di Geert HAISMA
La gestione del rischio viene spesso eseguita nella seconda linea di difesa, mentre in realtà dovrebbe essere eseguita nella prima linea.
Dopotutto, è la prima linea quella responsabile della mappatura dei rischi che ritiene rilevanti e della gestione di questi rischi con misure adeguate. Va detto, che la prima linea non sempre riconosce l’importanza e il valore aggiunto del risk management anzi può percepirla come un’attività burocratica. Il fatto che le prime linee non riconoscano il valore aggiunto del risk management è dovuto, soprattutto, alla mancanza di conoscenza(sapere) ed esperienza.
Infatti, l’ignoto non piace.
Vediamo qui, in dettaglio, come si può procedere in maniera efficace e con successo.
Per l’implementazione del risk management all’interno dell’organizzazione, occorre sensibilizzare i responsabili dei rischi della prima linea e lasciarli imparare/familiarizzare seguendo i principio di apprendimento c.d. “We-Lead, Co-Lead, You-Lead” (del Lean Agile Six Sigma).
Questo si suddivide in 3 fasi:
- We-Lead, consiste nell’esempio e nella preparazione del lavoro da parte dei consulenti. I consulenti insegnano il metodo al team di prima linea;
- Co-Lead, consiste nel lavorare insieme. Il team ha la responsabilità diretta principale ed esegue il metodo con l’assistenza totale dei consulenti. Si tratta della co-partecipazione di consulenti e team di prima linea alla realizzazione del lavoro;
- You-Lead, consiste nell’acquisizione di indipendenza da parte del team di prima linea per fare il lavoro senza alcuna necessità dei consulenti; il team ha maturato l’indipendenza e va avanti da sé. In questa fase il team di prima linea diventa consapevole del valore aggiunto del risk management e autonomo nel beneficiare dei vantaggi di metodologie e strumenti disponibili.
EVITARE I RISCHI “FLUTTUANTI”
L’implementazione del risk management richiede innanzitutto una chiara struttura di obiettivi, processi e responsabili/proprietari. I rischi devono sempre avere una relazione diretta con un obiettivo, oppure un processo o un progetto (questo è chiamato il “contesto” del rischio).
Nel caso in cui un rischio non sia direttamente correlato ad un obiettivo, un processo, un progetto oppure uno standard/principio normativo, ecc. viene creato un elenco di rischi “fluttuanti” e, allora sì che il valore aggiunto può essere effettivamente messo in discussione. Dopotutto, – e, a ragione – un manager o un direttore vogliono affrontare soltanto i rischi che sono una effettiva minaccia per un loro obiettivo oppure quelli che possono interrompere un processo aziendale.
AMPLIARE IL SAPERE/LA CONOSCENZA e L’ESPERIENZA
L’insidia per l’implementazione risk management è che ai “direttori di reparto/dipartimento” spesso viene chiesto di identificare i propri rischi, ma raramente ottengono un buon feedback su questo. Quando si acquisiscono conoscenze per il risk management il focus non è la quantità ma la qualità.
Invece di elaborare immediatamente un profilo di rischio completo che viene discusso soltanto in modo limitato, si raccomanda a ciascun manager di esplorare approfonditamente un rischio e fornirne un ampio feedback. Per “esplorare approfonditamente” intendo dire mappare l’evento di rischio, comprese le cause e le conseguenze. Dopodiché si possono adottare delle misure di prevenzione – in relazione a cause e conseguenze – per mitigare il rischio. Dopotutto, quando vai dal dottore per un problema di salute, vuoi che attraverso gli esami medici ricerchi la causa e ti prescriva la medicina giusta, invece di rimandarti a casa con un’aspirina.
LE SEI FASI
Per realizzare quanto sopra, si possono identificare sei fasi che possono contribuire sia a introdurre il risk management in modo efficace nella prima linea di difesa sia ad ampliare il sapere e l’esperienza.
1 – Struttura: gettare le basi per un profilo di rischio per la prima linea (la relazione con gli obiettivi e le attività determina chi è responsabile e di cosa).
Questa componente è fondamentale per un’efficace gestione del rischio. Lavorare nel contesto preciso aumenterà anche il livello di maturità. I passaggi per raggiungere questo obiettivo sono:
A. È importante la mappatura di:
- Obiettivi
- Processi (primari e secondari)
- Progetti
- Leggi/normative (Compliance)
B. Abbinare precise responsabilità/funzioni ai temi individuati nel suddetto punto A. Queste funzioni sono anche direttamente responsabili dei rischi per obiettivo / processo / progetto / normativa.
2 – Attraverso l’esempio (nell’ambito della preparazione del lavoro, c.d. We-Lead) assicurarsi che la prima linea acquisisca maggiore sapere ed esperienza nella gestione del rischio in modo da poter elaborare un rischio e riuscire a dare un feedback sullo stesso (da soli e senza il bisogno di consulenti, c.d. You-Lead):
- domandando ai responsabili/proprietari di individuare i rischi più importanti in relazione al loro obiettivo / processo / progetto / normativa e indicare anche le cause e le conseguenze;
- domandando ai responsabili/proprietari di stimare le probabilità e le conseguenze finanziarie e di impatto sul loro obiettivo / processo / progetto / normativa;
- domandando ai responsabili/proprietari le possibili misure di controllo su cause e conseguenze e i loro effetti;
- domandando ai responsabili/proprietari i costi delle misure di controllo proposte;
- domandando ai responsabili/proprietari di effettuare una valutazione del costo/efficacia dei provvedimenti intrapresi.
3 – Valutare il rischio elaborato al punto 2 e fornire feedback/valutazioni individuali
Valutazione approfondita in modo che la prima linea impari per il futuro a “gestire” da sé (senza la necessità di consulenti) e meglio i rischi.
4 – Realizzare un profilo di rischio completo
La prima linea completa la lista dei rischi strategici e tattici per il proprio team in base all’esempio e al feedback(valutazione) dei rischi più importanti.
5 – Integrare le informazioni sui rischi nei management report esistenti
Passare dai report singoli a report integrati con i rischi. Indicare i principali rischi negli obiettivi, processi, progetti, ecc. e cosa viene fatto per controllare questi rischi. In questo modo, obiettivi, attività e rischi sono in relazione reciproca fra loro invece che elementi “fluttuanti” separati.
6 – Registrazione degli incidenti e relativi costi (quanto costano i rischi all’azienda)
Monitorare quali rischi si presentano effettivamente e quali conseguenze portano con sé. Quindi coordinare le modifiche in base a queste informazioni. Perché errare humanum est, ma perseverare è diabolico!
Attraverso i processi (e le sei fasi di questo piano), i manager responsabili (della prima linea) diventeranno sempre più consapevoli che la gestione dei rischi aiuta nel raggiungimento dei propri obiettivi e risultati. La consapevolezza e la conoscenza ormai acquisite aumentano le probabilità che queste vengano automaticamente utilizzate. Un passaggio necessario per una corretta attuazione della gestione del rischio.
Intervento di Geert HAISMA Direttore c/o Fully in Control e autore su www.riskcompliance.nl
