Con il presente lavoro vogliamodimostrare che un buon processodi Risk Management non è prero-gativa solo di aziende di grandidimensioni infatti la nostra espe-rienza di lavoro in una PiccolaMedia Impresa (PMI) ci permette disfatare questo preconcetto.

Dimostreremo così come buoniprocessi di risk management nonrichiedono necessariamente sovra-strutture costose e complesse,infatti la bontà di un processo dirisk management è soprattutto infunzione della sua adeguatezzarispetto alla dimensione azienda-le e al business.

Anche dall’analisi dell’inter-pretazione ufficiale nella versione2009 degli standard IIA1 si deduceche un buon processo di riskmanagement è requisito importan-te per garantire decisioni secondouna “sana e prudente gestione”,che i rischi significativi debbanoessere identificati e valutati, chevengano individuate opportuneazioni di risposta ai rischi, al finedi ricondurli entro i limiti di accet-tabilità per l’azienda.

Una realtà imprenditoriale disuccesso ci ha consentito diesporre la sua applicazione diuna analisi dei rischi pur chieden-

1 The Institute of Internal Auditors (IIA) - www.theiia.org2 Le azioni possono essere principalmente correttive, preventive, curative.

Si veda UNI EN ISO 9000:2005 Sistemi di gestione per la qualità - Fondamentie vocabolario

do l’anonimato per evitare diffu-sione di notizie riservate aConcorrenti, Clienti, Fornitori.

Già sensibile a tematiche digestione dei rischi ha deciso pochimesi fa di introdurre una specificaanalisi per valutare i rischi connes-si ai processi di emissione di unaofferta e, in maniera speculare, diaccettazione di un contratto pro-postole da terzi.

Lo schema logico si articola neiseguenti punti cardine:1. Identificare e Valutare i rischi

derivanti dall’emissionedell’offerta/accettazione delcontratto;

2. Attribuire unapotenzialità/probabilità dirischio ed un peso/gravità adogni rischio individuato

3. Calcolare il rischio totale perogni rischio individuato(moltiplicando il peso per lapotenzialità);

4. Determinare la necessità omeno di intraprendere unaazione2;

5. Svolgere una nuova analisi dirischio a valle delle azionipreventive attuate.

Si è scelta una metodologiarigorosa, seppur semplice, a sup-porto dei processi decisionali rela-

1

IL PRIMO MAGAZINE ITALIANO ESCLUSIVAMENTE DEDICATO AL PROJECT MANAGER - DICEMBRE 2010

Risk Management nelle PMI, un reale caso di successo.

Gli autoriGian CarloMocci

Già Risk Manager, QualityManager, ResponsabileCommerciale in Bureau Veritas;Responsabile Clienti nel GruppoPrudential Financial; segueattualmente Qualità Processi eStandard di Esercizio in NTVNuovo Trasporto Viaggiatori. E�Internal Auditor certificato CCSAed Auditor SGA, SGQ, SGS.

Claudia CastellinoQuality Manager, esperta in

Analisi dei Processi e Sistemi diGestione della Qualità haall’attivo diverse esperienze diintegrazione di tecniche di RiskManagement in ambitoIndustriale.

tivi a tutte le aree aziendali che siarticola secondo quanto sintetica-mente indicato di seguito.

1) Valutare le aree dirischio ed i rischipotenziali derivanti dalriesame dell’offertaA seguito di una richiesta di

offerta, prima della sua emissioneufficiale al richiedente, occorreeseguire un esame di fattibilitàtecnica ed economica così come

già fatto sino ad oggi dal personaledelle aree Tecniche eCommerciali.

A valle di questo esame di fat-tibilità si attua la redazione dell’a-nalisi dei rischi per la quale occor-re identificare ed analizzare i pos-sibili rischi derivanti dall’acquisi-zione del contratto. Nel modellostandard sono stati identificati leseguenti aree di rischio base all’in-terno delle quali possono identifi-carsi uno, nessuno o più rischi3:

2) Attribuire una potenzialità/probabilitàed un peso/gravità

Per ciascun rischio identificato in ciascuna delle12 aree, occorre effettuare una valutazione dellivello di rischio in termini di probabilità (P) del veri-ficarsi dell’evento e di gravità (G) delle sue conse-guenze sugli obiettivi.

Da notare che si è volutamente utilizzata una sca-la di valori “pari” da 1 a 4 per neutralizzare l’effet-to di punteggi intermedi. Poteva pertanto anche sce-gliersi una scala da 1 a 6.

Tabella 3 - Criteri per classificare il Valore di Rischio (R)

Punteggio Rischio

R≤4 Rischio Molto Basso (MB)

4<R≤8 Rischio Basso (B)

8<R≤12 Rischio Moderato (M)

12<R≤16 Rischio Alto (A)

3) Calcolare il valore di rischioDal punto di vista numerico il valore

minimo per ciascun rischio R è 1 nel casodi rischi inesistenti (probabilità e gravitàmolto bassi), mentre il valore massimopossibile è 16 (probabilità e gravità alte).La classificazione viene fatta in base aicriteri della tabella 3:

La somma dei valori assunti da tutti irischi costituisce il Rischio Totale (Rtot) .

Il modello prevede a questo punto laclassificazione del valore di Rischio TotaleRtot in base al rapporto tra la somma deivalori di tutti i rischi R (Rtot appunto) e ilmassimo valore possibile Rmax (qualoratutti gli R fossero con valore massimo paria 16). Tale classificazione scaturisce inbase ai criteri riportati nella Tabella 4.

1. Risorse per inserimento nuoviprodotti

2. Esperienze prodotti similari3. Tecnologie nuove4. Esperienza personale5. Complessità del Prodotto6. Conoscenza materiali

utilizzati7. Fornitori qualificati8. Personale qualificato9. Referenze del cliente10.Lingua utilizzata11.Aspetti Politici, Geografici,

Etici

12.Clausole contrattuali

Abbiamo prima detto che que-sto è il modello standard, infatti albisogno, il modello viene reso:- più completo inserendo oltre

alle 12 aree di rischio giàconsiderate di default altrenuove che di volta in voltapossono essere individuate

- più dettagliato considerandosvariati rischi all’interno diciascuna area.

2Istituto Internazionale di Ricerca Srl

Via Forcella, 3 • Milano • www.iir-italy.it • corsi@iir-italy.it

Tabella 4 - Criteri per classificare il Valore di Rischio Totale (Rtot)

Punteggio Rischio Totale

Rtot < 25% Rmax Rischio Totale Molto Basso

25% Rmax ≤ Rtot < 50%Rmax Rischio Totale Basso

50% Rmax ≤ Rtot < 75% Rmax Rischio Totale Moderato

75% Rmax ≤ Rtot ≤100% Rmax Rischio Totale Alto

Tabella 1 - Probabilità di Rischio (P)

Probabilità di Rischio molto basso = 1

Probabilità di Rischio Basso = 2

Probabilità di Rischio moderato = 3

Probabilità di Rischio Alto = 4

Tabella 2 - Peso/Gravità di Rischio (G)

Gravità di Rischio molto bassa = 1

Gravità di Rischio Bassa = 2

Gravità di Rischio moderata = 3

Gravità di Rischio Alta = 4

3 Rischio: Insieme della possibilità di un evento delle sue conseguenze sugli obiettivi (UNI 11230 - Gestione del Rischio,Vocabolario).

4) Determinare lanecessità o meno diintraprendereun’azione

Il Rischio Totale appena deter-minato viene definito RischioIntrinseco4 (detto anche iniziale oinerente) e il suo trattamento vie-ne effettuato sulla base dei pun-teggi ottenuti e delle considerazio-ni qualitative, comunque possibili.

La Direzione aziendale puòoptare schematicamente per unadelle 4 seguenti alternative in baseal valore assunto dal RischioTotale:

1- Molto Basso: l’azienda accettadi assumersi il rischio eprocede con l’emissionedell’offerta / accettazione delcontratto propostole.Ovviamente ha facoltà diattuare le azioni che ritenesseopportune.

2- Basso: l’Azienda rileva lanecessità, una voltaconfermato l’ordine da partedel cliente, di mettere in attodelle azioni per gestire i rischicomunque presenti ed evitareil sorgerne di nuovi.Sovente in questi casi i proces-

si aziendali esistenti sono in gradodi gestire tutto quanto relativo allanuova commessa, le azioni messe

in atto mirano soprattutto a nonfar diminuire l’efficacia deglistessi ad esempio migliorando erafforzando attività di controllo emonitoraggio.

3- Moderato: l’Azienda rileva lanecessità, una voltaconfermato l’ordine da partedel cliente, di mettere in attodelle azioni che consentanouna gestione dei rischiindividuati agendo tramitetecniche multiple qualitrasferimento, riduzione, etc.. ed in questi casi si devonospesso definire ed attuarespecifiche azioni e processiche non sono preesistenti.Esempi tipici sono:

- formazione mirata alpersonale

- più livelli di autorizzazione- introduzione di specifici punti

di controllo- aumento delle frequenze di

controllo- azioni sui fornitori

(contrattuali, formative, di

controllo, etc ..)- coperture assicurative

specialistiche(RCprofessionale, Credito, KeyMan Protection, Danni, etc .. )

4- Alto: l’Azienda non intendeproseguire con l’emissionedell’offerta / accettazione delcontratto propostole, poichéconsidera impraticabili delleazioni (dal punto di vistaeconomico, operativo, deitempi etc.. ).

5) Svolgere una nuovaanalisi di rischio a valledelle azioni preventiveattuate

A valle delle azioni attuate siottiene il Rischio Residuo5, perdeterminare il quale è necessariauna nuova analisi di rischio pervalutare la situazione venutasi acreare a valle di tutti gli interven-ti programmati, ma ovviamentesolo nei casi 2 e 3.

3Istituto Internazionale di Ricerca Srl

Via Forcella, 3 • Milano • www.iir-italy.it • corsi@iir-italy.it

4 Rischio intrinseco: Rischio dasottoporre al trattamento delrischio (UNI 11230 - Gestione delRischio, Vocabolario).

5 Rischio Residuo: Rischio rimanentea seguito del trattamento delrischio. NOTA: Il rischio residuocomprende anche i rischi nonidentificati (UNI 11230 - Gestionedel Rischio, Vocabolario).

4

6) UN ESEMPIOAPPLICATIVO

Le 12 aree di rischio ovviamen-te possono cambiare in funzionedelle esigenze e tipologie azienda-li così come i rischi individuati,infatti le macro aree di rischioindividuabili possono essere relati-ve a Qualità, Sicurezza eAmbiente, capacità lavorativa,geografica politica e etica, finan-ziaria, soddisfazione del cliente,risorse umane, miglioramento del-le attività, consegne puntuali,capacità produttiva, capacità pro-gettuale ecc.

Proviamo ad immaginare uncaso limite, quello cioè di riceve-re una richiesta di offerta moltointeressante da parte di un nostrocliente per una produzione di unnostro tipico particolare in quanti-tà superiori alla nostra fattibilitàesecutiva.

E’ sensato che un’Azienda, pri-ma di emettere un’offerta analiz-zi i rischi derivanti da una cosìprofumata richiesta, e con unalinea guida a disposizione siriescono a gestire meglio i rischiindividuati e soprattutto a tenerlisotto controllo attuando eventual-mente delle azioni di mitigazione.

Nel seguito si riporta l’esitodell’esempio sopra citato ove persemplicità è stato individuato unsolo rischio R per ognuno dei dodi-ci ambiti di rischio.

Riteniamo pertanto che unapproccio simile sia alla portatadi qualunque azienda che intendagestire in maniera adeguata il pro-prio business con i relativi rischiche questo comporta.

SI NO n° Az

RISORSE PER INSERIMENTO NUOVI PRODOTTI

ridotti spazi per linee dedicate 4 4 16 A X 1affitto capannoni

adiacenti1 1 1 MB

ESPERIENZE PRODOTTI SIMILARI ok già avuto prodotti simili 1 1 1 MB 111X MB

TECNOLOGIE NUOVE lunghi tempi di lavorazione 3 4 12 M X 2 layout 2 linee 1 2 2 MB

ESPERIENZA PERSONALEok già svolto

commessa simile1 2 2 MB X 3 formazione

sul materiale1 2 2 MB

COMPLESSITA' DEL PRODOTTO diffettosità finale 4 4 16 A X 4 quality assurance 2 4 8 M

CONOSCENZA MATERIALI UTILIZZATI

materiale innovativo 4 4 16 A X 5, 6– test sul materiale

– test su provini2 2 4 B

FORNITORI QUALIFICATI un solo fornitore attuale 4 2 8 B X già noto altro fornitore 1 1 1 MB

PERSONALE QUALIFICATO 331etneserp ko MB 331X MB

REFERENZE DEL CLIENTE 111etseihcir non MB 111X MB

LINGUA UTILIZZATA inglese + francese 4 4 16 A X 7 corso francese al PM 2 4 8 M

POLITICO, GEOGRAFICO, ETICO 11111G iseap MB 111X MB

CLAUSOLE CONTRATTUALI penali, valuta, RCProfessionale 4 4 16 A X 8, 9– rinegoziare clausole

– migliore RCProfessionale1 2 2 MB

Rtot intrinseco 108 Rtot residuo 34

Rtot intrinseco MODERATO 56,25% 17,71% Rtot finale MOLTO BASSO

AZIONEGxPGETON P

INTRINSECO RESIDUO

AREA DI RISCHIO G PxGRischi individuati P

Istituto Internazionale di Ricerca SrlVia Forcella, 3 • Milano • Tel. 02.83847.1www.iir-italy.it • corsi@iir-italy.it