Negli ultimi tempi, si
parla, e si scrive, sempre più spesso dei temi del Risk Management (RM).
L’inserimento di logiche
del Risk Management nella norma (per ora nel DIS Draft International Standard)
ha, probabilmente, contribuito ad aumentare l’attenzione su questi temi.
Sicuramente, introdurre
logiche di Risk Management nei Sistemi di Gestione Qualità (SGQ) rappresenta
una importante evoluzione del concetto di qualità. Inoltre per quelle aziende
che avranno la voglia e l’oculatezza di integrare nel proprio SGQ le logiche di
Risk Management produrrà notevoli benefici. Di integrazione tra SGQ e RM ne ho
già parlato in questi post “Con la Iso 9001:2015 non saranno più previste leazioni preventive, ma è veramente così?” e "Quality and RiskManagement: l'esperienza del settore aeronautico".
Ma quale strada
intraprendere per integrare questi due elementi in modo efficace? Le montagne
di scritti su questi temi, non sempre hanno aiutato a fare chiarezza, lasciando
spesso la sensazione di avere a che fare con concetti enigmatici e sfuggenti
(la mia personale esperienza, almeno, è stata questa).
Spesso è mancata la
capacità di legare i diversi elementi del Risk Management, gli aspetti strategici
(o meglio, di alto livello) con quelli operativi, la distinzione, che deve
essere chiara, tra l’analisi di rischio, che rappresenta il punto iniziale del
Risk Management, con la condivisione dei risultati e delle informazioni legate
ai rischi, con le azioni di mitigazione del rischio, con il monitoraggio dei
risultati,…
Nonostante ciò, la
gestione di rischio è un’attività svolta quotidianamente in tutte le aziende, spesso
senza una vera formalizzazione o, peggio, senza sapere che lo stiamo facendo! Infatti,
non dobbiamo dimenticarci che i rischi sono all’ordine del giorno nelle nostre
imprese. il rischio di non essere pagati(rischio finanziario), il rischio di
non intercettare un lotto “non conforme” in un controllo a campione (rischio
operativo), emetter un documento (fattura, DdT, …) sbagliata, o non conforme
(rischio di non conformità), e così via, sono situazioni comuni, che cerchiamo quotidianamente
di gestire.
Il Risk Management è
ovunque, non è solo un elemento di alta strategia o da applicare in determinati
ambiti, per esempio il “Project Management”, ma è un ulteriore strumento nella
“tool box” del processo di compliance (agli standard, alla legislazione, alle
specifiche cliente,…), con il quale si cerca di migliorare e rendere più efficacie,
la nostra operatività quotidiana.
Il Risk Management non è altro
che un processo, che ha come obiettivo individuare potenziali pericoli, assegnare
loro dei pesi (priorità, impatto,…) e la conseguente adozione di misure di
controllo e mitigazione.
Oggi usiamo molti modi per
guardare da diverse angolature ai rischi a cui le nostre imprese sono
quotidianamente soggette, e ogni industria ha sviluppato diversi strumenti
basati sul rischio per soddisfare le loro specifiche esigenze di business.
Senza la prestesa di
essere esaustivi, di seguito alcuni strumenti utilizzati nel Risk Management:- Risk
Matrix:
attraverso una matrice, si applicano due metriche (tipicamente gravità
dell’impatto e probabilità di accadimento dell’evento) si ottiene un indice che
consente di dare un valore alla gravità dell’evento di rischio. Permette di avere
una percezione immediata della situazione di rischio analizzata. Non è uno
strumento di gestione, ma solo di analisi.
- Failure
Modes and Effects Analysis (FMEA – Analisi delle modalità di guasto e degli
effetti): è un metodo nato a supporto del processo di progettazione; si conduce
un analisi "what if" su uno scenario che prende in considerazione i
singoli componenti di prodotto analizzando (identificando) i punti di guasto
potenziali e gli effetti globali del guasto. Ad ognuno dei punti identificati
si valutano le azioni da attuare per la mitigazione dei rischi. Del metodo sono state sviluppate diverse
versioni, applicabili in contesto organizzativi.Il punto di forza è che in un unico strumento è
possibile analizzare il rischio, individuare azioni di mitigazione, valutare il
loro possibile impatto.
- Decision
Tree Analysis:
Questo è un altro metodo che delinea un "what if" scenario.
Rispondendo ad una serie di condizioni, è possibile seguire l'albero attraverso
esempi logici, e giungere a una decisione sul rischio complessivo. È
principalmente uno strumento a supporto delle decisioni che può trovare facile
applicazione nel Risk Management
- Hazard Analysis and Critical Control Points (HACCP - Analisi dei rischi e punti critici di controllo): utilizzato nell'industria alimentare, HACCP rompe un processo in fasi e conduce una analisi dei pericoli ad ogni passo; "Che cosa potrebbe andare male, e come possiamo controllarlo?" Per ogni rischio, un controllo è individuato e attuato e il piano di mitigazione del rischio. Pur avendo una applicazione ben precisa, l’industria alimentare, è un ottimo strumento per analizzare e gestire i rischi in un processo
- Bowtie
Risk Methodology:
Questo è un metodo progettato per valutare il rischio di eventi che hanno una
bassa probabilità di verificarsi, ma una alta gravità. È uno strumento molto
usato nel trasporto aereo, dove l'enfasi non è sul rischio di un evento, ma è
sulla misurazione dell’efficacia delle misure di mitigazione intraprese.
- Risk Register (Registro dei Rischi): Il registro dei rischi non è altro che un database dello storico degli eventi di rischio e dei oro effetti. Per ogni evento, e i relativo rischio associato, sono raccolti i dati per poi fornire trend e analisi su eventi futuri basate sul passato rischio di eventi simili.
Ovviamente per ognuno di
questi strumenti, e altri ancora, esiste un’ampia e specifica letteratura per tutti
gli approfondimenti del caso; obiettivo di elenco, è evidenziare alcuni
approcci già ampiamente conosciuti ed utilizzati, che rappresentano una base
per l’integrazione con il Sistema di Gestione Qualità.
La domanda naturale è
"Perché rischiare"?
Con i sistemi di
gestione della qualità abbiamo un’ampia visione su Azioni Correttive/Preventive,
che però non sempre riesce a soddisfare tutte esigenze delle diverse aree
aziendali. Culture, approcci, sistemi operativi diversi, richiedono una sorta
di “normalizzazione” dei metodi di intervento; l’uso di un approccio di Risk Management comune permette di
avere una sorta di collante tra le diverse aree.
Per fare ciò, bisogna tenere
ben presente alcuni aspetti:
- Il processo di Risk Management non è automatico, richiede persone. Tutti gli strumenti e le tecnologie a disposizione, sono solo un supporto! Le persone che prendono le decisioni ed attuano azioni potenzialmente rischiose.
- Il rischio è universale (in termini di focus aziendale). Non tutti i manager parlano di qualità; così come non tutti i manager parlano di salute e sicurezza; però, tutti i manager parlano di rischio. Attraverso la gestione di rischio, si crea un linguaggio universale utile a supportare al meglio i manager di diversi settori a prendere decisioni critiche.
Il Risk Management è
così lo strumento principale attraverso cui si garantiscono il rispetto delle
conformità nei diversi processi aziendali. come già è stato fatto per la 231, 626/81,
e altri, la gestione della qualità (ISO 9001), trarrà grandi benefici nel
formalizzare e implementare logiche strutturate di Risk Management, oltre a
quello che è già stato fatto
Questi sono i motivi per
cui la gestione delle compliance aziendali, nei diversi settori, è affidato al Risk
Management; attraverso gli strumenti di cui sopra, o altri, dimostrano come sia
possibile utilizzare il rischio come una sorta di compliance aziendale
condivisa.
L’uso di metriche
specifiche e strutturate (Key Risk Indicatori – KRI) da un lato facilità dall’altro
potenzia questo approccio.
Nella tabella seguente, i riferimenti degli standards ISO al Risk Management:
Il post è liberamente
tratto dal paper “The Risk and Compliance Paradigm: Risk Management’s Impact on
QMS” pubblicato da ETQ inc.
Nessun commento:
Posta un commento