I rischi sono ovunque, ma alcuni rischi contano più di altri. ISO 31000 (si apre in una nuova scheda), lo standard di gestione del rischio con la più ampia portata internazionale, definisce il rischio come “l’effetto dell’incertezza sugli obiettivi”. In qualsiasi azienda, le incertezze (sia al rialzo che al ribasso) abbondano e gli obiettivi possono variare dall'acquisto di una nuova stampante al lancio di un nuovo prodotto.
In questo post, offro linee guida che puoi utilizzare per misurare i rischi che contano. Lungo il percorso, sottolineo l’importanza della collaborazione nell’identificare, misurare e mitigare i rischi. Quando i reparti IT lavorano a stretto contatto con le loro unità aziendali, i rischi possono essere compresi e affrontati.
Identificare i rischi associati agli obiettivi strategici
Le organizzazioni IT sono responsabili dell’identificazione di un’ampia gamma di rischi, tra cui sistemi privi di patch, nuove varianti di malware, nuove tecniche di phishing e altro ancora. Anche se è importante tenere traccia di questi rischi, misurarli e dare loro priorità, è necessario considerare il loro contesto. Dopo tutto, il rischio derivante da una singola vulnerabilità di sicurezza può variare da un sistema all'altro.
Si consideri, ad esempio, due file server che mancano entrambi le patch più recenti per un'applicazione. Un file server memorizza i menu del pranzo per la caffetteria dei dipendenti. L'altro negozio di design di produzione per un nuovo prodotto che sarà introdotto il mese prossimo.
Chiaramente, il server con i documenti di progettazione è strategicamente più importante. Pertanto, i suoi rischi dovrebbero avere la priorità rispetto ai rischi che interessano il file server con il pranzo menu.
Da questo esempio, possiamo derivare una regola generale: qualsiasi rischio che metta a repentaglio un obiettivo strategico di alto livello ha la precedenza sui rischi che riguardano solo obiettivi di livello inferiore.
Data questa regola, il lavoro di misurazione del rischio inizia con l’identificazione degli obiettivi strategici della tua azienda. Quindi puoi esplorare l'infrastruttura IT che supporta il perseguimento di tali obiettivi da parte della tua azienda.
Pensala come una forma di analisi della catena di approvvigionamento. Stai tracciando il flusso di dati, persone e operazioni da un obiettivo di alto livello fino ai sistemi e ai processi IT specifici che aiutano l'azienda a raggiungere tale obiettivo. Questi sistemi e processi funzionano come una sorta di catena di approvvigionamento per gli obiettivi stessi.
Ad esempio, supponiamo che la tua azienda abbia un obiettivo di alto livello di fornire servizi finanziari affidabili e all'avanguardia attraverso un' App mobile. Chiaramente, il server web, i database e i moduli software che supportano questa App mobile sono strategicamente importanti. Qualsiasi rischio che potrebbe portarli offline sarebbe considerato importante, soprattutto se confrontato con un rischio per un'applicazione interna che non viene mai utilizzata dai clienti.
In questo caso, il team di gestione del rischio dell’azienda dovrebbe porre domande come:
- Quali sistemi e processi supportano direttamente l'affidabilità e l'innovazione della nostra App mobile per i servizi finanziari?
- Quali sistemi e processi consentono tali sistemi e processi?
- Qual è il sistema che fa funzionare l' App mobile?
Per misurare il rischio, identifica queste interconnessioni e tracciale secondo necessità in conformità con gli obiettivi e le capacità della tua azienda.
Non tutti i sistemi e i processi in questa “catena di approvvigionamento” sono ugualmente importanti. Per misurare i rischi all’interno della catena di fornitura stessa, assegnare un valore a tutto (che conta in considerazione della regola 80/20 ) dall’obiettivo di livello superiore al sistema o processo di supporto più basso.
Costruire una serie di rischi
Anche i tuoi obiettivi strategici devono essere confrontati e valutati. È raro che un’azienda li tratti tutti allo stesso modo.
Una volta identificati i tuoi obiettivi principali, assegna a ciascuno un valore lungo una sorta di intervallo. Ad esempio, in base alle conversazioni con il team esecutivo, potresti assegnare una crescita continua dei ricavi di almeno il 10% CAGR a un valore di 10 su un intervallo da 1 a 10, il che significa che è il più importante.
Al contrario, la conformità normativa potrebbe essere valutata come un 7. Ciò non significa che la conformità non sia importante per l’azienda. Significa solo che garantire la conformità è eccellente, ma non sarà la priorità di livello superiore che ha la precedenza su ogni altro investimento.
Successivamente, identifica le persone, i processi e le tecnologie coinvolte nel supporto di ciascun obiettivo strategico. Quindi, classificare l’importanza di ciascun fattore di supporto.
Per fornire ulteriori sfumature, è possibile stimare la probabilità che si verifichi un guasto specifico. Ad esempio, immagina che la tua azienda abbia un server web che supporta un' App mobile business-critical. Le probabilità che il server fornisca prestazioni inaccettabilmente lente durante un periodo di picco di utilizzo sono probabilmente superiori alle probabilità che lo stesso server soccomba a un'interruzione di corrente che blocca sia il sistema di alimentazione principale che quello di backup.
Moltiplicando il rango per il valore strategico del server (ad esempio, 7 su 10) per la probabilità di un rischio specifico (ad esempio, 50% o 0,5), è possibile iniziare a classificare i rischi e identificare quelli che richiedono un'azione più immediata.
Ad esempio, supponiamo che la probabilità che un server fornisca prestazioni lente sia del 40%, mentre la probabilità che un server si blocchi in un'interruzione di corrente catastrofica è solo del 2%. Se l'importanza del server classifica un 7 su un intervallo da 1 a 10, il valore di rischio per lo scenario di prestazioni lente sarebbe 7 per 0,40, che produce 2,8. Quindi il valore di rischio per lo scenario di interruzione di corrente sarebbe 7 per 0,02, che produce 0,14. Lo scenario di performance lenta, che ha il valore di rischio più elevato (2,8 vs. 0,14), è ovviamente il rischio che avrà bisogno di attenzione per primo.
L’importanza di collaborare per misurare il rischio
Eseguire questo tipo di valutazione del rischio richiede molto lavoro e un'apertura ad abbracciare l'ambiguità, il paradosso e l'incertezza. Include la raccolta di informazioni dettagliate su persone, processi e tecnologie in tutta l’azienda e la loro sintesi per comprendere cosa fare.
Realisticamente, nessuna singola persona o team conosce in anticipo tutti i dettagli e le vulnerabilità associate a tutti i sistemi e processi IT che supportano tutti gli obiettivi strategici dell’azienda. Il reparto IT dovrà chiedere aiuto.
Il mio consiglio: se stai valutando i processi e le tecnologie di un dipartimento, chiedi aiuto a quel dipartimento. Ad esempio, se si desidera comprendere i rischi che circondano le applicazioni del dipartimento delle risorse umane (HR), parlare con qualcuno delle risorse umane. Probabilmente conosceranno cose sulla loro applicazione che il team delle operazioni IT non conosce.
Quando parli con persone esterne al reparto IT, riduci al minimo l’uso del gergo tecnico. Quando si parla con i colleghi IT, è bene usare un linguaggio tecnico come “I vostri controlli sono operativi?” Ma al di fuori dell'IT, questo tipo di linguaggio è probabilmente fonte di confusione.
Quando parlo con persone non IT, generalmente parlo in termini di responsabilizzazione delle cose buone e prevenzione delle cose cattive. Chiedo loro anche lo scopo di un processo o di un’applicazione. Discuto gli obiettivi del nostro processo di gestione del rischio. E spiego come le nostre valutazioni del rischio possono aiutarli a portare a termine il lavoro e a realizzare i propri obiettivi di reparto aumentando la certezza di successo.
Un altro consiglio: non dire mai a qualcuno come fare qualcosa senza prima chiedere loro come pensano che dovrebbe essere fatto. Se imponi una soluzione, potresti perdere un'alternativa creativa. Potresti anche scoprire che le persone si rifiutano di seguire una nuova politica che li riguarda direttamente, specialmente se non tiene conto delle loro idee.
Una soluzione migliore: chiedi consiglio agli utenti aziendali. Quindi puoi trovare una soluzione di gestione del rischio che probabilmente supporteranno.
Risk la gestione è un problema aziendale, non solo IT
Quando le persone al di fuori del reparto IT si rendono conto che ti fidi di loro e che sei sinceramente interessato a ciò che hanno da dire, comunicheranno con te più liberamente. Saranno anche più propensi ad assumere la responsabilità delle soluzioni di gestione del rischio (si apre in una nuova scheda) che avete messo in atto congiuntamente.
Questa collaborazione continuativa è uno dei vantaggi dell'adozione di un approccio "sistemico" alla gestione del rischio attraverso l'integrazione. Non solo si scoprono i dettagli necessari per misurare i rischi in modo più preciso, ma si educano anche gli stakeholder dell'organizzazione sull'importanza della misurazione e della mitigazione del rischio. E puoi collaborare con questi stakeholder per sviluppare soluzioni che riducano al minimo i rischi identificati.
Risk inevitabilmente si rivelano alcune sorprese, e alcune potrebbero essere spaventose o Aha! momenti speciali. Ma la misurazione del rischio migliora quasi sempre la comunicazione tra i reparti. Può anche aiutare l'intera azienda a prendere decisioni migliori sulla riduzione dell'incertezza e sul raggiungimento degli obiettivi più importanti dell'azienda.
Leggete il primo blog di questa serie, Misurare ciò che conta: allineare la misurazione del Risk agli obiettivi aziendali. (si apre in una nuova scheda)
Scopri di più sulla soluzione di gestione del rischio di Tanium (si apre in una nuova scheda).
