B. GAUDENZI Il Risk Management aspetti metodologici e concettuali

Signori buongiorno e benvenuti a questo workshop dal tema Risk Management e esperienze a confronto.

Come sapete questo incontro di oggi riguarda quelli che sono i non technical skills di questo congresso

quindi oggi qui non ci saranno medici, non si parlerà di operazioni chirurgiche

ma si cercherà di dare una trattazione al Risk Management fornendo dapprima una connotazione generale al tema

Poi affrontiamo alcune esperienze, una nel settore aeronautico e una nel settore sanitario per concludere infine con quello che è un tema molto importante soprattutto al giorno d'oggi in campo medico che è quello della responsabilità civile e penale legata poi ai rischi.

consentitemi quindi adesso di introdurre brevemente gli illustri ospiti

abbiamo la professoressa Barbara Gaudenzi che è professore associato in economia e gestione delle imprese

presso la facoltà di economia dell'università di Verona

ed è anche direttore organizzativo del corso di perfezionamento in enterprise risk management dell'università stessa

abbiamo poi l'ingegnere Alessandro Franzoni che è il direttore generale di Alenia Armacchi

storica industria aeronautica italiana

il dottor Lodovico Marazzi che è responsabile Risk Management nel settore sanitario di Willis

e infine l'avvocato Michele Paese che oltre a essere fiduciario dell'OIDS di Londra e di Carigie Assicurazioni per l'Italia

è anche il titolare dello studio legale Paese & Partner che è specializzato proprio in medical malpractice.

Non mi voglio dilungare ulteriormente, il tempo stringe, ci darei direttamente la parola alla professoressa Gaudenzi.

Grazie, buongiorno a tutti. Allora, come si diceva il mio intervento non ha lo scopo ovviamente di entrare nel dettaglio di tecniche e metodi, ma di dare un'introduzione al tema del risk management.

Innanzitutto partiamo dal concetto di rischio, cosa intendiamo per rischio?

Allora parto da una definizione che in realtà è la traduzione dell'ISO 31.000 pubblicata nel 2009, una norma tecnica che definisce la terminologia, definito dopo diversi anni di trattazione a livello internazionale, la terminologia sul risk management per applicarla ai diversi settori.

Al gruppo di lavoro peraltro ho partecipato in ambito Uni con la definizione terminologica appunto della mappata da Uni nel 2007.

La potenzialità di un evento sfavorevole, il rischio è un evento sfavorevole che può essere misurato, misurato come probabilità impatto, diversamente se non fosse misurabile sarebbe un'incertezza.

E invece misuriamo il rischio in termini appunto di evento che può avere conseguenze negative che possono essere quantificate in perdite oppure in minori guadagni rispetto alle attese.

Il processo di risk management quindi che cos'è? È un'attività integrata che ha lo scopo di identificare, mappare e riconoscere i rischi che possono in qualche misura gravare sull'impresa.

I rischi sono moltissimi, ci sono rischi strategici che possono compromettere l'efficace scelta e pianificazione nel lungo termine dell'agire di un'organizzazione, ma poi ci sono rischi di business, rischi quindi che coinvolgono l'attività operativa quotidiana e che hanno un impatto sull'efficienza e sull'efficacia dell'agire di un'organizzazione.

Rischi come vedremo reputazionali, quindi trasversali che non identifichiamo in specifiche aree gestionali ma che sono impattanti fortemente sulla reputazione e sull'immagine di un'organizzazione e li vedremo poi nello specifico.

Lo scopo quindi del processo di risk management è quello di identificare le tecniche più adatte per gestire questo rischio e proteggere l'organizzazione dai suoi eventi sfavorevoli.

Sempre per riprendere una norma internazionale, la ISO 31000 che oggi è un po' a riferimento a livello mondiale, il processo di risk management si articola in due grandi fasi.

La fase di assessment che consiste quindi nell'identificare le aree di rischio, dove il rischio si può manifestare e come facciamo. Dobbiamo trovare le sorgenti di rischio, dobbiamo misurare i rischi, quindi i rischi strategici, i rischi di business, i rischi reputazionali come dicevamo.

E poi vedremo una possibile classificazione di questi rischi. Misurare quindi possibilità di accadimento, le probabilità e gli impatti in termini cioè di eventi negativi che possono essere tradotti in valutazioni economico-finanziarie ma che poi sono anche attinenti ovviamente al valore di risorse insostituibili come la vita umana, come la vita dei nostri pazienti.

Fare una valutazione vuol dire anche fare una ponderazione come ci insegnano le norme e le best practice a livello internazionale, fare una ponderazione vuol dire capire se i rischi che identifichiamo sono sopportabili o meno, cioè se abbiamo a che fare con rischi che devono essere assolutamente in qualche modo valutati e mitigati e non solo trasferiti per esempio assicurativamente,

vi sono rischi la cui urgenza è tale da dover definire delle priorità di gestione, di allocazione di risorse

per far sì che questi rischi non siano eccessivamente impattanti, talvolta possono essere severi e possono causare

anche l'interruzione di un'attività aziendale. Il processo di risk management quindi si concentra e si focalizza

sull'assessment per poi andare a concentrarsi sulla identificazione dei rischi ritenuti più temibili,

i rischi cosiddetti intrinseci, che secondo la logica di un semaforo possono essere identificati

e sono tipicamente identificati con il segnale rosso, quindi urgenza immediata, importanza

immediata, per i quali bisogna attuare gli strumenti di trattamento e quindi di trasferimento

del rischio, per esempio assicurativamente, ma anche di intervento comunque subitaneo

o anche con misure di mitigazione. Questo è un excursus molto veloce, introduttivo al tema della gestione del rischio

che però risulta essere essenziale per capire soprattutto in ambito sanitario come vedremo dopo

uno degli aspetti fondamentali e uno dei messaggi fondamentali che è il cuore del processo di risk management

sta nell'assessment, non sta nel trattamento. Prima di fare trattamento, prima di stipulare una polizza

è fondamentale sapere mettere in campo tutte quelle misure di prevenzione del rischio, perché la gestione del rischio ha anche un costo.

Gestire il costo del rischio significa far di tutto per far sì che esso abbia una dimensione minima e poi adottare misure efficienti di trasferimento.

Ma prima del trasferimento bisogna sviluppare una cultura aziendale a tutti i livelli per far sì che l'assessment sia il più immediato e il più efficace possibile.

Alcuni dati a livello internazionale, allora come dicevo noi non parliamo di risk management solo in ambito sanitario, in tutti i settori, dal settore industriale al settore dei servizi, al settore dei beni durevoli come di quelli di consumo cosiddetto banale,

indagini a livello internazionale ci mostrano come i rischi più temuti siano per esempio i costi e la disponibilità del credito e della liquidità

quindi l'aspetto economico finanziario che spesso governa le scelte e le priorità di gestione del rischio, la perdita di clienti chiave

per aziende che operano in mercati internazionali le fluttuazioni valutarie per esempio, questo per darvi una panoramica globale

il rischio di perdere vendite e poi veniamo a tre aspetti veramente centrali anche e forse soprattutto nel settore sanitario che sono il rischio reputazionale, il rischio legato alla sicurezza delle persone e dei beni fisici, safety e security, i rischi legati ai ritardi e alle inefficienze dei progetti e qui ovviamente ne parleremo diffusamente.

Sono tre temi centrali e tre temi difficili da trattare, safety e security. La safety e la security oggi hanno crescente attenzione da parte di tutte le aziende di tutti i settori, spesso non vengono però osservate come mentalità e come culture aziendali ma sono soprattutto percepiti come obblighi rispetto compliance di norme cogenti

e quindi esigenza di rispetto di norme e imposizioni regolatorie, cosa che invece purtroppo molto spesso va a limitare la efficacia delle azioni di safety and security

che dovrebbero invece nascere in fase di assessment del rischio e non tanto di attuazione di processi che soddisfino norme cogenti.

Il rischio reputazionale, un rischio che oggi è riconosciuto, dovendo dare un ranking a questi rischi, come il più temuto. Perché?

Perché quello che ha l'impatto più alto, come vedremo, l'impatto è quello di perdere clienti, di perdere reputazione appunto e quindi perdere la possibilità di essere competitivi nel tempo ed è anche il più difficile da valutare.

Chi è responsabile nella gestione del rischio reputazionale? Chi può essere efficace ed efficiente nella identificazione di cos'è il rischio reputazionale?

In azienda è molto difficile trovare un responsabile, è più facile trovarlo per quanto riguarda la gestione di un progetto industriale, per quanto riguarda la gestione di aspetti finanziari o di aspetti legati al mercato di sbocco.

La reputazione è un concetto, se vogliamo, aleatorio, sfuggente e quindi è difficile trovare approcci efficaci per la sua gestione.

In Italia, alcuni dati sulla realtà tipicamente italiana, vi cito una ricerca protiviti dello scorso anno, in Italia, e qui veniamo al chi deve gestire i rischi, solo il 25% delle imprese del campione, cito un campione di imprese comunque italiane, quotate non, ma di media grande dimensione,

Solo il 25% delle imprese del campione ha un risk manager, il quale ha un risk manager che risiede nel board dell'alta direzione, nel 19% dei casi il risk manager è un internal auditor, nel 17% dei casi è una figura che non svolge esclusivamente il ruolo di risk management, che siede nel CDA, in molti casi è il responsabile finanziario.

Ecco, l'identificazione di una figura responsabile per il risk management, se vedete, lo si capisce già da questi dati, impone di identificare una figura che risiede in una speciale, in una determinata area del nostro organigramma.

Questo influenza molto l'ottica con cui osserviamo il rischio e con cui facciamo assessment del rischio.

Tuttavia tutte le aziende intervistate praticamente ritengono e rivelano che l'esigenza e l'urgenza di implementare sistemi più efficaci di risk management è ritenuta assolutamente imperante.

Ebbene allo stesso tempo però scopriamo che dall'indagine dell'Economist Intelligence Unit del 2009 vediamo che il tempo e le risorse dedicate al risk management sono scarse, le priorità di gestione alla fine sono molto spesso altrove.

E in particolare solo quasi metà dei risk manager riescono a essere concretamente coinvolti nell'assessment, per cui molto spesso, vedendo anche le pratiche internazionali, molto spesso la maggior parte del tempo dedicato dai risk manager è appunto concentrato sulla gestione del trattamento più che dell'assessment.

E questo è un dato che deve far riflettere. Veniamo velocemente all'identificazione degli ambiti, abbiamo accennato a rischi strategici, rischi di business, come possiamo classificare i possibili rischi?

Allora abbiamo da un lato tutta la tematica relativa alla protezione ambientale, quindi rischi legati alle calamità naturali, per esempio alle interruzioni delle attività, le cosiddette business interruption.

Abbiamo poi tutta la tematica della security, della protezione fisica, quindi dei beni ma anche delle informazioni.

Quindi vuol dire tutela dei beni, degli attrezzi, delle infrastrutture che utilizziamo, protezione anche da eventuali sabotaggi, da eventuali danneggiamenti, voluti o non voluti.

La safety è quindi la protezione dei lavoratori e la protezione dei pazienti. Incidenti, infortuni, malattie, tutto ciò che può evidentemente e che colpisce tipicamente il settore sanitario e che ha un impatto importante sulla reputazione ovviamente e sull'attività di business.

I rischi di business sono i rischi legati all'attività caratteristica della produzione di beni, di servizi, alla gestione delle relazioni con i nostri fornitori, per esempio con i nostri clienti.

In ambito ospedaliero la gestione dei rischi di business legato per esempio all'approvvigionamento dei materiali, delle attrezzature necessarie per l'operatività aziendale è fondamentale.

la sincronia, l'informazione, la gestione delle informazioni con i fornitori è fondamentale

la garanzia del difetto zero, della tempistica perfetta e puntuale, negli riassortimenti

tenendo conto che il problema dei costi, delle scorte minime è un problema comune in tutte le aziende

anche nelle strutture ospedaliere, è un tema centrale di risk management

E poi tra gli ambiti di gestione del rischio abbiamo anche la gestione delle crisi. Lo cito perché il crisis management è considerato come una costola del risk management che richiede strutture proprie, attrezzature proprie, la gestione di un cosiddetto crisis team composto da un team interfunzionale di manager che deve intervenire in modo tempestivo, subitaneo nella gestione delle crisi

che nel settore sanitario sono particolarmente rilevanti.

Cos'è una crisi? Citando il guru del crisis management è un evento che distrugge tutte le nostre convinzioni

perché la sua subitaneità e la gravità dell'accadimento è tale da non permettere di poter pensare razionalmente

nell'immediato e molto spesso se non vi è un crisis management strutturato di prendere le decisioni corrette

Perché fa perdere completamente il controllo nella gestione della contingenza. Nell'ambito sanitario, quando abbiamo a che fare con pazienti, con la vita umana e con situazioni evidentemente molto delicate, il tema diventa centrale.

È un evento improvviso, inaspettato, che può causare, questa è una citazione non tipica del settore sanitario ma che possiamo applicare benissimo all'ambito sanitario, può tipicamente causare gravi lesioni, malattie, morte evidentemente, esigere alti esborsi monetari, ma la prevenzione delle crisi ci permette di far sì che il costo economico finanziario di esse possa essere decisamente ridotto.

può distruggere le organizzazioni, può distruggere la reputazione delle organizzazioni, causare danni all'intera società e ovviamente attrarre l'attenzione dei media.

I media che sono sempre più coinvolti nelle attività e negli accadimenti negativi delle aziende in generale, in particolare nel settore sanitario.

Quindi per concludere, come gestire il rischio? Chiaramente non abbiamo il tempo per approfondire le tematiche, le best practices, però sicuramente un messaggio lo voglio lasciare, a livello di, in generale, quindi non solo nello specifico settore ma a livello interdisciplinare,

Possiamo dire che l'enterprise risk governance e quindi una gestione del rischio enterprise wide impone due ottiche, da un lato un'ottica strategica di corporate governance, quindi compliance alle norme, osservare le norme vigenti, rispettare le leggi, adottare e adattarsi agli standard internazionali, alle best practice, per portare avanti una visione strategica anche di legittimazione sociale e di tutela legale.

anche e non solo, ma poi soprattutto gestire il rischio impone una applicazione nelle attività operative

e quindi una diffusione di una cultura volta a prevenire i rischi nella gestione delle attività continuative.

Quindi a livello organizzativo è proprio lo sviluppo di questo doppio binario, di questo doppio approccio

che può portare a una gestione del rischio che sia efficace e anche efficiente.

Io lascerei la parola agli altri relatori, questa è solo un'introduzione, spero di poter continuare a approfondire eventualmente alcuni punti con le vostre domande. Grazie.