Maturità ISO 31000 · Gestione dei rischi aziendali
La vostra gestione dei rischi situata su ISO 31000, tradotta in un piano d’azione quantificato.
10 ambiti, 159 domande, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità ISO 31000 · Gestione dei rischi aziendali
10 ambiti, 159 domande, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi ISO 31000:2018 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
La propensione al rischio è definita e utilizzata nelle decisioni dell’organizzazione?
- N1
Nessuna propensione al rischio formalizzata. Gli arbitraggi si fanno a giudizio, senza riferimento condiviso.
- N2
Una propensione compare nella politica di gestione dei rischi, ma resta generica e non è collegata a soglie utilizzabili.
- N3
La propensione è declinata in soglie per categoria di rischio, diffusa ai responsabili e citata nelle decisioni di investimento.
- N4
I superamenti di soglia attivano un’escalation tracciata verso il livello gerarchico competente, con decisione verbalizzata.
- N5
La propensione è rivista periodicamente in base agli incidenti, alle evoluzioni del contesto e della strategia, con uno storico documentato delle revisioni.
Azione per passare da N2 a N3
Tradurre l’enunciato di propensione in soglie quantificate per categoria di rischio, farle validare al comitato rischi del prossimo trimestre, poi integrarle nel modello di scheda di rischio e nel fascicolo di decisione di investimento.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ISO 31000.
Di cosa parla questo quadro di riferimento
ISO 31000 è la norma di riferimento per la gestione del rischio. Si articola in tre insiemi: dei principi (il rischio si gestisce in modo integrato, strutturato, adattato al contesto, inclusivo e dinamico), un quadro organizzativo (leadership e impegno, integrazione, progettazione, attuazione, valutazione, miglioramento) e un processo (definizione del contesto, valutazione in tre fasi con identificazione, analisi e valutazione, poi trattamento, registrazione, comunicazione e revisione). La versione 2018 ha snellito il testo e posto la leadership della direzione al centro del quadro. ISO 31000 fornisce linee guida, non impone requisiti certificabili.
La difficoltà nel governarla nasce proprio da qui. Quasi tutte le organizzazioni dichiarano di ispirarsi ad essa, poche sanno dire a quale livello di controllo si trovano. La mappatura dei rischi serve realmente agli arbitraggi di investimento, o vive di vita propria rispetto al piano strategico? Chi decide la propensione al rischio, e questa decisione è scritta da qualche parte? I rischi portati dalle filiali e dalle business unit vengono aggregati secondo una scala comparabile, o ciascuna applica una propria valutazione? Senza risposte, il comitato rischi discute di una lista, non di una traiettoria.
Una confusione ricorre spesso: ISO 31000 non è ISO 31010 né un sistema di gestione. ISO 31010 è il catalogo delle tecniche di valutazione, ISO 31000 è il quadro che indica come mobilitarle. E a differenza di ISO 9001 o ISO 27001, nessun organismo certifica ISO 31000. Altro elemento di contesto: il moltiplicarsi degli obblighi settoriali, DORA per la finanza, NIS 2 per la cybersicurezza, il dovere di vigilanza e la CSRD per i rischi extra-finanziari, spinge a unificare dispositivi finora separati. ISO 31000 fornisce proprio la grammatica comune, a condizione di essere applicata oltre il vocabolario.
La diagnosi di maturità pone una domanda diversa rispetto all’audit di conformità. L’audit chiede se il requisito è soddisfatto, sì o no. La diagnosi situa ogni pratica su una scala progressiva, dal gesto informale al dispositivo rivisto sulla base dei riscontri dell’esperienza, e nomina l’azione che fa passare al livello successivo. Su una norma di linee guida come ISO 31000, questa è l’unica lettura che produce una traiettoria utilizzabile in comitato.
In Datamensio, il quadro di riferimento è pronto all’uso e ne mantenete il controllo. L’IA adatta gli ambiti, le domande e la formulazione dei livelli in base al vostro settore e alle vostre dimensioni, oppure costruisce una declinazione a partire dalla vostra politica di gestione dei rischi e dalle vostre mappature esistenti. I modelli utilizzati sono selezionabili, anche tra offerte europee.
Norma di riferimento: ISO 31000:2018
Gli ambiti valutati
Principi e politica di gestione dei rischi
Esistenza di una politica validata, coerenza con i principi della norma, perimetro coperto, definizione della propensione e della tolleranza al rischio, aggiornamento.
Leadership e impegno della direzione
Sostegno della direzione generale, mandato conferito alla funzione rischi, risorse allocate, arbitraggi presi al giusto livello, ruolo del consiglio e del comitato rischi.
Integrazione nella governance e nella strategia
Articolazione con il piano strategico, considerazione del rischio nelle decisioni di investimento e nei progetti, inserimento nel ciclo di budget e nelle revisioni di performance.
Progettazione del quadro organizzativo
Comprensione del contesto interno ed esterno, ruoli e responsabilità attribuiti, linee di controllo, articolazione con l’audit interno, la conformità e la sicurezza.
Identificazione dei rischi
Fonti e metodi di identificazione, copertura dei rischi strategici, operativi, finanziari, extra-finanziari ed emergenti, frequenza delle revisioni, contributo delle funzioni operative.
Analisi e valutazione
Scala di valutazione comune, valutazione della probabilità e dell’impatto, distinzione tra rischio lordo e rischio netto, gerarchizzazione, criteri di superamento delle soglie.
Trattamento dei rischi
Scelta delle opzioni di trattamento, designazione dei responsabili, piani d’azione datati, monitoraggio fino alla chiusura, accettazione formale dei rischi residui.
Comunicazione e consultazione
Restituzione dei risultati al comitato rischi e al consiglio, formato e periodicità del reporting, dialogo con le parti interessate interne ed esterne, sensibilizzazione delle funzioni operative.
Monitoraggio e revisione del dispositivo
Indicatori di monitoraggio, soglie di allerta, attivazione delle rivalutazioni, integrazione degli incidenti verificatisi e dei riscontri di audit.
Miglioramento continuo
Riscontri dell’esperienza formalizzati, revisione del metodo e delle scale, confronto delle valutazioni nel tempo e tra entità, maturità del dispositivo stesso.
È disponibile una versione breve del quadro di riferimento, con 34 domande, per l’autovalutazione online. La versione completa comprende 10 ambiti e 159 domande.
Domande frequenti
ISO 31000 è certificabile?
No. La norma fornisce linee guida, non requisiti verificabili da un organismo. La diagnosi misura il vostro livello di maturità e prepara gli audit dei sistemi di gestione che esaminano l’approccio per i rischi, come ISO 9001, ISO 22301 o ISO 27001.
Che differenza c’è tra una diagnosi di maturità e un audit di conformità?
L’audit conclude con uno scarto o una conformità su un dato requisito. La diagnosi situa ogni pratica su una scala progressiva e nomina l’azione che fa salire di un livello. Su una norma di linee guida, questa seconda lettura è l’unica che produce una roadmap.
Quanto tempo richiede la valutazione?
La versione breve si compila in una sessione di lavoro. La versione completa, in modalità collaborativa con più contributori, si estende generalmente su una o due settimane, con la maggior parte del tempo dedicata alla raccolta degli elementi presso le direzioni interessate.
Si può adattare il quadro di riferimento alla nostra organizzazione?
Sì. Potete modificare le domande, la formulazione dei livelli, aggiungere i vostri ambiti o partire da una base vuota. L’IA può anche generare una declinazione a partire dalla vostra politica di gestione dei rischi e dalle vostre mappature. Il quadro di riferimento è vostro.
Come confrontare più filiali o business unit?
Lo stesso quadro di riferimento viene diffuso a ogni entità, il che rende i punteggi comparabili per ambito. Il benchmark situa ogni entità rispetto alle altre e rispetto alle proprie valutazioni passate. Una roadmap trasversale consolida i piani d’azione senza duplicarli.
Come si articola questa diagnosi con DORA, NIS 2 o ISO 22301?
Questi testi impongono dispositivi di gestione dei rischi che si basano sugli stessi principi. Una diagnosi ISO 31000 solida costituisce la base comune, con i quadri di riferimento settoriali che coprono poi i loro requisiti specifici. I piani d’azione si incrociano in una roadmap unica.
Serve competenza tecnica per rispondere?
Le domande riguardano le pratiche di governance e gestione, non metodi quantitativi. Un risk manager, un revisore interno o un controllore interno può rispondervi. La modalità collaborativa permette di assegnare le domande specifiche all’interlocutore giusto.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati sono selezionabili, anche tra offerte europee.