1. Definizione dei rischi. Identificare i rischi aziendali ed il loro allineamento con la strategia aziendale.
2. Mappatura dei rischi:

• strategici, che includono tutti i rischi legati alla capacità dell’azienda di competere sul mercato; gli strumenti da utilizzare per individuare questi rischi sono il Modello delle 5 forze di Porter, l’analisi SWAT il ciclo di vita del settore, l’analisi del mercato, ecc.;  con l’ausilio di questi strumenti si potranno individuare:
  • introduzione di tecnologie alternative e rischio di obsolescenza tecnologica;
  • rischi reputazionali (in alcuni casi, considerati tra i rischi operativi);
  • rischio paese (es. rischio terrorismo, pandemia, criminalità, ecc.);
  • rischi politici e Macro-Economici (che includono il rischio di tassazione);
  • dinamiche competitive;
  • economici, compreso quelli legati alla globalizzazione, al cambiamento della tecnologia, agli errori nelle coperture assicurative, ai difetti contrattuali con clienti o fornitori;

• operativi,  non solo quelli generati da danni materiali ma ipotizziamo:
  • perdita di un fornitore strategico, un’azienda che ha un fornitore che produce un componente essenziale che non sia più in grado di produrre a causa di un’incendio;
  • carenza di risorse, durante un trasporto la fornitura prende fuoco e, per una nuova fornitura finalizzata a soddisfare i contratti già firmati con la clientela, necessitano tempistiche che generano sia la cancellazione degli ordini che la richiesta di danni;
  • rischio di processo, blocco del sitema aziendale a causa di un dipendente che ha aperto una e-mail contenente un virus;
  • rischio di programma, il fornitore che ha sviluppato un software indispensabile fallisce compromettendo la continuità del business;
  • rischio logistico, un macchinario speciale necessita di un ricambio divenuto introvabile;
• compliance, spesso connessi al mancato rispetto di leggi, normative e regolamenti che possono portare a sanzioni, multe, revoche di autorizzazioni o sospensione dell’attività; anche in questo caso gli esempi sono infiniti:
  • si perdono informazioni sensibili a causa di un dipendente che ha sotratto dei nominativi della clientela
  • non si rispettano il numero di clienti che possono accedere ad un locale pubblico;
  • la violazione di un brevetto che costringe a fermare la produzione ed a reinventare un nuovo prodotto;
  • responsabilità ambientali, ad esempio un ristorante è privo di un banale disoleatore per cucina;
  • bombola anti incendio scaduta;
• finanziari, che comprendono tutti quei rischi che vanno a incidere sulla liquidità aziendale e sull’accesso al credito;  alcuni esempi:
  • uno dei 3 clienti più importanti, che ha sempre pagato regolarmente, prima chiede di allungare i termini di pagamento, poi smette di pagare ed infine dichiara il fallimento;
  • un cliente chiede di pagare nella sua valuta (che non è l’euro) un bene che verrà consegnato e pagato dopo 1 anno, purtroppo il cambio si svaluta del 50% a favore del cliente e viene perso il 50% del ricavo;
  • si accede ad un finanziamento trentennale a tasso di interesse variabile, dopo qualche mese l’Euribor si alza di 1% con un aumento insopportabile della rata da rimborsare;
• R.C. (responsabilità civile):
  • Terzi, nel caso che qualcuno subisca danni e pertanto l’azienda sia obbligata a risarcirli; può accadere, ad esempio, che un’autista, durante il trasporto uccida un passante;
  • Operai, qualora un proprio dipendente muoia senza avere indossato il casco protettivo obbligatorio;
  • Prodotti o servizi, qualora il difetto abbia causato un danno a terzi, ad esempio, si pensi ad un bullone dell’auto non ben avvitato che causa un’incidente mortale;
  • Amministratori, qualora la richiesta di risarcimento vada a colpire il patrimonio personale, ad esempio, non riuscendo ad esibire le dichiarazioni di conformità dell’impianto elettrico dopo un incendio;

Per ciascuno necessita quantificarne sia l’impatto che la probabilità, il valore complessivo di ciascun rischio deriva dalprodotto fra probabilità e impatto.  Fondamentale è stabilire il valore massimo di rischio sopra il quale il busines è compromesso.

3. Risk management.  Consiste nel trovare le giuste soluzioni per contenere il valore massimo del rischio, così come determinato nel punto precedente, nei limiti della tolleranza del business.

• evitandolo modificando un processo, un servizio o un sistema in modo da eliminare il problema all’origine;
• trasferendolo a terzi (clienti, fornitori, assicurazioni, partner, ecc.) o condividendolo;
• mitigandolo cercando di ridurre la probabilità che si concretizzi ovvero riducendo l’eventuale perdita; rientrano in questa categoria tutti i provvedimenti che riducono gli effetti negativi di minacce e catastrofi sulla continuità aziendale (Business Continuity), incluso attacchi informatici, interruzione dell’energia elettrica, eventi meteorologici come alluvioni, allagamenti, incendi, terremoti, ecc. (Disaster recovery).
• accettandolo.

Un buon Risk Manager utilizza spesso tutte queste 4 leve anche contemporaneamente sopratutto sui rischi con un’elevato impatto.

Naturalmente questo processo dovrà avere dimensioni proporzionate alla dimensioni dell’azienda ma, contrariamente a quanto si ritiene, cresce d’importanza in misura inversa alla dimensione dell’azienda. Sembra una contraddizione ma non lo è: un’azienda di grande dimensioni potrà permettersi un reparto dedicato ma, se le cose dovessero andare comunque male, sarà certamente più preparata rispetto ad un’azienda di piccolissime dimensioni che deve cercare soluzioni super efficaci con il minimo delle risorse.

4. Decisione finale. Il Risk manager e l’imprenditore dovranno decidere, sulla base delle nuove informazioni e delle misure di mitigazioni assunte, quale è rischio residuo che permane e trovare una nuova strategia che bilanci minacce ed opportunità.  Naturalmente dovrà seguire una fase di monitoraggio anche in relazione al variare delle condizioni sia dell’azienda che del mercato.

Una grande azienda avrà una serie di consulenti super specializzati mentre in una piccola ci sarà un solo professionista (Leaders) che riassumerà in un’unica figura tutte le professionalità necessarie.  Noi riteniamo che se il singolo professionista è realmente capace può raggiungere risultati più efficaci di una miriadi di super specialisti che potrebbero avere difficoltà a dialogare tra loro con il rischio di non riuscire  a fare sintesi e di perdere di vista le priorità aziendali.

Per la maggior parte delle PMI italiane la figura del “Risk Manager” potrebbe o forse dovrebbe coincidere con quella del “Consulente patrimoniale”.

Questo consulente dovrà conoscere i tuoi bisogni ed avere una visione d’insieme della tua situazione patrimoniale, compreso quella aziendale.

Solo così potrà programmare specifici interventi di monitoraggio delle misure di prevenzione adottate sulla base dei rischi opportunamente individuati. In questo modo potrai passare ad un approccio preventivo, decisamente più efficace ed efficiente rispetto al solito approccio reattivo nel quale si risponde all’evento imprevisto in modo decisamente scomposto ed anti economico.