Nella mappatura dei livelli di rischio effettuata fino alla versione 1.70 del software, il livello di rischio è stato sempre valutato in rapporto ai processi organizzativi; una rilevazione, cioè l’effettuazione di una serie di interviste rivolte a specifiche strutture che presiedono a specifici processi organizzativi, permette infatti di ottenere un giudizio sintetico di rischio per ogni processo organizzativo considerato.
I livelli di rischio ottenuti sono quindi declinati per processo, indipendentemente dalla numerosità e dal tipo dei rischi cui il processo stesso risulta associato. Fino a questo livello di evoluzione del software, pertanto, il calcolo dei livelli di rischio cui i processi sono esposti non dipende quindi dal rischio, ma solo dalle risposte ai quesiti e dai processi esaminati.
È evidente che, implicitamente, nel contesto di ciascun processo organizzativo i quesiti sono volti a investigare specifici aspetti rischiosi, che ci si aspetta di vedere esplicitati poi nell’elenco dei rischi corruttivi associati al processo stesso. Nel software, però, le relazioni tra quesito e rischio e tra quesito e processo sono considerate ortogonali tra loro, cioè non vengono messe in relazione in modo esplicito, e non vi sono regole di business che collegano i rischi di cui un quesito è implicitamente indicativo con i rischi che vengono associati, in modo separato, al processo.
Siccome, però, la misura si applica al rischio, bisogna in qualche modo ottenere i PxI dei rischi per poter stimare come questi si riducono a seguito dell’applicazione delle misure sui rischi stessi.
Il modo più semplice per ottenere i PxI dei singoli rischi, e anche più consistente con i ragionamenti fatti finora per ottenere i PxI dei processi, consiste nel considerare tutti i PxI dei singoli rischi, in partenza, cioè prima dell’applicazione delle misure di mitigazione, pari esattamente al PxI del processo nel cui contesto i rischi sono stati individuati.
Ciò certamente corrisponde all’operazione di ottenere una granularità fine a partire da una granularità più grossa, operazione opinabile in quanto fornisce l’apparenza di un grado di precisione elevato mentre in realtà si basa su un dato aggregato meno preciso in partenza.
Tuttavia, si può anche assumere che, siccome il PxI di ogni processo è stato calcolato in modo molto rigoroso (una serie di quesiti hanno prodotto i valori di una serie di indicatori che, a loro volta, hanno prodotto i valori di 2 dimensioni le quali, a loro volta, hanno prodotto il valore del PxI) un’assunzione legittima è considerare che, siccome il processo risulta esposto, nel suo insieme, ad un certo livello di rischio, possiamo assumere che anche tutti i rischi che sono stati individuati in dettaglio sul processo stesso presentano, mediamente, lo stesso livello.
Si potrebbero qui fare mille distinguo, però gli unici altri modi elementari e consistenti tramite cui ottenere un PxI del singolo rischio sul singolo processo paiono essere, nel contesto di questa analisi:
la pesatura del quesito in funzione del rischio
l’effettuazione dell’intervista rischio per rischio.
La prima soluzione, che è stata anche approfondita nella documentazione dettagliata (come “Soluzione non implementata”) è piuttosto macchinosa; la seconda, dal canto suo, è concettualmente più semplice ma avrebbe comportato un aumento enorme delle interviste (per ogni processo vi sono almeno 3-4 rischi connessi, ma a volte i rischi individuati sono molti di più) ed effettuare la mappatura in questo modo sarebbe in ultima analisi risultato impraticabile: non è concretamente possibile rivolgere 100-150 quesiti a una singola struttura dalle 4 alle 10-12 volte per ogni processo, considerato che spesso una stessa struttura è stata intervistata in merito all’erogazione di 2-3 processi in altrettante interviste; p-.es., nel caso di una struttura che eroga 3 servizi e non viene interrogata in merito ad ambiti specifici, anziché rivolgere 50x3 quesiti = 150 quesiti avremmo dovuto rivolgere 50x3xN. Rischi di ogni processo ~ 1000 quesiti.
L’assunzione che consiste nel considerare i PxI dei rischi associati a un processo come pari al PxI del processo stesso è una soluzione, tutto sommato, accettabile e, sostanzialmente, di buon senso: se è vero che le risposte date hanno permesso di individuare un determinato livello di rischio, è accettabile, in mancanza di dati di maggior dettaglio, assegnare a tutti i rischi del processo, in partenza, quello stesso livello di rischio.
D’altro canto, si deve considerare anche che la riduzione del livello di rischio su un processo, a seguito dell’applicazione di una misura, è a sua volta pur sempre una stima: tramite uno specifico algoritmo di mitigazione (o contenimento del rischio), che esamineremo tra poco, il software stima che il livello di uno specifico rischio su uno specifico processo, in presenza di una (o più) misure calmieratrici, si riduca di una certa quantità. Ma si tratta, appunto, di una stima, di un valore presunto, e l’unico modo di verificare se effettivamente le cose sono andate come previsto consiste… nel rifare l’intervista!
È quest’ultimo, in effetti, l’unico modo veramente scientifico di procedere: nei confronti di una struttura che presiede un processo rivolgo una serie di domande tramite le quali desumo il livello di rischio attuale; poi applico le misure; infine rivolgo le stesse domande alla stessa struttura, sullo stesso processo, per verificare se le risposte sono cambiate a seguito dell’applicazione delle misure. Quantunque tutti i valori di rischio ottenuti in base alle risposte, date in pasto agli algoritmi per determinare i valori dei vari indicatori, delle dimensioni di rischio e, infine, del PxI, siano a loro volta delle stime, almeno il metro di misura che applico, rifacendo l’intervista, è lo stesso, e ciò permette di effettuare dei veri confronti.