Ridimensionamento dei rischi e priorità
1) Obiettivo e risultati
L'obiettivo è quello di rendere la valutazione e la classificazione dei rischi riproduttivi e verificabili in modo che le decisioni di bilancio/scadenza/risorse siano:- mappabili (linee e formule unificate),
- trasparenti (origini dati e presupposti documentate),
- misurabili (metriche e KRI sono collegati a controlli e incidenti),
- eseguibili (a ogni rischio corrisponde il piano CAPA/waiver con data di scadenza).
Uscite: un unico registro dei rischi, un backlog di misure prioritario, mappe termiche, rapporti sul rischio residuo, artefatti «audit-ready».
2) Termini e livelli di rischio
Inherent Risk - Rischio escluso dai controlli.
Residual Risk - Rischio in base ai controlli correnti ( ).
Target Risk è un target dopo le misure di compensazione SARA.
Likelihood (L) è la probabilità di uno scenario all'orizzonte di valutazione.
Impatto (I) è il più grande di: finanza, licenze/diritto, privacy/dati, operazioni/SLO, reputazione.
KRI sono indicatori di rischio che influenzano L/I (ad esempio, dsar _ response _ p95, conformeback ratio).
3) Scala e modelli di base
3. 1 Matrice discreta (5 x 5 o 4 x 4)
Punteggio = L x I → 1-25 (o 1-16).
Categorie (esempio 5 x 5):- 20–25 = Critical, 12–19 = High, 6–11 = Medium, 1–5 = Low.
- Le soglie vengono pubblicate in Criteri di sketch e vengono applicate in modo permanente a tutti i domini.
- 1 - ogni 3 anni; 2 - ogni 1-3 anni; 3 - ogni anno; 4 - trimestrale; 5 - mensile/frequente.
- 1 — <€10k; 2 — €10–100k; 3 — €100–300k; 4 — €300k–€1m; 5 — >€1m; a rischi legali/licenze, il livello sale a almeno 4-5.
3. 2 Modelli quantitativi
ALE, dove SLE è la media dei danni per evento, ARO è la frequenza prevista per anno.
APPROCCIO FAIR (SEMPLIFICAZIONE) - Modelliamo la frequenza (Threat Event Frequency) e il valore delle perdite (Loss Magnitude), e usiamo i percentili (p50/p95) per prendere una decisione.
Montecarlo: distribuzioni per frequenza e danni (lognorm/gamma, ecc.), 10-100k test, curve di perdita (loss exceedance curve). Utilizzare per i rischi critici più costosi/regolatori.
Raccomandazione: 80% valigette - matrice 5 x 5, 20% (rischi top) - ALE/FAIR/Montecarlo.
4) Rischio residuo e target
1. Calcola Inherent in base ai presupposti «senza controllo».
2. Considerate l'efficacia dei controlli esistenti ( ) di Residual.
3. Definire Target in base alle misure di compensazione SARAH/pianificate e alla data di raggiungimento.
4. Se Target ≤ la soglia di tolleranza (risk appetite) - ok; in caso contrario, è necessario un waiver con data di scadenza e controlli di compensazione.
5) Fonti di dati e prove
Metriche e KRI (dashboard, logi, rapporti di incidenti).
Risultati dei test di controllo (CCM), degli auditi (interni/esterni).
Report dei provider: SLA/certificati/incidenti/modifiche alle posizioni dei dati.
Analisi finanziaria: multe, changeback, fraud loss%.
Ogni valutazione è accompagnata da riferimenti a evidence con timestamp e ricevuta hash (WORM).
6) Priorità delle iniziative (traduzione rischio-azione)
6. 1 RICE (adattamento a rischio)
`RICE = (Reach × Impact_adj × Confidence) / Effort`
Reach - Quanti clienti/transazioni/giurisdizioni sono imposti.
Effetto _ adj - I convertito (o ALE/perdita p95).
Confidence - validità delle valutazioni (0. 5/0. 75/1. 0).
Effort è una settimana-uomo/costo.
Ordinare per RICE per vincere velocemente in alto.
6. 2 WSJF con correzione del rischio
`WSJF = Cost of Delay / Job Size`, где
`Cost of Delay = Risk Reduction + Time Criticality + Business Value`.
Risk Reduction è la riduzione prevista di Residual/ALE.
Time Critical è una deadline di regolatori/revisori.
Business Value - guadagno/risparmio, fiducia dei clienti.
6. 3 Priorità regolatoria
Se il rischio è associato a licenze/leggi e c'è una deadline rigida, essa entra automaticamente in Critical/High indipendentemente dallo screening «economico».
7) Regole di soglia e escalation
Critical: triage immediato, CAPA di 30 giorni, re-audit di 60-90 giorni; comitato settimanale.
La CAPA è durata 60 giorni, osservazione 90 giorni.
Medium, inserimento nel piano trimestrale.
Low - Monitoraggio + funzionalità «tech debt» slot.
Soglie KRI: Amber (avviso) e Red (escalation obbligatoria e CAPA).
8) Ruoli e RACI
9) Dashboard
Risk Heatmap: matrice 5 x 5, filtri per dominio/paese/provider.
Risk Funnel: Inherent → Residual → Target.
Top-N by ALE/p95 Loss: rischi quantitativi.
KRI Watchlist: indicatori e soglie, angoscia Amber/Red.
Impatto CAPA: riduzione prevista/effettiva; Progressi nella tempistica.
Waivers: eccezioni in vigore, tempi e misure compensative.
10) Metriche di efficienza
Risk Reduction Index è un rischio-score medio ponderato (trimestre/trimestre).
Cape on-time:% di misure in tempo (severity).
Repeat Findings (12 mes): percentuale di violazioni ripetute.
Evidence Completeness:% di rischi con pacchetto completo (obiettivo 100% per High +).
Predition Accuracy: risoluzione delle perdite/frequenze stimate e effettive.
Time-to-Triage / Time-to-Plan / Time-to-Target.
11) SOP (procedure standard)
SOP-1 - Inizializzazione e scala
Definire le linee L/I e le soglie di categoria Approva nel Comitato e fissa nel repository (versioning).
SOP-2 Rivalutazione trimestrale
La raccolta di KRI/incidenti, il riconteggio di L/I/ALE da parte dei proprietari del comitato di priorità, la pubblicazione di Roadmap.
SOP-3 - Incidente-trigger
Con Critical/High incidente - conteggio fuori programma, regolazione di CAPE e priorità.
SOP-4: Analisi quantitativa (Top Risk)
Preparare la distribuzione in entrata del di Montecarlo per le curve di perdita e la decisione del Comitato.
SOP-5 - Archivio e prove
Esporta tagli (CSV/PDF) + ricevute hash → WORM → link nelle schede GRC.
12) Modelli e «as-code»
12. 1 Criterio di sketch (sezione)
scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"12. 2 Carta di rischio (YAML)
yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]12. 3 Priorità (esempio WSJF)
yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 213) Misure compensative e waivers
Se non è possibile:- immettere controlli di compensazione (controlli manuali, limiti, monitoraggio aggiuntivo) con metriche di efficienza
- Compilare waiver con data di scadenza, proprietario e piano di sostituzione;
- re-audit obbligatorio tra 30-90 giorni.
14) Antipattern
«Bella matrice» senza collegamento con KRI/controlli/incidenti.
Scala fluttuante e sintonizzatore manuale per il risultato desiderato.
Nessuna versioning di calcoli e presupposti.
Le rare revisioni della mappa non riflettono la realtà.
Waivers senza data di scadenza e misure di compensazione.
Nessuna analisi quantitativa per i rischi top.
15) Modello di maturità (M0-M4)
M0 Ad-hoc: valutazioni a vista, nessun criterio.
M1 Pianificato: matrice 5 x 5, aggiornamenti trimestrali, dashboard base.
M2 Gestito: collegamento con KRI/CCM, CAPE, WORM-evidence.
M3 Integrato: ALE/FAIR/Montecarlo per i rischi top, WSJF/RICE in Roadmap, gate CI/CD.
M4 Continuous Assurance: KRI predittivo, riconteggio automatico, priorità di raccomandazione e «evidence-by-design».
16) Articoli wiki collegati
Mappa termica dei rischi
Controllo a rischio (RBA)
KPI e metriche della compilazione
Monitoraggio continuo della conformità (CCM)
Piani di risoluzione delle violazioni (CAPA)
Repository di regole e regolamenti
Road map della compilazione
Controlli esterni da parte di revisori di terze parti
Totale
Lo screening dei rischi e la priorità sono la disciplina dell'ingegneria, non l'arte: schemi e politiche stabili, dati provabili, metodi quantitativi per i rischi top, soglie e scalate evidenti, e un collegamento diretto con la CAPA e la road map. Questo approccio rende le soluzioni prevedibili, accelera le negoziazioni e riduce il rischio complessivo aziendale.