Progetto Risk Management: dalla teoria alla pratica

Transcript

1 Commissione Tecnica Risk Management -Tutti i diritti riservati - Progetto Risk Management: dalla teoria alla pratica Commissione tecnica di supporto all introduzione del Risk Management Comitato di Direzione Roma, 23 Luglio 2010 Pag. 1

2 IL SISTEMA DI RISK MANAGEMENT PUNTI DIFORZA PUNTI DIDEBOLEZZA Orienta la visione della pianificazione e controllo senza formare sovrapposizioni organizzative Si basa sull integrazione tra i Sistemi di organizzazione e P&C già esistenti Supporta i processi decisionali e di valutazione dell organizzazione Favorisce la trasparenza vs. gli stakeholder Alimenta le sinergie interne Investimento iniziale in risorse e formazione Re-thinking dell organizzazione per processi Fortemente innovativo con poche esperienze nella P.A. Progetto RISK MANAGEMENT ISTAT Ripaga l investimento Pag. 2

3 IL FRAMEWORK DI RISK MANAGEMENT ERM: Co.SO. Framework: Internal Control Integrated Framework Per il contenimento dei rischi, (Strategici, Operativi, Informativi/Comunicativi e di Non Conformità) il processo di Risk Management devesvilupparsi in 8fasi codificate: 1) la definizione dell Ambiente di controllo dei rischi; 2) la determinazione degli obiettivi dell organizzazione e del processo di Risk Management; 3) l identificazione degli eventi edei fattori di rischio; 4) la valutazione deirischi (Assessment); 5) la predisposizione delle azioni di risposta alrischio; 6) il controllo dell efficacia delle azioni di intervento; 7) l informazione e la diffusione delle conoscenze; 8) il monitoraggio del Sistema stesso. Pag. 3

4 LO STANDARD DI RISK MANAGEMENT ORGANIZZAZIONE Definizione del contesto COMUNICAZIONE E CONSULTAZIONE Contesto ambientale Contesto organizzativo Contesto Risk management Contesto stretegico Organizzazione Sviluppo metodologia RISK ASSESSMENT Identificazione del rischio Analisi del rischio Valutazione del rischio Probabilità Impatto Trattamento del rischio MONITORAGGIO E REVISIONE Aus/NZ 4360: ISO/IEC 17799: : ISO 31000/ /09 Riduzione Ritenzione Eliminazione Trasferimento FORMAZIONE / DIFFUSIONE Pag. 4

5 1. IL CONTESTO AMBIENTALE SURVEY SULLA PERCEZIONE DEL RISCHIO Risultati principali questionario: la gestione del rischio è una componente importante nella programmazione e nello svolgimento delle proprie attività, alla quale fa riscontro una moderata fiducia nella fissazione degli obiettivi strategici l attuale ambiente di controllo è maturo appena sufficientemente per impostare una programmazione delle attività basata sulla gestione delle criticità, sia per la direzione, sia per l Istituto nell insieme sono scarse le possibilità di sviluppare con successo un sistema di gestione dei rischi sulla base dell attuale configurazione organizzativa si deve partire necessariamente dall analisi dei processi, pena l impossibilità di identificare le cause del rischio Percezione del rischio rispetto alle attività della Direzione Percezione rischio rispetto attività Istituto 0 = Nulla/scarsa Ł 4 = Massima Percezione maturità ambiente controllo Direzione Percezione della maturità ambiente di controllo Istituto Pag. 5

6 1. IL CONTESTO ORGANIZZATIVO VERIFICA PROCESSO / PROGETTO ATTIVITA RISULTATO MISURA Indicatori di processo (trasversalità tra le singole strutture), Indicatori di input (disponibilità delle risorse) Indicatori di tempestività Indicatori di lavorazione Indicatori dimensionali: Indicatori di scenario Indicatori di outcome ( impatto sociale" dell'attività) Customer satisfaction, rispetto al destinatario finale e intermedio (clienti/fornitori dei processi/funzioni dell organizzazione) Indicatori di attività (come viene svolta un attività) Indicatori comportamentali Indicatori di output (risultati quantitativi dell'attività) Indicatori complessivi Indicatori di efficienza Indicatori di efficacia Indicatori economici Indicatori finanziari VALUTA QUALITÀ DEL PROCESSO / PROGETTO PERFORMANCE OUTPUT Pag. 6

7 1. DELIBERE CiVIT:QUALITÀ DEI SERVIZI EDEI PROCESSI N.88/ Linee guida per la definizione degli standard di qualità : l amministrazione deve individuare i processi di propria pertinenza, che comportano comerisultato finale (output) l erogazione di un servizio al pubblico. Per ogni tipologiaindividuata occorreanalizzare: leprincipali caratteristiche dei servizi erogati; lemodalitàdierogazione; latipologiadi utenza cheusufruisce del servizio. Tale analisi fornisce idati ele informazioni necessarie per l attuazione delle successive azioni finalizzate all elaborazione degli standard di qualità. [entro il 31/12/10] N. 89/ Indirizzi sottoposti aconsultazione in materia di parametri emodelli di riferimento del sistema di misurazione evalutazione della performance : L introduzione di un sistema di misurazione delle performance presenta varie fasi di maturità nel percorso di miglioramento, sviluppo, utilizzo erevisione.inparticolare: laseconda fase di maturità presenta unsistema di misurazione strutturato attorno atutti gli obiettivistrategici edi outcome previsti Attraverso la mappatura di processi eattività, è chiaro come gli input e i processi di trasformazione contribuiscono al raggiungimento di output eoutcome.... Pag. 7

8 2. GLI OBIETTIVI A BREVE TERMINE: FASE SPERIMENTALE INTRODUZIONE ERM Scadenze MACRO-PROCESSO "RILEVAZIONI CENSUARIA POPOLAZIONE E ABITAZIONI Elaborazione sperimentale del Catalogo dei Rischi 15/09/10 Self-Assessment 15/10/10 Avvio e monitoraggio sperimentale delle azioni di risposta 31/12/10 MACRO-PROCESSO "SVILUPPO E MANUTENZIONE SICUREZZA INFORMATICA SW E HW Elaborazione sperimentale del Catalogo dei Rischi 15/10/10 SelfAssessment 31/10/10 Avvio e monitoraggio sperimentale delle azioni di risposta 31/12/10 MACRO-PROCESSO "PIANIFICAZIONE Elaborazione sperimentale del Catalogo dei Rischi 31/10/10 SelfAssessment 31/12/10 MACRO-PROCESSO "SICUREZZA SUL LAVORO Elaborazione sperimentale del Catalogo dei Rischi 31/10/10 SelfAssessment 31/12/10 MACRO-PROCESSO "INDAGINI DEMOSOCIALI Elaborazione sperimentale del Catalogo dei Rischi 31/12/10 Estensione altri Macro-processi: Avvio attività 31/12/10 Pag. 8

9 3. L IDENTIFICAZIONE DEI RISCHI: L ANALISI DEI PROCESSI IL MODELLO Generic Standard Business Process Model GSBPM ( Metadata and the Statistical Cycle ): rappresenta tutte le fasi del processo statistico, analizzato secondo una visione gestionale. Fonte: UNECE / Eurostat / OECD Work Sessions on Statistical Metadata (METIS)nell ambitodelcommonmetadataframework(cmf) LA METODOLOGIA Ilprocessodi Risk Management definisce 3livelli diapprofondimento: 1. livello strategico ogovernance che ha per oggetto la funzionalità el efficacia complessiva del sistema di controllo interno. Responsabilità: Internal Auditing; 2. livello direttivo omanagement che ha per oggetto il sistema di pianificazione econtrollo ela verifica del livello diraggiungimento degli obiettivi prefissati con il piano strategico ed il piano delle attività. Responsabilità: Direzione generale; 3. livello operativo odi processo/funzione/progetto, ossia icontrolli insiti nel presidio delle diverse attività di linea che afferiscono all area di competenza dei diretti responsabili. Responsabilità: Risk Manager o Risk Committee (CommissioneTecnica). Pag. 9

10 3. LA FASE OPERATIVA: ANALISI DI PROCESSO / PROGETTO PROCESSO 1. Adozione dello standard per la mappatura e la definizione dei processi produttivi.; 2. Adozione dello standard limitatamente al livello 0 /I (processo e macrofasi); 3. Individuazione dei processi produttivi con elementi di criticità evidenti o rilevanti; 4. Individuazione degli elementi del processo (scheda anagrafica del processo); 5. Rappresentazione mediante la metodologia standard: livello Uno del processo produttivo [macrofasi]; 6. Individuazione dei principali elementi di rischio; 7. Definizione degli indicatori di rischio associati a variabili chiave. PROGETTO 1. Adozione dello standard internazionale del project management: livello 0 -I (progetto e sottoprogetti); 2. Individuazione degli elementi del progetto (scheda anagrafica del progetto); 3. Individuazione dei progetti con elementi di criticità evidenti o rilevanti; 4. Rappresentazione mediante la metodologia standard: livello Uno del progetto [individuazione dei sottoprogetti]; 5.Individuazione dei principali elementi di rischio connessi alle variabili chiave; 6. Definizione degli indicatori di rischio associati alle variabili chiave. Pag. 10

11 3. L INDIVIDUAZIONE DEL RISCHIO OPERATIVO Per il livello di rischio operativo, il riferimento si rivolge ai processi/progetti/funzioni di produzione esistenti e la conseguente identificazione delle variabili rilevanti ai fini della individuazione, misurazione, valutazione e controllo del rischio Scheda identificativa dei processi produttivi 1 id 2 Sottoprocesso/macrofase 3 Responsabile 4 Descrizione sintetica 5 Macrofasi di riferimento 6 Natura 7 Obiettivo (valore aggiunto) 8 Input 9 Output 10 Criticità 11 Sistema informatico/ informativo 12 Sistema di documentazione 13 Tempi previsti Scheda per la mappatura del processo produttivo ID sottoprogetto/ macrofase Responsabile Descrizione sintetica Macrofase di riferimento Natura Obiettivo (Valore aggiunto) Caratteristiche dell obiettivo Input Output Criticità Sistema informatico/ informativo Sistema di documentazione Tempi previsti Pag. 11

12 3. LA RILEVAZIONE IN CORSO Attività Aggiornamento Basi Territoriali Descrizione sintetica attività Responsabile Strutture di appartenenza Rilevazione RNC ABBATINI SCD/B Piano Generale di Censimento (PGC) Definizione fabbisogno di personale Tutoring inserimento personale Costituzione Uffici di Censimento e Commissioni tecniche Disposizioni e atti per rilevazione di convivenze istituzionali a cura di Ministeri Definizione dei questionari (cartacei e web) e redazione delle guide alla compilazione Predisposizone dei manuali di rilevazione Rilevazione minoranze linguistiche (Bolzano, Trento e Minoranza slovena) Rilevazione stranieri Rilevazione senza fissa dimora Rilevazione grandi comuni Predisposizione liste censuarie di unità di rilevazione (LAC) Input (impulso o direttiva che consente l avvio dell attività) Output (risultato dell attività) Criticità Sistema informatico/inf ormativo Sistema di documentazio ne Tempi previsti di conclusione attività CRUCIANI DCET/INT CENSUS 2010 ott-10 STASSI STASSI ROSSI PICCI DE ANGELIS MASTROLUCA ZINDATO TAMBURRANO SCD SCD DCCG/U MTO/B SCD/B SCD/A SCD Invio circolare tecnica ai Comuni Redazione bozza PGC Predisposizione e pubblicazione bandi di reclutamento Delibera Istat/DPTS di costituzione URC presso UU.RR. Preparazione e stipula convenzioni con singoli Ministeri Definizione dei contenuti dei questionari e guide alla compilazione Programmazione del censimento linguistico per Trento e Bolzano Acquisizione dati e invio all Istat Diffusione PGC Reclutamento Delibere Istat di costituzione delle CTR Predisposizione modelli di rilevazione online Esecutivi di manuali questionari Programmazione della rilevazione presso minoranza di lingua slovena Arrivo delle risorse Comuni (rischio esterno) Archivi anagrafici Gara Atti normativi Traduzioni PALUZZI SCD/B Traduzioni CASSATA? PEZONE SCD/A Invio circolare ai comuni Disponibilità su SGR di liste precensuarie comunali Comuni non caricano GEOCIV mar-11 ott-10 dic-10 gen-11 mag-11 mag-11 mar-11 mag-11 Pag. 12

13 4. LA VALUTAZIONE DEL RISCHIO: IL C&RSA Per la valutazione del rischio in Istat verrà adottata la metodologia del Control & RiskSelfAssessment. IlC&RSA: per quanto supportato da elementi oggettivi equantificabili, risente di elementi di soggettività e/o discrezionalità, sia per la numerosità degli intervistati, sia peril diversolivellodipercezionedelrischio; rappresenta un punto di riferimento e di condivisione metodologico, per migliorare le performance ed indirizzare le risorse, in attesa della definizione di indicatori specifici perlamisurazionedeirischidi processo/progetto; riguarda nonsoloil rischio residuo, ossia al netto dei controlli posti, ma ancheil rischioinerente, ossiaallordodel controllo; deve essere svolto dal Risk Manager in collaborazione con iresponsabili dei processi edei progetti; si avvale di matrici, per la stima delle 2 componenti che concorrono alla valutazionecomplessivadel rischio: Impatto delrischiosullaoperativitàgestionale; Probabilità diaccadimentodell eventorischioso. Pag. 13

14 4. I RISULTATI DELLA VALUTAZIONE CATALOGO RISCHI MISURAZIONE No Descrizione rischio Respons. diretto Respons. indiretto Processo Sotto processo Indicatore Possibili effetti A A1 A2 B B1 B2 PROBABILITA' DELL'EVENTO Alto Medio Basso HEAT MAP Basso Medio Alto ENTITA' DELL'IMPATTO DELL'EVENTO Tipo Rischio Impatto Probabilità Valutazione rischio Strategico Sicurezza VALUTAZIONE Pag. 14

15 5. LE AZIONI DI RISPOSTA AL RISCHIO Decisioni Trasferimento a terzi Soluzioni Soluzioni contrattu assicurati ali ve RISPOSTE ALTERNATIVE AL RISCHIO Altre Adeguata document azione Controlli informativi Controlli di dettaglio Sistema di controllo interno Controlli di coerenza Suddivisi one compiti Controlli organizativi Processi di Ambiente di comunica controllo zione Accettazione del rischio Esempio di Piano Azione DESCRIZIONE DEL RISCHIO OBIETTIVI DEL PIANO AZIONE DATA DI COMPLETAMENTO DELL'OBIETTIVO TITOLARE AZIONI DA INTRAPRENDERE / MILESTONES FABBISOGNO DI RISORSE Rischio di accessi non autorizzati e perdita di informazioni dovuta ad un insufficiente sistema di protezione IT A. Sviluppare e implementare nuove politiche di protezione per la protezione IT B. Assicurare che i controlli esistenti funzionino come previsto A. Marzo 20xx B. Giugno 20xx A. Direttore X / Dirigente Y B. Direttore W / Dirigente Z Acquisire consulenti esterni IT per disegnare la politica IT B. Preparare una revisione dettagliata dei principali controlli C. Audit Report A. Budget stimato di xx B. Nessuna risorsa ulteriore prevista MONITORAGGIO A. Report di avanzamento mensile B. Supervisione di regolari audit + revisione manageriale di report di audit Pag. 15

16 6. IL CONTROLLO DELLE AZIONI DI RISPOSTA IL REPORT DEL RISCHIO REPORT DI RISCHIO PROCESSO RISCHIO COD RISCHIO CATEGORIA RISCHIO DESCRIZIONE RISCHIO VALUTAZIONE PROBABILITA' IMPATTO GIUDIZIO FINALE IL MONITORAGGIO DELLE AZIONI DI RISPOSTA Struttura Responsabile Effetti attesi della risposta al rischio Indicatore di risposta al rischio Risultati delle Azioni correttive Periodicità rilevazione e aggiornamento Pag. 16

17 7. FORMAZIONE EDIFFUSIONE: Collaborazioneal DeskP.A. patrocinato dal Centro interdipartimentaledi studi sullapubblicaamministrazione CISPA Partecipazione al Manuale suimodelli ele pratiche di Risk management nellap.a. Pag. 17

18 8. IL MONITORAGGIO DEL SISTEMA: L INTERNAL AUDITING TIPOLOGIA INTERVENTO Compliance Audit (Auditdi conformità) Operational Audit Financial Audit Ethical Audit Follow-Up (Monitoraggio delle azioni correttive) RISCHIO CORRELATO Compliance Risk Business Risk Financial Risk Ethic Risk Compliance Risk Business Risk Financial Risk CONTENUTO INTERVENTO Verificare la conformità dei comportamenti alle norme, procedure e prassi interne, applicabili al contesto delle strutture operative edelle operazioni oggettodi verifica Monitorare il rispetto degli obiettivi stabiliti dagli Organi di governo per ogni livello di processo e valutare l efficacia e l efficienza dei processi e dei controlliprevisti Salvaguardare il patrimonio aziendale everificare l affidabilitàdelle informazioni contabili e gestionali Verificare l applicazione eil rispetto del codice etico attraverso un analisi e una valutazione dei processidi controllodei rischi etici Verificare l effettiva implementazione delle azioni correttive concordate con iresponsabili dei processi, a fronte delle osservazioni rilevate nel corso di precedenti attività di Auditing econdivise dai responsabili degli stessi processi Valutazione del sistema di controllo Compliance Risk Strategic Risk Verificare che i controlli previsti consentono un efficace riduzione dei rischi emonitorare la loro effettiva esecuzione Pag. 18

19 I NODI DA SCIOGLIERE: L ORGANIZZAZIONE Valuta l organizzazione Supporta la valutazione e Il controllo strategico Verifica i controlli Fissano gli obiettivi, dettano gli indirizzi, definiscono il Risk Appetite Supporta il Risk Manager Sviluppa la Qualità dei processi Verifica il rispetto degli indicatori di rischio Agevolano il Risk Management Applica e gestisce il Risk Management Pag. 19

20 TAPPE FONDAMENTALI PER L INTRODUZIONE DELL ERM ORGANIZZAZIONE SCADENZE Definizione del ruolo e delle competenze delle strutture coinvolte nel Risk Management 30/09/2010 Implementazione del Sistema informativo di Risk Management 30/06/2011 FORMAZIONE / COMUNICAZIONE SCADENZE Formazione sul Risk Management: Dirigenza 31/12/2010 Formazione sul Risk Management: Addetti nei processi coinvolti 31/12/2012 Attuazione del Panel P.A. per il Risk Management 30/06/2011 SVILUPPO ERM SCADENZE Metodologia e framework per la gestione e valutazione dei rischi -1 release 30/06/2010 Estensione progressiva della survey agli altri direttori per gli Asset/Processi 31/07/2010 Adozione dello Standard Istat di Risk Management 31/12/2010 Rilascio dei Risk Management & Public GovernanceISTAT Principles 31/12/2011 Fase sperimentale: Completamento primi 2 Macroprocessi/Asset: Catalogo Rischi, C&RSA, 31/12/2010 Avvio Azioni Risposta delle Strutture competenti Fase sviluppo: Monitoraggio e Allineamento Azioni Risposta; Estensione del Sistema ad almeno altri 4 Macroprocessi 31/03/2011 Fase progressiva: Allineamento con gli obiettivi strategici ed Estensione del Sistema ad almeno altri 4/6 Macroprocessi 31/12/2011 Fase maturazione: Alimentazione e realizzazione sistema informativo degli Early Warnings 30/06/2012 Fase della messa a regime del Sistema di Risk Management ed integrazione con gli altri sistemi di Controllo 31/12/2012 Pag. 20

21 RISORSE INVESTITE NEL PROGETTO (PERSONALE) SOGGETTI TIPOLOGIA QUANTITÀ Fase "attuale di avvio Risorse Progetto ERM 2 one-shot aa.p. 0,75 Commissione Tecnica anni-persona 1,50 Referenti per direzione coinvolta one-shot gg.p. 20 Direzione coinvolta one-shot gg.p. 30 Fase "sperimentale" e di sviluppo / 2012 Risk Manager anni-persona 1 Risorse Progetto ERM 2 anni-persona 3/3,5 Commissione Tecnica/Risk Committee anni-persona 1,20/1,00 Referenti per direzione coinvolta 4 one-shot gg.p. 20/15 Direzione coinvolta 4 one-shot gg.p. 30/25 Fase a regime Risk Manager anni-persona 1 Struttura di Risk Management anni-persona 4,5/5 Commissione Tecnica/Risk Committee anni-persona 0,4/0,6 Referenti per direzione coinvolta 4 giorni-persona 12/15 Direzione coinvolta 4 giorni-persona 25/20 1 Personale in forze 2 DCPF.1 DGEN PAA Fabbisogno 4 Compresa Formazione specialistica Pag. 21

22 LA COMMISSIONE TECNICA (DELIB. 281/PER - 13/05/10) Coordinatore FabrizioRotundi Membri ConcettaFerruzzi Giuseppe Cerasoli Sara Demofonti Simona Menegon Cecilia Colasanti Rosa Elia Segretario SoniaMeluzzi Referenti 1 MaurizioRossi DCPF DCBC DGEN DCCV DCPF DCMT DCMT DCPF DCCG 1 Già designati Pag. 22