Nella ISO 9001:2015 spesso vengono citati insieme i termini “rischio” e “opportunità”. L’opportunità, in particolare, è da intendersi come una combinazione di circostanze che rendono qualcosa possibile. Per questo, cogliere o meno un’opportunità comporta livelli di rischio differenti. Il Risk Based Thinking considera la situazione corrente e la correla alle reali possibilità di cambiamento. L’analisi è finalizzata a mettere in luce le opportunità di miglioramento. La normativa definisce tale aspetto in particolare al punto 4, “Contesto dell’Organizzazione”, laddove è richiesta la comprensione del contesto nel quale opera l’Azienda con l’obiettivo di individuare i fattori che ne influenzano le finalità, gli obiettivi e la sostenibilità.
Uno dei cambiamenti cruciali della nuova norma ISO9001:2015, riguarda proprio il fatto che ora spetta all’organizzazione, sulla base del Risk Based Thinking, determinare quale sia il tipo, l’ampiezza e la profondità dei controlli per l’azienda ed il servizio.
La Norma ISO 9001 non fornisce precise indicazioni su una o più metodologie da adottare; tuttavia è evidente che la solidità dell’approccio al rischio deve essere proporzionata alle conseguenze che potrebbero nascere nel caso in cui diventasse realtà.
Riguardo alle azioni per affrontare i rischi e le opportunità, definite al punto 6.1.2, è esplicitato che l’organizzazione, dopo aver identificato rischi ed opportunità, deve decidere come gestirli mantenendo sempre una proporzionalità tra le azioni da intraprendere e l’effetto atteso sulla conformità del prodotto/servizio e sulla soddisfazione del cliente. È dunque chiaro che qualunque valutazione sbagliata renderà inadatto, e dunque inefficace, il Sistema di Gestione Qualità.
La nuova norma ISO 9001:2015 cita apertamente l’approccio basato sul rischio (soltanto implicito nella versione precedente) e indica lo standard ISO 31000 come linea guida di riferimento per estendere le misure minime atte a stabilire un approccio formalizzato per la gestione del rischio relativo alla qualità dei propri prodotti/servizi e dei propri processi.
Alla luce dell’importanza attribuita all’approccio al rischio, sarà dunque opportuno soffermarsi sui tratti principali che lo definiscono.
Il Risk Based Thinking è un processo teso a dimostrare che l’organizzazione comprende quali siano i rischi intrinseci al proprio Sistema di Gestione Qualità e ai processi che lo costituiscono o che possono influenzare la capacità di raggiungere gli obiettivi previsti.
Si rende pertanto necessario produrre le evidenze che dimostrano che i rischi sono stati identificati e che sono state previste le azioni proporzionali alle conseguenze. I rischi sono dinamici e cambiano con il passare del tempo: questo approccio, quindi, è continuativo e non si esegue una tantum.
La ISO 31000 spiega come funziona quel processo delicato e fondamentale che va sotto il nome di Gestione del Rischio e fornisce indicazioni su come applicarlo all’interno di un’organizzazione. Essa definisce il rischio come “l’effetto dell’incertezza sugli obiettivi”. La valutazione del rischio corrisponde al processo complessivo di identificazione, analisi e ponderazione del rischio.
I rischi sono di natura molteplice e la loro valutazione deve prendere in considerazione sia i fattori umani che quelli organizzativi. La possibilità che i comportamenti umani siano diversi da quanto previsto dalla Norma deve essere presa in considerazione in modo evidente. Le persone costituiscono, infatti, importanti fonti di incertezza a seconda delle attitudini, del comportamento, delle percezioni, della cultura, dei bisogni, delle competenze, delle abilità di comprensione e dell’esperienza. Da ciò derivano non soltanto l’adeguata formazione e informazione delle persone, ma anche l’importanza della consapevolezza, diffusa a tutti i livelli dell’Organizzazione, degli obiettivi del Sistema di Gestione Qualità.
Le attività di Risk Assessment devono essere sistematiche, logiche e condotte in modo strutturato per produrre risultati adeguati e massimizzare efficacia, efficienza, ripetibilità e difendibilità. Inoltre, le attività devono essere definite ad un livello adeguato e coerente con le decisioni da prendere e al tipo di risultato desiderato.
Un singolo rischio può avere influenza non solo su ciò che ad esso è direttamente connesso, ma anche su altre attività e altri processi non immediatamente correlati. Tutti i possibili legami devono quindi essere presi in considerazione per assicurare che la gestione di un rischio non produca conseguenze indesiderate o intollerabili altrove.
Il rischio riguarda tutte le decisioni, ma alcune di esse necessitano di un approccio strutturato. La ISO 31000
fornisce la cornice teorica all’interno della quale muoversi per un corretto approccio al Risk Based Thinking.
A Febbraio 2018 è stata rilasciata una nuova versione della ISO 31000 che mira a renderla più chiara e sintetica, trasferendo parte della terminologia, già compresa nella precedente versione della ISO 31000, nella specifica Guida ISO 73 “Gestione del rischio – Vocabolario”, che raccoglie appunto la terminologia del risk management ed è pensata per un suo utilizzo in parallelo alla norma stessa. Il nuovo testo si presenta non solo più conciso, ma comprende anche alcuni cambiamenti sostanziali come ad esempio l’importanza data ai fattori umani e culturali nel raggiungimento degli obiettivi di un’organizzazione e una maggiore enfasi su una più solida integrazione del risk management con il processo decisionale e, più in generale, all’interno di un sistema di gestione strategico e operativo.
La ISO 31000:2018, non essendo destinata a scopo certificativo, stabilisce non dei requisiti bensì delle linee guida, garantendo la flessibilità necessaria all’implementazione dello standard secondo le modalità che più si adattano ai bisogni e agli obiettivi delle singole aziende.
