Definire il rischio per gestirlo davvero: dalla percezione al metodo 

C’è un momento, in ogni attività di sicurezza, in cui la conversazione deve uscire dal campo delle impressioni e diventare operativa. Questo avviene quando qualcuno pronuncia la parola “rischio” e  la usa ovunque: nei media, in azienda, nelle riunioni, persino nella vita privata. Ma proprio perché è diventata un’abitudine linguistica, spesso perde precisione e di conseguenza, anche valore decisionale. 

Negli step precedenti abbiamo visto che la sicurezza non è un assoluto: è un risultato a doppia faccia, con un lato legato alla realtà e uno legato alla percezione. Abbiamo anche osservato quanto distorsioni cognitive e schemi comportamentali possano allontanare la percezione dai dati. A questo punto il percorso “naturale” dell’essere umano – e del professionista della sicurezza – è spostarsi ancora un passo indietro rispetto al pericolo, verso ciò che lo precede. È qui che entra in scena il rischio, ossia la capacità di anticipare, di immaginare, di analizzare e di agire prima che l’evento si manifesti. 

Ti interessa l’argomento?
Leggi anche questo articolo del nostro blog!

Perché la parola “rischio” ci inganna? 

Il rischio viene spesso definito come probabilità che si verifichi un pericolo; è una definizione utile, ma trascina con sé l’implicazione culturale che rischio equivale a negativo. Nel tempo abbiamo interiorizzato questa equivalenza al punto da usarla come automatismo, eppure, nella pratica professionale, questa cornice è riduttiva. 

Chi ha gestito reparti di sicurezza, chi ha condotto assessment, chi ha affiancato decision maker, sa che una parte consistente delle preoccupazioni che consumano energie in famiglie, team e organizzazioni non riguarda necessariamente scenari “spiacevoli”, anzi i risultati positivi inattesi, o percepiti come tali, possono avere un impatto psicologico e organizzativo perfino superiore ai rischi tradizionali. Questo avviene perchè spesso cambiano identità, ruoli, equilibri, priorità. E soprattutto perché non li trattiamo come “rischi”, quindi non li governiamo. 

Da qui nasce un cambio di prospettiva che, in ambito tecnico, è estremamente utile, vale a dire spostare il focus dal pericolo al risultato. 

Dal “pericolo” al “risultato”: una definizione più operativa 

Una definizione più ampia e, soprattutto, più gestibile è che il rischio sia la probabilità che si verifichi un risultato. Non un semplice evento, ma un risultato. 

La differenza non è semantica. “Evento” suggerisce casualità; “risultato” richiama una conclusione prodotta da un’azione che, nella realtà, può essere tanto attiva quanto omissiva: ciò che facciamo e ciò che non facciamo. Una verifica eseguita o saltata, un’analisi condotta o tralasciata, un controllo implementato o rimandato. In altre parole, parlare di risultato introduce un elemento che in sicurezza è inevitabile: la responsabilità. 

In questo modo la definizione si completa in modo naturale: il rischio è la probabilità che si verifichi un risultato inatteso. Inatteso non significa per forza indesiderato. Significa non pianificato, non governato, non valutato nella sua probabilità e nel suo impatto. 

Due responsabilità: oggettiva e soggettiva 

Quando diciamo “rischio”, in realtà stiamo parlando di due responsabilità che convivono nello stesso scenario. 

La prima è oggettiva e riguarda la predisposizione naturale o la vulnerabilità dell’oggetto di interesse, che sia un territorio, un edificio, un impianto, una filiera, un processo. 

La seconda è soggettiva e riguarda la capacità umana di intervenire preventivamente. Qui emergono le due abilità fondamentali del risk manager: prevedere e prevenire. 

Prevedere significa saper raccogliere informazioni, leggere segnali, analizzare dati, comprendere probabilità e vulnerabilità. È la disciplina che permette di stimare quanto sia plausibile un risultato inatteso e quanto l’asset sia esposto. 

Prevenire è il passo successivo: una volta che lo scenario è stato previsto, si interviene per ridurre prima la probabilità e poi, quando la probabilità non può essere annullata, la capacità d’impatto. È il cuore operativo del lavoro: tradurre valutazione in misure. 

Previsione e prevenzione: dal territorio all’azienda 

Un esempio utile è quello della Protezione Civile: la previsione passa dalla conoscenza della sismicità di un territorio, dai rilievi, dagli studi che permettono di stimare la probabilità e la potenza dei fenomeni. La prevenzione, però, non è solo ingegneria, ma anche educazione e sensibilizzazione: campagne, presenza nelle scuole, nelle aziende, nelle piazze, per ridurre panico e conseguenze collaterali. L’elemento interessante sta proprio nel fatto che l’intervento non è soltanto strutturale, ma comportamentale. Perché il rischio, in ultima analisi, attraversa sempre persone. 

La stessa logica vale in azienda quando parliamo di norme antincendio. La previsione si costruisce con sopralluoghi, verifiche, tabulati, certificazioni, valutazioni. Poi la prevenzione diventa organizzazione: procedure, corretto utilizzo dei macchinari, gestione degli stoccaggi, condotte, formazione. Se manca questa seconda parte, la prima resta un documento, se manca la prima, la seconda diventa improvvisazione. 

Il rischio come “positivo”: un’idea scomoda ma utile 

C’è un motivo per cui è importante liberare il rischio dalla sola dimensione negativa. Perché nella vita reale l’essere umano affronta continuamente risultati inattesi che non sono necessariamente danni: una gravidanza non programmata può essere vissuta come un bene; cambiare abitudini alimentari può portare a conseguenze “positive” ma comunque inattese; una relazione può evolvere oltre l’intenzione iniziale. Il filo conduttore non è la valutazione morale del risultato, ma la sua natura inattesa, non governata, non valutata nella sua probabilità e nei suoi effetti. 

Per le organizzazioni, questo vale in modo diretto: anche progetti di crescita, espansioni, acquisizioni, cambiamenti tecnologici, rebranding, possono generare risultati inattesi. E richiedono risk management tanto quanto un incidente. 

La formula del rischio: rendere misurabile ciò che sembra astratto 

Per trasformare il concetto in strumento, serve un modello. Uno dei più efficaci – perché semplice e robusto – è la formula: 

P × V × E = R 

Dove P è la Pericolosità, V la Vulnerabilità, E l’Esposizione, R il rischio. 

La pericolosità è la capacità reale del fenomeno di verificarsi e la sua intensità. Nel rischio sismico, ad esempio, è legata alla storia del territorio e alla magnitudo attesa. 

La vulnerabilità è la capacità dell’asset di subire quel risultato o di contrastarlo. Nel sisma, è la qualità delle strutture, la presenza o meno di criteri antisismici. È un concetto spesso sottovalutato perché non è “spettacolare” come la minaccia, ma è quello su cui si può lavorare di più. 

L’esposizione è l’elemento che, in pratica, determina le priorità: riguarda il valore di ciò che è in gioco. Nel terremoto, sono prima di tutto vite umane, poi beni, infrastrutture, continuità sociale. In azienda, può essere continuità operativa, reputazione, dati, sicurezza delle persone, compliance, capacità produttiva. È la componente che traduce il rischio in decisione, perché dice cosa conta davvero e per chi. 

La forza di questa formula è che funziona ben oltre gli esempi “grandi”. Anche una scelta apparentemente banale, come organizzare un evento in un periodo più o meno piovoso, segue la stessa logica: pericolosità (quanto è probabile la pioggia e con che intensità), vulnerabilità (quanto la location regge quel risultato), esposizione (quale valore economico ed emotivo è in gioco). Cambiano gli asset, non cambia il metodo. 

Le fasi del rischio: dalla conoscenza all’azione 

Una volta chiarito il significato e reso misurabile il concetto, resta la domanda decisiva: come lo gestiamo? Qui è utile immaginare il rischio come un processo che avanza per fasi, sempre nello stesso ordine. 

Si parte dalla raccolta informazioni, perché senza dati ogni valutazione è una percezione. In un servizio di tutela a una persona, significa ascoltare, comprendere quali rischi il soggetto percepisce, verificare luoghi e abitudini, leggere esposizioni reali. In ambito antincendio significa sopralluoghi, materiali, impianti, stoccaggi, fonti di innesco: costruire un quadro realistico, non intuitivo. 

Segue l’analisi e individuazione dei rischi, ciò che chiamiamo risk assessment, vale a dire mettere in relazione dati, scenari, vulnerabilità, esposizioni, e formalizzarli in una mappatura utile a decidere. 

Poi arriva la fase che spesso viene data per scontata ma è la più “politica”: la decisione. Un risk manager non si limita a descrivere. Deve decidere o mettere il committente in condizione di decidere. Ed è qui che molte organizzazioni inciampano, perché mappare rischi è più semplice che assumersi la responsabilità di una scelta. 

La decisione, nella pratica, si muove sempre tra tre strade: eliminare, contenere, accettare. Anche l’accettazione è una scelta legittima, purché sia consapevole, motivata, documentata e coerente con l’esposizione. Il problema nasce quando l’accettazione è involontaria, perché manca valutazione o perché si confonde l’abitudine con la governance. 

L’ultima fase naturale è il piano di difesa, cioè l’insieme delle misure che rendono concreta la prevenzione: controlli, procedure, training, tecnologie, ruoli, escalation, continuità operativa. È qui che il rischio smette di essere concetto e diventa capacità organizzativa. 

Definire il rischio in modo tecnico non è un esercizio accademico, ma un passaggio di maturità: dal linguaggio alla governance, dalla percezione al metodo, dalla preoccupazione alla responsabilità. 

Se il rischio è la probabilità di un risultato inatteso, allora la vera domanda per un’organizzazione non è “quali rischi abbiamo?”, ma “quali risultati inattesi non stiamo ancora governando, e perché?”. E la risposta, quasi sempre, non sta in un singolo controllo, ma nella capacità di prevedere, decidere e prevenire in modo coerente e continuativo.