Registro dei rischi, matrice 5×5.
Probabilità × impatto, trattamento esplicito, responsabile, scadenza. Catalogo di partenza per le PMI manifatturiere. Niente dashboard inutili: una tabella che l'auditor sa leggere in pochi minuti e che il management può capire senza diventare uno specialista.
La norma chiede un processo, non un foglio Excel.
L'art. 24, comma 2, lettera a) del D.Lgs. 138/2024 prescrive l'adozione di politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete tra le misure di sicurezza. Tradotto: identificare i rischi, valutarli, decidere come trattarli, riesaminarli periodicamente, e dimostrare di averlo fatto.
In tante PMI italiane il registro dei rischi esiste come foglio Excel che qualcuno ha aggiornato due anni fa e poi è rimasto là. È esattamente il tipo di evidenza che l'auditor identifica come "processo non vivo" — spunta sì il controllo, ma con una nota che peserà al ciclo successivo.
Il registro dei rischi di Comprova è essenziale di proposito: pochi campi ben pensati, scadenza, trattamento esplicito, registro delle attività. L'obiettivo non è impressionare con il grafico più colorato, ma essere quello che un auditor riconosce come processo attivo e documentato.
Sei passi, una scheda rischio per ognuno.
Il register non è un campo libero in cui si butta tutto. È una sequenza guidata che produce un oggetto valutato, trattato, assegnato e riesaminabile. La differenza con il foglio Excel è tutta qui.
- Passo 1
Identificazione
Apri una scheda rischio con un nome chiaro. Puoi partire dal catalogo di rischi tipici per le PMI manifatturiere oppure crearne uno da zero.
- Passo 2
Valutazione 5×5
Scegli probabilità e impatto su una scala da 1 a 5. Il sistema moltiplica i due valori e classifica il rischio come basso, medio o alto; la matrice ti mostra a colpo d'occhio dove stanno i rischi.
- Passo 3
Trattamento
Per ogni rischio scegli cosa decidi di fare: mitigare, accettare, trasferire (assicurazione, contratto con un fornitore) o evitare.
- Passo 4
Responsabile e scadenza
Ogni rischio ha un responsabile, scelto tra le persone dell'organizzazione, e una scadenza. Il modulo ha sei campi in tutto: poco da compilare, tutto quello che serve a un auditor.
- Passo 5
Revisione
Quando un rischio cambia, aggiorni la scheda. Il registro delle attività conserva chi ha modificato cosa e quando.
- Passo 6
Esportazione
Il registro dei rischi finisce nell'Audit Pack come file CSV, che si apre in Excel. È quello che l'auditor chiede: non solo il registro vivo, ma una copia datata.
Eviti il foglio bianco anche sui rischi.
Quando apri il registro dei rischi, puoi partire da un catalogo di rischi tipici per le PMI manifatturiere: ransomware sul gestionale di produzione, indisponibilità del fornitore IT critico, fuga di dati di progettazione, truffe al reparto amministrativo, attacchi ai macchinari connessi.
Tu li adatti: cambi probabilità e impatto sulla tua realtà, scegli il trattamento, assegni il responsabile. Niente è obbligatorio — puoi anche partire da zero.
Per gli altri settori si parte da zero.
Quello che ci chiedono di solito.
- Perché una matrice 5×5?
- È la scala più diffusa nei framework di gestione del rischio, quella che un auditor si aspetta. Il punteggio va da 1 a 25: da 15 in su il rischio è alto, da 8 a 14 medio, sotto 8 basso.
- Posso aggiungere rischi che non sono nel catalogo?
- Sì, è la modalità prevista. Il catalogo è solo un punto di partenza per non affrontare il foglio bianco: copre i rischi più ricorrenti per le PMI manifatturiere. Aggiungi rischi tuoi quando ti serve.
- Esistono cataloghi per altri settori?
- Al momento il catalogo disponibile è quello per le PMI manifatturiere. Per altri settori parti da zero.
- Il registro è conforme alla ISO 31000?
- Si ispira ai principi della ISO 31000 ma è volutamente essenziale: probabilità, impatto, trattamento, responsabile, scadenza. Non gestisce indicatori di rischio, modelli statistici o simulazioni. È pensato per la PMI italiana che deve dimostrare un processo di gestione del rischio, non per il risk officer di una multinazionale.
- Posso esportare il registro dei rischi in Excel?
- Sì, nell'Audit Pack: il registro dei rischi è un file CSV che si apre in Excel.
Il registro dei rischi è incluso nella Piattaforma.
Funziona insieme a Policy, Incidenti, Fornitori e Audit Pack. L'analisi dei rischi non si copre con un solo modulo: serve la combinazione di policy che dice come gestire il rischio, registro che lo gestisce davvero, incidenti che lo mettono alla prova, Audit Pack che lo dimostra all'auditor.