Un nuovo software promette di ridurre i tempi di lavoro, ma usa dati dei clienti e dipende da un fornitore esterno: l’opportunità è chiara, le conseguenze di un guasto o di una fuga di dati molto meno. Il risk management aiuta a decidere se procedere e con quali protezioni, purché la valutazione parta dagli obiettivi dell’impresa e non da una lista generica di pericoli.
Gestire il rischio significa proteggere gli obiettivi senza bloccare l’innovazione
- Parti dalla strategia: valuta gli eventi che possono compromettere ricavi, operatività, clienti o sviluppo.
- Definisci le priorità: combina probabilità e impatto, poi verifica quali rischi richiedono un intervento immediato.
- Controlla anche le dipendenze: cloud, strumenti di IA e fornitori possono creare esposizioni nuove o poco visibili.
- Assegna un responsabile: ogni azione di mitigazione deve avere una persona, una scadenza e un indicatore di verifica.
Collega ogni rischio a un obiettivo aziendale
Un elenco di minacce può sembrare completo e restare inutile. Per renderlo operativo, ogni rischio va collegato a un obiettivo: mantenere le consegne, proteggere il margine, lanciare un prodotto o rispettare un requisito contrattuale. Se manca questo legame, è difficile capire quale problema affrontare per primo.
Prendi un’azienda manifatturiera che valuta una piattaforma cloud per coordinare ordini e produzione. Il rischio non è semplicemente «il cloud potrebbe smettere di funzionare»: è l’eventualità che un’interruzione impedisca di pianificare i turni e ritardi le spedizioni. La formulazione lega la minaccia a una conseguenza che il management può misurare e gestire.
La norma ISO 31000:2018 propone principi e linee guida per integrare la gestione dei rischi nelle decisioni e nei processi dell’organizzazione; non è una norma di certificazione. Ritengo più utile adottarne la logica che inseguire una matrice perfetta: la valutazione serve se cambia una decisione concreta.
Usa una scala semplice per decidere cosa affrontare prima
Quando ogni reparto definisce il rischio a modo proprio, una minaccia remota può ricevere più attenzione di un problema frequente che blocca le consegne. Una scala condivisa riduce questa distorsione: per esempio, assegna a probabilità e impatto un punteggio da 1 a 5 e moltiplica i due valori per ottenere un indice iniziale. Il punteggio orienta il confronto, non predice il futuro.
Immagina che l’impresa valuti come «4» la probabilità di un’interruzione del gestionale e come «5» il suo impatto: il punteggio è 20. Se il ritardo nelle consegne è invece stimato con probabilità «2» e impatto «4», il risultato è 8. Con una soglia interna fissata, per esempio, a 15, il primo evento richiede un piano prioritario; il secondo resta monitorato, salvo nuove informazioni. Questi valori sono un esempio di metodo, non dati statistici né soglie universali.
Per evitare che il numero nasconda il contesto, registra anche la motivazione del punteggio, i controlli esistenti e il rischio residuo, cioè quello che resta dopo le protezioni. La IEC 31010:2019 raccoglie tecniche di valutazione del rischio: la scelta dello strumento dipende dalla decisione da prendere e dalle informazioni disponibili. Una matrice essenziale può bastare per una piccola impresa; un investimento irreversibile o una criticità per la sicurezza possono richiedere analisi più approfondite.
Cloud e intelligenza artificiale ampliano le dipendenze da presidiare
Il rischio digitale non riguarda soltanto attacchi informatici. Può dipendere dalla perdita di accesso a un servizio, da dati errati, da condizioni contrattuali poco chiare o da un fornitore che non garantisce il recupero delle informazioni. Se un processo essenziale passa su una piattaforma esterna, la continuità dell’impresa dipende anche dalle sue procedure di backup, assistenza e uscita dal servizio.
Secondo Istat, “Imprese e ICT – Anno 2025”, tra le imprese italiane con almeno 10 addetti l’uso di tecnologie di intelligenza artificiale è salito dall’8,2% nel 2024 al 16,4% nel 2025; nello stesso periodo, la quota che acquistava servizi cloud di livello intermedio o avanzato ha raggiunto il 68,1%. L’istituto segnala inoltre che la mancanza di competenze adeguate ha frenato quasi il 60% delle imprese che avevano valutato un investimento in IA senza poi realizzarlo. Il dato suggerisce di valutare insieme tecnologia, competenze e responsabilità operative: un progetto può fallire anche senza un attacco, se nessuno sa verificare gli output o intervenire quando il servizio si ferma.
Prima di introdurre una tecnologia, chiarisci quali dati tratta, chi può accedervi, come si ripristina il servizio e quale alternativa consente di continuare il lavoro. Se l’IA supporta una decisione rivolta a clienti o personale, identifica inoltre chi controlla i risultati e chi corregge gli errori: l’automazione cambia il processo, non elimina la responsabilità di governarlo.
Trasforma le priorità in azioni con un responsabile e una soglia
Una valutazione lascia il rischio dov’è se nessuno ha il compito di agire. Per ciascuna priorità, indica una misura, una persona responsabile, una scadenza e un segnale che faccia scattare una revisione. La misura può ridurre la probabilità, limitare il danno o trasferire una parte dell’esposizione, ma deve essere proporzionata al costo e al rischio residuo.
| Situazione | Possibile causa o conseguenza | Azione da valutare |
|---|---|---|
| Il gestionale è irraggiungibile e gli ordini non avanzano | Dipendenza da un solo servizio o tempi di ripristino non verificati | Definire una procedura temporanea, verificare il ripristino dei dati e assegnare un referente per l’escalation |
| Un fornitore critico annuncia ritardi ripetuti | Concentrazione degli acquisti o assenza di alternative qualificate | Stabilire una soglia di allerta, verificare le scorte essenziali e valutare una seconda fonte |
| Un sistema di IA produce risultati incoerenti | Dati incompleti, cambiamenti del modello o controlli insufficienti | Prevedere una verifica umana, registrare gli errori e sospendere l’uso nei casi che superano la soglia definita |
| La copertura assicurativa non include un’interruzione specifica | Esclusioni contrattuali o limiti non allineati allo scenario aziendale | Confrontare la polizza con i rischi mappati e valutare le lacune con un professionista |
Le soglie trasformano un piano statico in uno strumento di governo. Per esempio, puoi decidere che due ritardi consecutivi di un fornitore attivino una revisione delle scorte o delle alternative; la soglia va calibrata sui tempi di sostituzione e sui costi di fermo, non copiata da un’altra azienda. Una regola verificabile è più utile di un generico invito a “monitorare attentamente”.
Rivedi la mappa quando cambia il modo di creare valore
Una mappa dei rischi invecchia quando cambiano prodotti, fornitori, mercati o processi. Riesaminala dopo un cambiamento importante e a intervalli stabiliti, controllando se le ipotesi iniziali sono ancora valide e se le misure hanno funzionato. Un indicatore anticipatore, come il numero di ordini in ritardo o la quota di processi dipendenti da un solo fornitore, può segnalare un deterioramento prima che diventi un’interruzione.
Per mantenere il processo leggero, coinvolgi chi conosce il lavoro quotidiano insieme a chi decide budget e priorità. Se una misura costa più del danno plausibile, può essere preferibile accettare il rischio con consapevolezza; se invece mette a repentaglio un obiettivo essenziale o non esiste un piano di recupero, l’intervento merita precedenza. La scelta finale deve rendere esplicito che cosa l’impresa è disposta ad accettare e che cosa no.