Come creare un registro dei rischi con l'IA: Guida completa

Un registro dei rischi è una tabella che elenca cosa potrebbe andare storto e quanto sia probabile che accada. Registra inoltre l'entità del danno, chi ne è il responsabile e cosa si è deciso di fare. La maggior parte dei team crea il primo registro dopo che si è verificato un problema che nessuno aveva previsto per iscritto. Questa guida illustra sia il percorso manuale sia quello più rapido, che utilizza esportazioni di dati già in vostro possesso.

Cos'è un registro dei rischi

La definizione più chiara proviene dal glossario del NIST, che lo definisce come «un archivio di informazioni sui rischi, inclusi i dati raccolti sui rischi nel corso del tempo».

Una seconda voce nella stessa pagina è più utile per il lavoro pratico. Descrive un registro centrale dei rischi attuali per un determinato ambito o organizzazione.

Questa voce fa poi una distinzione che la maggior parte dei modelli tralascia. I rischi attuali includono sia quelli che avete accettato sia quelli che prevedono un percorso di mitigazione pianificato.

L'idea di fondo è proprio questa. Un registro dei rischi non è un elenco di problemi in attesa di essere risolti. È un registro di decisioni, e l'annotazione «abbiamo valutato questo aspetto e abbiamo deciso di conviverci» è una voce del tutto legittima.

Questa distinzione ha una conseguenza pratica. Se mancano i rischi accettati, nessuno sarà in grado di distinguere tra un rischio valutato e scartato e uno che non è mai stato individuato. Sei mesi dopo, questi due casi sembreranno identici, ma solo uno di essi rappresenta un fallimento.

Una nota di definizione dell'ambito prima di iniziare. Il materiale del NIST si colloca in un contesto federale e di cybersecurity. La sua voce di glossario rimanda alla circolare OMB A-11 per i contenuti che un registro federale deve contenere. Quella che segue qui è la versione gestionale di cui la maggior parte dei team ha effettivamente bisogno, non un registro strutturato per uno standard di conformità. Se state effettuando la registrazione nell'ambito di un framework specifico, utilizzate l'elenco dei campi di quel framework.

Tuttavia, un concetto tratto da quella letteratura si applica anche qui. Il documento IR 8286 del NIST è incentrato proprio sui registri. Il suo abstract spiega «il valore di aggregare le misure di rischio, solitamente gestite a livelli inferiori di sistema e organizzazione, verso il più ampio livello aziendale».

Questo è un aspetto da considerare fin dalla prima versione. Un registro i cui punteggi si basano su cifre comparabili può essere unito a quello di un altro team; uno basato su valutazioni soggettive personali non può esserlo.

Cosa serve prima di iniziare

Tre elementi di input, che raramente si trovano nello stesso posto.

• Un elenco dei pericoli. Qualsiasi cosa preoccupi già il vostro team, a prescindere da quanto sia registrata in modo informale.
• Dati sull'esposizione. Spesa per i fornitori, termini contrattuali, organico per sede, inventario dei sistemi, storico degli incidenti.
• Una mappa dei responsabili. Chi può effettivamente prendere decisioni, non chi ha segnalato il problema.

È inoltre necessario concordare in anticipo un valore numerico. Si tratta della soglia di impatto al di sopra della quale un elemento deve essere inserito nel registro dei rischi. Senza di essa, la tabella si riempirà di voci su cui nessuno interverrà mai.

Impostatela con le stesse unità di misura dei vostri dati di esposizione. Una soglia espressa in spesa annuale è verificabile; una soglia definita semplicemente come «rilevante» riaprirà la discussione a ogni revisione.

Come crearne uno manualmente

Opzione 1: Una singola tabella in un foglio di calcolo

Una riga per ogni rischio, con probabilità e impatto come colonne. È così che inizia quasi ogni registro e, per un team di piccole dimensioni, questo è sufficiente.

Il costo è la manutenzione. Ogni riga viene digitata a mano e il registro diventa obsoleto già la settimana successiva al workshop in cui è stato creato.

Opzione 2: Assegnare un punteggio ai rischi e ordinarli

Aggiungete una valutazione per la probabilità e una per l'impatto, moltiplicatele e ordinate la tabella. Ora la tabella ha un ordine preciso, che è la prima cosa che la rende utile durante una riunione.

L'ostacolo è la coerenza. Due persone che valutano lo stesso rischio a distanza di un mese non saranno d'accordo, e nulla nel foglio di calcolo è in grado di rilevare questa discrepanza.

Opzione 3: Basare i punteggi sui propri dati

Questa è la versione che resiste a qualsiasi obiezione. Invece di valutare il rischio legato a un fornitore basandosi sui ricordi, si estraggono i dati reali. La spesa annuale, il periodo di preavviso contrattuale e il numero di team che dipendono da quel fornitore concorrono a definire la valutazione dell'impatto.

Le linee guida di Ready.gov della FEMA indicano la stessa direzione per il rischio fisico. La sua pagina di valutazione del rischio suggerisce alle aziende di «cercare vulnerabilità o punti deboli che potrebbero rendere l'attività più suscettibile ai danni derivanti da un pericolo». Tali punti deboli, si osserva, «contribuiscono alla gravità del danno quando si verifica un incidente».

La stessa pagina imposta la risposta in termini di investimento. Gli impatti «possono essere ridotti investendo nella mitigazione». Laddove l'impatto potenziale sia significativo, lo sviluppo di una strategia di mitigazione «dovrebbe essere una priorità assoluta».

Questo è il metodo corretto, ma anche il più lento. Ogni rischio richiede di consultare un'esportazione di dati diversa.

Come creare un registro dei rischi con l'IA

Passo 1: Caricare le esportazioni che descrivono l'esposizione

Aprite Powerdrill Bloom e caricate i file in vostro possesso: l'esportazione delle spese dei fornitori, l'elenco dei contratti, l'inventario dei sistemi, i registri degli incidenti passati. Caricateli tutti insieme anziché uno alla volta.

Quindi descrivete il vostro ambito di applicazione in linguaggio naturale. Specificate quale parte dell'azienda è coperta dal registro, qual è la vostra soglia di impatto e quale scala di punteggio utilizzate.

Passo 2: Richiedere i dati di esposizione per rischio, non le valutazioni

Richiedete una tabella con una riga per ogni potenziale rischio, contenente i dati che dovrebbero determinare il punteggio: spesa annuale, numero di team dipendenti, periodo di preavviso e numero di incidenti nell'ultimo anno.

Richiedete la fonte di ogni dato. La piattaforma restituirà una risposta documentata, indicando la pagina e la riga da cui proviene ciascun numero. In un registro dei rischi, questa tracciabilità fa la differenza tra un punteggio difendibile e uno che non lo è.

Assegnate voi stessi il punteggio basandovi su tali dati. La valutazione discrezionale è la parte che deve rimanere umana.

Passo 3: Aggiungere le decisioni ed esportare

Per ogni riga, registrate la decisione: accettare, mitigare, trasferire o evitare. Laddove la decisione sia mitigare, aggiungete l'azione pianificata, il responsabile e la data di revisione.

Quindi esportate la tabella, ordinata per punteggio. Conservate le colonne con i dati di esposizione anziché eliminarle. La revisione del trimestre successivo partirà proprio dalla verifica dell'eventuale variazione di tali numeri.

Se il registro diventa un documento ricorrente, le attività pianificate sono incluse in ogni piano, con una nel piano Free e 20 a partire dal piano Pro in su. Un aggiornamento trimestrale è l'ideale per la maggior parte dei team.

Cosa inserire in ogni riga

Colonna	Perché merita un posto
Descrizione del rischio	Scritta come causa ed effetto, non come argomento generico
Probabilità	Metà del punteggio, ed è la parte che le persone tendono a indovinare
Impatto	Dovrebbe essere riconducibile a un dato reale
Dato di esposizione	Il valore numerico da cui deriva la valutazione dell'impatto
Decisione	Accettare, mitigare, trasferire o evitare
Mitigazione e responsabile	Ha senso solo se viene indicata una singola persona
Data di revisione	Senza di essa, il registro invecchia in silenzio

La colonna del dato di esposizione è quella che la maggior parte dei modelli omette. Mantenerla trasforma una valutazione soggettiva in qualcosa che il revisore successivo può verificare.

Best practice ed errori comuni

Registrate anche i rischi accettati. Un registro che contiene solo elementi aperti è una semplice lista di cose da fare. Le voci accettate sono ciò che vi protegge quando, in un secondo momento, qualcuno vi chiederà se quel rischio sia mai stato preso in considerazione.

Scrivete i rischi come causa ed effetto. «Concentrazione dei fornitori» è un argomento generico. «La nostra fatturazione dipende da un unico fornitore con un periodo di preavviso di 90 giorni» è un rischio a cui è possibile assegnare un punteggio.

Collegate l'impatto a un numero. Anche una cifra approssimativa è meglio di una valutazione inventata di sana pianta, e rende la revisione successiva un confronto anziché una nuova discussione.

Assegnate un unico responsabile a ogni riga. La responsabilità condivisa di un rischio significa quasi sempre che nessuno lo ha esaminato; il responsabile dovrebbe essere colui che ha l'autorità di approvare la mitigazione.

Impostate le date di revisione per riga, non per l'intero registro. Il rischio legato a un fornitore e un rischio normativo si muovono con tempistiche diverse, e un'unica verifica trimestrale li tratterebbe erroneamente allo stesso modo.

Tenetelo separato dalle prestazioni dei fornitori. Utilizzano esportazioni di dati parzialmente sovrapposte ma rispondono a domande diverse. Valutare un fornitore in base alla consegna e alla qualità è un argomento trattato nella nostra guida sulla supplier scorecard; un registro riguarda invece ciò che accade in caso di inadempienza di quel fornitore.

Definite i termini una volta sola. Le fasce di probabilità e i livelli di impatto devono avere lo stesso significato per chiunque assegni i punteggi. Si tratta della stessa disciplina descritta nella nostra guida pratica sulla creazione di un data dictionary. Se l'output diventa un documento permanente, la pagina dell'AI report generator ne mostra la struttura.

Conclusione

Un registro dei rischi si rivela utile perché trasforma preoccupazioni sparse in un registro strutturato di decisioni, inclusa quella di accettare un determinato rischio e andare avanti. La parte difficile non è mai il layout della tabella, bensì basare ogni valutazione dell'impatto su un numero reale anziché su una sensazione.

Costruite il registro dei rischi a partire dalle esportazioni di dati già in vostro possesso e mantenete visibili i dati di esposizione accanto ai punteggi. Assegnate a ogni riga un responsabile e una data di revisione.

Avete già a disposizione le esportazioni dei fornitori e degli incidenti? Provate Powerdrill Bloom e create la prima versione già questa settimana.

Domande frequenti

Cos'è un registro dei rischi?

Il glossario del NIST lo descrive come un archivio di informazioni sui rischi che raccoglie quanto compreso sui rischi nel corso del tempo. In pratica, si tratta di una tabella che registra ciascun rischio, la sua valutazione, il suo responsabile e la decisione presa al riguardo.

Quali colonne dovrebbe avere un registro dei rischi?

Al minimo: il rischio descritto come causa ed effetto, la probabilità, l'impatto e il valore numerico alla base della valutazione dell'impatto. Successivamente, la decisione, la mitigazione con il relativo responsabile e una data di revisione.

I rischi accettati devono rimanere nel registro?

Sì. La definizione del NIST prevede che i rischi attuali includano sia i rischi accettati sia quelli con un percorso di mitigazione pianificato. Rimuovendo gli elementi accettati si perderebbe la traccia di tale decisione.

Con quale frequenza deve essere revisionato?

Impostate le date di revisione per singola riga anziché per l'intero documento, poiché le diverse categorie di rischio cambiano con tempistiche differenti. Una verifica trimestrale delle righe con il punteggio più alto è adatta per la maggior parte dei team.

È la stessa cosa di una valutazione del rischio (risk assessment)?

No. Ready.gov descrive la valutazione del rischio (risk assessment) come il processo di identificazione dei pericoli e di analisi di ciò che potrebbe accadere. Il registro è il documento concreto che raccoglie i risultati e le decisioni.