La Gestione del Rischio a supporto della Statistica Pubblica Area Incontri Palazzo dei Congressi Roma, 21 Febbraio 2013 Fabrizio Rotundi | ISTAT Alessandro Hinna | Università di Roma «Tor Vergata»

L’Agenda L’avvio Il Metodo e lo Standard Il Sistema Il Progetto L’ambiente organizzativo La sperimentazione Dal Progetto al Processo La pianificazione Il controllo e il monitoraggio Lo sviluppo L’integrazione La collaborazione e la trasversalità

Perché fare Risk Management Orienta il controllo senza creare sovrapposizioni organizzative Si integra con i Sistemi di P&C e con le politiche organizzative Punta a migliorare la qualità dei servizi e dei prodotti Supporta i processi decisionali e di analisi dell’organizzazione Rafforza la trasparenza e la fiducia degli stakeholder Richiede un investimento iniziale in risorse e formazione Prevede il Re-thinking dell’organizzazione per processi Fortemente innovativo, con poche esperienze nella P.A.

Come fare Risk Management Il Sistema di Risk Management deve: essere costruito “su misura” considerare cultura e comportamento organizzativo essere sistematico e strutturato usare linguaggio comune e informazioni disponibili riguardare un ambito specifico essere parte di un processo decisionale valorizzare il patrimonio tangibile e intangibile essere trasparente e inclusivo essere dinamico e reattivo al cambiamento essere in grado di adattare i princìpi di base Fonte: BS ISO 31000:2009 Risk management. Principles and guidelines

Gli Obiettivi di Risk Management Il Sistema di Risk Management ha l’obiettivo di consolidare e tutelare: la posizione di leadership e il rapporto di fiducia tra “cliente” e “fornitore” l’efficacia e l’efficienza dei processi per rilasciare risorse alle priorità strategiche la soddisfazione degli stakeholder per la qualità dei servizi e dei prodotti i valori, il senso etico e la percezione di appartenenza all‘organizzazione gli asset organizzativi, rimuovendo gli ostacoli ai risultati e al miglioramento

L’approccio OBIETTIVI DEFINIZIONE SELEZIONE PRIORITÀ OBIETTIVI/ PROCESSI AZIONI RISPOSTA MONITORAGGIO MAPPATURA VALORE ECONOMICO PROCESSI/ RISK ANALYSIS RISK TREATMENT RISK ASSESSMENT RISCHI CONTROLLI CONTROLLO NEI PROCESSI CONTROLLI/ VULNERABILITA’ VALUTAZIONE DEL CONTROLLO E OBIETTIVI PRIORITARI INTENSITA’ DEI RISCHI AFFIDABILITA’ CONTROLLI INTERNI Approccio “PRO” Approccio “BASE” Approccio “AVANZATO”

CONTROLLI ASSET PROCESSI La scelta Processi e controlli progressivi Analisi processi e controlli su tutti gli ASSET Processi e controlli progressivi sugli ASSET Analisi Processi, controlli e poi estensione agli ASSET

Risk Vision Rischio Risk Management Evento che può avere un effetto negativo sugli obiettivi, misurato in termini di conseguenze e di probabilità (AS/NZS 4360:1999) Situazione o circostanza di incertezza sul raggiungimento degli obiettivi e dei programmi (FAA System Engineering Manual) Possibile evento che influenzerà negativamente il raggiungimento degli obiettivi (ERM - IF, COSO, 2004) Insieme della probabilità di un evento e delle sue conseguenze (UNI 11230 – Gestione del rischio) Risk Management Insieme della cultura, dei processi e delle strutture che contribuiscono a gestire in maniera efficace le potenziali opportunità e gli effetti avversi (AS/NZS 4360:1999) Identificazione valutazione e risposta al rischio per quanto riguarda un obiettivo specifico (ERM - IF, COSO, 2004) Insieme di attività, metodologie e risorse coordinate per guidare e tenere sotto controllo un’organizzazione con riferimento ai rischi (UNI 11230 – Gestione del rischio)

Risk Reduction Rischio inerente: Rischio in assenza di qualsiasi intervento Rischio residuo: Rischio rimanente dopo il trattamento che può contenere rischi non identificati Risk treatment: Selezione ed implementazione degli interventi sul rischio: trasferimento, rifiuto, riduzione probabilità e impatto, mitigazione, cancellazione Risk: Combinazione tra la probabilità di un evento e la sua conseguenza Fonte: PD ISO/IEC Guide 73:2002

Il Quadro complessivo Ambiente interno Ambiente interno Azioni di controllo per gestire i rischi Accettazione del rischio Monitoraggio continuo dei rischi Monitoraggio delle azioni di controllo Stima probabilità e impatto dei rischi Analisi quantitativa e qualitativa Risk perception Identificazione del rischio Analisi delle cause e dei fattori Risk Identification Risk Analysis / Assessment Risk Treatment Monitoring & Review Ambiente interno Azioni di controllo per gestire i rischi Accettazione del rischio Monitoraggio continuo dei rischi Monitoraggio delle azioni di controllo Stima probabilità e impatto dei rischi Analisi quantitativa e qualitativa Risk perception Identificazione del rischio Analisi delle cause e dei fattori Risk Identification Risk Analysis / Assessment Risk Treatment Monitoring & Review Ambiente interno

Gli Standard Fasi:

L’Enterprise Risk Management - ERM “L’ENTERPRISE RISK MANAGEMENT (ERM) è un processo attuato dagli Amministratori e dal Management di ciascuna struttura aziendale nell’ambito della definizione delle strategie e riguarda tutta l’organizzazione, al fine di identificare gli eventi potenziali che possono influenzare l’organizzazione stessa e gestire i rischi entro il livello ritenuto accettabile, al fine di fornire una ragionevole certezza del raggiungimento degli obiettivi“ Co.SO. - Enterprise Risk Management, IC/IF 1992/2004

Il Sistema di Risk Management in ISTAT Sperimentazione Survey sulla percezione del rischio Formazione del Catalogo Valutazione Comunicazione e Informazione Messa a regìme Aggiornamento Catalogo Programmazione Azioni di risposta Trattamento dei rischi Monitoraggio delle Azioni e del Sistema

Il Risultato della sperimentazione L’avanzamento del Progetto al 30/09/2012 !!! ISTAT: 99,4% Alto Medio Basso 100 100% Valutazione: Survey: 96% Catalogo: Totale 1. Survey 2. Catalogo 3. Valutazione

I risultati della Survey Profilo medio complessivo della Dirigenza Rischio e Direzione: componente importante nella programmazione e nello svolgimento delle attività proprie (Dim. A = 3,5) Rischio e Istituto: moderata diffidenza nell’attribuire un’analoga valutazione ai Dirigenti (Dim. B = 2,5) Maturità ambiente controllo Direzione: giudizio positivo sulla maturità dell’ambiente di controllo direzionale (Dim. C = 3,3) Maturità ambiente controllo Istituto: fiducia sullo sviluppo di un sistema di RM basato sulla configurazione vigente (Dim. D = 3,1) 0 = Nulla/scarsa  5 = Massima

L’identificazione Il Framework del Catalogo dei rischi rappresenta: attività, criticità ed effetti Sezione 1 - Analitica attività Sezione 2 - Rischio Sezione 3 - Effetti e risposte Macroattività Struttura responsabile Classe di rischio Rischio specifico Criticità interne Criticità esterne Effetto/ conseguenza Proposta intervento Rilevazione Numeri Civici (RNC) SCD/B E. organizzazione E.1.organizzazione attività Uffici regionali molto impegnati in altri progetti e manca la nomina dei referenti RNC • Modelli di rilevazione fatti con le basi territoriali della DCET (solo 344 già disponibili, 54 disponibili a breve, 106 entro novembre) Gli Uffici regionali non hanno le risorse formate per coordinare la RNC a livello sub regionale Iniziare con i Comuni i cui dati sono disponibili e rinviare l’inizio per gli altri (mancata RNC non pregiudica il censimento) Piano Generale di Censimento (PGC) DCCG J. esogeni J.1 Relazioni istituzionali Mancata comunicazione e diffusione del soggetto responsabile a redarre il PGC Criticità relative ai tempi di approvazione interna e alle eventuali modifiche • Per approvare il PGC e quindi attribuire le competenze a livello decentrato è necessaria la Conferenza Unificata con tempistiche convocazione lunghe e incerte I Comuni non possono inserire in bilancio preventivo le spese necessarie per fare il censimento • Separazione dell'approvazione dei contributi ai Comuni e dell'approvazione della rete organizzativa (entro 9/2010) Costituzione Uffici di Censimento (UCC) SCD/D • Occore l’approvazione del PGC • Manca la nomina dei referenti regionali RIT per carenza risorse negli Uffici Regionali Comune dell’Aquila; Comuni alluvionati di Messina; Ufficio regionale a Roma (non c’è più) Rischio ritardi nella costituzione della rete censuaria con conseguente ritardo: • nel reclutamento del personale ad hoc • nella formazione del personale della rete • nella richiesta delle LAC   Definizione fabbisogno e selezione del personale DCCG/U D. personale D.1. carenza personale • Selezione • Concorso • Costituzione commissioni • Graduatoria idoneità • Ricorsi • Richiesta proroghe da parte dei neo assunti che hanno posticipato l’inserimento Ritardo nell’inserimento del personale nell'attività produttiva • Attingere da liste aperte per velocizzare le procedure di reclutamento; • Avvio della formazione (anche per attività gestionali e amministrative collegate ai censimenti) Requisiti di selezione coordinatori e rilevatori SCD Tempi di elaborazione della proposta interna Ritardo nell'individuazione criteri selettivi e di tipologia di incarico conseguente al coinvolgimento del FP e del MEF Mancato reclutamento di rilevatori e coordinatori nei tempi previsti

La classificazione Responsabilità Responsabilità

La catalogazione Categoria V: Esogeno: eventi sul cui verificarsi l’organizzazione non può incidere

I risultati – Catalogo 2013 Rischi e criticità sono oltre il 96% del totale (il 100% nelle Aree di intervento prioritario) Circa il 78% degli eventi sono criticità: situazioni oggettive di inefficienza gestionale e/o operativa, trattabili con azioni di miglioramento organizzativo (oltre l’80% nelle A.I.P.) Circa il 4% delle problematiche differiscono per natura dagli aspetti “strettamente” organizzativi (statistica, informatica, esogena, politiche delle risorse, ecc.)

La valutazione – Il Metodo C&RSA La valutazione avviene secondo il Control & Risk Self Assessment (C&RSA), sulla base dell’impatto sull’organizzazione e della probabilità di accadimento; il prodotto dei due fattori produce il valore complessivo attribuito al rischio Nella struttura valutata viene individuato un campione di soggetti auto-valutatori rappresentativi qualitativamente e quantitativamente del processo su cui insiste l’evento critico; la valutazione di ciascuno ha uguale peso

La “griglia” di valutazione Esempio

La valutazione – La Risk Map (sperimentazione) Probabilità Impatto area di bassa gravità (verde): circa il 24% degli eventi critici massima priorità di intervento (rossa): circa il 18% degli eventi critici; costante monitoraggio (gialla): circa il 58% degli eventi critici, seppure con gradazione differenziata Eventi di tipo “operativo”, (esecuzione o supporto alla produzione): circa il 72%, sia di quelli nella “zona verde” che di quelli nella “zona rossa” e circa il 74% di quelli nella “zona gialla”; Eventi con valore massimo di probabilità e impatto: circa l’8% del totale, simile (7%) al valore degli eventi con probabilità e impatto minimamente percepibile

Il trattamento degli eventi critici: le proposte Azione di risposta: Azione finalizzata a eliminare o ridurre l'effetto dannoso dell'evento critico Caratteristiche Preventiva Azione indirizzata ad evitare l'eventuale verificarsi dell'evento critico oppure ad eliminare o ridurre gli eventuali effetti dannosi, prima che esso si verifichi Successiva Azione finalizzata ad eliminare o ridurre gli effetti dell'evento dannoso, successivamente al suo verificarsi Miglioramento Azione curativa o correttiva di una criticità che determina di fatto situazioni problematiche o conseguenze dannose per l'organizzazione Tipologia azione di risposta Interna La struttura responsabile dell'azione di risposta è interna alla Direzione Esterna La struttura responsabile dell'azione di risposta è esterna alla Direzione Trasversale L'azione di risposta coinvolge più strutture responsabili interne all'Istituto Responsabile Preventiva: per evitare l’evento dannoso o cercare di ridurne gli eventuali effetti azione di risposta

Il trattamento: i risultati (Programmazione 2013) Le azioni di risposta “propriamente” organizzative totali sono 466; (231 nelle Aree di intervento prioritario). il 58% delle proposte riguardano azioni di miglioramento dell’organizzazione o dei processi produttivi (circa il 62% nelle Aree di intervento prioritario); Quasi il 38% delle azioni possono essere attuate dalla struttura proponente (circa il 44% nelle Aree di intervento prioritario); Oltre il 38% delle azioni necessitano della collaborazione trasversale e congiunta di più direzioni (circa il 39% nelle A.I.P.) Azioni di risposta TOTALE Rischi e Criticità V.A. % su Tot. 450 100,0% 231 Per tipologia Preventiva 36 8,0% 24 10,4% Successiva 6 1,3% 3 Miglioramento 261 58,0% 143 61,9% Da approfondire 83 18,4% 42 18,2% Altro 64 14,2% 19 8,2% Per responsabilità Interna 170 37,8% 101 43,7% Esterna 44 9,8% 22 9,5% Trasversale 172 38,2% 89 38,5% Non attribuibile 466 Tutte le Aree Aree intervento prioritario

La Mappa delle interdipendenze La mappa degli interventi in collaborazione e delle interdipendenze è la “bussola gestionale” delle azioni “trasversali che coinvolgono due o più strutture Estratto dalla “Matrice delle collaborazioni trasversali”

Dal Progetto alla messa a regime del Sistema Cataloghi dei rischi Aggiornamento e completamento dei cataloghi 2013 Definizione delle azioni di risposta a tutti gli eventi inseriti nel catalogo Programmazione Inserimento delle Azioni di risposta selezionate nella Pianificazione Istituzionale Programmazione degli altri interventi Monitoraggio Monitoraggio delle azioni di risposta attraverso il Controllo di Gestione e gli altri gli strumenti dedicati Verifica dei sistemi di controllo dei rischi anche tramite la sperimentazione dell’Internal Auditing

Il Sistema di controllo Articolazione su 3 livelli: prima linea di controllo: Management (risk owner), con responsabilità e titolarità nel verificare e mitigare i rischi; funzioni gestionali-operative, per i controlli ordinari in itinere seconda linea di controllo: Ufficio di Risk Management, con il compito di facilitare e monitorare l’implementazione e presidiare il processo di ERM, in linea con gli obiettivi e un efficace monitoraggio terza linea di controllo: Internal Auditing, indipendente, con un approccio Risk- Based, per fornire una ragionevole garanzia sull’efficacia della valutazione e del controllo dei rischi e sul modo in cui operano la prima linea e la seconda linea

Lo sviluppo del Sistema Risk Management Aggiornamento e miglioramento Implementazione e verifica dei controlli applicati dalle strutture Rafforzamento dell’integrazione con il processo di pianificazione e controllo e con gli altri sistemi informativi gestionali Sviluppo della collaborazione con le strutture di Audit e di valutazione delle performance Realizzazione di un applicativo di supporto alla Gestione dei rischi

Comunicazione e Informazione – Reporting

Condivisione e (In)Formazione RI-CONOSCERSI La crescita della cultura organizzativa: risk.istat.it avvicina la gestione del rischio al miglioramento dell’organizzazione favorisce il passaggio dalla cultura del «need- to do» al «want-to do» in corso di aggiornamento … trasforma i soggetti coinvolti da «attori» ad «autori» del cambiamento contribuisce a sviluppare una coscienza comune tesa al rispetto dei valori etici condivisi Fornisce i mezzi per il controllo delle prescrizioni normative (p.e. anti-corruzione) La collaborazione tra Istat e Università “Tor Vergata” di Roma mira ad assumere e promuovere gli strumenti di ERM come occasione di apprendimento e sviluppo organizzativo, creando le basi per una piattaforma di condivisione di esperienze e conoscenze nel settore della P.A.

La rete dei Sistemi gestionali O. I. V. Organi di Governo Formazione e Comunicazione Supporto O.I.V. Internal Audit Risk Manager Qualità Controllo di Gestione ICT Valuta l’organizzazione Supporta la valutazione e il Controllo strategico Applica e gestisce il Sistema di Risk Management Sviluppa l’analisi e la qualità dei processi Stabiliscono obiettivi, dettano indirizzi, fissano il Risk Appetite Garantisce il monitoraggio delle azioni di risposta Verifica i Sistemi di controllo Sviluppa l’Audit e il Risk Management nell’informatica Contribuisce alla crescita della cultura organizzativa Stakeholder Pag. 31

Grazie per l’attenzione !!!! Dott. Fabrizio ROTUNDI ISTAT Direzione Generale – Ufficio DGEN/C rotundi@istat.it Prof. Alessandro HINNA Università di Roma «Tor Vergata» alessandro.hinna@uniroma2.it