Il sistema aziendale e il processo di Enterprise Risk Management: aspetti teorici e pratici

Diventa tassativo da parte del management, tentare di qualificare gli eventi aleatori e classificarli in appositi gruppi. Il primo passo dell’ERM è l’identificazione dei rischi (Risk Identification and Assessment), che ha come obiettivo, mediante analisi causa-effetto e analisi probabilità -impatto, di classificare tutti ciò che minacciosamente grava su una determinata azienda, progetto o attività.

Alcuni punti di rottura emergono nel riconoscimento dei rischi puri, per i quali si richiede una specifica conoscenza dei processi che caratterizzano l’azienda. Una modalità conveniente per inquadrarli sarà la mappatura completa del rischio, cioè un processo di segmentazione dell’impresa o un’attività-progetto in unità elementari, al fine di elencare tutti i possibili eventi avversi, che impattano negativamente sul loro funzionamento.

Questa fase, per essere vantaggiosa, deve essere fiancheggiata dal processo di identificazione, che si sostanzia nell’iscrizione dei rischi individuati in un registro (risk register), e nella redazione di una scheda descrittiva per ognuno di essi (risk description). Il compito del management è quello di analizzare la frequenza di manifestazione degli eventi attraverso il calcolo della probabilità associata al rischio, e valutare la gravità della perdita. L’attività di rilevazione, induce ad una valutazione sia quantitativa, definendo la probabilità e l’impatto, che qualitativa, descrivendo il rischio e capire quali effetti possa avere. Il compito del dirigenti in queste fasi è quello di determinare o meno la strategia di gestione del rischio.

Amministrare l’evento sfavorevole, significa tuttavia, definire qual è la propensione al rischio (Risk Appetite) dell’impresa, ossia il livello massimo di aleatorietà che sarà disposta ad accettare. Non esiste una regola prestabilita per quantificare la propensione al rischio, ma occorre solamente definire il corretto assetto organizzativo tra organi (Consiglio di Amministrazione, Comitato Rischi), funzioni aziendali (Chief Risk Manager), sistema di ruoli e di deleghe (accountability) destinati al governo dei rischi. Ultimo principio previsto dalla Treadway Commission è l’attività di monitoraggio e di controllo (Risk Monitoring). L’attività di Risk Monitoring consiste nell’osservare le variazioni dell’eco-sistema in cui un’impresa opera ed esaminare come le stesse incidano sul profilo di rischio.

A tal proposito si può parlare di:
(I) Monitoraggio ex ante: orientato allo studio dei fattori che influenzeranno il contesto aziendale, e anticipare il loro impatto sulle performance e sul grado di rischio dell’organizzazione.
(II) Monitoraggio ex post: finalizzato ad osservare, rilevare e comunicare tempestivamente il manifestarsi dei rischi aziendali.

La fase di monitoraggio risulta particolarmente efficiente, laddove coinvolga le diverse linee difensive organizzative, come i risk owner, tipicamente identificati nelle funzioni di linea (primo livello di difesa); gli standard setter individuati nella stessa funzione di risk management (secondo livello di difesa) e l’internal audit (terzo livello di difesa) che svolge il monitoraggio e controllo dei rischi. Il processo di ERM deve poi assicurare un adeguato flusso di rilevazioni periodiche sui rischi a tutti i soggetti coinvolti nelle tre linee difensive (Attività di Risk Reporting). Da ultimo, occorre adottare un sistema di controllo integrato, che non compete solamente al CRO ma a tutta la struttura aziendale, perché finalizzato ad individuare eventuali modifiche nelle strategie in fase di implementazione.

Le tipologie di controllo adottate possono essere di carattere:
(I) Preventivo: svolte in sede decisionale e possono impedire la realizzazione di alcune attività ritenute rischiose.
(II) Successivo: si realizzano in fase di implementazione della strategia o al termine del processo, per identificare errori o modifiche necessarie al perseguimento degli obiettivi. Si realizza mediante analisi degli scostamenti, cioè il confronto tra l’obiettivo e il risultato. Se la differenza, eventualmente presente tra i due, è legata a errori o a modifiche attuate in corso d’opera, si dovrà comprendere a chi attribuirne la responsabilità.