La gestione del rischio è al servizio degli obiettivi, non di sé stessa

In consiglio di amministrazione, la gestione dei rischi viene facilmente fraintesa come un esercizio di conformità che riempie registri e produce report. L’analista GRC Michael Rasmussen di GRC 20/20 Research ricorda che la gestione dei rischi assolve al proprio scopo solo quando migliora le decisioni e rende raggiungibili gli obiettivi in condizioni di incertezza. Per il consiglio di amministrazione vale dunque un metro di giudizio diverso dalla completezza: la frequenza con cui un’informazione sul rischio ha effettivamente portato a una decisione.

Qual è lo scopo della gestione dei rischi in un’organizzazione?

La gestione dei rischi serve a migliorare le decisioni in condizioni di incertezza e a rendere più affidabile il raggiungimento degli obiettivi aziendali, non a mantenere un registro.

Michael Rasmussen propone un test semplice per i risk owner e i consigli di amministrazione. Ciò che conta è se registri, controlli, valutazioni, analisi, modelli, reporting e tecnologia aiutino effettivamente a prendere decisioni migliori e a raggiungere in modo affidabile gli obiettivi in condizioni di incertezza. Se la risposta è negativa, sostiene Rasmussen, ci si deve chiedere per quale motivo si stia sostenendo questo sforzo.

Gli obblighi amministrativi legati alla gestione dei rischi non scompaiono per questo. Le autorità di vigilanza si aspettano report, i consigli di amministrazione hanno bisogno di informazioni, le politiche devono essere mantenute aggiornate e i controlli e le valutazioni devono essere documentati. Il problema sorge quando questa amministrazione sostituisce il vero e proprio governo del rischio invece di supportarlo.

Come riconosce il consiglio di amministrazione se la gestione dei rischi è un mezzo o un fine in sé?

Il consiglio di amministrazione riconosce la differenza in base al fatto che un report sui rischi porti a una decisione tracciabile o si limiti a documentare ciò che già si sapeva.

Rasmussen descrive uno schema ricorrente: le organizzazioni possono diventare estremamente efficienti nel produrre informazioni sui rischi che nessuno utilizza per prendere decisioni. Per il consiglio di amministrazione, ciò si traduce in una domanda di verifica concreta per ogni punto all’ordine del giorno relativo ai rischi.

È utile disporre di un insieme conciso di criteri che il consiglio possa applicare a ogni comunicazione sui rischi. Il Chief Risk Officers Outlook 2024 mostra che molte funzioni di risk management stanno lavorando esattamente su questo collegamento tra reporting e processo decisionale.

• La comunicazione è collegata a una decisione imminente per la quale viene effettivamente utilizzata?
• L’assenza di una metrica impedirebbe realmente un’azione concreta, oppure lascerebbe soltanto un report incompleto?
• La discussione in consiglio porta a un adeguamento della strategia, dei limiti o delle risorse?

Che cosa mostra l’esempio dei rischi legati all’IA nel settore finanziario europeo?

Le autorità di vigilanza finanziaria europee non chiedono documentazione aggiuntiva fine a se stessa, bensì strutture di governance che consentano agli istituti di rispondere effettivamente ai nuovi rischi.

Le autorità di vigilanza europee EBA, EIOPA ed ESMA chiedono, in una dichiarazione congiunta, un approccio di vigilanza intersettoriale, basato sul rischio e coerente per mitigare i rischi ICT posti dai modelli di IA all’avanguardia. L’attenzione non è rivolta al reporting in sé, ma alla capacità di agire degli istituti.

La dichiarazione sottolinea che gli istituti finanziari dovrebbero disporre di solide strutture di governance e di gestione dei rischi in grado di supportare efficacemente la gestione e la mitigazione di questi rischi. È la stessa logica che dovrebbe valere a livello di consiglio di amministrazione: le strutture esistono affinché si possano prendere decisioni in un evento reale, non affinché un fascicolo risulti completo.

Come si può trasmettere questa logica al consiglio di amministrazione nella pratica?

È più efficace presentare le informazioni sui rischi nel linguaggio degli obiettivi, dei limiti e delle linee d’azione, piuttosto che nel linguaggio dei controlli e delle percentuali.

Invece di presentare una heatmap con molte celle, conviene chiedersi quali tre rischi potrebbero effettivamente mettere in pericolo la strategia attuale e quale linea d’azione il consiglio di amministrazione intenda adottare in risposta. Questo accorcia il punto all’ordine del giorno, ma ne accresce la rilevanza decisionale.

L’analisi del Global Risks Report 2026 mostra, a titolo esemplificativo, come le tendenze globali dei rischi possano essere scomposte in poche domande rilevanti per una singola azienda. Il consiglio di amministrazione dovrebbe pretendere questo tipo di sintesi dalla funzione di risk management, invece di scambiarla per completezza.

Qual è il primo passo per la prossima seduta del consiglio?

Il primo passo consiste in una verifica una tantum degli ultimi punti all’ordine del giorno relativi ai rischi, per valutarne l’impatto decisionale, condotta dalla funzione di risk management e approvata dal presidente del consiglio di amministrazione.

Il risk owner verifica, prima della prossima seduta ordinaria, quali degli ultimi cinque punti all’ordine del giorno relativi ai rischi abbiano portato a una decisione documentata e quali siano stati semplicemente presi nota. Il risultato viene presentato al presidente del consiglio come una breve panoramica.

Su questa base, il formato del prossimo reporting sui rischi può essere adeguato in modo mirato: meno completezza, più rilevanza decisionale. Una panoramica degli sviluppi normativi in corso supporta questa definizione delle priorità, ad esempio attraverso la rassegna di attualità di Swiss GRC.

FAQ

Domande frequenti

Come si riconosce che un registro dei rischi serve solo alla documentazione?

Un registro dei rischi serve principalmente alla documentazione quando i report vengono consegnati completi e puntuali senza portare a una decisione tracciabile in consiglio di amministrazione. Rasmussen sottolinea che le organizzazioni possono produrre in modo efficiente informazioni sui rischi che nessuno utilizza effettivamente per prendere decisioni. Questo è il vero segnale d’allarme.

Quali criteri dovrebbe applicare il consiglio di amministrazione alle comunicazioni sui rischi?

Il consiglio di amministrazione dovrebbe verificare se una comunicazione è collegata a una decisione imminente, se l’assenza di una metrica impedirebbe effettivamente un’azione e se la discussione porta a un adeguamento della strategia, dei limiti o delle risorse. Queste tre domande sostituiscono la completezza come metro di giudizio della qualità di una comunicazione sui rischi.

Che cosa chiedono EBA, EIOPA ed ESMA agli istituti finanziari riguardo ai rischi legati all’IA?

Le tre autorità di vigilanza europee chiedono un approccio di vigilanza intersettoriale, basato sul rischio e coerente per mitigare i rischi ICT posti dai modelli di IA all’avanguardia. Gli istituti finanziari dovrebbero disporre di solide strutture di governance e di gestione dei rischi in grado di supportare efficacemente la gestione e la mitigazione di questi rischi, invece di limitarsi a generare documentazione aggiuntiva.

In che cosa si differenzia un report sui rischi rilevante ai fini decisionali da un semplice aggiornamento di stato?

Un report sui rischi rilevante ai fini decisionali individua un numero ridotto di rischi che mettono effettivamente in pericolo la strategia attuale e mostra linee d’azione concrete per il consiglio di amministrazione. Un semplice aggiornamento di stato, al contrario, elenca molte metriche o una heatmap completa senza che ne derivi alcun adeguamento della strategia, dei limiti o delle risorse.

Quale primo passo può compiere la funzione di risk management prima della prossima seduta?

La funzione di risk management può verificare, prima della prossima seduta ordinaria, quali degli ultimi cinque punti all’ordine del giorno relativi ai rischi abbiano portato a una decisione documentata e quali siano stati semplicemente presi nota. Il risultato viene presentato al presidente del consiglio come una breve panoramica e funge da base per un formato di reporting orientato alle decisioni.

Fonti

1. The Prime Directive of Risk ManagementGRC 20/20 Research
2. Dichiarazione congiunta sui rischi ICT posti dai modelli di IA all’avanguardiaEuropean Banking Authority