Deve quindi essere elaborato un algoritmo che sottrae ad ogni PxI del rischio una certa quantità a seguito dell’applicazione della misura. Definiamo questo un algoritmo di mitigazione.
Tale algoritmo può avere un grado di complessità variabile:
a un estremo vi è uno scenario di implementazione estremamente
semplificato;
p.es.: Abbassamento di “un livello”
di rischio se c’è la misura; quindi: assunto che il PxI
iniziale era ALTO; se c’è una misura passo da ALTO → MEDIO; se
ce ne sono due passo da MEDIO → BASSO etc.
all’altro estremo vi è uno scenario di implementazione
estremamente complesso;
p.es.: Riduzione di un
valore variabile tra 0 e 1 e dipendente dalla tipologia della
misura, dal carattere della misura stessa, dalla presenza
della struttura capofila della misura tra le strutture che
contribuiscono alle fasi del processo, etc.
Su questo continuum bisogna scegliere una soluzione che permetta di rappresentare la complessità insita negli scenari reali pur senza complicare in modo eccessivo i calcoli.
La granularità di azione dell’algoritmo è piuttosto fine. L’effetto di mitigazione deve infatti essere determinato sul singolo rischio, ovvero bisogna stabilire che, dato un PxI di un rischio, e considerato un insieme di misure assegnate sul rischio stesso, il PxI del rischio venga ritoccato, tramite l’algoritmo di mitigazione, quindi ricalcolato per ogni PxI di ogni rischio piuttosto che direttamente sul PxI complessivo del processo (ricordiamo che il PxI di un processo viene “spalmato” su tutti i rischi assegnati al processo stesso).
Nulla vieta, successivamente, di applicare un algoritmo a tutti i PxI di tutti i rischi cui un processo è esposto, ottenendo un unico PxI dei rischi del processo. Definiamo questo un algoritmo di ricalcolo.
Solo una volta calcolati – tramite l’algoritmo di mitigazione – tutti i PxI dei singoli rischi mitigati, potrà quindi essere applicato questo ulteriore algoritmo, “verticale” – l’algoritmo di ricalcolo – che permette di ricalcolare il PxI dell’intero processo a seguito dell’applicazione delle misure.
È su questo valore ricalcolato che si dovrebbe vedere l’effetto apportato dalle misure di mitigazione, nel senso che il PxI di un dato processo con rischi privi di misure (cioè il PxI ottenuto originariamente a seguito dell’intervista) dovrebbe essere maggiore, o al più uguale, al PxI dello stesso processo calmierato tramite le misure di mitigazione applicate ai suoi rischi.
Oltre ad un algoritmo di contenimento, o mitigazione, o riduzione del rischio, deve quindi essere elaborato un algoritmo di ricalcolo del PxI complessivo del processo, a partire dai PxI dei singoli rischi, calmierati tramite le misure.