Risk Management (Prima parte)

di Gianfranco Bonfante

Nel suo saggio "La società del rischio", Ulrich Beck, professore di Sociologia presso l'Università di Monaco e la London School of Economics, afferma che "la società di cui facciamo parte può essere definita come Società del rischio. Siamo stati fino ad oggi abituati a certezze che non sono più tali: la famiglia, la sicurezza del posto di lavoro, la sicurezza nazionale. L'impatto indiscriminato sulla natura delle azioni dell'uomo e le manipolazioni genetiche sono solo la punta dell'iceberg di un insieme di rischi che dobbiamo imparare a valutare e a gestire" ed individua come problema emergente la distribuzione del rischio, inteso "come modo sistematico di trattare le insicurezze e le casualità indotte e introdotte dalla modernità" .

Per comprendere appieno il concetto del rischio, occorre cogliere il significato di talune terminologie. Sicurezza: condizione oggettiva esente da pericoli e predisposta ad affrontare eventuali rischi. Pertanto la sicurezza (dal latino "sine cura", senza preoccupazione) può trovare definizione empirica come la "consapevolezza che l'evoluzione di un situazione non produrrà stati di carattere negativo"; asset: elementi che costituiscono il valore di una risorsa nell'ambito di una organizzazione; assessment: valutazione, determinazione del valore da assegnare ad un bene; evento: qualsiasi fatto, avvenimento o fenomeno che si è verificato o può verificarsi, di carattere determinante di una situazione oggettiva o soggettiva di natura interna (infrastrutture, persona, processi tecnologici) o esterna (economico, naturale, politico, sociale, tecnologico) al sistema d'impresa (che, sulla base di determinata probabilità di accadimento, è in grado d'influenzare negativamente o positivamente il processo attuativo della strategia ed il conseguimento degli obiettivi ad essa correlati. Interpretato nella sua negatività, l'evento assume natura di rischio; incidente: evento inatteso che concretizza una situazione di pericolo che interrompe, talvolta con gravi danni, una situazione di sicurezza; pericolo: situazione o motivo cui sono associati uno o più elementi capaci di compromettere, a diversi livelli di gravità, le condizioni di sicurezza. Esprime la potenzialità che un determinato bene o circostanza possa subire danno improvviso. Il termine pericolo è usato, unitamente ad altri termini, che ne definiscono origine o natura. Pericolo e rischio appartengono al linguaggio quotidiano equivoco, perché s'ignora che il carattere distintivo del pericolo è l'immanenza ed imprevedibilità di possibili eventi negativi; danno: conseguenza di un evento in grado di produrre la riduzione quantitativa o funzionale di un bene. Sulla prevenzione e riparazione delle lesioni di beni di svariata natura, svolge funzione essenziale buona parte del Diritto Civile, discrimine con quello Penale. Infatti nel Diritto civile assume essenzialità il risarcimento del danno che può essere di natura patrimoniale (danno emergente, che si quantifica secondo la perdita che ha subito il patrimonio, lucro cessante che fa riferimento ad una situazione futura ed afferisce al mancato guadagno conseguente alla situazione insorta con l'evento negativo). Esiste poi il Danno biologico, o alla salute, ed il Danno morale che non fanno parte della materia ora trattata.

Il rischio

Secondo la definizione della ISO/IEC 73, il rischio è generato dalla combinazione delle probabilità di un evento negativo e delle sue conseguenze (magnitudo), di natura prevedibile rispetto a quella più insita nel concetto di immanenza non prevedibile di pericolo. Tale combinazione costituisce la piattaforma dottrinale su cui s'incardinano tutte le altre componenti della security, che, a loro volta, ordinate in sottosistemi multifunzione, realizzano un Sistema di Security.

Risk management - E' la componente fondamentale delle politiche di Security, la cui finalità è di fornire gli strumenti per contenere l'esposizione ai rischi, soprattutto puri. A tale proposito occorre considerare che in ambito aziendale esiste un criterio macro per individuare i rischi: rischi puri (connessi ad eventi dai quali possono derivare solo perdite che si realizzano improvvisamente, constatabili nell'immediatezza e con riduzione del danno mediante istantanee misure economiche - es. attentato); rischi speculativi o strategici (connessi ad eventi negativi che si realizzano progressivamente nel tempo, i cui graduali effetti economici negativi sono constatabili tardivamente, e quindi non contrastabili con immediatezza - es. erronea impostazione di progetto industriale).

Rischio residuo - Il rischio non eliminabile viene definito rischio residuo e costituisce la differenza tra la sicurezza totale e la sicurezza possibile indicata come livello di sicurezza accettabile. Correnti autorevoli, che si occupano di scienza della sicurezza, non intendono prendere in considerazione, almeno in teoria, la previsione del rischio accettabile, soprattutto se sono coinvolte vite umane.

Scienza della Sicurezza - E' la disciplina che studia il rischio nelle sue varie forme dirette ed indirette e lo sottopone a valutazione (assessment) al fine di ridurlo, con impiego di strumenti procedurali e tecnici, fino a farlo tendere a zero. L'eliminazione del rischio è matematicamente impossibile perché le variabili del rischio sono molto estese ed imponderabili. Pertanto, è assai più aderente alla realtà parlare di minimizzare il rischio fino a farlo tendere allo zero. La scienza della sicurezza è di tipo multidisciplinare e ad essa fanno riferimento molte aree tematiche che analizzano aspetti particolari della vita delle persone, delle imprese, dei beni immateriali e materiali, creando un insieme organico di cognizioni e misure al fine di produrre come risultato la loro integrità (sicurezza). Pertanto ogni singolo aspetto deve essere sottoposto a specifica analisi del rischio per configurare la massima prevenzione al fine di attingere l'apice di sicurezza possibile.

Metodologia dell'Analisi dei rischi - Metodo di studio sistematico che, con l'ausilio di tool informatico, procedendo dal generale al particolare e scomponendo un tutto organico nelle sue parti, mediante un impiego razionale delle informazioni disponibili, identifica gli eventi di rischio, valuta gli aspetti economici, le prospettive di accadimento di danni in grado di incidere sulla integrità e disponibilità di un bene e pone in essere congrue misure per fronteggiarlo.

Di conseguenza, qualsiasi organizzazione di Sicurezza deve disporre di adeguato Risk Management ed istituire un Risk Management System in grado di esaminare tutte le fasi di una Risk Analysis, in modo da ottenere un quadro completo delle Vulnerabilità e dei Rischi presenti, individuando Indicatori di Rischio e Parametri di Priorità, nelle decisioni riguardanti le Salvaguardie da introdurre, basandosi sui loro costi e sulla loro efficacia. E' di estrema importanza: a) individuare una metodologia "standard" di acquisizione/valutazione; b) ottenere esaustive informazioni per validare il Profilo di rischio del Bene da tutelare; c) programmare un processo evolutivo del rischio nella strutturazione dell'architettura di Sistema che, conseguentemente, deve prevedere modularità delle componenti, al fine di poterle implementare in step successivi per ripartire la spesa totale. La scienza della Security, in Italia non ha mai goduto di sufficiente considerazione perché considerata costo aggiuntivo privo di ROI (Return on Investment). E' tutt'ora caratterizzata dalla contingenza, ovvero si attiva quando insorgono eventi gravissimi, tanto più gravi in quanto colgono impreparati. Vengono profuse risorse enormi, pressoché inutili in quanto calibrate per l'emergenza in atto, ma che serviranno molto poco per la prossima emergenza, che sarà al 90% diversa. Passata l'emergenza, si smantella o si lascia degradare l'organizzazione perché prevale l'evanescenza dei rischi futuri e l'illusoria, deleteria convinzione che la struttura posta in essere garantisca sicurezza indefinitamente. E' la forma più comune di carenza culturale del rischio, arco di volta della Sicurezza e dei relativi, multiformi processi di analisi dinamico-evolutivi.