Risk Assessment: Perché è importante per l’azienda

Al giorno d’oggi sono sempre di più le aziende che per tutelare il proprio business ricorrono ai sistemi più evoluti di Risk Assessment – letteralmente, valutazione del rischio. L’affermazione delle piattaforme di risk management, lo sviluppo del panorama dell’IoT, l’inasprirsi dei regolamenti e dei provvedimenti di legge di settore e l’aumento delle violazioni dei dati e della sicurezza nelle imprese, hanno permesso alle aziende di osservare la disciplina del risk assessment da una nuova prospettiva, considerandolo come un elemento essenziale a livello aziendale.

Cos’è il risk assessment nel dettaglio?

Perché è così importante per l’azienda?

In questo articolo vedremo più da vicino questo fenomeno, rispondendo in modo esaustivo ad entrambe le domande.

Risk Assessment: cos’è

Innanzitutto dobbiamo preliminarmente precisare che il termine assessment è un termine generico che non si applica soltanto al fenomeno del risk management. Di per sé indica semplicemente una valutazione che viene condotta su un determinato aspetto e a seconda del contesto. Questo termine viene quindi usato ogni volta che si deve compiere una valutazione che si basa sull’individuazione di fattori concreti e sul contesto.

Il processo di risk assessment individua quindi la valutazione del rischio, una delle fasi del più ampio processo di risk management. In particolare, il risk assessment è teso a individuare e analizzare i rischi al fine di capire quali siano le priorità di intervento per poi produrre azioni strategiche per attenuarli e/o contenerli. Il risk assessment rappresenta quindi il punto fondamentale della strategia di gestione del rischio.

All’interno delle grandi imprese, generalmente il processo di valutazione del rischio è condotto dal Chief Risk Officer. Sostanzialmente il Chief Risk Officer è il dirigente e si occupa dello studio e dell’attuazione delle fasi del processo di risk management. È quindi la persona di riferimento per i professionisti che in azienda si occupano di rischi, ma anche quella persona che individua gli strumenti e le azioni per una gestione integrata del rischio stesso.

Le fasi del Risk Assessment

A seconda dei rischi specifici del tipo di attività e delle regole di conformità applicate in un determinato settore, varia ampiamente il modo in cui viene condotta una valutazione del rischi. Tuttavia, sono cinque i passaggi generali che tutte le aziende tendono a seguire:

1. Identificare i pericoli

La prima fase del risk assessment è quella dell’identificazione di potenziali pericoli. Si tratta di situazioni che, se dovessero verificarsi, influenzerebbero in modo negativo la capacità dell’organizzazione di condurre il proprio business. Tra questi sono ad esempio incluse le interruzioni di corrente, gli attacchi informatici, le interruzioni di rete, i disastri naturali.

2. Determinare chi o cosa potrebbe essere danneggiato

Conclusa la prima fase, il passo successivo consiste nel determinare quali asset aziendali sarebbero negativamente influenzati se si realizzasse il rischio identificato. Le risorse aziendali ritenute a rischio possono includere la sicurezza dei dipendenti, la reputazione dell’azienda, le operazioni aziendali, i sistemi IT, le infrastrutture critiche.

3. Valutare i rischi e sviluppare idonee misure di controllo

Un’analisi dei rischi può concretamente aiutare l’azienda a identificare l’impatto dei pericoli sulle risorse aziendali, ma anche le misure da mettere in atto al fine di ridurre al minimo – o addirittura eliminare – gli effetti di questi rischi sulle proprie risorse. I potenziali pericoli includono azioni legali, perdite finanziarie, interruzione dell’attività, danni alla proprietà.

4. Registrare sempre i risultati

I risultati della valutazione del rischio devono sempre essere registrati dall’azienda e archiviati sotto forma di documenti ufficiali facilmente accessibili. Tali registrazioni devono includere dettagli sui potenziali pericoli, i rischi associati al verificarsi di tali pericoli e l’attuazione di piani per prevenire le minacce.

5. Aggiornare e rivedere regolarmente la valutazione del rischio (DVR)

I rischi, i potenziali pericoli e i relativi controlli, possono cambiare velocemente – anche in un lasso di tempo particolarmente ristretto. È quindi importante che le aziende aggiornino regolarmente il proprio risk assessment per potersi adattare al meglio a questi cambiamenti.

Risk assessment: un fenomeno flessibile

In questo contesto bisogna sempre tenere a mente che la valutazione del rischio non prevede delle procedure univocamente codificate. Le fasi che abbiamo elencato sono quindi variabili, ma è comunque sempre buona pratica partire dallo studio del contesto all’interno di cui si opera e da lì cercare di individuare le principali fonti di minacce. Queste due azioni risultano strettamente correlate tra loro, in quanto l’esperto di risk assessment può capire quali siano i rischi che si corrono analizzando proprio l’ambito operativo. In questa fase è quindi necessario condurre indagini e raccogliere dati a seconda di quale sia l’obiettivo reale della valutazione.

Naturalmente occorre studiare anche quali siano le relazioni che intercorrono tra asset, risorse umane ed elementi che risiedono all’esterno dell’azienda. Questo si traduce nell’analisi dei vari processi, individuando nei diversi workflow opportunità e criticità al fine di attenuare l’avverarsi di potenziali minacce e attivare procedure e strumenti che aiutino l’azienda stessa a prevenirle.

Tutti gli obiettivi del Risk Assessment

Anche gli obiettivi specifici variano in base al tipo di attività, al settore di appartenenza e alle norme di conformità pertinenti. Ecco però alcuni obiettivi comuni di molte società, indipendentemente dal tipo e dal settore di attività svolta:

• Determinazione del budget per mitigare o porre rimedio alle vulnerabilità identificate, le minacce e i rischi;
• Giustificare il costo delle contromisure di sicurezza per attenuare vulnerabilità e rischi;
• Sviluppare un profilo di rischio in grado di fornire un’analisi quantitativa dei tipi di minacce che l’azienda deve fronteggiare;
• Cognizione del ritorno sull’investimento, ovvero se i fondi vengono investiti in beni aziendali per compensare il potenziale rischio;
• Sviluppo di un accurato inventario delle risorse di dati e delle risorse IT;
• Assegnazione e identificazione di priorità e documentazione delle vulnerabilità, delle minacce e dei rischi per le risorse di produzione dell’azienda e per l’infrastruttura.

L’obiettivo finale del processo risk assessment è quello di valutare i pericoli e determinare l’intrinseco rischio provocato da tali minacce. La valutazione non deve quindi soltanto identificare i pericoli e i loro potenziali effetti, ma identificare anche le potenziali misure di controllo al fine di compensare qualsiasi impatto negativo sulle risorse e sui processi aziendali dell’organizzazione stessa.

Risk Assessment e compliance aziendale: il Modello 231

Il Modello 231 costituisce un paradigma utile a costituire tutti gli altri Modelli di compliance di cui un’impresa deve dotarsi. L’azienda deve porre alcuni fattori comuni –  come la valutazione dei rischi – e andare poi a differenziare le misure di gestione degli stessi rischi evidenziati a seconda delle esigenze normative specifiche.

Il coordinamento deve manifestarsi proprio in fase di redazione documentale ed assessment, per giungere ad un prodotto finito che rappresenti la fusione di tutti i modelli presenti in azienda.

Un Modello di modelli dal quale poter, di volta in volta, ricavare gli strumenti utili a gestire al meglio le attività aziendali e con il quale poter effettuare una concreta ed efficace gestione del rischio per non impattare negativamente sul funzionamento delle attività aziendali ed essere sicuri di risultare totalmente conformi con la compliance aziendale.