Gestione dei rischi PMI: ordinare rischi e opportunità

La gestione dei rischi in una PMI significa descrivere i possibili sviluppi in modo che la direzione possa decidere e agire. Una matrice colorata è solo un ausilio: senza una situazione comprensibile, una persona responsabile e una misura verificabile, anche un valore calcolato con cura serve a poco. Questa guida mostra un avvio organizzativo semplice. Le scale e gli iter proposti sono prassi aziendale e non prescrizioni legali o normative.

Che cosa richiedono legge e norma

Codice delle obbligazioni. La valutazione dei rischi è citata espressamente nella relazione annuale. Le imprese soggette per legge alla revisione ordinaria devono redigere una relazione annuale (art. 961 n. 3 CO; OR). Secondo l’art. 961c cpv. 2 n. 2 CO questa deve fornire ragguagli segnatamente su «l’esecuzione di una valutazione dei rischi». Si richiede quindi un’indicazione sul fatto che e sul modo in cui è stata eseguita una valutazione dei rischi; la legge non prescrive in questo punto alcun procedimento né una matrice. L’art. 961d cpv. 1 CO consente a determinate condizioni di rinunciare alla relazione annuale, ad esempio quando l’impresa allestisce una chiusura contabile in base a una norma contabile riconosciuta. Se la Sua azienda debba essere sottoposta a revisione ordinaria lo chiarisca con la fiduciaria o l’ufficio di revisione; le soglie sono nell’art. 727 CO.

ISO 9001. Dal 16 settembre 2026 vale la 6ª edizione ISO 9001:2026, che sostituisce l’edizione 2015. Chi imposta la gestione della qualità secondo la ISO 9001 determina in sostanza i rischi e le opportunità da trattare affinché il sistema di gestione raggiunga i risultati previsti, pianifica le relative misure e ne valuta l’efficacia. Secondo un ente di certificazione svizzero, l’edizione 2026 distingue più chiaramente tra rischi e opportunità e considera separatamente le misure per il loro trattamento. Nell’edizione 2015 il tema era al capitolo 6.1; secondo l’Auditing Practices Group di ISO e IAF non vi era alcun requisito particolare su come documentare i risultati. Una matrice, dei punteggi o un registro sono quindi una possibilità, ma non una forma espressamente prescritta. Verifichi numeri di capitolo e requisiti di documentazione nell’edizione 2026 sull’originale; le aziende certificate passano alla nuova edizione entro il periodo di transizione fissato dal loro ente di certificazione.

Per la maggior parte delle PMI non ne deriva un catalogo fisso. Conta conoscere i propri rischi e le proprie opportunità importanti, avere qualcuno che ne risponde e documentare le decisioni in modo comprensibile.

Descrivere in concreto rischi e opportunità

Parta da un processo importante: quale prestazione deve riuscire in modo affidabile e che cosa potrebbe comprometterla? Descriva causa, possibile evento e possibile conseguenza. «Fornitore» non è un rischio descritto a sufficienza. «Un solo pezzo di ricambio approvato è disponibile presso un unico fornitore; se la sua fornitura viene meno, le riparazioni promesse non possono essere eseguite» offre una base per decidere.

Annoti i provvedimenti già esistenti, ad esempio una scorta minima o una soluzione tecnica alternativa. Senza queste indicazioni persone diverse valutano la stessa situazione in modo diverso: una pensa al processo non protetto, l’altra al processo con tutti i controlli esistenti.

Un’opportunità descrive un possibile sviluppo favorevole e le condizioni per sfruttarlo. La stessa situazione di partenza può contenere entrambi: una nuova tecnologia apre un servizio aggiuntivo, ma richiede nuove conoscenze. Tenga traccia di utilità e incertezza, invece di rappresentare un’opportunità con un segno negativo in un elenco di rischi.

Dia a ogni voce un ambito delimitato. Il guasto di un determinato pezzo di ricambio è diverso da un’interruzione generale degli acquisti. Voci troppo ampie portano spesso a misure di cui nessuno può verificare l’effetto. Vale anche per i rischi finanziari: un’eventuale carenza di liquidità si può gestire solo se entrate e uscite sono pianificate in anticipo, come mostra la guida alla pianificazione della liquidità per le PMI.

Concordare una valutazione comune

Stabilisca prima lo scopo della valutazione: vuole rendere visibile la necessità di discussione, assegnare risorse o decidere quali rischi richiedono un’escalation? Poi fissi pochi livelli comprensibili per probabilità e impatto. Ogni livello ha bisogno di una descrizione aziendale, possibilmente con esempi della Sua quotidianità.

I livelli ordinali non rappresentano probabilità esatte. Una valutazione con «tre» non è automaticamente una frequenza misurata. Se moltiplica due valori di livello, ottiene un ausilio di classificazione all’interno del Suo modello, non una perdita monetaria attesa precisa.

La tabella seguente mostra una matrice a quattro livelli come esempio pratico. Ogni casella indica il prodotto tra probabilità e impatto; le soglie sono scelte liberamente: giallo da 5, rosso da 9.

Concordi espressamente come trattare le conseguenze particolarmente gravi. Uno sviluppo raro ma grave può richiedere attenzione anche se il prodotto dei livelli resta relativamente basso: nell’esempio «probabilità 1, impatto 4» vale solo 4, quindi è nella zona verde. Documenti queste regole decisionali accanto alla matrice.

Valuti le opportunità con domande adatte: quanto è realistico sfruttarle, quale utilità sarebbe raggiungibile e che cosa serve? Eviti un punteggio apparentemente unitario se i significati sottostanti sono diversi. La descrizione della decisione conta più della confrontabilità di ogni singolo numero.

Stabilire misure e responsabilità

Scelga con consapevolezza tra diverse reazioni: modificare un processo, introdurre una protezione aggiuntiva, ridurre le dipendenze o accettare un rischio residuo con motivazione. Ogni decisione deve corrispondere alla propria competenza decisionale e all’importanza delle conseguenze. Un esempio di protezione è la scorta minima di magazzino; come fissarla lo spiega la guida alla gestione del magazzino.

Una misura dovrebbe indicare quale causa o conseguenza influenza. «Verificare un fornitore alternativo» richiede un risultato, ad esempio un’approvazione tecnica documentata o un rifiuto motivato. Un semplice contatto non cambia ancora la capacità di fornitura. Stabilisca responsabilità, obiettivo e data concordata.

Per un’opportunità la misura può essere una prova limitata. Definisca in anticipo quale osservazione giustifica di proseguire e quando interromperà. Così da un’idea generica nasce una decisione verificabile, senza presentare come già raggiunta un’utilità sperata.

I controlli possono verificare se una protezione funziona nella quotidianità. Il legame tra rischio e sistema di controllo interno evita che l’elenco dei rischi resti separato dall’attività corrente. Un controllo richiede però un oggetto chiaro e un’evidenza, non una semplice voce ricorrente in agenda.

Esempio pratico: Muster Service AG

La Muster Service AG è un’azienda fittizia. Per le riparazioni le serve un determinato pezzo di ricambio. Il team descrive una possibile interruzione della fornitura e usa la scala a quattro livelli della tabella sopra, con giallo da 5 e rosso da 9. Questa scala illustra l’iter e non è una raccomandazione per ogni settore.

Il team valuta la probabilità con il livello tre e anche l’impatto con il livello tre. Tre per tre fa nove, quindi il rischio è nella zona rossa. Il significato del livello tre è fissato a parole: ci sono stati ripetuti ritardi e le riparazioni interessate non potrebbero essere eseguite come promesso.

Come misura si verifica tecnicamente una seconda fonte di approvvigionamento. La persona responsabile documenta prova su campione, condizioni di fornitura e disponibilità. Dopo l’approvazione riuscita il pezzo originale resta utilizzabile, ma l’azienda dispone di un’alternativa realmente verificata. Un semplice indirizzo di fornitore non avrebbe dimostrato questo risultato.

Nella rivalutazione il team assegna la probabilità di un’interruzione di fornitura non controllata al livello due, mentre l’impatto possibile resta al livello tre. Due per tre fa sei: il rischio passa da rosso a giallo. È una stima modificata nello stesso modello, non una riduzione del rischio misurata di una certa percentuale. Aritmeticamente il valore è sceso di tre punti, da nove a sei.

Inoltre l’azienda riconosce un’opportunità: con l’alternativa potrebbero diventare possibili altri tipi di riparazione. Pianifica per questo una prova tecnica separata. Il team non compensa l’utilità sperata con il rischio di approvvigionamento esistente. Entrambe le decisioni restano visibili con le proprie condizioni.

Rivalutazione e incertezza residua

Verifichi le voci in caso di cambiamenti sostanziali e alle scadenze concordate in azienda. Occasioni adatte sono nuovi canali di fornitura, mezzi di lavoro modificati o disturbi ricorrenti. Un intervallo rigido da solo può non cogliere sviluppi rilevanti tra due riunioni.

La rivalutazione dovrebbe far capire che cosa è cambiato: nuove osservazioni, una misura efficace o una situazione di partenza diversa. Non sovrascriva senza commento la motivazione precedente. Uno storico aiuta a inquadrare in seguito le decisioni ed evita rassicurazioni ingiustificate.

Registri espressamente l’incertezza residua. Se una prova si è svolta solo in condizioni favorevoli, l’effetto con forte carico di lavoro è ancora aperto. La direzione può chiedere un’ulteriore osservazione o assumere con motivazione un rischio residuo limitato. Conta che questa decisione sia visibile.

In caso di adeguamenti più importanti, una gestione delle modifiche regolata sostiene l’attuazione. Verifichi anche i documenti, le formazioni e le interfacce interessati. Un nuovo processo può ridurre un rischio e creare nello stesso tempo nuove dipendenze altrove.

Protezione dei dati come tema di rischio concreto

Per i dati personali l’art. 8 cpv. 1 LPD contiene un criterio espressamente legato al rischio: il titolare e il responsabile del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio. Questa affermazione riguarda la sicurezza dei dati; non fonda un obbligo generale per ogni PMI di usare proprio la matrice qui descritta.

Come applicazione pratica può considerare, ad esempio, l’accesso non autorizzato ai dati dei reclami. Descriva tipo di dati, limitazione d’accesso esistente, possibile evento e conseguenze. Una misura potrebbe essere la verifica delle autorizzazioni esistenti. Se basti dipende dal contesto concreto del trattamento.

Secondo l’art. 6 cpv. 2 LPD il trattamento di dati personali deve essere proporzionato; secondo il cpv. 3 i dati possono essere raccolti soltanto per uno scopo determinato e riconoscibile e trattati ulteriormente soltanto in modo compatibile con tale scopo. Anche il registro dei rischi stesso non dovrebbe quindi contenere dettagli personali superflui. Descriva la debolezza organizzativa, invece di attribuire ai collaboratori caratteristiche personali non comprovate.

Checklist

• Causa, possibile evento e conseguenza sono comprensibili.
• Ambito e provvedimenti esistenti sono indicati.
• Ogni livello di valutazione è spiegato in termini aziendali.
• I punti sono usati come ausilio di classificazione e non come valore misurato.
• Le soglie per giallo e rosso sono fissate e motivate.
• Le conseguenze particolarmente gravi ricevono una decisione consapevole.
• Le misure hanno responsabili e risultati verificabili.
• Le rivalutazioni indicano motivo e base modificata.
• Le opportunità sono seguite con le proprie condizioni.
• Se serva una relazione annuale con indicazioni sulla valutazione dei rischi è chiarito con la fiduciaria o l’ufficio di revisione.

Fonti

• Codice delle obbligazioni (CO; OR, RS 220), art. 727, art. 961 n. 3, art. 961c cpv. 2 n. 2 e art. 961d cpv. 1, stato 1° ottobre 2026, consultato il 27.10.2026.
• Legge federale sulla protezione dei dati (LPD; DSG, RS 235.1), art. 6 cpv. 2 e 3, art. 8 cpv. 1, stato 7 luglio 2025, consultata il 27.10.2026.
• ISO/IAF Auditing Practices Group, Guidance on Risk Based Thinking, documento del 13 gennaio 2016 (in inglese), consultato il 27.10.2026. Il documento si riferisce alla ISO 9001:2015, riflette l’opinione del gruppo di lavoro e non è confermato da ISO come norma.
• ISO: ISO 9001:2026 (Edition 6), pubblicata il 16 settembre 2026 (in inglese); consultata il 27.10.2026. Il testo della norma è protetto dal diritto d’autore e qui è riportato solo nella sostanza.
• SNV: SN EN ISO 9001:2026, valida dal 16 settembre 2026, sostituisce l’edizione 2015 (negozio in italiano; norma disponibile in inglese, francese e tedesco); consultata il 27.10.2026.
• SQS: Revisione della norma ISO 9001:2026 – Tutte le informazioni, consultata il 27.10.2026.

Le scale, le soglie e gli iter dell’esempio pratico sono aiuti pratici redazionali. Non riproducono il testo della norma ISO e non attestano la conformità alla certificazione.

Questa guida non sostituisce una consulenza legale o fiscale. Stato delle informazioni: 27.10.2026.