Il rischio che non entra nella matrice

Ci sono rischi che sappiamo identificare molto bene.

Li descriviamo, li valutiamo, assegniamo loro una probabilità e un impatto, li inseriamo nella matrice. Poi magari definiamo un KRI, individuiamo un responsabile e li portiamo nel reporting. Tutto corretto. Eppure, qualche volta, il problema arriva lo stesso.

Perché?

Perché non tutto ciò che può mettere in difficoltà un’organizzazione, prima ancora di diventare un evento, è spesso un segnale.

Facciamo qualche semplice esempio:

• una persona che smette di parlare durante le riunioni;
• un manager che accentra sempre più decisioni;
• un collaboratore competente che comincia a fare soltanto ciò che gli viene chiesto;
• un conflitto che tutti conoscono ma che nessuno affronta;
• Una persona chiave dalla quale dipendono troppe conoscenze;
• un team che smette di segnalare gli errori perché ha imparato che tanto “non cambia niente”.

Sono già rischi? Non necessariamente. Ma qualcosa sta succedendo. Ed è proprio qui che, per me, il Risk Management diventa interessante.

Siamo molto bravi a cercare il rischio quando ha già una forma riconoscibile: lo cerchiamo nei processi, nei numeri, nei contratti, nella normativa, nei sistemi, nei dati.

E dobbiamo farlo.

Tuttavia, il problema nasce proprio quando pensiamo che quello sia tutto il rischio che esiste.

Purtroppo, invece, molte vulnerabilità organizzative iniziano molto prima di comparire in un report.

Iniziano con una relazione che si deteriora, con una decisione che viene continuamente rimandata, con una responsabilità che nessuno vuole assumersi, con una persona che smette di esporsi, con una competenza che non viene trasferita, con un’organizzazione che diventa sempre più dipendente da poche persone.

Quando finalmente il problema arriva sulla scrivania del Risk Manager, spesso non è più un segnale. È già un evento.

 

Il problema è che i segnali umani sono difficili da misurare

Una matrice ci rassicura anche per questo: possiamo dare un numero alle cose.

• Probabilità 3 – Impatto 4 – Risk Score 12.

Rosso, giallo, verde. Possiamo confrontare, ordinare, decidere.

Ma cosa facciamo con un: “Secondo me qui c’è qualcosa che non funziona”?

Dove lo mettiamo nella matrice?

E con: “Non lo dico più, tanto non cambia niente”?

Qual è il KRI? Quanto vale?

Il rischio non è ancora accaduto, ma qualcosa è già cambiato. E forse è proprio questa la parte che dobbiamo imparare a osservare meglio: non per trasformare il Risk Manager in uno psicologo, né per aggiungere l’ennesima categoria alla tassonomia dei rischi, ma per capire come ciò che accade alle persone può modificare la capacità dell’organizzazione di raggiungere i propri obiettivi.

La dipendenza da una persona chiave non è soltanto una questione HR: può diventare un rischio operativo. La difficoltà a delegare non è soltanto una questione di leadership: può diventare un rischio di continuità. La paura di segnalare un problema non è soltanto un problema di clima: può diventare un rischio di compliance, sicurezza, qualità o reputazione. La perdita di competenze non è semplicemente turnover: può diventare una perdita di resilienza.

Le persone non sono il contorno del rischio: sono una delle condizioni attraverso cui il rischio si manifesta, viene intercettato oppure viene ignorato.

 

E allora, dobbiamo buttare via la matrice?

No. La matrice serve, eccome se serve!

Ma dobbiamo smettere di pensare che la matrice sia il Risk Management.

È uno strumento, un ottimo strumento, ma pur sempre uno strumento.

Le vera domande, per me, arrivano dopo.

• Cosa succede nell’organizzazione quando abbiamo identificato un rischio?
• Chi decide?
• Chi agisce?
• Chi si assume la responsabilità?
• Chi ha il coraggio di dire che quella valutazione non è più corretta?
• Chi segnala che qualcosa è cambiato?

E soprattutto:

• le persone si sentono davvero libere di farlo?
• possiamo costruire il miglior sistema di Risk Management del mondo, ma se le persone non parlano, non segnalano, non condividono informazioni, non assumono responsabilità o non si sentono autorizzate a mettere in discussione una decisione, una parte del rischio rimarrà inevitabilmente fuori dalla matrice.

È una delle ragioni per cui considero i People Risk una componente sempre più importante dell’Enterprise Risk Management: non perché dobbiamo occuparci di “persone” in modo generico, ma perché dobbiamo imparare a leggere ciò che accade alle persone per capire ciò che potrebbe accadere all’organizzazione.

Prima che diventi un incidente. Prima che diventi una perdita. Prima che diventi un contenzioso. Prima che diventi un turnover critico o una vera crisi.

A mio avviso, il salto di qualità del Risk Management non è avere matrici sempre più sofisticate, ma imparare a riconoscere ciò che ancora non possiamo mettere in una matrice, ma che ci sta già dicendo qualcosa. 

A volte è semplicemente un rischio che non abbiamo ancora imparato a leggere.

 

PS: immagine di copertina creata con l’AI.