Analisi e Gestione del rischio...for dummies

Quante volte avete letto metodologie per l'analisi e la gestione del rischio? Spesso ci si perde in questa giungla di sigle, acronimi, concetti e alla fine si perde l'essenza di cosa è veramente il rischio e come gestirlo.

Analizzare il rischio connesso con un'attività, non vuol dire unicamente aprire un libro, scegliere la metodologia che più ci piace ed applicare pedissequamente tutti e soli i passi contemplati in essa. In realtà in ogni momento della nostra vita analizziamo i rischi connessi alle diverse attività in cui siamo coinvolti e cerchiamo di gestirli nel modo più opportuno.

Cerco di spiegarmi con un esempio:

Poniamo il caso di dover attraversare una strada. Che cosa facciamo? Guardiamo alla nostra sinistra per vedere se sopraggiungono macchine. Nel caso sopraggiungano, valutiamo la distanza che intercorre tra noi e la/le macchina/e, per capire se sia o meno "rischioso" attraversare la strada. Se decidiamo di sì, valutiamo allora la velocità della macchina e quindi attraversiamo ad una velocità opportunamente calibrata ai veicoli che sopraggiungono.

Pensiamo un attimo all'esempio appena fatto. Abbiamo valutato il rischio di essere investiti da un macchina, che quindi rappresenta per noi la minaccia (M). Sia P, tale che P>=0 e P<=1, la probabilità che, con un certo impatto (I), tale rischio si verifichi apportandoci un danno. Se la macchina non è visibile, allora P è circa zero, se invece è visibile ma lontana allora P è maggiore di zero, altrimenti se essa è visibile e vicina allora P e quasi uguale ad uno. Fino ad arrivare al tragico caso in cui la macchina è davanti a noi e se attraversassimo, P sarebbe pari ad uno e noi sicuri di suicidarci!

L'impatto relativo al rischio è di avere dei seri danneggiamenti o addirittura la morte. Possiamo formalizzare quindi l'impatto con una metrica di tipo "qualitativo", e quindi mediante una terna {H,M,L}, (rispettivamente: alto="morte", medio="seri danni", basso="escoriazioni") oppure con una metrica di tipo quantitativo, ovvero attribuire dei valori (anche monetari) all'impatto.

La vulnerabilità tramite la quale il rischio si realizza è proprio la nostra vulnerabilità fisica rispetto ad una automobile :-)

Queste delle definizioni relative al contesto in discussione:

• Rischio: è l'eventualità che una minaccia possa trasformarsi realmente in danno, comportando così un determinato impatto;

• Minaccia: un evento di natura dolosa o accidentale, che sfruttando una vulnerabilità del sistema, potrebbe provocare una danno;

• Vulnerabilità: una debolezza intrinseca o dovuta a condizioni di esercizio, che possa essere sfruttata da una minaccia per arrecare un danno;

• Danno: conseguenza negativa del verificarsi di un rischio o dell'attuarsi di una minaccia;

• Impatto: effetto sull'azienda o ente e sul suo business del verificarsi di una minaccia, quindi l'effetto reale del danno sul sistema.

L'eventualità del rischio è espressa dalla probabilità che questo rischio si realizzi in un danno con un certo impatto. Il rischio R è quindi uguale a P*I, dove R esprime il danno quantificato in maniera qualitativa o quantitativa.

Ora pensiamo anche alla gestione del rischio. Il rischio può essere gestito relazionando in modo opportuno la nostra velocità di attraversamento della strada con quella della macchina. Possiamo annullare il rischio decidendo di non attraversare la strada; possiamo massimizzare il rischio suicidandoci oppure possiamo gestirlo attraversando sulle strisce, in modo che in caso di urto potremmo essere risarciti, sempre che ci si salvi!

Quello che abbiamo fatto ora e che facciamo ogni volta che attraversiamo la strada è proprio quindi un'analisi e gestione del rischio. E lo abbiamo fatto senza metodologie e acronimi alieni :-)