Come RAISE applica la ISO 31000
RAISE è costruito sul processo della norma ISO 31000:2018 per la gestione del rischio. A ogni fase del processo, dal contesto alla registrazione, corrisponde una funzione del software, e l'indice di rischio nasce da una formula trasparente: un valore centrale, un intervallo da simulazione Monte Carlo e il peso esatto di ogni fattore. Indice di rischio, simulazione Monte Carlo e registro dei rischi sono tecniche descritte nella IEC 31010:2019.
Le fasi della ISO 31000 in RAISE
| Fase della ISO 31000 | In RAISE |
|---|---|
| Ambito, contesto e criteri | Strutture a piramide, registro degli asset, criteri e soglie di rischio configurabili. |
| Identificazione del rischio | Categorie di rischio configurabili; fattori dai documenti confermati, dai dati sui pericoli del territorio e dalle minacce. |
| Analisi del rischio | Probabilità e impatto per categoria, simulazione Monte Carlo dell'indice. |
| Ponderazione del rischio | Confronto con le soglie, livello sulla scala, registro ordinato per rischio. |
| Trattamento del rischio | Azioni con responsabile, scadenza e costo; rischio residuo. |
| Monitoraggio e riesame | Storico e andamento dell'indice, allarmi sull'andamento e allarmi in tempo reale. |
| Registrazione e reporting | Registro di audit concatenato, rapporto di valutazione, esportazione del registro. |
Come si calcola l'indice di rischio
Fattori
Ogni fattore dell'asset, del territorio o delle minacce è riportato su una scala da 0 a 1.
Categorie
Per ogni categoria di rischio, la somma pesata dei fattori determina la probabilità; la criticità dell'asset determina l'impatto.
Indice
La categoria più alta, probabilità per impatto, diventa l'indice da 0 a 100, con il suo livello sulla scala.
Intervallo
Una simulazione Monte Carlo varia i fattori entro la loro incertezza: il valore centrale è il 50° percentile, l'intervallo va dal 10° al 90°.
Spiegazione
Il contributo di ogni fattore è esatto; la spiegazione riporta quelli principali, con i loro numeri. Un dato mancante resta neutro ed è segnalato.
L'orizzonte temporale di ogni allarme
Ogni allarme in tempo reale riporta il suo orizzonte temporale, mostrato su un righello: Passato, In corso, A breve. Gli eventi in tempo reale non modificano l'indice validato: se ne tiene conto nella valutazione successiva.
- Passato
- In corso (attivo)
- A breve (attivo)
Domande frequenti
Esiste una certificazione ISO 31000?
No: la ISO 31000 è una linea guida e non prevede una certificazione. RAISE ne segue il processo, fase per fase.
Perché RAISE utilizza una simulazione Monte Carlo del rischio?
Perché i dati di partenza hanno un'incertezza. La simulazione Monte Carlo, una delle tecniche descritte nella IEC 31010:2019, la norma che accompagna la ISO 31000, varia i fattori entro i loro margini e mostra dove cade il valore tra il 10° e il 90° percentile degli scenari, intorno al valore centrale.
Secondo la ISO 31000 come deve essere la gestione del rischio?
La ISO 31000:2018 indica otto principi: la gestione del rischio deve essere integrata, strutturata ed esaustiva, personalizzata, inclusiva, dinamica, basata sulle migliori informazioni disponibili, attenta ai fattori umani e culturali e orientata al miglioramento continuo. RAISE ne segue il processo, dal contesto alla registrazione.
RAISE utilizza una matrice di rischio?
Non una matrice fissa: per ogni categoria di rischio RAISE ricava la probabilità dai fattori e l'impatto dalla criticità dell'asset, e per la categoria più alta il loro prodotto diventa l'indice da 0 a 100. Nel piano di trattamento probabilità e impatto residui si indicano su una scala da 1 a 5.
Che cosa succede se manca un dato?
Il fattore resta neutro e la spiegazione lo segnala come mancante: RAISE non sostituisce i dati mancanti con valori arbitrari.
Quali fasi della ISO 31000 copre RAISE?
Le fasi del processo: ambito, contesto e criteri; identificazione, analisi e ponderazione del rischio; trattamento; monitoraggio e riesame; registrazione e reporting.