Un Key Risk Indicator (KRI) è un indicatore chiave di rischio, ovvero una metrica utilizzata per misurare la probabilità che la combinazione tra l’accadimento di un evento e le sue conseguenze superi la “risk appetite” (propensione al rischio) dell’organizzazione.
I KRI svolgono un ruolo fondamentale nei programmi di Enterprise Risk Management, avvisando le organizzazioni di potenziali rischi per il business. Forniscono inoltre informazioni utili su eventuali debolezze nei sistemi di monitoraggio e controllo dell’organizzazione e permettono un monitoraggio continuo del rischio.
È comune confondere i KRI con i Key Performance Indicator (KPI), ma si tratta di due strumenti ben distinti. I KPI servono per valutare i progressi verso obiettivi dichiarati, mentre i KRI offrono un sistema di allerta preventiva sui rischi.
Indice degli argomenti
Perché i KRI sono importanti?
Senza i KRI, aumenta la probabilità che un’organizzazione venga colpita da eventi o situazioni in grado di danneggiare significativamente il business. I KRI funzionano come segnali d’allarme anticipati, consentendo di identificare e mitigare i rischi in tempo utile.
Ad esempio, un KRI per un’azienda di retail potrebbe essere il numero di reclami dei clienti: un aumento di questo indicatore potrebbe segnalare un problema operativo da affrontare.
La sfida non è solo identificare i KRI più rilevanti, ma anche garantire che vengano compresi e accettati a livello interno, in modo che tutti i dipendenti ne percepiscano l’importanza e reagiscano di conseguenza.
Caratteristiche di un buon KRI
Per sviluppare un KRI efficace, è essenziale conoscere a fondo l’organizzazione e il suo funzionamento, oltre a essere consapevoli dei rischi, delle minacce e delle vulnerabilità potenziali. Un buon KRI deve avere queste caratteristiche:
- Descrivere le persone, i processi, le tecnologie, le strutture e gli altri elementi fondamentali per il successo dell’organizzazione.
- Identificare rischi, minacce e vulnerabilità, valutandoli in base alla probabilità di accadimento, agli effetti operativi e finanziari e alla capacità dell’azienda di mitigarli.
- Collegare gli attributi chiave del business ai rischi più significativi.
- Fornire metriche chiare su quando e come un rischio diventa una minaccia concreta.
Creare KRI misurabili: 11 passaggi
- Definire gli obiettivi: individuare gli attributi aziendali chiave e cosa si vuole ottenere attraverso i KRI.
- Identificare i rischi: includere rischi finanziari, operativi, di conformità e di cybersecurity.
- Collegare rischi e obiettivi: valutare l’impatto di ogni rischio sugli obiettivi aziendali e classificarli per importanza.
- Definire i KRI: sviluppare indicatori misurabili per monitorare i rischi identificati.
- Ottenere approvazioni: ottenere l’approvazione del top management.
- Stabilire le soglie di intervento: fissare livelli misurabili per ogni KRI che, una volta superati, richiedono azioni correttive.
- Trovare le fonti di dati: individuare le fonti informative necessarie per misurare i KRI.
- Implementare i sistemi di misurazione: attivare processi e strumenti per la rilevazione regolare dei KRI.
- Monitorare e valutare: controllare continuamente i KRI per rilevare variazioni nei livelli di rischio.
- Fare reportistica: comunicare i risultati ai decisori aziendali.
- Rivedere e migliorare: aggiornare periodicamente i KRI per assicurarsi che siano efficaci.
Esempi di KRI
I KRI vengono sviluppati per monitorare persone, processi, tecnologie, strutture e altri elementi critici per le attiviati aziendali. Essi forniscono i punti di misurazione per la gestione del rischio che, se superati, potrebbero interrompere il business.
Esempi di KRI con relativi punti di misurazione:
- Perdita di personale: monitoraggio dell’assenteismo o del turnover (es. soglia di allerta al 20% di calo della forza lavoro).
- Insoddisfazione dei dipendenti: es. aumento del 15% delle lamentele dei dipendenti mese su mese.
- Produzione vs domanda: es. calo del 20% nella produzione giornaliera rispetto alla domanda.
- Calo delle vendite: una riduzione del 10% delle vendite di un prodotto può far scattare una revisione del design.
- Interruzioni IT: ritardo nell’applicazione delle patch di sicurezza (es. due versioni dietro il livello raccomandato).
- Backup falliti: livelli di backup sotto i tempi minimi accettabili.
KRI e KPI: qual è la differenza?
Come accennato in precedenza, i KRI vengono spesso confusi con i KPI, che sono metriche utilizzate per valutare i progressi verso obiettivi dichiarati. I due termini sono, in realtà, funzionalmente opposti. Pur essendo distinti, la creazione di uno può spesso comportare la definizione del suo complementare.
I KRI forniscono metriche relative ai rischi e al loro potenziale impatto sulla performance aziendale. Funzionano come un sistema di allerta per il monitoraggio, l’analisi, la gestione e la mitigazione dei rischi.
Al contrario, i KPI mostrano quanto efficacemente un’organizzazione sta raggiungendo i propri obiettivi e traguardi, inclusi vendite, ricavi e soddisfazione del cliente. Come i KRI, anche i KPI possono essere applicati a persone, processi e tecnologie critiche per il successo dell’organizzazione.
Esempi di KPI e relativi KRI complementari
| Key Performance Indicator (KPI) | Key Risk Indicator (KRI) correlato |
| Ottimale performance aziendale grazie alla piena occupazione. | Misurazione dell’assenteismo oltre una certa soglia. |
| Soddisfazione dei dipendenti. | Metriche sull’aumento dell’insoddisfazione. |
| Produzione sufficiente a soddisfare la domanda. | Alert quando la produzione scende sotto un certo livello. |
| Design dei prodotti soddisfacente. | Alert su cali di vendita che richiedono revisione dei prodotti. |
| Patching regolare dei sistemi IT. | Segnalazione di patch mancanti o ritardate. |
| Backup aggiornati. | Monitoraggio dei livelli di backup. |
Sfide nella creazione e nella misurazione di nuovi KRI
Creare i KRI non è sufficiente; è essenziale che siano monitorati regolarmente per rilevare eventuali cambiamenti nelle condizioni aziendali. La gestione del rischio efficace richiede il monitoraggio continuo dei KRI per individuare variazioni nei livelli di rischio e minaccia e per identificare e implementare le necessarie azioni correttive.
Le principali sfide associate allo sviluppo dei KRI derivano spesso dall’incapacità dell’organizzazione di:
- Definire azioni di risposta in caso di deviazione dai valori attesi dei KRI.
- Ottenere informazioni accurate che permettano di individuare le attività davvero critiche per la missione aziendale.
- Identificare e quantificare rischi, minacce e vulnerabilità in termini di probabilità e gravità dell’impatto.
- Assicurarsi il supporto del top management all’uso dei KRI all’interno di un programma ERM.
- Collegare realisticamente attributi chiave del business agli scenari di rischio.
- Creare metriche comprensibili e misurabili per il management.
- Monitorare costantemente e aggiornare i KRI.
