Come implementare un framework di gestione dei rischi aziendali

La gestione dei singoli rischi aziendali è difficile quando esistono silos. Un framework di gestione del rischio aziendale (ERM) consolida la strategia di gestione del rischio in un'intera organizzazione, consentendo una migliore visibilità, misurazione e gestione degli obiettivi aziendali.

Con un'attenzione unificata alla gestione dei rischi, i team di conformità possono migliorare universalmente i processi di conformità normativa, governance e gestione dei rischi.

Questo articolo illustra l'importanza dell'ERM e come implementare un framework ERM di successo nella tua organizzazione.

Che cos'è l'ERM?

L'Enterprise Risk Management (ERM) è una strategia che affronta la totalità dei rischi di un'organizzazione, abbattendo i silos in ogni business unit. Questo approccio centralizzato migliora i processi decisionali aziendali nei confronti del rischio.

I rischi tradizionalmente coperti dall'ERM includono:

• Conformità e rischio normativo
• Rischio operativo
• Rischio finanziario
• Rischio strategico

Con la trasformazione digitale che guida la maggior parte delle organizzazioni, le implementazioni IT che coprono i rischi di sicurezza informatica sono ormai comuni nei framework ERM.

Perché l'ERM è importante?

Le organizzazioni spesso si concentrano su determinati rischi rispetto ad altri. Ad esempio, il rischio finanziario ha un impatto molto visibile sulle prestazioni aziendali. Il consiglio di amministrazione può facilmente interpretare i budget, le prestazioni di vendita e altri valori monetari. Il rischio per la sicurezza informatica spesso non è così trasparente. I CISO si trovano di fronte al difficile compito di tradurre il complicato gergo IT in un report esecutivo digeribile. Anche se il rischio informatico potrebbe non essere così facile da presentare, se realizzato, può avere un effetto domino su altri tipi di rischio.

Di seguito è riportato un esempio di come il rischio di sicurezza informatica può aumentare altri tipi di rischio aziendale:

Un istituto finanziario gestisce il proprio servizio di online banking su una rete non sicura. Un criminale informatico scopre e sfrutta questa vulnerabilità attraverso un attacco man-in-the-middle, ottenendo l'accesso non autorizzato ai sistemi interni. L'hacker esfiltra i dati dei clienti per venderli sul dark web, causando i seguenti eventi di rischio:

• Rischio operativo: l'organizzazione è costretta a cessare le operazioni per prevenire ulteriori sfruttamenti e correggere la vulnerabilità.

• Rischio di conformità: l'organizzazione viola i requisiti normativi, come PCI DSS, per non aver salvaguardato i dati dei clienti attraverso misure di sicurezza adeguate.

• Rischio finanziario: l'organizzazione viene multata per aver violato il PCI DSS e subisce perdite finanziarie significative durante l'arresto operativo e il conseguente danno reputazionale.

• Rischio strategico: l'organizzazione ha trascurato di aumentare il budget IT per rafforzare la sicurezza informatica, dando invece priorità ad altre opportunità di business.

Con un framework ERM efficace, le principali parti interessate avrebbero potuto prevedere l'impatto più ampio che la gestione del rischio di sicurezza informatica ha sull'intera organizzazione.

Come scegliere un framework ERM

Sono disponibili diversi framework ERM e trovare quello giusto dipende da diversi fattori, tra cui le dimensioni e il settore di un'organizzazione. Ad esempio, i servizi sanitari e finanziari hanno severi requisiti di conformità normativa in materia di sicurezza dei dati e dovrebbero implementare framework ERM che diano priorità alla mitigazione del rischio informatico.

Altri fattori che possono determinare la scelta del framework includono:

• Livello di propensione al rischio
• Livello di maturità del rischio
• Livello di esposizione al rischio
• Leggi e regolamenti del settore
• Requisiti di conformità interni

Scopri di più sulla gestione del rischio di terze parti >

Tipi di framework ERM

Di seguito sono riportati esempi popolari di framework ERM che forniscono una solida base per l'implementazione IT all'interno di un modello di gestione del rischio tradizionale.

Il quadro di riferimento COBIT ERM

Il COBIT (Control Objectives for Information and Related Technology) è una pubblicazione dell'IT Governance Institute e dell'Information Systems Audit and Control Association (ISACA). COBIT 2019, la versione più recente del framework, aiuta le organizzazioni a creare, monitorare e mantenere la governance e le pratiche IT.

COBIT è ideale per le implementazioni IT perché promuove la collaborazione, l'agilità e brevi cicli di feedback.

Scopri di più su COBIT 2019.

NIST CSF

Il Cybersecurity Framework (CSF) del National Institute of Standards and Technology (NIST) è un insieme adattabile di linee guida fondamentali progettate per mitigare i rischi organizzativi e rafforzare la sicurezza organizzativa complessiva. NIST CSF si basa su standard, linee guida e pratiche esistenti per le organizzazioni del settore privato negli Stati Uniti per gestire e ridurre meglio il rischio di sicurezza informatica.

Oltre ad aiutare le organizzazioni a prevenire, rilevare e rispondere alle minacce informatiche e agli attacchi informatici, è stato progettato per migliorare la sicurezza informatica e le comunicazioni di gestione del rischio tra gli stakeholder interni ed esterni.

Ulteriori informazioni su NIST CSF.

COSO

Il Committee of Sponsoring Organizations of the Treadway Commission (COSO) ha pubblicato il rapporto Enterprise Risk Management—Integrating with Strategy and Performance. Il COSO ha aggiornato il framework nel 2017 per riflettere l'importanza dell'ERM nel guidare un'efficace definizione degli obiettivi, della definizione della strategia e delle prestazioni all'interno dei moderni modelli di business.

Il framework COSO ERM è un approccio ideale alla gestione del rischio per le organizzazioni finanziarie grazie all'incorporazione del Sarbanes-Oxley Act (SOX).

Scopri di più sul framework COSO ERM.

Certificazione ISO 31000:2018

La ISO 31000:2018 fornisce linee guida per la gestione del rischio che le organizzazioni di tutti i settori possono personalizzare in base ai loro contesti specifici. Le organizzazioni possono implementare queste linee guida per migliorare l'identificazione del rischio, l'allocazione delle risorse per il trattamento del rischio e come punto di riferimento del settore per i processi ERM.

Scopri di più sulla ISO 31000:2018.

Certificazione ISO/IEC 27001

ISO/IEC 27001 (chiamato anche ISO 27001) è uno standard di sicurezza globale per regolamentare la sicurezza dei dati attraverso un codice di condotta per la gestione della sicurezza delle informazioni. ISO/IEC 27001 emette una serie di standard che coprono diversi aspetti della sicurezza delle informazioni, tra cui i sistemi di gestione della sicurezza delle informazioni (ISMS), la tecnologia dell'informazione, le tecniche di sicurezza delle informazioni e i requisiti di sicurezza delle informazioni. Le organizzazioni possono sfruttare ISO/27001 per implementare controlli efficaci dei rischi di sicurezza informatica per mitigare i rischi.

Scopri di più su ISO 27001.

Guida in 5 fasi: Implementazione di un framework ERM

È consigliabile seguire uno o più framework ampiamente adottati per seguire un benchmark di settore e gettare solide basi per l'ERM nella tua organizzazione. Da qui, puoi personalizzare il framework scelto per allinearti agli obiettivi aziendali e guidare il processo decisionale strategico.

Di seguito sono riportati otto passaggi per sviluppare e implementare un quadro ERM efficace.

Passaggio 1. Promuovere la comunicazione con gli stakeholder

Un solido quadro di ERM segue un approccio top-down alle pratiche di gestione del rischio, a partire dal buy-in da parte del senior management team. Il tuo comitato ERM dovrebbe essere costruito su un team interfunzionale, coinvolgendo le principali parti interessate in tutte le unità aziendali nel processo di pianificazione strategica.

I membri del comitato ERM sono responsabili di diversi risultati nella loro area di competenza, tra cui:

• Definizione degli obiettivi strategici
• Sviluppo di un profilo di rischio
• Sviluppo di una dichiarazione di propensione al rischio (RAS)
• Sviluppo di una strategia di rischio
• Promuovere la cultura del rischio in tutta l'organizzazione

Durante la fase 1, il comitato ERM dovrebbe raggiungere i seguenti risultati:

• Determinare quali parti interessate saranno responsabili dello sviluppo della struttura di governance del rischio;
• Definire chiaramente i ruoli e le responsabilità di ciascun membro del comitato;
• Garantire che il quadro ERM si applichi a ciascuna specifica unità aziendale;
• Identificare eventuali parti del framework volte a gestire il rischio in unità specifiche.

Passaggio 2: identificare i rischi

Il team ERM deve individuare tutti i rischi interni ed esterni che potrebbero avere un impatto negativo sulla tua organizzazione. Il tuo profilo di rischio e il RAS ti aiuteranno a identificare i rischi specifici della tua strategia aziendale.

Durante la fase 2, il comitato ERM dovrebbe raggiungere i seguenti risultati:

• Sviluppare una chiara metodologia di identificazione dei rischi che possa essere applicata a tutte le business unit;
• garantire che l'ambito di identificazione del rischio copra sia i rischi attuali che quelli futuri (come il rischio normativo);
• Determinare i fattori di calcolo del rischio, come la probabilità, l'impatto operativo e l'impatto finanziario;
• Registra la segnalazione dei rischi in un registro dei rischi centralizzato.

Passaggio 3. Valutare i rischi

L'esecuzione di una valutazione del rischio consente all'organizzazione di calcolare la probabilità di rischio e di gestirla in modo più efficace. Il team ERM dovrà selezionare una metodologia di valutazione del rischio guidata dall'uso di uno strumento o di un modello di valutazione del rischio.

Scopri come eseguire una valutazione del rischio di sicurezza informatica.

Due esempi popolari di strumenti di valutazione del rischio includono un'autovalutazione del controllo del rischio (RSCA) e una matrice di valutazione del rischio.

Autovalutazione del controllo dei rischi (RCSA)

Un processo di autovalutazione del controllo del rischio (RCSA) comporta la valutazione e l'esame dell'efficacia degli attuali controlli del rischio. Gli RSCA vengono comunemente eseguiti in un ambiente di officina, consentendo alle parti interessate di identificare e valutare i rischi e i controlli nella loro area di competenza. Un RCSA dovrebbe aumentare la consapevolezza degli obiettivi organizzativi e delineare il ruolo svolto dai controlli interni nel loro raggiungimento.

Lo scopo principale di un RSCA è dimostrare che gli obiettivi aziendali saranno raggiunti attraverso le seguenti garanzie:

• Salvaguardia del patrimonio
• Efficienza delle risorse
• Conformità normativa
• Obiettivi e traguardi organizzativi stabiliti

Matrice di valutazione del rischio

Le matrici di valutazione del rischio visualizzano la probabilità che si verifichi il rischio rispetto alla gravità del suo potenziale impatto. Allocando i potenziali rischi in un quadrante a matrice, è possibile determinare a quali rischi dare la priorità.

Di seguito è riportato un esempio della funzione Vendor Risk Matrix di UpGuard, che mappa le valutazioni di sicurezza dei fornitori (livello di rischio) rispetto al loro livello di livello (impatto aziendale).

Durante la fase 3, il comitato di gestione del meccanismo di cambio dovrebbe raggiungere i seguenti risultati:

• Determinare la probabilità e l'impatto aziendale di tutti i rischi identificati;
• Identificare le lacune di capacità nelle capacità ERM esistenti e delineare i passaggi successivi;
• Determinare se l'identificazione dei rischi (Fase 2) ha modificato il modo in cui i diversi tipi di rischi sono stati classificati in ordine di priorità nella valutazione dei rischi (Fase 3).

Passaggio 4. Trattamento del rischio

La fase di trattamento del rischio mette in atto le 3 fasi precedenti. Il team ERM deve elaborare un piano di risposta agli incidenti per definire l'ambiente di controllo del rischio e fornire strategie di mitigazione nel caso in cui si verifichi un rischio identificato.

Scopri come creare un piano di risposta agli incidenti.

L'ambiente di controllo del rischio includerà aree di sovrapposizione tra unità aziendali separate, nonché controlli del rischio unici. I titolari del rischio dovrebbero essere assegnati ai rispettivi controlli del rischio e assegnati ruoli e responsabilità chiari per la risposta al rischio.

Il trattamento del rischio dovrebbe allineare i controlli interni ed esterni ai requisiti di conformità, alle leggi e ai regolamenti, alla strategia di governance e ai processi e agli obiettivi aziendali.

Un quadro di ERM copre in genere le seguenti quattro fasi di risposta al rischio:

1. Accettare: accettare il rischio se la sua probabilità e gravità sono accettabili e le potenziali conseguenze sono superate dai costi finanziari necessari per la mitigazione del rischio. Continuare a monitorare il rischio.

2. Evitare: Evita il rischio se ha un alto impatto aziendale, ovvero un'alta probabilità e un'elevata gravità.

3. Ridurre: ridurre la probabilità e la gravità di un evento di rischio se l'opportunità del rischio supera la perdita finanziaria e altre conseguenze.

4. Condividere: condividere il rischio trasferendolo (esternalizzandolo) a terzi o acquistando un'assicurazione per il rischio. Tieni presente che l'outsourcing presenta un altro tipo di rischio: il rischio di terze parti.

• Scopri come gestire i rischi di terze parti.

• Scopri di più sull'assicurazione per la sicurezza informatica.

Durante la fase 4, il comitato ERM dovrebbe raggiungere i seguenti risultati:

• Assicurarsi che tutti gli elementi del piano di risposta agli incidenti abbiano un proprietario del rischio assegnato;
• Creare politiche e procedure per la revisione dei controlli del rischio e dei proprietari del rischio;
• Stabilire la frequenza con cui i processi di controllo del rischio e di gestione del rischio devono essere rivisti;
• Garantire che la strategia di risposta copra la tolleranza al rischio appropriata per ciascun rischio, compreso il rischio residuo;
• Assicurati che le partnership di terze parti siano incluse nell'ambiente di controllo.

Passaggio 5. Ottimizzazione del rischio

La fase finale prevede il monitoraggio e la revisione del programma ERM attraverso l'analisi dei dati per creare un ciclo di feedback continuo. L'aggregazione e il filtraggio manuale dei dati è un processo lungo e complicato, con spazio per l'errore umano. Gli strumenti di ottimizzazione del rischio possono aiutare a fornire informazioni significative e accurate per un processo decisionale più rapido e informato.

Quando si sceglie uno o più strumenti di ottimizzazione del rischio, ci sono diversi fattori da considerare, tra cui:

• L'allocazione delle risorse, ad esempio, qual è il budget?
• Gli obiettivi del tuo programma di gestione del rischio, ad esempio, quali sono i tuoi rischi ad alta priorità?
• I requisiti di analisi e reporting dei dati, ad esempio, quale livello di dettaglio è richiesto?

Ad esempio, la riduzione del rischio di sicurezza informatica richiede un monitoraggio continuo della sicurezza per identificare le minacce informatiche e le vulnerabilità non appena emergono. Questa attività è quasi impossibile senza l'uso di una soluzione di monitoraggio della superficie di attacco. Le organizzazioni probabilmente otterranno un ritorno sull'investimento poco dopo l'acquisto con l'uso di tale software. Un'identificazione più rapida dei rischi consente una correzione più rapida, riducendo le possibilità dei criminali informatici di sfruttare i problemi di sicurezza rilevati.

Seguendo un approccio analogo ad altre aree di rischio, il comitato di ERM dovrebbe essere in grado di individuare gli strumenti più efficaci in termini di costi e necessari per ottenere una maggiore comprensione del rischio in tutte le unità operative. Il software ERM specializzato offre una dashboard centralizzata basata su cloud per inserire tutte le metriche di rischio chiave e tenere traccia dei KPI.

Durante la fase 5, il comitato ERM dovrebbe raggiungere i seguenti risultati:

• Implementare una reportistica dinamica di monitoraggio dei rischi che si adatti all'ambiente di rischio in tempo reale;
• Garantire che le strategie di governance e conformità dell'IT e della sicurezza informatica siano attuate nel quadro, in conformità con i requisiti di sicurezza contemporanei, ad esempio il cloud computing;
• Sfruttare l'automazione, ove possibile, per consentire l'identificazione, il monitoraggio e la reportistica continui dei rischi;
• Stabilire un calendario adeguato per l'esecuzione di un audit interno del quadro di ERM;
• Valutare l'efficacia del quadro in termini di miglioramento della consapevolezza dei rischi e di eliminazione dei silos dal meccanismo di cambio.