In questo articolo verrà fatta un'introduzione alle problematiche di gestione dei rischi aziendali, del loro significato e delle aree di aderenza con un sistema di certificazione dei sistemi di gestione per la qualità (SGQ).
Saranno presi in considerazione sia gli utilizzi strumentali che possono essere fatti dall'SGQ a supporto delle procedure di risk management, sia le possibili aree di interesse che si creano per il risk manager che opera in un'azienda che sta attuando un sistema di certificazione.

Cosa significa gestire i rischi
Con il termine rischio si identifica un evento sfavorevole che ha un impatto negativo in termini di maggiori costi e mancati guadagni rispetto alla normale attività dell'azienda.
Tutta l'attività aziendale è continuamente esposta a rischi che possono essere raggruppati in macro-aree principali:

• rischi finanziari (difficoltà di ottenere credito dalle banche, perdite derivanti da oscillazione dei cambi, diminuzione di profitto derivante da variazioni climatiche non gestite, ecc.);
• rischi operativi (danni derivanti da incendi e da alluvioni, infortuni sul lavoro, perdita di personale chiave, impossibilità di mantenere una continuità nell'attività di produzione, perdita di informazioni legate alla sicurezza dei sistemi informativi, ecc.);
• rischi speculativi¹⁾ connessi alla normale attività strategica dell'impresa (cambiamento della legislazione, rischi legati a guerre oppure epidemie in paesi con i quali si intrattengono rapporti commerciali, rischi legati al danno di immagine, ecc.).

L'attività di gestione dei rischi è storicamente legata alla stipulazione delle polizze assicurative. L'assicurazione rappresenta il metodo più diffuso per trasferire determinati rischi all'esterno dell'impresa e rappresenta, a volte, una voce di spesa preponderante all'interno dei bilanci.
Tuttavia è sbagliato pensare che l'attività del risk manager sia solamente legata alla riallocazione del portafoglio assicurativo, dovendosi invece intendere che il subsistema di gestione dei rischi deve essere trasversale a tutti i processi di un'azienda.

Cos'è un SGQ
A differenza del processo di risk management, i sistemi di certificazione non indagano i fattori critici dell'azienda bensì fondano i propri presupposti nella ricerca del miglioramento delle prestazioni aziendali, nell'ottica di ottimizzare i processi che definiscono l'attività tipica all'interno delle aziende.
Inoltre, con le nuove norme “si passa da una vecchia cultura basata sulla conformità di modelli e di procedure ad una nuova basata sull'efficienza delle azioni e dei risultati” (vedere tabella).

I motivi della scelta
Ciò che sospinge le aziende a conformarsi a regole comuni per la definizione di un determinato livello di qualità è la necessità di avere dei parametri uniformi per misurare il grado di efficienza e di efficacia del proprio sistema di gestione globalmente inteso.
Altri motivi che possono spingere alla attuazione di un sistema per la qualità sono: la volontà di rendere i propri processi maggiormente efficienti, la necessità di non rimanere in posizioni arretrate rispetto ai più diretti concorrenti, l'esigenza di adottare delle politiche verso il cliente maggiormente sensibili al concetto della qualità.
Altre due motivazioni che, a lato pratico, pesano sempre molto sono la possibilità di aumentare la leva competitiva oppure per emulazione di chi, all'interno della stessa area strategica d'affari, ha già seguito la strada dell’attuazione di un sistema per la qualità e ne ha ottenuto la certificazione.

Quindi, a differenza di quanto avviene per le norme che regolano il processo di attuazione di un sistema per la qualità, maggiormente indirizzato al miglioramento in termini prestazionali, l'attività di risk management impatta direttamente sul processo di creazione del valore che rappresenta, per l'impresa, un ineluttabile obiettivo di fondo.
I motivi che hanno spinto molte aziende ad interessarsi a come poter trattare i rischi che generano, è legato principalmente alla volontà di proteggere gli investimenti fatti, assicurando costi contenuti e prospettive di crescita maggiormente solide.

Per esemplificare, si può assumere che, nel caso di danni indiretti dovuti ad un'interruzione di fornitura di elettricità, il sistema per la qualità agisce a monte garantendo che i vari processi (ad esempio di riavvio delle linee di produzione) siano svolti correttamente ed in modo ottimale mentre un corretto processo di risk management garantisce:

• che la probabilità che l'interruzione si verifichi sia la più bassa possibile;
• che il ritorno alla normale attività avvenga, dopo l'interruzione, nel minor tempo possibile;
• che il risarcimento di un'eventuale copertura (es: coperture tramite "weather derivatives" per interruzioni di elettricità dovute a variazioni climatiche) sia il più consono rispetto al danno subito.

Il miglioramento del processo, garantito dall'attuazione di un sistema per la qualità, è da considerarsi come un completamento all'attività di analisi e protezione svolta dal risk manager.

A dimostrazione di ciò si può citare l'esempio di aziende che, tra le misure adottate per la prevenzione contro i rischi puri, fanno comparire al primo posto la certificazione ISO 9000. Gli stessi relatori della EN ISO 9004:2000 hanno scritto che la certificazione dei sistemi per la qualità offre “un importante contributo nella gestione dei costi e dei rischi”.
Vale la pena sottolineare che un utilizzo esclusivo dell'SGQ per la gestione dei rischi in azienda rappresenta un'azione di protezione assolutamente parziale ed incompleta, soprattutto se non è gestito in stretta collaborazione con il risk manager.

Quando un SGQ genera nuovi rischi
I cambiamenti o le razionalizzazioni che spesso devono essere apportate ai processi aziendali, al fine di attuare un sistema qualità e di farlo successivamente certificare, sono complessi e questo offre spunti di riflessione su quello che si può definire l'altro lato della medaglia dei rapporti tra risk management e gestione per la qualità. Proprio a causa delle modificazioni all'interno dei processi aziendali, infatti, la certificazione può agevolare la nascita di nuove aree di rischio.

L'aumento della leva competitiva, obiettivo spesso dichiarato in fase di attuazione dell'SGQ, è tesa a creare una reputazione dell'azienda migliore di quanto non fosse prima della certificazione. Tuttavia la percezione di una maggiore qualità nel sistema organizzativo e di produzione ha impatto diretto sulle aspettative del cliente finale fino al punto di generare vantaggi che hanno un costo elevato per il loro mantenimento. Esempio tipico è rappresentato dall'aumento del rischio connesso ai danni di immagine che impongono, tra gli altri, l'attuazione di sistemi di richiamo di prodotti difettosi, lo studio di strategie di marketing per spingere i prodotti in caso di sabotaggio, ecc..
Non solo: spesso questa maggior pressione sul prodotto fa nascere una tensione verso la funzione commerciale generando rischi quali, tra i più tipici, quelli legati alle condizioni contrattuali di vendita, alle informazioni e garanzie date agli acquirenti del prodotto, al trasporto, alla responsabilità civile, ecc..

Altro fattore critico di rischio viene dall'ambiente interno dei cosiddetti intangible assets. La certificazione è spesso motivo di forti cambiamenti, specialmente per l'organizzazione che potrebbe, nel caso non fosse sufficientemente informata e stimolata sul significato di qualità, diminuire la propria convinzione verso la missione aziendale.
Riassumendo, essendo lo scopo dell'SGQ quello di modificare la cultura di impresa per renderla maggiormente vicina a problematiche di soddisfazione del cliente, ed essendo la soddisfazione del cliente un valore aggiunto dell'azienda, ciò che viene raggiunto dalla certificazione non è altro che un nuovo, importantissimo elemento da proteggere dai rischi ai quali è esposto.

Il sistema di gestione per la qualità in un'ottica di gestione dei rischi
Ribadita la separazione concettuale delle due discipline rimangono da esplorare le possibili sinergie che potrebbero nascere da una partnership tra il risk manager e chi si occupa del sistema per la qualità aziendale.
L'analisi dei processi avviene tramite la costruzione di diagrammi logici che rappresentano la sequenza di operazioni di un processo aziendale. Lo screening che viene compiuto in questa fase, ha valenza pratica per capire se e dove l'organizzazione possa avere dei problemi quali, tra gli esempi più tipici, i colli di bottiglia nelle varie business line. L'adozione di questi diagrammi è molto utile anche al risk manager che li può utilizzare nell'analisi preventiva per individuare i rischi da interruzione di attività.
Altro punto di contatto riguarda la fase di mappatura dei rischi che può trovare un valido supporto nelle check list che vengono utilizzate per monitorare il grado di applicazione e di avanzamento del processo di certificazione.
Infine l'adozione di modelli statistici di rilevazione, richiesti dalle norme, può essere utilizzata per la fase di misurazione dei rischi in previsione di un loro trattamento.
Un esempio di come il sistema di gestione per la qualità possa essere utilizzato in un'ottica di gestione dei rischi è fornito dall'esperienza di un noto organismo di certificazione sul cui sito si possono trovare interessanti informazioni in merito. Nell'esperienza di questo organismo, fornire servizi a supporto del sistema di gestione per la qualità e servizi propri per la gestione dei rischi è un'attività che viene comunemente svolta. Particolare attenzione è rivolta ai rischi inerenti le imprese che hanno attività di tipo industriale.

Grazie alla metodologia ispettiva dei rischi, sviluppata da questo organismo, un loro cliente ha ridotto i suoi costi di gestione per 100 milioni di dollari l'anno permettendogli, con un piano di mantenimento periodico, di investire, in 5 anni, risorse per un ammontare pari a 500 milioni di dollari. Nell'esperienza di questa azienda, la creazione di valore ottenuta tramite una ragionata attività di risk management, sopportata da una metodologia sviluppata da chi storicamente si occupa di gestione del sistema per la qualità, ha significato migliorare in misura pronunciata la propria redditività.

Massimiliano Zanetti
Vicepresidente A.RI.M.AS. - Academic Risk Management Association