Un KRI, o key risk indicator (in italiano indicatore chiave di rischio), è una metrica che segnala quanto l’organizzazione è esposta a un determinato rischio in un dato momento e, se scelta bene, permette di intervenire prima che l’evento si verifichi. L’Institute of Operational Risk lo definisce, nella sua guida alle buone pratiche, come una metrica che fornisce informazioni sul livello di esposizione a un rischio operativo, osservando che qualsiasi dato può essere una metrica: la differenza la fa la scelta degli indicatori più pertinenti, semplici da usare e predittivi.
I key risk indicators sono uno degli strumenti con cui il risk management passa dall’elenco dei rischi alla loro sorveglianza continua: il registro dice quali rischi esistono, gli indicatori dicono come si stanno muovendo.
I key risk indicators in 4 punti chiave
Anticipano
Misurano condizioni che precedono l’evento, come ritardi, carenze e scostamenti, non l’evento già accaduto.
Hanno una soglia
È la soglia a trasformare una misura in qualcosa che chiede di agire.
Senza soglia è un dato, con una soglia è un segnale
Hanno un responsabile
Per ogni indicatore qualcuno raccoglie il dato e qualcuno decide che cosa fare quando la soglia viene superata.
Sono pochi
Un buon sistema ne usa un numero limitato, legato ai rischi che contano davvero per gli obiettivi.
KRI: cosa significa e a cosa servono
Con KRI si intende un indicatore che segnala il livello di esposizione a un rischio. Pensiamo a un’azienda che dipende da pochi fornitori: in quel caso, l’evento da evitare è l’interruzione della fornitura, anche se il segnale utile arriva prima. L’aumento dei ritardi di consegna, il peggioramento della solidità finanziaria del fornitore, la quota di acquisti concentrata su un solo nome. Ciascuna di queste misure può essere un KRI.
A che cosa servono i key risk indicators
Primo
Accorgersi in anticipo
Il rischio non si presenta all’improvviso: di solito lascia tracce misurabili.
Secondo
Decidere con criteri condivisi
Soglie e responsabilità concordate prima evitano discussioni nel momento in cui il problema è già aperto.
Terzo
Riferire al vertice
Pochi indicatori ben scelti permettono al consiglio e alla direzione di vedere se l’esposizione resta entro ciò che l’azienda è disposta ad accettare, cioè entro la propensione al rischio.
Caratteristiche di un buon KRI
Non tutte le metriche sono buoni indicatori chiave di rischio. Un indicatore utile ha queste caratteristiche:
Le sette caratteristiche di un indicatore che funziona
In corsivo, la domanda con cui verificarlo.
Collegato a un rischio
Misura l’esposizione a un rischio specifico che ha impatto sugli obiettivi
→A quale rischio del registro risponde?
Predittivo
Cambia prima che l’evento si verifichi
→Ci avvisa in tempo per agire?
Misurabile
Si calcola con una formula e una fonte dati chiare
→Chi lo calcola, con quali dati?
Comparabile
Si confronta nel tempo e tra unità o processi
→Lo calcoliamo sempre allo stesso modo?
Con soglie
Ha valori che indicano quando agire
→A quale valore scatta l’azione?
Comprensibile
Chi lo legge capisce subito che cosa indica
→Un membro del comitato lo interpreta senza spiegazioni?
Con un responsabile
Ha un proprietario del dato e uno dell’azione
→Chi deve intervenire se si supera la soglia?
Un indicatore che non supera il test della prima riga, quello del collegamento a un rischio, va tolto anche se è facile da calcolare. È l’errore più frequente: si misura ciò che è disponibile invece di ciò che serve.
Differenza tra KRI e KPI
A questo punto è legittimo chiedersi qual è la differenza tra KPI e KRI. I KPI (key performance indicators) misurano i risultati rispetto agli obiettivi: praticamente, come stiamo andando. I KRI misurano il rischio che quei risultati non vengano raggiunti o che il prezzo da pagare sia troppo alto: quanto siamo esposti. Per la parte sui KPI rimandiamo alla guida sui KPI aziendali.
KPI e KRI a confronto
| KPI | KRI | |
|---|---|---|
| Misura | Risultato e performance | Esposizione al rischio |
| Domanda | Stiamo raggiungendo l’obiettivo? | Stiamo rischiando di non raggiungerlo? |
| Tempo | Spesso dopo il fatto | Idealmente prima dell’evento |
| Soglia | Obiettivo da raggiungere | Limite da non superare |
| Esempio | Fatturato mensile | Quota di fatturato su un solo cliente |
Lo stesso dato può essere letto in modo diverso a seconda dell’uso. Il tasso di assenteismo, per esempio, è un KPI per chi gestisce il personale; diventa un KRI quando un processo critico dipende da poche persone e un’assenza prolungata lo fermerebbe. La coppia più utile è quella in cui a ogni obiettivo con il suo KPI si affianca il KRI che segnala il rischio di non raggiungerlo: per l’obiettivo “consegne puntuali”, il KPI è la percentuale di consegne in orario, il KRI è la dipendenza da un solo vettore.
KRI e KCI
Accanto ai KRI si trovano i KCI (key control indicators), che misurano l’efficacia dei controlli: per esempio la percentuale di controlli svolti nei tempi previsti o di anomalie chiuse entro la scadenza. La distinzione è concettuale e in pratica le due famiglie si usano insieme: il KRI dice quanto è esposto il processo, il KCI dice se le difese funzionano. Se un KRI peggiora e i KCI sono verdi, il problema potrebbe essere nell’indicatore o in un controllo mal scelto.
Esempi di KRI per area aziendale
Gli esempi di KRI che seguono sono illustrativi: le soglie dipendono dal settore, dalla dimensione e dalla propensione al rischio di ogni azienda e vanno definite internamente.
Esempi di indicatori per area
Per ogni area, il rischio presidiato, un indicatore possibile e il segnale da osservare.
Finanza
tensione di liquidità
Giorni di cassa disponibili rispetto agli impegni in scadenza.
SegnaleCalo continuo per più periodi
Clienti e vendite
dipendenza da pochi clienti
Quota del fatturato sui primi tre clienti.
SegnaleCrescita oltre il limite fissato
Fornitori
interruzione della fornitura
Percentuale di consegne in ritardo dei fornitori critici.
SegnaleAumento oltre la soglia
Produzione
fermo degli impianti
Ore di fermo non pianificate sul totale.
SegnaleTendenza in crescita
Persone
perdita di competenze
Turnover nelle figure chiave e ruoli rimasti senza sostituto.
SegnaleUscite concentrate in una funzione
IT e sicurezza
interruzione o attacco
Patch di sicurezza critiche non applicate oltre i tempi previsti e backup non riusciti.
SegnaleRitardi che si accumulano
Conformità
sanzioni o non conformità
Scadenze normative non rispettate e rilievi di audit aperti.
SegnaleRilievi che restano aperti oltre il termine
Reputazione
perdita di fiducia
Reclami gravi o recensioni negative in aumento.
SegnaleVariazione rispetto alla media storica
Un indicatore di rischio è sempre legato al contesto: lo stesso indicatore può essere essenziale per un’azienda e irrilevante per un’altra.
Soglie e livelli di allerta
La soglia trasforma un numero in una decisione. La pratica più diffusa è un sistema a tre livelli, spesso rappresentato con i colori del semaforo.
Le soglie, lette come un semaforo
Verde
Esposizione entro il livello accettato.
→Si continua a monitorare.
Giallo
Soglia di attenzione superata.
→Il responsabile analizza la causa e prepara le azioni.
Rosso
Limite superato.
→Escalation al livello di decisione previsto e piano di intervento con una scadenza.
I tre livelli vanno definiti prima, insieme a chi interviene a ciascuno: un semaforo senza responsabili assegnati segnala soltanto, non fa agire nessuno.
Tre regole per scegliere le soglie:
- Partire dalla propensione al rischio. Le soglie traducono in numeri ciò che l’azienda ha deciso di tollerare. Senza una dichiarazione sulla propensione al rischio, le soglie diventano arbitrarie.
- Usare i dati storici, quando ci sono. Una soglia troppo bassa produce allarmi continui che nessuno prende sul serio; una troppo alta non scatta mai.
- Decidere prima l’azione. Per ogni soglia va scritto chi viene avvisato, entro quanto tempo e con quale decisione attesa.
Come costruire i key risk indicators in sette passi
- Partire dagli obiettivi. Quali risultati contano di più e cosa potrebbe impedirli.
- Individuare i rischi prioritari. Si parte dalla matrice dei rischi o dal registro dei rischi, scegliendo quelli con probabilità e impatto più alti.
- Cercare i segnali. Per ogni rischio, quali condizioni lo precedono e sono osservabili.
- Definire l’indicatore. Nome, formula, unità di misura, frequenza, fonte dei dati.
- Fissare le soglie. Verde, giallo e rosso, con l’approvazione di chi risponde del rischio.
- Assegnare le responsabilità. Chi raccoglie il dato, chi lo valida, chi decide l’azione.
- Riferire e rivedere. Gli indicatori entrano nella reportistica periodica al comitato; almeno una volta l’anno si controlla se sono ancora quelli giusti.
Per ogni indicatore conviene compilare una scheda breve con questi campi: rischio collegato, definizione e formula, fonte dei dati, frequenza, soglie, responsabile del dato, responsabile dell’azione, destinatari del report. È il documento che rende il KRI verificabile e che si controlla in sede di audit.
L’angolo Bliss
Per noi i key risk indicators vanno ben oltre la mera reportistica
Parliamo di uno strumento di governo, che vale quanto la decisione che lo accompagna. Lavorare sugli indicatori di rischio significa infatti far dialogare obiettivi, rischi e responsabilità, e dare al vertice pochi segnali affidabili in luogo di molti numeri.
È la differenza tra un sistema che descrive i rischi e uno che aiuta a governarli.
Il punto di vista di Bliss
KRI e gestione del rischio: dove si collocano
I key risk indicators sono un componente della gestione del rischio, che la norma ISO 31000:2018 (linee guida internazionali sulla gestione del rischio, applicabili a qualsiasi organizzazione) descrive come processo. Servono a seguire nel tempo i rischi già individuati e valutati: individuato e valutato il rischio, serve un modo per seguirne l’evoluzione. Per questo gli indicatori si collegano alla propensione al rischio, che fissa i limiti da cui derivano le soglie; al registro dei rischi, che indica per ogni rischio i KRI associati e il responsabile; alla matrice dei rischi, che aiuta a scegliere quali rischi meritano un indicatore; al sistema di controllo interno, che fornisce i controlli misurati dai KCI, e al risk management d’impresa (ERM), nel cui quadro gli indicatori alimentano la reportistica al vertice, come spiega la guida all’enterprise risk management.
Gli errori più comuni
- Troppi indicatori. Dieci indicatori letti ogni mese servono più di cento che nessuno guarda. Si parte dai rischi principali.
- KRI senza rischio. Metriche scelte perché facili da calcolare e non perché collegate a un rischio.
- Indicatori che arrivano tardi. Se il KRI scatta a evento avvenuto, è un indicatore di perdita, non un allarme.
- Soglie senza azione. Il rosso che non produce una decisione rende il sistema decorativo.
- Raccolta manuale e dati incoerenti. Fogli di calcolo diversi per ogni funzione producono numeri non confrontabili; vanno fissate definizioni e fonti uniche.
- Responsabilità non assegnate. Un indicatore senza proprietario resta un numero in un report.
- Nessuna revisione. I rischi cambiano: gli indicatori non rivisti perdono significato.
Richiedi un confronto
Scegliere i pochi indicatori che contano davvero
La parte difficile non è costruire un cruscotto: è decidere quali rischi meritano una soglia, a quale valore scatta l’azione e chi risponde quando scatta. Se state mettendo mano al sistema di indicatori, o se ne avete troppi e nessuno li guarda, ne parliamo volentieri.
Domande frequenti
Cosa significa KRI?
KRI è la sigla di key risk indicator, in italiano indicatore chiave di rischio: una metrica che segnala il livello di esposizione a un rischio.
Cosa si intende per KRI?
Un indicatore, con una soglia e un responsabile, che permette di accorgersi in anticipo che un rischio sta aumentando e di decidere se intervenire.
A cosa servono gli indicatori di rischio?
Servono a monitorare l’esposizione ai rischi principali, a far scattare azioni quando le soglie vengono superate e a riferire al vertice la situazione in modo comparabile nel tempo.
Qual è la differenza tra KPI e KRI?
I KPI misurano le prestazioni rispetto agli obiettivi; i KRI misurano il rischio di non raggiungerli. I primi guardano ai risultati, i secondi all’esposizione.
Cosa sono KPI e KRI?
Sono due famiglie di indicatori complementari. I KPI (key performance indicators) dicono come stiamo andando; i KRI (key risk indicators) dicono quanto rischiamo di non farcela.
Cosa significa KCI?
KCI è la sigla di key control indicator: un indicatore che misura se i controlli funzionano.
Quali sono gli indicatori di rischio?
Dipendono dal rischio. Esempi: concentrazione dei ricavi sui primi clienti, ritardi dei fornitori critici, fermi di produzione, turnover delle figure chiave, patch di sicurezza non applicate, rilievi di audit aperti.
Quali sono le caratteristiche di un buon indicatore di rischio?
Collegamento a un rischio, capacità predittiva, misurabilità, comparabilità, soglie, comprensibilità e responsabile.
Quanti key risk indicators servono?
Pochi: in genere i rischi principali, con uno o due indicatori ciascuno. Il numero giusto è quello che il comitato riesce a leggere e a seguire.
Chi decide le soglie dei key risk indicators?
Chi risponde del rischio, con l’approvazione del livello di governo competente (direzione o comitato), in coerenza con la propensione al rischio.
Ogni quanto si aggiornano gli indicatori di rischio?
Dipende dal rischio: mensile o più frequente per i rischi che si muovono in fretta, trimestrale per gli altri. La frequenza va scritta nella scheda.
Servono software dedicati?
Non per partire. Contano la definizione chiara, la fonte unica dei dati e un responsabile; gli strumenti automatizzano la raccolta quando gli indicatori sono diventati più numerosi.