ENTERPRISE RISK MANAGEMENT

LEZIONE 1 - CHE COSA È IL RISCHIO?

Il rischio è definito come una chance, una possibilità di pericolo, di perdita, di ferita o altre conseguenze avverse.
“La probabilità di conseguenze dannose o perdite previste risultanK da un dato pericolo per un dato elemento in
pericolo o rischio, in un periodo di tempo specificato.” (Schneiderbauer e Ehrlich, 2004)

𝑅𝑖𝑠𝑘 = 𝐻𝑎𝑧𝑎𝑟𝑑 × 𝑉𝑢𝑙𝑛𝑒𝑟𝑎𝑏𝑖𝑙𝑖𝑡𝑦 × 𝐸𝑥𝑝𝑜𝑠𝑢𝑟𝑒

Il conceRo di rischio non è oggeSvo, ma è streRamente connesso alla percezione degli individui su cui incombe;
percepire significa interpretare un fenomeno per comprendere di cosa si traS.
Un modo diverso di interpretare l’ambiente circostante, si traduce in una differente percezione del rischio e della
vulnerabilità del soggeRo a suddeRo evento, e lo stesso discorso vale per le imprese.
Il rischio deriva da una situazione di incertezza e può generare anche un outcome posiKvo poiché se una circostanza
può essere rischiosa, può analogamente offrire un risvolto posiKvo o negaKvo: esso si manifesterà all’avvenire
dell’evento che può determinare una situazione totalmente posiKva, totalmente negaKva o un mix dei due scenari.
Esistono dei faRori che influenzano la percezione del rischio:
Ø Controllo percepito – la percezione del rischio diminuisce all’aumentare della percezione di controllo della
situazione (es. viaggio in auto / viaggio in aereo);
Ø Esperienze pregresse;
Ø Preoccupazioni familiari – la percezione del rischio può essere influenzata da faRori familiari in senso
allargato, vale a dire che alcune scelte (anche di invesKmento) possono non essere intraprese per non
compromeRere la stabilità di tuS gli stakeholder interni ed esterni;
Ø Anali?cal way of thinking – la percezione del rischio dipende dalla capacità dei singoli individui di giudicare
la probabilità che si verifichi un pericolo, la probabilità di impaS negaKvi e la gravità di quesK ulKmi;
Ø Fiducia – la percezione di rischio varia a seconda dell’aRendibilità percepita nella fonte d’informazione;
Ø Tipo di rischio – il Kpo di rischio ne influenza la percezione: alcune persone si aspeRano che si verifichino
determinaK evenK, rendendoli così prevedibili (es. TerremoK in giappone). Gli individui si preoccupano più
per la percezione dell’impaRo (negaKvo) che per la probabilità che esso si verifichi.
Perché dovremmo preoccuparci del rischio e della ricerca?
La capacità di definire cosa potrebbe accadere in futuro e di scegliere tra alternaKve è al centro delle società
contemporanee. La gesKone del rischio ci guida in una vasta gamma di processi decisionali.
L’idea rivoluzionaria che definisce il confine tra i tempi moderni e il passato è la padronanza del rischio: la nozione
che il futuro è più di un capriccio degli dei e che uomini e donne non sono passivi di fronte alla natura.
Il rischio nel contesto organizza?vo è solitamente definito come tuRo ciò che può influenzare il raggiungimento degli
obieSvi aziendali. È generalmente acceRato che il rischio sia meglio definito concentrandosi sui rischi come evenK,
affinché un rischio si concreKzzi, deve verificarsi un evento.
Il rischio può avere esiK posiKvi o negaKvi o può semplicemente comportare incertezza. Pertanto, può essere
considerato correlato a un'opportunità o a una perdita o alla presenza di incertezza per un'organizzazione.
Esistono 3 categorie generiche di rischi:
• Hazard risk – rischio puro, associato esclusivamente a danni potenziali che possono anche riguardare la salute e la
sicurezza dei lavoratori. Si ricorre molto spesso alle assicurazioni per coprire questa Kpologia di faSspecie (es. Furto);
• Control risk – associato ad evenK sconosciuK ed inaResi, cosa che lo rende difficilmente quanKficabile in termini di
probabilità di manifestazione e di impaRo.
• Opportunity risk – rischi che l’azienda decide deliberatamente di accollarsi, essi dipendono dalla propensione al
rischio dell’azienda e dei manager. Riguardano anche quei rischi che l’azienda sopporta qualora non dovesse sfruRare
un’opportunità. È un rischio che generalmente pende sulle piccole e medie imprese: meno un’impresa è consolidata
sul suo mercato di riferimento, più è soRoposta a questo Kpo di rischio.

Saranno le singole organizzazioni a decidere il sistema di classificazione dei rischi più adaRo a loro.
LEZIONE 2 - L'ARCHITETTURA DEI CONTROLLI
ArchiteJura del controllo
La governance può essere brevemente definita come:
Una formalizzazione del conceRo di governance inizia con lo sviluppo economico e lo sviluppo dei mercaK che
riguarda il post Prima guerra mondiale, che si scontrò, a parKre dal ’29, con la crisi finanziaria.
Non esiste una definizione univoca che delinea chiaramente il significato di corporate governance, ma essa si può in
sintesi idenKficare come "il metodo aJraverso il quale gli agen? delega? dirigono e controllano”, predisponendo
controlli interni ed esterni nel rispeRo del raggiungimento degli obieSvi prefissaK.
Nell’ambito della corporate governance è importante che 3 elemenK siano streRamente connessi tra loro:
- Devono essere chiari ed espliciK gli obieSvi che l’impresa intende raggiungere;
- Conoscere i rischi o gli evenK che possono modificare negaKvamente la probabilità di raggiungere gli obieSvi;
- Bisogna fare un’analisi aRenta dei controlli o delle protezioni da aRuare per tutelarsi dal manifestarsi dell’evento
incerto e rischioso.
La corporate governance deve sinteKzzare quesK elemenK e solo successivamente prendere una serie di decisioni
che riguardano gli aRori del controllo e gli strumenK del controllo.
Nel corso del tempo la corporate governance ha subito modificazioni significaKve a valle degli anni 90’/2000 nella
consapevolezza che, la maggior parte degli scandali che si erano verificaK, erano dovuK a delle debolezze nei sistemi
di corporate governance e che avessero un impaRo forKssimo sulla stabilità finanziaria e sul grado di fiducia nei
mercaK finanziari (es. Parmalat, Enron).
Il processo di riforma che riguarda la governance in italia viene aRuato su più profili: da un lato si sono avuK
intervenK per la realizzazione del codice di autodisciplina (corporate governance code) e per le riforme del diriRo
societario del 2003 per rendere le imprese italiane più aRraSve per l’imprenditore straniero, dall’altro c’è stato un
intervento che riguarda l’avvicinamento agli standard dei principi contabili internazionali.
Il sistema di controllo interno nelle imprese non è un sistema fisso, ma esso deve essere commisurato alle
caraRerisKche e necessità dell’impresa ed al modello di business della stessa.
Esso deve essere integrato nella struRura organizzaKva, amministraKva e corporate ed i suoi componenK devono
essere coordinaK ed interdipendenK, in parKcolare riferimento ai flussi di comunicazione tra le varie funzioni
aziendali o, più specificamente, tra i vari aRori.
I principi di controllo interno si fondando sulla separazione dei ruoli e delle responsabilità, sulla tracciabilità dei daK
e delle informazioni e sull’accountability dei processi che vengono realizzaK all’interno dell’azienda.
La separazione dei ruoli e delle responsabilità ha l’obieSvo di ridurre e prevenire il rischio di frodi o di errori,
garantendo l’indipendenza rispeRo a parKcolari sensibili del business.
L’accountability è una chiara aRribuzione interna delle responsabilità in base ai risultaK realizzaK da
un’organizzazione o da un soggeRo o da un gruppo di soggeS che prende le decisioni, e che si compila sulle loro
skills, abilità ed eKca. Essa serve in primo luogo per gesKre eventuali confliS all’interno dell’organizzazione, ma
sopraRuRo per far sì l’analisi dell’andamento aziendale non sia solo top-down, ma che si avvalga anche di un
processo informaKvo costante boRom-up.
Per quanto riguarda la tracciabilità dei daK e delle informazioni essa ha la funzione di registrare tuRo ciò che accade
in azienda per comunicare all’interno o all’esterno informazioni che siano rilevanK per comprendere l’andamento
aziendale.
Un sistema di controllo interno che si fonda su quesK tre pilastri è un sistema efficace laddove sia in grado di
semplificare la comprensione degli andamenK aziendali (quindi il grado di raggiungimento degli obieSvi operaKvi e
strategici), sia in grado di garanKre che la divulgazione delle informazioni finanziarie – e non – siano aRendibili e che
sia in grado di garanKre all’impresa il rispeRo di leggi, regolamenK e codici eKci.
La valutazione dell’efficacia è soggeNva e riguarda l’adeguatezza del sistema di controllo interno rispeRo agli obieSvi
aziendali, essa può essere ostacolata da diversi faRori come, ad esempio, situazioni di alleanze strategiche oppure dal
grado di confliRualità all’interno dell’azienda che generalmente risulta crescente laddove l’impresa affronK un forte
cambiamento.
Normalmente il sistema di controllo interno si suddivide su 3 livelli con differenK responsabilità e strumenK:

֎ internal audit (controllo di terzo livello)

֎ risk management e compliance officer (controllo di secondo livello)

֎ struJure produNve (controllo di primo livello)

I controlli produSvi, deS di 1 livello, sono controlli procedurali che vengono predisposK dal management per
presidiare il raggiungimento dei singoli e specifici obieSvi precisi dei singoli individui coinvolK nel processo operaKvo,
misurandone ex-post l’effeSva capacità operaKva.
I controlli di 2 livello sono tuS indipendenK tra loro ma devono garanKre coordinazione ed interdipendenza.
Il Risk Management gioca il ruolo di facilitatore rispeRo alla discriminazione di logiche basate sulla valutazione del
rischio nell’ambito delle scelte aziendali.
Il controllo di Compliance riguarda tuS gli elemenK di complessità riguardanK il rispeRo delle normaKve nazionali,
internazionali ed internamente sviluppate dall’azienda ed il suo compito è monitorare il rispeRo di queste ulKme, al
fine di evitare che rischi di compliance non evolvano in termini di rischio operaKvo, e quindi non subire ritorni
negaKvi in termini reputazionali.
Poi il Financial ReporKng Officer controlla lo svolgimento della parte contabile dei processi, per aRestare che le
informazioni contabili aziendali siano predisposte e affidabili e il controllo di GesKone valuta aRraverso specifici
indicatori, il livello di raggiungimento degli obieSvi pianificaK, fornendo adeguaK flussi informaKvi e la base per
eventuali azioni correSve e di pianificazione. Altri controlli di secondo livello: Qualità, Sicurezza, ecc.
Il terzo livello di controllo è rappresentato dall’Internal Audit, il quale ha un ruolo di assurance – e cioè di controllo
degli altri organi di controllo – e consulenza, di faS fa il controllo della bontà degli altri livelli di controllo, verifica
l’andamento dei processi e delle procedure ed il loro funzionamento all’interno dell’impresa e se occorre cambiare
qualcosa; monitora le eventuali debolezze idenKficate per le quali sono state suggerite azioni di modifica siano poi
effeSvamente migliorate; riferisce costantemente al top management rispeRo alla bontà dei sistemi di controllo e
segnatamente rispeRo al risk management.
Gli aJori del controllo vengono definiK dal modello di governance prevalente, il cosiddeRo modello tradizionale, che
presenta il board of directors (CdA) che dà le linee guida strategiche, valuta il livello di rischio acceRabile, da direzioni
rispeRo alla struRura che deve dotarsi il risk management e che è faRo sia da direRori esecuKvi che da direRori non
esecuKvi. Il codice di autodisciplina delle società quotate suggerisce la presenza di alcune commissioni nel cda,
poiché esistono delle problemaKche per le quali si riKene opportuno che le decisioni non vengano prese dall’intero
consiglio, ma solo raKficate da quest’ulKmo su suggerimento delle singole commissioni che sono cosKtuite per lo più
da amministratori indipendenK; le commissioni esplicitamente suggerite dal codice sono: il comitato controllo e
rischi, la commissione remunerazione e nomine e così via.
In italia vige il principio comply or explain il quale sancisce che, pur non essendoci l’obbligo da parte delle società
quotate a cosKtuire le commissioni suggerite, devono comunque fornire, in sede di bilancio, le eventuali moKvazioni
dal discostamento rispeRo a quanto indicato dal codice di autodisciplina.
Il collegio sindacale ha visto progressivamente aumentare le sue funzioni rispeRo alle società quotate con le varie
riforme del diriRo societario, esso ha un potere pervasivo di ispezione e controllo, ha obblighi di segnalazione anche
alle autorità laddove vi sia una decodificazione di situazioni rischiose o fraudolente all’interno della società e, laddove
venga meno a quesK obblighi, è perseguibile penalmente.
Un altro soggeRo deputato a controllare la bontà del sistema di controllo interno è il revisore esterno.
Gli altri soggeS internamente deputaK sono l’internal auditor, il risk manager ed il compliance manager.
Le caraRerisKche che accomunano quesK aRori sono l’indipendenza, l’accesso libero alle informazioni e i flussi di
comunicazione sia rispeRo al top management al quale riferiscono sia rispeRo alle altre funzioni aziendali.
L’organismo di vigilanza in italia subentra in seguito al decreto legislaKvo 231/2001 che sancisce la responsabilità
penale degli enK per i reaK commessi dai propri dipendenK nell’esercizio delle proprie funzioni. Da cui nacque
l’esigenza delle imprese di tutelarsi dotandosi di un modello di organizzazione, gesKone e controllo che sia in grado di
accertare che l’impresa aveva posto in essere i processi e le Procedure necessarie a prevenire la commissione dei
reaK aRraverso un organismo di vigilanza che ha l’obieSvo di vigilare sull’osservanza del modello di organizzazione,
gesKone e controllo.
LEZIONE 3 – INTERNAL AUDIT
Definizione -> L'InsKtute of Internal Auditors definisce l'internal audit come:
"L'a<vità di valutazione indipendente all'interno di un'organizzazione per la revisione delle operazioni contabili,
finanziarie e di altro ?po come base per un servizio prote<vo e costru<vo alla direzione".
È una funzione di controllo correlata che ha in comune aspeS con la revisione esterna.
RispeRo all’internal audit si è manifestata un’aRenzione crescente a parKre dagli anni 2000 in poi, è una funzione che
nelle aziende più grandi è internalizzata, i cui obieSvi e funzioni variano a seconda delle caraRerisKche del business
considerato, ma, tradizionalmente, ricomprendono il controllo di tuRe le transazioni in area economico-finanziaria.
L’internal audit osserva queste operazioni nella prevenzione di frodi, reaK o al perpetrarsi di errori, non soltanto per
quanto riguarda l’aspeRo della redazione del bilancio, ma anche per quanto riguarda la realizzazione dei processi,
assolvendo ad un ruolo di controllo dei controlli di primo e secondo livello, assicurandosi quindi che quesK siano
efficaci ed efficienK.
La prima caraRerisKca è quella dell’indipendenza nella valutazione delle aSvità dell’organizzazione, aspeRo
fondamentale perché l’internal audit ha a che fare non solo la parte economico-finanziaria dell’impresa, ma anche
quella operaKva e deve valutare in che modo tuS i processi vengono aRuaK per comprendere se esistono
problemaKche che impedirebbero il raggiungimento degli obieSvi prefissaK in sede di pianificazione strategica.
Gli obieSvi dell’internal audit si ampliano e si restringono anche a seconda del ruolo che all’interno dell’azienda gli si
vuole aRribuire, ovviamente nella misura in cui farà assurance dei controlli, dovrà anche analizzare i sistemi di
controllo presenK in azienda e, nell’eventualità, suggerire le modifiche miglioraKve e le modalità aRraverso le quali si
possono apportare queste modifiche per far sì che i controlli avvengano in modo efficace ed efficiente. Nel momento
in cui si riconoscono inefficienze all’interno dei controlli, l’internal audit non solo suggerisce i cambiamenK ma si
occupa di verificare che quesK vengano realizzaK, e quindi si occupa di monitorare il livello di adeguamento rispeRo
alle raccomandazioni, nell’oSca di garanKre che i flussi informaKvi in azienda siano curaK, caraRerizzaK da affidabilità
e che siano in grado di garanKre non solo che l’azienda, soRo il profilo economico-finanziario, produca un’informaKva
uKle per gli invesKtori esterni, ma anche che il processo che conduce a quell’informaKva sia trasparente e privo di
frodi o omissioni. Nel suo ruolo di assurance non solo interviene rispeRo ad un piano stabilito, ma può anche
intervenire su temaKche specifiche su richiesta del top management, o su richiesta di controlli di primo e secondo
livello, che avrebbero bisogno di consulenza e supporto su temaKche importanK per le quali l’internal audit può
svolgere un importante ruolo di supporto. Questo non soltanto nell’oSca che il sistema di controllo interno contenga
errori o omissioni, ma anche nell’oSca anche del faRo che i cambiamenK del mercato sono estremamente veloci e
può capitare che, nonostante l’adeguatezza iniziale di un sistema di controllo interno, il cambiamento di alcune
poliKche in qualche area parKcolare dell’azienda legato ad opportunità di invesKmento o di effeRuare operazioni di
cambiamento aziendale, possono andare ad intaccare il sistema di controllo interno, e l’internal audit ha il ruolo di
idenKficare il problema e comunicarlo al top management, concertando con quesK un eventuale soluzione.
Per la parte economico-finanziaria assume un ruolo essenziale di concerto con il revisore esterno per le
caraRerisKche dell’informazione finanziaria che viene divulgata all’esterno. Da un lato l’internal audit verifica
periodicamente che le operazioni in senso streRo avvengano in maniera efficace ed efficiente, e questo comporta che
vada ad assicurarsi la separazione dei ruoli e delle responsabilità, che i flussi di accountability siano efficaci e che
tuRe le transazioni siano riproducibili e trasparenK. Dall’altro l’internal audit, di concerto con la compliance, va a
verificare che le misure raKficate garanKscano il rispeRo di leggi, regolamenK, di fonK autogenerate di
regolamentazione, indagando quelle aree più problemaKche per loro natura intrinseca al fine di evitare la
commissione di frodi (es. Azienda che opera in ambito pubblico e quindi sulla base di appalK, questa potrebbe essere
un’area parKcolarmente pericolosa per l’internal audit che andrà a presidiare tuRe le aSvità che concernono la
presentazione della domanda perché potrebbe rappresentare una sospeRa area di frode all’interno dell’azienda).
L’indipendenza dell’internal audit è da interpretare in una duplice maniera, non solo deve segnalare eventuali
mancanza sulle linee gerarchiche soRostanK e a valutare l’operato dei manager, per contro, poiché non può garanKre
la trasparenza dell’autovalutazione, colui che è a capo della funzione di internal audit non può ricoprire cariche
specifiche, nell’ambito di consiglio di amministrazione o nell’ambito delle funzioni di controllo di secondo livello
poiché questo non garanKrebbe la separazione dei ruoli e delle responsabilità.
Deve garanKre che le proprie risorse siano adeguate sia in termini numerici, sia in termini di educazione rispeRo alle
esigenze di una funzione, ed infaS, un errore prolungato, è stato quello che l’internal audit era monotemaKco, oggi
invece si punta sull’ibridazione del gruppo, ossia un team mulKdisciplinare al fine di garanKre che possa instaurare un
dialogo consapevole all’interno dell’organizzazione.
Il tema relazionale si collega all’esigenza di dialogo: per quanto l’internal audit possa assumere un ruolo partecipaKvo
costruendo una relazione costruSva con le altre funzioni aziendali, è anche vero che è importante che la funzione sia
legiSmata dal top management a farlo, il quale ha il compito di costruire una cultura aziendale del controllo che
possa far capire che l’internal audit è uno stakeholder fondamentale all’interno dell’azienda per garanKre l’efficacia e
l’efficienza, quindi non solo il raggiungimento degli obieSvi aziendali ampi, ma che sia intesa dai singoli soggeS
come uno strumento per migliorare le proprie performance ed il raggiungimento dei propri obieSvi personali.
L’internal audit deve operare con “due care”, e cioè con diligenza professionale.
Deve avvalersi di un piano di controllo: deve cioè pianificare ogni anno le azioni da intraprendere e condividere
questo piano con le funzioni aziendali interessate e con il top management.
Una relazione importan?ssima è quella tra internal audit ed external audit (revisione esterna): ambedue i soggeS
hanno a che fare col sistema di controllo interno sebbene le finalità siano diverse. Il revisore deve dare un giudizio
sulla rappresentazione veriKera e correRa in bilancio, l’internal audit deve assicurare che il sistema di controllo
interno sia efficace ed efficiente, che le normaKve siano rispeRate e che la società sia dotata di un servizio di
controllo che aiuterà il raggiungimento degli obieSvi e non andrà a detrimento di quesK.
QuesK due soggeS monitorano l’efficacia del sistema di controllo interno, il che è essenziale per prevenire con largo
anKcipo la commissione di frodi ed errori, all’internal audit serve per riconoscere le red flag e quindi suggerire i
miglioramenK del sistema di controllo interno, all’external audit serve sapere se il controllo interno è inefficace
perché questo le aiuta a definire le caraRerisKche del suo piano di lavoro, e quindi essenzialmente quanK controlli di
conformità e quanK controlli di validità aRuare nell’ambito del proprio piano di lavoro.
L’incarico dell’internal audit e della società di revisione è differente, perché l’internal audit è nominato dal
management, l’external audit viene invece nominato dall’assemblea. Gli obieSvi sono differenK in quanto l’internal
audit ha un obieSvo di Kpo processuale interno, mentre la società di revisione valuta il controllo interno come mero
strumento per fare affidamento o meno nel compimento del suo obieSvo, dare un giudizio sul bilancio. Anche le
responsabilità sono diverse, mentre l’internal audit si interfaccia col top management ed è responsabile nei suoi
confronK, l’external audit è responsabile rispeRo agli azionisK, agli invesKtori e più precisamente a tuS gli
stakeholder.
Il processo di internal audi?ng
All’inizio di ogni anno l’internal audit recupera una serie di informazioni e documentazioni che sono necessarie per
stabilire un piano di audiKng. Una volta realizzato il piano e presentato al top management, anche tenendo conto
delle esigenze che quest’ulKmo ha espresso, si fa una riparKzione di compiK e responsabilità, si determinano le
tempisKche, la sequenza delle operazioni, si organizzano riunioni periodiche circa le problemaKche che possono
emergere, quindi si riesaminano le documentazioni e vengono concordate delle linee guida di azione, ed alla fine si
concreKzza in un documento che verrà consegnato sia al top management sia alle funzioni interessate all’interno del
quale saranno presenK tuS i correSvi e le azioni da intraprendere che sono soggeRe a follow up periodici.
L’internal audit è una funzione costosa, rischiosa, altamente complessa in termini relazionali e rischia di diventare un
controllo dei risultaK piuRosto un controllo della bontà dei processi, degradandosi a controllo di secondo livello.
Problemi aper? e limi? dell’audit interno
- personale incompetente e carenza di personale
- ritardo temporale tra la registrazione e controllo delle registrazioni, la contabilità e l'audit devono procedere
parallelamente con un ritardo minimo.
- funzione esecuKva: il limite dell'audit interno è che il revisore interno può essere collegato a funzione esecuKva. in
questo caso, non può esaminare i libri contabili e altri registri e non può scoprire le proprie debolezze.
- errori: potrebbero esserci errori nei libri contabili, dipende sulla capacità del personale di audit interno.
- responsabilità: il personale può dare suggerimenK per il correRo funzionamento dell'aSvità. il top management
può non prestare aRenzione ai suggerimenK. in questo modo, il lavoro di audit non può aiutare l'aSvità.
- doveri: il limite dell'audit interno è che potrebbe non esserci una correRa divisione dei doveri. in questo caso,
l'auditor interno non è in grado di stabilire la responsabilità per la negligenza dei doveri. Il lavoro di audit può
evidenziare la debolezza dei dipendenK aziendali; altrimenK, l'intero accordo va sprecato.
L’audit interno è ampiamente dibaRuto sia per le grandi aziende, anche quotate, sia per Le PMI così come sono:
- Altamente costoso - Altamente rischioso - Altamente complesso
- Potrebbe superare la funzione di controllo dei processi finendo per controllare i risultaK, fuori dal suo scopo.
LEZIONE 4 – LA COMPLIANCE (conformità)
LA FUNZIONE DI COMPLIANCE È LA RISPOSTA DELLA GESTIONE ALL'INSIEME DEI RISCHI CONNESSO AL MANCATO
RISPETTO DI NORME IMPERATIVE O DI AUTOREGOLAMENTO DEFINIBILE COME RISCHIO DI (NON) CONFORMITÀ
La funzione compliance è quella deputata al presidio del rispeRo delle leggi, regolamenK, standard, codici eKci, essa
fu introdoRa a parKre dal seRore bancario poiché fu necessario implementare un set di controlli realizzato ad hoc per
monitorare che le banche non subissero dei rischi derivanK dal non rispeRo di normaKve imperaKve.
Questa Kpologia di rischio è trasversale a tuRa l’organizzazione perché riguarda ogni singola operazione ed aSvità,
non solo operaKve ma anche aSvità strategiche; è inoltre una funzione in conKnua evoluzione perché si deve
adeguare al cambiamento dei processi organizzaKvi, all’introduzione di innovazioni all’interno dell’azienda ed ai
cambiamenK che riguardano i framework regolamentari.
Il rischio di compliance si può intendere sia nell’accezione di rischio legale, sia di rischio reputazionale, e quindi agisce
sull’impresa sia in maniera direRa, per via di sanzioni ove questa non rispeS leggi o regolamenK, sia in modo
indireRo perché sopportare quella sanzione ne genera un’altra intangibile di Kpo reputazionale che si manifesta
indireRamente (es. Nike sfruRava il lavoro minorile).
La funzione compliance va, da un lato, ad idenKficare una serie di azioni che possono prevenire la commissione di
azioni che vanno contro a leggi e regolamenK, dall’altro, cerca di contribuire alla creazione di una cultura del
controllo improntata a principi di integrità e di eKca e, sopraRuRo, deve assicurarsi che per i singoli processi aziendali
la compliance non sia solo formale, ma sia sostanziale, e cioè che le aSvità vengano poste in essere sostanzialmente
rispeRando le richieste della normaKva.
È UNO STRUMENTO DI CREAZIONE DI VALORE PERCHÉ RAFFORZA E STABILIZZA IL RAPPORTO DI FIDUCIA CON I
CLIENTI E PRESERVA LA REPUTAZIONE DELL'AZIENDA
Essa fa parte dei controlli di secondo livello insieme al risk management e idenKfica i ruoli e le responsabilità: deve
essere necessariamente nominato un manager, il cheif compliance officer, e si baserà su un piano che viene
deliberato e realizzato durante la vita dell’impresa.
Come per l’internal audit, la funzione compliance deve essere totalmente indipendente: il cheif compliance officer
non può avere responsabilità operaKve in altre funzioni, non può essere gerarchicamente dipendente rispeRo a
responsabili di aree che deve controllare e deve costruire un dialogo direRo e non mediato con tuRe le funzioni con
le quali si dovrà interfacciare.
Deve garanKre che le proprie risorse siano adeguate sia in termini numerici, sia in termini di professionalità specifiche
al suo interno che siano in grado di interpretare il contesto normaKvo non solo soRo l’aspeRo giuridico, ma valutare
anche i riflessi operaKvi e strategici delle scelte prese.
Deve poter aver libero accesso alle informazioni e dev’essere una funzione che viene legiSmata dal top
management.
La funzione idenKfica tuRe le normaKve riferibili ai singoli casi valutando quale sarebbe l’impaRo del non rispeRare
queste indicazioni; può suggerire eventuali modifiche delle procedure informaKve, prepara flussi informaKvi che
vengono direS sia alle funzioni interessate, sia al management, va a monitorare costantemente che i correSvi
suggeriK siano efficacemente posK in essere ed infine, laddove si sKa valutando l’opportunità di un nuovo
invesKmento o l’innovazione di processo viene interpellata come una funzione consulenziale per segnalare eventuali
problemaKche che potrebbero emergere.
Molte volte esiste un problema di proporzionalità, e cioè si assiste alla presenza di una funzione compliance che
viene garanKta dalle grandi imprese solo per compliance formale: una compliance soRodimensionata rispeRo
all’impresa sicuramente non potrà svolgere e adempiere al meglio i suoi ruoli.
Il processo di compliance parte da un’analisi dell’aSvità operaKve dell’impresa al fine di idenKficare, valutare e
monitorare quali sono le esigenze di compliance, ossia le esigenze che derivano dagli intervenK normaKvi e
regolamentari; a quel punto si individuano le red flag, cioè quelle aree che possono presentarsi maggiormente
problemaKche in termini di mancato rispeRo della normaKva e quindi di verificazione del rischio di compliance; si
realizzano eventuali suggerimenK di correzioni per miKgare il rischio di compliance.
Durante tuRo il processo si valuta anche la bontà del compliance risk management process, cioè la funzione deve
interrogarsi sulla bontà del suo operato cercando di comprendere se esistono problemaKche che devono essere
risolte per migliorare la prevenzione del rischio di compliance.
I cosK che si sostengono da parte dell’impresa per integrare una funzione di compliance sono, oltre ai cosK dello staff,
quelli che bisogna sostenere per diffondere la consapevolezza di una funzione compliance e della sua importanza, ad
esempio cosK di promozione e comunicazione del programma, di logisKca, di consulenza, ecc…
Viceversa, i cosK che si sostengono optando per non dotarsi di una funzione di compliance sono generalmente le
sanzioni, eventuali cambiamenK contraRuali o risoluzioni extracontraRuali, i cosK che l’impresa deve sopportare per
risolvere dispute ed evitare sanzioni, la conseguente diminuzione dei ricavi derivanK da una perdita di reputazione e
la diminuzione di una capitalizzazione di mercato e tuS quei cosK collegaK all’aumento di obblighi che derivano dagli
inadempimenK normaKvi (es. Aumenta il costo del capitale perché si ingenera un meccanismo sanzionatorio
prevenKvo e di tutela).
LEZIONE 5 - L’EVOLUZIONE DEI CONTROLLI CONTABILI BASATA SUL RISCHIO
Management accoun?ng evolu?on
Agli esordi il controllo di gesKone nasceva come esigenza quanKtaKva, la sua funzione era quella di controllare la
quanKtà di scostamento strategico ma, con l’evolversi del quadro sociale, si è andaK incontro ad esigenze anche di
Kpo qualitaKvo in specifico riferimento agli intangible e intellectual assets, integrando quindi le logiche del rischio e
della gesKone del rischio.
A parKre degli anni ‘90 ci si rende sempre più conto che la gesKone aziendale nei casi di fallimento, di processi di
cambiamento o di scelte di invesKmento presenta una forma di debolezza laddove ci sia mancanza di comunicazione
tra le varie funzioni, in parKcolare tra la funzione controllo di gesKone e quella parte del management che si occupa
della valutazione della gesKone del rischio: si inizia a comprendere che il performance manager ed il risk manager
non sono due figure alternaKve, ma complementari. Può ad esempio capitare che nell’ambito di un processo
decisionale la consulenza del risk management non necessariamente sia indirizzata nella direzione in cui il top
management chiamato a prendere quella decisione vorrebbe. La necessità di una visione olisKca nelle scelte è
essenzialmente determinata dal faRo che ci troviamo in un mondo definito V.U.C.A. (volaKle, incerto, complesso,
ambiguo) dal quale, tra le altre cose, nasce anche l’esigenza di differenziare il proprio modello di business.
I faJori che influenzano il controllo contabile

NUOVE SFIDE RISPOSTE NECESSARIE

Ø Globalizzazione dei merca/ Ø Capacità comunica/ve

Ø Progressi nelle tecnologie ICT e di produzione Ø Capacità di lavorare in team
Ø Aumento della concorrenza (prezzo, qualità, Ø Capacità anali/che
velocità di consegna, servizi al cliente) Ø Solida conoscenza della contabilità in uso
Ø Competenze di base (semplificazione) diffuso all'interno dell'organizzazione
Ø Enfasi sulla relazione tra cliente e fornitore Ø Ampliamento dei confini contabili
Ø Ridimensionamento Ø Sapere (e sen/re) come funziona il business
Ø Esternalizzazione Ø Comprensione del modello di business
Ø StruEure organizza/ve più piaEe Ø Contabilità oltre la contabilità
Ø Lavoro di squadra

Il mondo dell’accounKng control cambia in quanto si deve ricercare un avvicinamento tra funzioni originariamente
concepite come separate, integrando conoscenze ibride (es. Una funzione di controllo che si interfaccia con una
struRura ospedaliera potrebbe incontrare delle frizioni rispeRo alle logiche legate alla professione clinica in senso
streRo: da un lato si ha la necessità di tutelare la salute del paziente come obieSvo primario, dall’altro occorre che
tuRe le aSvità vengano svolte con la massima efficienza).
Il management accounKng viene definito dall’isKtuto di management accounKng come “un processo in con?nuo
miglioramento a valore aggiunto che è legato al disegno ed alla pianificazione sia dei sistemi informa?vi non
finanziari, che dei sistemi informa?vi finanziari che guida il management nelle sue azioni, ne mo?va i comportamen?,
supporta e crea il valore necessario a raggiungere gli obie<vi aziendali sia di breve che di lungo periodo”.
Da ciò si evince che il management accounKng non ha uno scopo meramente quanKtaKvo, ma ha il fondamentale
compito di processare daK intangibili e non oggeSvamente idenKficabili e misurabili.
La contabilità gesKonale fornisce sia informazioni finanziarie che non finanziarie.
Il ruolo delle informazioni di gesKone supporta il processo decisionale di gesKone strategica (pianificazione),
operaKva (operaKva) e di controllo (valutazione delle prestazioni)
Adesso il management accounKng deve tenere necessariamente conto di faRori endogeni ed esogeni, ha un
orientamento di lungo termine e deve avere una propensione di controllo concomitante rispeRo alle esigenze
dell’azienda.
Si deve poggiare su 4 pilastri che servono a generare il processo di creazione del valore:
- Influence: la comunicazione realizzata all’interno dell’impresa deve essere un driver per le decisioni strategiche ed
esecuKve a tuS i livelli dell’impresa;
- Relevance: l’informazione deve essere rilevante e tempesKvamente comunicata;
- Trust: lavorare su relazioni e risorse sopraRuRo per tuRo quello che concerne ambiK non quanKtaKvi come ad
esempio gli aspeS reputazionali;
- Analysis: prontezza nell’analizzare scenari alternaKvi per reagire in modo proaSvo tenendo conto del rischio e della
possibile creazione di valore per l’impresa
Il comitato suggerisce una serie di linee guida al fine di far produrre informazioni in grado di supportare il processo
decisionale, la comunicazione dev’essere realizzata su misura rispeRo alle esigenze dell’impresa.
Il messaggio fondamentale degli intervenK e delle dichiarazioni di prassi più recenK è che la contabilità gesKonale
deve essere olisKca , incisiva e in grado di creare valore.
Non è più possibile che le dimensioni del rischio resKno implicite o, peggio, ai confini.

1) LA COMUNICAZIONE FORNISCE UN'INTUIZIONE CHE È 3) L'IMPATTO SUL VALORE È ANALIZZATO

INFLUENTE Per simulare diversi scenari che dimostrano le relazioni
Per guidare decisioni migliori sulla strategia e sulla sua causa-effeRo tra input e risultaK
esecuzione a tuS i livelli - Le simulazioni forniscono approfondimenK sulle opzioni
- Lo sviluppo e l'esecuzione della strategia è una - Le azioni sono prioritarie in base al loro impaRo sui
conversazione risultaK
- La comunicazione è su misura 4) LA GESTIONE COSTRUISCE FIDUCIA
- La comunicazione facilita decisioni migliori GesKre aSvamente relazioni e risorse in modo che le
2) LE INFORMAZIONI SONO RILEVANTI aSvità finanziarie e non finanziarie, la reputazione e il
Per aiutare le organizzazioni a pianificare e reperire le valore dell'organizzazione siano proteS
informazioni necessarie per creare strategie e taSche - Responsabilità e credibilità
- Le informazioni sono le migliori disponibili - Sostenibilità
- Le informazioni sono affidabili e accessibili - Integrità ed eKca
- Le informazioni sono contestuali

Una funzione di contabilità gesKonale efficace è composta da persone qualificate e competenK, che applicano i
Principi per mantenere e migliorare il sistema di gesKone delle prestazioni di un'organizzazione aRraverso le aree di
praKca che intraprendono.
LEZIONE 6 – RISK MANAGEMENT
Enterprise risk management
Il risk management è un approccio sistemaKco per idenKficare e comprendere i rischi al fine di guidare il
management nelle decisioni ed azioni, deve cioè meRere in grado i soggeS decisori ad ogni livello nella condizione di
massima creazione del valore e deve essere sviluppato in una logica sia top-down che boRom-up, è cioè un processo
trasversale che aRraversa tuS gli ambiK aziendali e cerca di meRerli in comunicazione aRraverso flussi informaKvi
efficaci ed efficienK.
Il primo passo nella gesKone del rischio è minimizzare i possibili danni che possono derivare dall’accadimento di un
evento avverso implementando strategie o strumenK di controllo per evitare o limitare l’impaRo delle eventuali
conseguenze negaKve. Non tuRo è controllabile al 100%, quindi non bisogna solo prevenire il rischio, ma bisogna
pensare anche strategie o soluzioni alternaKve per gesKre una situazione più severa rispeRo a quanto pianificato.
NOTA IMPORTANTE: GESTIRE IL RISCHIO NON SIGNIFICA ELIMINARLO!
Il processo di risk management è faRo di fasi e, come tuS gli strumenK di controllo, ha una triplice natura: controllo
antecedente, controllo concomitante (monitoraggio) e controllo susseguente. ARraverso queste fasi si riesce a:
- Determinare gli obieSvi aziendali con l’individuazione dei sub-obieSvi ed eventuale riformulazione di quesK ulKmi;
- IdenKficare i rischi potenziali che potrebbero impaRare sugli obieSvi;
- QuanKficare le esposizioni ai rischi, valutando la probabilità di verificazione degli evenK;
- Valutare l’impaRo dei rischi;
- Esaminare gli strumenK a disposizione del risk management;
- Selezionare un appropriato approccio di risk management per gesKre il rischio;
- Implementare il programma e monitorarlo costantemente per verificare che esso sia sempre coerente con gli
obieSvi, con i nuovi strumenK emergenK, con le nuove tecnologie, con le nuove opportunità e i nuovi rischi che si
prospeRano.
Il risk manager deve avere necessariamente una capacità di interpretare i fenomeni aziendali che riguardano le
specificità dell’impresa che controlla, ed è necessario che non sia avulso dalle logiche di quest’ulKma.
È una funzione che si amplia e si restringe a seconda dell’idea fondante del top management e delle esigenze
idenKficate; essa raccoglie la prospeSva finanziaria ed operaKva in quanto in quesK ambiK esistono degli elemenK
intangibili da individuare e valutare, con specifico riferimento alla valutazione delle interdipendenze tra le funzioni,
permeRendo così di intervenire dove vi è difficoltà di aRribuzione di responsabilità e quindi permeRere
l’individuazione del locus dove il valore aziendale si distrugge.
Altri possibili obieSvi dell’enterprise risk management sono:
- Creare ed aumentare il valore aziendale;
- Assicurare la conKnuità aziendale;
- Stabilizzare gli uKli;
- Segnalare opportunità, nuove occasioni di business e modalità differenK per raggiungere determinaK obieSvi;
- Rendere la gesKone del rischio più efficiente in termini di cosK.
La funzione nasce a parKre dagli anni ‘90 in quanto ci si rende conto che è necessario comprendere le dinamiche di
rischio in azienda in maniera integrata e globale. Anche precedentemente vi era un’aStudine all’osservazione e alla
valutazione dei rischi, ma era una gesKone del rischio deRa “silo based”, ossia la gesKone dei rischi avveniva in
maniera separata (rischi gesKK reparto per reparto). Durante gli anni 2000 ci sono una serie di evenK, sia dal piano
geopoliKco, sia dal piano streRamente aziendale che fanno cambiare l’approccio delle società al risk management: la
sua importanza tende a crescere nel tempo anche perché i codici di corporate governance iniziano ad individuare le
falle nella governance delle grandi società aRraverso diversi casi di scandalo che si sono susseguiK.
Oggi il risk management è ritenuto fondamentale, ormai tuRe le quotate ritengono che sia opportuno dotarsi di
questa funzione. È parere consolidato che il risk management in quanto organo di controllo debba salire al piano
gerarchico del top management perché serve un approccio olisKco rispeRo alla gesKone del rischio, inoltre si è
consapevoli che la funzione aumenta la probabilità di accrescere il capitale sociale, non soltanto nella sua accezione
finanziaria, ma sopraRuRo nella sua accezione operaKva, relazionale ed intelleRuale dell’impresa.
Tradizionale Emergente
- Rischi gesKK in silos - GesKone centralizzata, con coordinamento a livello esecuKvo
- Si concentra sui pericoli fisici e sui rischi finanziari - Considerazione integrata di tuS i rischi, a livello aziendale
- Orientamento assicuraKvo - Opportunità di copertura e diversificazione
- ProgeS ad hoc/una tantum - ConKnuo e incorporato
I rischi oggi sono più numerosi, in generale:
֎ rischi opera?vi – quelli che riguardano i danni da un profilo operaKvo e fisico;
֎ rischi legali – rischi di compliance;
֎ rischi strategici – capacità di approvvigionarsi di capitali e le scelte necessarie per l’allocazione degli invesKmenK;
֎ rischi finanziari;
֎ rischi tecnologici;
֎ rischi sul capitale umano – alla capacità di traRenerlo e formarlo;
֎ rischi legaK agli stakeholder e le loro esigenze;
֎ rischi reputazionali.
Quando si parla di enterprise risk management, bisogna considerare tuS i problemi di implementazione ed occorre
che un garante (champion) in azienda stabilisca un dialogo sia a livello esecuKvo sia tra i responsabili delle funzioni.
Le componenK del processo di enterprise risk management sono:
- Determinazione obieSvi strategici aziendali e idenKficazione dei relaKvi rischi – la capacità di essere
omnicomprensivi ed individuare ciascun rischio anche la misurazione della probabilità di verificazione, dell’impaRo e
dell’eventuale ampiezza delle perdite;
- Valutazione dell’impaRo – analisi di scenari e ove necessario fa ricorso a simulazioni stocasKche;
- Valutazione dell’eventuale trasferimento dei rischi, l’aRuazione di strategie di headging o di diversificazione o se
integrare i rischi all’interno delle logiche aziendali – quesK processi non hanno luogo solo a livello di top
management, ma occorre che le informazioni filtrino all’interno della struRura organizzaKva, serve quindi una cultura
diffusa, devono esserci consueK strumenK di accountability, una definizione chiara delle responsabilità per le
interdipendenze focali che fanno sorgere necessità di presidio e occorre che ci sia un flusso di informazioni costante
sia top down che boRom up per assicurare tempesKvità ed aRendibilità.
L’enterprise risk management cerca di evitare “un fallimento di immaginazione”: non è deRo che poiché qualcosa
non è intellegibile allora non può impaRare su un fallimento aziendale, spesso le moKvazioni dei fallimenK
riguardano qualcosa che si sarebbe potuta immaginare.
L’enterprise risk management è un sistema complesso, che ha bisogno di un approccio di Kpo boRom up e che non
sia basato su personalità univoche, ma che si avvalga di personale ibrido e che sia in grado di interpretare i diversi
processi sopraRuRo per meRere in luce eventuali problemaKche di Kpo organizzaKvo eventuali incoerenze nella
gesKone.
Il processo di enterprise risk management è un processo dinamico nel tempo, i modelli si devono adeguare
velocemente così come si modificano i contesK nei quali operano.
Alcune problemaKche potrebbero dipendere dal faRore comportamentale perché ci potrebbero essere errori di
relazione, si possono cioè verificare comportamenK di cecità: se per esigenze circostanziali la funzione si concentra su
alcune aree rispeRo che su altre, quelle su cui non si concentra diventano aree di interesse disaRese facendo
esacerbare molKssime condizioni di rischio, infine possono esserci problemi legaK alle influenze o alle caSve sKme
che possono essere faRe rispeRo alla funzione.
LEZIONE 7 - RISK ASSESSMENT, RISK APPETITE, RISK TOLERANCE
Quando si parla di risk appeKte e risk tolerance si fa riferimento ad uno sforzo dialogico da parte dell’impresa per
comprendere e comunicare, sia all’interno che all’esterno, la sua generale aStudine al rischio.
Per operare qualunque Kpologia di scelta strategica tenendo conto del rischio, l’azienda deve definire il risk appe?te:
cioè la misura della totale esposizione al rischio che un’organizzazione decide di assumere sulla base del trade-off
rischi-ritorni sugli invesKmenK, sia per un solo progeRo che per più progeS o aggregazioni di invesKmento.
Essa è intrinsecamente legata ai ritorni economico-finanziari aResi dagli invesKmenK, ed ha un parametro
quanKtaKvo di riferimento ma molte volte sopraRuRo per alcune Kpologie di invesKmento può essere espressa in
termini qualitaKvi (es. Ricerca e sviluppo). Può essere espressa come quella parte di rischio che un’organizzazione
pensa di poter gesKre per raggiungere gli obieSvi strategici ed operaKvi.
La risk tolerance è streRamente collegata al risk appeKte: essa è il livello massimo di incertezza che un’organizzazione
è preparata a gesKre ed è la massima varianza sopportabile. Mentre la risk appeKte si estrinseca in un unico
statement, la risk tolerance individua un intervallo di valori all’interno dei quali l’azienda è disposta a tollerare quel
rischio.
Delle definizioni di risk appeKte e di risk tolerance vengono fornite sia dall’ISO guide lines che dal COSO.
ISO guide lines
Ø Risk appeKte – ammontare e Kpologie di rischio che un’organizzazione è disposta a sopportare o traRenere;
Ø Risk tolerance – il grado di preparazione dell’organizzazione o degli stakeholder a sopportare i rischi dopo che
quesK siano staK gesKK per il raggiungimento degli obieSvi.
COSO
Ø Risk appeKte – ampia base di descrizioni del livello desiderato di rischio che l’impresa è disposta a sopportare nel
raggiungimento della sua mission;
Ø Risk tolerance – rifleRe la variazione acceRabile degli outcome legaK a specifiche misure di performance e
correlaK agli obieSvi che l’impresa vuole raggiungere.
Il risk appeKte e la risk tolerance sono delle azioni di bilanciamento che l’azienda comunica, e sono influenzate dalla
natura dell’organizzazione e dalle caraRerisKche del seRore o del mercato in cui l’organizzazione opera. Esistono
aziende che hanno una più accentuata propensione al rischio e quindi, essendo interessate all’incremento potenziale
di capitale, sono disponibili ad acceRare un grado maggiore di rischio alla ricerca di risultaK economici migliori (es.
Start-up innovaKve), al contrario esistono imprese con una minore propensione al rischio che mirano ad una
stabilizzazione degli earnings e per costoro ci sarà una risk tolerance più ridoRa (un range di variabilità tollerabile
minore).
Unitamente alla risk appeKte e la risk tolerance si devono considerare i limi? di rischio: siamo nell’alveo delle scelte
strategiche che riguardano gli expected outcome dell’impresa e, per valutare se l’impaRo che avrebbe una nuova
opportunità (o un cambiamento a livello organizzaKvo) rientrerebbe nei parametri individuaK di risk appeKte e risk
tolerance, sarà necessario prevedere dei limiK di rischio per tuRe le singole funzioni aziendali la cui aSvità inerirà al
raggiungimento dell’obieSvo. La risk tolerance si focalizza sugli output di business, i limiK di rischio forniscono una
limitazione sugli input.
Il risk appeKte si sostanzia in una dichiarazione (risk appeKte statement) al fine di condividere ai vari livelli
manageriali qual è la propensione di rischio che l’impresa decide di sopportare per il raggiungimento dei suoi
obieSvi. Essa include sia misure quanKtaKve che misure qualitaKve, può richiamare indicatori specifici

LegaK a rischi specifici e può richiamare diverse aree di interesse (area economica finanziaria, area anKcorruzione,
area condoRa ed eKca dell’impresa). La definizione del risk appeKte è il risultato di un processo che avviene a livello
di top management (board unitamente al cheif risk officer), essi possono considerare con un bilanciamento diverso
quesKoni che riguardano il raggiungimento della performance target nelle key areas definita in sede di pianificazione
(la conservazione del capitale, la conservazione della liquidità etc.). È necessario che il risk appeKte venga definita
non solo per una singola unità di interesse ma per l’impresa in generale, e bisogna che venga tradoRo e comunicato
ogni aspeRo trasversalmente all’interno dell’organizzazione, di modo che quella logica prudenziale vada a permeare
tuS i livelli manageriali del processo decisionale. Il risk appeKte deve essere riferita in primis agli obieSvi, in seconda
istanza alle operaKons: se questa comunicazione avviene nella maniera correRa, deve filtrare i ragionamenK che a
valle del risk appeKte definiscono la risk tolerance (per la quale valgono tuS gli aspeS di condivisione e sistemaKcità
del processo).
RispeRo al risk appeKte esiste il problema di definire la risk tolerance e per farlo bisogna definire un set di variabili
strategiche da presidiare ed è rispeRo a queste che si idenKficano gli indicatori di range sopportabili (es. ProfiRo,
grado di solvibilità etc.). Bisogna prima capire qual è il risultato per soddisfare l’obieSvo aReso (es. Crescita ebitda
dell’8% e crescita solvibilità del 150%); definita la prospeSva oSmisKca si deve valutare qual è il livello di outcome
tollerabile (es. Crescita ebitda dello 0% e crescita della solvibilità del 120%); poi bisogna considerare quanto a lungo si
può tollerare l’outcome minimo (es. Crescita ebitda dello 0% e crescita della solvibilità del 120% è tollerabile una
volta su dieci anni).
Una volta definiK gli outcome minimi e massimi tollerabili si devono idenKficare le Kpologie di rischio che devono
essere in qualche modo misurabili e vincolanK.
Per arrivare dalla risk tolerance ai limiK del rischio si parte dai limiK fissaK dalla tolleranza e, a ritroso, si fissano una
serie di limitazioni coerenK con l’obieSvo prefissato derivaK aRraverso modelli di natura matemaKco-staKsKca (es.
Modelli determinisKci, modelli stocasKci, modelli caoKci, modelli causali, modelli di social network analysis etc.). Non
bisogna dimenKcare che esistono dei processi per i quali il ruolo del rischio è molto pervasivo, altri per i quali il
rischio è soltanto in parte pervasivo e altri ancora per i quali il rischio è limitato. Il processo più rischioso in azienda è
quello mediante il quale si definisce il massimo grado di rischio tollerabile per il raggiungimento degli obieSvi,
immediatamente successivo è il grado di rischio che si addensa sul processo di definizione della risk tolerance e via
via quello che va ad impaRare sui risk limits (stress test, gesKone del capitale, scelte di governance e di miKgazione
etc.).
Per realizzare una risk enabled organizaKon occorre determinare quali sono le incertezze chiave relaKve sia al
business sia ai risultaK aResi, quali sono le opportunità di crescita o le minacce di distruzione di valore, quali sono le
aree nelle quali filtra maggiormente l’incertezza e come calibrare e quanKficare l’esposizione al rischio per una certa
Kpologia di business. Il monitoraggio dei risk limits è necessario che si appoggi su un framework di governance
focalizzato nella direzione di consolidare il risk appeKte framework: il cda deve essere consultato velocemente e deve
essere costantemente aggiornato dal risk manager sull’adeguatezza e sulla persistenza dell’adeguatezza del risk
appeKte statement e sull’adeguatezza della risk tolerance, ma sopraRuRo deve esserci un flusso comunicaKvo
legiSmato tra i risk owners di processo e chi è deputato alla verificazione del rispeRo dei risk limits e a ritroso della
risk tolerance.
LEZIONE 8 - ISO3100 RISK MANAGEMENT GUIDELINES
L’ISO3100 è uno standard internazionale del 2009, revisionato nel 2018, che cerca di fornire una serie di linee guida
per formare un efficace risk management. Nonostante già esistesse un modello ERM già formalizzato, l’ISO chiarisce
che il bisogno a cui voleva rispondere, con un tentaKvo di standardizzazione, era legato ad una serie di problemaKche
relaKve all’approccio al risk management, il quale non rispecchiava il legame con la visione strategica aziendale.
Può essere applicato ad ogni Kpologia di rischio ed organizzazione e vuole dare delle basi per approcciare in maniera
criKca al processo di risk management.
L’approccio dell’ISO è generico, non c’è alcun Kpo di declinazione specifica per seRore, è uno standard unico nel suo
genere perché fornisce delle fondamenta teoriche alla gesKone del rischio e non una “to do list”, ed è per questa
ragione che questo standard non fornisce la possibilità di ricevere una cerKficazione.
Esso include:
- La definizione ed i termini rilevanK di risk management richiamando un altro standard;
- Un set di principi che servono ad orientare l’azione del risk management;
- Alcune raccomandazioni sul risk management framework (le fondamenta teoriche e conceRuali rispeRo alle quali
modellare la funzione di risk management);
- Raccomandazioni sull’implementazione del risk management come processo.
Non ci sono:
- Istruzioni o specificazioni deRagliate su Kpologie di rischi parKcolari (punto oggeRo di forK criKche);
- SuggerimenK per seRori specifici (quelli che possono essere soggeS a problemi sul piano della salute, sul piano
ambientale etc.);
- Lista di parametri da rispeRare per oRenere delle cerKficazioni.
Gli standard collegaK sono:
- Risk management voucabulary;
- Giudance to implementaKon for ISO3100;
- Risk management assessment techniques (le modalità per valutare l’adeguatezza del processo di risk management).
L’ISO criKca il COSO framework in quanto, nel 2009, sebbene fosse un modello avanzato non faceva evincere
chiaramente che il risk management deve sempre essere orientato alla visione strategica dell’impresa.
L’ISO intende i rischi in senso generico e questo per alcune associazioni viene ritenuto un limite perché si riKene che,
ad esempio, i rischi legaK alla sicurezza dei lavoratori non dovrebbero essere intesi dal risk management come rischi
da gesKre, perché qualunque Kpologia di rischio che riguarda la sicurezza o la salute dei dipendenK deve essere
ritenuto non acceRabile e quindi escluso a prescindere.
Le novità rilevanK dell’ISO31000 sono:
- Nozione di risk appe?te;
- Definizione di rischio – è l’effeRo di una deviazione da quello che si aRende l’impresa, non necessariamente è
negaKvo o posiKvo e quindi i rischi vanno gesKK;
- Risk management framework – si esplicita che le imprese devono avere un framework che guidi le azioni del
management;
- Definizione filosofia ges?onale – ossia una filosofia aziendale secondo la quale il risk management è un aspeRo
inseparabile rispeRo a tuRe le quesKoni che riguardano il cambiamento organizzaKvo.
Prima dell’ISO31000 il rischio veniva rappresentato come una combinazione tra probabilità ed impaRo delle
conseguenze ed estensione delle conseguenze di un evento avverso. Generalmente queste valutazioni venivano
supportate dalla seguente matrice:

Nella nuova definizione di rischio vi è il superamento della logica preRamente quanKtaKva in quanto il rischio viene
definito come l’effeRo dell’incertezza, e quindi della deviazione, che soffre un’organizzazione nel raggiungimento dei
suoi obieSvi. La gesKone dei rischi è un processo che serve a contenere ed anKcipare i potenziali deviazioni
dirompenK al fine di aRuare una serie di azioni correSve in modo tale che l’organizzazione raggiunga i suoi obieSvi
nonostante le eventuali perturbazioni che possono provenire dall’interno o dall’esterno.
Questo conduce alla definizione di risk appeKte, ossia l’ammontare totale e la Kpologia di rischi che un’impresa è
disposta a gesKre per il raggiungimento dei suoi obieSvi. Il risk appeKte deve opportunamente filtrare
trasversalmente nell’impresa aRraverso il risk appeKte statement.
Cambia quindi la rappresentazione della matrice: non si parla più in termini quanKtaKvi della probabilità dell’evento e
delle conseguenze dell’impaRo, ma, in base a determinaK obieSvi (es. Earnings volaKlity, reputazione etc.), viene
espresso il livello di rischio acceRabile tenuto conto del grado di importanza di suddeS obieSvi all’interno
dell’azienda.

Le componenK dello standard sono:

֎ risk management framework (la struRura e le operazioni da avviare rispeRo al modo in cui si vuole approcciare al
risk management);
֎ risk management process (che riguarda il modo in cui i rischi sono traRaK e gesKK);
֎ principi ineren? alle risk management ac?vi?es (aSvità che riguardano sia il processo sia il framework).
Per idenKficare il processo di risk management, visto che il rischio è streRamente legato al raggiungimento degli
obieSvi aziendali e Kene conto degli elemenK di incertezza, va esaminato il contesto esterno (grado di pressione
degli stakeholder etc.) Al fine di constatare se gli obieSvi sono coerenK e adeguaK. A seguito di questo primo step
bisogna idenKficare i rischi, cioè se esistono cause che possono limitare la capacità di raggiungere gli obieSvi, a
seguito si individuano le fonK e le cause dei rischi precedentemente idenKficaK e inoltre bisogna esplicitare la
probabilità di verificazione, le conseguenze e le estensioni delle conseguenze e questo consente di idenKficare un
grado di rischio residuale, cioè la quanKtà di rischio che residua dall’applicazione delle procedure di controllo
esistenK.
A questo punto occorre fare una valutazione dei rischi, comparando i risultaK delle analisi con alcuni target da
definire per individuare l’ammontare di rischio residuale tollerabile.
A questo punto si ha a disposizione un set di informazioni complete che permeRe di comprendere qual è il risks
treatment (traRamento dei rischi), e cioè valutare se essi vanno gesKK, eliminaK, acceRaK e come bisogna
approcciare sistemaKcamente per tuS i rischi aziendali al fine favorire il raggiungimento degli obieSvi.
Diventa essenziale la definizione di fase di monitoraggio e revisione – unita con la comunicazione e consultazione – in
quanto sono azioni di controllo contemporanee, sistemaKche e sinergiche nelle quali si revisionano le misure di
gesKone del rischio rispeRo a definiK indicatori per capire se sono appropriate, si controllano eventuali deviazioni
nella pianificazione del risk management, si comprende se il framework di risk management è ancora adeguato.
Il risk management framework include:
v Risk architecture – idenKfica dei ruoli e delle responsabilità;
v Strategy – gli obieSvi che la gesKone dei rischi intende perseguire;
v Protocols – le procedure che esprimono le modalità di implementazione della funzione di risk management.
I principi che guidano il risk management sono:
- Deve creare e proteggere valore;
- Deve essere basato sulle migliori informazioni possibili;
- Deve rappresentare una parte integrale dei processi;
- Dev’essere cucito su misura per le necessità dell’azienda;
- Deve essere una parte connaturata, essenziale ed intrinseca dei processi decisionali;
- Deve tener conto della dimensione umana e della dimensione dei faRori culturali;
- Si deve riferire espressamente alle incertezze;
- Necessita di trasparenza ed inclusività nei processi;
- È un processo sistemaKco, struRurato e tempesKvo;
- È un processo dinamico, iteraKvo e proaSvo rispeRo al cambiamento;
- Deve facilitare il conKnuo miglioramento dell’organizzazione nella direzione della creazione di valore.
I principi devono orientare la stesura del framework, e cioè il modo con cui si aRua nelle rouKne aziendali la funzione
di risk management e le caraRerisKche dei processi definiK all’interno del risk management framework vanno ad
impaRare sul risk management process. QuesK sforzi inoltre fanno da feedback e quindi intervengono sui principi –
se la necessità è quella di calarli meglio all’interno del contesto aziendale, garantendo una maggiore condivisione e
una maggiore cultura del controllo – e sul framework – possono essere disvelatori di problemaKche procedurali nella
funzione di risk management e permeRere di intervenire con tempesKvità.
Bisogna sempre tener conto che l’ISO31000 è una linea guida e non uno standard composto da parametri da
rispeRare.
LEZIONE 9 e 10 - COSO FRAMEWORK
Il COSO definisce l’ERM come un processo realizzato dal CDA, dal management e dal resto del personale che viene
applicato nella fase di definizione della strategia aRraverso l’impresa, disegnato per pianificare evenK che possono
impaRare sull’impresa e per gesKre il rischio del risk appeKte e per fornire ragionevoli rassicurazioni nel
raggiungimento dei suoi obieSvi.
L’ERM nasce per supportare la creazione di valore, deve avere a che fare con l’incertezza gestendola, deve operare in
maniera tale da ridurre la probabilità di impaS negaKvi o riduzioni degli outcome e migliorare la capacità di
comunicare il valore creato dall’impresa agli stakeholder.
A differenza dell’ISO31000 che riporta una schemaKzzazione della relazione tra principi, struRura del processo,
contenuto del processo, monitoraggio e comunicazione, l’ERM ha una rappresentazione maggiormente olisKca che
suggerisce la necessità della creazione di un linguaggio comune all’interno dell’azienda per direzionare e supportare il
processo di risk management.
L’ERM 2004 era un modello staKco di risk management perché, sebbene implicitamente contenesse una serie di
caraRerisKche che spingevano alla necessità di allineare gli aRori aziendali alle esigenze del risk management
legandolo alla mission ed alla vision, alcune aree rimanevano separate.
Con l’ERM 2016 si approccia in maniera dinamica con un più esplicito riferimento alle strategie, alla mission ed alle
necessità di coinvolgimento tra tuRe le funzioni dell’impresa.
Evoluzione COSO framework ed impaN
Per comprendere cosa cosKtuisce l’erm il vecchio modello rimane valido in quanto, sebbene sia cambiato in parte
l’approccio al risk management in termini di più alto ruolo del risk manager e di più alto grado di pervasività, i task
rimangono invariaK.

Nel modello ERM 2004 le categorie di obieSvi che si vogliono presidiare con approccio orientato al rischio sono:
֎ obieNvi strategici
֎ obieNvi opera?vi
֎ obieNvi di repor?ng
֎ obieNvi di compliance
Tali obieSvi possono essere declinaK considerando:
• L’impresa nel suo complesso;
• Le divisioni;
• Le sussidiarie;
• Le unità di business.
Si assume una visione di portafoglio dell’erm: oltre a considerare i singoli rischi esso deve considerare come quesK
rischi si correlano e come devono essere gesKK in un’oSca di portafoglio, e cioè sia nella prospeSva di intervenK
sulla singola unità di business sia nella prospeSva dell’impresa nella sua interezza. Le componenK dell’erm (layers)
sono interrelate tra loro:
Ø Internal environment – fase di realizzazione di una cultura del rischio e del risk management che consenta di
avere un approccio al decision making che sia in grado di riconoscere gli evenK inaResi e di stabilire una cultura
pervasiva a tuS i livelli aziendali orientata alla gesKone del rischio. È un’oSca orientata all’interno dell’impresa;
Ø Objecitve seNng – fase di analisi dello scenario che serve per stabilire gli obieSvi. È uno degli aspeS che
maggiormente cambia tra il modello erm 2004 ed il modello erm 2016 perché nel primo modello il layer non
esprimeva con chiarezza che l’analisi dello scenario deve fare riferimento ad uno scenario esterno, e quindi alla
valutazione di eventuali rischi che potrebbero derivarne, e stabilire il grado e la Kpologia di risk appeKte e
l’aReggiamento in termini di risk tolerance. Nel primo modello la prospeSva interna travalica, in termini di
aRenzioni dedicate, quella esterna perché non viene esplicitato, seppure necessario, il moto circolare in cui certe
decisioni prese sul rischio vanno ad impaRare sul modo in cui vengono definiK gli obieSvi;

Ø Event iden?fica?on – livello che fa riferimento alle procedure concrete di risk management, riguarda la
possibilità di analizzare gli scenari ed evidenziare rischi ed opportunità. È una fase dove, inoltre, vi è l’analisi degli
evenK avversi che possono impaRare sull’azienda internamente ed esternamente, modificando il modo in cui la
strategia si dipana e contribuisce alla realizzazione degli obieSvi e si cerca come la materializzazione degli
eventuali rischi potrebbe impaRare sul risk profile (il profilo di rischio dell’impresa). È una fase che avviene ai
livelli del top management ma è poi necessario idenKficare anche la situazione a livello di business unit poiché il
processo di enterprise risk management nel coso framework è sempre di Kpo top- down e successivamente
boRom-up (es. Scenario: perdita di know-how criKco; cause: abbandono personale qualificato; conseguenze:
abbassamento dei ricavi di vendita);

Ø Risk assessment – è una fase che idenKfica la probabilità di un evento e l’impaRo di verificazione del medesimo,
ricordando che non dev’esserci solo un approccio quanKtaKvo ma può essere misurato anche con indicatori
qualitaKvi (es. Rischio inerente, e cioè quel rischio che si corre in assenza di intervenK di controllo: 3/5; rischio
residuale: 2/5)
Il risk assessment può essere riassunto in una matrice che ha come variabili la probabilità di verificazione di un
evento (alta o bassa) e la Kpologia di impaRo che da esso può scaturire (alto o basso). Ovviamente le aRenzioni
dell’impresa dovranno maggiormente focalizzarsi su quegli evenK ad alta probabilità di verificazione e il cui
impaRo è alto (es. Call center);

Ø Risk response – è una fase che idenKfica azioni da aRuare per evitare gli eventuali danni valutaK nella fase di risk
assessment (es. Azione di miKgazione: aggiustamento del contraRo; Kpologia di azione: prevenKva; efficacia:
4/5); riprendendo la matrice del risk assessment, il risk response fornisce delle azioni che potrebbero essere
messe in praKca per gesKre il rischio (es. Call center);

Ø Control ac?vi?es – nelle control acKviKes fanno parte tuRe le policy che, a tuS i livelli dell’organizzazione,
garanKscono vi sia un adeguato presidio dei rischi da controllare, e quindi un adeguato controllo al fine di
verificare che i processi e le procedure avvengano in maniera efficace ed efficiente. Esse monitorano anche
l’adeguatezza delle soluzioni di miKgazione aRuate dall’impresa.
 (il primo grafico mostra la probabilità di impaRo di verificazione dell’evento senza azioni di miKgazione, il
secondo mostra come si abbassano quesK valori dopo gli intervenK)

Ø Informa?on & comunica?on – l’erm è un processo che riguarda tuS gli aRori aziendali e quindi necessita di
correnK flussi di comunicazione e coordinamento tra le funzioni;

Ø Monitoring – monitoraggio conKnuaKvo ed apprezzamento conKnuaKvo nel tempo della coerenza del sistema di
controllo.
Affinché la funzione sia efficace ed efficiente è necessario un correRo collegamento con la mission e la vision: se non
sono chiari gli obieSvi al top management difficilmente possono poi filtrare al risk management ed impaRare su tuS
i livelli organizzaKvi. Questa visione è stata criKcata poiché mission e vision non erano adeguatamente esplicitate nel
modello erm 2004.
COSO ERM 2016

Nel nuovo modello vision, mission e core values si trovano al centro in maniera da garanKre che la gesKone del
rischio sia allineata specificatamente alla strategia, garantendo un maggior commitment e una maggiore trasparenza
della cultura aziendale del rischio, orientando i dipendenK verso gli obieSvi di business.
In questo modello da un punto di vista applicaKvo cambia ben poco: le operazioni streRamente connesse al rischio
(idenKficazione, valutazione, risposta) sono riassunte in risk in execu?on.
Quello che cambia è l’approccio: più che avere una valenza applicaKva ha una valenza ideologica. In questo modo si
riKene che l’ERM sia più comprensibile da chi deve aRuare le policy perché anche nella sua rappresentazione grafica
Kra fuori le caraRerisKche di un business model.
Secondo i redaRori il nuovo modello dovrebbe consenKre una maggiore accuratezza e precisione nella possibilità di
individuare tempesKvamente evenK negaKvi ed opportunità che possano impaRare sulla performance aziendale,
esplicitando meglio il collegamento tra risk management e controllo di gesKone.
Il board è responsabile della governance e della cultura del rischio, il management stabilisce la strategia, i livelli di
accountability da garanKre e qual è l’efficacia del modello erm, elabora modalità di comunicazione delle linee guida
sull’approccio di governo dei rischi, sulla struRura del modello ERM, sulle responsabilità, sul risk appeKte, sul
monitoraggio e sulle azioni correSve.
L’implementazione del modello è vista in maniera processuale:

Ø Governance & culture – si Kene conto della mission, della vision e dei core values e si deve comprendere come
questo impaRa sulla strategia e il suo sviluppo. Fase nella quale si geRano le basi ideologiche per
l’interpretazione dell’erm la cui responsabilità è del cda;
Ø Strategy & objec?ve-seNng – fase di definizione di una strategia di approccio al rischio considerando il contesto
di business, la definizione della risk appeKte, la valutazione di strategie alternaKve, la formulazione di obieSvi di
business.

Si può decidere un determinato target di performance che vorrà raggiungere (linea viola) tenuto conto del profilo di
rischio ad esso associato. Una volta che sono staK stabiliK gli obieSvi strategici ed i target di performance da
raggiungere è necessario verificare il livello di rischio collegato al target e confrontarlo con il risk appeKte che
potrebbe anche essere modificata rispeRo alle mutazioni dell’ambiente esterno, ma il diktat è che il rischio effeSvo
deve ricadere tra i valori del risk appeKte e comunque non eccedere la risk capacity, la scelta strategica deve essere
contenuta all’interno del risk profile;

Si potrebbe generare un problema legato alla chiarezza sia all’interno dell’azienda sia all’esterno: se non vengono
svolte correRamente le funzioni di monitoraggio, di informazione e di comunicazione dell’erm sarà difficile definire
quale sia la risk appeKte overall dell’impresa e quale sia la capacità di rischio che essa può considerare. Questo può
essere dovuto a moKvi legaK o a caSvi flussi di comunicazione oppure ad un volontario sfruRamento delle
asimmetrie informaKve da parte di alcuni soggeS che vogliono conKnuare a detenere il controllo;
Ø Performance – è una fase di procedure che riguardano l’idenKficazione e valutazione dei rischi, l’individuazione
degli evenK con maggiore priorità e la pianificazione di eventuali risposte in un’oSca di portafoglio;
Ø Review & revision;
Ø Informa?on, comunica?on & repor?ng;
Per far sì che il modello ERM funzioni è importante:
- Determinare e condividere la filosofia del rischio d’impresa;
- Comprendere il grado di condivisione del risk culture all’interno dell’organizzazione (es. ARraverso quesKonari);
- Usare la risk culture come una modalità per veicolare all’interno dell’organizzazione i valori eKci e l’integrità;
- Devono essere chiari ruoli, responsabilità e processi di accountability.
I vantaggi del modello ERM:
- approccio sistemaKco alla creazione di valore;
- offre un linguaggio comune che permeRe di oltrepassare i confini di separazione tra le funzioni;
- consente all’organizzazione di avere un approccio introspeSvo.
Le barriere all’implementazione dell’ERM sono:
1) Molte imprese ricercano un impaRo direRo del valore creato dall’erm rispeRo ai propri invesKmenK;
2) Molte imprese anche di grandi dimensioni ritengono che la funzione sia troppo complessa e costosa;
3) Non vi è una dotazione quali-quanKtaKva sufficiente del personale;
4) La funzione può non avere sufficiente budget;
5) Competenze e capacità degli aRori che si interfacciano con il risk management;
6) Assenza di percezione all’interno dei livelli manageriali intermedi della reale uKlità della funzione di risk
management.
La rilevanza dell’ERM risiede nel faRo che, anche se non direRamente quanKficabile, se ben implementata essa crea
valore abbassando il grado di rischio overall dell’impresa e facilita il raggiungimento del valore aReso da parte del top
management nell’ambito della definizione della strategia.

L’ERM non riguarda solo la miKgazione del rischio, ma riguarda anche il risk reward: una funzione di risk management
che assolve correRamente ai suoi compiK si possono raggiungere livelli oSmali di rischiosità dell’impresa superando
tre problemi:
v Loss aversion – si evitano scelte strategiche per paura di incorrere in perdite;
v Myopia syndrome – aRenzione delle persone che cresce all’aumentare dei controlli;
v Framing impact – effeRo cornice nel modo in cui le persone assumono le decisioni.
Risk disclosure
In generale la disclosure si divide in due categorie:
- La mandatory disclosure (obbligatoria) che deriva dalla necessità normaKvo regolamentare di fornire un grado di
deRaglio specifico su alcune circostanze che, in primissima istanza, vanno a tutelare gli invesKtori, cioè coloro che
decidono di acquistare i Ktoli del capitale di proprietà di quell’azienda.
- La voluntary disclosure (volontaria) è quella che volontariamente ogni Kpologia di azienda può decidere di proporre
ai propri stakeholder e questo viene faRo per incontrare diverse esigenze informaKve che possono essere più o meno
esplicitate da quesK stakeholder, e ciò può essere faRo non solo aRraverso i documenK classici (bilancio sociale,
bilancio di mandato, bilancio di genere, bilancio di sostenibilità), ma è un’operazione che viene aRuata dalle aziende
aRraverso diverse modalità e con diverse Kpologie di approcci e in base allo strumento uKlizzato per la diffusione di
queste informazioni e alla specificità di tali informazioni andrò a perseguire cerK obieSvi informaKvi degli
stakeholder piuRosto che altri (metodi alternaKvi possono essere siK web, pagine social, sul packaging del prodoRo).
Gli obieNvi della mandatory disclosure sono essenzialmente 3: la riduzione delle asimmetrie informaKve, che è la
moKvazione principale per la quale le aziende producano informaKva. Tali asimmetrie derivano essenzialmente dal
rapporto di agenzia che si viene a creare all’interno dell’asseRo aziendale, quindi dal faRo che non necessariamente il
detentore del Ktolo del capitale di proprietà sia poi effeSvamente quello che governa, e quindi da un lato dobbiamo
garanKre agli invesKtori che i manager sKano operando nei loro interessi, dall’altro lato dobbiamo anche essere cerK
che le informazioni che vengono veicolate all’esterno siano affidabili e in linea con gli obieSvi aziendali.
La mandatory disclosure ha anche la finalità di creare delle esternalità posiKve perché quando si va oltre il mero
approccio formale alla redazione dell’informaKva e quindi si abbandona l’uKlizzo di check list andando verso un
aReggiamento più sostanziale e ci si domanda se le informazioni fornite sono sistemaKcamente interpretabili, sono
profonde, spiegano moKvazioni, obieSvi, circostanze, se è così quell’informaKva sarà maggiormente intellegibile per
una platea di uKlizzatori del documento (bisogna andare oltre il breve periodo) e genererà delle esternalità posiKve,
rendendo così anche più affidabili i giudizi degli analisK. In generale, in merito al discorso della disclosure, quando la
formalità viene eliminata per fare posto alla sostanzialità, cosa che non accade frequentemente, si migliora la
comparabilità e si va verso il perseguimento dell’efficienza dei mercaK finanziari.
La voluntary disclosure inizialmente nasceva per spiegare agli stakeholder una serie di quesKoni potenzialmente di
loro interesse ma evitando un linguaggio troppo tecnico, Kpicamente uKlizzato per il bilancio. Si davano in questo
modo agli stakeholder anche informazioni riguardanK le performance economico-finanziarie, ma in un modo che
fosse intellegibile e che fosse sopraRuRo collegabile ai loro interessi e alla loro interpretazione del mondo che li
circonda. Un altro obieSvo della voluntary disclosure è quello di andare a migliorare l’immagine dell’azienda.
Si dice che la voluntary disclosure venga uKlizzata dall’azienda come uno strumento di legiSmazione, un modo per
far capire agli stakeholder le caraRerisKche dell’impresa al fine di oRenere una loro approvazione.
Un’azienda, per esempio, potrebbe uKlizzare la voluntary disclosure per un obieSvo di regain legiKmacy, cioè
recuperare una legiSmazione eventualmente persa a causa di uno scandalo o di una perdita reputazionale. Inoltra
questa Kpologia di disclosure può essere usata come una strategia per differenziarsi agli occhi degli stakeholder per
quanto aSene al profilo compeKKvo, quindi come uno strumento per raggiungere il vantaggio compeKKvo.
All’interno della disclosure obbligatoria troviamo il prospeRo di quotazione, il bilancio ed i bilanci intermedi,
prospeS di mergers and acquisiKon e spiegazioni deRagliate su parKcolari operazioni che coinvolgono le parK
correlate o le terze parK, e comunicazioni ad hoc che possono riguardare alcuni episodi aKpici negli andamenK
dell’impresa rispeRo ai quali viene richiesto di fornire informazioni (cosa comune nel seRore farmaceuKco dove
vengono portaK a compimento clinical trial i quali esiK, una volta conosciuK, devono essere resi noK, cosa che può
avere un effeRo rilevante sugli andamenK del Ktolo in bilancio). Per quanto riguarda la disclosure obbligatoria il faRo
di avere a disposizione queste informazioni può risultare vantaggioso per l’impresa in quanto produrle all’interno
risulta meno costoso, inoltre si possono avere dei miglioramenK della performance legaK alla qualità
dell’informazione e tuRo questo accade se l’impresa riesce a garanKre la correRezza e profondità dell’informazione,
ovvero in linea con il modello di business e con la performance.
La quesKone che viene dibaRuta oggi è se non valesse la pena di estendere i confini della discolsure obbligatoria: è
opinione della maggioranza di non estendere i confini perché la disclosure è molto onerosa; quindi, se quesK confini
dovessero essere ampliaK per comprendere al loro interno anche le informazioni traRate dalla disclosure volontaria
si potrebbe generare un eccesso di costo di produzione dell’informazione ed eccessivi cosK anche legaK alla
diffusione di quell’informazione.
Divulgare informazioni, andando anche sempre più in profondità nel modello di business, ha sicuramente dei
vantaggi perché l’azienda ha la possibilità di mostrarsi più solida e affidabile, ma deve capire dove fermarsi e questo
essenzialmente per 2 moKvi:
uno è di caraRere assolutamente compeKKvo (i compeKtor potrebbero ricavare da queste informazioni dei punK
deboli o potrebbero emulare dei processi vincenK), un’altra moKvazione è che molta informazione equivale a
nessuna informazione perché i soggeS desKnatari potrebbero andare in un informaKon overload, cioè essere
talmente soffocaK da questo carico di informazioni da non riuscire a disKnguere tra le informazioni rilevanK e quelle
che non lo sono, influenzando la tempesKvità dell’informazione.
La disclosure volontaria vuole riempire quei buchi lasciaK dalla disclosure obbligatoria con l’obieSvo di ridurre la
percezione di rischiosità dell’azienda e quindi essa dovrebbe avere una funzione suppleKva rispeRo alla disclosure
obbligatoria andando a forKficare il rapporto tra l’azienda e lo stakeholder interessato, riducendo la volaKlità del
Ktolo sul mercato.
Analizzando le moKvazioni che determinano la disclosure volontaria, innanzituRo bisogna nominare i mercaK
finanziari. Il ruolo dei mercaK finanziari è cambiato nel corso del tempo perché oggi anche nei mercaK finanziari si fa
aRenzione a quegli indicatori di bilancio che esprimono il valore dell’azienda, per comprendere le sue evoluzioni
future e nasce quindi il bisogno di fare capire come essa raggiunge le sue performance, perché queste ulKme saranno
il driver per capire se l’azienda può tenere rispeRo alle istanze e le pressioni di Kpo sociale e di Kpo ambientale.
Quindi, poiché il bilancio non può rispondere ad una serie di domande, la disclosure volontaria risponde a domande
maggiormente qualitaKve che non trovano spiegazione nel bilancio. La disclosure volontaria è aumentata con
l’aumentare delle pressioni sociali e anche con l’evoluzione tecnologica, anche perché rispeRo a tale Kpologia di
disclosure viene sfruRato anche un effeRo eco perché nel momento in cui un’azienda pubblica un bilancio di
sostenibilità ci saranno una serie di tweet o condivisioni sui social di quel determinato bilancio favorendone una
diffusione e pubblicizzazione immediata. La disclosure volontaria, inoltre, va a ridimensionare il solco che esiste ed
esisterà sempre tra l’informazione che è disponibile sul mercato e quella che sarebbe desiderata dal mercato e,
ovviamente, le Kpologie di disclosure volontaria vanno a seguire i trend-topic.
I soggeS des?natari della voluntary disclosure sono le aziende, i manager, stakeholder e shareholder.
QuesK soggeS beneficiano della disclosure volontaria diversamente: innanzituRo, l’azienda trae beneficio perché
migliora la propria immagine (greenwashing: strategia di molte aziende per sembrare più aRraenK agli occhi degli
stakeholder aRraverso la quale viene esplicitato che operano in maniera sostenibile, quando invece i processi non
sono improntaK alla sostenibilità, ma sono effeRuate delle iniziaKve casuali ben lontane dal conceRo di sostenibilità).
I manager beneficiano della disclosure volontaria perché nel mercato del lavoro avere un’informaKva che meRa in
luce una buona gesKone nel precedente incarico può impaRare sulla sua appeKbilità. Infine, è importante che
all’interno dell’azienda vengano aRuate una serie di iniziaKve che punKno a soddisfare i bisogni degli stakeholder,
mentre per gli shareholder un’immagine legiSmata dell’azienda significa meno volaKlità del Ktolo sul mercato.
Il nucleo fondamentale delle quesKoni che riguardano la disclosure, sia obbligatoria che volontaria, si riduce ad una
sola problemaKca: laddove si hanno delle linee guida da seguire come il bilancio sociale, il bilancio di sostenibilità,
l’integrated reporKng per i quali esistono vari schemi e varie linee guida, tuS quesK riferimenK segnalano su cosa lo
stakeholder si aspeRa di essere informato fornendo una serie di liste che dovrebbero essere divulgate per estrarre
tuS i benefici legaK all’informaKva. Quello che resta totalmente inesplorato all’interno di quasi tuS i riferimenK, sia
quelli di disclosure obbligatoria che quelli di disclosure volontaria, è il come questa informaKva debba essere
realizzata (es. Per la determinazione degli obieSvi di rischio per l’anno successivo, l’azienda potrebbe far filtrare nella
sua informaKva che tali informazioni siano state esplicitate e condivise con il management, oppure potrebbe
rispondere che tali rischi riguardano specificatamente determinate aree, con questo target e verranno monitoraK
facendo riferimento a quesK indicatori di performance, indicando anche i soggeS responsabili e ogni quanto tempo
avverrà la fase di monitoraggio. In entrambe le alternaKve proposte da un punto di vista formale le esigenze
informaKve vengono soddisfaRe, ma nel primo caso in concreto non viene deRo praKcamente niente, mentre nel
secondo si ha un esempio di informaKva data in maniera deRagliata). La quesKone inerente alla disclosure e alla sua
qualità si colloca esaRamente nel conKnuum tra quesK due estremi ed è molto complesso parlare di qualità della
disclosure, in quanto le check list non specificano i legami che devono essere creaK per rendere comprensibile il
profilo di rischio di un’azienda. I limiK alla disclosure volontaria sono, innanzituRo la compeKzione, in secondo può
accadere che, nel momento in cui un’azienda da molte informazioni volontarie, potrebbe trovarsi nella situazione
nella quale gli anni seguenK gli stakeholder alimenKno forK aspeRaKve circa i risultaK oRenuK e le modalità
aRraverso le quali essi sono giunK. Questo può determinare i bargaining costs: nel momento in cui si idenKficano
alcune debolezze nell’informazione possono sorgere una serie di problemaKche legate ai contraS, liKgaKon costs
(cause). DeRo questo è chiaro l’interesse dell’azienda ad avere una qualità profonda della disclosure ma
obieSvamente rimanendo entro i limiK dei benefici senza poi andare a cadere negli svantaggi di un’eccessiva
informaKva divulgata all’esterno.
La risk disclosure è spezzeRata in diversi documenK, di caraRere sia obbligatorio che volontario, inoltre può essere
sia di natura qualitaKva che quanKtaKva. Il faRo che la risk disclosure sia spezzeRata crea una serie di problemaKche
perché all’interno dello stesso documento si hanno informazioni sui rischi che vengono richieste in sezioni diverse
dello stesso documento e perché tra i vari documenK non è assolutamente certo che vi sia una coordinazione di
quelle informazioni. Quindi può accadere che alcune informazioni siano sovrapposte, duplicate e ripetute più volte.
Specularmente alle sovrapposizioni vi saranno quasi certamente anche dei buchi neri all’interno dell’informaKva,
(es. negli anni immediatamente successivi alla crisi erano legaK ai rischi di liquidità, argomento inizialmente poco
considerato che ha assunto successivamente una certa rilevanza dopo la crisi finanziaria e la crisi del debito sovrano).
L’integrated repor?ng è l’ennesimo documento di disclosure volontaria che esce fuori negli ulKmi anni per andare a
soddisfare esigenze da parte degli stakeholder di stabilità finanziaria e di sostenibilità. Sfida un approccio che è stato
Kpico dell’economia internazionale legato essenzialmente alla speculazione e al breve termine, e questo perché, nel
momento in cui gli obieSvi delle aziende erano essenzialmente di caraRere speculaKvo, accadeva che il maggior
focus dell’informazione fosse esaRamente sulla dinamica finanziaria dell’azienda. Oggi invece, con una forte
inversione di tendenza, quello che viene ritenuto assolutamente importante è un conceRo di accountability ampliata,
cioè non deve interessare solo se l’azienda genera profiS ma anche come li genera, e sopraRuRo è importante
capire, sia per gli invesKtori che per i clienK, se l’azienda sia in grado di realizzare quesK profiS in una modalità che
sia anche in linea con la dimensione morale, eKca etc. Degli stakeholder di riferimento.
TuRo questo interessa all’impresa per un duplice moKvo: innanzituRo potrebbe avere interesse a collaborare con
soggeS che abbiano il suo stesso orientamento e poi perché se andasse contro le tendenze eKco morali, diventerà
anche meno affidabile soRo il profilo economico-finanziario. Quindi essenzialmente agli uKlizzatori di questo
documento volontario interessa capire qual è il modello di business dell’azienda e in che modo opera gestendo i
rischi per perdurare nel tempo, quindi con un obieSvo di lungo e di breve periodo. La raKo di quest’integrated
reporKng è che il valore dell’azienda sia faRo da tante componenK e non soltanto dalle dinamiche economico
finanziare. La novità portata dall’integrated reporKng è data dal faRo che meRe a sistema in uno schema non
normaKvo molto flessibile il processo di creazione di valore con il modello di business, con la gesKone del rischio, con
la divulgazione (quindi con la parte di accountability). RispeRo al nuovo coso erm, il modello di integrated reporKng è
molto simile perché ci si è resi conto che non si può parlare di creazione del valore e accountability sulla creazione
del valore se non si passa per le logiche di comprensione del modello di business, performance management e risk
management.

Il modello di IR è caraRerizzato da una serie di capitali di cui si deve tener conto: gli input del processo di creazione
del valore sono di vario genere perché sono ovviamente finanziari (il circuito dei finanziamenK), input manufaRurieri
(il circuito della produzione) e poi tuS una serie di faRori che prima non venivano consideraK come ad esempio il
capitale intelleRuale, il quale risulta essere un faRore determinante in quanto il valore si crea aRraverso una
composizione e ricomposizione di conoscenze tacite e conoscenze esplicite.
Le conoscenze tacite sono legate alle persone, il capitale umano, il capitale sociale e relazionale (sia interno che
esterno) e ovviamente anche di capitale naturale. Tenuto conto di quesK input poi bisogna tener conto del modello di
business, cioè del modo in cui sono organizzate le aSvità di business per la realizzazione degli output (outcome:
risultaK della performance) tenuto conto della mission e della vision, come anche della governance.
Quindi si ha un modello circolare e orizzontale al cui centro c’è il modello di business ma che ci rendiamo conto che
non si crea valore senza risorse e se i benefici non sono superiori ai sacrifici sopportaK.
L’integrated reporKng migliora le informazioni disponibili per gli stakeholder grazie alla sua struRura schemaKca che
permeRe a chi legge l’informaKva di entrare dentro l’azienda e permeRe inoltre di cogliere quel link tra mission,
strategia, risk, risultaK e impaS dell’azienda, riesce a promuovere un approccio basato sulla comunicazione di faRori
omogenei tra le imprese che se ne avvalgono e quindi permeRe di poter confrontare quesK processi di creazione di
valore che sono effeRuaK da queste aziende e in realtà risulta anche essere il veicolo di una logica olisKca ed
integrata dell’organizzazione che è quindi comune a ciò che è stato deRo in relazione al performance management e
al risk management.
IFRS 7
• Si applica a tuRe le enKtà che hanno strumenK finanziari;
• ImpaRa qualsiasi enKtà che deKene anche strumenK semplici come presKK, conK passivi e crediK, liquidità e
invesKmenK;
• Le enKtà sono tenute a segnalare le metriche che uKlizzano internamente per gesKre e misurare i rischi
finanziari;
• Richiede ai soggeS segnalanK di indicare la sensibilità dei loro risultaK ai movimenK dei rischi di mercato come
una conseguenza dei loro strumenK finanziari.
L'ifrs 7 richiede alcune informazioni integraKve in due aree principali:
• SignificaKvità degli strumenK finanziari;
• Natura ed enKtà dei rischi derivanK dagli strumenK finanziari e modalità di gesKone degli stessi.
L'ifrs 7 richiede un'informaKva qualitaKva e quanKtaKva per tre principali rischi: credit risk, liquidity risk, market risk
(currency risk, interest rate risk e other price risk).
• InformaKva qualitaKva – descrive come l'azienda è esposta ai rischi, come essi sorgono e come vengono gesKK;
• InformaKva quanKtaKva – sintesi dei daK quanKtaKvi relaKvi all’esposizione al rischio. L'ifrs 7 richiede una
specifica quanKtà di informazioni per ogni Kpo di rischio, più una serie di informazioni sulla concentrazione dei
rischi.
LEZIONE 12 - ERM IN EUROPA
L’obieSvo della ricerca è da un lato meRere in evidenza lo stato di sviluppo dell’ERM in Europa, dall’altro considerare
faRori comuni e faRori di differenza nei modelli, il modo e le tempisKche con cui si è sviluppato l’erm e le lacune che
restano da colmare.
La ricerca si è concentrata sulla delineazione di alcune basi conceRuali comuni, categorizzando i paesi in base ad una
serie di comportamenK che sono emersi durante l’analisi, e sulla formulazione di proposte potenzialmente risoluKve.
Il background della ricerca sì fonda sul conceRo che i modelli di erm non possono essere internamente compresi se
non contestualizzaK all’interno dell’ambiente economico, dell’ambiente poliKco e dell’ambiente scienKfico. Non
esiste in ambito di gesKone del rischio un modello “one size fix all”, e questo è ancor più vero in quanto, quando si ha
a che fare con la dinamica del rischio, si ha a che fare con un dominio culturale che ha aSnenza con l’incertezza e
sopraRuRo con il modo nel quale essa viene percepita e quindi tradoRa in azioni.
Sebbene si sia progressivamente affermata la gesKone del rischio, il seRore motore dello sviluppo dell’erm è stato
quello finanziario che, oltre alle pressioni ed esigenze manageriali, doveva rispondere all’emersione di una serie di
regolamentazioni più stringenK per garanKre che i rischi fossero gesKK (da oSca silo a oSca sistemaKca).
I paesi europei coinvolK nella ricerca sono in totale 13 (Norvegia, UK, Germania, Svizzera, Lituania, Polonia,
Portogallo, Svezia, Spagna, Italia, Olanda, Francia e Grecia) e sono emersi una serie di dimensioni di analisi per
comprendere lo scenario aRuale:
1) FaJore norma?vo – fa riferimento ad iniziaKve regolamentari che sono intervenute negli anni tenendo conto delle
diverse faSspecie dei sistemi giuridici. Porta a rafforzare la struRura della governance aziendale, il sistema dei
controlli interni ed il funzionamento dei sistemi del controllo esterno.
La normaKva potrebbe essere un faRore di miglioramento dell’erm, non diventa tale quando vi è assenza di legame
tra accounKng, l’informaKva sui rischi e l’ERM;
2) Sviluppo network professionali – in alcune aree è embrionale;
3) Sviluppo di ricerca accademica – per adesso è ancora molto limitata in quanto si focalizza su daK quanKtaKvi e,
talvolta, tralascia i faRori contestuali legaK all’impresa collocata nel suo ambiente di riferimento.
Tenuto conto di quesK aspeS, si è ritenuto importante sviluppare un approfondimento dello sviluppo dell’ERM per i
singoli paesi, comprendendo come il processo di sviluppo (o di non sviluppo) potesse essere influenzato da quesK
faRori.
Il primo passo è stato quello di comprendere e diversificare la tempisKca di sviluppo dei dibaSK sull’ERM di paese in
paese, e di tracciare questo periodo rispeRo ad un trigger event che ha scatenato una sensibilizzazione verso quesK
temi. ARraverso questa ricerca è stato possibile evidenziare quaRro evenK criKci e tre periodi:

Per quanto riguarda gli evenK criKci, alcuni paesi hanno confermato che lo sviluppo dell’erm corrisponde ad una
pressione generalizzata per migliorare il meccanismo di governance al fine di soddisfare evolute esigenze
manageriali. Altri paesi hanno citato come trigger event un faRore poliKco e, in misura prevalente, esso è stato
ascriRo ad esigenze di conformazione alle praKche europee. Alcuni paesi hanno citato faRori di scandali e fallimenK
di grandi dimensioni, infine, la Grecia ha citato come trigger event la crisi del debito sovrano del 2011.
Per quanto riguarda invece i periodi: il primo fa riferimento agli ulKmi dieci anni del XX secolo ed individua quindi i
first mover, il secondo fa riferimento ai primi anni del XX secolo, e l’ulKmo periodo fa riferimento alla metà del primo
decennio del XX secolo.
Sempre in riferimento al trigger event, un altro elemento considerato nell’ambito della ricerca è stato quello di
cercare di comprendere se vi fosse un allineamento tra paesi con il medesimo trigger event e lo stato di evoluzione
dell’ERM.

Dalla tabella emerge che anche paesi che hanno avuto il medesimo trigger event, hanno ad oggi uno sviluppo dei
sistemi di ERM differente
Gli stadi di sviluppo riscontraK sono quaJro:
Il 1 fa riferimento a paesi in cui l’ERM è soggeRo a regolamentazione, ma soRo il profilo praKco si riscontrano ancora
delle limitazioni e la necessità di lavorare sulle dimensioni comportamentali.
Il 2 fa riferimento a paesi dove l’ERM è sì soggeRo a dibaSto, ma l’implementazione è ancora molto frammentaria ed
è difficile che il risk management venga percepito come modalità di creazione del valore.
Il 3 fa riferimento a paesi dove esiste una regolamentazione, ma anche un problema di frammentazione, questa volta
dovuto al faRo che in quesK paesi viene adoRato un sistema giuridico pervasivo (civil law), in cui vi è una normazione
forte per quanto aSene il sistema di controllo interno e alla disclosure e quindi, la preoccupazione di rispondere a
tuRe le richieste normaKve, può talvolta impaRare negaKvamente sul processo di risk management, perché da un
lato esso può essere percepito come un ulteriore “check the box”, dall’altro può essere influenzato dalla
preoccupazione di essere in compliance con tuRe le richieste normaKve, senza focalizzarsi sul processo di creazione
del valore.
Il 4 fa riferimento al caso della Svezia, in cui il risk management è limitatamente regolamentato ed ha come risultato
una funzione di erm che tende alle caraRerisKche di un sistema molto avanzato.
I faRori analizzaK nello specifico sono il contesto economico, il contesto regolamentare, il contesto di governance, il
contesto contabile, il contesto professionale ed il contesto accademico.
È emerso che i paesi sono caraRerizzate da diversi contes? economici:
§ Paesi caraRerizzaK da una forte crisi con un debole controllo esterno dei mercaK dei capitali, condizioni
finanziarie e fiscali sfavorevoli ed una presenza pervasiva dello stato centrale;
§ Paesi caraRerizzaK dall’uscita della crisi finanziaria ma che a differenza del gruppo precedente sono caraRerizzaK
da elevaK tassi di innovazione;
§ Economie innovaKve a caraRere prevalentemente bancario, con una forte e pervasiva influenza dello stato con
un crescente focus sull’innovazione;
§ Economie innovaKve e sane caraRerizzate non solo da una condizione finanziaria favorevole ma anche con un
orientamento al mercato dei capitali.
SoRo il profilo regolamentare si riscontra una minore eterogeneità:
• Paesi in cui il risk management non è traRato in maniera autonoma, ma il rinvio è sempre ai riferimenK normaKvi e
praKci legaK all’internal audit e internal control;
• Paesi in cui esiste un tentaKvo di regolamentare il risk management, ma in ogni caso questo tentaKvo si ferma ad
una focalizzazione sull’importanza della risk disclosure, dell’internal audit e dell’internal control;
• Paesi in cui viene apertamente suggerito che, laddove si faccia riferimento a modelli di erm, bisognerebbe riferirsi
al coso erm ed all’iso31000.
Per quanto riguarda il contesto di governance si è riscontrata una situazione più elaborata:
o Paesi in cui il risk management viene ritenuto implicitamente una parte del sistema di controllo interno;
o Paesi in cui il risk management viene ritenuto esplicitamente una parte del sistema di controllo interno;
o Paesi in cui esistono varie Kpologie di formalizzazioni e l’erm non è tracciabile come internal control system in
senso streRo, ma può essere tracciabile come sistema di management accounKng;
o Paesi in cui si riconosce il ruolo strategico dell’erm anche se non necessariamente nella praKca quoKdiana l’erm in
use è veramente sviluppato.
Per quanto concerne il contesto contabile esistono:

֎ Paesi in cui non c’è integrazione tra risk management e disclosure sui rischi;

֎ Paesi in cui il tentaKvo di integrazione c’è, ma rimane limitato alle imprese assicuraKve e ad imprese del seRore
finanziario;
֎ Paesi in cui sia la financial sia la non financial disclosure evidenziano una forte integrazione con i processi di
gesKone del rischio.
Per quanto riguarda il contesto professionale ci sono:
Ø Paesi in cui il focus è limitato sull’importanza di creare una professione di enterprise risk management, e quindi
di creare una cultura ed un’educazione legata ai modelli;
Ø Paesi in cui permane una visione silo-based, e quindi l’educazione sui temi di gesKone del rischio è ancora molto
embrionale;
Ø Paesi in cui l’educazione e lo sviluppo professionale resta avvinto ai controlli tradizionali e canonici, svolgendo
una funzione di compliance;
Ø Paesi in cui vi è un tentaKvo di educazione e diffusione di una cultura del risk management per quanto concerne i
profili strategici.
Infine, per quanto riguarda il contesto accademico ci sono:
v Paesi in cui la ricerca è frammentaria e non ci sono network di ricerca o comunità di ricercatori;
v Paesi in cui la ricerca sull’ERM si limita a temaKche di internal control, internal audit o temi di natura finanziaria;
v Paesi in cui la ricerca ERM si concentra principalmente sul controllo interno/verifica interna;
v E quesKoni finanziarie, e le aSvità di networking e le comunità sono in rapida crescita.
Questa ricerca ha cercato di idenKficare, rispeRo a determinate caraRerisKche (ossia sviluppo, condizioni
economiche, regolamentazione, governance e accounKng, approccio professionale e ricerca), quali sono i
comportamenK dei vari staK.
Nel caso della Germania, ad esempio, emerge un’economia fondata sull’elevata protezione per gli azionisK, un ruolo
strategico dell’ERM anche se alcune praKche sono ancora svolte da internal control ed internal audit, da un punto di
vista regolamentare vi sono espliciK riferimenK alle linee guida del coso e dell’iso, soRo il profilo della governance e
dell’accounKng il risk management ha dignità strategica ed è necessario integrarlo con la disclosure, soRo il profilo
professionale c’è un livello misto di coinvolgimento, ma c’è una spinta forte da parte dei network professionali
all’engagement sulle temaKche di Kpo strategico legate al risk management. Infine, soRo il profilo della ricerca risulta
essere maggiormente focalizzata sui temi di internal control ed internal audit, ma le comunità di ricerca sono in forte
crescita.
Ben differente è il caso della Grecia in quanto l’implementazione dell’ERM è frammentaria ed è tracciabile nelle
funzioni di internal control, internal audit e compliance, rimanendo una funzione non formalizzata all’interno della
governance. Dal punto di vista economico la Grecia vive un momento di crisi difficile ed offre poca protezione verso
gli invesKtori e condizioni finanziarie sfavorevoli. SoRo il profilo professionale vi è un limitaKssimo focus sui modelli
più noK e, infine, soRo il profilo della ricerca è focalizzata su temi di internal control, con poche comunità poco aSve.
Un altro caso di interesse è senza dubbio l’Italia: qui l’implementazione dell’ERM è frammentaria e presenta uno
streSssimo legame con le quesKoni regolamentari, vi è una situazione finanziaria difficile con una serie di ampi
incenKvi per gli invesKtori, ma vi è un focus crescente sull’innovazione con una regolamentazione poco struRurata sul
risk management, con un richiamo solo nel codice della corporate governance e frequenK riferimenK ad internal
control ed internal audit. Spesso, soRo il profilo della governance, l’ERM ricade nelle funzioni di sistema di controllo
interno e questo crea, nella maggior parte dei casi, una distanza tra la gesKone del rischio e la disclosure. SoRo il
profilo professionale vi sono una serie di quesKoni legaK alla compliance e solo nell’ulKmo tempo si sono visK
apparire i primi network professionali e la ricerca è estremamente frazionata e parcellizzata.
Alla fine della ricognizione e sulla base dei daK raccolK per ogni paese, si è effeRuata una cluster analysis: essa è una
metodologia staKsKca che permeRe di creare dei raggruppamenK per evidenziare quali sono quelli che hanno
comportamenK omogenei e quali quelli che hanno comportamenK differenK:

La cluster analysis ha dato risultaK interessanK, in

parKcolare ha consenKto l’idenKficazione di cinque
gruppi di paesi omogenei al loro interno.

Il primo cluster comprende solo la Grecia: essa ha un comportamento abbastanza dissimile rispeRo agli altri paesi ed
è stata inquadrata come “beginner”, vale a dire come paese la cui cultura interna dell’ERM è ancora in una fase
embrionale.
Il secondo cluster (thight passive) ha idenKficato alcune similarità tra Lituania e Polonia: sono paesi che, sebbene
abbiano delle possibilità di migliorare l’implementazione dell’ERM, sono molto prudenziali e aRaccaK alla
regolamentazione.
Il terzo cluster (loose passive) accomuna paesi di civil law con sistemi regolamentari e condizioni economiche molto
simili: sono paesi generalmente follower.
Il quarto cluster (thight aggressive) conKene Norvegia e Svezia: essi sono dei follower molto ravvicinaK rispeRo ai
loose aggressive.
Il quinto cluster (loose aggressive) essi mostrano una tendenza all’overload, e sono i paesi che per primi hanno faRo
una mossa verso l’adozione dei sistemi di risk management.

A valle della ricerca occorre fare delle considerazioni: spesso la gesKone del rischio non si è evoluta in ERM, in quanto
una molteplicità di modelli e approcci sono staK applicaK senza cercare di renderli coerenK e olisKci.
Un limite importante è stato la tendenza a considerare l'ERM come l'ennesimo mezzo di controllo, relegandolo quindi
nell'ambito dei controlli interni e dell'audit interno. Ciò ha comportato un aumento degli sforzi di controllo, che,
tuRavia, è stato totalmente distaccato dalla pianificazione, valutazione e gesKone. Inoltre, questo Kpo di
impostazione ha prodoRo un proliferare di informazioni relaKve al rischio, basate su soddisfare le richieste di
accountability.
TuRavia, l’accountability è confusionaria, dato che non è chiaro qual è il suo scopo, per chi deve essere garanKto e
come adempiere agli obblighi di rendicontazione. Eppure, in ogni caso, questa freRa di apparire responsabili non ha
favorito una migliore amministrazione, principalmente perché le quesKoni relaKve alla contabilizzazione dei rischi
sono ancora poco trascurate.
La proposta è quella di rimuovere l'ERM dal sistema di controllo interno e di alzare la sua posizione al rango di un
corpus indipendente di "enterprise risk management accounKng". La contabilità della gesKone del rischio d'impresa
deve servire a tuS i ruoli in cui vi è la necessità di misurare i rischi, così come la contabilità svolge tuS i ruoli in cui
sono necessarie informazioni finanziarie e non finanziarie. I regolatori devono stabilire norme chiare non solo su cosa
sia la gesKone del rischio e come dovrebbe essere aRuate nei processi di governance, ma anche sui requisiK per
l'adozione degli stessi da parte degli enK disposiKvi tecnici. Come regolatori stabiliscono le norme precise in materia
di contabilità (ad esempio, con riferimento ai criteri di sKma dei cosK e dei benefici finanziari) devono definire anche
le norme precise di gesKone del rischio d'impresa? Questo rimane un seRore aperto ad ulteriori ricerche e
streRamente legato all'impegno quoKdiano dei professionisK e i responsabili poliKci.