Comprendere la propensione al rischio: un componente critico della gestione dell’esposizione

Mon, 10 Feb 2025 14:44:03 Z

Il rischio è intrinseco a qualsiasi azienda. A fare la differenza è il modo in cui un’organizzazione lo comprende e lo gestisce.

Dalle sfide operative alla volatilità del mercato, dai cambiamenti normativi ai progressi tecnologici, le aziende devono affrontare un ampio spettro di incertezze che possono generare crescita o causare perdite.

Per gestirle in modo efficace, un’azienda deve definire un framework che la aiuti a stabilire quanto rischio è disposta ad accettare per perseguire i propri obiettivi. È qui che entra in gioco il concetto di “propensione al rischio”.

Ma per definire la propria propensione al rischio, un’azienda deve vedere e comprendere tutti i rischi che deve affrontare. E per i team di sicurezza che stanno gettando le basi della loro strategia di gestione dell’esposizione, definire la propensione al rischio della propria organizzazione è un passaggio critico.

Che cos’è la propensione al rischio?

La propensione al rischio è il livello di rischio che un’organizzazione è disposta ad accettare per perseguire i propri obiettivi. Definirla stabilisce i confini dell’organizzazione rispetto a quali rischi assumerà e in quale misura. Una propensione al rischio elevata significa essere aperti ad accettare rischi maggiori in vista di possibili ricompense più alte, mentre una propensione al rischio bassa significa che l’organizzazione preferisce ridurre il rischio il più possibile.

Si consideri una startup tecnologica che vuole investire in ricerca e sviluppo all’avanguardia. Potrebbe adottare una propensione al rischio più elevata per ottenere innovazioni dirompenti e rivoluzionarie, sapendo che i potenziali vantaggi valgono l’incertezza. Al contrario, una grande azienda consolidata potrebbe avere una propensione al rischio più bassa, puntando su una crescita stabile ed evitando progetti che potrebbero danneggiare in modo significativo la sua posizione di mercato o la sua reputazione.

La propensione al rischio è sia quantitativa sia qualitativa

La propensione al rischio non è mai statica: è una misura dinamica che dovrebbe essere adeguata in base a fattori quali settore, dimensioni e stato di salute dell’azienda, obiettivi strategici, requisiti normativi e contesto generale del mercato.

Né riguarda solo i numeri: la propensione al rischio è una combinazione di fattori sia quantitativi sia qualitativi.

Da un lato, un’azienda può avere elementi misurabili, come l’ammontare delle perdite che è disposta a tollerare, i suoi rapporti di indebitamento e il tipo di ritorno sull’investimento (ROI) a cui mira. Può anche dover considerare aspetti soggettivi, come il potenziale impatto sulla reputazione aziendale, le considerazioni etiche e quanto le sue decisioni siano allineate ai valori fondamentali.

Perché è importante definire la propensione al rischio?

Quasi ogni organizzazione che vuole avere successo deve assumersi rischi calcolati. Ma senza una chiara comprensione della propria propensione al rischio, può ritrovarsi a prendere decisioni incoerenti, reattive o eccessivamente prudenti. Questo può portare a opportunità mancate o perdite aziendali. Ecco perché definire la propensione al rischio è essenziale:

Allineare strategia e gestione del rischio

Disporre di una propensione al rischio chiaramente definita fornisce un framework strategico che allinea le pratiche di gestione del rischio agli obiettivi aziendali complessivi. Quando un’impresa sa quanto rischio è disposta ad accettare, può perseguire le opportunità coerenti con la propria propensione al rischio, evitando quelle che potrebbero esporla a rischi eccessivi.

Migliorare il processo decisionale

Definire la propensione al rischio consente a leader e manager di prendere decisioni informate comprendendo chiaramente cosa costituisce un rischio accettabile. Stabilisce inoltre le aspettative per i comportamenti orientati sia all’assunzione sia all’evitamento del rischio in tutta l’organizzazione, aiutando i manager a valutare i compromessi tra rischio e ricompensa in diversi scenari.

Rafforzare la fiducia degli stakeholder

Una propensione al rischio chiaramente definita rassicura investitori, autorità di regolamentazione, dipendenti e altri stakeholder sul fatto che l’organizzazione attribuisce priorità alla gestione del rischio. Dimostra inoltre un approccio metodico e affidabile nel bilanciare rischio e rendimento, rafforzando ulteriormente la fiducia degli stakeholder.

Promuovere la coerenza

Quando tutti in un’organizzazione sono allineati su quanto rischio sia consentito, riescono a prendere decisioni coerenti perché comprendono tutti cosa rappresenti una scommessa accettabile. Questo riduce le probabilità di lavorare con obiettivi divergenti o persino in direzioni opposte. Ad esempio, un reparto legale potrebbe frenare la grande idea di un team marketing se non condivide la stessa concezione di rischio accettabile.

Supportare un monitoraggio efficace del rischio

Quando le aziende definiscono la propria propensione al rischio, possono implementare sistemi per monitorare i livelli di rischio in tutta l’impresa, dalla finanza alle operation. In questo modo, sono in grado di individuare tempestivamente potenziali problemi e garantire che le attività rimangano entro i limiti di ciò che è considerato sicuro, o almeno accettabile. Definire e monitorare gli indicatori chiave di rischio (KRI) fornisce segnali di allarme precoce quando ci si avvicina troppo a quei limiti.

Come definisce un’azienda la propria propensione al rischio?

In genere, un’organizzazione lo fa redigendo una dichiarazione di propensione al rischio (RAS). Le prime parti di una RAS illustrano gli obiettivi strategici dell’azienda e i rischi coinvolti.

Un’azienda potrebbe voler diventare il principale fornitore di software nel proprio settore. Dovrebbe elencare gli obiettivi strategici essenziali per raggiungere tale traguardo, insieme ai rischi associati. Ad esempio, Ivanti opera nel settore della fornitura di servizi IT basati su cloud e soluzioni di gestione della sicurezza. Ciò significa che la nostra dichiarazione di propensione al rischio deve catalogare tutti i rischi legati a questa linea di business e spiegare come li gestiremo.

Ecco un esempio di come potrebbe apparire una sezione di una dichiarazione di propensione al rischio per un fornitore di software:

Propensione generale al rischio
[Azienda XYZ] adotta un approccio equilibrato al rischio, riconoscendo che non tutti i rischi sono uguali e che un certo livello di rischio è necessario per raggiungere i nostri obiettivi strategici.
Rischio di innovazione Abbiamo un’elevata propensione al rischio per gli investimenti in tecnologie avanzate e soluzioni innovative che differenziano i nostri prodotti nel panorama competitivo. Comprendiamo che ciò richiede l’accettazione di un certo grado di incertezza nelle attività di R&S e nello sviluppo prodotto.
Rischio operativo Manteniamo una propensione al rischio da bassa a moderata. Pur puntando all’eccellenza operativa, diamo priorità alle iniziative che migliorano l’efficienza e la qualità del servizio senza compromettere i nostri standard di erogazione.
Rischio di sicurezza Abbiamo una propensione al rischio estremamente bassa per minacce e violazioni della sicurezza. Il nostro impegno per la sicurezza di rete e la protezione dei dati è fondamentale e investiamo in modo significativo per salvaguardare i nostri sistemi e i dati dei nostri clienti.
Rischio di conformità Abbiamo una bassa propensione al rischio di non conformità ai requisiti legali e normativi. Garantire l’aderenza a leggi, standard e best practice pertinenti in tutte le aree operative è fondamentale.

Propensione generale al rischio [Azienda XYZ] adotta un approccio equilibrato al rischio, riconoscendo che non tutti i rischi sono uguali e che un certo livello di rischio è necessario per raggiungere i nostri obiettivi strategici.
Rischio di innovazione	Abbiamo un’elevata propensione al rischio per gli investimenti in tecnologie avanzate e soluzioni innovative che differenziano i nostri prodotti nel panorama competitivo. Comprendiamo che ciò richiede l’accettazione di un certo grado di incertezza nelle attività di R&S e nello sviluppo prodotto.
Rischio operativo	Manteniamo una propensione al rischio da bassa a moderata. Pur puntando all’eccellenza operativa, diamo priorità alle iniziative che migliorano l’efficienza e la qualità del servizio senza compromettere i nostri standard di erogazione.
Rischio di sicurezza	Abbiamo una propensione al rischio estremamente bassa per minacce e violazioni della sicurezza. Il nostro impegno per la sicurezza di rete e la protezione dei dati è fondamentale e investiamo in modo significativo per salvaguardare i nostri sistemi e i dati dei nostri clienti.
Rischio di conformità	Abbiamo una bassa propensione al rischio di non conformità ai requisiti legali e normativi. Garantire l’aderenza a leggi, standard e best practice pertinenti in tutte le aree operative è fondamentale.

La RAS dovrebbe definire i rischi che avrebbero il maggiore impatto sull’organizzazione, non i rischi quotidiani che fanno semplicemente parte dell’attività aziendale. Dovrebbe tenere conto di più scenari di rischio; ad esempio, una strategia specifica può comportare rischi della supply chain, come gli effetti di un vincolo con un fornitore o i pericoli di esposizione normativa se un fornitore gestisce in modo improprio i dati dei clienti.

Dovrebbe inoltre definire l’entità del rischio finanziario che un’azienda è disposta ad assumersi. Se i suoi obiettivi includono l’offerta di un nuovo prodotto o servizio, esiste sempre la possibilità di un insuccesso sul mercato.

Componenti della propensione al rischio

Questi sono i fattori chiave da considerare nella definizione della propensione al rischio:

Capacità di rischio

Si riferisce alla quantità massima di rischio che un’organizzazione può sostenere. A determinarla sono le risorse finanziarie, le capacità operative e i vincoli normativi. E la capacità di rischio è diversa dalla propensione al rischio: un’organizzazione può avere la capacità di assumersi un determinato livello di rischio, ma potrebbe scegliere di non farlo in base alla propria propensione al rischio.

Tolleranza al rischio

Mentre la capacità di rischio riguarda quanto rischio un’organizzazione è in grado di sopportare, la tolleranza al rischio è una deviazione accettabile rispetto all’obiettivo. Può persino stabilire tolleranze diverse per aree diverse. Ad esempio, un’organizzazione potrebbe essere favorevole ad assumersi un rischio su un nuovo prodotto, ma essere avversa al rischio nella gestione dei dati dei clienti.

Soglie di rischio

Abbiamo già menzionato il monitoraggio del rischio e i KRI, utilizzati per impedire a un’azienda di superare le soglie di rischio: le “linee rosse” che rappresentano un rischio eccessivo. Il superamento di una soglia di rischio potrebbe richiedere un cambiamento dei piani, maggiori misure di sicurezza o persino l’arresto completo delle attività in corso.

Correlato: report di ricerca Ivanti: Allineare le prospettive: gestione del rischio informatico nella C-suite

Perché la propensione al rischio è importante nella gestione dell’esposizione?

Un tempo, mitigare il rischio digitale era molto più semplice di oggi. Questo perché le superfici di attacco della maggior parte delle grandi organizzazioni si sono notevolmente ampliate nel tempo. L’aggiunta di più dispositivi e applicazioni, utilizzati dai dipendenti in un numero maggiore di luoghi, ha trasformato il workplace e ampliato il panorama delle minacce digitali.

È uno dei motivi per cui una ricerca Ivanti ha rilevato che oltre la metà dei professionisti IT non è molto sicura di poter prevenire un incidente di sicurezza dannoso nei prossimi 12 mesi. Più di uno su tre afferma persino di essere meno preparato a rilevare le minacce e rispondere agli incidenti rispetto a un anno fa.

La gestione delle vulnerabilità tradizionale si è a lungo concentrata sulla correzione reattiva delle vulnerabilità software e hardware e di altre CVE, ma di solito si basa solo su scansioni intermittenti. Tuttavia, lo scenario attuale delle minacce informatiche richiede un nuovo approccio.

La gestione moderna dell’esposizione si concentra sull’individuazione e sulla correzione continue e proattive di rischi e vulnerabilità nell’intera superficie di attacco digitale, indipendentemente dal fatto che derivino da asset IT esposti, endpoint e applicazioni non protetti, risorse basate su cloud o altri vettori. Che cosa rende così strettamente correlate gestione dell’esposizione e propensione al rischio?

Valutare l’esposizione in base ai livelli di rischio accettabili: La gestione dell’esposizione implica la quantificazione dei livelli di rischio associati alle diverse esposizioni. Definendo il rischio accettabile, le organizzazioni possono confrontare il possibile impatto dei diversi rischi con la propria propensione al rischio.
Distribuire le risorse in base al rischio: Le organizzazioni devono dare priorità alle esposizioni che rappresentano la maggiore minaccia per le loro strategie: una valutazione che possono effettuare solo con una chiara comprensione della propria propensione al rischio. Questa prioritizzazione consente loro di concentrare le risorse sulla mitigazione delle esposizioni più critiche, spesso con l’aiuto di uno strumento RBVM avanzato.
Adeguare la propensione al rischio: Quando un contesto aziendale cambia o emergono nuovi rischi, può essere necessario adeguare la propensione al rischio. I dati e gli insight che le organizzazioni ottengono nell’ambito della loro pratica di gestione dell’esposizione le aiutano a prendere decisioni informate su tali adeguamenti.
Garantire la conformità: Molti settori hanno requisiti normativi relativi alla gestione del rischio, che a loro volta influenzano la propensione al rischio di un’organizzazione. La gestione dell’esposizione comporta l’identificazione e la gestione dei rischi che potrebbero causare non conformità.

Correlato: report di ricerca Ivanti: Gestione della superficie di attacco

Osservare il rischio di sicurezza attraverso la lente della gestione dell’esposizione

Una differenza significativa tra la gestione dell’esposizione e altre pratiche di sicurezza è che la gestione dell’esposizione non si limita a dare priorità alla correzione dei rischi che rappresentano il rischio maggiore per l’organizzazione, ma definisce attivamente quali rischi rientrano nella tolleranza al rischio dell’organizzazione. Ad esempio, un’azienda di e-commerce può essere disposta ad accettare rischi di sicurezza più elevati per mantenere il proprio sito funzionante durante il Black Friday: per lei, il compromesso vale la pena.

Invece di considerare ogni rischio potenziale come una crisi che richiede una correzione immediata, le organizzazioni devono assegnare le priorità in base alle esigenze aziendali. In questo framework, la maggior parte dei rischi non è negativa: conta il modo in cui si reagisce, si controlla e si mitiga il rischio per portarlo a un livello accettabile.

Ivanti Blog: Post di