Risk management: come affrontarlo in azienda

Il concetto di rischio, nelle sue differenti ipotesi di origine, è associato ad accezioni differenti che fanno riferimento a condizioni di incertezza. Quell’incertezza che è insita nella genesi stessa dell’azienda e che vede l’imprenditore impegnato a governare l’atteso e (soprattutto) l'inatteso, a vantaggio della propria impresa. Andiamo a indagare quali sono i principali rischi per le imprese. E perché il risk management è uno strumento fondamentale nelle piccole e medie imprese.

«Le Pmi sono considerate il motore della crescita economica nel mondo industrializzato. L’Unione Europea conta oltre 20 milioni di microimprese con meno di nove dipendenti, circa 1,3 milioni di piccole imprese con 10-49 dipendenti e circa 201.000 medie imprese con 50-249 dipendenti. Complessivamente, nel 2021, le Pmi dell’Ue hanno impiegato quasi 84 milioni di persone e generato un valore aggiunto combinato di 3,5 trilioni di euro (Henschel et al., 2022). Nonostante la rilevanza delle Pmi da una prospettiva economica e sociale, queste imprese sono strutturalmente più deboli ed esposte al fallimento quando affrontano rischi inediti. Infatti, le Pmi spesso soffrono di vincoli interni legati alla scarsità delle risorse finanziarie, manageriali e informative necessarie per affrontare rischi e incertezze. Nel contesto attuale, caratterizzato da una volatilità senza precedenti, le Pmi avvertono come particolarmente pressanti i rischi di mercato (connessi, p.e., alla variazione dei tassi di interesse e di cambio) e i rischi reputazionali.

A seguire, tutti i rischi connessi al processo produttivo (supply chain, business interruption), compresi gli aspetti ESG. Infine, i rischi legati a processi aziendali poco strutturati – spiega la professoressa Cristina Florio, professore associato di Economia aziendale presso l'Università degli Studi di Verona – A causa dell’esposizione al rischio delle Pmi e delle loro debolezze intrinseche, l’adozione di un solido sistema di risk management è fondamentale per il loro successo e talvolta per la loro stessa sopravvivenza. Per risk management si intende il processo di identificazione, valutazione e gestione dei rischi che possono influire negativamente sugli obiettivi di un'organizzazione, tanto a livello strategico (es. raggiungimento e mantenimento di significative quote di mercato, vantaggio competitivo di differenziazione o di costo) quanto a livello operativo (impiego efficace ed efficiente dei fattori produttivi), di reporting (affidabilità delle informazioni prodotte e veicolate sia all’interno sia all’esterno) e di conformità (osservanza della normativa vigente e dei regolamenti interni) (COSO, 2004, 2017). Il risk management è dunque particolarmente rilevante per le Pmi, perché contribuisce al miglioramento dei processi decisionali, aiuta a prepararsi agli eventi avversi, a proteggere le risorse e ad accrescere la resilienza aziendale».

STRUMENTI DI ANALISI DEL RISCHIO

Operativamente, la gestione dei rischi si articola nelle fasi di identificazione, valutazione e gestione del rischio. «La prima fase ha come output l’identificazione dei rischi e la loro classificazione, individuale e per aree (inventario dei rischi). È chiaramente una fase che richiede un approccio qualitativo, descrittivo, che può essere implementato mediante la conduzione di sondaggi e/o workshop interni sui rischi, di analisi dei dati e dei documenti disponibili, e altresì mediante visite agli stabilimenti produttivi – indica Florio – La seconda fase consiste nella valutazione dei rischi precedentemente identificati e richiede una loro analisi in termini di probabilità di accadimento dell’evento negativo e di gravità dell’impatto. Al riguardo può essere utile avvalersi di matrici di probabilità e impatto, alle quali si può giungere mediante tecniche di misurazione sia qualitative, sia quantitative».

Anche se è opinione comune che le tecniche quantitative, basate su modelli statistici e di simulazione (es. Monte Carlo), siano più evolute, l’impiego di tecniche qualitative rappresenta il primo passo per qualsiasi realtà aziendale e può essere anche il punto di arrivo nel contesto delle Pmi. «Ciò che conta è maturare consapevolezza in merito ai rischi che richiedono maggiore attenzione nelle singole aree/funzioni e a livello complessivo. Se è vero che limitarsi a definire la probabilità di manifestazione e l’impatto come bassi/medi/alti può portare a valutazioni approssimative, è vero anche che l’impiego di tecniche di quantificazione numerica veicola un’idea di precisione dell’output dell’analisi che tuttavia potrebbe mancare a livello di input (l’elevato livello di incertezza che caratterizza il nostro tempo, infatti, si ripercuote inevitabilmente sull’affidabilità delle assunzioni, delle ipotesi, su cui i modelli statistici si basano) – puntualizza – La valutazione dei rischi permette di stabilire l’ordine di priorità nella gestione dei rischi e conduce così alla terza fase, che consiste nella decisione di come trattare lo specifico rischio (leggasi, la gestione dei rischi in senso stretto)».

A questo proposito, quattro sono le strategie di gestione dei rischi:

1. accettare i rischi modesti, ovvero quelli che presentano bassa probabilità di accadimento e basso impatto;
2. trasferire (assicurare) i rischi che presentano bassa probabilità di accadimento ma impatto elevato (es. incendio, furto);
3. evitare i rischi più severi, ovvero che presentano elevata probabilità di manifestazione e altresì elevato impatto;
4. infine, ridurre i rischi che presentano elevata probabilità di accadimento ma bassa gravità di impatto.

Queste fasi sono logicamente consecutive l’una all’altra e dovrebbero susseguirsi a intervalli più o meno ravvicinati a seconda della complessità dell’attività aziendale, ma anche della categoria di rischio. È infatti raccomandabile definire degli indicatori di rischio (KRI - key risk indicators) e monitorarne sistematicamente l’andamento con l’obiettivo di controllare di più e meglio laddove l’esposizione al rischio è maggiore.

PROSPETTIVE DEL RISK MANAGEMENT NELLE PMI

Rispetto alle diverse fasi in cui si articola la gestione del rischio, un’indagine condotta dal Dipartimento di Management dell’Università di Verona su un campione di circa 200 Pmi nel territorio nazionale, evidenzia che oltre l’80% delle Pmi procede sistematicamente all’identificazione dei rischi, nella maggior parte dei casi con un orizzonte temporale annuale. Circa il 30% delle aziende si sofferma su un arco temporale più breve, per far fronte alla volatilità del contesto di business. Meno del 20% delle aziende estende l’identificazione dei rischi oltre l’anno, uno sforzo che sembra essere vano proprio a motivo della elevata volatilità dei mercati e delle congiunture geopolitica e sociale.

«Per l’identificazione e la valutazione dei rischi le aziende si avvalgono prevalentemente dell’impiego di checklist e/o di analisi “SWOT” (Strengths, Weaknesses, Opportunities, Threats) sviluppate mediante sessioni di brainstorming. Queste ultime sono indicate dalle best practices internazionali come particolarmente efficaci, perché consentono al personale di dialogare e di confrontarsi. Il rischio è che possano essere dispersive, e per limitare questa evenienza è opportuno che il facilitatore delle sessioni sia persona di comprovata esperienza negli ambiti di risk management e/o di strategia aziendale – commenta Florio – A questo riguardo, una via da esplorare consiste nell’avvalersi di consulenti esterni come facilitatori di un dialogo all’interno dell’impresa. Specialmente quando le risorse interne sono limitate, infatti, le Pmi possono beneficiare dell’esperienza di professionisti specializzati in risk management, che possono offrire una prospettiva oggettiva e aiutare a sviluppare strategie di gestione del rischio più efficaci. La ricerca condotta evidenzia che circa il 40% delle Pmi che hanno partecipato alla survey si avvale del supporto di consulenti esterni, quantomeno per l’identificazione dei rischi. Con riferimento all’elaborazione di checklist, questo è senz’altro il punto di partenza in qualsiasi sistema di risk management; tuttavia, a lungo andare, se non riviste e aggiornate sistematicamente, le checklist possono rivelarsi insidiose».

Prosegue Florio: «Lo stimolo al miglioramento continuo deve rimanere sempre vivo e in questo gioca un ruolo cruciale la cultura che il vertice aziendale (top management team) instilla nell’organizzazione aziendale tutta. Circa il 30% delle aziende dichiara di non procedere alla valutazione dei rischi, neanche di quelli ritenuti più significativi, fermandosi invece all’identificazione dei rischi stessi e all’espressione di un giudizio qualitativo. L’impiego di tecniche quantitative per la valutazione dei rischi basate su metodi statistici è limitato perlopiù ai rischi afferenti al processo produttivo (es. FMEA - Failure Mode and Effect Analysis - metodologia utilizzata per analizzare le modalità di guasto o di difetto di un processo, prodotto o sistema) – chiarisce – Il 50% delle Pmi redige regolarmente dei report sui rischi per l’alta direzione, così da assicurare un dialogo continuo nella duplice direzione top-down e bottom-up che si è rivelato di fondamentale importanza per l’efficacia del risk management anche nelle realtà aziendali più grandi (Florio & Leoni, 2017). Infine, il 60% delle Pmi dispone di procedure per monitorare i rischi, in modo tale da introdurre tempestivamente le misure necessarie per minimizzare l’impatto dei rischi stessi».

Con riferimento all’approccio al risk management da parte delle Pmi, «due sono gli aspetti sui quali mi sento in dovere di porre l’attenzione alla luce delle conoscenze maturate in oltre un decennio di ricerca scientifica sul tema. Il primo aspetto è la necessità di adottare un approccio integrato alla gestione dei rischi. Storicamente, il risk management si è sviluppato con un approccio per “silos”, secondo il quale ogni direttore si occupa della gestione dei rischi che ricadono nella propria area/funzione. Un simile approccio tende a generare una visione dei rischi e una risposta ai rischi frammentate, che possono essere non solo inadeguate, ma persino pericolose. L’approccio per silos, infatti, tende a trascurare i rischi che «cadono tra i silos» e quelli che possono «impattare su più silos».

A titolo esemplificativo, l’introduzione di nuove norme sulla sostenibilità può generare rischi che impattano non solo sugli obiettivi di compliance, ma anche sugli obiettivi strategici (es. quote di mercato), operativi (es. efficienza del processo produttivo, gestione degli sprechi) e di comunicazione (es. marketing dei prodotti, report di sostenibilità). Per superare i limiti dell’approccio “tradizionale” alla gestione dei rischi, i framework internazionali (COSO, 2004, 2017; ISO 31000, 2015) da tempo promuovono un approccio integrato, noto con l’acronimo ERM – Enterprise (-wide) Risk Management».

Secondo questo approccio, la gestione dei rischi è un processo coordinato dal vertice aziendale ma che coinvolge tutta l’organizzazione. Il processo si esplica tanto nella fase di formulazione della strategia aziendale quanto nella sua esecuzione ed è progettato per individuare eventi potenziali che possono influire sull’attività aziendale, per gestire il rischio entro i limiti del rischio accettabile e per fornire una ragionevole sicurezza sul conseguimento degli obiettivi aziendali. Rispetto alle aziende di grandi dimensioni, le Pmi possono essere agevolate nell’adozione di questo approccio essendo le funzioni aziendali meno frammentate ed essendo le competenze delle figure direzionali più trasversali.

«Il secondo aspetto consiste nella necessità di abbandonare l’idea che ci sia un modello di risk management valido per tutte le realtà aziendali, per cui le Pmi devono “copiare” dalle grandi imprese. Viceversa, è fondamentale adottare un approccio sartoriale, definendo il modello più efficace - e più snello - per la propria organizzazione in un certo momento storico, ovvero date le circostanze esterne, gli obiettivi da raggiungere e la situazione esistente – aggiunge ancora la professoressa Florio – Gli strumenti adottati e i processi implementati saranno poi soggetti a rifiniture e miglioramenti al modificarsi delle circostanze interne ed esterne. Ma l’importante è muovere i primi passi, partendo da un progetto iniziale ragionevolmente fattibile per poi integrare sempre di più il risk management nel sistema d’impresa, fino a che diviene un processo continuo. Questo percorso richiede uno sforzo significativo, ma che può essere graduato e ponderato sulle specifiche necessità della Pmi. Passo dopo passo, si plasmerà una nuova cultura manageriale più aperta al cambiamento e con essa una nuova cultura del rischio, più aperta a cogliere anche le opportunità che possono derivare da eventi che originano come negativi».

GOVERNARE L’INATTESO: LA LEZIONE DEL COVID

Un esempio interessante a quest’ultimo riguardo può essere tratto dalla ricerca condotta da Florio & Brotto (2023) su un campione di concessionarie automobilistiche in relazione alla loro risposta alla pandemia da Covid-19. Queste aziende hanno dovuto fronteggiare diversi rischi durante la pandemia, come il rischio di fornitura (carenza di veicoli prodotti dagli OEM - Original Equipment Manufacturers e di pezzi di ricambio), il rischio di domanda (fluttuazione della domanda) e i rischi finanziari che derivano da entrambi i rischi precedenti. Prima del Covid, le concessionarie ricalcavano le caratteristiche più comuni delle Pmi: un approccio difensivo rispetto ai rischi, una gestione del rischio solo parzialmente formalizzata, un insieme ristretto di rischi ben noti e familiari (rischi strategici, di mercato e finanziari) il cui impatto è stimato durante il processo di budgeting. Gli indicatori di rischio (KRI) e i livelli di soglia non venivano né identificati né implementati. Durante la pandemia, tuttavia, le concessionarie hanno modificato ampiamente il loro atteggiamento, adottando un mix di indicatori di rischio, prioritizzando i rischi con una visione dinamica, monitorandoli regolarmente attraverso i sistemi informativi aziendali e implementando risposte adattive attraverso decisioni attive basate su KRI costantemente aggiornati e analisi degli scenari.

Dopo lo shock iniziale, che ha imposto aggiustamenti temporanei del modello di business all’interno dei processi operativi già esistenti, le concessionarie hanno lavorato intensamente per la loro resilienza, a livello sia strategico sia operativo. Hanno adottato processi di gestione del rischio con l’obiettivo di migliorare la resilienza del loro business, comprendendo le conseguenze della crisi nel breve e nel lungo termine, e concentrandosi sulle parti dell’organizzazione maggiormente colpite. Hanno sviluppato la capacità di gestire il cambiamento, sfruttando le risorse già disponibili e (quando possibile) acquisendo nuove risorse per creare la soluzione più efficace ed efficiente possibile.

I manager intervistati hanno riferito che, dopo lo shock iniziale, hanno realizzato che i rischi emergenti stavano aprendo nuovi scenari di crescita in un settore saturo come quello automobilistico. Le novità legate alla pandemia di Covid-19 sono state la riorganizzazione dei processi di gestione del rischio delle concessionarie e la creazione di nuovi ruoli professionali (come i manager dell’innovazione e del cambiamento); cambiamenti nel modello di business; e un’accelerazione del processo di digitalizzazione delle concessionarie (ad esempio, l’implementazione di showroom virtuali e assistenti virtuali). Un manager ha affermato che “all’inizio e durante la pandemia, guardando i miei colleghi, la reazione più comune era quella di sospendere strategie e investimenti in attesa di maggiore certezza. Abbiamo deciso di fare esattamente l’opposto, rendendoci conto che era il momento di avviare un processo straordinario di ristrutturazione della concessionaria, per affrontare un nuovo scenario che alla fine è diventato definitivo”. Emerge da queste parole il grande potenziale delle Pmi, che presentano una grande capacità di apprendere rapidamente, di essere flessibili, di adattarsi ai cambiamenti non in modo passivo, ma innovando».

Peraltro, altre ricerche scientifiche evidenziano come le Pmi più innovative e aperte ai cambiamenti ambientali tendano a implementare sistemi di risk management più avanzati, che le porta a confrontarsi di più con i concorrenti e a pianificare rigorosamente le attività aziendali (Florio et al., 2022).

RISK MANAGEMENT: IL RUOLO DELLA GOVERNANCE

Alla luce di quanto esposto, è interessante capire qual è il ruolo della governance, del controllo interno e della gestione dei rischi nel potenziamento della managerializzazione delle Pmi. E inoltre, comprendere quali sono i benefici percepiti dalle imprese già managerializzate e le difficoltà percepite dalle Pmi non ancora managerializzate.

«La governance e il controllo interno sono fondamentali per garantire che le Pmi possano gestire in modo efficace i rischi legati alla loro attività. Una buona governance favorisce una chiara definizione dei ruoli, delle responsabilità e dei processi decisionali, mentre un efficace controllo interno contribuisce a prevenire frodi e inefficienze. L’imprinting dato dal vertice aziendale è fondamentale per approdare a un sistema di risk management valido nel supportare le decisioni aziendali e fronteggiare le avversità», sottolinea Florio.

Al riguardo, una ricerca finanziata dall’Università di Verona e altri soggetti ha permesso di rilevare come la governance influisca sul livello di implementazione dei sistemi di risk management (Florio et al., 2022). Dividendo il campione in due gruppi a seconda della bontà della governance rispetto alle best practices internazionali emerge che il 45% delle Pmi operanti della provincia di Vicenza ha una governance forte, mentre il restante 55% ha una governance considerata debole. Il primo gruppo presenta un sistema di risk management più evoluto, in particolar modo in relazione agli strumenti e ai meccanismi di valutazione e monitoraggio dei rischi. La presenza di un consiglio di amministrazione anziché un amministratore unico gioca un ruolo cruciale nello sviluppo e nel funzionamento di un sistema integrato di gestione dei rischi (ERM). Il consiglio di amministrazione è un organo collettivo formale nella struttura di governance in cui si combinano diverse sensibilità e consapevolezza del rischio. Ciò favorisce l’assunzione di dipendenti dedicati all’identificazione dei rischi e la predisposizione di report sui rischi rispetto a quanto avviene nelle Pmi guidate dall’amministratore unico. Non solo: il consiglio di amministrazione spinge di più sull’implementazione di specifici programmi di valutazione del rischio, sui controlli ex-post, sull’adozione di checklist per prevenire errori e di piani di emergenza per le contingenze.

Continua: «Nonostante il beneficio derivante dalla responsabilizzazione di un organo collegiale, a livello nazionale emerge che le Pmi tendono a concentrare la responsabilità del risk management nella persona del titolare o dell’amministratore delegato o del direttore generale. Solo nel 40% dei casi la responsabilità della gestione dei rischi è affidata a un organo collegiale, ovvero al consiglio di amministrazione».

UN SALTO CULTURALE NECESSARIO

Malgrado l’aumentata presenza anche sui mercati internazionali delle Pmi la figura del Risk Manager rappresenta ancora una rarità. Un recente studio condotto da PwC Italia in partnership con Nedcommunity ("Risk Management & Governance: lo stato dell’arte delle imprese italiane”) ha rivelato che solo un’azienda su due ha una funzione di risk management al proprio interno. Come aiutare le Pmi a compiere un salto culturale?

«Restringendo il campo di analisi alle sole Pmi operanti sul territorio nazionale si evince che meno del 5% delle società che hanno risposto al questionario conferma la presenza del risk manager: un dato che non sorprende, ma che fa riflettere – puntualizza – Ove presente, il ruolo del risk manager sta evolvendo verso una figura sempre più strategica, integrata nei processi decisionali e nella governance aziendale. Perché la presenza del risk manager apporti dei benefici, è necessario che questo professionista sia dotato di competenze multidisciplinari. Infatti, oltre alle competenze tecniche in analisi del rischio e gestione delle crisi, il risk manager deve avere una buona conoscenza delle normative nazionali e internazionali, capacità comunicative per interagire con vari stakeholder e competenze tecnologiche per utilizzare strumenti avanzati di gestione del rischio. In un approccio olistico al risk management, il risk manager si fa promotore della creazione e del rinnovamento sistematico della struttura e dei meccanismi di gestione dei rischi, ma non fa tutto da solo. Di nuovo, il vertice aziendale ha il compito di creare terreno fertile, promuovendo la formazione su temi di risk management, affinché i dirigenti e il personale tutto comprenda, innanzitutto, l’importanza della gestione del rischio e, successivamente, si doti di competenze in materia di risk management. Puntare sulla formazione e sullo sviluppo di una cultura aziendale che valorizzi la gestione del rischio, coinvolgendo tutti i livelli dell’organizzazione in questo delicato quanto cruciale processo, è la strategia vincente per migliorare significativamente la capacità delle Pmi di gestire i rischi e diventare più resilienti di fronte alle sfide future».

Improntare un sistema di risk management più evoluto richiede un investimento in termini di tempo e anche monetari, ma nel medio termine i benefici ricompensano gli sforzi profusi. Secondo i rapporti Mediobanca (2019, 2020), le aziende di medie dimensioni che adottano un sistema di gestione del rischio integrato (ERM) sono più inclini all’innovazione e alla competizione nel contesto dell’Industria 4.0 e ottengono performance migliori (circa il 34% in più di redditività operativa - ROI, return on investments - e il 39% in più di redditività netta - ROE, return on equity) rispetto alle imprese che adottano un approccio più tradizionale. Inoltre, le aziende che si avvalgono di un risk manager e che portano i temi legati alla gestione del rischio all’attenzione del consiglio di amministrazione ottengono performance migliori.

Ancora, un’indagine condotta sul territorio nazionale ha permesso di constatare come le Pmi che procedono alla valutazione dei rischi hanno conseguito un ROI mediamente più elevato rispetto alle Pmi che si fermano all’identificazione dei rischi prima, durante e dopo la pandemia da Covid-19. Inoltre, lungo tutto il periodo del Covid-19 e successivamente, le Pmi che hanno adottato un sistema formalizzato di risk management, quelle che hanno adottato sistemi di risk monitoring e quelle che hanno nominato/assunto un risk manager sono riuscite a contenere il livello di indebitamento rispetto alle altre Pmi. Paola Mattavelli

 

Note

[1] Indagine condotta dalla Prof.ssa Cristina Florio (Dipartimento di Management dell’Università d Verona) su un campione di circa 200 Pmi italiane.

2 Ricerca condotta mediante interviste ai manager di dieci concessionarie automobilistiche italiane.

3 Ricerca scientifica condotta da un team di ricercatori afferenti al Dipartimento di Management dell’Università di Verona e finanziata dall’Università congiuntamente a Confindustria Vicenza e KPMG Advisory Milan.

4 Indagine condotta dalla Prof.ssa Cristina Florio (Dipartimento di Management dell’Università d Verona) su un campione di circa 200 Pmi italiane.

5 Indagine condotta dalla Prof.ssa Cristina Florio (Dipartimento di Management dell’Università di Verona) su un campione di circa 200 Pmi italiane.

Bibliografia

T. Henschel, C. Florio, S. Jharni, and M. Stellmacher (2022). The impact of corporate social responsibility on advancing the enterprise risk management performance relationship in small and medium-sized enterprises, Journal of the International Council for Small Business. https://www.tandfonline.com/doi/abs/10.1080/26437015.2022.2091495?src=recsys&journalCode=ucsb20

C. Florio, F. Rossignoli, and G. Melloni (2022). Drivers of risk management in Small and Medium Enterprises: Which corporate governance features matter?, in C. Florio, M. Wieczorek-Kosmala, P. Linsley and P. Shrives (Eds), Risk Management - Insights from Different Settings Risk, Governance, and Society Series, Volume 20, Springer Nature, Cham. https://link.springer.com/book/10.1007/978-3-030-88374-4

C. Florio and G. Leoni (2017). Enterprise risk management and firm performance: The Italian case, The British Accounting Review, Special Issue “Accounting and Risk”, 49(1): 56-74, https://doi.org/10.1016/j.bar.2016.08.003

C. Florio and L. Brotto (2023), Enterprise Risk Management and resilience in SMEs during COVID-19 pandemic: The case of Italian dealerships, in S. Durst and T. Henschel (Eds), Small and Medium-Sized Enterprise (SME) Resilience - Strategies for Risk and Crisis Management, Management for Professionals Series, Springer Nature, Cham.

Committee of Sponsoring Organizations of the Treadway Commission (COSO). Enterprise risk management. 2004. https://www.coso.org/Documents/COSO-ERM-Executive-Summary.pdf

Committee of Sponsoring Organizations of the Treadway Commission (COSO). Enterprise Risk Management, Integrating with Strategy and Performance, 2017. https://www.coso.org/Shared%20Documents/2017-COSO-ERM-Integrating-with-Strategy-and-Performance-Executive-Summary.pdf

International Organization for Standardization (2015) ISO 31000: Risk management – a practical guide for SMEs.