Saccone: Il dovere di protezione. Manuale di Security Risk Management

Il libro “Il dovere di protezione. Manuale di Security Risk Management” è la mia più recente iniziativa editoriale.

Edita dalla Luiss University Press, l’opera offre un’analisi dettagliata dei concetti di rischio e sicurezza nel contesto della globalizzazione e della “società del rischio”, così come l’ha definita il sociologo Ulrich Beck. Attraverso un’approfondita disamina storica, teorica e normativa, vengono indagate le sfide poste dalla crescente complessità delle minacce alla sicurezza delle imprese e dei singoli, proponendo un modello avanzato di security risk management.

La narrazione, valorizzata dalle introduzioni di Alberto Pagani, Paolo Benanti e Corrado Miralli, si sviluppa attraverso quattro capitoli principali, che si addentrano nelle dinamiche del rischio, nelle responsabilità aziendali, nelle metodologie di gestione del rischio e nell’implementazione di strategie di sicurezza efficaci.

Capitolo I: il concetto di rischio

Il libro s’immerge nella complessità della definizione, della storia e delle teorie relative al rischio, delineando come la percezione e la gestione del rischio abbiano vissuto una evoluzione nel contesto socioculturale e tecnologico.

Già fin dalle prime pagine ci si addentra nella transizione dalla globalizzazione alla società del rischio, evidenziando come, nell’era moderna, il rischio si sia trasformato in una componente ubiquitaria della vita quotidiana, influenzando decisioni individuali e collettive. Il rischio, storicamente percepito per essere in relazione a eventi naturali o guerre, si è gradualmente esteso a sfere come la tecnologia, l’economia e la salute, diventando centrale nel dibattito pubblico e politico.

Con l’esplorazione degli “highlights storici” si è rimarcato come la sua comprensione sia cambiata nel tempo, influenzata da sviluppi scientifici e filosofici, evidenziando la transizione da una visione fatalistica del rischio a una quantificazione scientifica e alla gestione razionale, segnando l’inizio della moderna teoria del rischio.

Con la quantificazione del rischio vengono introdotti i concetti di probabilità come misura del rischio e di utilità come valutazione delle conseguenze, elementi chiave nella formulazione delle decisioni razionali sotto incertezza.

Nel libro viene scomposto il concetto di rischio in varie componenti, distinguendo tra rischi puri, speculativi e sistematici, con una precisa e voluta focalizzazione sul rischio di security come cruciale per la tutela degli assets aziendali e personali.

Infine, il capitolo conclude con una dettagliata esplorazione di alcune metodologie di analisi dei rischi, distinguendo tra analisi reattive e proattive, e tra qualitative e quantitative. La sezione offre un’esauriente panoramica del concetto di rischio, delineando il suo sviluppo storico, le teorie fondamentali e le metodologie di analisi. Attraverso questa disamina, si stabilisce una solida base concettuale per la comprensione e la gestione del rischio, enfatizzando la sua pervasività e centralità nella società contemporanea.

Capitolo II: il rischio di security nell’ordinamento nazionale e internazionale

Il passaggio sull’analisi del rischio di security, all’interno dei quadri normativi nazionali e internazionali, esplora come le imprese affrontino responsabilità e minacce alla sicurezza in un contesto globale.

Inizialmente, vengono esaminate le minacce, i rischi e le responsabilità delle imprese nel contesto della sicurezza, mettendo in luce la crescente complessità del panorama delle stesse, che include fenomeni quali il terrorismo e la criminalità organizzata, fino alle minacce informatiche. Il capitolo evidenzia l’importanza della responsabilità sociale delle imprese (CSR) nella gestione del rischio di security, sottolineando come la sicurezza non sia più un’opzione discrezionale ma un obbligo legale ed etico.

Segue una disamina del rischio nella legislazione internazionale, con particolare attenzione alle partnerships pubblico-privato e alle infrastrutture critiche. Si discute dell’importanza delle collaborazioni tra il settore pubblico e quello privato nella protezione delle infrastrutture essenziali, evidenziando come tali sinergie siano vitali per una gestione efficace dei rischi di sicurezza a livello globale.

La sezione dedicata agli enti normativi internazionali e nazionali, e alle norme volontarie, offre una panoramica completa delle principali normative e standards che influenzano la gestione del rischio di security. Viene passata in rassegna una serie di normative ISO pertinenti, tra cui ISO 31000 sulla gestione del rischio, ISO 27001 sulla sicurezza delle informazioni, e diverse altre norme specifiche per settori come il trasporto e la cybersecurity. Viene quindi sottolineato come l’adozione di tali standards possa servire come guida per le imprese nell’implementazione di pratiche di gestione del rischio efficaci.

La parte finale del capitolo si concentra sul contesto normativo italiano, analizzando come la legislazione nazionale affronti il rischio di security. Viene data particolare attenzione al Decreto Legislativo 81/2008 sulla sicurezza sul lavoro, al Decreto Legislativo 231/2001 sulla responsabilità amministrativa delle imprese e ad altre normative chiave che stabiliscono obblighi specifici per le imprese nella valutazione e nel trattamento dei rischi di security. Questa sezione esamina anche il concetto di ultra-territorialità della giurisdizione italiana e le implicazioni per le aziende operanti, sia a livello nazionale che internazionale.

In conclusione, il capitolo fornisce un’esauriente analisi del rischio di security nell’ambito degli ordinamenti nazionali e internazionali, evidenziando le sfide, le responsabilità e le strategie che le imprese devono considerare, per garantire la sicurezza in un contesto globale. Nel prosieguo del manuale si sottolinea l’importanza di un approccio integrato e normato alla gestione del rischio di security, che tenga conto sia delle disposizioni legali obbligatorie sia delle migliori pratiche del settore, per proteggere efficacemente persone, patrimoni e informazioni. Tra i patrimoni anche quello culturale, che nel libro viene trattato per promuovere una conoscenza diffusa sui temi della sicurezza del patrimonio artistico culturale, rafforzandone specifiche competenze attraverso figure specializzate come quella dell’Art Security Manager.

Capitolo III: introduzione al risk management

È nel terzo capitolo che viene offerta un’esposizione metodica e approfondita del processo di risk management, delineando le strategie e le procedure che le imprese possono adottare per identificare, analizzare e gestire i rischi in modo efficace. Questo capitolo si pone come un ponte essenziale tra la teoria del rischio e la sua applicazione pratica nel contesto aziendale, con un’attenzione centrata, in particolare, sulla gestione dei rischi di security.

Il capitolo inizia sottolineando l’importanza di integrare il risk management nel tessuto organizzativo delle imprese, viste le crescenti complessità e interconnessioni dei rischi nel mondo globalizzato. L’approccio proposto si basa sulla creazione di un sistema di gestione del rischio che sia proattivo, sistematico e parte integrante della strategia aziendale.

Il processo di risk management è esplorato nel dettaglio attraverso le sue fasi principali.

1. Sviluppare un sistema di gestione: si enfatizza l’importanza di sviluppare un sistema di gestione del rischio basato sui principi della qualità (UNI EN ISO 9001), che incoraggia l’adozione di un approccio orientato al miglioramento continuo.
2. Comunicazione e consultazione: questa fase sottolinea la necessità di comunicare efficacemente all’interno dell’organizzazione e di consultarsi con le parti interessate, per garantire che tutti gli aspetti del rischio siano considerati e compresi.
3. Valutazione dei rischi: include l’identificazione dei rischi, l’analisi e la valutazione del loro impatto potenziale e della loro probabilità di occorrenza con un approccio che bilancia analisi qualitative e quantitative, per fornire una valutazione comprensiva dei rischi.
4. Trattamento dei rischi: in questa fase si decide come affrontare i rischi identificati, sviluppando strategie di mitigazione che possono includere l’attenuazione del rischio, la sua riduzione, l’eventuale trasferimento (ad esempio, attraverso clausole assicurative) o l’accettazione consapevole.
5. Monitoraggio e riesame: in questa fase si sottolinea l’importanza del monitoraggio continuo e del riesame delle strategie di risk management, per assicurare che il sistema rimanga efficace di fronte ai cambiamenti interni ed esterni all’organizzazione.

Il libro affronta anche la necessità di un approccio integrato all’enterprise risk management (ERM), che consideri tutti i rischi a cui un’organizzazione è esposta in maniera olistica, piuttosto che in silos separati. L’ERM permette di ottimizzare la gestione del rischio su scala aziendale, migliorando la resilienza organizzativa.

Un’altra sezione importante del capitolo è dedicata alla business continuity, ovvero la capacità di un’organizzazione di continuare le operazioni essenziali in seguito a incidenti o disastri. Il testo illustra il processo di pianificazione della business continuity, enfatizzando l’importanza di prepararsi a eventi imprevisti per minimizzare l’interruzione delle attività e proteggere gli assets critici.

Infine, il capitolo conclude con una riflessione sull’importanza del risk management come strumento strategico, per la gestione delle incertezze e per il mantenimento della sicurezza e della stabilità operativa delle imprese. L’approccio sistematico al risk management descritto mira a equipaggiare i leaders aziendali con le conoscenze e gli strumenti necessari per navigare efficacemente il complesso panorama dei rischi odierni.

Capitolo IV: il modello di security risk management

Momento focale dell’opera, che rappresenta il culmine dell’analisi svolta, è la concretizzazione dei concetti teorici precedentemente esposti in un modello applicativo, focalizzato sulla gestione dei rischi di sicurezza nelle organizzazioni. Questo capitolo si propone di fornire un framework operativo per l’implementazione di un sistema efficace di security risk management, affrontando la complessità e la variabilità dei rischi di sicurezza che le aziende devono gestire, in un ambiente sempre più globalizzato e interconnesso.

Il capitolo apre sottolineando l’importanza di integrare il security risk management all’interno delle strategie complessive dell’organizzazione. L’obiettivo è quello di proteggere gli assets aziendali – tangibili e intangibili – da minacce che potrebbero comprometterne l’integrità, la disponibilità e la confidenzialità.

Il capitolo prosegue delineando il ruolo e la struttura della funzione di security all’interno di un’organizzazione, evidenziando come la security debba essere concepita come un elemento integrante della governance aziendale, con responsabilità e autorità chiaramente definite. La creazione di una struttura organizzativa dedicata, che possa garantire la gestione efficace dei rischi di sicurezza, è presentata come un passo fondamentale per l’attuazione del modello.

L’attenzione si sposta poi sul ruolo del professionista della security, considerato cruciale nel processo di gestione dei rischi. Vengono quindi descritte le competenze e le qualità necessarie per chi ricopre questa posizione, tra cui la capacità di analisi dei rischi, la conoscenza delle normative applicabili e le abilità comunicative per interagire efficacemente con tutte le parti interessate dell’organizzazione, per poi approfondire i principi fondamentali che devono guidare il security risk management, inclusa la necessità di un approccio basato sul rischio, l’importanza della continuità aziendale e la gestione delle crisi, nonché il monitoraggio continuo dell’ambiente di minaccia.

Il perno del capitolo è rappresentato dalla descrizione dettagliata del processo di security risk management, dalla valutazione iniziale dei rischi alla pianificazione delle misure di mitigazione, dall’implementazione delle strategie di sicurezza al monitoraggio e alla revisione periodica del sistema di gestione. Ogni fase è descritta con attenzione, ricca di dettagli operativi, fornendo ai lettori una guida pratica per l’attuazione.

Particolare enfasi è posta sulla fase di pianificazione, dove si definiscono politiche e obiettivi di security specifici, e sulla successiva attuazione, che comprende misure preventive, di identificazione e correttive, nelle quali si sottolinea l’importanza della formazione e della sensibilizzazione del personale, quali elementi chiave del successo di un programma di security.

Il capitolo si conclude con una disamina sulle fasi di monitoraggio, controllo e revisione del sistema di gestione della security. Qui si mette in luce come un’efficace valutazione delle performances e un continuo miglioramento siano indispensabili per adeguare il programma di security alle mutevoli esigenze aziendali e al dinamico panorama delle minacce.

Conclusioni

Nelle conclusioni del libro si riassume e si riflette sui concetti chiave, nonché sulle strategie discusse nei capitoli precedenti, enfatizzando l’importanza cruciale del security risk management nell’ambito delle moderne organizzazioni. Attraverso un’analisi approfondita del contesto globale, dei rischi emergenti e delle metodologie per affrontarli, viene sottolineato come il concetto di “dovere di protezione” sia diventato un imperativo etico e legale per le aziende in tutto il mondo.

Le conclusioni pongono l’accento sulla necessità per le organizzazioni di adottare un approccio olistico e integrato al risk management, che non solo mitighi i rischi ma che contribuisca anche alla creazione di valore sostenibile nel lungo termine. Il testo mette in luce come il risk management debba essere visto non solo come uno strumento di difesa ma come una leva strategica per la resilienza organizzativa, l’innovazione e il vantaggio competitivo.

L’autore ribadisce l’importanza di una cultura aziendale che valorizzi la sicurezza e i processi correlati, a tutti i livelli organizzativi. Tale cultura deve essere promossa dalla leadership aziendale e sostenuta da politiche, procedure e formazione adeguata. La sensibilizzazione e l’impegno di tutto il personale sono identificati come fattori chiave per l’efficacia del sistema di gestione del rischio.

In particolare, viene richiamata l’attenzione sulla velocità del cambiamento nel panorama dei rischi, accelerato da fattori come la digitalizzazione, la globalizzazione e i cambiamenti geopolitici. In questo contesto dinamico, l’adattabilità e l’agilità diventano caratteristiche essenziali per le organizzazioni che vogliono salvaguardare i propri assets e mantenere la fiducia delle parti interessate.

Nelle conclusioni, l’autore esorta le organizzazioni a non considerare il security risk management come un costo o un onere burocratico, ma come un investimento nella sostenibilità e nel successo futuro. La capacità di anticipare, comprendere e gestire efficacemente i rischi sarà sempre più un fattore distintivo per le aziende che prosperano in un ambiente sempre più incerto e complesso.

Infine, il libro si chiude sottolineando la responsabilità condivisa tra il settore pubblico e quello privato nel costruire società più sicure e resilienti. Invita a una collaborazione più stretta tra diversi attori sociali, economici e istituzionali, per sviluppare approcci innovativi al risk management, con l’obiettivo ultimo di proteggere individui, comunità e mercati dai rischi emergenti del XXI secolo.

Con un appello alla responsabilità e all’azione collettiva, le conclusioni del libro offrono una visione ispiratrice e pragmatica per affrontare le sfide della sicurezza e del rischio nell’era moderna.