DIREZIONE GENERALE PROGETTO RISK MANAGEMENT REPORT SULL AVANZAMENTO DELLE ATTIVITÀ

Transcript

1 DIREZIONE GENERALE PROGETTO RISK MANAGEMENT REPORT SULL AVANZAMENTO DELLE ATTIVITÀ

2 2

3 Sommario 1. Introduzione Lo stato d avanzamento La crescita della cultura organizzativa e la formazione L organizzazione interna Il processo ERM L analisi dell ambiente di controllo L identificazione e il catalogo dei rischi La valutazione dei rischi Il trattamento dei rischi Le criticità del Sistema e proposte di soluzione Sviluppo del progetto di Risk Management in Istat

4 4

5 1. Introduzione Per la gestione dei rischi organizzativi, in Istat è stato adottato il Framework ERM (Enterprise Risk Management - Co.SO. Framework: Internal Control Integrated Framework), le cui fasi del processo di implementazione, dalla sperimentazione alla messa a regime, sono sinteticamente rappresentate nella figura 1. Figura 1 Le fasi del Processo ERM e la sua implementazione in ISTAT Ambiente controllo Obiettivi ERM/IST Individ. Rischio Valutaz. Rischio Azioni risposta Monito raggio azioni Info Form Com Monitor. Sistema Sperimentazione Applicazione Messa a regime /2012 1/2013 Ciclo di Programmazione e sviluppo del Processo di gestione dei rischi (ERM) in Istat Il Progetto per l introduzione in Istat di un Sistema di Risk Management in Istat, complementare all obiettivo a breve termine della messa in sicurezza dei sistemi dell Istituto, procede secondo il percorso e le scadenze indicate nella Road Map di attuazione del modello della gestione dei rischi pubblicata sul sito web risk.istat.it. Tale Road Map prevede, quindi, che entro la prima metà del 2012 si concluda la fase di Sperimentazione, incentrata su: 1) analisi della percezione del rischio da parte del Top Management; 2) identificazione e valutazione (Control & Risk Self Assessment) delle principali criticità organizzative dei macroprocessi dell Istituto; 3) messa a regime del modello con l inserimento delle azioni di risposta nella programmazione operativa e strategica Istituzionale. 5

6 2. Lo stato d avanzamento L introduzione del Sistema persegue lo sviluppo contestuale dei 3 settori di applicazione: 1. la formazione in tema di gestione dei rischi e la crescita della cultura organizzativa; 2. l organizzazione interna; 3. il processo di applicazione dell ERM. In particolare, le azioni più importanti realizzate sono di seguito rappresentate, per ciascuna di queste aree di intervento. 2.1 La crescita della cultura organizzativa e la formazione Tra le attività concluse nell area della condivisione delle conoscenze e apprendimento, si segnala che: il 10 maggio, l Istituto ha partecipato al Forum P.A. con la presentazione del Sistema di Risk Management applicato ai censimenti generali, con l impegno di quattro relatori per due giornate; nell ambito della formazione specifica, il personale ha partecipato ad alcuni eventi divulgativi presso l Università di Roma La Sapienza ; è stato rilasciato il sito web di supporto al Progetto, risk.istat.it, anche nella versione in lingua inglese; esso costituisce una piattaforma di condivisione dell esperienza sviluppata in Istat e di confronto con le altre iniziative intraprese da omologhi Istituti in ambito europeo ed internazionale; nel contempo, è attivata un area Wiki destinata al repository della documentazione prodotta e di supporto. entro la fine dell anno in corso, verrà avviata una Survey indirizzata agli Istituti di Statistica internazionali volta ad accertare lo sviluppo di iniziative analoghe a quella attivata dall Istat in tema di Risk Management e a condividere le esperienze maturate su tale argomento; prosegue l attività di stage e affiancamento al Progetto, nell ambito della Convenzione stipulata con l Università Bocconi di Milano; il team di Progetto parteciperà con una propria rappresentanza all evento del Career Day organizzato dall Università, finalizzato all orientamento degli studenti ed acquisire eventuali candidature per la partecipazione a stage che l Istituto intende attivare sulle tematiche inerenti il Risk Management. 6

7 2.2 L organizzazione interna I risultati prodotti in ambito organizzativo, evidenziano che: la Direzione Generale ha confermato il proprio ruolo di coordinamento delle iniziative in tema di messa in sicurezza dei sistemi dell Istituto, riconosciuto dall attribuzione degli obiettivi strategici nel, definendo le modalità attraverso le quali intende assumere questo ruolo e le interconnessioni con le altre strutture dell Istituto, onde evitare dispersioni di conoscenza, sovrapposizioni metodologiche e frammentazioni organizzative; la Commissione tecnica, costituita con la delibera n.281/per del 13 maggio 2010, è stata prorogata fino al 31 dicembre (delibera n.1026/per del 31 dicembre 2010), con il compito di supportare l implementazione del processo di Gestione dei rischi, secondo una metodologia di sviluppo progressivo che tenga conto sia dell'esigenza di fornire all Istituto uno strumento pratico di supporto al sistema decisionale in tempi ragionevolmente brevi, seppure in forma sperimentale, sia dell obiettivo di avviare una revisione delle tecniche di controllo prossima all articolazione dei processi produttivi e di servizio e coerente con gli obiettivi di conservazione e valorizzazione del patrimonio materiale e immateriale dell Istituto (i.e. personale, risorse strumentali, capitale intellettuale, ecc.). La Commissione si articola al proprio interno in affinità con il dettaglio degli obiettivi programmati e le competenze di cui è dotata. A tal proposito, nel corso dell anno, è stato costituito l ufficio DGEN/C, tra i cui obiettivi è presente il supporto al progetto di Risk Management; pertanto, il personale in forze è stato assegnato pro-quota a tale compito; è stato avviato il progetto per l introduzione dell Audit dei processi amministrativi e gestionali in Istituto. La definizione delle linee guida e il successivo percorso di implementazione sono stati assegnati ad un membro dell ufficio DGEN/C, con lettera di incarico formalizzata; con la delibera n.78/dgen del 11 agosto, è stato attivato un sistema di Risk-based Audit, utilizzando le risultanze e i metodi acquisiti con il progetto di Risk Management, sui dati di monitoraggio forniti dal DICA (Dipartimento per i censimenti e gli archivi amministrativi e statistici) e dalle Direzioni che collaborano alla progettazione ed esecuzione dei censimenti, a supporto del 15 censimento generale della popolazione ed abitazioni; 7

8 con la delibera n.24/pres del 11 agosto, è stato istituito il gruppo di lavoro per la realizzazione dello standard metodologico da adottare in Istituto ai fini della mappatura di tutte le fasi dei processi produttivi (progettazione/raccolta dati/produzione/diffusione) in ottica organizzativa, a supporto del Risk Management, mediante la formulazione della procedura di monitoraggio ed attivazione dei sistemi di attenzione ai rischi, secondo diversi livelli di responsabilità. 2.3 Il processo ERM Nella seguente figura 2 è rappresentato lo stato di avanzamento delle attività articolate per fase del processo di ERM e strutture coinvolte nel progetto, alla data del 31 ottobre. Figura 2: Stato di avanzamento delle attività del Progetto Risk Management al 31/10/ Direzioni Fasi processo ERM survey catalogo valutazione gestione 1. Analisi Analisi contesto ambiente 2. Identifica zione 3. Individuazione e analisi rischi 4. Valutazione rischi 5. Trattamento rischi DGEN RAG in corso DGEN PEC in corso in corso DGEN Uffici di supporto DCPE* in corso in corso DCAP** in corso DCIT (ex-dcmt) in corso DICA (ex-dccg) in corso in corso DCSA (ex-dcis) in corso in corso DCAR in corso in corso DCSP in corso DCSC in corso in corso DCSR in corso DCCN DCIQ (ex-dcet) in corso in corso DCSE (ex-dccv) in corso in corso *fase avviata con il Direttore precedentemente incaricato **per il settore Prevenzione e Sicurezza si sta procedendo con una separata analisi 8

9 Complessivamente, a fine ottobre, è stato assolto circa il 55% del processo di attuazione sperimentale di Risk Management in Istat; entro il, si prevede che raggiunga l obiettivo del completamento di oltre il 65% dell intero percorso. Nei punti successivi sono rappresentate le evidenze più significative dell analisi condotta, per ciascuna fase del processo ERM L analisi dell ambiente di controllo L analisi dell ambiente di contesto, avviene tramite la somministrazione di un questionario sulla percezione dei rischi da parte dei Direttori, strumento che ha la finalità di accertare l attitudine al rischio del Top Management dell Istituto, per valutare la coerenza con il profilo di rischio definito dagli Organi di vertice. Le risposte al questionario dovrebbero fornire le necessarie indicazioni riguardo gli interventi da realizzare per favorire la predisposizione dell ambiente di controllo nel quale si deve innestare il Sistema di gestione dei rischi; ciò rappresenta un primo tentativo di individuazione delle criticità (fattori di rischio) che ostacolano il perseguimento degli obiettivi della direzione e dell Istituto, nonché il relativo riflesso della classificazione dei rischi gravanti sulle strutture dirette dai responsabili intervistati. La rilevazione è condotta tramite il supporto di un Form-web e viene prodotta una reportistica periodica sull analisi delle risultanze del questionario (vedi allegato), trasmessa agli organi di vertice e diffusa, successivamente, sul sito web risk.istat.it. Il 90% circa delle strutture è stato finora interessato dall analisi della percezione del Top Management; di queste, il 60% circa ha completato tale fase. La rappresentazione dei giudizi finora espressi (figura 3) conferma le linee di tendenza della reportistica precedente, nel senso che, la gestione del rischio viene valutata dai rispondenti come una componente importante nella programmazione e nello svolgimento delle proprie attività (valore prossimo a 4 su un massimo di 5). Al contrario, si percepisce una moderata diffidenza nell adottare un comportamento analogo in sede di fissazione degli obiettivi strategici (valore inferiore a 3 su un massimo di 5). Viene attribuito, invece, un giudizio appena sufficiente alla maturità dell attuale strutturazione dell ambiente di controllo, sia all interno della Direzione che complessivo dell Istituto, in riferimento alla possibilità di sviluppare con successo un sistema di gestione dei rischi sulla base dell attuale configurazione organizzativa. 9

10 Figura 3: Percezione del rischio e valutazione dell'ambiente di controllo Percezione del rischio rispetto alle attività della Direzione Percezione del rischio rispetto alle attività dell'istituto Percezionedella maturità dell'ambiente di controllo della Direzionie 0 = Nulla/scarsa 5 = Massima Percezione della maturità dell'ambiente di controllo dell'istituto L identificazione e il catalogo dei rischi La fase di identificazione dei rischi si è conclusa per 7 strutture, con la rilevazione di circa 270 criticità organizzative, sostanzialmente equidistribuite (valore massimo per la DICA e minimo per la DGEN/RAG), gravanti sui macroprocessi di loro competenza. Tale rilevazione è la base dell elaborazione del Catalogo dei rischi, il documento nel quale le criticità sono riportate assieme la valutazione dell impatto e probabilità e l indicazione sintetica delle azioni di risposta. I cataloghi dei rischi, una volta condivisi con il direttore o il dirigente di servizio competente, vengono trasmessi agli organi di vertice dell Istituto e aggiornati periodicamente. Dalle prime analisi sui dati, i cui approfondimenti sono in corso, emerge che tali criticità, sono altrettanto equamente suddivise nell attribuzione del soggetto responsabile dell azione su cui grava il rischio: esterno, cioè competente in una fase di processo al di fuori della sfera di competenza della struttura analizzata, interno, ovvero, le cui azioni minacciate dal rischio sono a carico della struttura di appartenenza (figura 4). 10

11 Figura 4: Ripartizione delle criticità per attribuzione di competenza 35,0% 30,0% 25,0% 20,0% INTERNA ESTERNA 15,0% 10,0% 5,0% 0,0% DCAP DCCG DCMT DCSR RAG DCIS DCSC Circa ¾ delle criticità rientrano nella categoria corrispondente al quadrante ERM delle criticità di tipo Operativo, con una netta prevalenza (circa il 40% del totale) per le problematiche di tipo organizzativo, connesse all assenza totale o parziale di procedure o correlate alla programmazione; soltanto una parte molto modesta è imputabile a fattori o soggetti sui quali l Istituto non può influire (figura 5). Figura 5: Ripartizione delle criticità per tipologia 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% DCAP DCCG DCMT DCSR RAG DCIS DCSC ESOGENO REPORTING COMPLIANCE OPERATIVO STRATEGICO 11

12 2.3.3 La valutazione dei rischi La valutazione dei rischi, secondo il modello del Control & Risk Self Assessment che coinvolge le strutture analizzate nella fase di autovalutazione delle criticità, secondo le dimensioni della probabilità di accadimento dell evento e dell impatto che esso può produrre al suo verificarsi, ha interessato circa il 50% dei rischi censiti, con la previsione di estendere tale valutazione, entro il, alla totalità di quelli finora emersi e a parte significativa di quelli che saranno definiti entro il mese di novembre. Circa il 12% dei rischi finora valutati rientra in una soglia di attenzione alta, mentre il 48% circa assume un valore medio, secondo una distribuzione Gaussiana lineare, ad eccezione della combinazione, probabilità Medio-Bassa con impatto Medio-Alto, nella quale rientrano circa 1/3 delle criticità rilevate. Figura 6 - Risk Map Istat al Probabilità Impatto 12

13 2.3.4 Il trattamento dei rischi Nella fase di definizione del catalogo delle criticità, sono emerse circa 150 modalità di risposta ai rischi; preventive o successive al verificarsi dell evento rischioso, circa 1/3 di queste sono predisposte per fronteggiare criticità diverse, ovviamente riconducibili alla stessa matrice di attività, con il maggior grado di copertura da parte delle direzioni DCAP e DISA. Le azioni di risposta ai rischi, confluiranno, in via sperimentale, nel Piano annuale delle attività 2012 dell Istituto, per divenirne parte integrante nel 2013 ed essere monitorate assieme alla rilevazione dei c.d. early warning ; nel successivo paragrafo 4 è rappresentato il processo e gli attori coinvolti nella predisposizione, gestione e monitoraggio di tali azioni. Per esprimere una valutazione più approfondita, è indispensabile aspettare il completamento della compilazione del Piano Annuale delle Attività 2012 da parte delle strutture interessate finora dal Risk Management. 13

14 3. Le criticità del Sistema e proposte di soluzione A fronte dei risultati conseguiti e dello stato di avanzamento del progetto di introduzione in Istat in via sperimentale di un Sistema di Risk management, sono emerse criticità alcune significative riconducibili essenzialmente a due fattori ostativi di particolare rilevanza, quali il comportamento organizzativo e l approccio tecnico/metodologico, fattori sui quali occorre prontamente intervenire, allo scopo di rimuovere prontamente le difficoltà manifestate. Il Team di progetto ha adottato la stessa procedura di sviluppo del Progetto nei confronti di tutte le strutture analizzate, calibrata sulle attività svolte ordinariamente e sul dimensionamento organizzativo e funzionale dei soggetti interessati; ciò nonostante, si è palesato un comportamento particolarmente eterogeneo in termini di offerta di disponibilità di risorse e impegno temporale da parte delle strutture coinvolte che, in alcuni casi, ha consentito la conclusione dei lavori nei termini programmati (non superiori a 60 giorni lavorativi), in altri, ha dilazionato i tempi fino a 6/8 mesi dall inizio delle attività. Per ovviare a tale problematica, deve essere rafforzata la campagna di sensibilizzazione del Top Management volta a considerare l analisi dei rischi uno degli elementi essenziali della programmazione allo scopo di valorizzare le risorse disponibili e incrementare il margine di efficienza operativa; un ulteriore proposta, probabilmente maggiormente efficace e di particolare incentivazione, potrebbe consistere nel far rientrare l approccio al Risk Management tra i comportamenti organizzativi oggetto di valutazione dei dirigenti di più elevato livello gerarchico, nell ambito del requisito della Capacità organizzativa, nella categoria: Capacità di risolvere problemi, per i criteri di valutazione: Affronta con risolutezza e prontezza le situazioni critiche emergenti e sopravvenute e Assume la responsabilità della gestione di situazioni critiche. La particolare entità dei rischi finora rilevati (circa 270 per 7 strutture) non è accompagnata, tuttavia, da una pari attenzione alla qualità dell osservazione, in parte influenzata dalle difficoltà iniziali dettate dalla sperimentazione e dai necessari adattamenti metodologici. Lo sviluppo dell analisi dei processi gestionali e di produzione, implementata soltanto in alcune sporadiche aree dell organizzazione, si riflette nelle affermazioni che equiparano il rischio ad uno stato di fatto e non ad un evento il cui accadimento è soltanto probabile. A titolo esemplificativo, tra le criticità sono stati segnalati fattori quali la carenza di procedure interne o 14

15 l assenza di competenze specifiche che, invece, costituiscono l effetto di altre cause, quali la definizione di regole interne e di standard di comunicazione riconosciuti o la programmazione del turn-over di personale. Parimenti significativo è l approccio alla titolarità della macroattività inficiata dal rischio, in quanto in quasi il 51% dei casi è segnalata un origine della criticità esterna alla fase di processo dominata dalla struttura interessata; mentre le strutture di produzione analizzate hanno individuato, finora, un fattore estraneo nel 40% circa dei casi, tale percentuale ha raggiunto il 70% circa nelle strutture amministrative e gestionali. Tale differenza trova riscontro nell attribuzione della competenza delle azioni di risposta ai rischi, acuendo la necessità dello sviluppo della collaborazione interdisciplinare, onde evitare un continuo spostamento di responsabilità. Da tale scenario emerge, pertanto, la necessità di sviluppare gli strumenti di analisi dei processi organizzativi, allo scopo di evidenziare le aree di miglioramento e formulare appropriati indicatori di rilevazione delle criticità; la carenza evidenziata influisce,infatti, in modo significativo sulla qualità delle informazioni fornite e sull esigenza di tempo e di risorse necessarie per sviluppare un azione finalizzata ad acquisire ciò che dovrebbe costituire il patrimonio informativo insito nel processo gestionale delle strutture. L applicazione del Sistema di Risk Management non può prescindere dalla definizione corretta dei ruoli tra le strutture preposte alle diverse forme di controllo interno, dalla programmazione operativa e strategica, alla valutazione delle performance organizzative, dal controllo di gestione, all Audit sui processi amministrativi e gestionali. In questo senso, l attuale sistema informativo di pianificazione e controllo adottato in Istituto risulta eccessivamente rigido e poco incline ad accogliere dati e informazioni necessarie per il monitoraggio delle azioni di risposta ai rischi; nella fase sperimentale, in accordo con le strutture competenti per la programmazione, è stata adottata una soluzione estremamente semplificativa che, tuttavia, si ritiene non possa essere adottata in via definitiva, pena la perdita di importanti informazioni indispensabili l adozione di misure volte a risolvere le criticità più rilevanti. L introduzione della funzione di Internal Auditing costituirà l intervento di maggiore rilievo per il controllo del rispetto delle regole di processo organizzativo, garantendo, inoltre, un comportamento uniforme da parte di tutte le strutture in materia di gestione del rischio e assolvimento delle azioni di risposta. 15

16 4. Sviluppo del progetto di Risk Management in Istat Gli obiettivi programmati per il 2012, orientati all implementazione e avvio a regime del Sistema di Risk Management, prevedono: il completamento del processo di sperimentazione di ERM (che entrerà a regime nel 2013), per le fasi di analisi dei processi organizzativi, predisposizione dei cataloghi dei rischi, formulazione degli indicatori di segnalazione, monitoraggio delle azioni di risposta in funzione della Mappa delle criticità aziendali, avvio a regime del Sistema. un percorso specifico verrà sviluppato, in collaborazione con il Servizio Protezione e prevenzione dei rischi (DCAP/A), per la realizzazione di un Sistema di gestione della salute e sicurezza sul lavoro (SGSL) e la predisposizione di un catalogo dei rischi specifici attinenti tale Asset dell Istituto; il Team di Progetto continuerà la collaborazione con le altre strutture dell Istituto preposte all Audit, per contribuire, sulla base degli strumenti di gestione dei rischi sviluppati sia all analisi e gestione delle criticità della Sicurezza in campo informatico, con la Direzione DCIT, sia alla crescita della qualità statistica, con il Servizio DCIQ/QRC; riguardo quest ultimo aspetto, si richiama la convergenza delle attività svolte per lo sviluppo del Sistema di Risk Management con quelle intraprese dal gruppo di lavoro per la realizzazione dello standard metodologico da adottare in Istituto ai fini della mappatura di tutte le fasi dei processi produttivi in ottica organizzativa; il rafforzamento dell integrazione del Sistema con i processi di pianificazione e controllo e di valutazione delle performance, al fine di garantire una miglior trattamento del rischio, anche sotto il profilo di una adeguata distribuzione delle risorse; in questo modo, sarà possibile rendere il sistema di Risk Management parte integrante del PAA nel monitoraggio delle azioni di risposta ai rischi individuati, tramite gli strumenti del controllo di gestione e l applicativo informatico ad esso dedicato, embedded o satellite rispetto a quello attualmente adottato per la programmazione annuale e triennale delle attività dell Istituto il potenziamento delle attività di formazione del personale, per permettere una maggior diffusione della cultura del rischio all interno dell Istituto, e sviluppati gli strumenti di condivisione delle esperienze, tramite il sito in particolare, è programmata 16

17 la realizzazione di una Survey sulla gestione dei rischi organizzativi e gestionali rivolta ai principali Istituti centrali di statistica internazionali. l avvio della funzione di Audit dei processi amministrativi e gestionali, che costituirà il passaggio evolutivo del Sistema di Risk Management; infatti, tali funzioni, seppure presentano caratteri diversi, focalizzati, nel primo caso, sulla gestione delle criticità, nel secondo, sull analisi dei processi, condividono la prospettiva del miglioramento dell organizzazione e dell incremento dell efficienza produttiva. Tale funzione di Internal Auditing svolgerà anche la verifica dell efficacia delle azioni di risposta ai rischi, facendo propri i risultati del processo di Risk management, tenendo conto di possibili evoluzioni dello scenario delle criticità e dell ambiente interno ed esterno. Una prima sperimentazione del sistema di Risk-based Audit è stata avviata riguardo il monitoraggio a supporto organizzativo e gestionale del 15 Censimento generale della popolazione ed abitazioni. 17

18 18