Analisi dei rischi per le PMI: fasi e metodi di valutazione

Perché molte PMI affrontano i rischi a sensazione invece che in modo sistematico

Molte PMI praticano una gestione dei rischi basata sul «buon senso» e non dispongono né di sistemi o modelli complessi, né delle risorse necessarie per applicare tali metodologie (Christian Kressig e Marco Gehrig, kmu-magazin.ch, 01.09.2015).

Molte piccole e medie imprese industriali in Svizzera cullano in una falsa sicurezza: rispettano le basi legali e settoriali, ma non si rendono conto che una gestione dei rischi aziendale completa non solo tutela gli obiettivi aziendali, ma può anche aumentare il valore dell’impresa.

Nella pratica, l’utilità di un’adeguata gestione dei rischi viene spesso sottovalutata; frequentemente essa serve esclusivamente ad adempiere agli obblighi di legge. La diffusione di approcci corrispondenti varia notevolmente all’interno del settore industriale.

Un malinteso diffuso riguarda la portata: molte aziende considerano conclusa la gestione dei rischi con la valutazione dei rischi stessi, sebbene questa costituisca soltanto la base per definire e attuare le misure necessarie.

Dal 2008 la gestione dei rischi è obbligo di legge per molte imprese svizzere, ma il Codice delle obbligazioni (CO) formula prescrizioni piuttosto concise. Il nuovo diritto contabile esige nel rapporto sulla situazione economica indicazioni sulla gestione dei rischi; ne sono pertanto interessate le imprese che redigono tale rapporto.

Chi si limita a soddisfare questo requisito minimo opera al limite inferiore del possibile. L’utilità operativa nasce quando l’analisi è orientata agli obiettivi specifici e ai processi critici dell’azienda.

L’avvio in quattro tappe

La gestione dei rischi è il processo sistematico di identificazione, analisi, valutazione, controllo e monitoraggio dei rischi che potrebbero compromettere il raggiungimento degli obiettivi aziendali.

Senza un’adeguata preparazione, l’introduzione di un sistema di gestione dei rischi è destinata al fallimento (Portale PMI della Confederazione, kmu.admin.ch). In una PMI, l’implementazione avviene solitamente in quattro fasi: pianificazione e definizione del sistema, identificazione e valutazione dei rischi, analisi e misure, implementazione del concetto di gestione dei rischi.

Tre domande strutturano l’avvio: cosa può andare storto? Quanto è probabile che accada? E quanto gravi sarebbero le conseguenze? Dalle risposte emerge l’ordine di priorità con cui trattare i rischi.

Nella fase di pianificazione vengono esaminate le informazioni e la documentazione esistenti sulla gestione dei rischi dell’azienda. Nella fase di identificazione e valutazione dei rischi tutti i possibili rischi vengono elencati come scenari, identificati, valutati e prioritizzati. I principali rischi individuati vengono poi analizzati nel dettaglio. Una volta stabiliti i principi e le direttive necessari, il concetto di gestione dei rischi viene implementato.

Rilevare i rischi come scenari e individuare i pericoli

L’identificazione dei rischi elenca tutti i possibili rischi come scenari; successivamente, essi vengono valutati e prioritizzati (kmu.admin.ch). Uno scenario utile descrive un evento concreto, la sua causa e il suo possibile impatto su uno specifico processo operativo – non una categoria astratta di rischio. Ciò che manca in questa fase non potrà essere valutato, prioritizzato o coperto da misure in seguito.

Per garantire la completezza, aiuta una categorizzazione: rischi tecnici come sistemi difettosi, interfacce incompatibili o perdita di dati; rischi organizzativi come carenza di risorse, responsabilità poco chiare o dipendenza da figure chiave; rischi economici come sforamenti di budget e cambiamenti imprevisti del mercato; nonché rischi legali e normativi come nuove disposizioni legislative. I confini non sono sempre netti, ma la sistematica aiuta a evitare punti ciechi.

Per la sicurezza sul lavoro e la protezione della salute, alla valutazione generale dei rischi aziendali si affianca la rilevazione dei pericoli. La Commissione federale di coordinamento per la sicurezza sul lavoro (EKAS/CST) mette a disposizione strumenti ausiliari e pubblicazioni tramite il suo centro d’informazione (ekas.admin.ch).

Le direttive EKAS concretizzano le prescrizioni legali e chiariscono leggi e ordinanze senza creare nuovo diritto. Chi segue le direttive si presume adempia alle norme sulla sicurezza sul lavoro da esse concretizzate (Direttive EKAS, ekas.admin.ch). I progetti di direttive vengono sottoposti all’audizione delle organizzazioni interessate ai sensi dell’art. 57 lett. a OPI.

L’EKAS è la commissione scelta dal Consiglio federale e il punto centrale di coordinamento per la sicurezza sul lavoro. Mira a ridurre gli infortuni professionali e le malattie professionali in tutta la Svizzera, delega compiti agli organi esecutivi e li supporta nell’attuazione (ekas.admin.ch). Chi struttura la rilevazione dei pericoli utilizzando questi strumenti lavora con una sistematica riconosciuta invece che con una lista sviluppata autonomamente.

Principali categorie di rischi nelle PMI secondo l’EKAS

Valutare e prioritizzare i rischi

Valutazione e prioritizzazione costituiscono il cuore dell’analisi dei rischi. I rischi identificati vengono valutati e successivamente prioritizzati (kmu.admin.ch). Solitamente la valutazione avviene su due dimensioni: probabilità di occorrenza ed entità del danno; dalla loro combinazione risulta una classifica. Questa graduatoria indirizza le limitate risorse umane e finanziarie laddove l’impatto è maggiore.

La formula di base è: valore del rischio = probabilità di occorrenza × entità del danno. Più alto è il valore del rischio, più urgente è la necessità di intervenire. Esso determina quali rischi richiedono misure immediate, quali devono essere monitorati e quali possono essere accettati consapevolmente.

Prima della prima valutazione, è necessario definire i criteri di rischio. Le classi di danno e le probabilità di occorrenza devono essere stabilite in modo che un’altra persona con lo stesso know-how giunga allo stesso risultato per lo stesso rischio; solo così i risultati sono riproducibili.

Sono disponibili metodi qualitativi e quantitativi: la classificazione in classi di danno oppure la quantificazione di ogni possibile danno con un importo. Il calcolo basato su importi è semplice, ma mostra i suoi limiti laddove un danno alla reputazione derivante da prodotti difettosi difficilmente può essere misurato con precisione.

Come quadro di riferimento per la valutazione servono la norma ISO 31000 («Risk management – Principles and guidelines») e, per la sicurezza dell’informazione, la ISO/IEC 27001. Entrambe riconducono il rischio al prodotto tra danno e probabilità di occorrenza.

Per la sicurezza sul lavoro, la rilevazione dei pericoli fornisce la base di valutazione. L’EKAS mette a disposizione strumenti ausiliari (ekas.admin.ch). Chi basa la valutazione su sistematiche esistenti e approvate non deve inventare parametri di confronto ex novo e può giustificare i risultati in modo comprensibile verso autorità e assicuratori.

Molte aziende considerano conclusa la gestione dei rischi con la valutazione dei rischi stessi (kmu-magazin.ch). Un catalogo dei rischi prioritizzato senza misure derivate, responsabilità e scadenze non cambia nulla nell’operatività aziendale; la valutazione è una tappa intermedia, non il risultato finale.

Metodi di valutazione qualitativi vs. quantitativi nella gestione dei rischi

Norme e direttive centrali per la gestione dei rischi in Svizzera

Definire le misure e radicarle nell’operatività

Dopo la valutazione, i principali rischi individuati nella fase di identificazione e valutazione devono essere analizzati nel dettaglio (kmu.admin.ch). Dall’analisi approfondita dei pochi grandi rischi scaturiscono misure concrete: modifiche tecniche o organizzative, assegnazione delle responsabilità, scadenze e verificabilità dell’efficacia. Laddove una misura non sia sufficiente o economicamente sostenibile, resta l’accettazione consapevole del rischio residuo – documentata e con conoscenza della direzione aziendale.

Come strumento basta una semplice lista dei rischi. Tabelle poco chiare, dati obsoleti e responsabilità indefinite sono le tipiche debolezze; decisivi sono l’aggiornamento continuo e l’assegnazione nominativa della responsabilità per ogni misura.

Una volta stabiliti i necessari principi e direttive, il concetto di gestione dei rischi viene implementato (kmu.admin.ch). Questi principi regolano con quale frequenza i rischi vengono rilevati, chi può e deve segnalare i rischi, come avviene la prioritizzazione e chi monitora l’attuazione. Per la sicurezza sul lavoro e la protezione della salute si aggiungono i compiti degli specialisti della sicurezza sul lavoro e la procedura per l’obbligo di coinvolgimento, come regolato dalla Direttiva EKAS n. 6508.

Il concetto viene radicato attraverso responsabilità e processi ricorrenti, non tramite un documento approvato una tantum. Resta nel cassetto se la lista dei rischi, dopo l’introduzione, non appartiene a nessuno, non viene discussa periodicamente e le misure non confluiscono negli strumenti di gestione esistenti come decisioni di budget, investimenti e progetti.

Coinvolgere esperti esterni e sfruttare soluzioni interaziendali

La Direttiva EKAS n. 6508 regola il coinvolgimento di medici del lavoro e altri specialisti della sicurezza sul lavoro. Essa tratta, in quest’ordine: scopo, coinvolgimento, attuazione, compiti degli specialisti della sicurezza sul lavoro, soluzioni settoriali, di gruppo aziendale e modello come soluzioni interaziendali, partecipazione dei lavoratori o dei loro rappresentanti, attuazione, approvazione nonché gli allegati (Guida EKAS). Prima del primo impiego di uno specialista esterno, è necessario chiarire compito, portata, integrazione nell’azienda e partecipazione del personale.

Le soluzioni interaziendali evitano l’onere normativo per ogni singola azienda: le soluzioni settoriali, di gruppo aziendale e modello sono previste come capitolo proprio della Direttiva 6508.

Nella sua seduta del 25 giugno 2026, ha approvato la soluzione settoriale n. 87 «Centri fitness e benessere» dell’Associazione svizzera dei centri fitness e benessere (SFGV) nonché la soluzione modello n. M25 «COOP-SSL» (ekas.admin.ch). Un’azienda aderente lavora con basi già verificate invece di sviluppare ex novo una propria soluzione.

La partecipazione dei lavoratori o dei loro rappresentanti è parte integrante della Direttiva EKAS n. 6508 e non un’esercitazione aggiuntiva: i dipendenti conoscono processi, pericoli e quasi-incidenti dalla quotidianità lavorativa e forniscono informazioni che non possono essere ricostruite dalla direzione aziendale. L’EKAS supporta operativamente l’attuazione tramite la sua segreteria e gli organi esecutivi, ai quali delega compiti (ekas.admin.ch).

Vantaggi e limiti degli esperti esterni nella gestione dei rischi

Dopo la prima analisi: monitorare e ripetere

La rilevazione dei pericoli non è un progetto una tantum. Le condizioni di lavoro, le procedure, le sostanze, gli spazi e la situazione del personale cambiano continuamente. Ogni modifica rilevante – nuovo impianto, nuovo processo, nuova attività, ristrutturazione – innesca una nuova valutazione dell’area interessata.

Lo stesso vale per la valutazione: le priorità si spostano, le misure perdono efficacia o si rivelano insufficienti. Il ciclo prevede quindi di aggiornare valutazioni e misure, verificare l’efficacia delle misure attuate e inserire nuovi rischi nella lista. Responsabilità e frequenza di questo aggiornamento devono essere fissate.