�ݺ�ߣ

1
Forum PA
Roma, 16 Maggio 2019
IL SISTEMA DI RISK MANAGEMENT INTRODOTTO IN ISTAT: IL PERCORSO
E L’APPLICATIVO DI SUPPORTO
Alessandra Lucchese e Marco Tozzi
Servizio CDG, Funzione Risk Management

2
Il Sistema di Risk Management introdotto in ISTAT: il percorso e l’applicativo di supporto
Roma, 16/05/2019
INDICE
1
• Presentazione del
Sistema di Risk
Management in ISTAT
2

3
Roma, 16/05/2019
Titolo
Il Progetto Risk Management ISTAT: l’avvio
L'impulso alla progettazione di un Sistema di Risk Management in Istat
deriva dall’obiettivo strategico pluriennale della “messa in sicurezza di
tutti i Sistemi dell’Istituto”, formulato dalla Presidenza nel 2009, allo
scopo di:
o gestire le problematiche organizzative tramite un approccio
innovativo, impostato sulla programmazione preventiva degli
interventi di contenimento dei rischi e delle criticità;
o migliorare la qualità dei servizi e dei prodotti;
o Supportare i processi decisionali e di analisi dell’organizzazione.

4
Roma, 16/05/2019
Il Percorso (1)
2010: inizio con l’analisi dell’ambiente organizzativo (effettuata mediante una
Survey), ed è proseguito con l’identificazione, la valutazione e la catalogazione
degli eventi critici rilevati (Catalogo dei rischi organizzativi).
2012: prima versione dell’applicativo riskinistat: gestisce tutte le fasi in cui si
articola il processo, e le informazioni acquisite,
2013: definitiva applicazione del Sistema di Risk Management in Istat.

5
Roma, 16/05/2019
Il Percorso (segue)
2014: per ragioni di compliance alla normativa anti-corruzione, il Sistema di Risk Management è stato allargato
alla gestione dei rischi di corruzione.
2015: per garantire maggior significatività e qualità alle informazioni presenti nei cataloghi, si è deciso di
combinare l’approccio bottom-up, finora perseguito, con un approccio top-down. Secondo tale approccio i
rischi sono identificati dai responsabili competenti e successivamente aggregati in categorie di rilevanza
strategica per essere poi valutati, trattati e monitorati.
2015: per gestire il processo in modo efficiente e condiviso con tutti i soggetti coinvolti è stata predisposta e
adottata un’apposita procedura, “Gestione del Sistema di Risk Management organizzativo e anti corruzione
dell’Istituto”.
I nuovi sviluppi
2018-2019: la gestione dei rischi per la salute e la sicurezza dei lavoratori, la gestione dei
rischi privacy, la gestione dei rischi IT, la revisione dell’applicativo RiskinIstat

6
Roma, 16/05/2019
Titolo
I soggetti coinvolti
o il Risk Management, nell’ambito della Direzione Generale, che si occupa di
impostare il Sistema di gestione del rischio di corruzione, gestione del sistema
informatico di supporto, supporto a RPCT nella definizione dei criteri per
l'individuazione delle priorità di trattamento e nell'attività di analisi delle
informazioni, valutazione, ponderazione, etc;
o i referenti degli uffici dirigenziali di livello generale, partecipano, in raccordo con la
funzione di Risk Management, alla gestione del sistema, contribuendo alla
formazione del Catalogo dei rischi di corruzione della struttura di appartenenza;
o il Nucleo di presidio a supporto del RPCT, (delibera n. 1/RPCT del 12/12/2016):
supporto nella redazione del PTPC e altri atti di competenza del RPCT; supporto
nelle attività di mappatura e analisi dei processi; ricognizione, analisi e istruttoria
delle misure di prevenzione della corruzione; coordinamento delle attività della
Rete dei referenti; supporto nella gestione delle istanze di accesso civico e
generalizzato, etc

7
Roma, 16/05/2019
Standard di riferimento: ISO
Per l’implementazione del sistema l’Istat ha seguito l’impostazione teorica fornita
dalla ISO 31000 : 2009. La ISO 31000 può essere considerato uno standard di
principio che fornisce indicazioni sulle caratteristiche che deve possedere un
sistema strutturato di gestione del rischio, non offre suggerimenti pratici e
operativi sulle modalità di implementazione del sistema.
Pertanto, gli indirizzi delle ISO sono stati integrati con le indicazioni operative e
organizzative illustrate da altri standard, tra le quali: lo Standard Enterprise Risk
Management (ERM), pubblicato nel 2004 dal Committee of Sponsoring
Organizations of the Treadway Commission (Co.SO)

8
Roma, 16/05/2019
Standard di riferimento: ERM
L’ERM è un processo di gestione del rischio, integrato,
proattivo, continuo e pervasivo, che analizza le attività
poste in essere dall’organizzazione, al fine di identificare,
valutare, gestire e trattare i possibili eventi critici che
influiscono sugli obiettivi aziendali strategici e operativi.
Scopo: uniformare comportamenti strategici, gestionali e
operativi di un'organizzazione, cosicché l’esercizio di
progetti, funzioni e processi, consenta l’allineamento a un
insieme comune di obiettivi di gestione del rischio.

9
Roma, 16/05/2019
L’applicativo:
Ad oggi, le attività inerenti l’identificazione, l’analisi, la ponderazione e il monitoraggio
dei rischi sono svolte in maniera informatizzata.
Questo garantisce:
ola tracciabilità di ogni operazione,
ol’accessibilità in ogni momento all’archivio dei cataloghi dei rischi,
ola tempestiva comunicazione agli interessati attraverso un sistema di notifiche via
mail.

10
Roma, 16/05/2019
Titolo
Il processo si articola nelle seguenti fasi:
• “Aggiornamento”: in cui l’utente identifica gli eventi rischiosi, nonché i relativi fattori
abilitanti (causa e comportamenti) e le proprie proposte di trattamento;
• “Validazione/Valutazione”: in cui l’amministratore di processo verifica ed elabora i dati
inseriti dagli utenti e inserisce i dati della valutazione;
• “Monitoraggio”: in cui viene richiesto agli utenti di fornire informazioni attinenti lo stato
di attuazione dei trattamenti e gli output intermedi o finali realizzati.
Le fasi del processo:

11
Roma, 16/05/2019
Titolo
L’applicativo:
L’applicativo Risk Management permette agli utenti di inserire e visionare le
informazioni necessarie per la gestione dei rischi, sia organizzativi che di
corruzione, delle strutture ISTAT.
Infatti, sono state sviluppate funzionalità che consentono agli utenti di gestire
separatamente entrambe le tipologie di rischi.
Le informazioni raccolte, costituiscono la base per la reportistica che viene
periodicamente prodotta (PTPC, Piano Performance, Relazione sulla
Performance).
I dati relativi all’anno precedente vengono archiviati nell’apposita repository
presente a sistema.

12
Roma, 16/05/2019
Titolo
GLI ATTORI COINVOLTI
L’applicativo è organizzato secondo una struttura piramidale che
ripercorre l’organigramma ISTAT.
Gli attori coinvolti sono:
Presidente
Direttore generale/Capo dipartimento
Direttore centrale
Referente di dipartimento/direzione per i rischi
Responsabile per la Prevenzione della Corruzione
(RPC)
Amministratore di processo

13
Roma, 16/05/2019
Titolo
LE FASI DEL PROCESSO
Aggiornamento/
Programmazione
Validazione
e
Valutazione
Monitoraggio

14
Roma, 16/05/2019
Titolo
LE PRINCIPALI INFORMAZIONI RILEVATE
TRATTAMENTO
VALUTAZIONE
MONITORAGGIO
IDENTIFICAZIONE
MACROATTIVITA’
EVENTI CRITICI
AREE DI RISCHIO
EVENTI RISCHIOSI
COMPORTAMENTI
FATTORI ABILITANTI
MACROATTIVITA’
EVENTI CRITICI
AREE DI RISCHIO
EVENTI RISCHIOSI
COMPORTAMENTI
FATTORI ABILITANTI
PROBABILITA’
IMPATTO
VALORE DEL
RISCHIO
PRIORITA’
PROBABILITA’
IMPATTO
VALORE DEL
RISCHIO
PRIORITA’
AZIONI DI RISPOSTA
MISURE DI
TRATTAMENTO
AZIONI DI RISPOSTA
MISURE DI
TRATTAMENTO
STATO EVENTO
CRITICO
STATO AZIONE DI
RISPOSTA
ATTIVITA’ SVOLTA
STATO EVENTO
RISCHIOSO
STATO MISURA
ATTIVITA’ SVOLTA
STATO EVENTO
CRITICO
STATO AZIONE DI
RISPOSTA
ATTIVITA’ SVOLTA
STATO EVENTO
RISCHIOSO
STATO MISURA
ATTIVITA’ SVOLTA

15
Roma, 16/05/2019
Titolo
Il catalogo

16
Roma, 16/05/2019
Titolo
A) L’aggiornamento del catalogo

17
Roma, 16/05/2019
Titolo
A) Gestione macro-attività

18
Roma, 16/05/2019
Titolo
A) Gestione evento critico

19
Roma, 16/05/2019
Titolo
A) Gestione evento critico

20
Roma, 16/05/2019
A) Gestione delle azioni di risposta

21
Roma, 16/05/2019
Titolo
A) Gestione area di rischio

22
Roma, 16/05/2019
Titolo
A) Gestione evento rischioso

23
Roma, 16/05/2019
A) Gestione delle misure

24
Roma, 16/05/2019
Titolo
Probabilità: eventualità che il rischio si verifichi
Impatto: conseguenze derivanti dal verificarsi del rischio
Valore del rischio Inerente (R.I.): il rischio inerente rappresenta il livello totale di rischio,
senza considerare i controlli esistenti:
Controlli: livello di efficacia dei sistemi di controllo vigenti per il contenimento del rischio
Valore del Rischio Residuo (R.R.): il suo valore è dato dal confronto tra il valore del rischio
inerente e il livello di efficacia dei sistemi di controlli in essere al momento della valutazione
B) LA VALUTAZIONE DEI RISCHI

25
Roma, 16/05/2019
Titolo
I criteri di valutazione
Valutazione della probabilità: fa
riferimento a un indice di natura
quantitativa (Min=1; Max=5).
Per gli eventi classificati come criticità, la
probabilità di accadimento corrisponde
al valore massimo della scala
• Valutazione dell’impatto (Min=1; Max=5):
• Un indice di natura quantitativa
(Economicità): costi aggiuntivi che
l’organizzazione si troverà ad affrontare in
caso si verifichi il rischio.
• Un indice di natura quantitativa/
qualitativa, espresso come Efficienza (ossia
il ritardo nella produzione dell’output)
oppure Reputazione (possibili danni
all’immagine dell’Istituto)
RISCHIO INERENTE

26
Roma, 16/05/2019
Titolo
Il valore del rischio residuo risulta dal confronto qualitativo tra la valutazione
del rischio inerente e la valutazione dell’efficacia dei controlli:
Tabella 5: Scala di valutazione del rischio residuo
Se il rischio inerente è: E l’efficacia dei controlli è: Allora il rischio residuo è:
Alto Alta Medio-basso
Alto Medio -alta Medio
Alto Media Medio –alto o Medio
Alto Medio – bassa Medio – alto
Alto Bassa Alto
Medio –alto Alta Medio-basso
Medio –alto Medio -alta Medio o Medio - basso
Medio –alto Media Medio o basso
Medio –alto Medio – bassa Medio
Medio –alto Bassa Medio - alto
Medio Alta Basso
Medio Medio -alta Basso
Medio Media Medio – basso o basso
Medio Medio – bassa Medio – basso
Medio Bassa Medio
Medio –basso Alta Basso
Medio –basso Medio -alta Basso
Medio –basso Media Basso
Medio –basso Medio – bassa Medio – basso o basso
Medio –basso Bassa Medio – basso
Basso Alto-medio-bassa Basso

27
Roma, 16/05/2019
Titolo
B)La Validazione

28
Roma, 16/05/2019
B) Analisi e Validazione
identificare azioni di
risposta azioni prioritarie.
identificare eventi
“corporate”,
inserire eventi
trasversali.

29
Roma, 16/05/2019
B) Piano di fattibilità-azioni di risposta

30
Roma, 16/05/2019
C) Il monitoraggio

31
Roma, 16/05/2019
Titolo
C) Il monitoraggio
• Il monitoraggio delle azioni di
risposta viene effettuato
direttamente dalle strutture che
compilano i campi dedicati;
• L’Ufficio di risk Management
controlla la coerenza dei dati con
il modello di ERM
• Nel caso di azioni prioritarie, la
schermata riporta altresì i valori
conseguiti dagli indicatori inseriti
nel Piano di Fattibilità.

32
Roma, 16/05/2019
La rappresentazione dei rischi (1):
Basso
Medio-basso
Medio-alto
Medio
Alto
DCAA.01.03
DCRU.01.01
DCRU.04.01
ISTAT.20.01
ISTAT.14.01
ISTAT.01.01
ISTAT.06.01
ISTAT.07.01
ISTAT.11.01
ISTAT.16.01 ISTAT.16.01
ISTAT.11.01
DGEN.28.02
ISTAT.21.01
ISTAT.14.01
DCRU.01.01
DCRU.04.01
ISTAT.02.01
ISTAT.01.01
ISTAT.06.01
ISTAT.07.01
ISTAT.21.01
ISTAT.20.01
DCRU.04.02
DCRU.04.02
ISTAT.02.01
Valutazione 2018
Valutazione 2019

33
Roma, 16/05/2019
La rappresentazione dei rischi (2)
BASSO MEDIO-BASSO MEDIO MEDIO-ALTO ALTO
5
ALTA
4,13
MEDIO-ALTA
3,22
MEDIA
2,3
MEDIO-BASSA
1,4
BASSA
1
1 1,44 2,34 3,22 4,13 5
Legenda: Specifici
Trasversali
Probabilità
Impatto
Rischi prioritari valutati nel 2019
Revisionecontinua
No ulteriori controlli
Gestione proattiva
Revisioneperiodica
BASSO MEDIO-BASSO MEDIO MEDIO-ALTO ALTO
5
ALTA
4,13
MEDIO-ALTA
3,22
MEDIA
2,3
MEDIO-BASSA
1,4
BASSA
1
1 1,44 2,34 3,22 4,13 5
Legenda: Specifici
Trasversali
Rischi prioritari valutati nel 2018
Probabilità
Impatto
Revisionecontinua
No ulteriori controlli
Gestione proattiva
Revisioneperiodica

�ݺ�ߣ

A. Lucchese, M.Tozzi, Il sistema di Risk management in Istat

Recommended

More Related Content

Similar to A. Lucchese, M.Tozzi, Il sistema di Risk management in Istat (20)

More from Istituto nazionale di statistica (20)

Recently uploaded (18)

A. Lucchese, M.Tozzi, Il sistema di Risk management in Istat