![\"Schema](\"/article-assets/risk-management/risk-management-cinque-zone.jpg\")
Entrambe, e la differenza sta fra chi le aveva scritte da qualche parte e chi le scopre il lunedì mattina.
\nIl risk management — in italiano gestione del rischio — è l'insieme delle attività coordinate con cui un'organizzazione si dirige e si controlla rispetto al rischio, dove il rischio è l'effetto dell'incertezza sugli obiettivi [1].
\nRiguarda un professionista con due collaboratori, un'azienda familiare da quindici addetti e una struttura da cento: cambia il numero di righe, non il modo di scriverle.
\nQuasi il 90% delle imprese italiane si dichiara consapevole della possibilità di subire un attacco informatico, e la Banca d'Italia osserva che a quella consapevolezza non corrisponde sempre un impegno finanziario adeguato [5].
\n\n\nUn registro dei rischi non serve a prevedere che cosa accadrà: serve a rendere visibile ciò che oggi dipende da una sola persona, da un solo fornitore o da una sola scadenza, e a decidere in anticipo chi fa che cosa quando accade.
\n
Qui di seguito: il perimetro della materia, le cinque zone in cui i rischi si concentrano, come si pesano senza finta precisione, le quattro risposte possibili e che cosa tiene vivo il registro.
\nUn cliente che non paga da novanta giorni e un cliente che potrebbe non pagare fra novanta giorni finiscono sullo stesso foglio?
\nNo, e tenerli separati è la prima decisione di metodo.
\nIl primo è un problema: è accaduto, ha una data, e si lavora sulle sue cause.
\nIl secondo è un rischio, cioè l'effetto dell'incertezza sugli obiettivi, dove l'effetto è uno scostamento rispetto all'atteso [1]: sono due fogli diversi, e il confine fra i due torna più avanti fra gli errori.
\nAnche l'imprevisto è un rischio, con un nome diverso perché non era stato scritto: il lavoro per ridurne la frequenza è nell'articolo su come diminuire gli imprevisti.
\nLa norma di riferimento è la ISO 31000:2018, Risk management — Guidelines, seconda edizione del febbraio 2018, riconfermata nel 2023 [1].
\nSono linee guida e non requisiti: le indicazioni sono adattabili a qualunque organizzazione e non sono specifiche per settore [1].
\nNe segue che una certificazione aziendale ISO 31000 non esiste, e che chi la propone sta vendendo altro.
\nLa valutazione dei rischi aziendali è una parte della gestione del rischio e non un sinonimo: comprende l'identificazione, l'analisi e la ponderazione, e si ferma prima della scelta della risposta [2].
\nI termini di questo vocabolario vengono dalla ISO Guide 73:2009, che è ritirata: il testo vigente che ne ha assunto la funzione, la ISO 31073:2022, non li espone in consultazione libera [2].
\nIl registro dei rischi è il supporto su cui quella parte lascia traccia, cioè la registrazione delle informazioni sui rischi individuati [2].
\nDue materie restano fuori da queste pagine.
\nLa valutazione dei rischi per la salute e la sicurezza dei lavoratori segue il D.Lgs. 81/2008 [6], produce il documento di valutazione dei rischi e ha obblighi propri: un registro interno non lo sostituisce.
\nResta fuori anche il rischio finanziario in senso proprio — tasso, cambio, credito — che si misura con strumenti dedicati.
\n\n\nIl registro non prevede il futuro: rende visibile ciò che oggi dipende da una sola persona, da un solo fornitore o da una sola scadenza.
\n
Venti minuti di riunione con la domanda «quali rischi corriamo?» e un giro nelle cinque zone dove i danni si concentrano danno la stessa lista?
\nLa prima produce categorie, il secondo produce righe.
\nL'identificazione, nella definizione ISO, è il processo di trovare, riconoscere e descrivere i rischi [2].
\nCercare rischi non è cercare problemi: il secondo gesto guarda a ciò che già succede senza che qualcuno lo abbia scritto, ed è il mestiere del problem finding.
\nLe cinque zone qui sotto sono quelle da guardare per prime.
\nLe persone. La domanda è quale attività si fermerebbe se una singola persona restasse fuori per un mese.
\nIn Italia l'80,9% delle imprese con almeno tre addetti è controllato da una persona o da una famiglia, e la gestione è affidata nella maggior parte dei casi all'imprenditore stesso o a un familiare [3].
\nÈ la condizione ordinaria, non l'eccezione.
\nQuando la persona su cui tutto converge è il titolare, la riga ha un nome proprio: il passaggio generazionale, che il 7,9% delle imprese controllate da una persona fisica o da una famiglia riteneva di poter affrontare nel triennio 2023-2025 [3].
\nI fornitori e i clienti. Circa l'80% delle unità produttive partecipa a una sola filiera, e le microimprese dichiarano di influire sul prezzo verso i fornitori in circa l'11% dei casi [3].
\nLe domande sono quante settimane si fermerebbero se il primo fornitore chiudesse, e quanto fatturato dipende dal primo cliente.
\nLe scadenze. Contratti che si rinnovano tacitamente, certificazioni, autorizzazioni, polizze: ogni data ricordata a memoria è una riga.
\nLa cassa. Il 43,1% delle imprese con almeno tre addetti che ricorre a un finanziamento esterno lo fa per esigenze di liquidità [3].
\nLa domanda è per quanti giorni l'azienda regge se l'incasso più grande del trimestre arriva con sessanta giorni di ritardo.
\nGli impianti e i dati. Nel 2024 il 15,8% delle imprese con almeno dieci addetti ha dichiarato di aver subito nell'anno precedente almeno un problema di sicurezza informatica [4].
\nAccanto agli attacchi vanno contate le cose ordinarie: il ricambio che arriva in sei settimane, il gestionale di cui una sola persona ha le credenziali.
\nIn un'azienda familiare da trenta addetti di un distretto meccanico la stessa persona può programmare le macchine e seguire il cliente principale: due zone si intersecano su un nome solo.
\nLa riga nasce qui, con tre campi: la zona, l'evento scritto come frase — chi o che cosa, che cosa accade, con quale conseguenza — e la data.
\n
Un rischio valutato 7,4 su 10 e un rischio valutato «alto» dicono cose diverse?
\nDicono la stessa cosa, ma il primo la dice con una cifra che il procedimento non è in grado di reggere.
\nLa norma è esplicita: la probabilità è la possibilità che qualcosa accada, determinata in modo oggettivo o soggettivo, qualitativo o quantitativo [1].
\nUna scala grossolana è quindi ammessa, a una condizione: che il criterio con cui si assegnano i livelli sia dichiarato.
\nI criteri di rischio, nella definizione ISO, sono i termini di riferimento rispetto ai quali si valuta la significatività di un rischio [2].
\nIn pratica, in testa al foglio si scrive che cosa significano le parole usate nelle colonne.
\nLe soglie si scelgono sulle dimensioni dell'azienda, si scrivono una volta e non si ricontrattano a ogni riunione.
\nIl prodotto dei due livelli serve a ordinare le righe, non a misurarle: due voci nella stessa casella non hanno per questo lo stesso valore atteso.
\nIl test di tenuta è semplice: due persone che conoscono l'azienda, con lo stesso foglio e lo stesso criterio, devono collocare la stessa riga nella stessa casella.
\nQuando questo non accade il numero è un'opinione vestita da misura, e il criterio va riscritto prima di aggiungere altre righe.
\nQuando invece due righe finiscono legittimamente nella stessa posizione, il criterio che le separa è la velocità con cui l'evento si manifesta: si lavora prima su quello che lascia meno tempo per reagire.
\nIl registro guadagna così due colonne, probabilità e impatto, più una riga di intestazione con le definizioni effettivamente usate.
\nDavanti a una riga già pesata, quante mosse esistono davvero?
\nIl vocabolario ISO del risk management ne elenca sette — evitare il rischio, assumerlo o aumentarlo per cogliere un'opportunità, rimuoverne la fonte, cambiarne la probabilità, cambiarne le conseguenze, condividerlo con altre parti, trattenerlo per decisione informata — che in azienda si raccolgono in quattro famiglie [2].
\nEvitare. È la decisione informata di non avviare un'attività o di uscirne, per non essere esposti a quel rischio [2].
\nRinunciare a una commessa che richiede una lavorazione che l'azienda non controlla è un evitamento, e va scritto come tale: altrimenti resta un'occasione persa senza motivo.
\nRidurre. Qui stanno le mosse che rimuovono la fonte, abbassano la probabilità o contengono le conseguenze [2].
\nLa seconda persona formata sulla programmazione delle macchine, il ricambio critico a magazzino, la procedura scritta per l'attività che una sola persona sa fare: costano tempo prima che denaro.
\nTrasferire. Il trasferimento è una forma di condivisione del rischio con altre parti, che si realizza attraverso l'assicurazione o altre forme di contratto [2].
\nUna polizza sposta la conseguenza economica, non quella operativa: il cliente aspetta comunque.
\nAccettare consapevolmente. L'accettazione è la decisione informata di correre un determinato rischio, e i rischi accettati restano soggetti a monitoraggio e riesame [2].
\nAccettare significa scrivere sulla riga chi ha deciso, quando, e quale segnale si osserva per accorgersi che la situazione è cambiata.
\nCiò che rimane dopo il trattamento si chiama rischio residuo [2], e conviene annotarlo: è la parte che l'azienda ha scelto di tenersi.
\nLe quattro famiglie non si escludono: la stessa riga può essere ridotta in parte e accettata per il resto, purché ogni decisione abbia una data.
\nOgni riga guadagna così tre colonne: la risposta scelta, l'azione con una scadenza e il nome del proprietario del rischio, cioè di chi ha la responsabilità e l'autorità di gestirlo [2].
\nUna riga senza un nome accanto non è una risposta, è un'intenzione.
\n![\"Diagramma](\"/article-assets/risk-management/risk-management-quattro-risposte.jpg\")
Un registro compilato bene una volta e uno riletto ogni trimestre hanno lo stesso valore?
\nI numeri dicono che il primo caso è quello frequente.
\nFra il 2022 e il 2024 la quota di imprese con almeno dieci addetti che dispone di documenti su misure e procedure di sicurezza informatica è scesa dal 48,3% al 35,9%, vicino al valore del 2019 [4].
\nNello stesso anno le pratiche di valutazione del rischio informatico si fermano al 36,9% delle imprese [4].
\nIl documento si scrive nel momento di attenzione e invecchia nei mesi in cui non lo riapre più chi lo ha scritto.
\nTre elementi lo tengono vivo.
\nUn ritmo dichiarato. Trenta minuti a trimestre, dentro una riunione che esiste già, con il foglio proiettato e una sola domanda per riga: è cambiato qualcosa?
\nUn responsabile del registro. Una persona che convoca la rilettura, aggiorna le righe e le chiude — figura distinta dai proprietari delle singole righe.
\nEventi che aprono una revisione fuori calendario. Un cliente che supera una soglia di fatturato, un impianto nuovo, l'uscita di una persona che teneva un'attività da sola, un fornitore che cambia condizioni di pagamento.
\nNella rilettura si chiudono le righe non più attuali annotando data e motivo, si spostano quelle a cui è cambiata la probabilità, si aggiungono quelle nate nel trimestre.
\nLa chiusura conta quanto l'apertura: un registro che cresce senza chiudere righe diventa illeggibile nel giro di un anno, e un foglio illeggibile viene smesso.
\nIl formato di arrivo sta in sette colonne — zona, evento, probabilità, impatto, risposta, azione con scadenza, proprietario — più la data dell'ultima revisione in testa al foglio.
\nChi tiene già un cruscotto di indicatori può agganciare la rilettura allo stesso appuntamento del controllo di gestione, invece di aprire una riunione nuova.
\nUn foglio con dodici righe generiche e uno con cinque righe che nominano persone e date: quale fa prendere una decisione il lunedì?
\nI quattro errori qui sotto si riconoscono leggendo le righe, non discutendo il metodo.
\nScrivere categorie al posto di rischi. «Crisi di mercato», «problemi con i fornitori», «cyber» sono titoli di capitolo: una riga così non si può pesare né assegnare.
\nLa descrizione di un rischio, nel vocabolario della materia, contiene quattro elementi — fonte, evento, cause e conseguenze [2].
\nIl gesto è riscrivere la riga come frase compiuta: chi o che cosa, che cosa accade, con quale conseguenza per l'azienda.
\nTenere sullo stesso foglio ciò che può succedere e ciò che è già successo. Le due liste hanno ritmi diversi, e mescolarle fa perdere entrambe.
\nCiò che è accaduto si tratta con la gestione delle non conformità quando riguarda prodotti o servizi fuori requisito, e con l'analisi delle cause radice quando conviene capire perché è successo.
\nIl registro dei rischi guarda avanti e resta corto; l'altro guarda indietro e cresce.
\nPesare con numeri più fini del criterio. Le scale a dieci livelli e i decimali danno l'impressione di una misura e costano riunioni passate a discutere se una riga valga 6 o 7.
\nIl gesto è tornare a tre livelli con le definizioni scritte in testa al foglio.
\nAccettare per omissione. Le righe senza risposta scelta sono accettazioni che qualcuno avrebbe dovuto decidere, e si scoprono nel momento peggiore.
\nIl gesto è la regola che chiude la revisione: ogni riga esce con una delle quattro risposte e un nome accanto, oppure viene chiusa.
\nIl controllo finale è di stabilità: se cambiando la persona che compila il foglio le prime cinque righe restano le stesse, il registro descrive l'azienda; se cambiano, descrive chi lo sta scrivendo.
\nIl testo integrale della ISO 31000:2018 è a pagamento: le definizioni citate provengono dalle sezioni informative pubblicate sulla piattaforma ufficiale ISO — scopo, introduzione e termini — e non dalle clausole normative [1].
\nLe definizioni di trattamento, criteri e registro provengono dalla ISO Guide 73:2009, il vocabolario ISO del risk management: è una norma ritirata, la cui funzione è stata assunta dalla ISO 31073:2022, e viene citata soltanto perché il testo vigente non espone quei termini in consultazione libera [2].
\nI dati ISTAT e Banca d'Italia descrivono popolazioni di imprese [3] [4] [5]: mostrano quanto certe dipendenze siano diffuse, non dimostrano nessi causali né come i rischi si distribuiscano dentro una singola azienda.
\nLe scale a tre livelli ordinano le righe, non le misurano: la matrice non è uno strumento di stima.
\nLo scenario del distretto meccanico è costruito per l'articolo e non rappresenta un caso rilevato.
\nLa valutazione dei rischi per la salute e la sicurezza dei lavoratori segue il D.Lgs. 81/2008 [6] e produce il documento di valutazione dei rischi, con obblighi propri: il registro descritto qui non lo sostituisce e non lo integra.
\nIl rischio finanziario in senso proprio — tasso, cambio, credito — richiede competenze e misure diverse da quelle organizzative.
\nUn evento raro ma con conseguenze gravi per la sicurezza delle persone o per obblighi di legge esce dalla logica del peso relativo e si tratta subito.
\nÈ l'insieme delle attività coordinate con cui un'organizzazione si dirige e si controlla rispetto al rischio, dove il rischio è l'effetto dell'incertezza sugli obiettivi [1].
\nIn pratica significa scrivere che cosa può andare storto, quanto pesa e chi fa che cosa quando accade.
\nLa valutazione dei rischi è una parte del risk management: comprende l'identificazione, l'analisi e la ponderazione dei rischi [2].
\nIl risk management include anche la scelta della risposta, la sua attuazione, il monitoraggio e la registrazione.
\nLa ISO 31000:2018 è un documento di linee guida, adattabile a qualunque organizzazione e non specifico per settore [1].
\nNon contiene requisiti certificabili, quindi una certificazione aziendale ISO 31000 non esiste.
\nNella definizione ISO è la registrazione delle informazioni sui rischi individuati [2].
\nNella pratica di un'azienda di piccole dimensioni sono sette colonne: zona, evento, probabilità, impatto, risposta scelta, azione con scadenza, proprietario della riga.
\nNo: il documento di valutazione dei rischi riguarda la salute e la sicurezza dei lavoratori, segue il D.Lgs. 81/2008 [6] e ha obblighi propri.
\nIl registro descritto qui è uno strumento organizzativo interno e vive accanto a quel documento, non al suo posto.
\nIl punto di partenza è una distinzione: ciò che è già accaduto sta su un foglio, ciò che può accadere sta su un altro.
\nLe righe si cercano in cinque zone — le persone, i fornitori e i clienti, le scadenze, la cassa, gli impianti e i dati — con una domanda concreta per ciascuna.
\nOgni riga nasce come frase compiuta: chi o che cosa, che cosa accade, con quale conseguenza per l'azienda.
\nIl peso si assegna su tre livelli di probabilità e tre di impatto, con le definizioni scritte in testa al foglio e il test di due persone che collocano la stessa riga nella stessa casella.
\nDavanti a una riga pesata le risposte sono quattro: evitare, ridurre, trasferire, accettare consapevolmente — e possono coesistere sulla stessa riga, purché ciascuna decisione abbia una data.
\nOgni riga esce dalla riunione con una risposta, un'azione con scadenza e il nome di chi la gestisce: senza nome è un'intenzione.
\nIl foglio si rilegge trenta minuti a trimestre dentro una riunione che esiste già, e fuori calendario quando cambia qualcosa di grosso: un cliente sopra soglia, un impianto nuovo, l'uscita di una persona chiave.
\nNella rilettura si chiudono le righe superate, si spostano quelle cambiate e si aggiungono quelle nate nel trimestre: la chiusura conta quanto l'apertura.
\nIl risk management non è la previsione di ciò che accadrà: è il lavoro di rendere visibile ciò che oggi dipende da una sola persona, da un solo fornitore o da una sola scadenza, e di decidere in anticipo chi fa che cosa quando accade.
\nIl registro è il posto in cui quella visibilità prende una forma leggibile: cinque zone in cui cercare, due colonne per pesare con un criterio dichiarato, quattro risposte possibili, un nome e una data accanto a ciascuna.
\nLe definizioni che reggono il metodo sono poche e pubbliche — rischio, criteri, trattamento, rischio residuo — e la ISO 31000 le mette in fila senza chiedere certificazioni [1] [2].
\nChi cerca la cornice in cui questo lavoro si colloca la trova nella pianificazione strategica; chi parte invece da ciò che già va storto senza che qualcuno lo abbia scritto comincia dal problem finding.
\nDopo tre o quattro revisioni trimestrali cambia il tono delle riunioni.
\nLe sorprese non finiscono, ma smettono di essere sorprese per intero: quando la persona che teneva un'attività da sola se ne va, esiste già il nome di chi la affianca da mesi, e quando il fornitore principale cambia condizioni esiste già un secondo preventivo in cartella.
\nÈ la differenza fra un'azienda che reagisce a ciò che capita e una che ha deciso prima, con il foglio davanti, che cosa valeva la pena evitare, ridurre, trasferire o tenersi.
\n\n[1] ISO, \"ISO 31000:2018 — Risk management — Guidelines\", International Organization for Standardization, comitato tecnico ISO/TC 262, seconda edizione, febbraio 2018, 16 pagine (riesaminata e confermata nel 2023). Sezioni informative — Introduzione, Scopo, Termini e definizioni — consultate sulla piattaforma ufficiale ISO Online Browsing Platform. Disponibile su: https://www.iso.org/standard/65694.html — testo informativo: https://www.iso.org/obp/ui/en/#iso:std:iso:31000:ed-2:v1:en
\n[2] ISO, \"ISO Guide 73:2009 — Risk management — Vocabulary\", International Organization for Standardization, ISO Technical Management Board Working Group on risk management, prima edizione, 2009 (norma ritirata; funzione di vocabolario assunta dalla ISO 31073:2022). Termini consultati sulla piattaforma ufficiale ISO Online Browsing Platform. Disponibile su: https://www.iso.org/obp/ui/en/#iso:std:iso:guide:73:ed-1:v1:en
\n[3] ISTAT, \"Censimento permanente delle imprese 2023: primi risultati\", comunicato stampa e report, 14 novembre 2023 (anno di riferimento 2022; circa 280mila imprese rispondenti, rappresentative di 1.021.618 imprese con almeno 3 addetti). Disponibile su: https://www.istat.it/comunicato-stampa/censimento-permanente-delle-imprese-2023-primi-risultati/ — PDF: https://www.istat.it/it/files/2023/11/REPORTCensimprese.pdf
\n[4] ISTAT, \"Imprese e ICT — Anno 2024\", statistica report, 17 gennaio 2025 (rilevazione sull'utilizzo dell'ICT nelle imprese con almeno 10 addetti). Disponibile su: https://www.istat.it/comunicato-stampa/imprese-e-ict-anno-2024/ — PDF: https://www.istat.it/wp-content/uploads/2025/01/Statreport_ICT2024-1.pdf
\n[5] Bencivelli, L., Mongardini, M., \"La sicurezza cibernetica delle imprese italiane: percezione dei rischi e pratiche di mitigazione\", Questioni di Economia e Finanza (Occasional Papers) n. 852, Banca d'Italia, giugno 2024, DOI 10.32057/0.QEF.2024.0852 (evidenze dalle edizioni 2016 e 2022 dell'Indagine sulle imprese industriali e dei servizi). Disponibile su: https://www.bancaditalia.it/pubblicazioni/qef/2024-0852/index.html — PDF: https://www.bancaditalia.it/pubblicazioni/qef/2024-0852/QEF_852_24.pdf
\n[6] Italia, \"Decreto legislativo 9 aprile 2008, n. 81 — Attuazione dell'articolo 1 della legge 3 agosto 2007, n. 123, in materia di tutela della salute e della sicurezza nei luoghi di lavoro\", Gazzetta Ufficiale, Serie Generale n. 101 del 30 aprile 2008, Supplemento Ordinario n. 108. Citato come perimetro normativo, senza attribuirgli contenuti: testo vigente su Normattiva — https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2008-04-09;81 — scheda dell'atto pubblicato: https://www.gazzettaufficiale.it/eli/id/2008/04/30/008G0104/sg