Enterprise risk management: applicazione del framework CoSO ad una realtà commerciale italiana

 8 
L’attenzione prestata da un numero sempre maggiore di imprese 
all’individuazione di adeguati modelli di risk management deriva dalla maggiore 
consapevolezza degli organi di governo aziendale che lo sviluppo di equilibri 
economici di lungo periodo, la creazione di valore e lo sviluppo del patrimonio 
imprenditoriale possano essere perseguiti solo attraverso una politica coerente 
e consapevole di gestione e controllo di tutti i rischi a cui  è sottoposta l’impresa 
nel suo operare. 
La capacità di identificazione, valutazione e controllo dei potenziali eventi di 
rischio (sia endogeni sia esogeni) rappresenta, infatti, un importante punto di 
forza dei processi di gestione, fattore determinante per il successo nel lungo 
termine3. 
Un buon risk management permette la comprensione dei potenziali 
aspetti positivi e negativi di tutti i fattori che possono influenzare 
l’organizzazione, incrementa la probabilità di successo della strategia riducendo 
l’incertezza sul raggiungimento degli obiettivi generali dell’azienda. 
Il 29 Settembre 2004 il Committee of Sponsoring Organization of the 
Treadway Commission (CoSO) ha presentato la versione definitiva del 
framework di Enterprise Risk Management (ERM), documento che definisce le 
linee guida e gli strumenti applicativi necessari alla realizzazione di un efficace 
sistema di analisi, valutazione e gestione dei rischi aziendali. 
L’ERM viene definito come: “un processo, posto in essere dal Consiglio di 
Amministrazione, dal management e da altri operatori della struttura aziendale; 
utilizzato per la formulazione delle strategie in tutta l’organizzazione; progettato 
per individuare eventi potenziali che possono influire sull’attività aziendale, per 
gestire il rischio entro i limiti del rischio accettabile e per fornire una ragionevole 
sicurezza sul conseguimento degli obiettivi aziendali4”. 
 Questo lavoro si propone di descrivere un intervento di Enterprise Risk 
Management effettuato presso una media impresa italiana. Si prenderanno in 
esame tutte le componenti del framework, le modalità di intervento e rilevazione 
utilizzate e le criticità riscontrate nell’implementazione del modello. 
                                               
3
 S.Fortunato, M.Livatino, P. Mantovano, N. Pecchiari; “L’Enterprise Risk Management” , pag. 
58. 
4
 “Enterprise Risk Management – Integrated Framework”, CoSO 2004. 
 9 
1.2 Il framework CoSO 
Il framework di ERM individua otto componenti ed i loro rapporti con gli 
obiettivi e l’organizzazione aziendale (vedi figura 1). 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Le otto componenti identificate sono: 
Tabella 1 – Le 8 componenti del framework CoSO 
1. Ambiente Interno Cultura, sensibilità al rischio e valori 
etici. 
2. Definizione degli obiettivi Gli obiettivi vengono suddivisi in 
quattro categorie: strategici, operativi, 
di compliance, di reporting. 
3. Identificazione degli eventi Individuazione degli accadimenti che 
possono produrre effetti positivi o 
negativi per il raggiungimento degli 
obiettivi aziendali. 
4. Valutazione dei rischi Stima della probabilità di accadimento 
e dell’impatto potenziale per ciascun 
evento di rischio identificato. 
5. Gestione dei rischi Identificazione delle opportune azioni 
necessarie a garantire l’allineamento 
tra rischio residuo (eccedente rispetto 
ai controlli in essere) e risk appetite 
dell’azienda. 
6. Attività di controllo Verifica del corretto funzionamento di 
tutte le attività di gestione dei rischi 
individuate dal management. 
Figura 1 - Rappresentazione del framework CoSO 
 10 
7. Informazione e comunicazione  Gestione del flusso informativo al fine 
di garantire una tempestiva 
informazione a tutti i soggetti coinvolti 
nel processo di gestione del rischio. 
8. Monitoraggio Valutazione e aggiornamento del 
modello di risk management 
individuato. 
 
A partire dal capitolo 2 saranno ripercorse tutte le otto componenti del 
framework CoSO relativamente all’azienda esaminata; in particolare si 
illustreranno le tecniche utilizzate ed i problemi riscontrati nell’applicazione sul 
campo del modello di ERM. 
1.3 Contenuti innovativi del framework CoSO 
Una delle principali innovazioni introdotte dal framework CoSO è il 
passaggio da un paradigma che interpretava le attività di controllo come 
compliance a leggi e regolamenti interni all’azienda5 ad una visione strategica 
del processo di gestione dei rischi. 
Il controllo interno incorpora così il più ampio processo di gestione dei rischi. 
A testimonianza di tale cambiamento, il recente aggiornamento del Codice di 
Autodisciplina6, pubblicato nel 1999 dal Comitato per la Corporate Governance 
delle società quotate, stabilisce che: 
“Il sistema di controllo interno è l’insieme delle regole, delle procedure e delle 
strutture organizzative volte a consentire, attraverso un adeguato processo di 
identificazione, misurazione, gestione e monitoraggio dei principali rischi, una 
conduzione dell’impresa sana, corretta e coerente con gli obiettivi prefissati”. 
Rispetto alla precedente concezione del controllo interno, che era spesso 
visto come una funzione secondaria volta al mero adempimento di obblighi 
legislativi, la funzione di risk management assume valenza strategica per 
l’azienda. 
Il risk manager non ha il solo compito di individuare i rischi cui l’azienda è 
esposta ed i migliori presidi per mitigarne gli impatti e la probabilità di 
accadimento, ma collabora con il top management nella definizione del profilo 
                                               
5
 Vedi “Internal Control – Integrated Framework”, CoSO 1992. 
6
 Marzo 2006. 
 11 
di rischio accettato dall’azienda. In sostanza la funzione di risk management è 
chiamata a partecipare alla definizione della strategia, per valutare che i rischi 
che l’impresa sta assumendo siano coerenti con la sua risk tolerance, cioè con 
la sua capacità di gestirli. 
 Un ulteriore elemento innovativo del framework ERM è rappresentato dal 
passaggio da una gestione frammentata dei singoli rischi, svolta a livello di 
singola funzione, ad una gestione integrata a livello di azienda. 
Spesso in azienda esiste un sistema di gestione dei rischi per ogni divisione, 
ma nessun sistema centralizzato di risk management. 
Questo modello organizzativo, oltre a produrre inevitabili inefficienze, si rivela 
altresì inefficace in quanto non è in grado di apprezzare l’esposizione al rischio 
dell’intera azienda e le interrelazioni tra i rischi esistenti a livello di singola 
funzione. 
L’aggregazione dei rischi, ai fini della definizione strategica degli obiettivi, 
e la loro suddivisione per area di responsabilità ai fini di gestione 
(accountability), rappresentano il core process dell’ERM7. 
A differenza dei tradizionali approcci di risk management, l’ERM rappresenta 
un’evoluzione verso la visione integrata dei rischi di impresa come fonte di 
vantaggio competitivo per l’azienda che lo implementa. 
 
 
 
 
 
 
 
 
 
 
 
 
                                               
7
 S.Fortunato, M.Livatino, P. Mantovano, N. Pecchiari; “L’Enterprise Risk Management” , pag. 
121. 
 12 
 Amministratore 
Delegato 
Responsabile B.U. 
Industriale 
Responsabile B.U. 
Marine 
Responsabile B.U.  
After Market 
Direttore Operativo 
Responsabile dei  
Sistemi Informativi 
Responsabile Qualità 
Dir. Amm.ne, Finanza,  
Controllo 
Responsabile B.U. 
Automotive 
1.4 Presentazione del caso aziendale 
Il presente lavoro analizza la realizzazione di un progetto di Enterprise 
Risk Management presso la RG srl8. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
La RG srl è la filiale commerciale italiana di un’azienda multinazionale 
tedesca9, produttrice di trasmissioni e componenti meccaniche per i settori 
Automotive, Marine e Industriale.  
 
Tabella 2 – Principali dati economici della RG Srl 
 2004 2005 
Fatturato 53 ml. di Euro 56 ml. di Euro 
Reddito Operativo 4 ml. di Euro 4,5 ml. di Euro 
Dipendenti 128 128 
 
La branch commercializza sul territorio nazionale i prodotti forniti dagli 
stabilimenti produttivi della casa madre, offre assistenza tecnica ai clienti e 
servizi di manutenzione sui prodotti venduti. 
                                               
8
 In questo lavoro si utilizza un nome di fantasia per tutelare la riservatezza delle informazioni 
aziendali. 
9
 Si evidenzia che la casamadre non è quotata sul mercato tedesco e non è quindi soggetta alla 
normativa KonTraG. 
Figura 2 - Organigramma aziendale 
 13 
La RG srl è attiva su quattro segmenti di business: 
− Automotive, in questo business la filiale italiana svolge il compito di 
intermediario tra il cliente e la casa madre nella fase di progettazione di 
nuovi prodotti; 
− After Market, riguarda l’attività di vendita di ricambi, l’offerta di assistenza 
tecnica e la gestione dei rapporti con le officine autorizzate localizzate in 
Italia; 
− Marine, comprende le attività di vendita di prodotti destinati sia alle 
imbarcazioni da diporto sia al segmento commercial; 
− Industriale, riguarda la vendita di prodotti meccanici ed elettronici per 
applicazioni industriali. 
Nella tabella 3 si riportano i principali processi gestiti dalla branch 
italiana, suddivisi in tre tipologie, core, di management e di supporto: 
 
Tabella 3 – Principali processi della RG srl  
PROCESSI CORE 
1. Vendita di prodotti di primo impianto e di ricambi 
2. Riparazioni effettuate presso l’officina aziendale 
3. Riparazioni effettuate presso il cliente 
 
PROCESSI DI MANAGEMENT 
1. Pianificazione operativa e strategica 
2. Finanza e Controllo 
3. Marketing 
4. Risorse Umane 
5. Gestione Clienti e Partner 
6. Gestione Qualità 
7. Comunicazione 
 
PROCESSI DI SUPPORTO 
1. ICT 
2. Logistica 
3. Contabilità e Amministrazione 
4. Ambiente, Sicurezza e Salute 
5. Servizi generali 
 
 
Nell’Aprile 2006 il top management ha deciso di avviare un progetto di 
ERM per acquisire maggiore consapevolezza della propria esposizione al 
 14 
rischio, complessiva e per singolo business, e per diffondere all’interno 
dell’azienda una cultura maggiormente sensibile alle problematiche di risk 
management. 
 Data l’inesperienza su tali tematiche la società ha deciso di avvalersi 
della collaborazione di consulenti esterni per la progettazione e 
l’implementazione del progetto. 
 Il presente lavoro descrive l’intervento effettuato relativamente alla sola 
Direzione Operativa, che costituisce il core business dell’azienda. Tale scelta è 
dettata dalla volontà di mantenere un livello di dettaglio abbastanza ampio da 
consentire una corretta comprensione delle tecniche di intervento utilizzate e 
delle criticità riscontrate nell’applicazione del framework CoSO ad una realtà 
aziendale.