ETD

• enterprise risk management
• risk management
• risk management framework

La seguente tesi offre una visione completa e ragionata del ruolo del Risk Management nelle organizzazioni moderne, partendo dalle definizioni dei principali framework internazionali e arrivando a descrivere in modo concreto come questo processo è stato implementato all’interno di Leonardo S.p.A. Secondo il modello COSO ERM, gestire il rischio significa integrare cultura, competenze e pratiche operative nei processi decisionali, considerando l’incertezza come qualcosa da interpretare e non solo da evitare. Il rischio, infatti, può generare minacce ma anche opportunità, purché l’azienda sia in grado di riconoscerlo, valutarlo e gestirlo con un approccio strutturato.
La natura dei rischi è estremamente varia: possono essere interni o esterni, sistemici o specifici, puri o speculativi. Possono nascere da fattori macroeconomici, da scelte manageriali, dall’organizzazione interna o dal contesto regolamentare. Le classificazioni più moderne distinguono anche tra rischi strategici, finanziari, operativi e legali. Per affrontarli, la ISO 31000 descrive un processo che inizia dalla definizione del contesto e degli obiettivi strategici, prosegue con l’identificazione, l’analisi e la valutazione dei rischi, e si completa con le attività di trattamento, monitoraggio e reporting. Le tecniche utilizzate possono essere qualitative, come la costruzione di matrici probabilità–impatto, oppure quantitative, basate su modelli statistici e simulazioni.
Su queste basi teoriche si sviluppano i principali approcci moderni alla gestione del rischio. L’Enterprise Risk Management adotta una prospettiva trasversale e strategica, mirando a fornire una visione complessiva dei rischi che possono influenzare l’azienda nel suo insieme. Il GRC inserisce la gestione del rischio in un quadro più ampio che include governance e conformità normativa, per garantire che l’organizzazione raggiunga i propri obiettivi in modo etico e sostenibile. Il Project Risk Management, invece, opera a livello di singolo progetto, concentrandosi su tempi, costi e requisiti contrattuali. L’Operational Risk Management nasce nel settore finanziario e si concentra soprattutto sui rischi operativi, spesso rari ma ad elevato impatto, che possono compromettere la continuità aziendale.
Dopo la parte teorica, il documento ripercorre la storia di Leonardo, che affonda le sue radici in Finmeccanica, nata nel 1948 all’interno dell’IRI. Nel corso dei decenni il gruppo si è trasformato, passando dalla meccanica tradizionale all’alta tecnologia, fino a diventare l’azienda oggi attiva nei settori dell’aerospazio, difesa e sicurezza. La struttura corporate attuale è fortemente centralizzata: il Consiglio di Amministrazione definisce le linee strategiche, mentre il CEO coordina le attività operative. Le Divisioni: Aerostrutture, Elicotteri, Elettronica, Cyber & Security e Spazio mantengono autonomia gestionale sui propri business, ma operano in un quadro di governance comune.
All’interno di questo modello organizzativo si colloca la funzione di Risk Management, istituita per rafforzare i processi di controllo e allineare la gestione dei rischi alle linee strategiche aziendali. A guidarla è il Chief Risk Officer, che coordina sia l’area dedicata all’Enterprise Risk Management sia quella focalizzata sui rischi di progetto. Intorno a queste due aree ruotano altre figure fondamentali: i Process Owner, responsabili dei processi aziendali; i Risk Owner, che presidiano concretamente i rischi identificati; e gli Action Owner, incaricati di attuare le misure di mitigazione.
Il processo ERM di Leonardo prevede innanzitutto l’individuazione dei processi critici e la definizione degli obiettivi e dei KPI necessari per valutarne le performance. A partire da questa base si sviluppa il Risk Assessment, condotto congiuntamente da Process Owner, Risk Manager e Risk Owner. A supporto di tutto questo lavoro esiste uno strumento interno, il TERRA tool, una piattaforma digitale pensata per uniformare e rendere tracciabile ogni fase della gestione del rischio. Il tool guida l’utente nel definire il perimetro del processo, identificare i rischi, valutarli secondo scale standardizzate, assegnare responsabilità e monitorare l’avanzamento delle azioni di mitigazione. Grazie al workflow approvativo integrato, ogni rischio passa attraverso i livelli di controllo previsti prima di diventare parte ufficiale del Risk Register aziendale.
Il percorso si conclude con il reporting corporate che ha il compito di raccogliere, consolidare e sintetizzare le informazioni provenienti da tutte le Divisioni. Il report permette al top management di avere una fotografia chiara e aggiornata dei rischi più rilevanti, del loro stato di evoluzione e delle misure intraprese. Non è solo un documento tecnico, ma uno strumento di governance che consente di prendere decisioni informate e allineate alla strategia aziendale.
Il risultato complessivo è un sistema di gestione del rischio maturo e integrato, in cui metodologie, strumenti e responsabilità convergono verso un obiettivo comune: rendere l’organizzazione più resiliente, consapevole e capace di affrontare l’incertezza in modo strutturato.