ISO 31000.

Una norma generica, non un sistema di gestione

ISO 31000 è il riferimento internazionale per gestire il rischio di qualsiasi natura, in qualsiasi organizzazione. È volutamente generica. Gli stessi principi, lo stesso quadro di riferimento e lo stesso processo si applicano sia che il rischio in questione sia finanziario, operativo, strategico, legato alla sicurezza, ambientale o cyber. Questa ampiezza è proprio l'obiettivo. Una decisione di acquisto, l'ingresso in un nuovo mercato e un'esposizione a un ransomware possono essere valutati tutti con lo stesso vocabolario e la stessa logica, il che consente a un consiglio di amministrazione di confrontare rischi che altrimenti resterebbero in silos separati con valutazioni incompatibili.

L'equivoco più diffuso è trattare ISO 31000 come ISO 27001 o ISO 22301. Non è una norma di requisiti e non è certificabile. Non esiste alcun sistema di gestione ISO 31000 da sottoporre ad audit né alcuna qualifica di Lead Auditor ISO 31000, qualunque cosa pubblicizzino alcuni cataloghi di formazione. La norma offre linee guida da adattare, non requisiti a cui conformarsi. Le organizzazioni la integrano nel modo in cui già operano, anziché aggiungere un sistema certificato separato.

Principi, quadro di riferimento e processo

ISO 31000 si fonda su tre parti collegate che i professionisti imparano a tenere distinte. I principi enunciano come si presenta una buona gestione del rischio: è integrata nell'organizzazione, strutturata, adattata al contesto, inclusiva verso le parti interessate, dinamica, basata sulle migliori informazioni disponibili e orientata a creare e proteggere valore. Il quadro di riferimento riguarda la leadership e la governance, il modo in cui la gestione del rischio viene disposta, progettata, attuata, valutata e migliorata nel tempo affinché si radichi davvero. Il processo è il motore operativo che si esegue ripetutamente.

1. Stabilire il contesto. Definire l'ambito, gli obiettivi e l'ambiente interno ed esterno in cui vive il rischio.
2. L'identificazione, l'analisi e la ponderazione del rischio, che insieme formano la valutazione del rischio.
3. Il trattamento del rischio. Scegliere come modificare il rischio, quindi attuare e verificare i controlli.
4. La comunicazione, la consultazione, il monitoraggio e il riesame, che avvolgono l'intero ciclo e lo mantengono aggiornato.

Come si rapporta alle norme vicine

ISO 31000 è la norma madre. ISO 27005 applica la stessa logica di processo al rischio di sicurezza delle informazioni e si allinea a un sistema di gestione della sicurezza delle informazioni ISO 27001. EBIOS Risk Manager, il metodo francese pubblicato dall'ANSSI, è un modo concreto e basato su scenari di condurre una valutazione del rischio di sicurezza che si mappa sulle stesse fasi. Nessuna di queste contraddice ISO 31000; la specializzano. Un risk manager che comprende il processo generico può passare dall'una all'altra senza riapprendere i fondamenti, ed è per questo che la norma viene insegnata per prima.

Il vocabolario è condiviso tramite la Guida ISO 73, il documento complementare che definisce i termini della gestione del rischio affinché «probabilità», «conseguenza» e «trattamento del rischio» significhino la stessa cosa in tutti i documenti e in tutti i team. Concordare presto su tali definizioni evita le dispute sulle valutazioni che fanno deragliare molti workshop sul rischio.

Cosa ne fanno davvero i professionisti

In pratica, ISO 31000 plasma il registro dei rischi, i workshop di valutazione e la linea di reporting verso la direzione. Un risk manager la usa per giustificare perché un rischio viene assegnato, valutato e trattato in un certo modo, e per dimostrare che l'approccio è coerente anziché improvvisato caso per caso. Poiché la norma non è certificabile, il modo riconosciuto per dimostrare la competenza è attraverso una credenziale personale. Il percorso PECB si articola in Foundation, poi Risk Manager, poi Lead Risk Manager, partendo dalla conoscenza dei concetti fino alla guida di un programma di gestione del rischio in tutta un'organizzazione.