Gestione del rischio di progetto

Gestione del Rischio

• Il rischio in un progetto è un evento o condizione incerta che, se dovesse verificarsi, avrebbe un impatto positivo o negativo su uno o più obiettivi del progetto, come ambito, tempi, costi e qualità.
• Esistono due categorie principali di rischi:
  • Rischi noti: identificati e analizzati, permettendo la pianificazione delle risposte.
  • Rischi ignoti: non identificabili a priori e non gestibili in modo proattivo, richiedendo una gestione della crisi.
• Il rischio è legato al concetto di incertezza e alla probabilità P che esso si verifichi, dove P è un valore nell'intervallo (0,1).
• Se l'evento si verifica, produce un impatto I sul raggiungimento degli obiettivi, che può essere positivo (opportunità e benefici) o negativo (minacce e costi/danni).
• Ogni rischio specifico è causato da fattori particolari e può essere classificato in base a tali cause.
• I fattori di rischio dipendono dal dominio del progetto e dal suo contesto.
• Non confondere rischi con cause o conseguenze dirette.

Ciclo di Vita del Rischio

• Un rischio può avere una o più cause e, se si verifica, può avere uno o più impatti.
• L'obiettivo della gestione dei rischi è aumentare la probabilità e/o l'impatto di un evento positivo e/o di diminuire la probabilità e/o impatto di un evento negativo.
• La gestione dei rischi include le attività di identificazione, analisi, pianificazione delle risposte e controllo:
  • Identificazione: riconoscere a quali rischi si va incontro.
  • Analisi: determinare natura e livello di esposizione per ciascun rischio.
  • Pianificazione delle risposte: definire le strategie e le azioni per affrontare i rischi.
  • Controllo: monitorare e tracciare i rischi noti.

Identificare un Rischio

• Il processo di identificazione prevede l'analisi delle fonti di rischio, delle possibili cause e dei loro effetti.
• Le risorse coinvolte includono:
  • Project manager
  • Membri del team di progetto
  • Team di gestione del rischio (se presente)
  • Esperti di risk management
  • Clienti, utenti finali e altri stakeholder
• L'identificazione è un'attività ciclica che viene eseguita per tutta la durata del progetto.
• È importante esaminare tutte le aree di conoscenza per identificare potenziali rischi

Strumenti e Tecniche Utili

• Brainstorming: Discussione libera tra esperti multidisciplinari guidati da un facilitatore per definire e classificare i rischi.
• Tecnica Delphi: Utilizzo di un questionario per raggiungere un consenso anonimo sui rischi del progetto, eventualmente in più iterazioni.
• Interviste: Conduzione di interviste per identificare i rischi.
• Root Cause Analysis: Diagramma di Ishikawa o diagramma a lisca di pesce.
• Risk Breakdown Structure: Struttura di suddivisione dei rischi.
• Checklist: Lista di controllo.

Risk Breakdown Structure (RBS)

 - Elenca le categorie e sottocategorie all'interno delle quali possono insorgere i rischi di un progetto.

Checklist Opportunità e Minacce

• Strumento per identificare e categorizzare potenziali opportunità e minacce in un progetto. Organizza i rischi in base al ciclo di vita del progetto e distingue tra strategie, tattiche, minacce implementative interne ed esterne, minacce al prodotto, e azzardi.

Analisi del Rischio

• Processo di valutazione che inizia con una fase qualitativa e prosegue con una quantitativa per stimare la probabilità e l'impatto di un rischio.
• La valutazione qualitativa attribuisce priorità ai rischi, focalizzandosi su quelli con probabilità e impatto maggiori.
• La valutazione quantitativa fornisce stime precise degli effetti del rischio.
• Il Registro dei Rischi è lo strumento essenziale per la gestione del rischio.

Pianificazione delle Risposte

• Prevede l'identificazione e lo sviluppo di azioni e comportamenti per favorire le opportunità e ridurre le minacce.
• I rischi sono gestiti in base alla loro priorità, assegnando attività e risorse dedicate nel piano di progetto.
• Le strategie possibili servono a stabilire le modalità con cui si affronterà ciascun rischio (azioni di risposta) in base alle priorità e alle caratteristiche di tali rischi.
• Stima delle risorse necessarie per l'implementazione delle azioni di risposta.
• Assegnazione di un "Risk Response Owner" strategia e azioni di risposta, spesso la stessa persona responsabile del rischio.
• Consolidamento del piano di progetto (tempi, costi, qualità) mediante l'aggiunta delle azioni di risposta al rischio.
• Realizzazione in base a criteri stabiliti nel Piano di gestione del rischio.

Strategie per la gestione del rischio

 - **Gestione Minacce**:
     - Evitare la minaccia: eliminare attività complesse e pericolose non indispensabili.
    - Trasferire la minaccia: subappaltare attività rischiose con clausole di penalità adeguate a coprire le perdite.
    - Mitigare la minaccia: ridurre probabilità e impatto del rischio entro una soglia accettabile.
    - Accettare la minaccia: stanziamento di risorse sufficienti a mitigarne gli eventuali impatti (piano di contigenza).

 - **Gestione Opportunità**:
     - Sfruttare l'opportunità: massimizzare la probabilità di concretizzazione del rischio.
    - Condividere l'opportunità: coinvolgere terzi pronti a cogliere l'opportunità.
    - Potenziare il rischio: aumentare gli impatti connessi alle opportunità.
    - Accettare il rischio: attendere senza intraprendere azioni particolari.

Registro dei Rischi

• Documento che raccoglie tutte le informazioni sui rischi durante le fasi di gestione.
• Esso contiene:
  • L'elenco dei rischi identificati.
  • La lista delle potenziali strategie.
  • Le cause principali associate al rischio.
  • Eventuali aggiornamenti alle categorie di rischio definite nel piano.

Piano di Contigenza

• Necessario quando si "accetta" un rischio, per prepararsi all'evento in cui la minaccia si concretizzi o l'opportunità svanisca.

• Elementi principali di un piano di contingenza:

  • Piano di emergenza (contingenza).
  • Riserva di contingenza (costi e durata).
  • Indicatori (trigger) che attivano il piano e/o l'uso della riserva.

• Sulla base dell'analisi quantitativa dei rischi, viene pianificata la riserva di contingenza (almeno del costo) per l'intero progetto.

• La riserva di contingenza per la durata è inserita come buffer di schedulazione.

• Le attività di monitoraggio verificano l'adeguatezza della riserva residua.

Fattori di criticità nei piani di risposta

- Incertezza descrittiva: Quantità e qualità delle informazioni sul rischio e sulle sue cause.

Attitudine al rischio: Propensione del responsabile del rischio o del project manager a rischiare. - Beneficio personale (Rischio Volontario): Ritorno personale atteso dalla gestione del rischio. - Rischio non evitabile: Rischi inevitabili per il project manager o responsabile. - Esistenza di alternative: Numero e costo delle alternative disponibili. - Durata del periodo di esposizione: Lunghezza e collocazione del periodo di esposizione al rischio.

Monitoraggio e Controllo

• Durante l'esecuzione del progetto è essenziale:
  • Tenere traccia di tutti i rischi identificati.
  • Monitorare lo stato dei rischi.
  • Cercare e identificare nuovi rischi.
  • Vigilare sulla corretta attuazione delle risposte.
• È inoltre fondamentale raccogliere l'esperienza per progetti futuri, includendo:
  • Checklist per l'identificazione e classificazione dei rischi.
  • Valutazione del successo dei piani di risposta.
  • Best practices e lezioni apprese.
  • Analisi della frequenza con cui un rischio si manifesta.

AI Risk Management Framework (AI RMF)

L'AI risk management offre un approccio per minimizzare gli impatti negativi dei sistemi di IA, come le minacce alle libertà civili, massimizzando al contempo gli impatti positivi. Il rischio, nel contesto dell'AI RMF, è la misura composita della probabilità di un evento e della gravità delle conseguenze. La gestione dei rischi si riferisce alle attività coordinate per dirigere e controllare un'organizzazione riguardo al rischio. Anche gli impatti negativi possono includere danni a persone, organizzazioni ed ecosistemi.

ISO/SAE 21434

• Le architetture software definite dal software richiedono software, processi e strumenti end-to-end.
• Definisce il processo ingegneristico di sicurezza nel settore automobilistico (Security by Design).
• Lo standard previsto mira quindi a garantire lo sviluppo sistematico di veicoli sicuri e a mantenere questa sicurezza durante l'intero ciclo di vita del veicolo.
• TARA (Threat Assessment and Remediation Analysis) è una metodologia ingegneristica utilizzata per identificare, valutare e selezionare contromisure informatiche efficaci per mitigare tali vulnerabilità.

Automative Cyber Kill Chain stages

• Reconnaisance
• Weaponization
• Delivery
• Exploitation
• Installation
• Command&Control
• Actions

Valutare le categorie di rischio e il loro impatto nel project management. Gestire i rischi tramite pianificazione preventiva e identificazione delle fonti di rischio. L'obiettivo principale e le attività incluse nella gestione dei rischi.