Tutto ciò che può andare storto, andrà storto e la ISO 9001 lo sa. Anzi, ci ha scritto un paragrafo intero.
Edward A. Murphy Jr. era un ingegnere aeronautico della United States Air Force. Nel 1949, durante un esperimento sui sensori di accelerazione applicati a un pilota, scoprì che un tecnico aveva montato tutti e sedici i sensori nel verso sbagliato. La sua reazione fu, più o meno: “Se esiste un modo per fare una cosa nel modo sbagliato, qualcuno lo troverà.”
Quella frase, semplificata e resa universale, diventò la Legge di Murphy. Ed è probabilmente la sintesi più onesta mai scritta del motivo per cui esiste la gestione del rischio.
Murphy non era un pessimista. Era un ingegnere. E come tale sapeva che i sistemi complessi non falliscono per sfortuna: falliscono perché qualcuno non ha previsto che potessero fallire. La differenza tra la sfortuna e il rischio è esattamente questa: la sfortuna è imprevedibile, il rischio è identificabile, valutabile e — almeno in parte — governabile.
La ISO 9001:2015 ha costruito un intero approccio su questo principio. Lo chiama risk-based thinking — pensiero basato sul rischio — e lo ha introdotto come filo conduttore di tutta la norma a partire dalla revisione del 2015. In sostanza: prima di fare una cosa, chiediti cosa può andare storto. E poi decide cosa fare al riguardo.
Murphy avrebbe apprezzato. Probabilmente avrebbe anche aggiunto che qualcuno, da qualche parte, avrebbe comunque dimenticato di farlo.
“Se qualcosa può andare storto, andrà storto. Nel momento peggiore possibile. Con le conseguenze più scomode possibili. Quando meno te lo aspetti.”
— Legge di Murphy, nella sua formulazione più completa. Non citata nella ISO 9001, ma implicitamente presente in ogni suo paragrafo.
Murphy in azienda: i corollari che nessuno vuole sentire Prologo
La Legge di Murphy non è sola. Nel corso dei decenni, ingegneri, tecnici e responsabili qualità di tutto il mondo hanno sviluppato una serie di corollari che chiunque lavori in azienda riconoscerà con un sorriso amaro.
Primo Corollario: Se tutto sembra andare bene, evidentemente hai trascurato qualcosa.
— Murphy ISecondo Corollario: La natura prende sempre le parti del difetto nascosto.
— Murphy IITerzo Corollario (Aziendale): Il fornitore critico chiama per comunicare un ritardo di tre settimane il giorno prima della consegna al cliente più importante dell’anno.
— Murphy III, versione supply chainQuarto Corollario (ISO): La non conformità che non hai gestito torna sempre fuori durante l’audit di sorveglianza. Con l’auditor più preciso che ti sia mai capitato.
— Murphy IV, versione sistemi di gestioneQuinto Corollario (Universale): La stampante si inceppa solo quando stai stampando l’unico documento che ti serve fisicamente e hai tre minuti.
— Murphy V, immutabile attraverso le epocheIl Quinto Corollario non ha soluzione normativa. Nemmeno la ISO 9001:2026, attualmente in revisione, ha affrontato il tema delle stampanti. C’è ancora speranza.
Cos’è davvero il rischio: Murphy vs. la norma Le basi
Prima di parlare di come gestire il rischio, vale la pena chiarire cosa si intende con questa parola — perché nel linguaggio comune e in quello normativo esistono sfumature importanti che spesso vengono ignorate.
Nel linguaggio comune, “rischio” è sinonimo di pericolo, di qualcosa di brutto che potrebbe succedere. Nel linguaggio della norma ISO, il rischio è l’effetto dell’incertezza sugli obiettivi — e può essere sia negativo (minaccia) sia positivo (opportunità).
Murphy, che era un ingegnere pragmatico, si occupava solo della parte negativa. La norma è più ottimista: dice che dove c’è incertezza ci sono anche opportunità. Il mercato cambia? Rischio. Ma anche occasione per chi è pronto. Il fornitore storico chiude? Rischio. Ma anche spazio per trovarne uno migliore.
Confronto diretto — stesso scenario, due prospettive
Murphy: “Il vostro principale cliente ha appena comunicato una riduzione degli ordini del 30%. Questo andrà storto.”
ISO 9001 §6.1: “Avete identificato questo scenario come rischio nel vostro registro? Avete valutato la probabilità e l’impatto? Avete definito azioni per affrontarlo? E avete anche considerato che questa riduzione potrebbe spingervi a diversificare il portafoglio clienti — che era una vostra opportunità latente da tre anni?”
Murphy: “…non avevo considerato la parte delle opportunità.”
ISO: “Lo sappiamo. Per questo esiste il paragrafo 6.1.”
ISO 9001:2015 §6.1 — Azioni per affrontare rischi e opportunità: L’organizzazione deve pianificare le azioni per affrontare rischi e opportunità, come integrarle nei processi del sistema di gestione e valutarne l’efficacia. La norma non richiede un registro del rischio formale, non impone una metodologia specifica, non chiede un software dedicato. Chiede che il pensiero basato sul rischio sia parte del modo in cui l’organizzazione lavora. Ogni giorno. Non solo quando Murphy bussa alla porta.
La valutazione dei rischi: dare un nome ai fantasmi Lo strumento
Murphy è più pericoloso nell’oscurità. Un rischio che non ha nome, non ha un’analisi e non ha un’azione associata è un fantasma che gira per l’azienda in attesa del momento peggiore per manifestarsi. La valutazione dei rischi è il modo per accendere le luci.
Non deve essere uno strumento complicato. Deve essere uno strumento usato. Un registro perfetto che nessuno aggiorna vale meno di una lista su carta che viene riletta ogni trimestre.
Struttura minima di una valutazione dei rischi:
1. Identificazione — Cosa può andare storto? Descrivere l’evento temuto in modo specifico. Non “problemi con i fornitori”, ma “il fornitore X, unico fornitore del componente Y, non riesce a consegnare nei tempi previsti per un periodo superiore a 4 settimane”.
2. Causa — Perché potrebbe succedere? Identificare le cause radice probabili aiuta a capire dove intervenire in modo efficace.
3. Effetto — Se succede, cosa comporta? Impatto su qualità, tempi, costi, sicurezza, reputazione. Essere specifici: “ritardo consegna cliente di 3 settimane con penale contrattuale di X euro” è molto più utile di “problemi ai clienti”.
4. Valutazione — Probabilità che accada (da 1 a 5) x Impatto se accade (da 1 a 5) = livello di rischio. Semplice, robusto, universale.
5. Azione — Cosa facciamo al riguardo? (vedi paragrafo successivo)
6. Responsabile e scadenza — Chi fa cosa e entro quando. Senza questi due campi, il registro è una lista di preoccupazioni, non un piano.
Il rischio più comune nelle mappature dei rischi aziendali è: “la valutazione dei rischi non viene aggiornata”. Non è una battuta. È letteralmente il rischio che vanifica tutti gli altri. Murphy lo aveva previsto. Ovviamente.
La matrice probabilità-impatto: quanto deve preoccuparci Murphy? La valutazione
Non tutti i rischi meritano la stessa attenzione. Murphy colpisce ovunque, ma non con la stessa intensità. La matrice probabilità-impatto è lo strumento che permette di separare i rischi che richiedono azione immediata da quelli che richiedono solo monitoraggio — e da quelli che, onestamente, possiamo accettare come inevitabili nel fare impresa.
|
| Quasi certa (5) | 5 | 10 | 15 | 20 | 25 |
| Probabile (4) | 4 | 8 | 12 | 16 | 20 |
| Possibile (3) | 3 | 6 | 9 | 12 | 15 |
| Improbabile (2) | 2 | 4 | 6 | 8 | 10 |
| Remota (1) | 1 | 2 | 3 | 4 | 5 |
⚠ Zona Critica (15-25) — Murphy in modalità turboAzione immediata obbligatoria. Piano di mitigazione concreto con responsabile, risorse e scadenza definiti. Monitoraggio frequente. Non si rimanda, non si “monitora la situazione”: si agisce. Esempi: perdita del fornitore unico di un componente critico, non conformità normativa in un settore regolamentato, dipendenza totale da un unico grande cliente che rappresenta l’80% del fatturato.
● Zona di Attenzione (6-12) — Murphy in agguatoAzione pianificata. Il rischio è reale e merita una risposta, ma non richiede intervento immediato di emergenza. Definire un’azione preventiva, assegnarla a qualcuno, darle una scadenza ragionevole. Monitorare l’evoluzione. Se il contesto cambia e il rischio sale, rivalutare.
✓ Zona di Accettazione (1-5) — Murphy sonnecchiaAccettare il rischio e monitorare. Non tutto può essere azzerato — e cercare di azzerare tutto sarebbe più costoso del danno potenziale. La gestione del rischio non è eliminare ogni incertezza: è decidere consapevolmente quali rischi si è disposti ad assumere e quali no.
Esempio pratico — Murphy al lavoro in un’azienda di costruzioni:
Rischio identificato: Il geometra senior, unico a conoscere il software di computo metrico aziendale, potrebbe lasciare l’azienda.
Probabilità: 3 (possibile — ha già avuto contatti con altre aziende)
Impatto: 4 (alto — nessun altro sa usare quel software, rallentamento delle offerte per 4-6 settimane)
Punteggio: 12 — zona di attenzione
Azione: Formare un secondo operatore sul software entro 60 giorni. Documentare le procedure operative principali. Valutare se il software ha una licenza trasferibile.
Responsabile: Direttore Tecnico. Scadenza: fine trimestre.
Murphy prende nota. E rimanda l’attacco.
Le quattro risposte al rischio: cosa fare quando Murphy bussa Le strategie
Identificato e valutato il rischio, rimane la domanda operativa: cosa si fa? Esistono quattro strategie fondamentali, ciascuna adatta a situazioni diverse. Scegliere quella sbagliata è quasi peggio che non scegliere nulla — perché crea una falsa sensazione di controllo.
| Strategia | In cosa consiste | Quando usarla | Murphy dice |
|---|
| Evitare | Si elimina la causa del rischio. Si smette di fare quella cosa, si cambia processo, si esce da quel mercato. | Quando il rischio è critico e non compensato da benefici sufficienti. Quando i costi di mitigazione superano il valore dell’attività. | “Ottima scelta. Avevo già pronto il piano B per colpirvi lì.” |
| Ridurre | Si abbassa la probabilità che accada e/o l’impatto se accade. Formazione, procedure, controlli, ridondanza. | La strategia più comune e più versatile. Applicabile alla maggior parte dei rischi operativi. | “Ci proverete. Io aspetto che dimentichiate di aggiornare la procedura.” |
| Trasferire | Si sposta il rischio su un terzo: assicurazione, contratti con penali, outsourcing con responsabilità definite. | Quando il rischio è quantificabile economicamente e il costo del trasferimento è inferiore all’impatto potenziale. | “Interessante. Ora il rischio è dell’assicurazione. Ma leggete bene le esclusioni.” |
| Accettare | Si riconosce il rischio, si decide consapevolmente di non agire e si monitora l’evoluzione. | Per i rischi a basso punteggio o quando qualsiasi azione costerebbe più del danno potenziale. Mai per i rischi critici. | “Perfetto. Questo era esattamente quello che speravo faceste.” |
Scena — Riunione di direzione. Si discute valutazione dei rischi.
Murphy [seduto in fondo alla sala, invisibile a tutti]: “Guardate: stanno analizzando i rischi. Li ho visti fare questa cosa prima. Di solito finisce con una bella tabella e nessuna azione concreta.”
Responsabile Qualità: “Il rischio R-07, dipendenza dal fornitore unico: probabilità 3, impatto 5, punteggio 15. Azione: identificare fornitore alternativo qualificato entro 90 giorni. Responsabile: Ufficio Acquisti. Scadenza: 30 settembre.”
Direttore: “Approvato. Mario, entro 90 giorni.”
Murphy [visibilmente contrariato]: “Hanno messo un responsabile E una scadenza. Odio quando fanno così.”
Il rischio nelle opportunità: la faccia buona di Murphy L’altro lato
Murphy si è sempre concentrato sul lato negativo. La ISO 9001:2015, più equilibrata, ricorda che l’incertezza produce anche opportunità. E che un’organizzazione che non le coglie è altrettanto vulnerabile di una che non gestisce i rischi.
Corollario positivo di Murphy (raramente citato, ma esiste):
Se tutto può andare storto, alcune cose — quelle che avete preparato bene — andranno incredibilmente giuste nel momento giusto.
— Murphy, versione ottimista. Rara, ma documentata.Esempio pratico — Il rischio che diventa opportunità:
Un’azienda di consulenza IT identifica nella valutazione dei rischi: “entrata nel mercato di operatori low-cost che erodono la fascia bassa della clientela” (probabilità 4, impatto 3 = punteggio 12). L’analisi dell’opportunità associata è: “la fascia alta del mercato si sposterà verso operatori con competenze specialistiche certificate”. Azione: investire nella certificazione ISO 27001 e nelle competenze in cybersecurity nei prossimi 18 mesi. Due anni dopo, i clienti low-cost sono andati ai concorrenti economici — e i clienti high-value sono rimasti, con contratti più grandi. Murphy aveva visto il rischio. La norma aveva visto anche l’opportunità.
Il riesame del rischio: Murphy non va in pensione La continuità
L’errore più comune nella gestione del rischio è trattarla come un progetto: si fa la valutazione, si compila il registro, si presentano i risultati nel riesame della direzione. Fine. Fino all’anno prossimo.
Murphy, ovviamente, non aspetta l’anno prossimo.
La valutazione dei rischi è un documento vivo. Il contesto cambia: nuovi clienti, nuovi fornitori, nuove normative, nuove tecnologie, nuovi concorrenti. I rischi di oggi non sono i rischi di un anno fa. Le azioni definite dodici mesi prima potrebbero essere state eseguite, superate dagli eventi o semplicemente dimenticate.
Cadenza minima raccomandata per il riesame del registro rischi:
Annuale — Revisione completa in sede di riesame della direzione. Si rivalutano tutti i rischi, si verificano le azioni, si aggiungono i nuovi scenari emersi.
Trimestrale — Verifica rapida dello stato delle azioni aperte. Qualcosa è cambiato nel contesto? Un rischio accettato è diventato più probabile?
Ad evento — Ogni volta che accade qualcosa di significativo: una non conformità grave, un cambiamento di fornitore critico, una modifica normativa, una crisi di mercato. Murphy spesso arriva senza preavviso: il registro deve essere aggiornato prima che arrivi la prossima volta.
La valutazione dei rischi aggiornata l’ultima volta diciotto mesi fa non è un sistema di gestione del rischio. È un documento storico. Interessante forse, ma inutile ai fini della prevenzione. Murphy lo sa, e ha già cambiato i propri piani nel frattempo.
Considerazioni finali: grazie, Murphy
Edward Murphy non ha inventato i problemi aziendali. Li ha solo nominati. E dare un nome alle cose è il primo passo per affrontarle.
La ISO 9001:2015 ha fatto qualcosa di simile con il risk-based thinking: ha reso obbligatorio ciò che i buoni manager facevano già istintivamente, ma spesso in modo non sistematico, non documentato e non condiviso. Ha trasformato “speriamo che non succeda” in “abbiamo valutato la probabilità che succeda e abbiamo deciso cosa fare”.
Murphy continuerà a colpire. È nella sua natura. Ma c’è una differenza enorme tra essere colpiti di sorpresa e essere colpiti sapendo di essere stati colpiti, avendo già predisposto un piano di risposta e potendo imparare dall’esperienza per la prossima volta.
La prima situazione si chiama incidente.
La seconda si chiama sistema di gestione.
“Non è la tempesta più forte che affonda la nave. È l’acqua che entra lentamente da una falla che nessuno ha controllato.”
— Anonimo. Murphy avrebbe firmato volentieri. La ISO 9001 ci ha scritto il paragrafo §9.1 — Monitoraggio, misurazione, analisi e valutazione.
Commenti
Posta un commento