Una prospettiva pratica sulla gestione dei rischi nella pianificazione strategica utilizzando l’ISO 31000 come standard guida.
Tendenze chiave che plasmano il panorama della gestione del rischio nel 2026
Stiamo monitorando attivamente le tendenze emergenti nella pianificazione strategica, in particolare il loro impatto sulla gestione del rischio.
Casi d’uso legati al rischio osservati nel 2025:
- Integrare la gestione del rischio nella strategia tramite l’approccio a cascata dei rischi aziendali in schede di valutazione strategiche e funzionali allineate, collegando rischi, scenari e KPI tra le funzioni.
- Integrare la gestione del rischio nell’esecuzione della strategia monitorando continuamente i controlli preventivi e di mitigazione tramite l’analisi bowtie all’interno di un unico framework di performance.
Ecco i cambiamenti nella gestione del rischio che ci aspettiamo di vedere nel 2026:
- Un numero maggiore di normative include esplicitamente requisiti per le pratiche di gestione del rischio. Il concetto di parti interessate sta diventando più diffuso nella gestione del rischio.
- La governance dell’IA viene adottata ampiamente per mitigare i rischi associati alla nuova IA generativa.
- Importanti violazioni dei dati (come quelle che hanno coinvolto Coupang, Aflac e l’University of Phoenix) hanno innescato un maggiore interesse per la validazione dei fornitori terzi.
- La persistente frammentazione geopolitica, le restrizioni commerciali e la volatilità macroeconomica stanno spingendo le organizzazioni nel 2026 ad ampliare e sottoporre a stress test i propri modelli di rischio, in particolare lungo la catena di fornitura.
- Gli eventi meteorologici estremi hanno ampliato l’interesse per il disaster recovery oltre l’IT di base.
Il rischio è un tema di tendenza nella comunità professionale. Stiamo osservando un aumento di conferenze su rischio e GRC negli Stati Uniti e in Europa. Condivideremo la nostra esperienza pratica nella gestione del rischio attraverso i previsti interventi alle conferenze.
Introduzione: Definire il rischio oltre la probabilità e l’impatto
Lo standard guida nel dominio della gestione del rischio è l’ISO 31000. È interessante osservare l’evoluzione della definizione di rischio dello standard nel tempo:
- La precedente definizione ISO di rischio: “Una possibilità o probabilità di perdita.”
- La definizione secondo ISO 31000:2018: “L’effetto dell’incertezza sugli obiettivi.”
Cosa è cambiato?
- La vecchia definizione menzionava la “perdita“; la nuova utilizza il termine “effetto.” Questo cambiamento implica potenziali effetti positivi e negativi, e sottolinea l’importanza degli intangibili come la percezione del cliente.
- La vecchia definizione usava “possibilità” e “probabilità” per descrivere la probabilità degli eventi. Nella definizione moderna, incontriamo l’ “effetto dell’incertezza,” anche spiegato come l’effetto della conoscenza incompleta. Questo approccio permette maggiore flessibilità nella definizione dei rischi, estendendosi oltre il modello “probabilità x impatto.”
- L’aggiunta del termine “obiettivo” alla nuova definizione evidenzia che i rischi sono definiti all’interno di un contesto specifico, prevenendo potenziali disallineamenti con la strategia complessiva.
Esploriamo l’applicazione pratica della gestione del rischio nella pianificazione strategica utilizzando i principi guida dello standard ISO.
1. Valutazione del rischio: sistematica e consapevole delle parti interessate
Mappa i possibili rischi attraverso un’analisi sistematica delle forze motrici e dei loro indicatori di segnale precoce nel contesto della strategia dell’attività e degli interessi delle parti interessate.
La linea guida generale dello standard ISO sottolinea che la valutazione del rischio dovrebbe essere sistematica e tenere conto delle opinioni delle diverse parti interessate.
Cosa significa in pratica?
Valutazione del rischio: Sistematico
Il concetto di valutazione del rischio ‘sistematico’ varia tra le industrie. Fondamentalmente, comporta il seguire processi e standard determinati, come:
- Regolarità della valutazione del rischio
- Quantificazione del rischio
- Assegnazione di individui responsabili
Di seguito, discutiamo come questo può essere implementato a livello operativo.
Valutazione del rischio: vista del parte interessata
Simile ad altri domini aziendali (considerare, ad esempio, la direttiva sul reporting di sostenibilità), lo standard ISO si concentra sulla definizione delle parti interessate e richiede di tenere conto delle opinioni delle parti interessate nella gestione dei rischi.
In pratica, ciò significa che le organizzazioni devono:
- Condurre un’analisi delle parti interessate per definire le parti coinvolte.
- Tenere conto degli interessi delle parti interessate quando si crea un modello di rischio nel contesto degli obiettivi.
Questo requisito standard è in linea con l’approccio che sosteniamo attraverso il nostro sistema di implementazione della strategia.
Gli utenti di BSC Designer troveranno il modello di analisi delle parti interessate nei loro account.
- L’elenco delle parti interessate può essere definito tramite Impostazioni > Organizzazione > Strategia.
- Le parti interessate dell’elenco saranno incluse nella lista ‘Responsabile‘ e possono essere assegnate a un obiettivo, rischio o piano di mitigazione del rischio.
Identificazione del rischio nel contesto degli obiettivi
Il passo successivo della valutazione del rischio è nominare il rischio specifico. Il nuovo standard ISO richiede che i rischi siano definiti nel contesto degli obiettivi. L’aspirazione dello standard è migliorare l’allineamento tra il rischio e il contesto aziendale.
Michael Rasmussen, un rinomato analista GRC, ha condiviso la sua prospettiva sulla gestione del rischio per la creazione di valore rispetto alla gestione del rischio per la conformità:
- “[Un buon strumento per la gestione del rischio] inizia con gli obiettivi dell’attività e mappa e gestisce il rischio nel contesto di quegli obiettivi (vero ISO 31000).”
Nella pianificazione strategica, invece di avere una scheda di valutazione del rischio separata, integra i rischi nelle schede di valutazione della strategia.
Quando si effettua la decomposizione strategica basata sul valore, si suddividono le ambizioni strategiche delle parti interessate in obiettivi e sotto-obiettivi più specifici. A questo punto, quantifichiamo gli obiettivi e definiamo i rischi per comprendere meglio il contesto aziendale con cui stiamo operando.
La maggior parte degli strumenti che utilizziamo per esaminare l’ambiente aziendale (fare riferimento al segmento di Analisi della Strategia sul diagramma) aiuterà naturalmente nell’identificazione dei rischi.
Per definire un rischio in BSC Designer:
- Seleziona un obiettivo esistente o creane uno nuovo.
- Scegli Aggiungi Rischio dal menu del pulsante Aggiungi.
- Compila i fattori rilevanti nel campo descrizione e utilizza la sezione Documenti per caricare eventuali documenti di supporto.
Per inserire i risultati dell’analisi del rischio:
- Seleziona l’indicatore Probabilità.
- Inserisci la stima iniziale del rischio nel campo Inerente.
- Inserisci il rischio accettabile nel campo Accettabile.
- Inserisci la stima attuale del rischio nel campo Residuo.
Ripeti i passaggi per l’indicatore Impatto.
Definire gli indicatori di segnale precoce
La causa principale del rischio è ciò che viene definito nell’ISO come l’effetto della “conoscenza incompleta”.
Come possiamo migliorare i nostri modelli di rischio nel contesto delle forze motrici?
Oltre agli indicatori di probabilità, definire indicatori di segnale precoce. Ad esempio, questi potrebbero essere indicatori di allerta precoce di crisi economiche o addirittura guerre. Traducendo le forze motrici generali in fattori più specifici, aumentiamo la possibilità di trovare un indicatore di allerta precoce affidabile.
Nella pianificazione strategica, distinguiamo questi indicatori predittivi/leading allineati con i fattori di successo dagli indicatori che misurano i risultati (indicatori ritardati).
Per creare un indicatore predittivo di segnale precoce in BSC Designer:
- Crea un nuovo indicatore.
- Passa alla scheda Contesto.
- Cambia il tipo di indicatore in “Leading”.
Risk Management Example. Questo indicatore non sarà preso in considerazione nel calcolo delle prestazioni del suo obiettivo padre, ma possiamo tracciarlo e usarlo per quantificare la scoperta del rischio o le iniziative di mitigazione del rischio.
2. Analisi del rischio: probabilità, impatto, vulnerabilità
Rendi i rischi più specifici quantificando attributi come probabilità, impatto e vulnerabilità.
L’analisi del rischio è una pratica ampia focalizzata sulla comprensione del rischio e dei suoi potenziali effetti sull’organizzazione. Di seguito, forniamo suggerimenti per l’analisi del rischio nel contesto della pianificazione strategica.
Definisci indicatore di probabilità/possibilità
L’indicatore di probabilità può essere definito:
- Qualitativamente, ad esempio, sulla scala [Basso, Medio, Alto] oppure
- Quantitativamente, ad esempio, sulla scala [0 al 100%].
La scala quantitativa è adatta per i casi in cui l’evento di rischio ha abbastanza dati empirici per stimare la sua probabilità su un certo periodo di tempo.
Risk Management Example. 
Gli utenti di BSC Designer possono definire unità di misura qualitative (una scala personalizzata [“Raro, Improbabile, Possibile, Probabile, Certo”]) che il software può convertire in valori specifici.
Risk Management Example. Indicatore di impatto del rischio
Simile all’indicatore di probabilità, possiamo definire l’indicatore di rischio quantitativamente su una scala da 0 al 100%.
Un’opzione alternativa sarebbe utilizzare una scala in dollari per l’indicatore di impatto del rischio.
Risk Management Example. Simile all’indicatore di probabilità, possiamo definire una scala quantitativa personalizzata per l’impatto:
Risk Management Example. Indicatore di vulnerabilità
La stima della probabilità del rischio e del suo possibile impatto non considera la sensibilità dell’organizzazione a questo tipo di rischio.
Quando si discute di indicatori di segnale precoce, abbiamo quantificato aspetti dell’ambiente aziendale che potrebbero prevedere lo sviluppo di certe forze trainanti. Nel caso della vulnerabilità, conduciamo un’analisi simile ma ci concentriamo sull’organizzazione e sulla sua infrastruttura.
Ad esempio, potremmo valutare le vulnerabilità esistenti della cybersicurezza attraverso simulazioni di guerra o simulazioni di attacco. Esempi più specifici possono essere trovati nell’articolo sulla cybersecurity.
La “vulnerabilità” può essere quantificata secondo il CVSS sulla scala da 0 a 10 con la funzione di ottimizzazione “Minimizzazione”.
Allineare il rischio con l’efficacia dei controlli interni
Un modo per stimare la probabilità o l’impatto di un rischio è valutare l’efficacia dei controlli interni.
L’efficacia dei controlli è convalidata da metriche ritardate. Se queste sono nella zona verde, possiamo aspettarci una stima del rischio inferiore.
Traccia i fattori tempo
Il cambiamento costante delle forze trainanti, così come le iniziative di prevenzione dei rischi, comporta cambiamenti nelle stime del rischio.
Monitora l’evoluzione del rischio nel tempo e annota idee rilevanti per il ciclo di apprendimento e miglioramento.
Per automatizzare questo in BSC Designer:
- Stabilisci un intervallo di aggiornamento per gli indicatori di rischio.
- Usa il calendario interno e il campo Valore per aggiornare l’indicatore con dati freschi.
- Usa il pulsante di commento per aggiungere note rilevanti all’aggiornamento.
3. Trattamento del rischio: decidere come rispondere al rischio
Implementa piani di mitigazione per i rischi e monitora il successo dell’implementazione con gli stati delle iniziative e degli indicatori di mitigazione del rischio.
Secondo le soglie stabilite di rischi accettabili e seguendo i risultati dell’analisi del rischio, i decisori formulano una strategia di risposta al rischio con opzioni possibili come:
- Rimuovere i rischi in quanto non rilevanti
- Monitorare all’interno del modello di rischio esistente
- Introdurre un piano di trattamento del rischio
- Mettere in discussione l’analisi del rischio
- Mettere in discussione il contesto (obiettivo o ambizione delle parti interessate)
In BSC Designer:
- Utilizza le iniziative di Mitigazione del rischio per scrivere piani di trattamento del rischio.
- Allinea l’indicatore di progresso con l’iniziativa di mitigazione del rischio.
- Utilizza il campo dello stato del rischio per indicare il suo stato attuale secondo il workflow di gestione del rischio accettato.
Esempio di Gestione del Rischio. - Aggiungi elementi aggiuntivi tramite la finestra di dialogo Iniziative (nuovi rischi, iniziative, razionali, ipotesi, risultati attesi)
- Aggiungi dati rilevanti per il trattamento del rischio, come budget, tempistiche, indicatore di progresso, persone responsabili
- Carica documenti di supporto pertinenti
4. Monitoraggio dei rischi: uno sguardo fresco all’esposizione al rischio
Traccia l’evoluzione dell’esposizione al rischio nel tempo con indicatori chiave di rischio e cruscotti.
Gli indicatori utilizzati per definire i rischi sono configurati per un certo intervallo di aggiornamento. I responsabili assegnati agli indicatori di rischio riceveranno notifiche sugli intervalli di aggiornamento imminenti e sugli aggiornamenti mancati.
È anche possibile visualizzare sul cruscotto gli indicatori che non sono stati aggiornati in tempo.
I dettagli di tutti gli aggiornamenti (persona che ha aggiornato, quando è stato effettuato l’aggiornamento, se il valore precedente è stato modificato) possono essere visualizzati tramite il registro di controllo per gli indicatori.
A livello della scheda di valutazione della governance, l’analisi regolare dei rischi può essere quantificata da un indicatore dedicato:
- Aggiungi il “Conduci una valutazione sistematica dei rischi” alla scheda di valutazione della governance.
- Configura l’indicatore per essere aggiornato trimestralmente o annualmente.
- Assegna la persona/squadra responsabile dell’analisi regolare dei rischi come responsabile di questo indicatore per ricevere promemoria via email sugli aggiornamenti imminenti.
- Allinea questo indicatore con gli indicatori corrispondenti dei livelli inferiori che quantificano le valutazioni dei rischi effettuate in aree specifiche.
Cruscotti
Oltre a monitorare con indicatori aggiornati regolarmente, considera di aggiungere un cruscotto con diagrammi pertinenti:
- Un diagramma con un elenco dei rischi, i loro stati, l’avanzamento del trattamento, le persone responsabili
- Diagrammi dedicati per i rischi più critici
- Diagrammi per l’indice di rischio e il suo cambiamento nel tempo.
Esempio di gestione del rischio. 
Indice di rischio ponderato
Uno dei mezzi più diffusi per segnalare gli incidenti di rischio è l’uso di un indice di rischio ponderato. Un semplice indice potrebbe apparire così:
- Eventi a basso impatto (peso = 5%)
- Eventi a medio impatto (peso = 15%)
- Eventi ad alto impatto (peso = 30%)
- Eventi critici (peso = 50%)
L’uso dell’indice aiuta a prevenire la manipolazione dell’indicatore mascherando eventi di alto valore con soluzioni di basso valore.
Risk Management Example. In BSC Designer:
- Usa il pulsante Aggiungi per creare una struttura gerarchica di indicatori.
- Usa la proprietà Peso nella scheda Performance per assegnare il peso rilevante agli indicatori.
Gestione del rischio su larga scala: registro dei rischi vs. definizioni dei rischi centrate sugli obiettivi
Quando si scalano le pratiche relative ai rischi, le organizzazioni tipicamente combinano questi due metodi di gestione dei rischi per bilanciare la visibilità dei rischi e l’allineamento:
- Utilizzando una scheda di valutazione del registro dei rischi per i rischi generali, e
- Concentrandosi su definizioni dei rischi centrate sugli obiettivi per rischi più specifici.
Risk Register. Analisi completa del rischio – Metodo Bowtie
In precedenza, ci siamo concentrati sull’analisi quantitativa di rischi specifici. Ma cosa succede se abbiamo bisogno di una comprensione più dettagliata delle incertezze relative a un particolare evento di rischio—uno che coinvolge molteplici minacce e conseguenze su varie dimensioni?
In questi casi, il metodo di analisi del rischio bowtie offre una visione chiara e strutturata di quello specifico evento di rischio, mappando non solo l’evento stesso ma anche i controlli di prevenzione e mitigazione.
Diapositive
Conclusione: integrare il rischio nella pianificazione strategica
Non stiamo più parlando di discipline separate di gestione del rischio, conformità e governance. Il rapido cambiamento dell’ambiente aziendale costringe le organizzazioni a cercare un quadro integrato di GRC.
Come delineato nel nostro Sistema di Implementazione della Strategia, l’implementazione pratica include:
- Scomporre problemi complessi in aree specifiche, gestite da schede di valutazione strategiche e funzionali dedicate.
- Formulare obiettivi con definizioni appropriate del rischio, indicatori e iniziative.
- Concentrare le schede di valutazione su aree di interesse, come la conformità, la sicurezza informatica o la catena di approvvigionamento.
Usa il modello Risk Management Example
BSC Designer aiuta le organizzazioni a implementare le loro strategie complesse:
- Iscriviti per un piano gratuito sulla piattaforma.
- Usa il modello
Risk Management Example come punto di partenza. Lo troverai in Nuovo > Nuova Scorecard > Altri Modelli. - Segui il nostro Sistema di Implementazione della Strategia per allineare stakeholder e ambizioni strategiche in una strategia completa.
Inizia oggi e scopri come BSC Designer può semplificare l'implementazione della tua strategia!
Alexis Savkin è un architetto della strategia e fondatore di BSC Designer, una piattaforma software per l’esecuzione della strategia con la Scheda di valutazione bilanciata al centro. Aiuta le organizzazioni a tradurre la strategia in obiettivi misurabili, indicatori chiave di prestazione e iniziative. Alexis è il creatore dello Strategy Execution Canvas, l’autore di oltre 100 articoli su strategia e misurazione delle prestazioni e un relatore abituale.