non è di mia competenza” “La gestione dei rischi è di competenza di tutti”

81 Cfr. (DeLoach & Temple, 2000) 82 Cfr. (Olson & Wu, 2007)

61

Tabella n.9 - Le sette dimensioni di analisi del risk management secondo Spinard83

2.4 Definizione del processo di Enterprise Risk Management

Come analizzato nel precedente paragrafo, l’ERM, a differenza del risk management

tradizionale, in cui le singole categorie di rischio sono considerate con una prospettiva a silos,

comporta una visione olistica dei rischi che consente di considerare i legami tra i vari rischi

del sistema aziendale. L’ERM cerca di allineare gli obiettivi strategici indicati dal Consiglio di

Amministrazione con le operazioni giornaliere. Una peculiare caratteristica è data dal fatto

che il rischio non è più considerato dal punto di vista downside, ma anche come opportunità

che può essere sfruttata per ottenere un vantaggio competitivo. Nella letteratura il nome

ERM è a volte sostituito da sinonimi come Enterprise-wide Risk Management, Holistic Risk

Management, Integrated Risk Management o Strategic Risk Management.

L'implementazione di un sistema di ERM rappresenta un grande cambiamento di gestione

e assorbe molte risorse sia in termini finanziari che di risorse umane. La definizione di ERM

non è unica, infatti molti autori ed enti hanno proposto differenti interpretazioni, alcune delle

quali riportiamo di seguito:

83 Cfr. (Spinard, 2005)

62

De Loach (2000)84 afferma che l’ERM è un approccio metodologico strutturato, proattivo e

disciplinato che prende in considerazione, in un’ottica di conoscenza e valutazione dei rischi,

tutti gli aspetti della gestione aziendale: strategie, mercato, processi, risorse finanziarie, risorse

umane, tecnologie.

Meulbroek85 parla di Integrated Risk Management e lo definisce come un processo continuo,

proattivo e sistematico per capire, gestire e comunicare il rischio da una prospettiva globale

di impresa. Tale approccio supporta il raggiungimento degli obiettivi primari di

un’organizzazione.

Casualty Actuarial Society (2003)86 definisce l’ERM come la filosofia di gestione dei rischi

secondo la quale un’impresa di qualsiasi settore valuta, controlla, finanzia e monitora i rischi

da tutte le possibili fonti con lo scopo di incrementare il valore di breve e lungo periodo per

i suoi stakeholder.

Committee of Sponsoring Organizations of the Threadway Commission (COSO,2004)87

afferma che l’ERM è un processo svolto dal personale dell’impresa, a qualunque livello in

essa operante, che interessa l’impresa sin dalla fase di elaborazione della strategia, disegnato

allo scopo di evidenziare e gestire quegli eventi potenziali che possono colpire l’impresa e

con la finalità di fornire ragionevole supporto al conseguimento degli obiettivi aziendali.

Al fine di individuare le migliori prassi, considerando i contributi forniti non solo dalla

letteratura accademica, ma anche da professionisti, società di consulenza e dagli standard più

comuni, è importante soffermarsi su tre aspetti principali dell’ERM88:

a) La cultura del rischio;

b) L'organizzazione;

c) Il processo.

84 Cfr. (DeLoach & Temple, 2000) 85 Cfr. (Meulbroek , 2002) 86 Cfr. (Casualty Actuarial Society, 2003) 87 Cfr. (AIIA & PWC, 2006) 88 Cfr. (Monda & Giorgino, An ERM maturity model, 2013)

63

2.4.1 La cultura del rischio

Tale concetto si focalizza su quel sistema di valori, norme e comportamenti condivisi da tutti

gli individui operanti all’interno di un’impresa e che determinano le modalità con cui essi

identificano, comprendono, discutono e agiscono, relativamente ai rischi che l’impresa si

trova ad affrontare. La cultura del rischio quindi, influenza le decisioni a tutti i livelli

dell’organizzazione, così come il raggiungimento degli obiettivi strategici e del

valore89. Lo sviluppo di una cultura del rischio rappresenta l’elemento basilare, necessario

per mettere in atto buone pratiche di ERM. L’importanza di tale aspetto è evidenziato anche

dal COSO – ERM Framework, che pone alla base del corretto funzionamento del sistema di

controllo, l’ambiente interno, definito come l’insieme delle caratteristiche del contesto

aziendale di riferimento (tra le quali rientrano l’integrità e i valori etici), che influenzano tutte

le altre componenti di ERM.

Le organizzazioni non caratterizzate da una forte e radicata cultura del rischio, possono

inavvertitamente trovarsi ad operare completamente al di fuori delle policy e procedure

stabilite o a consentire attività totalmente in contrasto con esse; nel migliore dei casi, ciò può

ostacolare il raggiungimento degli obiettivi strategici, tattici e operativi; nel peggiore, può

portare a gravi danni reputazionali e finanziari. La cultura non è un concetto intangibile: può

essere misurata dal livello di consistenza che le decisioni sui rischi hanno con le policy

aziendali e il profilo di rischio desiderato.

Tra gli aspetti principali che caratterizzano una solida e ben sviluppata cultura del rischio, è

fondamentale il Commitment da parte del board e del top management: il comportamento

esemplare degli alti livelli dirigenziali rappresenta una condizione necessaria, ma non

sufficiente, per il successo di un’iniziativa di ERM. È fondamentale che il senior e il middle

management forniscano un esempio di buona condotta tale da influenzare il comportamento

dei livelli organizzativi inferiori.

Risk Policy

Per favorire il coinvolgimento e la sensibilizzazione di tutto il personale è importante che

venga definita e comunicata all’interno dell’organizzazione una ERM policy, considerata

uno dei primi step da compiere nello sviluppo di un sistema di ERM. Esplicitando l’impegno

dell’impresa nella gestione del rischio ed il suo livello di propensione al rischio (risk appetite),

89 (Monda & Giorgino, Dal risk management all'enterprise risk management, 2013), op.cit. pag. 30-32

64

la policy aiuta a comunicare l’approccio complessivo al risk management attraverso l’intera

organizzazione. I contenuti tipici di tale documento sono:

Obiettivi di rischio;

Misurazione dell’esposizione;

Reporting e previsione dell’esposizione;

Struttura organizzativa e di controllo;

Politiche di hedging e mitigazione;

Processo di valutazione;

Principi e regole contabili;

Misurazione e diffusione della performance.

Le policy di ERM possono essere suddivise in due gruppi:

a) Policy per l’ERM framework, i relativi processi e le procedure: è un breve

documento che evidenzia il contesto di applicazione del framework di ERM,

includendo la gap analysis (le modalità con cui il processo esistente di ERM viene

confrontato con un benchmark per testarne l’efficacia), l’approccio dell’impresa

verso il risk management, la terminologia utilizzata, le fasi del processo, i ruoli e le

responsabilità degli attori coinvolti, le modalità di monitoraggio del rischio, la

revisione del processo e il controllo delle performance.

b) Policy per le decisioni di risk management, riguardanti:

1. Il risk appetite (risk appetite statement);

2. La definizione dei criteri di rischio in funzione degli obiettivi aziendali, così

come del risk appetite e del contesto di risk management;

3. Il reporting interno dei rischi, ovvero le modalità di aggregazione dei rischi e

di disaggregazione del risk appetite ai diversi livelli organizzativi.

È fondamentale che le policy siano semplici da comprendere, facili da implementare e

continuamente aggiornate al fine di renderne possibile la costante attuazione all’interno

dell’impresa.

La formulazione di una policy di ERM, la sua comunicazione a tutti i livelli organizzativi e

l’agire coerente con essa, consente di integrare la gestione del rischio all’interno della cultura

aziendale.

65

2.4.2 L’organizzazione

Trai tratti distintivi dell’approccio integrato, vi rientrano adeguate scelte al fine di diffondere

la cultura del rischio, per ottenere l'impegno del personale e per garantire che il processo di

ERM venga effettuato in modo corretto e che le politiche e le procedure siano rispettate.

Una organizzazione adeguata per supportare le attività di ERM dovrebbe prendere in

considerazione i seguenti elementi:

Nominare un Chief Risk Officer (CRO);

Costruire una funzione dedicata all’ERM;

Designare un gruppo di lavoro per supportare le attività del CRO;

Creare una funzione ERM indipendente (il CRO risponde direttamente al Board o al

CEO);

Nominare dei risk owner, cioè dei responsabili all'identificazione e alla gestione di

ogni rischio;

Definire e comunicare chiaramente i ruoli e le responsabilità nell’ambito del risk

management;

Integrare il processo di ERM in tutte le funzioni e le unità aziendali;

Coinvolgere tutti i dipendenti, a tutti i livelli, nel processo di ERM.

2.4.3 Il Processo

La maggior parte dei framework prodotti in letteratura, si sofferma sulla descrizione del

processo di ERM. Ogni contributo descrive le fasi che compongono il processo, dalla scelta

degli obiettivi, all’identificazione e valutazione, fino al trattamento, al controllo e alla

reportistica dei rischi. La letteratura e i framework sull’ERM forniscono una serie di elementi

chiave che dovrebbero essere inclusi nella progettazione di sistemi ERM. Li elenchiamo di

seguito:

Integrazione dell’ERM nei piani strategici e di business;

Implementazione di un processo efficiente ed efficace per identificare tutti i rischi

potenziali rilevanti;

Creazione e manutenzione di un registro dei rischi;

Classificazione dei rischi nelle categorie di riferimento (ad esempio, strategici,

operativi, finanziari e di compliance ecc.);

66

Definizione di un processo formale per la valutazione dei rischi con tecniche

qualitative e quantitative;

Ripetizione periodica del processo di valutazione del rischio;

Valutazione dei rischi in via residuale;

Integrazione di tutti i rischi in un portafoglio di rischio e la valutazione delle

correlazioni tra loro;

Definizione di una strategia di trattamento (evitare, ridurre, condividere, mantenere)

per ciascun rischio, considerando un trade-off tra costi e benefici;

Sviluppo di adeguati contingency plan90;

Sviluppo di un sistema KRI91 per monitorare l'esposizione al rischio e assicurarsi che

sia coerente con il KPI92 predefinito e con la strategia aziendale, includendo piani di

correzione e intensificazione se i rischi superano i limiti prefissati;

Creazione di un sistema di reporting periodico rivolto ai diversi livelli

dell'organizzazione con informazioni diverso grado di approfondimento;

Introduzione della tecnologia al fine di sostenere le attività di gestione del rischio.

2.5 Le linee guida e gli standard internazionali

Dopo aver evidenziato alcune delle possibili definizioni del processo di ERM, dando enfasi

ai tre aspetti caratterizzanti su cui la letteratura si è pronunciata uniformemente, andremo a

descrivere i due principali standard internazionali cioè quelli pubblicati dal Commitee of

Sponsoring Organizations of the Treadway Commission (COSO) e dall’organizzazione per

gli standard internazionali (ISO). Essi costituiscono dei modelli di base che hanno permesso

l’evoluzione dei sistemi di ERM, influenzando in maniera consistente anche le funzioni di

controllo interno, strettamente legate alla gestione del rischio. Queste due istituzioni hanno

fornito le principali linee guida in materia, delineando definizioni, processi e strutture talvolta

affini e talvolta differenti. Ai fini di questo lavoro di ricerca, il modello che si andrà ad

90 Il contingency plan o piano di emergenza, è un programma operativo che delinea preventivamente le azioni di determinati soggetti nel caso in cui si verifichi un evento dannoso per l’impresa. Il piano prevede linee guida più o meno dettagliate su cosa ciascuno dei soggetti interessati, debba fare al verificarsi dell'evento. 91 KRI, acronimo di key risk indicator. È una misura utilizzata nel risk management per indicare quanto sia rischiosa un’attività. 92 KPI, acronimo di key performance indicator. E’ un indice che monitora l'andamento di un processo aziendale.

67

approfondire e di cui verranno adottati i processi nel successivo paragrafo, è quello proposto

da COSO.

2.5.1 COSO ERM FRAMEWORK93

I framework proposti da COSO hanno subito la seguente evoluzione:

Internal Control - Integrated Framework nel 1992;

Enterprise Risk Management Framework nel 2004;

Enterprise Risk Management Framework nel 2007, revisione del precedente.

La Committee of Sponsoring Organization of the Treadway Commission, una

Commissione indipendente statunitense sponsorizzata delle maggiori associazioni

professionali e industriali, ha prodotto nel 1992 il primo framework denominato Internal

Control over Finacial Reporting, nel 2004 una primo aggiornamento chiamato ERM

Integrated Framework, che include il primo modello e offre una ricca sezione di tecniche

applicative a supporto dell'applicazione del modello, infine nel 2007, ha pubblicato un

secondo aggiornamento, mantenendo invariate le basi, ma ampliando sia i principi guida, sia

le materie trattate. E' uno dei primi standard internazionale in materia di ERM e risulta essere

il più utilizzato dalle imprese che instaurano processi integrati di gestione dei rischi. L’ERM

Framework 2004 ha lo scopo di determinare il "quantum" di rischio che l'impresa/ente è

93 I contenuti di questo paragrafo sono stati tratti da rielaborazioni del testo ufficiale (AIIA & PWC, 2006) e dal sito www.coso.org

68

disposta ad accettare per creare valore per i suoi stakeholders e fornire un unico riferimento

per gestire le varie tipologie di eventi incerti con efficacia, in relazione agli obiettivi

prestabiliti.

Come è stato proposto nel precedente paragrafo, COSO ci ha fornito una delle più ampie e

condivise definizioni di ERM che andremo a descrivere nello specifico:

Un processo continuo, applicabile anche da enti non profit e pubblici;

Posto in essere dalla direzione per la formulazione di missione, strategie e obiettivi;

Utilizzato da persone in tutta l'organizzazione (dunque multi-direzionale e

interattivo)

Progettato per individuare eventi potenziali di rilievo, interni ed esterni (cioè rischi e

opportunità);

Per gestire il rischio entro limiti accettabili (dunque guidare all'allocazione delle

risorse);

Per fornire una ragionevole sicurezza sul conseguimento degli obiettivi aziendali.

Processo continuo e pervasivo: L’ERM non è un evento isolato e statico ma al contrario è

un processo continuo e pervasivo ossia una serie continua di azioni che interagiscono

reciprocamente, pervadono l’intera azienda e sono legate al modo in cui il management

gestisce l’impresa. La gestione del rischio, inoltre, non è un’attività aggiuntiva all’attività

aziendale ma è parte integrante delle attività operative di base dell’impresa e può raggiungere

il massimo della sua efficacia, solo quando è radicata nella struttura organizzativa e fa parte

della cultura aziendale.

Posto in essere da persone: L’ERM è posto in essere dal consiglio di amministrazione, dal

management e da altre persone. In particolare il consiglio di amministrazione ha il ruolo di

supervisionare il processo di gestione del rischio aziendale e contribuisce alla determinazione

del livello di rischio accettabile. Il management ha il compito di promuovere la filosofia di

gestione del rischio, l’osservanza del livello di rischio ritenuto accettabile e di gestire i rischi

nella sua sfera di responsabilità in modo coerente con la propensione al rischio dell’impresa.

Infine, per altre persone, si intendono sia gli individui che operano all’interno dell’azienda e

che svolgono compiti puramente esecutivi nell’attività di gestione del rischio in conformità

69

alle direttive e ai protocolli, sia persone esterne all’impresa (come, ad esempio, i clienti, i

fornitori, i partner, i revisori esterni, gli analisti finanziari e così via) che spesso forniscono

informazioni utili per il buon funzionamento del processo di ERM pur non facendo parte

dello stesso e non essendo così responsabili della sua efficacia.

Utilizzato per la formulazione delle strategie: L’ERM è utilizzato nella formulazione della

strategia, dove il management considera i rischi relativi alle varie alternative strategiche

possibili e seleziona la strategia più appropriata e i relativi obiettivi. Infatti, al fine di creare

valore l’impresa deve indicare la propria missione e perseguirla attraverso la fissazione di

coerenti obiettivi strategici ossia obiettivi generali definiti ai livelli più elevati della struttura

organizzativa. Per il conseguimento di questi ultimi, la direzione seleziona un’opportuna

strategia e fissa dei coerenti obiettivi specifici che desidera conseguire.

Utilizzato in tutta l’organizzazione: L’ERM è utilizzato in tutta l’organizzazione, sia nella

sua attività complessiva che nelle sue singole attività svolte in ogni livello aziendale (come,

ad esempio, la pianificazione strategica e l’allocazione delle risorse), in ogni unità operativa

(come il marketing e le risorse umane) e in ogni processo operativo (come la produzione e il

controllo del credito). Al fine di determinare e considerare il rischio complessivo dell’attività

di un’impresa (rischio a livello aziendale), ogni manager responsabile di una unità, di una

funzione, di un processo o di una attività, formula una valutazione (quantitativa o qualitativa)

del rischio per l’attività da lui svolta. Si ottiene, in questo modo, un quadro formato da tante

singole valutazioni di rischio relative ai vari livelli della struttura organizzativa, che permette

all’alta direzione di determinare e di verificare se il rischio a livello aziendale è allineato con

il rischio accettabile. E’ necessario, inoltre, che il management individui anche la correlazione

a livello aziendale tra i singoli rischi e attivi gli interventi necessari per fare in modo che il

rischio a livello aziendale sia in linea con il rischio accettabile. Infatti, ci possono essere casi

in cui il rischio di ogni singola unità operativa è in linea con il livello di rischio accettabile

individuato per l’unità stessa, mentre se tali rischi vengono considerati nel loro insieme a

livello di intera azienda, essi potrebbero eccedere il rischio accettabile individuato per

l’azienda stessa. Al contrario, ci possono essere casi in cui il rischio di qualche unità operativa

eccede la soglia accettabile individuata per l’unità stessa, ma poi a livello di intera azienda

potrebbero verificarsi delle compensazioni tali per cui il rischio a livello aziendale è allineato

con il rischio accettabile. Infine, l’ERM potrebbe essere utilizzato anche per progetti speciali

o per nuove iniziative per le quali non sono state ancora attribuite le relative responsabilità.

70

Rischio accettabile: L’ERM deve essere progettato per gestire il rischio nei limiti del rischio

accettabile e quindi considerando la propensione al rischio dell’impresa. I concetti di

propensione al rischio (risk appetite) e di rischio accettabile, sono due componenti

cruciali della definizione. La propensione al rischio riflette la disponibilità dell’impresa e la

sua abilità ad assumere rischi allo scopo di raggiungere i suoi obiettivi, mentre, il rischio

accettabile rappresenta l’ammontare di rischio che l’impresa è disposta ad accettare nel

perseguire i suoi obiettivi e nella creazione di valore. Gli elementi che dirigono il processo di

determinazione del livello di propensione al rischio dell’impresa (come, ad esempio, le

preoccupazioni dell’impresa relative alla solvibilità, ai giudizi di rating, alla volatilità degli utili

e così via), dovrebbero essere coerenti con la cultura del rischio dell’impresa e con le sue

strategie globali. Di conseguenza, il rischio accettabile riflette la filosofia di gestione del

rischio dell’impresa ed è correlato alla sua strategia aziendale. L’ERM, infatti, aiuta la

direzione a scegliere la strategia che allinea la creazione di valore al rischio accettabile visto

che, generalmente, esistono varie strategie che sono in grado di raggiungere gli obiettivi

fissati, ma ogni strategia ha rischi diversi. L’ERM dovrebbe così aiutare a selezionare una

strategia coerente con il rischio accettabile, e a respingere o modificare le altre. Una volta che

l’impresa ha stabilito il livello di risk appetite, tutte le successive decisioni relative alla gestione

dei rischi saranno prese nei limiti della sua propensione al rischio. Il rischio accettabile,

inoltre, costituisce una guida per l’allocazione delle risorse: il management alloca le risorse

tra le diverse unità operative o tra le diverse iniziative, tenendo conto del rischio accettabile

dell’impresa in modo tale da trarre un certo profitto dalle risorse investite. La tolleranza al

rischio, infine, rappresenta il livello accettabile di variazione o di scostamento rispetto

all’obiettivo aziendale da conseguire. Per la sua determinazione il management considera

l’importanza degli obiettivi e allinea la tolleranza al rischio al rischio accettabile.

Fornire una ragionevole sicurezza: Anche se ben progettato e ben funzionante, l’ERM

può fornire al consiglio di amministrazione e al management solo una ragionevole sicurezza

sul conseguimento degli obiettivi aziendali. Il concetto di ragionevole sicurezza riflette il fatto

che l’incertezza degli eventi che l’impresa si trova ad affrontare e i relativi rischi, riguardano

il futuro, che è molto difficile, se non impossibile da prevedere con precisione. Ragionevole

sicurezza quindi, non significa né certezza assoluta né frequente inaffidabilità o fallimento

dell’ERM. Inoltre, dal momento che non tutti gli obiettivi hanno lo stesso grado

d’importanza e la stessa priorità, affermare che l’impresa dovrebbe avere una ragionevole

certezza di realizzarli, non significa che tutti gli obiettivi fissati si possano realizzare.

71

Conseguimento degli obiettivi aziendali: L’ERM ha come scopo fondamentale quello di

aiutare le imprese a gestire, in modo più efficace, i rischi connessi al conseguimento degli

obiettivi aziendali. Infatti, al fine di creare valore l’impresa deve indicare la propria missione

e perseguirla attraverso la fissazione di obiettivi strategici. Per il conseguimento di questi

ultimi, la direzione seleziona un’opportuna strategia e fissa degli obiettivi specifici ad essa

coerenti, assegnandoli ai vari livelli della struttura organizzativa. Gli obiettivi aziendali

devono essere chiari e misurabili e possono essere classificati in quattro categorie:

Obiettivi strategici ossia obiettivi di natura generale definiti dai più alti livelli della

struttura organizzativa, che supportano la mission aziendale e devono essere ad essa

allineati;

Obiettivi operativi ossia obiettivi che riguardano l’impiego efficace ed efficiente

delle risorse dell’impresa. In particolare essi si riferiscono all’efficacia e all’efficienza

delle attività operative dell’impresa inclusi i livelli di performance, di redditività e di

protezione delle risorse da eventuali perdite;

Obiettivi di reporting ossia obiettivi che si riferiscono alla qualità, alla frequenza,

alla correttezza e all’affidabilità delle informazioni fornite dal reporting che l’azienda

offre al management, al mercato, agli azionisti, ai dipendenti, ai fornitori. Tali

obiettivi si riferiscono ai report elaborati per fini interni (si pensi, ad esempio, ai

report sulle vendite giornaliere, ai report sulla qualità della produzione e così via) ed

esterni (ad esempio il bilancio d’esercizio, i commenti e le analisi effettuate dal

management, i documenti depositati presso le autorità di vigilanza e via dicendo) che

possono, quindi, includere informazioni contabili e non contabili, finanziarie e non

finanziarie;

Obiettivi di conformità ossia obiettivi che riguardano l’osservanza e il rispetto delle

leggi e dei regolamenti in vigore applicabili all’impresa. Questi ultimi, in particolare,

stabiliscono degli standard minimi di comportamento (che possono riguardare le

imposte, l’ambiente, la previdenza sociale dei dipendenti, il mercato, i prezzi, l’igiene

e la sicurezza sul lavoro e così via) che l’impresa dovrà integrare quando determina i

suoi obiettivi di conformità.

Il modello ERM proposto da COSO è rappresentato da un cubo le cui dimensioni sono

costituite da:

72

8 componenti dell'ERM, le "righe" del cubo;

4 tipi di obiettivi, le "colonne";

4 livelli organizzativi dell'impresa, le "sezioni".

Le componenti del Framework COSO ERM

Il modello ERM94 proposto da COSO è costituito da 8 componenti interconnesse che

presentiamo brevemente ma che rappresentano il punto di partenza per definire le fasi del

processo di ERM (nel prossimo paragrafo):

Ambiente interno: L’ambiente interno rappresenta l’identità essenziale di un’organizzazione

e costituisce le fondamenta di tutti gli altri componenti dell’ERM in quanto fornisce

disciplina e struttura: esso, infatti, influenza profondamente il modo in cui gli obiettivi sono

definiti, le strategie sono stabilite, le attività sono strutturate, i rischi sono identificati, valutati

e gestiti e, analogamente, influenza la progettazione e il funzionamento delle attività di

controllo, dei sistemi di informazione e comunicazione e delle attività di monitoraggio.

L’ambiente interno è costituito da molti elementi tra cui: i valori etici aziendali, le competenze

del personale, lo stile manageriale, la filosofia della gestione del rischio, i modi in cui sono

assegnati i poteri e le responsabilità e così via. Esso determina i modi in cui il rischio è

considerato e affrontato dalle persone che operano in azienda, come pure la cultura della

94 I contenuti di questo paragrafo sono stati tratti da rielaborazioni del testo ufficiale (AIIA & PWC, 2006) e dal sito www.coso.org

73

gestione del rischio, i livelli di accettabilità del rischio, l’integrità, i valori etici e l’ambiente di

lavoro in generale. Il processo inizia con l’identificazione delle unità organizzative

dell’impresa considerata nel suo complesso. Questo include le azioni volte a sviluppare una

cultura di gestione del rischio e a progettare una struttura organizzativa di gestione dello

stesso.

Definizione degli obiettivi: Il processo continua poi con la definizione degli obiettivi

aziendali in funzione dell’ambiente interno e delle strategie alternative e in linea con la visione

di successo per l’impresa. Dal momento che il modello di ERM considera rischio, qualsiasi

evento che può potenzialmente influenzare gli obiettivi dell’impresa, allora la corretta

identificazione di questi ultimi, costituisce il presupposto per l’identificazione degli eventi

rischiosi. Questi obiettivi, quindi, devono essere fissati prima di procedere all’identificazione

degli eventi che possono pregiudicare il loro conseguimento e dovrebbero riflettere il livello

di propensione al rischio dell’impresa. In particolare, l’impresa per creare valore deve indicare

la propria missione che, a sua volta, viene perseguita attraverso la fissazione di obiettivi

strategici. Per il conseguimento di questi ultimi, la direzione seleziona un’opportuna strategia

e definisce i relativi obiettivi specifici (obiettivi operativi, di conformità e di reporting).

Mentre la missione e gli obiettivi strategici rimangono sostanzialmente immutati nel tempo

o comunque non sono soggetti a variazioni significative, le strategie e gli obiettivi correlati

sono molto più dinamici e possono essere soggetti a variazioni nel momento in cui dovesse

verificarsi un cambiamento delle condizioni interne ed esterne. L’ERM assicura che il

management abbia attivato un adeguato processo di definizione degli obiettivi e che gli

obiettivi selezionati supportino la mission aziendale e la strategia dell’impresa, che siano

coerenti con esse e che siano in linea con il rischio accettabile fissato dall’impresa (dal quale

si determinano i livelli di tolleranza al rischio). Eventuali disallineamenti, infatti, potrebbero

significare che l’impresa non sta assumendo abbastanza rischi nel perseguire i suoi obiettivi

o, al contrario, che sta assumendo rischi eccessivi. E’ necessario notare, infine, che rischio

accettabile e strategia aziendale, sono due elementi strettamente correlati. Generalmente,

infatti, esistono varie strategie che sono in grado di raggiungere gli obiettivi fissati, ma ogni

strategia ha dei rischi diversi. L’ERM impiegato nella definizione degli obiettivi, dovrebbe

aiutare il management a selezionare solamente le strategie che sono coerenti con il rischio

accettabile e a respingere o modificare le altre.

74

Identificazione degli eventi: Solo dopo aver fissato gli obiettivi, devono essere identificati

correttamente gli eventi33 che potrebbero influenzare le performance aziendali, sia

positivamente (in tal caso si parla di opportunità) che negativamente (in tal caso si parla di

rischi), pregiudicando così il conseguimento degli obiettivi. Le opportunità richiedono un

riesame delle strategie definite in precedenza o dei processi di definizione degli obiettivi in

atto in modo che si possano definire gli interventi necessari per coglierle, mentre, i rischi

richiedono una valutazione e una risposta da parte del management. E’ necessario notare,

tuttavia, che il management quando identifica gli eventi non sa se essi si verificheranno e né

tantomeno se essi avranno un impatto positivo o negativo. Inizialmente, quindi, il

management considererà una serie di eventi potenziali, senza necessariamente soffermarsi

sulla positività o sulla negatività del loro impatto. Alcuni eventi, inoltre, possono essere

isolati, mentre altri possono essere correlati e interdipendenti. Il management, quindi,

nell’identificare gli eventi deve capire, innanzitutto, se esistono correlazioni tra gli eventi (in

quanto mentre l’impatto di un singolo evento potrebbe essere irrilevante, l’impatto di un

aggregato di eventi potrebbe essere significativo) e, successivamente, deve capire come gli

eventi sono correlati tra loro e valutare queste relazioni per determinare dove è più

conveniente dirigere gli sforzi per gestire il rischio. Devono essere inoltre considerati i

problemi di misurazione associati con le metodologie e le tecniche di valutazione del rischio.

Valutazione del rischio: Ciascuno dei rischi identificato nel passo precedente deve essere

analizzato, valutato e classificato sia in termini di probabilità di accadimento che in termini

di impatto sull’organizzazione, al fine di stabilire come esso deve essere gestito. In particolare,

i rischi che hanno una bassa probabilità di accadimento e un impatto potenzialmente basso,

generalmente, non meritano di essere presi in considerazione, mentre i rischi che hanno

un’elevata probabilità di accadimento e un impatto significativo, richiedono una particolare

attenzione. I rischi, invece, che si posizionano tra questi due estremi, generalmente

richiedono giudizi difficili da formulare. Considerando poi il fatto che i rischi sono collegati

agli obiettivi e possono pregiudicarne il raggiungimento, la valutazione del rischio non è altro

che la misurazione dell’incidenza di un evento potenziale sul conseguimento degli obiettivi,

mediante un’approfondita analisi dell’impresa dall’interno e dall’esterno.34 In particolare, nel

valutare il rischio, il management innanzitutto determina e distingue gli eventi previsti o

possibili da quelli inattesi. Molti eventi, infatti, si presentano con una certa frequenza e sono

già considerati nei programmi operativi e nei budget, mentre altri sono inaspettati. Il

management, valuta il rischio degli eventi potenziali possibili e inattesi, che possono avere

75

un impatto significativo sull’azienda. I rischi, inoltre, devono essere valutati sia in termini di

rischio inerente (ossia il rischio che l’impresa assume quando non viene attivato nessun

intervento per modificarne le probabilità e l’impatto), che in termini di rischio residuo (ossia

il rischio rimanente dopo aver attuato degli interventi per ridurlo) determinando la probabilità

che il rischio si verifichi e il relativo impatto. In particolare, la valutazione del rischio viene

fatta, innanzitutto, in termini di rischio inerente e solo successivamente, dopo che la risposta

al rischio è stata attivata, viene determinato il rischio residuo. I rischi, infine, devono essere

gestiti sia come rischi potenziali che come rischi effettivi.

Risposte al rischio: Dopo aver classificato i rischi e valutato la loro probabilità di

accadimento e il loro impatto, è necessario sviluppare le strategie che possono essere attuate

per la loro gestione. In altre parole, devono essere selezionate le possibili azioni di risposta

al rischio in rapporto alla loro capacità di ricondurre ciascun rischio entro i livelli di tolleranza

ritenuti accettabili. Per selezionare la risposta al rischio di volta in volta più idonea, è

necessario quantificare l’esposizione al rischio secondo una matrice probabilità/impatto,

valutare l’effetto delle potenziali risposte sulla probabilità e sull’impatto del rischio e valutare

i costi e i benefici che derivano dalle risposte alternative al rischio in modo da scegliere quella

risposta (o combinazione di risposte) che consente di ricondurre il rischio entro i livelli di

tolleranza al rischio desiderata.

Attività di controllo: Dopo aver selezionato le risposte al rischio, è necessario identificare

le attività di controllo ossia le politiche e le procedure35 che devono essere opportunamente

definite, rese pubbliche e realizzate per far sì che le risposte al rischio siano effettive, eseguite

in modo efficace e nei tempi previsti. Le attività di controllo vengono attuale in tutta

l’organizzazione, in tutti i livelli della struttura organizzativa e possono essere suddivise in

quattro categorie in base alla natura degli obiettivi aziendali ai quali si riferiscono: strategiche,

operative, di reporting e di conformità. E’ necessario precisare che in alcuni casi le attività di

controllo si riferiscono in modo specifico a una categoria di obiettivi, mentre in altri casi si

sovrappongono. Esistono svariate tipologie di attività di controllo come, ad esempio, i

controlli preventivi (per bloccare le operazioni prima che vengano effettuate), i controlli

successivi (per identificare altre operazioni in tempo utile), i controlli manuali, automatici,

informatici e gestionali. Le attività di controllo possono includere un insieme di operazioni

diverse, come, ad esempio, le approvazioni, le autorizzazioni, le verifiche, le riconciliazioni

dei saldi contabili, l’esame della performance operativa, la protezione dei beni aziendali e la

76

separazione dei compiti. E’ indispensabile, inoltre, selezionare i controlli necessari per

mitigare i rischi individuati valutando i costi di ciascuna risposta al rischio disponibile e

considerando le attività di riduzione del rischio.

Informazioni e comunicazione: Nonostante la vasta attenzione rivolta agli aspetti tecnici,

un fattore chiave per il successo del modello di ERM, è dato dall’efficace comunicazione dei

rischi effettuata dal consiglio di amministrazione alle unità operative e dalla comunicazione

tra le diverse parti dell’impresa. In particolare, le informazioni più importanti e pertinenti

devono essere identificate, raccolte e comunicate nei modi e nei tempi idonei a rendere il

personale cosciente dei propri compiti in modo tale da consentirgli di adempiere

correttamente alle proprie responsabilità. I sistemi informativi trattano sia i dati prodotti

internamente che quelli provenienti da fonti esterne, fornendo le informazioni necessarie per

prendere le decisioni relative agli obiettivi e per gestire i rischi. E’ necessario, da un lato, che

vengano attivate delle comunicazioni efficaci, in modo che esse fluiscano in tutta la struttura

organizzativa (verso il basso, verso l’alto e trasversalmente) e, dall’atro lato, che le

informazioni siano diffuse e raggiungano ogni livello della struttura organizzativa sia al fine

di identificare, valutare il rischio e selezionare un’adeguata risposta al rischio, sia al fine di

gestire l’impresa e realizzare i suoi obiettivi. Nel contesto dell’ERM le organizzazioni devono

assicurare che i sistemi di informazione misurino, riferiscano e segnalino i rischi in modo

accurato e devono comunicare l’efficacia e i costi del processo di ERM.

Monitoraggio: L’intero processo di ERM muta nel tempo e deve essere, quindi,

continuamente monitorato al fine di permettere, se necessario, di operare delle correzioni.

Monitorare significa, infatti, valutare la presenza e il funzionamento continuo nel tempo di

tutti i componenti dell’ERM. In tal modo si attivano delle rapidi reazioni, in funzione dei

cambiamenti che si verificano nel contesto operativo aziendale, che possono rendere

insufficienti o inapplicabili, le risposte al rischio che in passato erano efficaci. Questi

cambiamenti possono riguardare: gli obiettivi aziendali, la struttura o la direzione aziendale,

l’arrivo di nuovo personale, l’introduzione di nuovi processi. Il monitoraggio può

concretizzarsi in interventi continui integrati nella normale attività operativa aziendale o in

valutazioni separate36 o ancora in una combinazione dei due metodi. Il monitoraggio

continuo viene svolto in tempo reale consentendo, così, di reagire in modo dinamico ai

cambiamenti che si verificano, mentre le valutazioni separate vengono effettuate solamente

a posteriori. Di conseguenza, il monitoraggio continuo è più efficiente delle valutazioni

77

separate e spesso consente di identificare le eventuali carenze in modo più rapido.

Generalmente l’ERM è strutturato per auto-monitorarsi in modo continuo, almeno fino ad

un certo livello oltre il quale sono necessarie delle valutazioni separate. Alcune imprese,

infatti, che svolgono un efficace monitoraggio continuo, periodicamente effettuano anche

valutazioni separate. Se, invece, un’azienda avverte frequentemente la necessità di fare

valutazioni separate, significa che l’attività di monitoraggio continuo deve essere rafforzata.

Il monitoraggio dell’efficacia del piano di attuazione dell’ERM, può prevedere la retroazione

alla fase del controllo nel caso in cui si verificassero dei problemi. Il monitoraggio, inoltre,

include la valutazione del rischio confrontando le occorrenze degli eventi reali con le

precedenti stime di probabilità, frequenza e costo.

2.5.2 ISO 31000

Lo standard internazionale ISO 3100095 descrive le componenti di un framework per

l’implementazione di una strategia di risk management all’interno delle aziende. Nonostante

l’appellativo di standard, il fine ultimo di questo documento è una definizione di linee guida

efficaci, più che la messa in atto di una certificazione. L’ISO 31000, presentato nel 2009, trae

i principi di base dell’ERM dal COSO e si basa sull’esperienza dello standard neozelandese

AS/NZS 4360:2004, di cui si propone come evoluzione. L’ISO 31000 si basa su 3 pilastri: i

principi, il framework e il processo.

I principi ISO 31000

Il risk management crea e protegge il valore: contribuisce in maniera misurabile al

raggiungimento degli obiettivi e al miglioramento delle prestazioni;

Il risk management è una parte integrante di tutti i processi aziendali: non deve essere

considerato un’attività avulsa dai processi core dell’azienda. Al contrario, è necessario

considerare quest’operazione come inclusa nelle responsabilità del management,

oltre che una parte imprescindibile di tutti i processi aziendali, tra cui la pianificazione

strategica e tutti i progetti e processi di change management96;

95 I contenuti di questo paragrafo sono stati tratti da rielaborazioni delle seguenti fonti: (Pomodoro & Luccini, 2012) e (AIRMIC, A structured approach to ERM and the requirements of ISO 31000, 2010). 96 Per Change Management si intende un approccio strutturato al cambiamento negli individui, nei gruppi, nelle organizzazioni e nelle società che rende possibile la transizione da un assetto corrente ad un futuro assetto desiderato. Il Change Management fornisce strumenti e processi per riconoscere e comprendere il cambiamento e gestire l'impatto umano di una transizione.

78

Il risk management è una parte integrante di tutti i processi decisionali: aiuta i decision

maker a compiere scelte informate, anticipando determinate azioni rispetto ad altre e

distinguendo tra diverse modalità di approccio;

Il risk management indirizza l’incertezza: questo processo tiene esplicitamente conto

dell’incertezza, della sua natura e di come possa essere affrontata;

Il risk management è sistematico, strutturato e puntuale: un approccio di questo tipo

al risk management, contribuisce all’efficienza e all’ottenimento di risultati

consistenti, comparabili e affidabili;

Il risk management è basato sulle migliori informazioni disponibili: gli input al

processo di risk management si basano anche su fonti di informazioni relativamente

affidabili, quali dati storici, esperienza, feedback degli stakeholder, osservazione

diretta, previsioni e giudizi di esperti. Ciononostante, i decision maker dovrebbero

informarsi e tenere in considerazione tutti i limiti connaturati all’entità dei dati a

disposizione dei modelli adottati, oltre che considerare le possibilità di divergenza tra

le opinioni degli esperti;

Il risk management è customizzato: questo processo deve essere allineato al contesto

interno ed esterno dell’organizzazione, oltre che al suo profilo di rischio;

Il risk management tiene in considerazione i fattori umani e culturali: riconosce infatti

le capacità, le percezioni e le intenzioni delle risorse umane, interne ed esterne

all’organizzazione, che abbiano le potenzialità di facilitare o intralciare il

conseguimento degli obiettivi;

Il risk management è trasparente e inclusivo: un livello di coinvolgimento puntuale e

appropriato degli stakeholder e, in particolare, dei decision maker di tutti i livelli

dell’organizzazione, nelle operazioni di risk management assicura la loro rilevanza ed

il loro aggiornamento. Inoltre, il coinvolgimento di queste figure permette agli

stakeholder di godere di una rappresentazione in sede di decision making, anche per

quel che riguarda le loro opinioni, tenute seriamente in considerazione nella

determinazione dei criteri di rischio;

Il risk management è dinamico, iterativo e sensibile al cambiamento: questo processo

ha l’obbligo di percepire e reagire in maniera appropriata al cambiamento senza

soluzione di continuità. In caso di eventi, interni o esterni, che comportino un

cambiamento del contesto e delle conoscenze, si mettono in atto una revisione e un

79

monitoraggio dei rischi: sulla base di questi processi si è quindi in grado di veder

emergere nuove eventualità dannose e di assistere alla scomparsa di altre;

Il risk management facilita il continuo miglioramento dell’organizzazione: le aziende

hanno la necessità di mettere a punto e di rendere effettive delle strategie per

migliorare il loro livello di maturità nella gestione dei rischi, oltre che in ogni altro

aspetto della vita aziendale.

Il framework ISO 31000: Rappresenta l’approccio da adottare per eseguire una corretta

gestione e monitoraggio del rischio. Consta di cinque fasi:

Mandato dell’alta direzione: è la fase in cui il vertice della società dà indirizzi

specifici e distribuisce le responsabilità nell’implementazione di un sistema di ERM;

Costruzione di una struttura di gestione del rischio: stabilire le politiche di

gestione del rischio, integrare i processi organizzativi, individuare le risorse,

individuare il funzionamento del sistema di reportistica e di comunicazione interna

ed esterna, pianificazione degli interventi da introdurre e definizione delle aree di

azioni;

Implementazione della gestione integrata: attuazione degli interventi pianificati

all’interno dei processi aziendali;

Monitoraggio: fase di monitoraggio e misurazione, che permette l’individuazione

dei punti di debolezza delle soluzioni introdotte;

Miglioramento del framework: adozione di un approccio di continuo

miglioramento come prassi aziendale.

https://www.google.it/url?sa=i&rct=j&q=&esrc=s&source=images&cd=&cad=rja&uact=8&ved=0CAcQjRxqFQoTCOzO5fv93cgCFYOyFAodhngJqw&url=http://www.erm31000.com/framework.php&bvm=bv.105841590,d.d2s&psig=AFQjCNG40lde03-gXAi4e9mGA9eLCbPXMw&ust=1445874902440369

80

Il processo ISO 31000: gli elementi del processo considerato sono:

Definizione del contesto: significa Definire l’ambiente interno ed esterno nel quale

l’organizzazione cerca di conseguire i propri obiettivi, Definire il contesto del processo

di gestione del rischio e Definire i criteri di rischio (che devono riflettere valori, obiettivi

e risorse dell’organizzazione);

Valutazione del rischio (Identificazione, Analisi, Ponderazione);

Trattamento del rischio: Il trattamento del rischio implica la selezione di una o più

opzioni per modificare i rischi e l’attuazione di tali opzioni. E’ un processo ciclico che

prevede:

o Valutazione del trattamento;

o Decisione circa la tollerabilità del rischio residuo (in caso negativo la generazione

di un nuovo trattamento);

o Valutazione dell’efficacia del trattamento.

Le opzioni possono comprendere:

o Evitare il rischio (non avviare o continuare l’attività);

o Assumere o aumentare il rischio (al fine di perseguire una opportunità);

o Rimuovere la fonte di rischio;

o Modificare la probabilità o le conseguenze;

o Condividere il rischio con altre parti;

o Ritenere il rischio con una decisione informata.

Trasversalmente si evidenziano le attività di: comunicazione e consultazione,

monitoraggio e riesame.

La figura mette in evidenza gli elementi che concorrono al processo.

81

2.6 Il processo e i principali strumenti operativi dell’ERM

Il processo di ERM97 è definibile come l’insieme delle fasi che permettono il raggiungimento

degli obiettivi previsti da una gestione integrata dei rischi d’impresa. Al riguardo si è avuto

già modo di osservare come il concetto di framework per la gestione integrata dei rischi

d’impresa non sia unico e universale per tutte le imprese. Sebbene, infatti, siano stati definiti

negli anni alcuni framework standardizzati per l’implementazione del modello ERM (tra cui

il più quotato è il framework COSO 2004) essi non vanno intesi come la regola da seguire

per la definizione del modello stesso, ma vanno intesi come un suggerimento di best practice

da adattare alla struttura dell’impresa e ai suoi processi interni. Lo sviluppo delle diverse fasi

del processo di Enterprise Risk Management non è universale. Questo fatto è osservabile

dalle diverse denominazioni che sono state date, sia in letteratura sia da parte delle

organizzazioni che hanno definito i principali framework, alle fasi costitutive il processo di

gestione integrata del rischio. In questo lavoro il framework adottato sarà quello proposto da

Giorgino e Travaglini98 (se ne ripropone una rielaborazione personale in figura). Questo

modello è nato come sintesi ed approfondimento dei contributi finora trattati.

Il processo di ERM viene suddiviso nelle seguenti fasi:

Definizione degli obiettivi strategici dell’impresa e di risk management;

Risk assessment, che inizia con l’identificazione dei rischi e si conclude con la loro

valutazione;

Reporting sui risultati del risk assessment;

97 I contenuti di questo paragrafo sono stati realizzati mediante la rielaborazione dei seguenti contributi: (AIIA & PWC, 2006), (Floreani, Introduzione al Risk Management, 2005) e (Monda & Giorgino, Dal risk management all'enterprise risk management, 2013). 98 Cfr. (Giorgino & Travaglini, 2008)

82

Gestione/trattamento dei rischi;

Assessment e reporting sui rischi residui;

Monitoraggio continuo dei rischi, supportato da idonei indicatori KRI.

2.6.1 Identificazione degli obiettivi e del Risk Appetite

Aderendo ad una gestione proattiva dei rischi, il processo di ERM è chiamato ad interagire

con il processo di pianificazione strategica, supportando con informazioni aggiuntive le

decisioni di investimento e finanziamento dell’azienda, favorendo così l’individuazione di

alternative strategiche coerenti con il profilo di rischio desiderato dagli stakeholder. Una volta

identificati gli obiettivi strategici, di alto livello, l’impresa deve preoccuparsi della gestione dei

rischi insiti nella proprie attività, in modo da massimizzare le probabilità di risultati positivi e

minimizzare il pericolo di perdite: è necessario definire un piano di gestione del rischio che

sia funzionale al raggiungimento degli obiettivi strategici. Ogni impresa è quindi chiamata a

definire l’atteggiamento che deve essere assunto di fronte alle diverse tipologie di rischio, le

risorse da dedicare alle attività di ERM, la strutturazione del processo e le modalità di

valutazione e trattamento dei rischi.

Identificazione

Valutazione

RISK ASSESSMENT

Integrazione

Reporting

Assessment e reporting rischi residui

Obiettivi impresa ed ERM

Trattamento

Mo

nit

ora

gg

io r

isch

i re

sid

ui

83

Contestualmente alla definizione degli obiettivi, l’impresa si trova a definire il cosiddetto Risk

Appetite, cioè l’ammontare di rischio complessivo, definito sulla base delle aspettative degli

stakeholder, che è disposta ad assumere entro i limiti imposti dalla sua capacità di rischio, nel

raggiungimento degli obiettivi di crescita del valore aziendale. Esso riflette la propensione

al rischio dell’azienda, che influenza a sua volta le strategie di crescita del valore e il modello

di business adottato. Un aspetto di fondamentale importanza consiste quindi nella piena

integrazione del risk appetite all’interno del processo di definizione ed esecuzione della

strategia aziendale, rendendo così possibile l’individuazione di obiettivi strategici coerenti con

il profilo rischio/rendimento desiderato dagli stakeholder e di opportuni limiti di rischio con

cui guidare le attività di risk management internamente all’impresa.

La formalizzazione del risk appetite avviene mediante un documento approvato dal Board e

incluso nella Policy di ERM, cioè il Risk Appetite Statement, che esplicita la propensione

al rischio dell’impresa che dovrà essere declinata su tutta l’organizzazione. Questo statuto è

formulato tenendo presenti le diverse aspettative degli stakeholder e considerando tutti i

rischi significativi in cui si incorre nella conduzione del business. Una chiara definizione del

risk appetite consente di dare agli stakeholder una ragionevole certezza della piena

comprensione dei rischi da parte dell’impresa e del suo impegno a monitorarli

adeguatamente.

2.6.2 Risk Assessment: identificazione e valutazione dei rischi.

La fase di assessment è la fase più tecnica del processo di ERM e può essere scomposta nella

fase di identificazione dei rischi e nella fase di valutazione degli stessi (stima e

prioritizzazione). L’obiettivo è definire un elenco dei rischi accettabili e non accettabili

dall’impresa, per i quali è necessario intervenire con opportune misure di trattamento.

Identificazione dei rischi: consiste nel creare un inventario dei rischi significativi cui

l’impresa è esposta, classificandoli all’interno di determinate categorie. Come abbiamo visto

nel primo capitolo, in letteratura sono state proposte diverse classificazioni di rischio. In

questo lavoro per esser coerenti con la struttura adottata, abbracciamo la tassonomia

proposta da Giorgino e Travaglini99, nata dall’intersezione dei rischi previsti da COSO e da

quelli previsti dal CAS. Le macro-categorie di rischio sono100:

99 (Giorgino & Travaglini, 2008) 100 Andremo a dettagliare i soli rischi non introdotti nel capitolo 1.

84

I rischi strategici o di business;

I rischi finanziari;

I rischi operativi;

I rischi potenziali (hazard): sono quei rischi che possono essere identificati in via

residuare rispetto ai rischi precedenti, il cui effetto è unicamente negativo e può

spesso determinare ingenti perdite economiche, dirette e indirette;

I rischi di conformità alla normativa (compliance): sono quei rischi inerenti alla

conformità alle normative vigenti, specifiche del paese in cui opera l’impresa.

Le principali tecniche di identificazione dei rischi

La fase di identificazione è altamente critica in quanto non esistono tecniche che garantiscano

l’individuazione di tutti i rischi possibili. L’impresa è quindi chiamata a considerare una serie

di aspetti fondamentali al fine di massimizzare l’efficacia di tale fase:

Standardizzazione e omogeneità del linguaggio all’interno dell’impresa, al fine di

definire e denominare tutti i fattori di rischio in maniera consolidata a livello

aziendale;

Preferire l’utilizzo di più tecniche di identificazione, piuttosto che focalizzarsi su una

sola di esse;

Le tecniche adottate dovrebbero incoraggiare la discussione e lo scambio di idee tra

gli individui;

L’identificazione dovrebbe coinvolgere un team inter-funzionale al fine di rilevare i

rischi sull’intera organizzazione;

Il processo dovrebbe concludersi con una lista focalizzata sui rischi vitali per

l’impresa.

L’analisi dell’esperienza passata: L’analisi dell’esperienza passata è fondamentale per

giungere ad identificare le principali tipologie di rischi aziendali. Essa si può basare sia

sull’esperienza personale dei soggetti presenti in azienda sia sugli archivi appositamente

predisposti e volti a registrare gli eventi utili a tale scopo. Questa analisi può servire ad

individuare rischi puri e speculativi. Il principale limite dell’esperienza passata è la mancanza

a livello aziendale di archivi storici sufficientemente ampi dai quali poter trarre utili

indicazioni. In effetti, l’attenzione verso il risk management è, per la maggior parte delle

aziende, piuttosto recente. Inoltre la costituzione e, soprattutto, la manutenzione di archivi

85

storici volti a rilevare i fatti aziendali per le finalità di risk management può essere molto

onerosa. Infine l’analisi dell’esperienza passata non permette di identificare rischi che

possono essere presenti, ma che non si sono ancora verificati. In generale essa porta a

sovrastimare l’importanza dei rischi che si sono già verificati in passato ed a sottostimare i

rischi che non si sono ancora verificati.

Check o Prompt List: Una prompt list consiste in un elenco di categorie di rischi o un

elenco di rischi predisposta allo scopo di agevolare la fase di identificazione. Le prompt list

si presentano particolarmente utili quando si tratta di identificare dei rischi aziendali o di

progetti simili ad altre aziende o progetti su cui si è già svolta la fase di identificazione in

passato. Inoltre possono essere impiegate prima di altre tecniche quali il brainstorming e le

interviste. In questo caso “la lista” serve a chi la utilizza per arrivare già “preparato”

all’intervista o alla sessione di brainstorming. Le prompt list sono uno strumento poco

costoso ma si rivelano inadeguate ad identificare rischi che non trovano collocazione

nell’elenco formulato.

Self Assessment e interviste: Le interviste permettono di superare i problemi dell’analisi

della documentazione tecnica. Ogni soggetto che può contribuire alla corretta identificazione

e descrizione dei rischi viene intervistato. L’intervistatore si avvale solitamente di un

questionario predisposto allo scopo. L’intervista è particolarmente utile per l’identificazione

di rischi puri di natura tecnica difficilmente individuabili da chi non ha sufficienti competenze

in merito.

Il brainstorming: La tecnica del brainstorming è una tecnica di gruppo che può essere

utilmente impiegata per l’identificazione dei rischi. In generale la tecnica del brainstorming

ha lo scopo di generare idee per risolvere un’ampia gamma di problemi. Essa è

particolarmente utile per l’identificazione di rischi complessi. Con la sessione di

brainstorming i soggetti che possono contribuire all’identificazione dei rischi si riuniscono

sotto la giuda di un moderatore. La riunione è solitamente informale ed è finalizzata a far

esprimere liberamente l’opinione di ciascuno. Tutte le idee esposte durante la sessione sono

registrate e analizzate successivamente dal moderatore. La fase dell’analisi è centrale per la

corretta identificazione dei rischi. Spesso il moderatore può organizzare delle interviste con

i singoli partecipanti alla riunione al fine di meglio focalizzare l’attenzione sui rischi dei quali

si è discusso solo superficialmente nella sessione di brainstorming. La tecnica del

brainstorming ha il vantaggio di mettere a frutto le esperienze personali di un variegato

86

gruppo di persone e può permettere di individuare quei rischi che le prompt list o l’analisi

dell’esperienza passata non sono in grado di identificare.

Analisi SWOT: E’ una tecnica spesso usata nella formulazione della strategia. I punti di

forza e debolezza guardano l’organizzazione al proprio interno e di focalizzano su aspetti

quali la cultura la struttura e le risorse umane e finanziarie dell’impresa. Le opportunità e le

minacce si riferiscono invece a fattori politici, sociali, ambientali e connessi al settore in cui

opera, non controllabili dall’impresa. L’obiettivo dell’analisi SWOT consiste

nell’identificazione dei fattori essenziali, interni ed esterni, che influiscono sullo sviluppo e

sul valore dell’azienda.

I quattro punti dell'analisi SWOT (forze, debolezze, opportunità e minacce) provengono da

un'unica catena di valori intrinseci alla società e possono essere raggruppati in due categorie:

Fattori interni: sono i punti di forza e di debolezza interni dell'organizzazione;

Fattori esterni: sono le opportunità e le minacce presenti all'esterno

dell'organizzazione. L'identificazione di tali fattori può essere svolta attraverso

un'analisi PEST (acronimo di Politica, Economica, Sociale, Tecnologica, nota anche

come Analisi Quantitativa, STEER, STEEP, DESTEP, STEP).

Questionari e survey: un questionario di rischio include una serie di domande finalizzate

ad identificare una serie di rischi sia interni che esterni. È quindi utile in quanto, durante il

suo sviluppo, spinge l’impresa a riflettere su tutti i possibili rischi cui può essere esposta. Il

https://it.wikipedia.org/wiki/Analisi_PEST

https://www.google.it/url?sa=i&rct=j&q=&esrc=s&source=images&cd=&cad=rja&uact=8&ved=&url=http://www.wellfitsolutions.it/blog.php?P%3D52&bvm=bv.106379543,d.d24&psig=AFQjCNFFwvGhSweNy5YGzp0q-Rv-hvTQEQ&ust=1446390372405266

87

questionario è semi-strutturato così da rendere possibile l’inclusione di utili pareri, commenti

o esperienze. La survey di rischio può essere rivolta a vari livelli di management e solitamente

chiede di indicare i rischi più importanti associati al raggiungimento degli obiettivi. Le

informazioni ottenute da queste due tecniche, una volta consolidate, vengono utilizzate

all’interno di un workshop facilitato in cui vengono discussi ed analizzati i rischi emersi.

FMEA (Failure Mode Effects Analysis): è una tecnica induttiva che fornisce una

valutazione delle potenziali modalità di fallimento di un processo produttivo, delle relative

cause e del loro impatto sui risultati e/o sulle performance del prodotto. Stabilite le modalità

di fallimento, l’obiettivo è quello di eliminarle, contenerle, ridurle o controllarle.

FTA (Fault Tree Analysis): è una tecnica induttiva che partendo dal fallimento di una

funzionalità di un prodotto/processo, permette di identificarne le catene causali. Il grafico

che ne risulta è una rappresentazione ad albero, composta da vari livelli alla fine di ciascuno

dei quali, gli eventi intermedi si trasformano a loro volta in cause iniziali con una loro

probabilità di accadimento. La frequenza del Top Event dipende dalla probabilità delle

diverse catene causali, combinate con opportuni operatori logici.

HAZOP (Hazard Operability Analysis): è una tecnica induttiva basata sull’assunzione che

gli eventi rischiosi sono causati da deviazioni dal normale utilizzo di un prodotto/processo.

È una tecnica di brainstorming utilizzata per identificare fonti di potenziali danni, con l’aiuto

di parole guida che vengono applicate ad una serie di parametri rilevanti al fine di individuare

le potenziali deviazioni rispetto al progetto originario. È una tecnica applicabile ai processi

manifatturieri.

HACCP (Hazard analysis and critical control point): è uno strumento sistematico,

proattivo e preventivo utilizzato per assicurare qualità, affidabilità e sicurezza del prodotto.

Consiste nell’applicazione di principi tecnico scientifici per analizzare, valutare, prevenire e

controllare i rischi o le conseguenze negative di hazard connessi al progetto, allo sviluppo,

alla produzione e utilizzo del prodotto.

Risk Register

Le informazioni raccolte nella fase di identificazione, alimentano il registro di rischio, un

catalogo dinamico contenente tutti i rischi identificati corredati da una serie di informazioni,

raccolte secondo una modalità standardizzata, che supportano l’intero processo di risk

management. Il risk register, integrando tutte le principali informazioni relative ai rischi,

88

permette di agevolare le successive fasi del processo e di disporre in ogni momento, di una

informativa sintetica e aggiornata dei rischi. Le informazioni che dovrebbe contenere sono:

Data ultimo aggiornamento;

Codice riconoscimento univoco associato a ciascun rischio;

Nome e descrizione;

Natura del rischio;

Causa associata al manifestarsi del rischio;

Descrizione dei drivers di rischio;

Stima di probabilità di accadimento, severità dell’impatto e rating del rischio;

Definizione dei risk owners, dei soggetti responsabili dell’identificazione, del

trattamento e del monitoraggio dei rischi;

Il timing del rischio;

Le contromisure per rispondere al rischio:

La descrizione di eventuali rischi secondari;

Il data target entro cui devo essere realizzate le modalità di risposta al rischio.

Lo stato del rischio: gestito, non gestito, in fase di gestione.

Valutazione dei rischi. Questa fase ha inizio con la stima dei rischi e termina con la loro

prioritizzazione al fine di individuare quelli non accettabili e per cui procedere con misure di

trattamento. La stima dei rischi può avvenire tramite tecniche qualitative, semi-quantitative

o quantitative. La preferenza di una tecnica piuttosto che di un’altra, dipende da variabili

come la volatilità, il tipo di rischio, la rilevanza e il costo di implementazione.

Le principali tecniche di stima dei rischi

La misurazione dei rischi identificati può essere svolta attraverso tre tipologie di tecniche:

Qualitative: esse impiegano parole o scale descrittive per rappresentare probabilità

e impatto di ciascun rischio individuato; queste tecniche hanno un carattere generale

e nella maggior parte dei casi vengono utilizzate come base di partenza per uno studio

più dettagliato;

Semiquantitative: attribuiscono dei numeri alle categorie individuate attraverso

l’analisi qualitativa. Questi numeri non rappresentano però una vera e propria

89

quantificazione della probabilità e dell’impatto dei rischi, ma piuttosto servono a

ordinare le diverse tipologie di rischi che sono state individuate;

Quantitative: queste tecniche permettono di determinare la distribuzione di

probabilità associata ai possibili impatti di un certo evento rischioso. In generale la

scelta fra le possibili tecniche proposte presuppone una preventiva analisi di

convenienza economica attraverso la quale si confrontano i costi che l’azienda dovrà

sostenere per realizzarla, con i benefici derivanti da una migliore conoscenza dei

fenomeni esaminati.

Le tecniche qualitative e semiquantitative sono più semplici e meno costose da realizzare

rispetto a quelle quantitative. Nella valutazione della tecnica da utilizzare si deve tener conto

anche del tipo d’informazione a disposizione (effettiva conoscenza delle persone coinvolte o

di esperti, ricerche di mercato, informazioni storiche) e della tipologia di rischio che si vuole

misurare. Se l’informazione a disposizione sugli eventi rischiosi è scarsa, è consigliabile

utilizzare tecniche qualitative o semiquantitative viste la presenza di maggiore incertezza che

renderebbe meno significative le più onerose tecniche quantitative. Con riferimento alla

tipologia di rischio da stimare, l’adozione di tecniche quantitative è impiegata soprattutto per

la misurazione dei rischi finanziari, poiché l’incertezza dipende in questi casi da variabili

facilmente esaminabili nei mercati finanziari. Per la valutazione dei rischi operativi e strategici,

al contrario, l’impiego di tecniche qualitative o semiquantitative viene generalmente preferito

vista la maggiore incertezza legata ai continui cambiamenti dell’ambiente che rendono

difficilmente utilizzabili le informazioni storiche a disposizione.

La valutazione dei rischi, a prescindere dalla tecnica utilizzata, consiste nella stima di due

parametri fondamentali che definiscono il rischio: la probabilità di manifestazione

dell’evento incerto; l’impatto sulla capacità dell’organizzazione di conseguire gli obiettivi

prefissati. Il management inoltre, nello svolgimento di questa fase, deve considerare sia il

“rischio inerente”, che il “rischio residuo”. Il rischio inerente è il rischio che un’azienda

assume nel caso in cui il management non abbia realizzato alcun intervento per modificare

probabilità e impatto, cioè il rischio che prescinde dal tipo di controllo istituito in azienda. Il

rischio residuo è invece quello che resta dopo che il management ha avviato una risposta al

rischio. Il rischio viene quindi valutato prima di tutto come rischio inerente e, dopo

l’implementazione della risposta al rischio, come rischio residuo.

90

La stima qualitativa: la matrice probabilità-impatto.

La tecnica qualitativa più diffusa che permette di giungere a un ordinamento dei rischi

individuati è la “matrice probabilità-impatto”. In questo caso la valutazione viene eseguita

considerando unitamente i due parametri che definiscono il rischio, probabilità di

manifestazione e impatto atteso, i quali vengono stimati tramite valutazioni soggettive

L’impiego di questa tecnica richiede prima di tutto la definizione di una scala qualitativa che

rappresenti le probabilità di manifestazione dell’evento incerto e di una scala qualitativa che

rappresenti gli impatti attesi, ovvero le conseguenze economiche dell’evento. Ciascun

attributo utilizzato per la definizione delle due scale qualitative dovrà poi essere associato a

una breve descrizione, in modo tale da facilitare e dare maggiore uniformità al processo di

valutazione. Ciò permette di creare specifiche categorie di probabilità e d’impatto (sia

descrittive, sia numeriche) in base al quale saranno classificati i rischi individuati. Ponendo in

relazione probabilità e impatto dell’evento rischioso, il management potrà inserire ciascuno

di essi nella matrice probabilità-impatto ottenendo in tal modo una mappatura dei rischi

gravanti sull’organizzazione. Per essere realizzata la tecnica probabilità-impatto richiede di

definire:

Una scala qualitativa rappresentativa delle probabilità di verificazione dell’evento

avverso;

Una scala qualitativa rappresentativa degli impatti, cioè delle conseguenze

economiche dell’evento;

Una scala qualitativa che assegna ad ogni combinazione di probabilità e impatto un

giudizio detto risk rating; solitamente le combinazioni probabilità-impatto sono

rappresentate sotto forma matriciale denominata matrice P-I;

Dei criteri di valutazione del risk rating, cioè l’indicazione dell’atteggiamento da

assumere nei confronti di un rischio che ha un determinato risk rating.

La figura fornisce una esemplificazione dei passi evidenziati. Ovviamente la scelta delle scale

di probabilità, di impatto, di risk rating e dei criteri di valutazione sono affidate al buon senso

del risk manager. Nella figura sono formate cinque classi di probabilità (da rara a quasi certa),

cinque classi di impatto (da insignificante a catastrofico) e quattro classi di risk rating (da

basso a estremo). A ciascuna classe di rating corrisponde una valutazione del rischio.

91

I rischi con rating alto/estremo, sono caratterizzati da un danno elevato e da una

probabilità di accadimento significativa. Sono rischi che, al limite, possono

compromettere la sopravvivenza dell’impressa e che pertanto non è possibile non

controllare e prevenire;

Alla base dei rischi con rating moderato, c’è il verificarsi di un evento che può

potenzialmente provocare danni all’operatività dell’organizzazione anche se non ne

dovrebbero compromettere la sopravvivenza. Potrebbe trattarsi di rischi

caratterizzati da entità di danno minori ma con una probabilità di accadimento

significativa o, al contrario, di rischi caratterizzati da entità di danno critica ma con

una scarsa probabilità di accadimento;

I rischi con rating basso sono quelli che possono essere tralasciati in sede di

allocazione delle risorse per il controllo. In ogni caso devono essere periodicamente

controllati per assicurarsi che mantengano lo stesso livello di criticità. Sono

caratterizzati da un impatto trascurabile e da un’esigua probabilità di accadimento.

92

La tecnica probabilità-impatto è sicuramente molto semplice e poco costosa da

implementare. Si ritiene però che il suo ambito di applicazione sia necessariamente limitato

all’attività di screening dei rischi puri, cioè all’individuazione di quei rischi puri che necessitano

di un approfondimento da attuare tramite un’opportuna tecnica quantitativa. Per costruzione

questa tecnica non è applicabile ai rischi speculativi cioè a quei rischi in cui sono importanti

anche le opportunità oltre che le minacce. L’effettiva applicabilità è inoltre limitata ai rischi

nei quali esistono due soli scenari possibili: lo scenario in cui non accade nulla; lo scenario in

cui si verifica un danno che determina un impatto ben definito.

La stima semiquantititativa

Le tecniche semiquantitative assegnano alle classi individuate tramite le valutazioni qualitative

dei numeri (o pesi) a ogni livello di probabilità e impatto individuato, permettendo così

all’azienda di valutare sinteticamente i rischi tramite un punteggio, detto risk score (o

esposizione). Il punteggio concernente l’esposizione di ciascun rischio identificato si calcola

quindi moltiplicando il peso associato a ogni livello di probabilità di accadimento (score di

probabilità) con quello associato al corrispondente impatto atteso. I pesi assegnati alle classi

e i punteggi che si riferiscono all’esposizione, non rappresentano tuttavia una vera e propria

quantificazione di probabilità, impatto e rischio, ma piuttosto permettono all’azienda di

ordinare e confrontare più rischi. L’aspetto chiave di questa tecnica è rappresentato dalla

scelta dei pesi associati ad ogni classe di probabilità ed impatto individuata. Possono, infatti,

essere assegnati dei punteggi lineari, cioè proporzionali all’effettiva probabilità di

accadimento e all’impatto atteso, oppure punteggi più che proporzionali o ancora punteggi

che crescono con tasso decrescente. Dopo aver svolto questa misurazione relativamente ad

ogni rischio identificato, tutti i rischi così stimati vengono inseriti nella matrice probabilità-

impatto, che permette all’azienda di avere una visione congiunta degli stessi e una

rappresentazione complessiva dell’esposizione al rischio del processo o dell’unità

93

organizzativa oggetto di valutazione. Tale mappa dei rischi permette all’azienda di creare un

ordinamento degli stessi in base al livello di esposizione (elevata/media/bassa). Le attenzioni

maggiori saranno date a quei rischi che presentano un elevato livello di esposizione, come

specificato nel precedente paragrafo. Il management deve quindi pianificare e realizzare degli

adeguati interventi finalizzati a ridurre la probabilità di manifestazione di tali rischi, in modo

tale da ricondurla a un livello ritenuto accettabile dall’azienda. La stima semiquantitativa si

presta a essere utilizzata nella stima e nella valutazione dei rischi puri, mentre l’adattamento

ai rischi speculativi risulta essere complesso. In sintesi l’utilizzo di tecniche qualitative o

semiquantitative di stima sembra essere giustificato solo per fare uno screening dei rischi

puri, cioè per individuare quei rischi che devono essere analizzati e approfonditi tramite

un’analisi quantitativa e quei rischi che possono essere trascurati o gestiti senza ricorrere a

una più complessa analisi.

La stima quantitativa

L’obiettivo delle tecniche quantitative è quello di determinare la distribuzione delle variabili

aleatorie rappresentative dei rischi oggetto d’indagine. Esistono tipicamente due

rappresentazioni: la distribuzione dei risultati possibili e la distribuzione delle perdite

possibili. Quella di maggior interesse è la distribuzione dei risultati possibili. Questa indica

l’impatto del rischio sulla variabile obiettivo aziendale (patrimonio d’impresa, valore

economico o risultato economico) assumendo la neutralità degli altri rischi aziendali.

Per il processo di stima quantitativa esistono molti modelli scientifici che possono essere

impiegati. E’ possibile, tuttavia, individuare alcune tappe fondamentali comuni a tutti i

modelli:

Costruzione del modello;

Determinazione delle caratteristiche delle variabili aleatorie e non aleatorie;

Determinazione della distribuzione dei risultati e degli indicatori di sintesi;

Validazione e verifica del modello;

La distribuzione della variabile aleatoria obiettivo, invece, è generalmente determinata

attraverso la simulazione: si tratta di una particolare modalità decisionale basata sulla

costruzione di sistemi d’ipotesi e sullo svolgimento di esperimenti. Le tecniche più conosciute

sono:

94

La risoluzione analitica - Nella risoluzione analitica la distribuzione della variabile

aleatoria obiettivo viene individuata direttamente dal modello, in forza delle proprietà

delle variabili aleatorie che lo costituiscono. La risoluzione analitica è

possibile esclusivamente per modelli estremamente semplificati;

La simulazione Monte Carlo - La simulazione Monte Carlo è attualmente la più

diffusa modalità di risoluzione dei problemi che coinvolgono variabili aleatorie. Il

metodo Monte Carlo determina la variabile aleatoria obiettivo generando un numero

sufficientemente elevato di sentieri casuali (scenari o iterazioni). Ciascuno scenario

giunge a determinare una possibile realizzazione della variabile obiettivo. Per

raggiungere questo scopo le singole realizzazioni delle variabili aleatorie, che sono

alla base del modello, sono generate in modo da rispettare le caratteristiche della loro

distribuzione originaria. Più precisamente la simulazione Monte Carlo si basa sui

seguenti passi fondamentali:

o Simulazione di una realizzazione casuale della variabile aleatoria obiettivo;

o Ripetizione N volte il punto precedente, così da ottenere N realizzazioni

casuali della variabile aleatoria obiettivo;

o Stima della distribuzione della variabile aleatoria obiettivo dalle N

realizzazioni casuali;

o Stima degli indicatori sintetici della variabile aleatoria obiettivo (valore atteso,

scarto quadratico medio, value at risk).

All’interno del gruppo generico delle tecniche quantitative, occorre poi distinguere tra

tecniche probabilistiche e non probabilistiche. I modelli non probabilistici utilizzano

ipotesi soggettive per stimare l’impatto di eventi senza quantificare una probabilità associata

ai singoli eventi. Tra questi modelli si evidenziano: l’analisi di sensitività, finalizzata a

misurare l’impatto sui risultati aziendali derivante dalla variazione di alcuni fattori di rischio

interni all’impresa; l’analisi di scenario, che si fonda sulla stessa logica dell’analisi di

sensitività, considerando però i fattori di rischio esterni all’impresa. Infine i modelli

probabilistici che utilizzano ipotesi soggettive per stimare l’impatto di eventi senza

quantificare una probabilità associata ai singoli eventi.

La prioritizzazione dei rischi

I rischi identificati e stimati nelle fasi precedenti, vengono confrontati con le soglie di

rischiosità fissate dall’organizzazione, definite in funzione del risk appetite, al fine di

95

discriminare la rilevanza o meno di ogni specifico rischio. L’obiettivo è quello di definire una

priorità tra i rischi identificati, distinguendo quelli che necessitano di investimenti o azioni

organizzative urgenti, da quelli che richiedono interventi nulli o ridotti. Si sottolinea che

l’ordinamento dei rischi deve essere effettuato su base residuale, al netto dell’efficacia di

eventuali controlli già in essere nell’impresa.

Se i rischi sono stati valutati qualitativamente con la matrice P-I, verranno considerati critici,

i rischi che superano il valore soglia prefissato, considerando congiuntamente la probabilità

di accadimento e la severità dell’impatto. Nel caso in cui i rischi siano stati valutati

quantitativamente, verrà valutato l’impatto di ciascun fattore di rischio sulla distribuzione di

probabilità di determinati obiettivi di performance: verranno classificati come critici, tutti i

rischi aventi un’incidenza maggiore di una soglia percentuale sulla variazione delle prestazioni

aziendali.

L’esposizione dell’impresa ai rischi non è statica: l’azienda e i singoli progetti sono realtà che

evolvono nel tempo; pertanto la fase di risk assessment, non può essere effettuata una

tantum, ma periodicamente. Inoltre è necessario un livello minimo di frequenza del risk

assessment al dine di agevolare l’integrazione del risk management all’interno del normale

funzionamento aziendale, evitando così di farlo diventare un rituale esercizio di compliance.

2.6.2 Integrazione dei rischi

Dopo aver classificato i rischi in ordine decrescente di esposizione, la loro successiva

aggregazione all’interno di un portafoglio complessivo, costituisce l’essenza dell’ERM.

Ciò consente all’impresa di avere una visione completa dei rischi cui è esposta, di

coglierne le correlazioni, le interdipendenze e di ricorrere a coperture naturali. Solitamente,

la diversificazione esistente tra le diverse categorie di rischio fa sì che la somma dei rispettivi

VAR, sia maggiore del VAR calcolato a livello d’impresa, di una quantità che dipende dal

grado di correlazione esistente tra i rischi stessi.

L’oggetto del trattamento non sono più i singoli rischi, ma è l’esposizione netta

dell’impresa, ottenuta dopo aver considerato eventuali compensazioni, parziali o totali, tra

i differenti rischi. Tale approccio integrato consente di creare valore grazie alla significativa

riduzione dei costi di transazione e gestione. L’integrazione, inoltre, può mettere in luce

eventuali correlazioni tra rischi a prima vista insignificanti ma che, se accostati tra loro,

possono comportare effetti significativi sull’impresa: permette quindi di evitare potenziali

96

sovrapposizioni degli effetti a prima vista non evidenti, perseverando in tal modo il valore

aziendale.

2.6.3 Reporting dei rischi

Nella fase di risk reporting, devono essere redatti dei report sintetici volti ad evidenziare i

principali risultati dell’assessment e integrazione dei rischi in modo tale da permettere, a chi

ne ha la responsabilità, di prendere adeguate decisioni nella successiva fase di trattamento del

rischio. Il report è quindi un documento strutturato in cui si presentano tutti i rischi emersi

nella fase di identificazione, descrivendone le principali caratteristiche, lo stato di gestione

attuale e il ranking ottenuto nelle fasi precedenti. Il report consentirà ai responsabili di

prendere decisioni sulla base di un quadro completo e dettagliato dei rischi che insistono

sull’organizzazione.

2.6.4 Trattamento dei rischi

La fase di trattamento consiste in un complesso di attività finalizzate a ridurre i rischi, al fine

di ricondurli entro i limiti di tolleranza e il risk appetite dell’impresa. La scelta della tecnica

più idonea dipende dalla tipologia di rischio da trattare e da un’attenta analisi costi-benefici.

Le principali tecniche di trattamento dei rischi

Le modalità di gestione del rischio possono essere classificate in ex- ante e in ex-post. Le

modalità ex-ante riguardano interventi di gestione prima che il rischio si sia effettivamente

manifestato. Le modalità ex-post intervengono dopo che il rischio si è manifestato.

Le misure ex-ante possono a loro volta essere distinte in:

Non assunzione;

Prevenzione;

Protezione;

Diversificazione;

Copertura;

Ritenzione;

Monitoraggio ex-ante (controllo dell’esposizione al rischio).

Le misure ex-post possono invece essere distinte in:

Monitoraggio ex-post (controllo dell’andamento dei rischi);

Misure di contenimento e riduzione del danno (crisis management);

97

Piani di finanziamento dei flussi finanziari e dei flussi economici.

In questa sede, ci soffermeremo solo sulle tecniche maggiormente diffuse e condivise in

letteratura.

Non Assunzione (Evitare): La non assunzione dei rischi consiste nel rinunciare, se

possibile, ad assumersi un determinato rischio. La non assunzione ovviamente è il

riconoscimento che le altre misure di gestione dei rischi non sono idonee a rendere

accettabile un determinato rischio. Solitamente questo può accadere quando le altre misure

di gestione sono troppo onerose, cioè comporterebbero il sostenimento di costi troppo

elevati in rapporto al beneficio ottenuto in termini di riduzione dei rischi. Si può decidere di

non dare esecuzione ad un progetto che comporti l’assunzione di dati rischi, anche quando

non esistono misure di gestione in grado di ridurre il rischio sotto la soglia giudicata minimale

dall’azienda interessata.

Riduzione: Le misure di contenimento e di riduzione del danno sono tutte quelle azioni che

vengono stabilite e intraprese successivamente al manifestarsi del rischio, al fine di ridurne

gli effetti economici negativi o di amplificarne gli effetti economici positivi. Affinché le

misure di contenimento e riduzione del danno siano efficaci è ovviamente necessario che

esse siano studiate nelle loro linee essenziali ex-ante.

EX-ANTE EX-ANTE

EX-ANTE EX-POST

98

Condividere (Copertura): La copertura dei rischi consiste nell’assunzione di una posizione

rischiosa opposta a quella che si desidera gestire. Ne consegue una riduzione dei rischi per

compensazione.

Le operazioni di copertura comportano tipicamente la stipulazione di un contratto

finanziario in senso lato tra il soggetto che intende coprirsi e una controparte

individuata allo scopo;

Il rischio originario non risulta in alcun modo influenzato dall’operazione di

copertura, come invece avviene con le misure di prevenzione in senso lato;

Le assicurazioni sono le tipiche operazioni di copertura dei rischi puri (come visto

nel paragrafo 2.1);

La copertura di numerosi rischi finanziari può avvenire tramite la negoziazione su

mercati regolamentati di contratti standardizzati, principalmente futures e options

(come visto nel paragrafo 2.1).

Le operazioni di copertura non trasferiscono alcun rischio. Il rischio originario continua a

rimanere saldamente in capo all’azienda interessata. La denominazione di trasferimento delle

conseguenze economiche del rischio può essere invece ritenuta corretta da un punto di vista

sostanziale anche se è imprecisa. Infatti un’azienda che si copre stipula un contratto

finanziario con il quale una controparte si impegna a compensare gli effetti economici di un

certo rischio. Se la controparte effettivamente adempie al contratto è come se vi fosse stato

un trasferimento delle conseguenze economiche del rischio. Se però la controparte non

adempie al contratto, gli effetti economici del rischio originario rimangono in capo all’azienda

che si è coperta.

Accettare (Ritenzione): La ritenzione consiste nell’assunzione di un rischio senza adottare

alcuna esplicita misura di gestione dello stesso. Ciò si verifica quando il rischio è giudicato

trascurabile o quando, pur essendo rilevante, l’adozione di vere e proprie misure di gestione

volto a ridurlo non sono giudicate convenienti.

2.6.5 Assessment e Reporting dei rischi residui

Al termine della fase di trattamento dei rischi, è necessario effettuare una nuova stima dei

rischi che continuano ad interessare l’impresa nonostante gli interventi analizzati. Questi

ultimi sono denominati rischi residui e richiedono una mappatura dettagliata e un’accurata

attività di monitoraggio. A seguito di questa fase, viene redatto un nuovo report, sintesi di

99

tutto il processo di ERM, che contiene tutte le informazioni utili ai diversi livelli aziendali e

agli stakeholder esterni per supportare le decisioni aziendali e per valutare l’efficienza del

processo.

2.6.6 Monitoraggio dei rischi

Alla fine del processo di ERM si colloca la fase di monitoraggio. Monitorare significa

verificare la qualità del sistema di gestione di rischi attuato dall’impresa, valutando in itinere

il raggiungimento degli obiettivi individuati in fase di programmazione. I sistemi di ERM

infatti devono essere continuamente modificati, permettendo di adattarsi flessibilmente ai

variabili andamenti di mercato e alle evoluzioni della struttura interna. Quindi nel momento

in cui si modificano gli obiettivi da perseguire, devono essere modificati di conseguenza gli

strumenti con cui perseguirli. Una volta individuati i rischi residuali, l’impresa deve attuare il

processo di monitoraggio dell’intera gestione dei rischi. I due principali metodi individuati

differiscono tra loro per la frequenza con cui sono compiuti i controlli:

Valutazione continua: La valutazione continua è eseguita con costanza durante

tutto il processo di ERM, in modo da permettere un’individuazione simultanea degli

scostamenti dei risultati dagli obiettivi individuati. Per attuare concretamente il

monitoraggio continuo, devono essere coinvolti tutti gli operatori aziendali, i quali

devono conoscere i propri compiti e quelli dei colleghi, in modo da valutare sia

l’attività propria che quella dell’area a cui fanno riferimento.

Valutazione separata: La valutazione separata, al contrario della precedente, non è

costante, ma è svolta a intervalli prefissati, la cui frequenza varia in base al grado di

analisi desiderato dall’impresa. Questi controlli non offrono l’efficacia di

monitoraggio dei precedenti, ma sono utilizzati in determinate situazioni, in cui la

continuità risulterebbe troppo onerosa o quando l’area monitorata risulti essere

sufficientemente stabile. Gli intervalli di monitoraggio sono determinati in base alla

probabilità di manifestazione dei rischi, e difatti rischi con maggior probabilità

avranno controlli più frequenti, a esempio controlli settimanali, e rischi con bassa

probabilità avranno controlli più dilatati nel tempo, a esempio mensili o trimestrali.

Questi due metodi di monitoraggio devono essere utilizzati insieme, in modo da controllare

con continuità le aree maggiormente soggette a rischi, e ridurre la frequenza di controllo man

mano che si riduce la probabilità di manifestazione di un rischio.

100

2.7 La struttura organizzativa dell’ERM

Il processo di gestione integrata dei rischi, richiede che le imprese che lo implementano siano

strutturate opportunamente, in modo che ogni figura organizzativa coinvolta sia

consapevole, fin dalla fase iniziale di progettazione, di quale sia il suo ruolo all’interno

dell’intero processo. Per l’ERM è individuata una possibile configurazione organizzativa, la

quale è ovviamente il più flessibile possibile, tenendo presente che ogni impresa possa

individuare altre soluzioni proprie al fine di implementare efficacemente il processo di

gestione dei rischi. Nella struttura proposta di ERM sono identificate diverse figure

organizzative con dei compiti precisi e delle responsabilità predeterminate: il consiglio di

amministrazione, i responsabili delle singole funzioni aziendali, la funzione risk management

e la funzione di internal auditing. La vera novità dell’ERM è l’introduzione di una nuova

figura organizzativa: il Chief Risk Officer (CRO) o dirigente per i rischi.

Introducendo anche se sommariamente, gli attori coinvolti nel processo di ERM, parliamo

della cosiddetta Risk Governance, ovvero la componente della Corporate Governance

finalizzata a definire i rapporti tra gli organi e le funzioni deputate all’assunzione dei rischi ed

alla loro gestione. I componenti della Risk Governance, assicurano trasparenza e

consapevolezza ai processi di assunzione dei rischi e pongono in essere efficaci strumenti per

la loro gestione perseguendo l’obiettivo di ottimizzare il rapporto rischio/rendimento.

2.7.1 Il Consiglio di Amministrazione

Il Consiglio di Amministrazione di un'impresa ne rappresenta l'organo sovraordinato e

definisce le linee di indirizzo del sistema di controllo interno e di gestione integrata dei rischi

identificando, misurando, gestendo, monitorando e determinando il profilo di rischio in linea

con la gestione aziendale e gli obiettivi strategici prefissati. In particolare, secondo il COSO

ERM Framework, il Consiglio di Amministrazione esercita le sue funzioni di controllo nei

seguenti modi:

Conoscendo ed appoggiando le modalità secondo le quali il management ha posto in

essere il processo di ERM;

Conoscendo e condividendo il livello di rischio tollerabile definito dall'impresa;

analizzando il rischio effettivo cui è esposta l'azienda e ponendolo a confronto con

il livello di rischio accettabile;

101

Ricevendo informazioni sui rischi più significativi e sull'efficacia dell'operato del

management.

Al CDA sembrano spettare almeno tre compiti fondamentali:

La definizione delle strategie inerenti lo sviluppo e la realizzazione di un effettivo ed

efficace processo di risk management (tra queste in primo luogo la definizione delle

risorse da stanziare allo scopo);

La definizione degli obiettivi generali in merito all’assunzione dei rischi da parte

dell’azienda;

La valutazione dell’efficacia del processo di risk management e, strettamente

connesso, dell’effettivo rispetto degli obiettivi generali di cui al punto precedente.

Il Chief Executive Officer

Il Chief Executive Officer (CEO) rappresenta il principale responsabile della gestione del

rischio e deve assumersi la responsabilità dell'intero processo di Enterprise Risk

Management, assicurando lo sviluppo e l'implementazione di tutti i componenti richiesti per

un'efficace gestione integrata del rischio. Il CEO è, agli occhi del mondo esterno, il principale

rappresentante dell'azienda e dell'intera cultura aziendale. Egli, in costante collaborazione

con il senior management, ha il compito di definire le politiche strategiche dell'azienda e le

risposte al rischio mirate al conseguimento degli obiettivi stabiliti. Per assolvere ai suoi

compiti il CEO deve possedere una conoscenza a 360 gradi del profilo di rischio dell'impresa

e pertanto deve incontrare regolarmente i senior manager e i responsabili delle principali aree

funzionali. In questo modo egli è in grado di monitorare le diverse attività e i relativi rischi,

evidenziando eventuali scostamenti in relazione al livello di rischio accettabile definito

dall'impresa.

102

2.7.2 I singoli centri di responsabilità

I singoli centri di responsabilità dell’azienda dovrebbero essere strettamente coinvolti nel

processo di risk management. In particolare i manager dei centri dovrebbero:

Realizzare operativamente, con il supporto della funzione di risk management,

l’intero processo con riferimento ai rischi del centro e, in particolare, essere

responsabili della gestione operativa dei rischi;

Essere responsabili per la diffusione della cultura del risk management all’interno del

centro;

Dovrebbero assumete delle decisioni operative considerando sempre adeguatamente

i rischi che esse comportano.

2.7.3 La funzione risk management

La funzione di risk management svolge un ruolo centrale in tutto l’iter. Si osserva da subito

che il risk manager è responsabile del corretto funzionamento del processo di risk

management, mentre non dovrebbe avere la responsabilità operativa sulla gestione dei singoli

rischi aziendali che spetta tipicamente ai responsabili del centro da cui il rischio si origina. La

funzione risk management definisce e implementa le metodologie di misurazione dei rischi

aziendali, monitora il continuo rispetto dei livelli di rischio definiti e l’adeguatezza del sistema

di misurazione dei rischi. Le sue principali funzioni sono:

Concorre alla individuazione dei rischi aziendali;

Concorre alla definizione ed alla implementazione delle metodologie di misurazione

dei rischi tecnici (Mercato, Credito ed altri) e di valutazione di quelli operativi;

Convalida i flussi informativi necessari ad assicurare tempestività nel controllo delle

esposizioni ai rischi e nella rilevazione di anomalie operative;

Produce un sistematico reporting previsionale e consuntivo sull’esposizione ai rischi

con livelli informativi differenziati per destinatario (del responsabile unità operativa al

Consiglio di Amministrazione);

Verifica la coerenza delle scelte e dei risultati ottenuti con i profili di rischio -

rendimento definiti dal Consiglio di Amministrazione supportando quest’ultimo nella

definizione di obiettivi e strategie;

Verifica la aderenza dei modelli di misurazione dei rischi con l’operatività

effettivamente svolta e propone eventuali adeguamenti degli stessi;

103

Si coordina con le altre funzioni di controllo (Internal Audit e Compliance) per lo

scambio di informazioni e per la pianificazione e la realizzazione delle attività di

verifica.

Il Chief Risk Officer

Con il passaggio ad una gestione integrata del rischio viene individuata l’inserimento una

nuova figura, il Chief Risk Officer (CRO) che si pone al centro tra il vertice, l’audit interno e

le funzioni aziendali. Il CRO ha il compito di interfacciarsi con l'intera l'organizzazione,

interagendo con le diverse attività, i processi e le funzioni, allo scopo di coordinare e garantire

l'efficacia del processo, mantenendo il corretto equilibrio tra costi ed opportunità. Il CRO

viene direttamente nominato dal CEO e si pone come figura intermedia tra quest'ultimo e il

management, rappresentando il principale canale di comunicazione tra i due organi.

La funzione di Risk Manager si evolve da un ruolo di “misuratore”, ad un ruolo di

partecipazione sistematica e di indirizzo (CRO). In particolare il CRO:

Racchiude sotto un’unica responsabilità compiti di pianificazione, controllo di

gestione e di risk management;

Partecipa al processo di business (pianificazione, selezione e governo dei rischi)

assicurando una generale coerenza tra gli obiettivi definiti ed i risultati conseguiti;

Fornisce supporto tecnico agli organi di vertice ed al CDA per la formulazione di

obiettivi, piani strategici ed operazioni significative;

Amministra in maniera dinamica i limiti di rischio tra le diverse linee di business;

Contribuisce al processo decisionale;

Ha un ruolo chiave nella creazione del valore e nel raggiungimento degli obiettivi di

rischio rendimento.

2.7.4 L’Internal Audit

Il sistema di internal auditing, definito dal Codice di Autodisciplina delle società quotate

emanato in Italia dal Comitato per la corporate governance delle società quotate, è l’insieme

dei processi diretti a monitorare:

L’efficienza delle operazioni aziendali;

L’affidabilità dell’informazione finanziaria;

Il rispetto di leggi e regolamenti;

La salvaguardia dei beni aziendali.

104

Il ruolo dell’internal auditor si è andato modificando con lo sviluppo dei processi di risk

management e la crescente attenzione verso la gestione dei rischi. Infatti per quanto riguarda

l’implementazione dell’ERM, la funzione di controllo interno deve porsi come supporto

alle altre funzioni aziendali, aiutandole nell’attività sistematica di identificazione e

valutazione dei rischi aziendali, e nel conseguente monitoraggio degli stessi, date le sue

competenze tecniche in materia. Infine svolge una funzione di monitoraggio e divulgazione

dell’applicazione e dei risultati dell’ERM lungo tutta la struttura organizzativa identificata.

Questo è possibile perché essa svolge le seguenti attività:

Compie il controllo sui rischi critici;

Verifica l’efficacia e l’efficienza i processi di ERM all’interno dell’impresa;

Fornisce garanzie sulla gestione del rischio;

Fornisce supporto agli operatori coinvolti nell’ERM;

Coordina la reportistica sul rischio e aiuta lo staff dedicato all’ERM.

Le funzioni svolte possono variare da impresa a impresa, in base alle loro necessità e

alla loro struttura organizzativa, ma la funzione di controllo interno risulta necessaria al fine

di implementare correttamente la gestione integrata dei rischi.

2.8 Benefici e limiti dell’ERM

Una corretta gestione integrata del rischio, grazie alle sue caratteristiche, è in grado di fornire

all’impresa numerosi vantaggi e di apportare importanti benefici, supportandola nel

raggiungimento degli obiettivi, diminuendo la volatilità dei guadagni e dei prezzi dei titoli,

riducendo i costi del capitale esterno, aumentando l’efficienza del capitale e creando delle

sinergie tra le varie attività di gestione del rischio. Di seguito si riportano i principali benefici

rilevati in letteratura dai più autorevoli esperti in materia:

Coerenza e allineamento tra la propensione al rischio e le strategie aziendali.

Il livello di rischio accettabile deve essere stabilito e considerato, innanzitutto, per

valutare le strategie alternative e, successivamente, per fissare degli obiettivi. Questi

ultimi devono essere in linea con la strategia selezionata, con i limiti stabiliti per il

downside risk e con i meccanismi di gestione dei rischi che ne derivano;

Miglioramento e rafforzamento del sistema decisionale relativo alle risposte al

rischio ovvero alle azioni da intraprendere a fronte dei rischi individuati. L’ERM

fornisce, infatti, da un lato delle regole rigorose per identificare tali risposte ai rischi

105

individuati (evitare, ridurre, trasferire e accettare i rischi) e, dall’altro, fornisce delle

tecniche per selezionare la risposta al rischio più adeguata101 tra le varie alternative;

Minimizzazione o contenimento degli eventi imprevisti e delle relative perdite

potenziali. Le imprese, infatti, migliorando la loro capacità di identificare i potenziali

eventi di rischio, di valutare i relativi rischi e di formulare le risposte più adeguate,

riducono sia la frequenza degli eventi imprevisti che i costi o le perdite conseguenti;

Identificazione e gestione dei rischi correlati e multipli. Ogni impresa, infatti,

deve affrontare una miriade di rischi che interessano varie parti dell’organizzazione

ed è chiamata a gestire sia i molteplici impatti che uno stesso rischio può avere

all’interno dell’organizzazione che la correlazione tra gli impatti dei diversi rischi.

L’ERM facilita la formulazione di risposte univoche ai rischi multipli e una risposta

efficace ai rischi con impatti correlati. I vantaggi dell’ERM sono ottimizzati solo

quando a livello aziendale viene adottato un approccio integrato di gestione dei rischi.

Quest’ultimo piuttosto che essere puramente un meccanismo difensivo, dovrebbe

essere uno strumento per massimizzare le opportunità;

Possibilità di legare crescita, rischio e rendimento. L’ERM fornisce una migliore

capacità di identificare e valutare i rischi, stabilisce un livello accettabile di rischio in

relazione alla crescita potenziale, al raggiungimento degli obiettivi e all’ottenimento

di rendimenti commisurati ai rischi102.

Aumento della probabilità di perseguimento degli obiettivi aziendali.

L'obiettivo primario di ogni azienda è rappresentato dalla creazione di valore. Come

è stato più volte affermato, l'ERM fornisce alle imprese una serie di tecniche e

metodologie per identificare, verificare e valutare le opportunità che intendono

perseguire e sfruttare, in modo consapevole e responsabile. Allo stesso tempo

supporta l'impresa nell'identificazione, misurazione e monitoraggio delle sorgenti di

rischio strettamente connesse alle opportunità selezionate, al fine di favorire la buona

riuscita del processo e di realizzare gli obiettivi aziendali;

Riduzione della volatilità dei guadagni e connessa riduzione del costo del

capitale a seguito della minore rischiosità percepita dell’azienda. Questo permette di

contenere la parte di rendimento che viene richiesta, al fine di remunerare il livello di

101 Cfr. (Prandi, 2010) 102 Cfr. (Chapman, 2006)

106

rischio. Il fatto che Standard & Poor’s, come citato in precedenza, abbia introdotto

la valutazione del livello di implementazione dell’ERM nel computo dei rating per

alcune tipologie di imprese, implica anche che la valutazione positiva che viene data

per una corretta implementazione del modello, favorisce gli investimenti da parte

degli azionisti103;

Migliore reputazione aziendale. La reputazione è sempre più un driver di

creazione di valore per le imprese, e la capacità di saper gestire i rischi è una delle

componenti che influisce positivamente sulla reputazione aziendale, sia permettendo

all’impresa di difendersi preventivamente da possibili perdite, sia dando un’immagine

di affidabilità agli stakeholders. Infatti, la reputazione ha due principali caratteristiche:

o Può essere rapidamente acquisita ma altrettanto rapidamente perduta;

o Su di essa agiscono i comportamenti di tutti i membri dell’organizzazione.

In quest’ottica, l’adozione di sistemi di ERM, permette di creare capitale

reputazionale, riducendo la probabilità di impatti dannosi, migliorando i

comportamenti percepiti dagli stakeholders e in particolare sviluppa una cultura

aziendale che riduce i comportamenti dannosi. Infine è importante sottolineare che

la reputazione è un driver di creazione del valore d’impresa perché:

o Le imprese con una buona reputazione sono considerate più affidabili dal

mercato, il quale non le penalizza in situazioni di crisi;

o Le imprese con una buona reputazione riescono più facilmente ad attrarre risorse

finanziarie e a ottenerle a minor costo;

o Le imprese con una buona reputazione attraggono dipendenti competenti, con

esperienza e li fidelizzano.

Migliore resilienza organizzativa: poiché l'ambiente di business è soggetto a

continui cambiamenti è molto importante sviluppare un buon livello di "resilienza

organizzativa", intesa come il grado di flessibilità e capacità di un'impresa di

rispondere alle mutazioni della realtà. Il processo di ERM si rivela funzionale a tale

scopo, in quanto supporta l'impresa nel comprendere i cambiamenti potenziali e la

prepara a fronteggiarli predisponendo sia meccanismi di risposta al rischio, sia

sviluppando delle strategie di sfruttamento delle opportunità (upside);

103 Cfr. (Segal, 2011)

107

Sfruttamento delle opportunità: infine, il processo di identificazione ed analisi dei

potenziali fattori di rischio che caratterizza l'ERM, consente all'impresa di individuare

sia le minacce sia le opportunità che le si possono presentare di fronte. Così come le

minacce richiedono delle strategie in grado di contrastarle, è necessario sviluppare

dei meccanismi che consentano di sfruttare al meglio le opportunità generate.

Sebbene l’ERM apporti tutti questi benefici, esso presenta anche una serie di limiti. Infatti è

lo stesso COSO ERM Framework a identificare i principali punti deboli del processo. I limiti

vengono ricondotti a tre principali motivazioni: in primo luogo il rischio che deve essere

gestito fa riferimento ad un evento futuro incerto e pertanto non è prevedibile dall'impresa

con certezza; in secondo luogo l'ERM è finalizzato al conseguimento di diverse categorie di

obiettivi e, con riferimento agli obiettivi di tipo strategico ed operativo, non è in grado di

fornire alcuna ragionevole sicurezza circa il loro raggiungimento; infine l'ERM non può

fornire la sicurezza assoluta per nessuna delle quattro categorie di obiettivi.

Queste limitazioni sono determinate da diversi fattori: innanzitutto in qualsiasi processo

gestionale è sempre presente l'eventualità che gli individui coinvolti possano effettuare delle

scelte errate o che si verifichino anomalie nel sistema provocate dalle scelte assunte o dovute

semplicemente ad errori di valutazione o sbagli del personale che possono provocare, nei

casi più gravi, l'intero fallimento del sistema. E' inoltre possibile che all'interno di un'impresa

si verifichino degli episodi di collusione, nei quali due o più soggetti si accordino tra loro per

commettere atti impropri od illeciti al fine di conseguire, per sé o per altri, un ingiusto profitto

ai danni dell'organizzazione, rendendo inefficace il processo di gestione integrata dei rischi.

L'intero processo può altresì essere “aggirato” dal management, ponendo in essere

operazioni per scopi illegittimi o violando politiche prescritte. Si tratta solitamente di attività

non documentate o trasparenti, in quanto esse vengono effettuate con l'intenzione di

occultare le medesime operazioni104.

Oltre alle problematiche sopra riportate, il processo di ERM presenta delle limitazioni anche

dal punto di vista dell’implementazione. Un primo limite, facilmente identificabile, è il costo

di implementazione. L’ERM infatti richiede all’impresa di sostenere dei costi iniziali elevati,

che non sempre sono facilmente identificabili in rapporto con i benefici raggiungibili.

Adottare una gestione integrata del rischio significa:

104 Cfr. (AIIA & PWC, 2006)

108

Assumere figure organizzative ad hoc per l’implementazione (CRO);

Introdurre sistemi di valutazione dei rischi, talvolta molto complessi, basati su

calcoli statistico-matematici;

Aumentare la produzione di dati sia operativi sia direzionali.

Tali cambiamenti presentano spesso dei costi che sono assorbiti solo in orizzonti medio-

lunghi e per le imprese di dimensioni più piccole, talvolta tali orizzonti si dilatano

maggiormente.

In secondo luogo risulta difficile permeare l’intera impresa di una cultura di gestione

dei rischi. In imprese di grandi dimensioni coinvolgere i diversi livelli risulta spesso difficile,

perché esistono enormi distanze tra chi definisce gli obiettivi e chi aziona le leve operative.

Creare una comunicazione globale e spingere nella stessa direzione tutti i responsabili

aziendali è un risultato che si può ottenere solo nel lungo periodo, attraverso opportune

tecniche di formazione e comunicazione aziendale. In questo senso, molto spesso le imprese

non riescono a identificare il rapporto tra costo e beneficio derivante dall’adozione di sistemi

di gestione integrata.

Un altro limite da considerare è la scarsa conoscenza che le imprese hanno di questo

nuovo approccio, delle sue potenzialità e della sua flessibilità. Essendo un filone

recente, le imprese spesso non ne conoscono le potenzialità, inoltre risultando ancora assenti

dei riscontri da parte di imprese che stanno adottando questo sistema, non vi è la dovuta

informazione nel mercato.

Infine, va sempre tenuto presente che la gestione dei rischi si basa su stime e non su dati

certi. Queste stime, nascendo dalle attività delle persone, scontano due grandi difetti: i

possibili errori che possono essere commessi e la soggettività con cui gli operatori valutano

i risultati ottenuti. Quindi va considerato che durante la valutazione, i rischi possono essere

misurati non correttamente, generando dei risultati di gestione diversi dagli

obiettivi definiti all’inizio del processo. Tali differenze sono insite in qualsiasi attività, quindi

anche nella fase di progettazione di un sistema di ERM va tenuto conto dei possibili errori

di calcolo, umani e dati dalla soggettività delle analisi e delle decisioni prese.

Sulla base dei benefici e dei limiti proposti, nel prossimo capitolo, si andrà ad analizzare la

situazione delle imprese italiane nella gestione del rischio. Nello specifico si andrà a valutare

lo stato dell’arte all’interno delle PMI, che costituiscono il 99% delle imprese sul territorio

109

italiano, evidenziando quanto è stato realizzato e quali sono le lacune, secondo l’ultimo

Osservatorio sul risk management realizzato dal Politecnico di Milano.

110

CAPITOLO 3 – L’ ENTERPRISE RISK MANAGEMENT NELLE

PMI ITALIANE

3.1 Il punto di vista delle PMI

La scelta di rivolgere questo capitolo alle piccole e medie imprese è dettato dal fatto che il

tessuto imprenditoriale italiano è caratterizzato per il 99,9%105 da aziende di questa

dimensione. Tuttavia gli studi in tema di RM applicati alle PMI risultano quasi assenti, come

anche le ricerche volte ad aiutare i piccoli imprenditori nelle sfide a cui, a causa dei

cambiamenti del mercato, sono sottoposti quotidianamente.

L’implementazione dell’ERM prevede una struttura organizzativa ad hoc e un processo ben

definito e integrato con tutte le funzioni aziendali. Tutto questo ha un prezzo, sia in termini

di risorse economiche sia di risorse umane. Innanzitutto le PMI hanno una modalità di

gestione radicalmente differente da quella delle grandi imprese. Infatti, normalmente, a capo

dell’impresa vi è una sola persona (imprenditore) che detiene l’intero potere decisionale.

Difficilmente è presente un livello intermedio di management, poiché il “padrone” vuole

solitamente mantenere il potere e il controllo sulle attività. Spesso il rimanere “piccola” è una

scelta stessa dell’imprenditore, che, pur di non perdere il controllo, rinuncia all’opportunità

di finanziarsi con capitale di terzi. Spesso invece è una scelta dovuta alla difficoltà di accesso

al credito nel mercato dei capitali106.

Gli standard presentati nel precedente capitolo, COSO e ISO 31000, sono framework

estremamente validi per le big company, ma presentano delle criticità applicative dal punto

di vista delle PMI:

a) La componente culturale: il sistema di gestione dei rischi viene percepito più come

un onere che come un’occasione per creare valore;

b) Le PMI non possiedono le risorse sufficienti a creare un sistema di controllo del

rischio adatto e conforme agli standard qualitativi previsti dalle principali best

practice;

105 Come riportato nello SBA (Small Business Act), edizione 2012, pubblicato dalla European Commission, sono PMI il 99,9% delle imprese italiane e rappresentano l'80,3% dell'occupazione nel settore privato non finanziario. 106 Cfr. (Risk Governance, 2014)

111

c) Il coinvolgimento diretto dell’imprenditore, non sempre permette una corretta

identificazione e valutazione della totalità dei rischi presenti, inficiando le principali

fasi del processo di ERM come la stima di probabilità e impatto;

d) Di rado una PMI possiede un codice di condotta scritto, ma la comunicazione dei

valori di integrità e di corretto comportamento avvengono prevalentemente in

modalità verbale all’interno dell’organizzazione;

e) La gestione delle risorse umane il più delle volte non risulta formalizzata nelle PMI,

dunque si possono rilevare delle inadeguatezze nell’assegnazione dei ruoli;

f) I sistemi informativi utilizzati dalle PMI sono solitamente meno sofisticati. Tuttavia

il loro ruolo risulta altrettanto importante: grazie alle tecnologie IT i dati grezzi

disponibili possono essere processati in maniera efficiente in tutte le organizzazioni

(torneremo successivamente su questo aspetto).

Dunque appare chiaramente come la dimensione aziendale limiti notevolmente lo sviluppo

di un processo di RM. Si evidenzia un problema di risorse da dedicare alla funzione RM,

l’assenza di un organigramma strutturato per funzioni (talvolta la funzione risk management

e internal auditing sono riunite) e la mancanza di pratiche codificate al fine di diffondere la

cultura del rischio. Comunque come afferma Floreani107, al fine di creare degli strumenti

idonei alla gestione del rischio nelle PMI, è importante sottolineare che le imprese di tutte le

dimensioni devono affrontare il problema della gestione dei rischi aziendali, scegliendo una

soluzione organizzativa coerente con le risorse disponibili e con gli obiettivi di RM e,

prestando attenzione all’esistenza di conflitti di interesse inerenti l’attività di RM.

Bendinelli in un famoso articolo del Sole 24 Ore108, sottolinea come la sopravvivenza delle

PMI Italiane, oggi sempre più esposte a questioni di mercato, dimensione, infrastrutture,

finanza e compliance, richieda delle nuove capacità:

Sapere: un mix di visione, internazionalizzazione, innovazione e pensiero digitale;

Saper fare: un mix di flessibilità, fare rete, efficienza e velocità;

Farlo sapere: saper comunicare aumenta il valore dell’impresa e dei prodotti verso

clienti, fornitori, dipendenti, partner, finanziatori.

107 Cfr. (Floreani, Introduzione al Risk Management, 2005) 108 Cfr. (Bendinelli, Perchè un approccio ERM per le PMI complesse, 2009)

112

La necessità odierna di sviluppare queste nuove capacità è di per sé fonte di complessità, a

prescindere dalle dimensioni dell’impresa, tradizionalmente misurate con parametri

quantitativi quali il fatturato o il numero di addetti. La complessità nell’era digitale è invece

una variabile qualitativa, in cui una impresa piccola per fatturato può essere complessa quanto

una grande in base all’esame di diversi criteri: numero aree di business e di prodotti, numero

di mercati e di canali di vendita coperti, numero di soggetti esterni coinvolti nel processo di

produzione e/o commercializzazione, etc.

Un approccio ERM può dare alla gestione delle PMI complesse un modello dinamico di

direzione per gestire la complessità, sia strategica che operativa, le 4 attività chiave per il

successo di un’impresa moderna: quantificare, coinvolgere (tutti gli stakeholder), decidere,

comunicare.

In generale, la questione ci porta a una domanda cruciale: i benefici dell’implementazione

dell’ERM in una PMI sono tali da giustificarne i costi? Inoltre, qual è attualmente il livello di

conoscenza che le PMI italiane hanno in tema di risk management? Quale invece il livello di

attuazione? Le PMI sono in grado di identificare e valutare correttamente i rischi cui sono

esposte? Posseggono gli strumenti e le competenze per gestirli al meglio? Con l'obiettivo di

rispondere a queste domande in modo approfondito e completo, nasce l'Osservatorio sul

Risk Management nelle PMI, colmando il vuoto che si registra per quanto riguarda la

letteratura, scientifica e non, sulle pratiche di gestione del rischio nelle PMI.

3.2 L’Osservatorio sul Risk Management nelle PMI Italiane

L’Osservatorio sul Risk Management nelle PMI Italiane109, realizzato da Risk Governance-

Politecnico di Milano, è un’iniziativa volta a dare informazioni su come le Piccole e Medie

Imprese italiane vivono il tema del rischio al loro interno. Si prefigge di contribuire a creare

consapevolezza sui temi del rischio e a sviluppare la cultura del rischio nelle PMI.

L’Osservatorio ha natura permanente ed esercita, pertanto, un monitoraggio attivo e

sistematico nel tempo dell’evoluzione del risk management nelle PMI italiane. Sono analizzati

l’organizzazione e le tecniche più utilizzate per l’analisi e la gestione del rischio, ma anche la

cultura del rischio, le principali categorie di esposizione e l’outlook. L’obiettivo è quello di

fotografare, con la risoluzione più alta possibile, lo stato dell’arte del Risk Management nel

mercato italiano, all’interno del sistema delle Piccole e Medie Imprese. L’osservatorio

109 Quanto riportato nel paragrafo 3.2 è stato realizzato mediante una rielaborazione del report completo dell'Osservatorio sul Risk Management nelle PMI Italiane ed.2013 (Risk Governance, 2014)

113

rappresenta la prima iniziativa in Italia che vuole dare luce a come la gestione dei rischi è

vissuta e operata all’interno delle PMI. I dati riportati in questo elaborato fanno riferimento

alla seconda edizione dell’Osservatorio, riferita ai dati raccolti nel 2013. Il report sulla

successiva edizione 2014 ancora non è stato pubblicato, ma ne anticiperemo alcuni risultati

alla fine.

Il campione di imprese su cui si effettua l’analisi si compone di 701 PMI che appartengono

a tutti i settori dell’economia, dalla manifattura ai servizi. Le imprese sono selezionate

discriminando sulla variabile fatturato in base alle soglie incluse nella definizione di PMI

stabilita dall’Unione Europea, che stabilisce complessivamente i seguenti criteri:

Micro imprese ‐ fatturato o totale attivo entro i 2 milioni di Euro e numero di

dipendenti inferiore a 10;

Piccole ‐ fatturato o totale attivo entro i 10 milioni di Euro e numero di dipendenti

inferiore a 50;

Medie ‐ fatturato entro i 50 milioni di Euro o totale attivo entro i 43 milioni di Euro

e numero di dipendenti inferiore a 250

Il questionario sottoposto alle aziende è composto di 43 domande che vanno ad analizzare

tre principali aree di indagine:

Anagrafica, contesto e cultura sociale;

Processo di Risk Management;

Valutazione, gestione, monitoraggio dei rischi e reportistica.

3.2.1 Il Campione

La base di partenza dell’indagine è rappresentata da 9.864 contatti di PMI distribuite su tutto

il territorio nazionale. Il questionario è stato distribuito con l’aiuto di un piattaforma web

dedicata, grazie alla quale si è poi provveduto a raccogliere le risposte. La survey è rimasta

aperta per un periodo di un mese, al termine del quale sono state raccolte 701 risposte

complete e se ne è verificata l’attendibilità e la correttezza. Di seguito si riporta La

distribuzione iniziale delle 9.864 PMI, da cui l’indagine è partita, e la distribuzione dei tassi

di risposta delle 700 aziende del campione:

114

Nel 2013 le aziende rispondenti che appartengono al settore “servizi” sono il 36% del totale,

contro un ben più modesto 11% dello scorso anno. La percentuale di rispondenti del settore

commercio appare abbastanza stabile, come anche quella del settore “costruzioni”. Si registra

una significativa riduzione del peso relativo del settore manifatturiero, che lo scorso anno

pesava il 66% del totale, contro il 41% del 2013.

Le 701 aziende del campione sono state divise in tre categorie di fatturato:

Inferiore a 2 milioni Euro (micro imprese);

Tra 2 milioni Euro e 10 milioni Euro (piccole imprese);

Tra 10 milioni Euro e 50 milioni di Euro (medie imprese).

115

La maggior parte delle aziende appartiene alla fascia intermedia (piccole imprese) e la somma

di piccole e micro imprese equivale al 78% del campione. Incrociando i dati sul fatturato

2013 con quelli sulla spesa in Risk Management sostenuta nello stesso anno, si nota una

correlazione positiva. Più le PMI fatturano e più tendono ad aumentare, in termini

percentuali sui ricavi, il proprio impegno in Risk Management.

3.2.2 La percezione del rischio nelle PMI

I risultati dell’analisi sulle PMI evidenziano una relazione “difficile” tra PMI e gestione del

rischio. Si tratta di un rapporto da sempre pieno di ostacoli, permeato da una forte

incomunicabilità, che ha origine dalla difficoltà di individuare un vocabolario comune utile a

definire processi aziendali snelli e coerenti tra loro.

Il RM ci insegna che il rischio non va visto solo come un evento dannoso, è stato quindi

chiesto alle aziende intervistate cosa fosse per loro il rischio. Nel grafico che segue vengono

riportate le risposte registrate durante questa edizione dell’osservatorio (Osservatorio 2013),

comparate con quelle ottenute lo scorso anno (Osservatorio 2012).

116

In leggera diminuzione la percentuale di aziende che intende il rischio come opportunità, si

nota invece una certa riduzione del numero di aziende che reputa i rischi come “aspetti

marginali” e conseguentemente un aumento di quelle che li vedono come “eventi negativi da

evitare”. Se da un lato questo risultato appare negativo, poiché una discreta percentuale non

ha ben chiaro il binomio rischio‐opportunità, è comunque positivo che ci sia una percentuale

in netta diminuzione di aziende che considerano il rischio come aspetto non importante per

il business. Inoltre le medie imprese appaiono maggiormente consapevoli del corretto

significato di rischio. Il che evidenzia uno stato di maturità più avanzato rispetto alle piccole,

sicuramente facilitato dalla alta percentuale di medie imprese che ha alle sue spalle una grande

impresa o un gruppo.

3.2.3 Il Profilo di rischio attuale

Al fine di valutare la percezione del rischio che hanno le imprese della survey, è stato chiesto

loro quale fosse la situazione del profilo di rischio attuale. Rispetto al 2012 non si nota una

significativa variazione nelle risposte e viene confermato che il profilo più frequente è il

“medio”. In diminuzione i profili di rischio “alto” e in lieve aumento i profili di rischio

“basso”

Coloro che percepiscono un basso rischio sono anche, in maggior parte, coloro che

vedono il rischio come opportunità da gestire attivamente. Un basso profilo di rischio

implica dunque una buona gestione e visione dei rischi;

Le imprese che percepiscono un profilo di rischio medio, il 61% del totale, appaiono

invece meno facili da interpretare sulla definizione di rischio. Il 55% di queste intende

il rischio come un evento da evitare assolutamente, mentre il 43% ha una concezione

più matura del rischio, vedendolo come opportunità da gestire attivamente;

Le aziende che hanno affermato di avere un profilo di rischio alto, mostrano una

discreta maturità in termini di consapevolezza del significato di rischio. Il 65%

117

risponde infatti di intenderlo come opportunità da gestire attivamente, il 32% come

eventi negativi da evitare e solo il 3% considera il rischio un aspetto marginale.

Per quanto riguarda la differenziazione tra piccole e medie imprese in merito al profilo attuale

di rischio, si registrano percentuali piuttosto simili tra le due categorie. La maggior parte delle

aziende ha dichiarato di avere un profilo di rischio attuale medio (60% Piccole, 57% Medie).

Il 33% delle medie risponde di avere un profilo attuale basso, contro un 26% delle piccole.

Mentre il 9% delle medie ritiene di avere un rischio attuale alto, contro un 12% delle piccole.

Le operazioni societarie effettuate negli ultimi cinque anni sono in grado di influenzare

fortemente il profilo di rischio percepito. Le operazioni che rappresentano i maggiori driver

del profilo di rischio (PdR) sono:

A livello teorico ci si sarebbe aspettati che il rischio percepito fosse influenzato dal

settore e dalle dinamiche di mercato al suo interno: invece è possibile notare come non ci sia

una sensibile differenza tra i quattro macro settori considerati. Qualunque sia il settore

di appartenenza, la percezione del rischio risulta di tipo medio.

118

3.2.4 Modello integrato di RM

L’Osservatorio inoltre, si pone l’obiettivo di censire i modelli di gestione scelti dalle aziende

per organizzare e governare in maniera efficace ed efficiente i propri processi, in ottica di

minimizzazione delle perdite e massimizzazione delle proprie performance, con un

approccio basato sul rischio e sulla semplificazione della gestione d’impresa attraverso un

unico sistema di gestione. Emerge che il percorso da compiere verso l’applicazione concreta

di un approccio olistico è ancora lungo. Si tratta di effettuare un profondo e radicale

cambiamento nella cultura di impresa, attribuendo un peso e un ruolo diverso alla gestione

del rischio intesa come opportunità per il business.

Perché le imprese non adottano processi di RM - Nel 2013, rispetto allo scorso anno,

sono in aumento le realtà che non adottano tecniche di gestione del rischio. Inoltre, quando

viene chiesto il motivo della non adozione, il 44,7% risponde che il RM non è significativo

rispetto al contesto in cui l’azienda opera. Quasi la metà di coloro che non utilizzano RM

pensano quindi che esso non sia utile al loro business, non vedono vantaggi

nell’implementarlo. Questo dato è nettamente peggiorato rispetto allo scorso anno in cui si

registrava un 31%. Nel 2012 infatti appariva più importante, come driver decisionale, il costo

di implementazione dell’ERM, con un 60% che risponde che i costi sono troppo elevati e

che il rapporto beneficio/costo è sfavorevole.

119

Perché le imprese decidono di adottare processi di RM – Si evince che l’adozione del

RM sia dovuta perlopiù alla volontà di rimediare all’impatto che fattori esogeni hanno avuto

su tutto il settore/economia e in particolare sull’azienda. Il 21% del campione ha

implementato la gestione del rischio come mitigazione degli effetti di scelte passate molto

rischiose, contro un 32% dello scorso anno. In diminuzione la percentuale di coloro che

usano il RM al fine di migliorare il rapporto con le banche, e in aumento quella di coloro che

seguono le best practice di settore.

3.2.5 Ruoli e Responsabilità

Successivamente l’Osservatorio si focalizza sulle persone coinvolte nello sviluppo del

progetto di RM, sul loro ruolo e responsabilità.

120

Le medie imprese, forti di una dimensione maggiore, riescono a permettersi in alcuni casi

(11%) una figura interna dedicata a tempo pieno al RM e, per il 7%, affidano il compito a

terzi. Rimane comunque altissima la percentuale di medie imprese che non prevede una

funzione dedicata esclusivamente al RM. I dati delle piccole imprese non destano sorprese:

è normale e piuttosto prevedibile, che una piccola azienda non possa dedicare una funzione

a tempo pieno alla gestione del rischio, sia in termini di risorse disponibili, sia di economie

di scala. Infatti si rileva come, nel caso di figure interne non dedicate esclusivamente al RM,

queste ricoprano altri incarichi come l’Amministratore, il CFO, il Direttore Opertations o

altre mansioni.

3.2.6 I principali rischi considerati dalle PMI

Come abbiamo avuto modo di evidenziare sin dal cap.1, i rischi standard considerati nel

processo di risk management, sono il rischio finanziario, quello operativo e quello strategico.

L’Osservatorio ne aggiunge un quarto tipo, cioè il rischio normativo o di compliance, incluso

tra i rischi strategici.

In merito al rischio finanziario, come già visto, questo può essere ricondotto ad una serie

di sotto categorie: rischio di credito, di cambio, di interesse, di mercato, di liquidità ed

inflazionistico. L’Osservatorio rileva che nel 2013 le due sotto categorie alle quali si è

maggiormente esposti sono il rischio di credito e il rischio di liquidità. Ciò che si deduce da

questi due dati, è che la situazione italiana riguardo la liquidità è decisamente più critica

rispetto allo scorso anno. Altro dato rilevante riguarda il rischio di inflazione, che lo scorso

anno colpiva il 52% delle imprese e nel 2013 solamente il 2%. Non ci sono stati particolari

differenze tra l’inflazione 2013 e quella 2012, come anche non dovrebbe esserci stato un

121

significativo cambiamento di aspettative di inflazione futura. Non si spiega quindi una

diminuzione della percentuale dal 53% al 2%.

Per quanto riguarda il rischio operativo, l’Osservatorio prende in considerazione le seguenti

accezioni: rischio connesso alle risorse umane, rischio esterno fisico, rischio informatico,

ambientale e catastrofale. Tra i rischi operativi descritti poc’anzi, le aziende rispondono di

tenere maggiormente in considerazione quelli connessi alle risorse umane (42%), quegli

esterni fisici (39%), i rischi informatici (30%) e i rischi ambientali (20%). Si nota quindi una

tendenza nel porre più attenzione a rischi più “probabili” e causati da attività umane. Il 12,4%

delle imprese non tiene in considerazione nessun rischio di natura operativa.

Infine in merito al rischio strategico, riguardante le decisioni strategiche dell’impresa che

possono portare a una flessione futura degli utili, è possibile distinguere tra: rischio di

concentrazione, rischio di controparte, rischio di compliance e rischio politico. Nel 2013 i

rischi strategici maggiormente rilevabili sono quello di concentrazione (49,2%), quello di

controparte (46%) e quello di compliance (30,4%). Viene attribuito un peso inferiore al

rischio politico/governativo (8,3%). Questo può essere spiegato dalla natura di questo

rischio, che nasce quando ci si espone a business in paesi esteri.

Rischio

inflazionistico Rischio di

Liquidità

Rischio di

interesse

122

3.2.7 Utilizzo di software a sostegno del RM

Il 48% delle aziende del campione non utilizza alcun software, quasi il doppio rispetto al

2012; il 28% usa Excel, strumento affidabile anche se non specificamente ideato per il RM.

Nel 2012 ben il 45,8% utilizzava Excel, confermato quindi il trend negativo. Per il resto dati

piuttosto stabili rispetto allo scorso anno, con un 13,2% che utilizza un software sviluppato

ad hoc per la gestione del rischio e un 8,3% che utilizza sistemi ERP (Enterprise Resource

Planning). Lo scarso utilizzo di software a sostegno del RM rappresenta un limite che le PMI

devono superare al fine di ottenere una migliore comunicazione e condivisione delle

informazioni riguardanti la gestione del rischio. Sul tema torneremo nel prossimo capitolo in

cui, mediante l’utilizzo di un software innovativo per la gestione dei rischi, realizzeremo le

principali fasi del processo di ERM in una PMI, identificando i numerosi vantaggi

conseguibili per l’impresa.

U

3.2.8 Procedure formali di RM

Infine l’Osservatorio ha intervistato le imprese in merito alla presenza o meno di procedure

formali e di processi standardizzati riferiti all’area RM. Rispetto allo scorso anno viene posta

maggiore attenzione alla valutazione dei rischi, infatti per il 51,5% delle adottanti il RM esiste

123

un processo formalizzato di risk assessment. Scende però la percentuale di coloro che hanno

una procedura di identificazione del rischio, dato negativo vista la grande importanza di

questa fase iniziale dell’ERM. Complessivamente viene registrato, rispetto al 2012, un

incremento del numero di aziende che prevede processi formali per la gestione del rischio.

Identificazione dei rischi

L’identificazione dei rischi è una fase critica dell’ERM, poiché non esistono tecniche che

garantiscono l’identificazione di tutti i rischi possibili. Ne esistono comunque molte,

differenti, che si distinguono per la complessità di utilizzo e per la convenienza economica

nell’adottarle.

Nell’edizione 2013 dell’Osservatorio, circa il 70% delle aziende dichiara di basarsi sulle

esperienze passate per l’identificazione dei rischi. Questa è una tecnica sicuramente

laboriosa, se supportata da un database di archivi storici e presenta il grande svantaggio di

non considerare rischi nuovi e situazioni mai verificatesi nell’esperienza passata. Il 37%

124

risponde di utilizzare l’analisi dei processi, cercando di prevedere eventuali problemi durante

i processi aziendali. Quest’ultima è sicuramente una tecnica valida per l’identificazione dei

rischi operativi, ma difficilmente potrà cogliere quelli finanziari e strategici. Decisamente

bassa la percentuale di aziende che utilizza tecniche come il brainstorming, le interviste e i

focus group, fondamentali per la generazione di nuove idee. Poco implementata anche

l’analisi SWOT (Strenghts, Weaknesses, Opportunities, Threats) che in base

all’identificazione dei propri punti di forza e debolezza mette in luce possibili minacce e

opportunità. In generale, rispetto al 2012, si registra un significativo incremento di coloro

che utilizzano le esperienze passate e una riduzione nell’analisi dei processi.

Valutazione dei rischi

Valutare un rischio significa stimarne la probabilità di accadimento e l’impatto potenziale.

Dall’osservatorio del 2013 si evince che quasi il 100% delle aziende intervistate valuta gli

impatti economico‐finanziari dei rischi. Molte meno sono invece quelle che considerano

anche gli impatti reputazionali (20%). Dato piuttosto allarmante è notare come solo il 56%

valuti la probabilità di accadimento, ci sono quindi moltissime aziende che considerano

solamente l’impatto nella valutazione del rischio, rischiando quindi di valutare come

prioritario un rischio che, potenzialmente avrebbe un impatto alto, ma con probabilità anche

bassissime di accadimento. In generale, significativo miglioramento rispetto al 2013, in

termini di utilizzo di criteri di valutazione.

È stato poi chiesto alle imprese del campione, quale tipo di valutazione utilizzassero. Nel

2013 il 47% dichiara di utilizzare una combinazione di stime quantitative e qualitative,

dato in forte aumento rispetto al 2012. Il 22% utilizza tecniche quantitative, stimando quindi

puntualmente i valori di impatto e probabilità, dato questo in forte calo rispetto allo scorso

anno. L’8% dichiara di utilizzare tecniche qualitative. In aumento la percentuale di coloro

che non stimano probabilità e impatto, 22,5% nel 2013 contro 18% nel 2012.

125

Gestione del rischio

Come abbiamo avuto modo di analizzare nel capitolo precedente, il trattamento del rischio,

o risk treatment, consiste nel selezionare e implementare le più idonee misure atte a

modificare il profilo di rischio dell’impresa, in linea con gli obiettivi dell’impresa e di RM.

L’osservatorio distingue le strategie in ex- ante e il ex- post e le classifica in: non assunzione,

riduzione delle probabilità, mitigazione, trasferimento, condivisione e accettazione. Dai dati

dell’osservatorio si evince che per tutte e tre le categorie di rischio principali (finanziari,

strategici, operativi) ci sia una netta preferenza, da parte delle PMI, per le strategie ex‐ante.

Vengono mostrate infatti percentuali sempre alte per quanto riguarda il trasferimento a terzi

(risk transfer) e la riduzione delle probabilità di accadimento (risk reduction). In generale, nel

2013 si verifica un radicale incremento del trasferimento a terzi e della risk reduction

(diversificazione e abbattimento probabilità) sia per quanto riguarda i rischi finanziari che i

rischi operativi, il che evidenzia una tendenza forte alla riduzione della rischiosità complessiva

e al salvaguardarsi dal rischio di concentrazione. Un segnale negativo viene dalle percentuali

in aumento, nelle tre categorie, della strategia di non assunzione. La decisione di non

assumere il rischio, viene solitamente presa quando si pensa che nessuna delle altre forme di

trattamento sia in grado di portare il rischio al di sotto della soglia accettabile, o comunque

non siano economicamente convenienti o si ritenga di non avere le risorse sufficienti per

implementarle. Il dato in aumento è negativo poiché ci si preclude lo sfruttamento delle

opportunità legate all’assunzione del rischio.

Risk Transfer - La strategia di trattamento più utilizzata dalle PMI risulta essere il risk

transfer. Affermazione giustificata dal fatto che il trasferimento a terzi è un vero e proprio

outsourcing della gestione del rischio a banche, assicurazioni, e istituti specializzate in

questo campo, che hanno le risorse, le competenze e la scala per gestire in maniera efficiente

ed efficace i rischi, requisiti che una PMI difficilmente potrà avere. È stato inoltre domandato

126

per quali rischi esse acquistassero almeno una polizza assicurativa. L’84% si assicura sulla

responsabilità civile (D&O, RCT, RCO, etc.), il 75% verso furto/incendio o

vetri/cristalli, il 40% verso rischi legati ai trasporti. Solo il 17% si assicura verso il rischio di

credito, in generale quindi una forte tendenza a trasferire rischi operativi e molto meno rischi

di natura finanziaria.

Monitoraggio dei rischi

Il monitoraggio dei rischi, è un sotto‐ processo continuo e integrato con tutte le fasi

dell’ERM. Esso accompagna il processo di ERM monitorando la situazione dei rischi attuali

attraverso opportuni indicatori. Le best practice suggeriscono di stabilire una soglia

(threshold) per ogni indicatore, entro la quale il rischio è ritenuto sotto controllo e oltre la

quale un campanello d’allarme evidenzia la necessità di ulteriori indagini e azioni da

intraprendere sul rischio in esame. Il risultato del processo di monitoraggio è quindi un

cruscotto di indicatori, sempre aggiornati, che consentono al risk manager di avere a

disposizione un quadro completo dei rischi e degli eventi trigger di tali rischi.

È stato domandato alle imprese del campione, quale indicatore venisse utilizzato in azienda

come misura della performance/ esposizione al rischio. Le PMI italiane difficilmente avranno

a disposizione le risorse, economiche e gestionali, per implementare un cruscotto di Key

Risk Indicator (KRI) a supporto del monitoraggio. Tra le opzioni sono stati quindi inseriti

indicatori più semplici e diffusi in ogni tipo di impresa, come il risultato operativo, il

risultato della gestione ordinaria e la volatilità degli utili. Nel 2013, oltre il 50% delle imprese

risponde di utilizzare il risultato operativo per monitorare i rischi, fissando quindi una soglia

minima oltre la quale cominciare a preoccuparsi e prendere le dovute misure di azione. Il

40% utilizza il risultato della gestione ordinaria. Percentuali ben minori invece per gli

indicatori più “tecnici” come volatilità degli utili, VAR, EVA, RAROC, RWA110 che fanno

intuire come le piccole medie imprese italiane non siano ancora mature in ambito RM.

110 Una breve descrizione degli indicatori sopra descritti - da www.wikipedia.it., www.bakpedia.it, www.agenzia50.it VAR - Value at Risk - è una misura di rischio applicata agli investimenti finanziari. Tale misura indica la perdita potenziale di una posizione di investimento in un certo orizzonte temporale. Indicatore presentato nel corso del primo capitolo. EVA - Si definisce Economic Value Added una metodologia per il calcolo del rendimento di un investimento. Lo scopo del modello è quello di compensare alcune lacune derivanti da determinati indicatori contabili. L'indice deriva dalla differenza tra il reddito operativo e il costo del capitale impiegato per ottenerlo.

127

Reportistica e Comunicazione

Ultima fase del processo di ERM è quella di reportistica e comunicazione dei rischi. Il risk

manager identifica, cattura e comunica informazioni pertinenti al RM in una forma e con una

tempistica, tali da consentire alle persone coinvolte di prendersi carico delle proprie

responsabilità. È opportuno attivare comunicazioni efficaci, in modo che queste fluiscano

per l’intera struttura organizzativa: verso il basso, verso l’alto e trasversalmente.

Le aziende intervistate, nell’80% dei casi utilizzano un canale di comunicazione rivolto

esclusivamente ai diretti interessati, nel 21% una comunicazione diffusa per tutta

l’organizzazione, semplice ed alla portata di tutti, il 2% diffonde in tutta l’azienda

informazioni tecniche. Rispetto al 2012 si nota una maggiore implementazione della fase di

comunicazione all’interno dell’ERM, rimanendo comunque lontani da una diffusione di

informazioni integrata. La comunicazione avviene perlopiù verbalmente (70% del

campione), solo il 30% utilizza una documentazione da diffondere internamente. Inoltre le

piccole imprese sembrerebbero avere una maggiore tendenza a utilizzare il mezzo di

comunicazione verbale rispetto alle medie imprese, per le quali vi è una buona percentuale

(47%) che predilige documentazione a uso interno. Sicuramente su quest’ultimo dato ha

grande influenza la dimensione dell’azienda, per cui una piccola impresa è sicuramente più

giustificata a utilizzare un canale verbale dato il ristretto numero di dipendenti, mentre una

media impresa trova più efficiente diffondere le informazioni sotto forma di documenti.

RAROC - Il Risk-Adjusted Return On Capital è un indicatore che vorrebbe rappresentare la redditività di una determinata attività (cliente, portafoglio clienti, unità di business) corretta per il rischio di perdita e costo del capitale impiegato per finanziare quella attività. RWA- Le attività ponderate per il rischio o Risk-Weighted Assets rappresentano la sintesi dei principali fattori di rischio riconducibili a una data attività finanziaria. Tali fattori vengono contemplati allo scopo di “correggere” il valore nominale dell’attività in modo da poter esprimere una più appropriata misurazione del suo valore.

128

Cultura del rischio

Per cultura del rischio si intende la diffusione, all’interno dell’organizzazione, dei principi

fondamentali del risk management, dell’ERM e delle best practice. Avere una buona cultura

del rischio significa per esempio conoscere il significato stesso di rischio, implementare e

capire il funzionamento del processo di ERM e delle sue fasi, valutare il rischio non solo in

termini di impatto (come spesso accade) ma anche di probabilità, conoscere qual è il risk

appetite dell’impresa e quale la risk capacity, avere ben chiara la divisione delle responsabilità

e gestire i rischi in maniera integrata. Non è affatto immediato, anzi è improbabile, quindi

che un’impresa, soprattutto se giovane, possegga una cultura del rischio matura. È compito

del top management diffonderla a tutti i livelli dell’azienda, guidando tutti con l’esempio ed

indicando quali sono le best practice, stabilendo un sistema di remunerazioni collegato agli

obiettivi di RM, comunicando in maniera chiara i vantaggi ottenibili. È stato chiesto alle PMI

del campione quali fossero, se presenti, le iniziative intraprese per diffondere la cultura del

rischio ai vari livelli: responsabili della gestione del rischio, top management, dipendenti.

Innanzitutto stupisce come non ci sia differenziazione tra le iniziative rivolte alle tre diverse

categorie, ma ben più grave è che circa il 70% delle aziende non effettua attualmente

nessun tipo di iniziativa (includendo anche quelle aziende che prevedono iniziative future).

129

Tra quelle che attualmente trasmettono la cultura del rischio il metodo preferito sembra

essere quello dei corsi di formazione ad hoc.

3.2.9 Gli aggiornamenti dell’edizione 2015

Dall’edizione 2015 dell’Osservatorio sul Risk Management111 nelle imprese italiane, realizzato

da Risk Governance in collaborazione con ANRA e Confapi Industria, emergono segnali

positivi sulla diffusione del risk management e sulla sua percezione come strumento

competitivo. L’Osservatorio rileva una crescita nella consapevolezza e nella cultura dei

rischi nel nostro Paese: le azioni di risk management risultano un fattore critico di successo

e possono rappresentare un vantaggio nello scacchiere competitivo per quasi l’82% delle

imprese italiane (era il 49,5% delle aziende nel 2013). Sono soprattutto le Medie imprese a

fare un balzo in avanti nell’adozione di tecniche di gestione dei rischi, passando dal 50% della

rilevazione precedente all’85% dell’analisi attuale, superando di misura anche le grandi

imprese (82%).

Si osservano evoluzioni positive sia sotto il profilo della visione del rischio da parte delle

aziende analizzate nel campione (712 imprese su tutto il su tutto il territorio nazionale e

appartenenti a tutti i settori dell’economia) sia nel processo di organizzazione e gestione dei

rischi, sia nella scelta degli strumenti di copertura assicurativa e ancora nella comunicazione

e formazione a una cultura del rischio. Peraltro, l’Osservatorio nell’edizione 2015 ha

affiancato all’analisi delle PMI svolto negli anni scorsi, anche lo studio dei comportamenti

delle grandi aziende, proprio con l’obiettivo di cogliere le differenze riguardanti la tematica

della gestione del rischio anche in relazione alla dimensione aziendale.

I risultati dell’Osservatorio mostrano che nel 2014 ci sono netti miglioramenti relativamente

alla percezione che hanno le imprese del mercato. Ben il 33% in meno rispetto al 2013 ritiene

111 Cfr. (ANRA, 2015)

Strumenti di diffusione della Cultura del rischio

130

che il mercato in cui opera sia in contrazione, mentre le aziende che vedono il mercato in

crescita sono passate dall’11,2% del 2013 al 27,8% del 2014. Le imprese sembrano, quindi,

confermare i primi segnali di una possibile ripresa del mercato. In merito invece al profilo

di rischio, il profilo più diffuso tra le imprese italiane risulta quello medio. Dal 2012 al 2014

si è passati da un 58,1% ad un 69,6% di aziende che adottano tale profilo: un virtuoso trade-

off tra la necessità di limitare il rischio assunto e il desiderio di migliorare i risultati

economico-finanziari cogliendo le opportunità offerte dal mercato. Oggi ben l’81,9% del

campione vede il rischio come opportunità da gestire attivamente, contro il solo 49,5% del

2013.

In merito al processo di RM, la percentuale di PMI che nel 2014 adottano tecniche di

gestione dei rischi, si attesta all’85%, superando di misura addirittura le grandi imprese (82%),

facendo emergere un significativo miglioramento culturale. Per la fase di identificazione, a

differenza degli anni precedenti, nel 2014 si è fatto ricorso maggiormente all’analisi dei

processi (69% nel 2014 contro il 38% nel 2013) rispetto al metodo delle esperienze passate

(diminuito dal 63% al 62% nell’ultimo anno). Tale inversione di tendenza può essere dovuta

alla consapevolezza, in un periodo storico caratterizzato da elevata incertezza e volatilità, che

i dati passati non sono sempre idonei per prevedere scenari futuri; ciò è ancor più vero se si

pensa ai nuovi rischi emergenti che non hanno uno “storico”. La successiva fase di

valutazione dei rischi, per definire e per calcolare la probabilità di accadimento di un evento

dannoso, evidenzia una prevalenza nell’adozione di tecniche sia quantitative che qualitative

(60% dei casi). Infine in merito agli indicatori rilevanti per misurare l’esposizione al rischio,

le piccole imprese utilizzano principalmente il risultato della gestione ordinaria (64% dei casi),

mentre le medie e grandi aziende puntano invece maggiormente su possibili variazioni del

risultato operativo e su indicatori più specifici per il risk management quali Value at Risk

131

(VaR), Economic Value Added (EVA), Risk Adjusted Return On Capital (RAROC) e altre

misure risk-adjusted112.

Riguardo all’organizzazione, quasi la metà delle grandi aziende hanno una figura interna

dedicata a tempo pieno alla gestione del rischio (47% dei casi), mentre lo stesso accade solo

nel 6% dei casi per le piccole imprese e nel 29% delle medie. Nell’altra metà delle grandi

aziende (53%) il rischio viene gestito da una figura interna che ricopre anche altri ruoli, scelta

che risulta preponderante per le piccole (80%) e medie (64%) imprese. Nei casi restanti, le

piccole (14%) e medie (7%) imprese si affidano ad una figura esterna all’azienda. Infine la

comunicazione sul rischio si è indirizzata verso una comunicazione “diffusa e semplice”

all’interno dell’impresa (49% nel 2014 contro il 20% circa del 2012 e 2013), utilizzata per il

70% all’interno delle medie imprese. Anche le modalità attraverso le quali avviene tale

comunicazione lascia trasparire segnali di una crescente cultura e maturità del rischio da parte

delle imprese italiane: in aumento la comunicazione mediante documenti scritti ad uso

interno, rispetto alla comunicazione verbale che si attesta in forte diminuzione.

I dati che emergono dall’indagine 2015 evidenziano un aumento della maturità culturale

sulla gestione del rischio espressa dalle PMI del campione in risposta all’incertezza generata

dalla instabilità degli attuali contesti economici. La comunicazione interna, insieme alle

iniziative seminariali e di formazione rivolte ai dipendenti, possono apportare un prezioso

contributo alla diffusione di una buona cultura del rischio e pongono le basi all’introduzione,

laddove non già presente, di approcci avanzati e integrati alla gestione dei rischi, quali

l’Enterprise Risk Management, che consentirebbe di proseguire in questo graduale

miglioramento della maturità delle aziende italiane in termini di risk management.

3.3 Un ERM semplificato per le PMI

I risultati offerti dall’Osservatorio113 sul RM nelle PMI, ci permettono di riflettere sulle

criticità rilevabili nell’implementazione di sistemi di RM in contesti medio-piccoli.

Nonostante risultino in netto miglioramento sia la percezione del rischio (adozione del

concetto di rischio come opportunità) che il profilo di rischio da parte delle medie e delle

piccole imprese, le quali dichiarano di rispecchiare un profilo medio, sono molti gli aspetti

del processo di RM che vanno migliorati, anzi più che altro semplificati.

112 Vedi nota n.108 113 Ci riferiamo sempre all’edizione 2013, in quanto per l’Osservatorio 2014 non è ancora disponibile il report completo.

132

Innanzitutto ancora molte imprese ritengono che la funzione RM non sia significativa

rispetto al contesto in cui opera e che i costi siano troppo elevati rispetto ai benefici

riscontrabili. Inoltre sono solo mediamente diffusi i documenti formali volti a individuare i

processi per identificare, valutare, gestire e monitorare i rischi. Da ciò traspare che c’è ancora

molto da fare in tema di sensibilizzazione alla “cultura del rischio”.

Soffermandoci sulle fasi del processo, l’identificazione dei rischi si basa ancora in maniera

eccessiva sull’esperienza passata, metodo piuttosto limitante, in quanto basato su database

storici che non permettono di cogliere l’incidenza dei rischi emergenti. Nella valutazione,

invece, positivo il dato sull’adozione sia della stima qualitativa che di quella quantitativa,

negativo invece il dato sulla quantificazione dell’impatto piuttosto che della probabilità degli

eventi dannosi. Riguardo alla gestione del rischio, risulta ancora molto alto e tra l’altro in

aumento, il dato riferito al risk transfer: troppe imprese ricorrono tuttora a polizze

assicurative per attenuare rischi di natura finanziaria ed operativa, inoltre sono davvero poche

le imprese che propendono per l’assunzione di rischi, precludendosi la possibilità di sfruttare

le opportunità collegate ai rischi associati. In tema di monitoraggio, gli indicatori utilizzati

sono ancora i più classici, come il risultato operativo e il risultato di gestione ordinaria,

sintomo di una gran lontananza dai più complessi KRI, quali VAR, EVA ecc. Infine il canale

di comunicazione prevalente risulta ancora rivolto ai soli interessati e di tipo verbale. Si è

purtroppo distanti da una comunicazione integrata e diffusa all’interno dell’organizzazione.

Il quadro presentato ci permette di cogliere lo stato dell’arte nelle PMI del nostro paese, che

risultano ancora “arretrate” in materia di RM, tanto che, sempre dall’Osservatorio, emerge

che il 70% del campione non effettua annualmente alcun tipo di iniziativa per promuovere

la cultura del rischio. Le ragioni di tale “chiusura”, trovano origine in parte dalla scarsità di

risorse economiche ed umane, ma in parte anche dalle criticità applicative dei framework

internazionali predisposti soprattutto per le grandi imprese. Dunque semplificare il processo

di ERM potrebbe essere uno delle soluzioni al problema.

In tema di semplificazione del modello di ERM proposto da COSO e da ISO 31000, molti

studiosi si sono espressi con versioni light del sistema originario, ma mai realizzandone uno

specifico per le PMI. In questa sede presenteremo brevemente quello proposto da

Bendinelli114 in un articolo del Sole 24 ore. Bendinelli sostiene che qualsiasi riproposizione

114 Cfr. (Bendinelli, Pianificazione strategica: un ERM semplificato per le PMI, 2009)

133

del modello ERM originario dovrà basarsi su due pilastri: cultura del rischio e quantificazione

del rischio accettabile, entrambe variabili da impresa a impresa. Infatti per tale ragione non

esiste un ERM semplificato standard, in quanto questo dovrà necessariamente variare a

seconda dei contesti e del tipo di impresa, inoltre, bisogna evitare che la semplificazione

generi un’amputazione della metodologia ERM classica. Semplificare quindi, vuol dire andare

all’essenza delle questioni strategiche e del loro concreto controllo. Il modello proposto si

basa su due passaggi logici:

a) La semplificazione del cubo 8x4x4 proposto da COSO, in un modello a matrice 5x2;

b) L’applicazione concreta di tale modello mediante tre tipi di report (SWOT, Risk

Analysis, Risk Monitor).

La semplificazione è avvenuta in questo modo:

Abolizione della terza dimensione del cubo, quella dei 4 livelli organizzativi

d'impresa, dando per scontato che una PMI sia sempre mono-business. In realtà

il modello andrà replicato per ogni area strategica di affari, in cui il tipo di business

sia nettamente diverso;

Riduzione dei quattro obiettivi a due essenziali, quelli strategici e quelli operativi,

dando per scontato che gli obiettivi di reporting (essenzialmente di

comunicazione verso terzi) e di compliance (adeguatezza alle norme) siano

incorporati;

Riduzione da otto a cinque delle componenti del processo di gestione del rischio.

E’ evidente che bisogna in concreto tener sempre conto anche delle altre 3

omesse (ma non eliminate): l'ambiente interno (che determina la consapevolezza

degli eventi basilari e delle azioni di risposta ad ogni livello organizzativo),

l'informazione e comunicazione (flussi informativi pertinenti e chiari da/verso i

responsabili di funzione), il monitoraggio (continuo aggiornamento di obiettivi,

sistemi e processi).

134

Obiettivi Aziendali Prassi

suggerita per le

PMI Strategici Operativi

Fasi di un

ERM

Semplificato

Fissazione obiettivi X X SWOT Analysis

Identificazione eventi X X

Valutazione dei rischi X X RISK Analysis

Risposte ai rischi X X

Controllo delle

attività X X RISK Monitor

Dunque semplificare, con le dovute cautele, è possibile, ma come spronare le PMI ad

adottare questi modelli? E quali potrebbero essere gli strumenti operativi tali da agevolare

l’inserimento di un ERM semplificato in azienda?

Uno dei possibili incentivi per le PMI è di carattere normativo ed è di recente approvazione

(settembre 2015). È la nuova ISO 9001:2015115, la quale ha introdotto il principio del Risk

Based Thinking e non solo. Aggiornarsi alla nuova versione della norma vuol dire aderire alle

seguenti novità:

Approccio per processi: il conseguimento di risultati consistenti e prevedibili

diventa più efficace ed efficiente quando le attività sono inquadrate e gestite come

processi tra loro interrelati che funzionano come un sistema coerente;

Metodologia PDCA: tale metodologia conosciuta come “plan-do-check-act” è

applicabile a tutti i processi. Plan, cioè stabilire gli obiettivi ed i processi necessari

per fornire risultati in conformità ai requisiti del cliente e alle politiche

dell'organizzazione; Do, attuare i processi; Check, monitorare e misurare i processi

ed il prodotto a fronte delle politiche, degli obiettivi e dei requisiti relativi al prodotto

e riportarne i risultati; Act: intraprendere azioni per migliorare in continuo le

prestazioni dei processi.

Risk Based Thinking: è il processo con cui l’organizzazione dimostra di aver

compreso quali siano i rischi connessi al proprio sistema e ai processi che lo

costituiscono, i quali possono influenzare la capacità di raggiungere gli obiettivi

previsti. È dunque necessario dimostrare di aver identificato i rischi e di aver previsto

delle eventuali ed opportune misure correttive proporzionali alle conseguenze.

115 Cfr. (Tuccoli, 2015)

135

Tale norma stimola le imprese certificate e quelle non ancora certificate, ad adottare una

strategia aziendale per processi e a considerare i rischi connessi alle proprie attività. Questo

tipo di approccio può essere considerato un’altra modalità di semplificazione del modello

ERM, in quanto prende spunto dal framework della ISO 31000. Questa non è la sede per

entrare nel merito della norma, ma per completezza è giusto annoverarla tra gli indirizzi più

recenti favorevoli all’adozione di modelli di gestione del rischio all’interno delle PMI.

Concludendo, al fine di rispondere al quesito posto sugli strumenti operativi per il RM, la

soluzione più idonea proviene dall’IT. L’Osservatorio ha evidenziato come quasi metà del

campione non utilizza software a sostegno del RM. Ciò rappresenta un forte limite che le

PMI devono superare al fine di ottenere una migliore comunicazione e condivisione delle

informazioni riguardanti la gestione del rischio. Sono presenti sul mercato soluzioni

innovative che permettono anche a piccole realtà di poter costruire il proprio sistema di RM,

mediante applicativi semplici ed intuitivi che non prevedono né eccessivi costi di gestione,

né particolari requisiti in termini di conoscenza e dotazioni informatiche. Nel prossimo

capitolo infatti, si andrà ad analizzare il sistema dei rischi di una piccola impresa mediante

l’ausilio del modulo ERM di un software. Ciò permetterà di cogliere la semplicità di utilizzo

e i relativi benefici per l’impresa, ed infine la conformità del procedimento “informatico” ai

principali step previsti dai framework internazionali. Tale soluzione consentirebbe alle PMI

il superamento dei limiti in termini di risorse economiche e di complessità del processo,

mentre lascia ancora in discussione il nodo “risorse umane”, che siamo costretti a tralasciare

in questa sede.

136

CAPITOLO 4 - PROGETTAZIONE ED IMPLEMENTAZIONE

DI UN SISTEMA DI ERM IN UNA PMI

4.1 Descrizione del progetto

Il progetto che si andrà ad illustrare riguarda la progettazione e l'implementazione di un

sistema di ERM all'interno della società L.T. FORM S.r.l. di Montorio al Vomano in

provincia di Teramo, piccola impresa produttrice di sedute per ufficio.

LT FORM 2 S.r.l. è stata fondata nel 1989 con l’oggetto sociale di produzione e vendita di

sedie, poltrone ed accessori per ufficio e comunità. Per la produzione utilizza un capannone

industriale di proprietà, con una superficie totale coperta di circa 1800 metri quadrati. Le

attività amministrative e gestionali sono espletate nella palazzina uffici su due piani di

sviluppo totale di circa 500 metri quadrati, di cui 200 destinati ad esposizione dei prodotti

finiti. L’obiettivo di LT FORM 2 S.r.l. è quello di produrre sedute e poltrone per ufficio, sale

convegni e cinematografiche di alta qualità attraverso strumenti di design innovativi facendo

attenzione alla sostenibilità e alla soddisfazione del cliente.

A partire dai risultati ottenuti dall'analisi interna ed esterna realizzata da Ingegna Finanza s.r.l.

per conto della società in oggetto, è stato strutturato l'intero sistema di ERM mediante

l'ausilio di un apposito software per l'analisi dei rischi, tenendo conto delle specificità tipiche

di una PMI.

Il piano industriale sulla società L.T. FORM è stato svolto formulando e strutturando le

seguenti attività:

1. Analisi interna;

2. Analisi esterna;

3. Opzioni strategiche;

4. Piano economico-finanziario;

5. Piano operativo;

6. Attuazione del piano.

I dati necessari per la costruzione del sistema di ERM, sono stati raccolti nelle prime due fasi

del piano operativo. Nello specifico dall’analisi interna sono stati ottenuti i dati relativi ai

processi primari e secondari, all’organigramma aziendale, all’analisi del fatturato per gamma

prodotto e per tipologia di cliente, l’analisi dei clienti e quella dei fornitori. L’obiettivo di

137

questa prima fase è stato quello di classificare i punti di forza e di debolezza

dell’organizzazione. Dall’analisi esterna invece, sono stati ottenuti i dati sul mercato di

riferimento (report Federlegno 2015) e quelli sui principali competitors. L’obiettivo di questa

seconda fase è stato quello di cogliere le opportunità e le minacce dell’organizzazione.

A questo punto si è giunti alla costruzione dell’analisi SWOT della società (riassunta nella

matrice sotto riportata) che rappresenta il principale input, insieme ai dati delle due analisi

precedenti, per la realizzazione del sistema ERM116.

PUNTI DI FORZA

Storia aziendale

Competenze

Certificazioni

PUNTI DI DEBOLEZZA

Governance

Organizzazione e ruoli

Marketing e commercializzazione

OPPORTUNITÀ

Mercati internazionali

Made in Italy & Innovazione

Sviluppo nuovi segmenti di mercato

Progettazione e servizio al cliente

MINACCE

Crisi economica

Competitors

Processo di innovazione ed

internazionalizzazione

4.2 La costruzione di un sistema ERM

A questo punto le informazioni e i dati raccolti ed analizzati confluiscono in un database

utilizzato all’interno di un software per l’identificazione dei rischi connessi all’attività di L.T.

FORM. Di seguito si descrivono brevemente le principali tappe del progetto per giungere

alla valutazione quali-quantitativa prendendo in esame, a titolo esemplificativo, uno dei rischi

identificati.

L’iter procedurale seguito ha previsto le seguenti fasi:

1. Analisi dei principali processi aziendali.

L’attività di analisi e di individuazione dei processi aziendali svolti all’interno della

società LT FORM 2 ha consentito la classificazione sulla base delle principali aree

aziendali coinvolte. La tabella seguente offre la sintesi del lavoro svolto

evidenziando i sei processi principali analizzati e i reparti coinvolti.

116 Tutta la documentazione in merito è stata raccolta nell’Allegato 1 in calce alla tesi.

138

Processi Reparti

Acquisti MP e magazzino Ufficio acquisti

Marketing e sviluppo prodotto Ufficio tecnico

Produzione sedie e poltrone Reparto produzione

Spedizione Ufficio Vendite

Vendita e raccolta ordini Ufficio Vendite

2. Costruzione del Business Model.

La raccolta delle informazioni riguardanti clienti, fornitori, prodotti, costi e ricavi,

costituisce il requisito essenziale per poter identificare in maniera appropriata il

Business Model della società più adatto.

A tal fine il framework scelto è quello del Business Model Canvas, ritenuto il più

adatto a fornire in maniera sintetica ed integrata il funzionamento e le leve

competitive dell’impresa. E’ un framework all’interno del quale sono

rappresentati sotto forma di blocchi i 9 elementi costitutivi di un’azienda: i clienti,

il valore offerto, i canali di distribuzione, la relazione con il cliente, le risorse

chiave, le attività chiave, i partner chiave ed infine la struttura di costi e ricavi117.

Questo framework consente di rilevare il modello di business dell’impresa,

evidenziando le principali aree esposte al rischio: i 9 elementi rappresentano le

aree su cui il risk management costruisce gli obiettivi strategici e di ERM,

funzionali ad integrare la gestione dei rischi con il processo di pianificazione

strategica. Inoltre si sottolinea come la definizione delle “aree a rischio”

all’interno di un modello di business consenta di misurare e monitorare la risposta

della singola area a stress interni ed esterni e quindi di rivisitare in maniera

costante anche il risk appetite dell’impresa stessa118.

117 (Business Model Canvas, s.d.) 118 Tutta la documentazione in merito alla progettazione dell’ERM è stata raccolta nell’Allegato 2 in calce alla tesi.

139

3. Identificazione dei rischi.

Sulla base del business model redatto, sono stati predisposti tre questionari al fine

di definire il valore offerto, la struttura di costi e ricavi, l’infrastruttura e

l’interfaccia verso il cliente. In particolare la struttura seguita è la seguente:

a. Il primo questionario consente la determinazione del valore aziendale offerto

complessivamente da ciascuna delle aree descritte precedentemente;

b. Il secondo questionario valuta le opportunità generate da una proficua

gestione delle attività aziendali;

c. Il terzo questionario permette di evidenziare i principali rischi collegati alla

gestione delle attività aziendali.

Successivamente, una volta rilevati ed identificati i rischi principali connessi ai

processi aziendali definiti in precedenza, sono stati considerati i rischi finanziari,

puri, strategici, operativi e di compliance. Sulla base dei punti di debolezza e delle

minacce evidenziate nell’analisi SWOT, dei punteggi rilevati nei report dall’analisi

dei questionari, i principali rischi a cui l’impresa risulta essere esposta sono i

seguenti:

140

PROCESSO RISCHI

IDENTIFICATI CATEGORIA DI RISCHIO

IMPATTO DANNO

Acquisti MP e

Magazzino

Conformità alle

norme ambientali Compliance

Interruzione

attività

Minori ricavi

nell’esercizio

Mercato di fornitura Operativo Variazione prezzo

di acquisto MP

Maggiori costi di

acquisto MP

Marketing e

sviluppo prodotto

Perdita di una

risorsa chiave

(designer)

Strategico Sviluppo della

tecnologia

Costi per

personale e

consulenza

Produzione sedie

e poltrone

Inefficienza taglio

tessuti

Operativo Efficienza dei

processi

Alta quantità degli

scarti

Spedizione

Furto Puro Penale da contratto Costi per liti e

contenziosi

Logistica Operativo Movimentazione

merci

Costi per ritardi o

mancate forniture

Vendita & raccolta

ordini

Capital Budgeting Finanziario Scelte di copertura

finanziaria

Minori ricavi e/o

maggiori oneri fin.

Mercato di sbocco Operativo Variazioni termini

di pagamento

Minori ricavi

nell’esercizio

4.3 Un esempio di valutazione e trattamento di un rischio

Dopo l’identificazione dei rischi a cui è esposta l’organizzazione, il processo di ERM prevede

la stima e la valutazione con tecniche qualitative e/o quantitative di ciascun rischio. In questa

sede si è scelto di analizzare il rischio operativo connesso al processo di acquisto di materie

prime collegato alle variazioni di prezzo praticato dal mercato di fornitura.

La scelta effettuata è motivata dal fatto che, come rilevato dall’analisi SWOT, la minaccia da

parte dei fornitori di componenti, costituisce il principale elemento di debolezza a cui risulta

esposta l’azienda. I principali fornitori dell’azienda, inoltre, sono rappresentati dai produttori

di componentistica di grandi dimensioni di fatturato e forte presenza sui mercati

internazionali. Ne deriva che nel processo di acquisto il potere contrattuale è a loro favore.

Questi fornitori, inoltre, rappresentano dei potenziali competitors per la

commercializzazione dei prodotti più semplici e a basso contenuto di design.

4.3.1 Analisi qualitativa

Come anticipato nel secondo capitolo, la tecnica maggiormente utilizzata per l’analisi

qualitativa dei rischi è la matrice probabilità- impatto che nel software adottato è stata

141

rivisitata in versione “probabilità-capacità di gestione”. La matrice consente di calcolare il

cosiddetto risk rating che permetterà di scegliere il trattamento più opportuno.

La matrice è di natura 4x4: la probabilità può assumere valore 1 se è nulla, 2 se è bassa, 3 se

è media e 4 se è alta; la conoscenza assume valore 1 se l’impresa gestisce già il rischio, 2 se lo

ha sotto controllo, 3 se ne ha una minima conoscenza, 4 se lo conosce ma non attua alcuna

misura a presidio.

Risk Rating

CO

NO

SC

EN

ZA

4 4 8 12 16

3 3 6 9 12

2 2 4 6 8

1 1 2 3 4

1 2 3 4

PROBABILITA’

Il rischio operativo prescelto viene inizialmente valutato con questa matrice: la probabilità

che il danno connesso si verifichi è piuttosto alta, assume valore 3, cioè l'evento rischioso

può manifestarsi più di una volta durante l'esercizio; invece per quanto riguarda la capacità

di gestione da parte dell'azienda, il valore assegnato è 4, cioè l'organizzazione conosce il

problema ma non si tutela in alcun modo. Il rating assegnato a questo rischio dunque è 12.

La stima qualitativa colloca il rischio analizzato tra quelli del quadrante più pericoloso. I rischi

con alto rating possono compromettere la sopravvivenza dell'impresa e sono difficili da

controllare o prevenire.

4.3.2 Analisi quantitativa

Successivamente il rischio analizzato viene valutato quantitativamente con l'ausilio del

software. Innanzitutto si fissa un obiettivo "qualitativo" cioè si stabilisce di mantenere

costante la probabilità che l'evento rischioso si verifichi, ma di aumentare al massimo (1) la

capacità dell'impresa di gestire tale rischio. Dunque l'obiettivo è ridurre il risk rating a 3.

142

Per l'analisi quantitativa vanno effettuate delle ipotesi numeriche: per analizzare il rischio di

variazioni di prezzo praticato dal mercato di fornitura, l'analisi dei fornitori rappresenta la

principale fonte di informazioni. Da questa analisi emerge come il fornitore IV SPA sia il

principale fornitore di componenti di LT FORM, il secondo per fatturato, quello di più

grandi dimensioni con cui l'impresa si relaziona e che rappresenta un suo diretto competitors

per i prodotti più standardizzati. Supponiamo che nel 2015 IV SPA abbia aumentato

improvvisamente i propri prezzi del 20% dunque a parità di fornitura, LT FORM 2

spenderebbe €70.000,00 in più dell'anno precedente. Questo importo rappresenta la perdita

massima potenziale connessa ad un basso potere contrattuale nei confronti del principale

fornitore di componenti.

A questa si somma una ulteriore perdita in termini di clientela quantificabile in una riduzione

del 5% del fatturato generato dalla vendita di detti componenti per un importo pari a

€23.925,00, cioè una riduzione della produttività giornaliera di circa €66,00.

Una volta inseriti questi dati, il software realizza una simulazione di scenari differenti sulla

base della probabilità che l'evento rischioso analizzato (aumento dei prezzi di fornitura) si

verifichi. Impiegando una simulazione secondo la tecnica cosiddetta Monte Carlo si

disegnano differenti scenari a seconda del livello raggiunto dalla variabile aleatoria che in

questo caso è rappresentata sia dai maggiori costi sostenuti per l'acquisto di MP, sia dalla

connessa riduzione del fatturato.

La situazione ex-ante dell’impresa (riquadro rosso) è tale da farle percepire un importo del

danno connesso al manifestarsi del rischio, pari a quello simulato nello scenario mediano

(probabilità 3 della matrice). Il percepito risulta maggiore del danno atteso (valore atteso della

variabile aleatoria) in quanto l’impresa ha solo identificato il rischio ma non ha attuato alcuna

strategia di difesa, dunque sta sottovalutando i potenziali impatti connessi ad un aumento dei

prezzi da parte del principale fornitore. Il software infatti indica che in questa situazione

143

l’impresa si trova in pericolo perché non sta gestendo in alcun modo un rischio valutato con

alto rating.

4.3.3 Il trattamento del rischio

La scelta della tecnica di trattamento più idonea dipende sia dalla tipologia di rischio da

trattare (in questo caso un rischio operativo), sia da un’analisi costi-benefici. In questa sede

proporremo due diverse strategie e ne valuteremo l’impatto sull’impresa in termini di

guadagno.

Strategia di riduzione mediante una diversificazione del portafoglio fornitori.

Adottando questa misura di contenimento del danno, a livello qualitativo la valutazione del

rischio è quantificata in 3 per la probabilità e 1 per la capacità di gestione. Dunque il risk

rating si riduce a 3. Questo risultato è giustificato dal fatto che la probabilità connessa ad un

aumento dei prezzi conserva lo stesso valore (non è possibile incidere su di essa) ma

l’impresa, avendo diversificato il portafoglio fornitori, non è più legata esclusivamente ad IV

SPA per l’acquisto dei componenti. La capacità di gestione risulta migliorata in quanto

l’azienda ha adottato una specifica strategia.

144

In termini numerici, il valore percepito del danno resta pari a quello previsto dallo scenario

mediano (la probabilità non cambia), ma il valore atteso del danno risulta notevolmente

ridotto. Infatti il passaggio da un sistema di gestione assente, ad una strategia di riduzione,

permette all’impresa di conseguire un guadagno/risparmio compreso tra €8.000,00 (se

consideriamo solo il danno connesso all’aumento dei costi di acquisto) e €11.000,00 (se

consideriamo il danno precedente insieme alla perdita di fatturato).

Strategia di copertura mediante un accordo contrattuale oneroso con il fornitore

stimato in €10.000,00 all’anno.

Adottando questa misura di contenimento del danno, a livello qualitativo la valutazione del

rischio è quantificata in 2 per la probabilità e 1 per la capacità di gestione. Dunque il risk

rating si riduce a 2. Questo risultato è giustificato dal fatto che la probabilità connessa ad un

aumento dei prezzi si riduce sensibilmente dopo la sottoscrizione dell’accordo contrattuale

di fissazione dei prezzi con IV SPA. Inoltre la capacità di gestione risulta migliorata in quanto

l’azienda ha adottato una strategia onerosa di copertura. Tuttavia la probabilità non si annulla

in quanto l'accordo è sottoscritto con il singolo fornitore, pertanto non permette una

copertura dalle eventuali oscillazioni di prezzo applicate dagli altri fornitori.

In termini numerici, il valore percepito del danno risulta ridotto rispetto a quello della

situazione ex-ante. Infatti con questa tipologia di trattamento, lo scenario di riferimento è

quello basso (la probabilità si riduce). La differenza tra valore percepito e valore atteso è quasi

nulla, dato che evidenzia una corretta gestione del rischio. Tuttavia tale gestione prevede dei

costi accessori per il contratto con il fornitore. Valutando i risultati ottenuti, il passaggio da

un sistema di gestione assente, ad una strategia di trasferimento, permette all’impresa di

145

conseguire una perdita di circa €2.000,00 qualora si considerino i soli danni patrimoniali, ed

un guadagno di circa €1.000.00, qualora si considerino entrambe le tipologie di danno.

Tra le due strategie, la preferibile è quella di riduzione, in quanto genera un risparmio netto

superiore alla soluzione di copertura nonostante non riesca ad incidere sulla probabilità che

l’evento si manifesti. La strategia di trasferimento, invece, prevedendo dei costi di

trattamento, limita notevolmente il risparmio pur incidendo positivamente sulla probabilità

che l’evento dannoso si manifesti.

4.3.4 Il monitoraggio del rischio

Al fine di concludere l’iter previsto dal processo di ERM per il rischio operativo analizzato,

si stabiliscono le attività di controllo da porre in essere per monitorare i parametri di

riferimento o KRI identificati per questa tipologia di rischio.

I KRI identificati per il rischio connesso ai prezzi del mercato di fornitura, sono:

a) I costi sostenuti per le forniture;

b) La dimensione dei principali fornitori del portafoglio;

c) La concentrazione degli acquisti su un unico fornitore.

Questi indicatori, rilevabili nella ABC Analysis 2014 (allegato 1), vanno monitorati con il

metodo della valutazione separata, cioè svolta ad intervalli prefissati. In questo caso la

frequenza dei controlli viene stabilita con cadenza trimestrale, data l’alta probabilità di

manifestazione del rischio.

146

CONCLUSIONI

Questo lavoro di ricerca nasce con lo scopo di evidenziare la rilevanza dell'Enterprise Risk

Management all'interno delle PMI cercando di prospettare una possibile soluzione alle

difficoltà riscontrate da queste ultime nell'implementazione di sistemi integrati di gestione

del rischio. Da quanto esposto finora l’ERM risulta essere uno strumento importante

all’interno delle imprese, in grado di fornire una serie di benefici strategici, operativi e

gestionali che permettono un continuo monitoraggio dell’esposizione al rischio

dell’organizzazione e un costante miglioramento di tutti gli aspetti connessi alla creazione di

valore. Tuttavia i vantaggi associati alla sua implementazione sono percepiti maggiormente

dalle grandi imprese piuttosto che dalle piccole, le quali, limitate dalla scarsità di risorse

economiche ed umane e dalle criticità applicative degli standard internazionali, non riescono

ancora a comprendere il costo-opportunità legato a questi sistemi di gestione del rischio.

Infatti come emerso dall’Osservatorio sul RM nelle PMI, il 44% del campione ritiene che la

funzione RM non sia significativa rispetto al contesto in cui opera l’azienda, il 34% ritiene

che i costi siano troppo elevati e il 18% che i benefici sono risibili rispetto ai costi.

Le lacune dei sistemi di risk management per le PMI devono essere colmate per permettere

a queste realtà di gestire in maniera idonea i rischi, coerentemente con le proprie risorse

economiche ed organizzative, al fine di rispondere in maniera efficace e dinamica alla

complessità del mercato in cui operano.

Il progetto svolto sulla società LT FORM 2 è stato un ottimo caso studio da cui poter rilevare

a livello operativo le difficoltà e i limiti connessi all’implementazione di un sistema di ERM

in una piccola impresa e i successivi vantaggi a seguito dell’esecuzione delle principali fasi del

processo. La società non aveva mai sentito l’esigenza di strutturare un sistema di gestione del

rischio. Solo successivamente alla presentazione dei risultati, raccolti nell’analisi interna ed

esterna, sono emerse tutte le criticità gestionali ed operative che hanno evidenziato la

rischiosità di alcune aree ed attività del proprio business model.

Nella fase iniziale del progetto sono stati rilevate nell’azienda la maggior parte delle criticità

applicative presentate in precedenza: assenza di una cultura del rischio, assenza di regole o

codici di condotta scritti, assenza di un organigramma strutturato per funzioni e di soggetti

da dedicare alle attività di gestione dei rischi, e forti lacune dal punto di vista informativo

(database aziendali grezzi e incompleti) ed informatico (assenza di software adeguati).

147

Le attività svolte per la redazione del piano industriale, hanno permesso di costruire l’analisi

SWOT aziendale che è stata il punto di partenza per l’avvio delle principali fasi del processo

di ERM. Infatti l’analisi SWOT è stata la principale tecnica adottata per l’identificazione dei

rischi collegati ai principali processi aziendali, insieme ai tre questionari riportati nell’allegato

2. Dall’identificazione emerge una prevalenza di rischi operativi che ricalca quanto

evidenziato nei punti di debolezza dell’impresa. Infatti il rischio preso in esame nel progetto

è un rischio operativo connesso al processo di fornitura delle materie prime.

La fase più critica del progetto e quindi la più complessa dal punto di vista di una PMI,

riguarda la fase di valutazione quantitativa dei rischi. In particolare si rileva come in assenza

dei dati sull’analisi del fatturato, dei clienti e dei fornitori, sarebbe stato impossibile ottenere

dei valori numerici di partenza per realizzare le ipotesi e gli scenari previsti dalla tecnica

Monte Carlo. In questo step il supporto di un database aziendale strutturato e di un software

per la gestione dei rischi, sono risultati fondamentali. La fase di trattamento invece ha aperto

una serie di spunti connessi all’aspetto delle risorse economiche (scegliere tra strategie di

copertura onerose o meno) e anche alla considerazione di eventuali risparmi o guadagni

connessi ad un tipo di trattamento piuttosto che ad un altro. Invece per quanto riguarda il

monitoraggio, non è risultato particolarmente difficile scegliere gli indicatori di rischio da

controllare, in quanto sono gli stessi di cui si è tenuto conto nella fase di valutazione.

Al termine del progetto l’impresa ha percepito concretamente una serie di benefici

riguardanti vari aspetti. Innanzitutto in termini di conoscenza della propria organizzazione,

dei rischi a cui è esposta, dei punti deboli e delle minacce a cui porre rimedio, ma anche dei

propri punti di forza ed opportunità su cui far leva. Inoltre ha compreso l’importanza di

costruire e mantenere un database completo e aggiornato su tutte le aree aziendali e la

necessità di affidarsi a sistemi informatici e software per valorizzare i dati raccolti. Dal punto

di vista del risk management l’impresa ha avuto modo di considerare i danni potenziali e gli

eventuali impatti di ogni singolo rischio sia in termini qualitativi che in termini quantitativi,

valorizzando a livello monetario la convenienza di adottare una determinata strategia

piuttosto che un’altra. Un primo passo verso l’instaurarsi di una vera cultura del rischio

aziendale.

Il lavoro svolto conferma buona parte dei limiti e delle difficoltà che le PMI si trovano a

dover affrontare nella fase di implementazione di un sistema integrato di gestione dei rischi.

Il modello adottato per il caso LT FORM 2 risulta semplificato rispetto a quelli teorizzati dai

148

principali standard internazionali: semplificare vuol dire raggiungere gli stessi obiettivi

riducendo la complessità dei processi, quindi adattare l’infrastruttura dell’ERM alle necessità

delle PMI senza perdere di efficacia, come teorizzato dal modello di Bendinelli nel terzo

capitolo. I risultati ottenuti sono perfettamente comparabili con i principali benefici

riscontrati nelle big company che adottano una gestione integrata dei rischi secondo i

principali framework. Tra questi si annoverano: il miglioramento del sistema decisionale,

l’allineamento delle strategie aziendali con il risk appetite, il contenimento di eventi e perdite

impreviste, il miglioramento della resilienza organizzativa ecc.

L’Osservatorio sul risk management nelle PMI italiane ha contattato 9.864 PMI sul territorio

nazionale, ma solo 700 hanno partecipato al questionario. Questo dato rappresenta un chiaro

segnale di arretratezza del nostro paese sul tema del risk management. Nonostante ogni anno

aumenti l’elenco dei cosiddetti rischi emergenti, purtroppo le PMI ancora non riescono a

cogliere l’importanza di considerare la gestione dei rischi come una opportunità di tutela e

miglioramento del valore offerto. Dunque c’è ancora molto da fare in tema di

alfabetizzazione al rischio.

149

Analisi Interna ed Esterna

ALLEGATO N. 1

Materiale Riservato – Ingegna Finanza srl

169

Analisi ERM

ALLEGATO N. 2

Materiale Riservato – Ingegna Finanza srl

170

BU

SIN

ESS M

OD

EL

L.T

. FO

RM

srl

179

BIBLIOGRAFIA E SITOGRAFIA

ACE European Group. (2013). Emerging risk barometer.

AIIA, & PWC. (2006). La gestione del rischio aziendale. Milano: Il Sole 24 Ore.

AIRMIC, A. I. (2002). Association of insurance and risk management professionals. Tratto da

www.airmic.com.

AIRMIC, A. I. (2010). A structured approach to ERM and the requirements of ISO 31000.

Allianz Risk Pulse. (2015). Top Business Risk.

Ammann, M. (2001). Credit Risk Valuation. Methods, Models, and Applications. Berlin: Springer-

Verlag.

ANRA. (2015). Il rischio: una fonte di vantaggio competitivo per le imprese italiane. Risk

Management News n.39.

Basel Committee on Banking Supervision. (2009). International Convergence of Capital

Measurement and Capital. Basel.

Bendinelli, M. (2009). Perchè un approccio ERM per le PMI complesse. Il Sole 24 Ore.

Bendinelli, M. (2009). Pianificazione strategica: un ERM semplificato per le PMI. Il Sole 24

ore.

Beretta, S. (2004). Valutazione dei rischi e controllo interno. Milano: EGEA.

Bertini, U. (1968). Introduzione allo studio dei rischi in economia aziendale. Milano: Giuffrè Editore.

Borsa Italiana. (s.d.). Tratto da www.borsaitaliana.it.

Bruni, G. (2003). Il sistema dei rischi di valore dell'impresa. Evoluzione Bancassicurazione, 5-6.

Business Model Canvas. (s.d.). Tratto da www.businessmodelcanvas.it.

Cardin, G. (2014). L'adozione dell'Enterprise Risk Management e le scelte di struttura

finanziaria delle imprese. Università Cà Foscari.

Casualty Actuarial Society. (2003). Overview of enterprise risk management. Tratto da

www.casact.org.

180

Centro Studi Finanza. (s.d.). Tratto da www.centrostudifinanza.it.

Chapman, R. (2006). Simple tools and techniques for enterprise risk management. John Wiley and

Sons.

Conti, C. (1996). L'esposizione dell'impresa ai rischi finanziari. Milano: Egea.

Corsani, G. (1936). La gestione delle imprese mercantili e industriali. Padova: CEDAM.

Crenca, U. e. (1989). Risk Management: strategie e processi decisionali nella gestione dei rischi puri

d'impresa. Edizioni Isba.

Crestani, M. (2012). Gli effetti dell’Enterprise Risk Management sul valore delle imprese. Un’analisi

empirica del mercato internazionale. Venezia.

Crouhy, G. M. (2006). The essentials of risk management. McGraw-Hill.

DeLoach, J., & Temple, N. (2000). Enterprise-Wide Risk Management: Strategies for Linking Risk

& Opportunity. Prentice Hall.

Deloitte. (2005). Integrated enterprise risk management.

Dessì, A. (2012). Enterprise risk management, aspetti teorici e applicativi.

Dowd, K. (1998). Beyond value at risk. Wiley.

Drzik, J. e. (2005). Countering the Biggest Risk of All. Harvard Business Review.

ERM “Casistiche aziendali di rischi operativi”. (Sett-Ott 2007). Amministrazione e Finanza Oro.

FERMA. (2003). Standard di risk management.

Ferrero, G. (1968). Istituzioni di economia d'azienda. Giuffrè.

Floreani, A. (2004). La valutazione dei rischi e le decisioni di risk management. Milano: ISU

Università Cattolica.

Floreani, A. (2005). Introduzione al Risk Management. Rizzoli Etas.

Furlanetto, N. (2014). L'ERM e l'impatto sulla struttura del capitale delle imprese non

finanziarie. Università Cà Foscari .

Gaudenzi, B. (2006). Nuovi approcci di gestione dei rischi di impresa. Sinergie n.71.

181

Giesecke, K. (2004). Correlated default with incomplete information. Journal of banking and

finance.

Giorgino, M., & Travaglini, F. (2008). Il risk management nelle imprese italiane. Come progettare e

costruire sistemi e soluzioni per la gestione dei rischi d'impresa. Il Sole 24 Ore.

Giunta, F. (1996). Appunti di economia aziendale. Padova: Cedam.

Gobbi, U. (1974). L'assicurazione in generale. INA.

Gobbi, U. (1974). Trattato di economia. Milano: Libraria.

Henry, F. (1916). Administration industrielle et gènèrale. Paris: Dunod.

Knight, F. (1921). Risk, uncertainty and profit. Chigago University Press.

Lin, K. J. (2009, 04). Management Risk Reporting Practices and their Determinants. Tratto da

uhdspace.uhasselt.be.

Livatino, M., & Tagliavini, P. (2013). Enterprise Risk Management Trends. Milano: Lab ERM -

SDA Bocconi.

Luraschi, P. (2011). Milliman Enterprise Risk Management. Tratto da www.milliman.cm.

Marinoni, M. A. (2012). Reddito, rischio e incertezza. Università degli studi di Parma.

Meulbroek , L. (2002). Integrated Risk Management for the Firm: A Senior Manager's Guide.

Claremont Colleges - Robert Day School of Economics and Finance.

Monda, B., & Giorgino, M. (2013). An ERM maturity model. Chicago.

Monda, B., & Giorgino, M. (2013). Dal risk management all'enterprise risk management. Londra:

Polifinance Publishing.

Olson, D. L., & Wu, D. D. (2007). Enterprise Risk Management. World Scientific Publishing

Company.

Pomodoro, C., & Luccini, T. (2012). Enterprise Risk Management e linee guida dello standard ISO

31000. HSPI.

Potrich, B. e. (n.16 - 2002). Il risk management nelle medie imprese del nord est. ALEA Tech

reports.

182

Prandi, P. (2010). Il risk management. Teoria e pratica nel rispetto della normativa. Franco Angeli.

Rija, M. (2006). Casi aziendali sul rischio di impresa. Franco Angeli.

Rischio e calcolo del VaR. (1996). Tratto da www.carifvg.it.

Risk Governance. (2014). Il Risk Management nelle PMI Italiane ed. 2013. Milano: Politecnico di

Milano, Dip. Ingegneria Gestionale.

Rosa, M. (2013, 12). Barometro dei rischi ACE Group. Tratto da www.ilbroker.wordpress.com.

Segal, S. (2011). Corporate Value of Enterprise Risk Management. Wiley Corporate.

Segatto, C. (2013). La gestione dei rischi aziendali e l'ERM: il caso italiano. Venezia.

Selleri, L. (2006). L'impresa e il rischio - Introduzione all'enterprise risk management. Milano: I.S.U.

Università Cattolica.

Spinard. (2005). Enterprise risk management: a holistic approach.

Swiss RE. (2015). SONAR - New emerging risk insides.

Tuccoli, M. (2015). Atti del convegno ISO 9001:2015 Innovazioni e Modifiche. Tratto da

www.puntosicuro.it.

Unicredit Group. (s.d.). Tratto da www.unicreditgroup.eu.

L'ENTERPRISE RISK MANAGEMENT: MODELLI E CASI … · L’aumento della globalizzazione dei mercati,...

Documents

Transcript of L'ENTERPRISE RISK MANAGEMENT: MODELLI E CASI … · L’aumento della globalizzazione dei mercati,...