Enterprise Risk Management: il modello BPM e gli attori coinvolti

Massimo Colombo

Business Process Informatisation Srl Bergamo, 23.9.2010

34%66%

Percezione del Risk Management

Fonte UNI (Ente Nazionale di Normazione)

Campione 45 esperti e 300 aziende

Enterprise Risk Management in USA

• 45% have no formal Enterprise Risk Management program

• 49% have a program in development

• Still only 6% consider Enterprise Risk Management fully operational

6%

49%

30%

15%

0%

10%

20%

30%

40%

50%

Yes — fully

operational

Yes — in

development

No — but

considering

developing

No — have not yet

considered

Deloitte & Touche Observations

1. Risk Management Standard (IRM, ALARM and AIRMIC) U.K.

2. AZ/NZS 4360:2004 Risk Management Standard.

3. COSO Enterprise Risk Management, U.S.

4. Canadian Government Sector Standard.

5. ISO 31000 Risk Management – Guidelines on principles and implementation of risk management.

6. ISO Guide 73 – Risk Management Vocabulary.

7. BS 31100 Code of practice for risk management.

Norme Internazionali

Il rischio può esser definito come lacombinazione delle probabilità di un evento e delle sue conseguenze

Il risk management fa parte integrante del management strategico di ogni organizzazione.È il processo attraverso il quale leorganizzazioni affrontano i rischi legati alle loro attività con lo scopo di ottenere benefici durevoli nell’ambito di ogni attività, in generale e in particolare.

Concetti Base: Definizione di Rischio

(ISO/IEC 73 - ISO 31000)

Diverse tipologie di rischi d’impresa

Rischi

� Strategici

� Finanziari

� Operativi

� Potenziali

Fattori

� Esterni

� Interni

Identificazione degli eventi

Rischi Strategici

Business PortfolioQuote di mercato

Allocazione delle RisorseCiclo di vita dei prodotti

Sviluppo Know howLeadership

Struttura organizzativaPianificazione risorsePianificazione mercatiFusioni / Acquisizioni

Joint Ventures / Alleanze

Rischi Strategici

Business PortfolioQuote di mercato

Allocazione delle RisorseCiclo di vita dei prodotti

Sviluppo Know howLeadership

Struttura organizzativaPianificazione risorsePianificazione mercatiFusioni / Acquisizioni

Joint Ventures / Alleanze

Rischi Esterni

Nuovi mercatiCambiamenti socio politici

ConcorrenzaDisponibilità di capitali

Leggi e RegolamentiTrend EconomiciNuove tecnologie

Information TechnologyPortatori di interesse

Rischi Esterni

Nuovi mercatiCambiamenti socio politici

ConcorrenzaDisponibilità di capitali

Leggi e RegolamentiTrend EconomiciNuove tecnologie

Information TechnologyPortatori di interesse

Rischi FinanziariRischi Finanziari

Valuta/Tassi di cambio

Valuta/Tassi di cambio

Mancanza diautorizzazioniMancanza di

autorizzazioni

LiquiditàLiquidità

Tassi di interesseTassi di interesse

ProdottiDerivatiProdottiDerivati

ROIROI

Gestione fiscaleGestione fiscale

Flussi monetariFlussi monetari

Gestione Investimenti

Gestione Investimenti

PagamentiPagamenti

Riciclaggiodanaro

Riciclaggiodanaro

Diversificareil portafoglioDiversificareil portafoglio

Soddisfazionedel cliente

Soddisfazionedel cliente

Rischi GestionaliRischi Gestionali

Salute e SicurezzaSalute e Sicurezza

HumanResources

HumanResources

Logistica e distribuzione

Logistica e distribuzione

Pricing di prodottoPricing di prodotto

Erosione MarchioErosione Marchio

LicenzeLicenze

Redditività Clientela

Redditività Clientela

Time tomarketTime tomarket

Sviluppare prodotti

Sviluppare prodotti AmbienteAmbiente

FrodiFrodi

AttiIllegali

AttiIllegali

Gestione AcquistiGestione Acquisti

QualitàQualità

Mantenerela ClientelaMantenerela Clientela

Sicurezza Informazioni

Sicurezza Informazioni

Carenzanel servizio

Carenzanel servizio

Passività deiterzi

Passività deiterzi

Impegnicontrattuali

Impegnicontrattuali

Interruzioneattività

Interruzioneattività

Sviluppo del BusinessSviluppo del Business

Free cashflow

Free cashflow

Probabilità Impatto Insignificante Basso Moderato Elevato Catastrofico

Quasi Certo Alto Alto Estremo Estremo Estremo

Probabile Moderato Alto Alto Estremo Estremo

Moderata Basso Moderato Alto Estremo Estremo

Improbabile Basso Basso Moderato Alto Estremo

Rara Basso Basso Moderato Alto Alto

Modello di valutazione del rischio

Rischi da monitorare

Rischi da affrontare

Air Temperature ( °°°° F)

10 5 0 -5 -10 -15 -20 -25 -30 -35 -40 -45

5 >2h >2h >2h >2h 31 22 17 14 12 11 9 8

10 >2h >2h >2h 28 19 15 12 10 9 7 7 6

15 >2h >2h 33 20 15 12 9 8 7 6 5 4

20 >2h >2h 23 16 12 9 8 8 6 5 4 4

25 >2h 42 19 13 10 8 7 6 5 4 4 3

30 >2h 28 16 12 9 7 6 5 4 4 3 3

35 >2h 23 14 10 8 6 5 4 4 3 3 2

40 >2h 20 13 9 7 6 5 4 3 3 2 2

45 >2h 18 12 8 7 5 4 4 3 3 2 2

50 >2h 16 11 8 6 5 4 3 3 2 2 2

Wet skin could significantly decrease the time for frostbite to occur.FROSTBITE RISK

LOW – freezing is possible, but unlikely (WHITE)HIGH – freezing could occur in 10-30 minutes (LIGHT BLUE)

SEVERE – freezing could occur in 5-10 minutes (DARK BLUE)EXTREME – freezing could occur in < 5 minutes (PURPLE)

Time in minutes or hours until the occurrence of ch eek frostbite in the most susceptible 5 percent of personnel

WindSpeed (mph)

Esempio di valutazione del rischio(fonte U.S. Army)

Storia dell’ERM

1970sRisk management gains wider acceptance

1980sCompanies begin Risk departments, typically focused on insurance

1990sRisk management matures as companies begin to focus on “business risk”

19801970 1990 2000

2004Release of COSO ERM Integrated Framework

19601950

1950s-1960sTraditional Risk Management (“TRM”)

1977Foreign Corrupt Practices Act (“FCPA”)

Early 1980sIncreased focus on internal control and compliance

1985National Commission on Fraudulent Financial Reporting —Treadway Commission

1992Committee of Sponsoring Organizations (“COSO”) published Internal Control —Integrated Framework

1990s-2000Continued focus on internal control, risk management, and responsibilities(Blue Ribbon Commission, Competency Framework for Internal Audit, others)

2002Sarbanes-Oxley Act of 2002

DEFINIZIONE DEGLI OBIETTIVI

IDENTIFICAZIONE EVENTI

VALUTAZIONE RISCHI

RISK RESPONSE

INFORMAZIONE & COMUNICAZIONE

MONITORING

ATTIVITA’ DI CONTROLLO

AMBIENTE INTERNO

COMPONENTI DELL’ ERMCOMPONENTI DELL’ ERMCOME

Scopo è guidare i manager per valutare e migliorare la gestione del rischio aziendale complessivamente intesa attraverso un modello integrato che intende comprendere tutti i rischi aziendali

L’ERM frameworkrappresenta il modello di riferimento a livello internazionale per la gestione del rischio. Esso definisce gli elementi essenziali e una chiara guida per la gestione del rischio

CoSo (Commitee of Sponsoring Organizations) framework

IN UN CONTESTO INTEGRATOIN UN CONTESTO INTEGRATO

DOVE

PER CONSEGUIRE OBIETTIVI DI TIPOPER CONSEGUIRE OBIETTIVI DI TIPO

COSA

per gestire il rischioentro i limiti accettabili e per fornire la ragionevole sicurezza sul conseguimento degli obiettivi aziendali

CoSo Enterprise Risk Management(Commitee of Sponsoring Organizations)

www.coso.org

Monitoring

Information and Communication

Control Activities

Risk Response

Risk Assessment

Event Identification

Objective Setting

Internal Environment

Componente direzionale

Componente manageriale

Quattro i momenti fondamentali:1.Definizione obiettivi2.Risk assessment

a) Identificazioneb) Stima c) Valutaz dei rischi

3.Trattamento dei rischi4.Monitoring

Modello di processo del ERM

DETERMINA CONSAPEVOLEZZA degli obiettivi

�L’Analisi deve essere sistemica ed applicata ai

processi di business (Processi Stabili e Ripetibili)

Modello di processo del ERM e BPM

COME

BPM il valore della semplicità

Un modello di ERM deve essere il più possibile semplice e fare uso di tools intuitivi, perché deve essere:

a) Comprensibile e applicabile per i pertinenti livelli e

ruoli dell’organizzazione;

b) Verificabile e manutenibile al mutare delle condizioni

di Business ed in funzione della conoscenza acquisita.

MyQuipu BPM

BPM il valore della semplicità

COSA

TO DO dei processi dell ERM

DOVE

GANTT di processo

Keep Risk Indicator di processo

Keep Risk Indicator di processo

Analisi e riesame dei processi

Keep Risk Indicator di processo

KRI

Web access del “TO DO”

Connessione posta e ERP

Scelta interfaccia utente

Modellazione processi

Tecnologia ICT alla base: myQuipu BPM

Funzioni aziendali coinvolte:

� CDA

� Amministratori esecutivi

� I singoli centri di responsabilità

� La funzione di risk management

� La funzione di internal auditing

Gli attori dell’ERP

Un modello di ERM, senza supporto organizzativo riconosciuto da tutte le

componenti coinvolte non può funzionare!

L’ERM

SUPPORTATO DAL

BPM

FAVORISCE LA GESTIONE

DELL’INCERTEZZA SUI RISCHI E

CONTRIBUISCE

A CREARE IL VALORE PER L’AZIENDA

ERM vs BPM

B.P.I. Business Proccess Informatisation Srl

c/o Acceleratore d’Impresa del Politecnico di Milano(www.bpi-srl.it)

m.colombo@bpi-srl.it

Chi siamo

Grazie per l’attenzione

«Tre sono le regole principali del mondo del lavoro: dal disordine e dalla confusione cercate di tirare fuori la semplicità; nei contrasti ricercate l'ironia e, infine, ricordate che l'opportunità risiede proprio nel bel mezzo delle difficoltà» (Albert Einstein)