La Gestione del Rischio a supporto della Statistica Pubblica

1. La Gestione del Rischio a supporto della Statistica Pubblica Area Incontri Palazzo dei Congressi Roma, 21 Febbraio 2013 Fabrizio Rotundi | ISTAT Alessandro Hinna | Università di Roma «Tor Vergata»

2. L’Agenda • L’avvio • Il Metodo e lo Standard • Il Sistema • Il Progetto • L’ambiente organizzativo • La sperimentazione • Dal Progetto al Processo • La pianificazione • Il controllo e il monitoraggio • Lo sviluppo • L’integrazione • La collaborazione e la trasversalità

3. Orienta il controllo senza creare sovrapposizioni organizzative Perché fare Risk Management • Si integra con i Sistemi di P&C e con le politiche organizzative • Punta a migliorare la qualità dei servizi e dei prodotti • Supporta i processi decisionali e di analisi dell’organizzazione • Rafforza la trasparenza e la fiducia degli stakeholder • Richiede un investimento iniziale in risorse e formazione • Prevede ilRe-thinking dell’organizzazione per processi • Fortemente innovativo, con poche esperienze nella P.A.

4. Il Sistema di Risk Management deve: Come fare Risk Management essere costruito “su misura” considerare cultura e comportamento organizzativo essere sistematico e strutturato usare linguaggio comune e informazioni disponibili riguardare un ambito specifico essere parte di un processo decisionale valorizzare il patrimonio tangibile e intangibile essere trasparente e inclusivo essere dinamico e reattivo al cambiamento essere in grado di adattare i princìpi di base Fonte: BS ISO 31000:2009 Risk management. Principles and guidelines

5. Gli Obiettivi di Risk Management Il Sistema di Risk Management ha l’obiettivo di consolidare e tutelare: • la posizione di leadership e il rapporto di fiducia tra “cliente” e “fornitore” • l’efficacia e l’efficienza dei processi per rilasciare risorse alle priorità strategiche • la soddisfazione degli stakeholderper la qualità dei servizi e dei prodotti • i valori, il senso etico e la percezione di appartenenza all‘organizzazione • gli assetorganizzativi, rimuovendo gli ostacoli ai risultati e al miglioramento

6. L’approccio CONTROLLI OBIETTIVI PROCESSI RISCHI CONTROLLO NEI PROCESSI DEFINIZIONE MAPPATURA PROCESSI RISK ANALYSIS CONTROLLI/ OBIETTIVI/ VULNERABILITA’ SELEZIONE PRIORITÀ VALORE ECONOMICO RISKASSESSMENT VALUTAZIONE DEL CONTROLLO RISKTREATMENT OBIETTIVI/ PROCESSI PROCESSI/ OBIETTIVI AZIONI RISPOSTA PROCESSI E OBIETTIVI PRIORITARI INTENSITA’ DEI RISCHI NEI PROCESSI AFFIDABILITA’ CONTROLLI INTERNI MONITORAGGIO Approccio “BASE” Approccio “AVANZATO” Approccio “PRO”

7. Analisi Processi e controlli progressivi sugli ASSET Analisi processi e controlli su tutti gli ASSET Analisi Processi, controlli e poi estensione agli ASSET ASSET CONTROLLI PROCESSI La scelta

8. Risk Vision

9. Risk Reduction Risk: Combinazione tra la probabilità di un evento e la sua conseguenza Rischio inerente: Rischio in assenza di qualsiasi intervento Risk treatment: Selezione ed implementazione degli interventi sul rischio: trasferimento, rifiuto, riduzione probabilità e impatto, mitigazione, cancellazione Rischio residuo: Rischio rimanente dopo il trattamento che può contenere rischi non identificati Fonte: PD ISO/IEC Guide 73:2002

10. Il Quadro complessivo Ambiente Ambiente interno interno

11. Gli Standard Fasi:

12. L’Enterprise Risk Management - ERM “L’ENTERPRISE RISK MANAGEMENT (ERM) è un processo attuato dagli Amministratori e dal Management di ciascuna struttura aziendale nell’ambito della definizione delle strategie e riguarda tutta l’organizzazione, al fine di identificare gli eventi potenziali che possono influenzare l’organizzazione stessa e gestire i rischi entro il livello ritenuto accettabile, al fine di fornire una ragionevole certezza del raggiungimento degli obiettivi“ Co.SO. - Enterprise Risk Management, IC/IF 1992/2004

13. Il Sistema di Risk Management in ISTAT • Sperimentazione • Survey sulla percezione del rischio • Formazione del Catalogo • Valutazione • Comunicazione e Informazione • Messa a regìme • Aggiornamento Catalogo • Programmazione Azioni di risposta • Trattamento dei rischi • Monitoraggio delle Azioni e del Sistema

14. Medio Alto Basso 100% 0 100 ISTAT: 99,4% Medio Medio Medio Alto Alto Basso Alto Basso Basso 100% 100% 100% 0 0 100 100 0 100 Survey: Catalogo: Valutazione: 96% 100% 100% Il Risultato della sperimentazione • L’avanzamento del Progetto al 30/09/2012 !!! Medio Basso Alto Totale Medio Medio Medio Alto Basso Basso Alto Alto Basso 1. Survey 2. Catalogo 3. Valutazione

15. I risultati della Survey Profilo medio complessivo della Dirigenza • Rischio e Direzione: componente importante nella programmazione e nello svolgimento delle attività proprie (Dim. A = 3,5) • Rischio e Istituto: moderata diffidenza nell’attribuire un’analoga valutazione ai Dirigenti (Dim. B = 2,5) • Maturità ambiente controllo Direzione: giudizio positivo sulla maturità dell’ambiente di controllo direzionale (Dim. C = 3,3) • Maturità ambiente controllo Istituto: fiducia sullo sviluppo di un sistema di RM basato sulla configurazione vigente (Dim. D = 3,1) 0 = Nulla/scarsa  5 = Massima

16. L’identificazione Il Framework del Catalogo dei rischi rappresenta: attività, criticità ed effetti

17. La classificazione Responsabilità Responsabilità

18. La catalogazione Categoria V: Esogeno: eventi sul cui verificarsi l’organizzazione non può incidere

19. I risultati – Catalogo 2013 • Rischi e criticità sono oltre il 96% del totale (il 100% nelle Aree di intervento prioritario) • Circa il 78% degli eventi sono criticità: situazioni oggettive di inefficienza gestionale e/o operativa, trattabili con azioni di miglioramento organizzativo (oltre l’80% nelle A.I.P.) • Circa il 4% delle problematiche differiscono per natura dagli aspetti “strettamente” organizzativi (statistica, informatica, esogena, politiche delle risorse, ecc.)

20. La valutazione – Il Metodo C&RSA La valutazione avviene secondo il Control & Risk Self Assessment (C&RSA), sulla base dell’impatto sull’organizzazione e della probabilità di accadimento; il prodotto dei due fattori produce il valore complessivo attribuito al rischio Nella struttura valutata viene individuato un campione di soggetti auto-valutatori rappresentativi qualitativamente e quantitativamente del processo su cui insiste l’evento critico; la valutazione di ciascuno ha uguale peso

21. La “griglia” di valutazione Esempio

22. La valutazione – La Risk Map (sperimentazione) • area di bassa gravità (verde): circa il 24% degli eventi critici • massima priorità di intervento (rossa): circa il 18% degli eventi critici; • costante monitoraggio (gialla): circa il 58% degli eventi critici, seppure con gradazione differenziata Probabilità • Eventi di tipo “operativo”, (esecuzione o supporto alla produzione): circa il 72%, sia di quelli nella “zona verde”che di quelli nella “zona rossa” e circa il 74% di quelli nella “zona gialla”; • Eventi con valore massimo di probabilità e impatto: circa l’8% del totale, simile (7%) al valore degli eventi con probabilità e impatto minimamente percepibile Impatto

23. Il trattamento degli eventi critici: le proposte Azione di risposta: Azionefinalizzata a eliminare o ridurre l'effetto dannoso dell'evento critico Caratteristiche Azione indirizzata ad evitare l'eventuale verificarsi dell'evento critico oppure ad eliminare Preventiva o ridurre gli eventuali effetti dannosi, prima che esso si verifichi Tipologia Azione finalizzata ad eliminare o ridurre gli effetti dell'evento dannoso, successivamente al azione di risposta Successiva suo verificarsi Azione curativa o correttiva di una criticità che determina di fatto situazioni problematiche Miglioramento o conseguenze dannose per l'organizzazione Interna La struttura responsabile dell'azione di risposta è interna alla Direzione azione di risposta Responsabile Esterna La struttura responsabile dell'azione di risposta è esterna alla Direzione Trasversale L'azione di risposta coinvolge più strutture responsabili interne all'Istituto

24. Il trattamento: i risultati (Programmazione 2013) Aree intervento Tutte le Aree Azioni di risposta prioritario TOTALE 466 231 Rischi e Criticità V.A. % su Tot. V.A. % su Tot. TOTALE 450 100,0% 231 100,0% Per tipologia Preventiva 36 8,0% 24 10,4% Successiva 6 1,3% 3 1,3% Miglioramento 261 58,0% 143 61,9% Da approfondire 83 18,4% 42 18,2% Altro 64 14,2% 19 8,2% Per responsabilità Interna 170 37,8% 101 43,7% Esterna 44 9,8% 22 9,5% Trasversale 172 38,2% 89 38,5% Non attribuibile 64 14,2% 19 8,2% Le azioni di risposta “propriamente” organizzative totali sono 466; (231 nelle Aree di intervento prioritario). • il 58% delle proposte riguardano azioni di miglioramento dell’organizzazione o dei processi produttivi (circa il 62% nelle Aree di intervento prioritario); • Quasi il 38% delle azioni possono essere attuate dalla struttura proponente (circa il 44% nelle Aree di intervento prioritario); • Oltre il 38% delle azioni necessitano della collaborazione trasversale e congiunta di più direzioni (circa il 39% nelle A.I.P.)

25. La Mappa delle interdipendenze La mappa degli interventi in collaborazione e delle interdipendenze è la “bussola gestionale” delle azioni “trasversali che coinvolgono due o più strutture Estratto dalla “Matrice delle collaborazioni trasversali”

26. Dal Progetto alla messa a regime del Sistema Cataloghi dei rischi • Aggiornamento e completamento dei cataloghi 2013 • Definizione delle azioni di risposta a tutti gli eventi inseriti nel catalogo Programmazione • Inserimento delle Azioni di risposta selezionate nella Pianificazione Istituzionale • Programmazione degli altri interventi Monitoraggio • Monitoraggio delle azioni di risposta attraverso il Controllo di Gestione e gli altri gli strumenti dedicati • Verifica dei sistemi di controllo dei rischi anche tramite la sperimentazione dell’Internal Auditing

27. Il Sistema di controllo Articolazione su 3 livelli: • prima linea di controllo: Management (risk owner), con responsabilità e titolarità nel verificare e mitigare i rischi; funzioni gestionali-operative, per i controlli ordinari in itinere • seconda linea di controllo: Ufficio di Risk Management, con il compito di facilitare e monitorare l’implementazione e presidiare il processo di ERM, in linea con gli obiettivi e un efficace monitoraggio • terza linea di controllo: Internal Auditing, indipendente, con un approccio Risk-Based, per fornire una ragionevole garanzia sull’efficacia della valutazione e del controllo dei rischi e sul modo in cui operano la prima linea e la seconda linea

28. Lo sviluppo del Sistema Risk Management • Aggiornamento e miglioramento • Implementazione e verifica dei controlli applicati dalle strutture • Rafforzamento dell’integrazione con il processo di pianificazione e controllo e con gli altri sistemi informativi gestionali • Sviluppo della collaborazione con le strutture di Audit e di valutazione delle performance • Realizzazione di un applicativo di supporto alla Gestione dei rischi

29. Comunicazione e Informazione – Reporting

30. Condivisione e (In)Formazione RI-CONOSCERSI risk.istat.it La crescita della cultura organizzativa: • avvicina la gestione del rischio al miglioramento dell’organizzazione • favorisce il passaggio dalla cultura del «need-to do» al «want-to do» in corso di aggiornamento … • trasforma i soggetti coinvolti da «attori» ad «autori» del cambiamento • contribuisce a sviluppare una coscienza comune tesa al rispetto dei valori etici condivisi • Fornisce i mezzi per il controllo delle prescrizioni normative (p.e. anti-corruzione) La collaborazione tra Istat e Università “Tor Vergata” di Roma mira ad assumere e promuovere gli strumenti di ERM come occasione di apprendimento e sviluppo organizzativo, creando le basi per una piattaforma di condivisione di esperienze e conoscenze nel settore della P.A.

31. La rete dei Sistemi gestionali Valuta l’organizzazione Supporta la valutazione e il Controllo strategico Garantisce il monitoraggio delle azioni di risposta O. I. V. Controllo di Gestione Supporto O.I.V. Sviluppa l’analisi e la qualità dei processi Qualità Sviluppa l’Audit e il Risk Management nell’informatica ICT Stakeholder Stabiliscono obiettivi, dettano indirizzi, fissano il Risk Appetite Organi di Governo Risk Manager Internal Audit Formazione e Comunicazione Applica e gestisce il Sistema di Risk Management Verifica i Sistemi di controllo Contribuisce alla crescita della cultura organizzativa Pag. 31

32. Grazie per l’attenzione !!!! • Dott. Fabrizio ROTUNDI • ISTAT • Direzione Generale – Ufficio DGEN/C • rotundi@istat.it • Prof. Alessandro HINNA • Università di Roma «Tor Vergata» • alessandro.hinna@uniroma2.it