Il rischio che non è nel Risk Register

Quanti rischi ci sono oggi nel vostro Risk Register?

20? 40? 80?

E se domani accadesse qualcosa che non è lì dentro?

La domanda può sembrare provocatoria, ma non lo è poi così tanto, perché uno dei rischi del Risk Management è proprio quello di confondere ciò che abbiamo identificato con ciò che realmente conosciamo.

Avere un Risk Register aggiornato è fondamentale: ci permette di dare ordine, priorità e responsabilità ai rischi dell’organizzazione, ma non dovrebbe mai darci un falso senso di sicurezza.

Perché il contesto cambia: cambiano i mercati, le tecnologie, le persone, le supply chain, le normative, i comportamenti dei clienti.

E cambiano soprattutto le relazioni tra i rischi.

Un rischio raramente vive da solo.

Pensiamo, per esempio, a una persona chiave che lascia l’azienda.

Potremmo averlo classificato come People Risk.

Ma cosa succede se quella persona è l’unica a conoscere un processo critico, gestisce direttamente alcuni clienti strategici, possiede conoscenze che non sono formalizzate, è il punto di collegamento tra funzioni diverse, sa utilizzare un sistema che nessun altro conosce davvero?

L’evento iniziale è un People Risk, ma le conseguenze possono attraversare l’intera organizzazione:

• People Risk → Operational Risk → Customer Risk → Business Continuity → Financial Risk → Reputational Risk.

Ecco perché, secondo noi, oggi non è più sufficiente chiedersi quali sono i rischi, ma dobbiamo iniziare a chiederci anche:

• Come sono collegati tra loro?

E soprattutto:

• Quali segnali ci stanno dicendo che qualcosa sta cambiando?

 

Il Risk Register è una fotografia. Il rischio è un film.

La fotografia serve.

Tuttavia essa racconta soltanto ciò che abbiamo deciso di fotografare in quel momento. Il rischio, invece, evolve continuamente.

Un rischio che oggi valutiamo come basso domani potrebbe diventare critico. Un rischio apparentemente isolato potrebbe combinarsi con un altro. Un piccolo cambiamento potrebbe essere il primo segnale di una trasformazione molto più grande.

Il vero punto, quindi, non è avere un Risk Register sempre più lungo.

È sviluppare nell’organizzazione la capacità di osservare, interpretare e collegare ciò che sta accadendo, anche quando quel segnale non ha ancora un nome preciso, perché spesso il rischio non arriva annunciandosi come “nuovo rischio emergente”.

Arriva sotto forma di una persona che se ne va, di un fornitore che comincia a mostrare qualche difficoltà, di un cliente che modifica le proprie richieste, di un processo che diventa progressivamente più complesso, di una tecnologia che cambia le regole del gioco.

Presi singolarmente, possono sembrare episodi. Messi in relazione, possono raccontare una storia.

Ed è proprio qui che il Risk Management può fare un salto di qualità: passare dalla fotografia alla capacità di leggere il film.

 

Tre domande da portare in azienda

Per essere pratici e aiutarvi a mettere a terra quanto sopra condiviso, vi segnaliamo tre quesiti che, a nostro avviso, possono fare la differenza e indurre un pensiero più critico.

Eccole:

1. Quale rischio del nostro Risk Register è cambiato maggiormente negli ultimi 12 mesi?
2. Quali rischi oggi sono interdipendenti e continuiamo invece a guardare separatamente?
3. Quale segnale debole stiamo osservando senza aver ancora capito che cosa ci sta raccontando?

Non chiediamoci, quindi, solo seabbiamo identificato tutti i rischi, ma

• quali segnali stiamo vedendo senza aver ancora capito che cosa ci stanno raccontando?

È da qui che, secondo noi, dovrebbe ripartire un Risk Management davvero dinamico.

Che ne pensate? Fateci conoscere il vostro punto di vista nei commenti.

Ci leggiamo sicuramente a breve, con nuovi spunti pratici per applicare concretamente l’analisi del rischio in azienda!!!