Rischio, formazione professionale e ges3one di proge5: la natura complessa del conce9o di rischio e della sua valutazione in due esperienze reali

Transcript

1 Rischio, formazione professionale e ges3one di proge5: la natura complessa del conce9o di rischio e della sua valutazione in due esperienze reali Marco Cremonini Dipar.mento di Informa.ca Università degli Studi di Milano 1

2 Outline I parte I conced e i modelli di analisi del rischio nella formazione universitaria dei futuri informa.ci e tecnologi: assenza, frammentazione e scarsa coesione II parte Un caso aziendale: la natura mutevole della percezione e della valutazione del rischio nel ciclo di vita di un progeho di innovazione tecnologica 2

3 Quanto se ne parla di rischio, vulnerabilità etc.? (Web searches - World) ALL CATEGORIES COMPUTER SECURITY BUSINESS & INDUSTRIAL 3

4 Quanto se ne parla di rischio, vulnerabilità etc.? (Web searches - Italia) ALL CATEGORIES COMPUTER SECURITY BUSINESS & INDUSTRIAL 4

5 Quanti studenti di informatica ricevono una formazione specifica sul rischio? 5

6 Rischio: definizioni ISO ISO Eurostat United Na.ons Interna.onal Strategy ESI Interna.onal for Disaster Reduc.on 6

7 Incertezza & Complessità StruHurale Parte del problema Vs. della soluzione Ragionamento lineare Vs. non lineare Mul.disciplinare 7

8 Simulazione del rischio di contagio influenzale H1N1 Video da GLEAMviz - The Global Epidemic and Mobility Model hhp:// ISACA Venice Mee.ng Padova, 10 aprile

9 Il mio corso di Analisi e Gestione del Rischio (in breve) ProspeDva storica (Rischio e Vulnerabilità) Report aziendali e da. pubblici Rischio e complessità in proged ICT Introduzione ai sistemi complessi e alla modellazione Il fahore umano e la ges.one degli errori Analisi del rischio classica: Modello dell U.lità AHesa Bias cogni.vi, Teoria dei ProspeD, euris.che Metodi qualita.vi: Priorità e Matrici del Rischio Standard: fam. ISO 31000/27000, PCI- DSS 9

10 Caso di studio: tempo e valutazione dei rischi di progetto tempo Sistema AS400 Interfaccia a caraheri ArchiteHura semplice Microso` Dynamics AX Interfaccia ad ogged ArchiteHura complessa Come e con quali conseguenze alcune valutazioni euris.che influenzano la percezione del rischio di progeho? 10

11 Interviste: rischi dichiarati e fattori nascosti Sfiducia nelle nuove funzionalità Aumento tempi e difficoltà operative Aumento costi di progetto Deriva applicartiva Definizione delle priorità Affetto Tempo dal go live 11

12 Rilevazione della percezione del rischio I valutazione: - 3/4 mesi go live II valutazione: +5/6 mesi 8/10 mesi di proge9o 12

13 Modelli di rischio emersi dai colloqui M(Y X): modello M, se avviene X allora Y Rischio generico - Evento noto : M(generico noto) Rischio generico - Evento ignoto : M(generico ignoto) Rischio grave - Evento ignoto : M(grave ignoto) Rischio incerto - Evento ignoto : M(incerto ignoto) 13

14 Matrice del rischio 14

15 Distanza dal rischio e Mitigazione ALTO Tool esterni di prevenzione MEDIO Procedura/tool di monitoraggio Formazione individuale Impossibile ges.re il rischio BASSO Formazione di gruppo TEMPORANEA PERMANENTE 15

16 I caso di studio: USABILITÀ 2-3 mesi prima del go live Rischio generico - Evento ignoto : M(generico ignoto) 16

17 I caso di studio: USABILITÀ 2-3 mesi prima del go live Rischio iden.ficato: Sfiducia nelle nuove funzionalità 17

18 I caso di studio: USABILITÀ 2-3 mesi prima del go live Mi.gazione del rischio: soluzioni adohate ALTO Nuova analisi della procedura e sua formalizzazione MEDIO Formazione mirata alla ges.one di una casis.ca simile BASSO Foglio Excel per tenere traccia degli ordini + intervento consulente TEMPORANEA PERMANENTE 18

19 I caso di studio: USABILITÀ 4 mesi dopo il go live 19

20 I caso di studio: USABILITÀ 4 mesi dopo il go live 20

21 I caso di studio: USABILITÀ 4 mesi dopo il go live Mi.gazione del rischio: soluzioni adohate ALTO Programma automa.co di controllo e alert ai responsabili MEDIO Documentazione della procedura e condivisione con altre funzioni Report riepiloga.vo con stato degli ordini BASSO Formazione specifica del personale addeho agli ordini e al controllo TEMPORANEA PERMANENTE 21

22 I caso di studio: USABILITÀ 6 mesi dopo il go live Tendenziale: 1. Assestamento a un livello di cri.cità molto alto e certezza di accadimento delle problema.che sugli ordini 2. Necessità di mantenere controlli manuali e automa.ci 22

23 II caso di studio: TEMPI/PERFORMANCE 3 mesi prima del go live Rischio generico Evento noto : M(generico noto) 23

24 I caso di studio: TEMPI/PERFORMANCE 3 mesi prima del go live Rischio iden.ficato: Aumento tempi e difficoltà opera.ve 24

25 I caso di studio: TEMPI/PERFORMANCE 3 mesi prima del go live Mi.gazione del rischio: soluzioni adohate ALTO Spostamento di elaborazioni su macchina esterna e ridefinizione di priorità MEDIO Modifiche al codice per ridurre calcoli e tempi di elaborazione Riduzione della profondità temporale delle elaborazioni BASSO TEMPORANEA PERMANENTE 25

26 I caso di studio: TEMPI/PERFORMANCE 4 mesi dopo il go live Rischio generico - Evento ignoto : M(generico ignoto) 26

27 I caso di studio: TEMPI/PERFORMANCE 4 mesi dopo il go live 27

28 I caso di studio: TEMPI/PERFORMANCE 4 mesi dopo il go live Mi.gazione del rischio: soluzioni adohate ALTO Spostamento di elaborazioni su macchina esterna e ridefinizione di priorità MEDIO Modifiche a livello di codice per ridurre tempi e calcoli BASSO TEMPORANEA PERMANENTE 28

29 I caso di studio: TEMPI/PERFORMANCE 8 mesi dopo il go live Tendenziale: 1. Assestamento a un livello di cri.cità e probabilità medio 2. Fiducia nei corredvi apporta. al codice e alla ridefinizione dell ordine di elaborazione delle procedure 29

30 II caso di studio: COSTI 2-3 mesi prima del go live Nessun rischio iden.ficato 30

31 I caso di studio: COSTI 2-3 mesi prima del go live Rischio iden.ficato: Nessuno 31

32 I caso di studio: COSTI 3 mesi prima del go live Mi.gazione del rischio: soluzioni adohate ALTO MEDIO Modifiche al codice per ridurre calcoli e tempi di elaborazione BASSO TEMPORANEA PERMANENTE 32

33 I caso di studio: TEMPI/PERFORMANCE 6 mesi dopo il go live Rischio generico - Evento ignoto : M(generico ignoto) 33

34 I caso di studio: COSTI 6 mesi dopo il go live 34

35 I caso di studio: COSTI 6 mesi dopo il go live Mi.gazione del rischio: soluzioni adohate ALTO Ripris.no di una precedente procedura automa.ca dismessa col nuovo ERP MEDIO Documentazione on- line dehagliata sui passi da seguire per la procedura BASSO TEMPORANEA PERMANENTE 35

36 I caso di studio: COSTI 6 mesi dopo il go live Tendenziale: 1. Assestamento a un livello di cri.cità medio- basso 2. Modifica della logica di funzionamento del nuovo ERP reintroducendo preceden. procedure, uso non più allineato con le specifiche originali di progeho à deriva applica.va 36

37 IT S COMPLICATED 37

38 Messaggio Take-away I parte La formazione universitaria in materia di analisi e ges.one del rischio è scarsa e frammentaria Manca big picture: probabilità - teoria dei giochi modelli anali5ci e simulazione teoria delle decisioni in condizione di incertezza IT Governance modelli qualita5vi tecniche ges5onali II parte Dinamiche di percezione e valutazione del rischio nel corso di proged ICT non monitorate e correlate allo sviluppo del progeho Soluzioni sub- odmali 38