Aeronautica Militare Ufficio Generale per il Controllo Interno FASE 3 - ENTI GRUPPO 1 Corso“formazione SGQ” IL Analisi e Gestione dei Rischi Roma, 29 gennaio 2010 Cap. GArn Franco BAGNOLI M.llo SL Paolo DI MARCO UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

Richiamare alcuni concetti chiave del Sistema di Gestione dei Rischi COMPITO Richiamare alcuni concetti chiave del Sistema di Gestione dei Rischi OBIETTIVO Fornire i criteri da applicare in ambito S.G.Q. concernenti l’Analisi e la Gestione dei Rischi SGQ UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 Contenuti Definizioni; Modello di riferimento (ERM); Autovalutazione (la pesatura dei rischi); Applicazione dell’ERM al SGQ. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

Oggetto, situazione o attività con il potenziale di provocare lesioni Definizioni PERICOLO Oggetto, situazione o attività con il potenziale di provocare lesioni al personale, attrezzature o danni alle strutture, perdita di materiale, o la riduzione delle capacità di eseguire una funzione prescritta. Un vento di 15 nodi traverso la pista. RISCHIO La possibilità di una perdita o danno misurati in termini di gravità e di probabilità. La probabilità che qualcosa accada e conseguenze associate. La possibilità che un pilota non sia in grado di controllare il velivolo durante il decollo o l’atterraggio, risultante in un incidente. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

OPPORTUNITA’ MINACCIA Definizioni OBIETTIVO Rappresenta la meta che si vuole raggiungere finalizzata all’espletamento dei compiti dell’Organizzazione (Mission), lo sviluppo e conseguimento delle capacità necessarie al raggiungimento dello stato futuro desiderato (Vision). RISCHIO Possibilità che si verifichi un EVENTO in grado di esercitare un impatto negativo sul conseguimento dell’OBIETTIVO. OPPORTUNITA’ MINACCIA UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

RISCHIO INERENTE RISCHIO RESIDUO Definizioni RISCHIO INERENTE CONTROLLO Qualsiasi mezzo utilizzato per aumentare la probabilità che gli obiettivi stabiliti vengano raggiunti, mitigando i rischi in modo adeguato. RISCHIO RESIDUO UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 Definizioni Controlli Obiettivi Rischi INERENTE UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

Tipologie di Controlli Definizioni Tipologie di Controlli PREVENTIVI DIRETTIVI SCOPRITORI UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

L’IA, essendo un’attività di assurance Definizioni Internal Auditing L’IA, essendo un’attività di assurance e di consulenza indipendente ed obiettiva, consente, nell’ambito del processo di gestione dei rischi, di assistere l’Organizzazione fornendo analisi, valutazioni, rapporti e raccomandazioni di miglioramento. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

Enterprise Risk Management (ERM) Modello di Riferimento Enterprise Risk Management (ERM) La gestione del rischio aziendale è un processo, posto in essere dal consiglio di amministrazione, dai dirigenti e da altri operatori della struttura aziendale, utilizzato per la formulazione delle strategie in tutta l’Organizzazione, progettato per: individuare eventi potenziali che possono influire sull’attività aziendale; gestire il rischio entro i limiti del rischio accettabile; fornire una ragionevole sicurezza sul conseguimento degli obj. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

Le dimensioni dell’ERM Modello di Riferimento Le dimensioni dell’ERM D2 D1 RISK POLICY RISK ASSESSMENT RISK MANAGEMENT RISK PREVENTION UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

Gli Obiettivi STRATEGICI: di natura generale, allineati alla Mission; Modello di Riferimento Gli Obiettivi STRATEGICI: di natura generale, allineati alla Mission; OPERATIVI: riguardano l’impiego efficace ed efficiente delle risorse; SGQ REPORTING: riguardano l’affidabilità delle informazioni fornite dal reporting; CONFORMITA’: riguardano l’osservanza delle leggi e dei regolamenti in vigore; UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 Modello di Riferimento I Componenti Ambiente Interno: rappresenta l’identità dell’Organizzazione, riflette il comportamento delle persone operanti a tutti i livelli; Definizione degli Obiettivi: gli obj devono essere coerenti con la Mission ed in linea con i livelli di rischio accettabile; Identificazione degli eventi: gli eventi interni ed esterni devono essere opportunamente identificati e distinti in opportunità e rischi; Valutazione del rischio: i rischi vengono valutati a secondo della loro probabilità di futura manifestazione e del loro impatto. Vengono valutati in termini di inerenza e di residualità; UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 Modello di Riferimento I Componenti Risposta al rischio: si valutano le risposte a ciascun rischio emerso (evitarlo, accettarlo, trasferirlo o mitigarlo) avviando interventi per allinearlo con i livelli di rischio accettabile; Attività di controllo: devono essere definite e realizzate politiche e procedure per assicurare che le risposte al rischio siano efficacemente eseguite; Sistemi di informazione e comunicazione: le informazioni devono essere identificate, raccolte e diffuse. Le comunicazioni devono essere efficaci e fluire attraverso l’intera struttura; Monitoraggio: l’intero processo deve essere sottoposto ad un continuo monitoraggio che ne verifichi il corretto ed efficace funzionamento. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

L’identificazione degli eventi Modello di Riferimento L’identificazione degli eventi METODOLOGIE I CATALOGHI DEGLI EVENTI (Liste di potenziali eventi comuni ad uno specifico settore) WORKSHOP DI INTERVISTE e QUESTIONARI (Control & Risk Self Assessment – CRSA) ANALISI DEI FLUSSI DI PROCESSO (Imput, Output, Attività e Responsabilità) ANALISI INTERNE (Informazioni fornite da clienti, esperti, consulenti, ecc.) UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

La classificazione dei rischi Modello di Riferimento La classificazione dei rischi METODOLOGIE CLASSIFICAZIONE PER FONTI (Ausilio dell’analisi SWOT e Mappatura processi) CLASSIFICAZIONE PER TIPOLOGIA (Rischi strategici, operativi e finanziari) CLASSIFICAZIONE PER PROCESSI UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

La identificazione e valutazione dei rischi Modello di Riferimento La identificazione e valutazione dei rischi PROBABILITA’ E IMPATTO INERENTE RESIDUO PROBABILITA’ IMPATTO EFFETTO ELASTICO PROSSIMITA’ TEMPORALE Orizzonte temporale coerente con gli obiettivi dell’Organizzazione. Individuazione delle fonti dei dati utilizzabili nella stima di probabilità ed impatto: I dati che derivano da una osservazione di eventi passati interni forniscono una base più oggettiva rispetto a dati che derivano da fonti esterne. tempo 00.00 23.59 min UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

La rappresentazione dei rischi Modello di Riferimento La rappresentazione dei rischi LE MAPPE DEI RISCHI UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

La rappresentazione della risposta al rischio Modello di Riferimento La rappresentazione della risposta al rischio LA MATRICE RISCHI E CONROLLI UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

La risposta al rischio in termini strategici Modello di Riferimento La risposta al rischio in termini strategici MITIGARLO EVITARLO RISCHIO CONDIVIDERLO ACCETTARLO UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

La valutazione dell’intensità della risposta Modello di Riferimento La valutazione dell’intensità della risposta RISCHIO INERENTE E RISCHIO RESIDUO Misure di controllo $ RISCHIO COSTO Livello di rischio residuo SPRECO Rischio inerente: rappresenta l’impatto lordo in quanto fa riferimento alla massima perdita realizzabile in seguito al manifestarsi dello stesso e alla mancanza di azioni tese a mitigare glieffetti. Rischio residuo: rappresenta l’impatto netto. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

La valutazione e selezione dei rischi Modello di Riferimento La valutazione e selezione dei rischi LE TECNICHE DI VALUTAZIONE QUALITATIVE (Workshop, interviste, questionari, ecc.) QUANTITATIVE (Probabilistiche, Non probabilistiche, Benchmarking) Tecniche qualitative: sono più immediate ma comportano un’eccessiva arbitrarietà. Si impiegano quando non sono disponibili una quantità di dati sufficienti. Tecniche quantitative: Conferiscono maggiore precisione ma sono più onerose. Sono strettamente correlate alla qualità dei dati. Hanno più limiti in relazione ai rischi difficilmente quantificabili (rischi di immagine) Benchmarking: si focalizza su eventi o processi specifici e si basa sul confronto di misure e risultati attraverso l’impiego di misurazioni comuni, identificando opportunità e miglioramenti. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

PER RICONOSCERE UN RISCHIO E QUANTO “PESA” L’autovalutazione CONOSCERE SE STESSI PER RICONOSCERE UN RISCHIO E QUANTO “PESA” BISOGNA CONOSCERSI Metodo Oggettivo (campionatura allargata di settore) Metodo Empirico (esclusivamente percepito dal valutatore) UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

QUAL’E’ LA NATURA DEL MIO RISCHIO ? L’autovalutazione CONOSCERE SE STESSI QUAL’E’ LA NATURA DEL MIO RISCHIO ? QUANTITATIVA (deriva da misurazioni di grandezze rilevabili) QUALITATIVA (risultato di una valutazione da parte di esperti, manager, auditors) UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 L’autovalutazione CONOSCERE SE STESSI Si parla di determinazioni QUANTITATIVE, quando le risorse in gioco sono principalmente economico/finanziarie; Si parla di determinazioni QUALITATIVE quando il rischio si esprime in termini strategici o di complessità. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 L’autovalutazione VALORIZZAZIONE DEL RISCHIO Da dove desumo questi dati? Conoscenza esclusiva del valutatore; Conoscenza di un gruppo di esperti; Comparazione con realtà similari; Campionatura di elementi del Reparto vicini alla realtà in esame; Tecniche di CRSA. UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 L’autovalutazione ACQUISIZIONE DATI IDENTIFICAZIONE DEI SINGOLI RISCHI PER AREA CRITICA AREA DI RISCHIO RISCHI A – Gestione delle Risorse A1: Mancanza di integrazione con le attività operative dei settori interessati – difficoltà nell’integrare con tempi e modalità le attività richieste; A2: Basso coinvolgimento del personale – la scarsa conoscenza dell’argomento rende il personale poco sensibile alla partecipazione attiva. B – Formazione B(n) C – Mappatura Processi C(n) D – Monitoraggio Obiettivi D(n) E – Declinazione Obiettivi E(n) F – Miglioramento Continuo F(n) UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

VALORIZZAZIONE DEI RISCHI IDENTIFICATI QUESTIONARIO DI AUTOVALUTAZIONE L’autovalutazione ACQUISIZIONE DATI VALORIZZAZIONE DEI RISCHI IDENTIFICATI RISCHI QUESTIONARIO DI AUTOVALUTAZIONE A1: Mancanza di integrazione con le attività operative dei settori interessati – difficoltà nell’integrare con tempi e modalità le attività richieste Domanda 1:  pochissimo ☐ poco ☐ medio ☐ alto ☐ altissimo Domanda 2: ☐ pochissimo  poco ☐ medio ☐ alto ☐ altissimo A2: Basso coinvolgimento del personale – la scarsa conoscenza dell’argomento rende il personale poco sensibile alla partecipazione attiva Domanda 3:  pochissimo ☐ poco ☐ medio ☐ alto ☐ altissimo C(n) Domanda 5: ☐ pochissimo ☐ poco ☐ medio ☐ alto  altissimo Domanda 6: ☐ pochissimo ☐ poco  medio ☐ alto ☐ altissimo Domanda 7: ☐ pochissimo ☐ poco  medio ☐ alto ☐ altissimo D(n) --- E(n) F(n) GESTIONE RISORSE UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

L’autovalutazione ACQUISIZIONE DATI VALORIZZAZIONE DEI RISCHI IDENTIFICATI RISCHI Punteggio medio QUESTIONARIO DI AUTOVALUTAZIONE (normalizzazione delle risposte) A1: Mancanza di integrazione con le attività operative dei settori interessati – difficoltà nell’integrare con tempi e modalità le attività richieste 4.5 Domanda 1: 5 Domanda 2: 4 A2: Basso coinvolgimento del personale – la scarsa conoscenza dell’argomento rende il personale poco sensibile alla partecipazione attiva 5 Domanda 3: 5 C(n) 3.5 Domanda 5: 1 Domanda 6: 3 Domanda 7: 3 D(n) --- E(n) F(n) GESTIONE RISORSE UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

VALORIZZAZIONE DEI RISCHI IDENTIFICATI L’autovalutazione ACQUISIZIONE DATI VALORIZZAZIONE DEI RISCHI IDENTIFICATI (Grafico dei valori) Miglioramento 5 Gestione delle risorse ∙ ∙ 4 3 2 1 ∙ ∙ Formazione Monitoraggio Obiettivi ∙ ∙ Declinazione Obiettivi Mappatura dei Processi UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

20 % 15 % 10 % ACQUISIZIONE DATI A – Gestione delle Risorse L’autovalutazione ACQUISIZIONE DATI PESATURA DELLE AREE DI RISCHIO AREA DI RISCHIO IMPATTO (%) (sul grado di realizzazione dell’obiettivo) A – Gestione delle Risorse 20 % B – Formazione C – Mappatura Processi D – Declinazione Obiettivi 15 % E – Monitoraggio Obiettivi 10 % F – Miglioramento Continuo Scala di impatto: 2 4 6 8 10 12 14 16 18 20 Valore minimo possibile di impatto (1*10) UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 L’autovalutazione RAPPRESENTAZIONE DEI DATI v*p=5*20 v*p=4.5*20 100 A1 RISCHI: A2 90 80 70 60 B1 50 C1 40 30 La probabilità: Il concetto di attribuzione di un valore richiama, allo stesso criterio dell’impatto, una capacità previsionale che passa da una valutazione soggettiva ad un modello di acquisizione dati sistematico e strutturato. Queste capacità si sviluppano in maniera proporzionale alla pratica di applicazione e soprattutto al reiterarsi delle attività di analisi dei rischi. La gestione dei rischi acquisirà analiticità con il ritorno dei dati di output alla fine di ogni rimodulazione dell’obiettivo (fase di monitoring del modello ERM). 20 10 UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

Qual’è il mio ambito di azione: Applicazioni dell’ERM al SGQ D2 D1 Qual’è il mio ambito di azione: UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

Definizione degli Obiettivi Identificazione delle Aree Critiche Applicazioni dell’ERM al SGQ – Risk Policy Implementare un Sistema di Gestione Qualità Interno. Definizione degli Obiettivi Mappatura processi; Formazione; Gestione Risorse; Monitoraggio Obj; Declinazione Obj; Miglioramento continuo. Identificazione delle Aree Critiche UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 Applicazioni dell’ERM al SGQ – Risk Assessment ATTIVITA’ DI VERIFICA DI CONFORMITA’ SCHEDA I CRITICITA’ RISCHIO SISTEMA DI CONTROLLO A Mappatura processi A1: Mancata identificazione dei flussi – L’accorpamento delle attività in sotto processi può limitare la mappatura di flusso delle attività; A2: Mancata identificazione dei tempi di ciclo delle attività – L’accorpamento delle attività in sotto processi può limitare la determinazione del corretto tempo stabilito per la singola attività. - Formazione (A1, A2); B Formazione B1: Mancata identificazione delle aree di miglioramento – Una limitata conoscenza di alcuni elementi per la trattazione dei processi può limitare una eventuale reingegnerizzazione degli stessi; B2: Mancato Risk Assessment – Una limitata sensibilità nell’approfondire azioni di dettaglio (attività) nella mappatura dei processi può limitare una corretta valutazione dei rischi. Formazione (B1, B2); Costruzione di una mappa dei rischi (B2). C Declinazione obiettivi C1: Mancata identificazione delle relazioni tra i livelli di scomposizione degli obj – La scomposizione, effettuata partendo da un livello intermedio, può rendere difficile evidenziare, comprendere e stabilire le relazioni tra gli obj; C2: Mancata consapevolezza del personale – La scomposizione, effettuata partendo da un livello intermedio, può limitare la consapevolezza dei livelli più bassi dello Stormo di contribuire al raggiungimento di uno stesso obiettivo e dei livelli sovraordinati di sviluppare un programma di azione. Comunicazione interna (C1, C2,); Empowerment (C1, C2); Formazione (C1, C2). D Monitoraggio obiettivi D1: Mancato controllo dello stato d’avanzamento – La scomposizione, effettuata partendo da un livello intermedio, può limitare la valutazione del controllo dello stato di avanzamento dei sotto-obj e dell’obiettivo principale associato; D2: Mancata capacità di rimodulazione delle attività in presenza di scostamenti – La scomposizione, effettuata partendo da un livello intermedio, può limitare la capacità di reazione in presenza di scostamenti significativi al momento della rilevazione dei risultati. Comunicazione interna (D1, D2); Empowerment (D1); Reporting (D2). UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 Applicazioni dell’ERM al SGQ – Risk Assessment ATTIVITA’ DI VERIFICA DI CONFORMITA’ SCHEDA II C1 D1 + D2 C2 B1 A1 + A2 B2 UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 Applicazioni dell’ERM al SGQ – Risk Management ATTIVITA’ DI VERIFICA DI CONFORMITA’ SCHEDA III UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010

UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010 Applicazioni dell’ERM al SGQ – Risk Prevention ATTIVITA’ DI VERIFICA DI CONFORMITA’ SCHEDA DI RILIEVO UGCI – Corso formazione SGQ – Roma, 26-29 febbraio 2010