I rischi sono ovunque, ma alcuni sono più rilevanti di altri. ISO 31000 (si apre in una nuova scheda), lo standard di gestione del rischio con la più ampia diffusione internazionale, definisce il rischio come «l’effetto dell’incertezza sugli obiettivi». In qualsiasi azienda le incertezze (sia positive che negative) sono numerose e gli obiettivi possono variare dall’acquisto di una nuova stampante al lancio di un nuovo prodotto.
In questo articolo vi fornisco alcune linee guida che potrete utilizzare per valutare i rischi che contano davvero. Nel corso della presentazione, sottolineo l’importanza della collaborazione nell’identificazione, nella misurazione e nella mitigazione dei rischi. Quando i reparti IT collaborano strettamente con le rispettive unità aziendali, è possibile comprendere e affrontare i rischi.
Identificazione dei rischi associati agli obiettivi strategici
Le organizzazioni IT hanno il compito di individuare un’ampia gamma di rischi, tra cui sistemi privi di patch, nuove varianti di malware, nuove tecniche di phishing e altro ancora — l’elenco potrebbe continuare. Sebbene sia importante monitorare tali rischi, per misurarli e classificarli in ordine di priorità è necessario tenerne conto nel loro contesto. Dopotutto, il rischio derivante da una singola vulnerabilità di sicurezza può variare da un sistema all’altro.
Si considerino, ad esempio, due server di file sui quali mancano entrambi le patch più recenti per un’applicazione. Un file server contiene i menù del pranzo della mensa dei dipendenti. Gli altri negozi stanno realizzando i modelli per un nuovo prodotto che verrà lanciato il mese prossimo.
È evidente che il server che ospita i documenti di progettazione riveste una maggiore importanza strategica. Pertanto, i rischi ad esso associati dovrebbero avere la priorità rispetto a quelli che riguardano il file server contenente i menù del pranzo.
Da questo esempio è possibile ricavare una regola generale: qualsiasi rischio che metta a repentaglio un obiettivo strategico di alto livello ha la precedenza sui rischi che incidono solo su obiettivi di livello inferiore.
Alla luce di questa regola, il processo di valutazione del rischio inizia con l’identificazione degli obiettivi strategici della vostra azienda. Potrete quindi esaminare l’infrastruttura informatica che supporta il perseguimento di tali obiettivi da parte della vostra azienda.
La consideri come una forma di analisi della catena di approvvigionamento. State tracciando il flusso di dati, persone e operazioni partendo da un obiettivo di alto livello fino ad arrivare ai sistemi e ai processi IT specifici che aiutano l’azienda a raggiungere tale obiettivo. Tali sistemi e processi fungono da una sorta di catena di approvvigionamento per gli obiettivi stessi.
Ad esempio, supponiamo che la Sua azienda abbia l’obiettivo generale di fornire servizi finanziari affidabili e all’avanguardia tramite un’ App mobile. È evidente che il server web, i database e i moduli software che supportano questo sito mobile App rivestono un’importanza strategica. Anche qualsiasi rischio che possa causare l’interruzione del servizio verrebbe considerato rilevante, soprattutto se confrontato con un rischio che riguarda un’applicazione interna che non viene mai utilizzata dai clienti.
In questo caso, il team di gestione dei rischi dell’azienda dovrebbe porre domande quali:
- Quali sistemi e processi contribuiscono direttamente all’affidabilità e all’innovazione della nostra piattaforma mobile per i servizi finanziari App?
- Quali sistemi e processi rendono possibili tali sistemi e processi?
- Qual è il sistema che consente il funzionamento dell’ App e mobile?
Per misurare il rischio, identifichi tali interconnessioni e le analizzi, se necessario, in linea con gli obiettivi e le capacità della Sua azienda.
Non tutti i sistemi e i processi di questa “catena di approvvigionamento” rivestono la stessa importanza. Per misurare i rischi all’interno della catena di fornitura stessa, si attribuisca un valore a ogni elemento (rilevante ai fini della regola 80/20 ), dall’obiettivo di massimo livello fino al sistema o processo di supporto di livello più basso.
Definizione di una gamma di rischi
Anche i Suoi obiettivi strategici devono essere confrontati e valutati. È raro che un’azienda li tratti tutti allo stesso modo.
Una volta individuati i Suoi obiettivi principali, attribuisca a ciascuno di essi un valore compreso in un determinato intervallo. Ad esempio, sulla base delle conversazioni avute con il Suo team dirigenziale, potrebbe attribuire a una crescita continua del fatturato con un CAGR di almeno il 10% un valore pari a 10 su una scala compresa tra 1 e 10, il che significa che si tratta dell’elemento più importante.
By contrast, you might value regulatory compliance as a 7. Ciò non significa che la conformità non sia importante per l’azienda. Significa semplicemente che garantire la conformità è fondamentale, ma non costituirà la priorità assoluta che prevarrà su ogni altro investimento.
Successivamente, identifichi le persone, i processi e le tecnologie coinvolti nel sostegno di ciascun obiettivo strategico. Classifichi quindi in ordine di importanza ciascun fattore di supporto.
Per fornire ulteriori precisazioni, è possibile stimare la probabilità che si verifichi un guasto specifico. Ad esempio, immagini che la Sua azienda disponga di un server web che supporta un’ App mobile di importanza strategica per l’azienda. La probabilità che quel server presenti prestazioni inaccettabilmente lente durante un periodo di picco di utilizzo è probabilmente superiore alla probabilità che lo stesso server subisca un’interruzione di corrente che metta fuori uso sia il sistema di alimentazione principale che quello di riserva.
Moltiplicando il punteggio relativo al valore strategico del server (ad esempio, 7 su 10) per la probabilità di un rischio specifico (ad esempio, 50% o 0,5), è possibile sia classificare i rischi sia individuare quelli che richiedono un intervento più immediato.
Ad esempio, supponiamo che la probabilità che un server presenti prestazioni lente sia del 40%, mentre la probabilità che un server subisca un arresto totale a causa di un’interruzione di corrente catastrofica sia solo del 2%. Se l’importanza del server è pari a 7 su una scala da 1 a 10, il valore di rischio per lo scenario di prestazioni ridotte sarebbe pari a 7 moltiplicato per 0,40, il che dà come risultato 2,8. In tal caso, il valore di rischio relativo allo scenario di interruzione di corrente sarebbe pari a 7 moltiplicato per 0,02, il che dà come risultato 0,14. Lo scenario di rendimento scarso, che presenta il valore di rischio più elevato (2,8 contro 0,14), è ovviamente il rischio a cui occorrerà prestare attenzione in primo luogo.
L'importanza della collaborazione nella valutazione del rischio
Effettuare questo tipo di valutazione dei rischi richiede un notevole impegno e la disponibilità ad accettare l’ambiguità, il paradosso e l’incertezza. Ciò comporta la raccolta di informazioni dettagliate su persone, processi e tecnologie in tutta l’azienda e la loro sintesi al fine di comprendere quali azioni intraprendere.
Realisticamente, nessuna singola persona o team conosce a memoria tutti i dettagli e le vulnerabilità associati a tutti i sistemi e i processi informatici che supportano tutti gli obiettivi strategici dell’azienda. Il reparto IT dovrà chiedere aiuto.
Il mio consiglio: se state valutando i processi e le tecnologie di un dipartimento, chiedete aiuto proprio a quel dipartimento. Ad esempio, se desidera comprendere i rischi legati alle applicazioni del dipartimento delle risorse umane (HR), si rivolga a un responsabile del dipartimento HR. Probabilmente saranno a conoscenza di aspetti relativi alla loro applicazione che il team operativo IT non conosce.
Quando parlate con persone esterne al reparto IT, riducete al minimo l’uso del gergo tecnico. Quando si parla con i colleghi del reparto IT, è del tutto accettabile utilizzare un gergo tecnico, ad esempio: «I vostri controlli sono operativi?» Tuttavia, al di fuori del settore informatico, quel tipo di linguaggio rischia di creare confusione.
Quando parlo con persone che non operano nel settore IT, tendo invece a esprimermi in termini di promozione degli aspetti positivi e prevenzione di quelli negativi. Chiedo loro anche quale sia lo scopo di un processo o di un’applicazione. Illustro gli obiettivi del nostro processo di gestione dei rischi. E spiego in che modo le nostre valutazioni dei rischi possano aiutarli a portare a termine il proprio lavoro e a raggiungere gli obiettivi dei rispettivi dipartimenti, aumentando le probabilità di successo.
Un altro consiglio: non dica mai a qualcuno come fare qualcosa senza prima chiedergli come ritiene che dovrebbe essere fatto. Se imponete una soluzione, potreste perdere l’occasione di trovare un’alternativa creativa. Potreste inoltre constatare che le persone sono restie ad attenersi a una nuova politica che le riguarda direttamente, soprattutto se questa non tiene conto delle loro idee.
Una soluzione migliore: chiedere consiglio agli utenti aziendali. In tal modo potrete elaborare una soluzione di gestione del rischio che essi saranno probabilmente disposti a sostenere.
Risk La gestione è una questione aziendale, non solo una questione informatica
Quando le persone che non fanno parte del settore IT si rendono conto che avete fiducia in loro e che siete sinceramente interessati a ciò che hanno da dire, comunicheranno con voi in modo più spontaneo. Saranno inoltre più propensi ad assumersi la responsabilità delle soluzioni di gestione del rischio (si apre in una nuova scheda) che avete messo in atto congiuntamente.
Questa collaborazione continua rappresenta uno dei vantaggi derivanti dall’adozione di un approccio “sistemico” alla gestione del rischio attraverso l’integrazione. Non solo scoprirete i dettagli necessari per misurare i rischi con maggiore precisione, ma sensibilizzerete anche i soggetti interessati dell’organizzazione sull’importanza della misurazione e della mitigazione dei rischi. E avrete l’opportunità di collaborare con questi soggetti interessati per sviluppare soluzioni che riducano al minimo i rischi che avete individuato di comune accordo.
Risk Una misurazione porta inevitabilmente alla luce alcune sorprese, e alcune potrebbero risultare spaventose o far esclamare: «Ah, ecco!» momenti. Tuttavia, la misurazione del rischio migliora quasi sempre la comunicazione tra i vari reparti. Può inoltre aiutare l’intera azienda a prendere decisioni più oculate volte a ridurre l’incertezza e a raggiungere gli obiettivi più importanti dell’azienda.
Vi invitiamo a leggere il primo articolo di questa serie, “ : Misurare ciò che conta – Allineare la misurazione dell’ Risk agli obiettivi aziendali”. (si apre in una nuova scheda)
Per ulteriori informazioni sulla soluzione di gestione del rischio “ ” di Tanium, consultate il sito (si apre in una nuova scheda).
