In due righe
- La mappa dei rischi si costruisce in un pomeriggio, senza software e senza consulenti
- Basta una scala da 1 a 3 per probabilità e impatto: non serve precisione da analista
- Ogni rischio finisce in un quadrante con una risposta: intervenire, pianificare, proceduralizzare, monitorare
- Va aggiornata due volte l'anno, non è un documento da archiviare
Una mappa dei rischi aziendali si costruisce in un pomeriggio, senza consulenti e senza software. Elenchi i rischi operativi e di mercato che possono fermare l'azienda, valuti ognuno con due domande (quanto è probabile, quanto colpirebbe) e decidi una risposta per ogni quadrante della matrice: intervenire subito, preparare un piano, scrivere una procedura o solo monitorare. Parti dai rischi ad alto impatto, non da quelli che fanno più paura. La mappa non è un documento da archiviare: è uno strumento vivo, da aggiornare due volte l'anno.
Cos'è una mappa dei rischi e perché a una PMI serve più che a una grande azienda
Una mappa dei rischi è uno strumento che elenca i rischi di un'azienda e li ordina per probabilità e impatto, così da decidere su quali intervenire per primi. Non è una polizza assicurativa e non è un piano di emergenza: è la base per capire quali polizze servono e quali piani vale la pena scrivere.
In una grande azienda, perdere un cliente o fermare una linea per una settimana è un fastidio costoso. In una PMI con sei dipendenti, può voler dire non pagare gli stipendi. Il margine per assorbire un colpo è più basso, quindi la mappa conta di più, non di meno.
Secondo il censimento permanente delle imprese 2022 dell'Istat, l'80,9% delle imprese con almeno 3 addetti è controllato da una persona fisica o da una famiglia. Questo significa che, nella maggior parte delle PMI italiane, il destino dell'azienda si concentra in una sola testa o in un solo nucleo. Se quella testa si ferma, si ferma tutto. E il primo passo per togliere l'azienda da questa dipendenza è rendersi conto dei rischi: l'organizzazione aziendale che non dipende da te parte proprio da qui.
Quali rischi mettere sulla mappa: le quattro aree che contano davvero
Non esiste una lista universale di duecento rischi. In una PMI, i rischi che possono davvero fermare l'azienda si raccolgono in quattro aree.
Dipendenza dal titolare. Se domani non rispondi al telefono per una settimana, chi firma? Chi decide i prezzi? Chi paga i fornitori? Il rischio non è che tu stia male, è che l'azienda non abbia una risposta già pronta.
Concentrazione clienti. Un cliente vale quanto del fatturato? Se il tuo primo cliente supera il 30%, stai lavorando per lui, non per te. La domanda è: se domani quel cliente sparisce, quanti mesi di stipendi puoi ancora pagare?
Processi e fornitori critici. C'è un macchinario senza il quale non produci? Un fornitore che non ha alternative? Un passaggio che solo una persona sa fare? Se la risposta è sì, quello è un rischio, non un dettaglio operativo. Per individuarli, parti da come individuare le criticità nei processi.
Persone chiave. Chi sa fare una cosa che nessun altro sa fare? Se quella persona si dimette domani, cosa perdi? Il rischio non è la persona, è la conoscenza non condivisa.
Come valutare i rischi: la matrice probabilità-impatto spiegata in tre passi
La matrice probabilità-impatto è una griglia che incrocia la probabilità che un evento accada con la gravità delle sue conseguenze. Ti dice su quali rischi intervenire per primi senza farti perdere dietro a stime impossibili.
Bastano tre livelli per ciascuna dimensione. Probabilità: 1 bassa, 2 media, 3 alta. Impatto: 1 basso, 2 medio, 3 alto. Non serve la precisione del dieci per cento: anzi, una scala più fine ti obbliga a decidere se un rischio è 4 o 5, e la decisione non cambia la risposta.
I tre passi sono questi.
-
Assegna la probabilità. Quante volte succede? Mai successo in dieci anni? Probabilità bassa. Già successo due volte quest'anno? Probabilità alta. In mezzo, media.
-
Assegna l'impatto. Se succede, cosa salta? Un giorno di lavoro in più per uno? Impatto basso. Salta la produzione di una settimana o se ne va un cliente? Impatto alto. In mezzo, medio.
-
Incrocia i due valori. La combinazione ti dice in quale quadrante finisce il rischio e, quindi, quale risposta va data. Lo vediamo nel dettaglio fra poco.
La mappa compilata: un esempio lavorato su un'officina da sei persone
Facciamo un conto su un'officina meccanica con sei dipendenti e ottocentomila euro di fatturato. I numeri che seguono sono ipotesi, ma servono a vedere come si compila la mappa.
Il titolare osserva la sua azienda e individua sei rischi: un cliente che vale il 38% del fatturato, l'assenza di un sostituto per sé, il tornio principale senza alternativa, un tecnico specializzato unico, un fornitore unico di ricambi e una fattura rilevante a rischio incasso. Per ognuno assegna probabilità e impatto con la scala da 1 a 3, dove Bassa=1, Media=2, Alta=3.
Ecco la mappa compilata.
| Rischio |
Probabilità |
Impatto |
Risposta |
Proprietario |
| Un cliente vale il 38% del fatturato |
Media |
Alto |
Diversificare: portare il primo cliente sotto il 25% entro 12 mesi |
Titolare |
| Il titolare manca per un mese |
Bassa |
Alto |
Scrivere le deleghe operative e nominare un sostituto interno |
Titolare |
| Si rompe il tornio principale |
Bassa |
Alto |
Verificare i tempi di riparazione e un fornitore alternativo di lavorazioni |
Capo officina |
| Un tecnico specializzato si dimette |
Media |
Medio |
Documentare i lavori e incrociare le competenze su due persone |
Capo officina |
| Un fornitore unico di ricambi ritarda |
Media |
Medio |
Qualificare un secondo fornitore entro 6 mesi |
Titolare |
| Mancato incasso di una fattura rilevante |
Media |
Medio |
Controllare l'anzianità dei crediti ogni lunedì |
Amministrazione |
Cosa fare per ogni quadrante: le quattro risposte che chiudono la mappa
Con la matrice 3×3 non lavori su nove caselle, ma su quattro quadranti. Ogni quadrante ha una risposta precisa.
Intervenire subito. Probabilità media o alta, impatto alto. Sono i rischi che possono chiudere l'azienda da soli. Nell'officina di esempio, l'unico rischio in questo quadrante è il cliente che vale il 38% del fatturato: probabilità media, impatto alto. La risposta è un piano con date e numeri: portarlo sotto il 25% entro dodici mesi, cercando attivamente nuovi clienti. Questo è il primo punto dell'ordine del giorno, non il decimo.
Preparare un piano o una copertura. Probabilità bassa, impatto alto. Non succede spesso, ma se succede fa male. Qui stanno i rischi come il titolare che manca per un mese o la rottura del tornio principale. La risposta è duplice: scrivere un piano di emergenza che dica esattamente cosa fare il primo giorno, e verificare se esiste una copertura assicurativa o un fornitore alternativo. Per il titolare, questo significa nominare un sostituto e mettere per iscritto le deleghe: cosa fare se il titolare manca all'improvviso parte da qui.
Scrivere una procedura. Probabilità media o alta, impatto basso o medio. Sono i rischi che si ripetono ma non fermano l'azienda: un tecnico che si dimette, un fornitore che ritarda, un incasso che slitta. La risposta è una procedura che riduca la probabilità o l'impatto senza dedicarci ore ogni volta. Nell'esempio, i tre rischi con probabilità media e impatto medio finiscono qui: documentare i lavori, qualificare un secondo fornitore, controllare i crediti ogni lunedì.
Monitorare e basta. Probabilità bassa, impatto basso. Non fare niente è la risposta giusta, ma va dichiarata: si rivede alla prossima revisione semestrale. Nell'officina di esempio non c'è nessun rischio in questo quadrante, ed è normale: una PMI con sei dipendenti non ha il lusso di mappare i rischi che non contano.
Il passo successivo
Deleghe, processi e ruoli si sistemano lavorandoci sopra. Da Caos a Impresa sono tre giorni dal vivo a Bologna, su casi veri.
Guarda Da Caos a Impresa
Dare un proprietario a ogni rischio: la mappa che non resta nel cassetto
Una mappa senza proprietari è un elenco di paure. Ogni rischio deve avere una persona responsabile e una data della prossima verifica.
Il principio è semplice: il proprietario non è quello che paga, è quello che controlla. Se il rischio è 'il fornitore unico di ricambi ritarda', il proprietario non è il commerciale ma chi ordina i ricambi. Se è 'il cliente vale troppo', il proprietario è il titolare, perché solo lui può decidere di ridurre la dipendenza.
Per definire chi fa cosa, la matrice delle responsabilità RACI è lo strumento giusto: ti obbliga a scrivere chi è responsabile, chi decide, chi va consultato e chi va informato. La mappa dei rischi la usi come input: ogni riga della mappa diventa una voce della matrice, con un responsabile e una scadenza.
Poi la procedura finisce nel manuale operativo dell'azienda: se il rischio è 'il titolare manca per un mese', nel manuale trovi già le deleghe, i contatti e le istruzioni. La mappa non resta nel cassetto perché viene letta ogni volta che qualcuno deve sapere cosa fare.
La mappa è anche un obbligo: cosa chiede l'articolo 2086 del codice civile
Se hai una società, la mappa dei rischi non è solo buona gestione: è richiesta dalla legge. L'articolo 2086 del codice civile impone un assetto organizzativo, amministrativo e contabile adeguato, anche in funzione della rilevazione tempestiva della crisi e della perdita della continuità aziendale. Puoi leggere il testo integrale sul testo integrale dell'articolo 2086.
Questa norma è stata rafforzata dal Codice della crisi d'impresa e dell'insolvenza (D.Lgs. 14/2019). Il punto non è produrre un documento da mostrare a richiesta: è che l'assetto adeguato funzioni davvero. La mappa dei rischi è il primo pezzo di quell'assetto, perché senza mappa non sai cosa devi presidiare.
Ma il valore per te non è essere in regola. È che, se domani arriva un controllo o una banca che chiede come gestisci i rischi, hai una risposta concreta e aggiornata. Non è burocrazia: è la prova che sai dove la tua azienda può rompersi.
Come aggiornarla e gli errori che la fanno morire
La mappa dei rischi non è un documento da archiviare. Va aggiornata due volte l'anno, per esempio a gennaio e a luglio. E ogni volta che cambia una cosa grossa: un cliente supera una soglia, una persona chiave esce, un macchinario diventa critico.
Tre errori la fanno morire in fretta.
Non mappare tutto. Una mappa con cento voci non viene letta e non viene aggiornata. Meglio dieci rischi con un proprietario che cinquanta senza nessuno. Se non sai chi lo presidia, toglilo o assegnalo.
Non assegnare proprietari. Una mappa senza responsabili è un elenco di paure. Il titolare non può essere il proprietario di tutti i rischi: scegli la persona che può controllare il rischio e dalle una data di verifica.
Non confondere la mappa con le polizze assicurative. Le assicurazioni sono una delle risposte possibili, non la risposta a tutto. Prima fai la mappa, poi decidi quali rischi coprire. Chi parte dalle polizze si sente al sicuro e trascura i rischi organizzativi, che sono i primi a uccidere una PMI.
Quando un rischio si verifica, aggiorna la mappa a partire dal fatto. Usa il metodo dei 5 perché per risalire alla causa vera: se un fornitore ha ritardato, non limitarti ad annotare 'ritardo', chiediti perché è successo e cosa va cambiato. Poi integra la mappa.
Il passo più piccolo che puoi fare domani mattina è questo: apri un foglio di calcolo e scrivi i cinque rischi che ti fanno stare sveglio. Per ognuno, segna probabilità e impatto con la scala da 1 a 3. Se non hai tempo per la mappa intera, scrivere quei cinque rischi ti dice già dove intervenire. Il resto lo aggiungi alla prossima revisione, fra sei mesi.
Domande frequenti
Quanto tempo serve per fare una mappa dei rischi in una PMI?
Un pomeriggio, se ti limiti ai rischi operativi e di mercato e usi una scala semplice da 1 a 3. La prima stesura conta: non serve la completezza, serve individuare i cinque o sei rischi che possono davvero fermare l’azienda. Poi la mappa si affina a ogni revisione semestrale.
Che differenza c’è tra una mappa dei rischi e un piano di business continuity?
La mappa elenca e valuta i rischi, il piano di business continuity definisce come continuare a operare quando un evento critico si verifica. La mappa viene prima: serve a capire quali eventi meritano un piano. Molte PMI scrivono il piano senza la mappa e si preparano al rischio sbagliato.
La mappa dei rischi è obbligatoria per legge?
L’articolo 2086 del codice civile impone alle imprese in forma societaria un assetto organizzativo, amministrativo e contabile adeguato, anche per rilevare tempestivamente la crisi. La mappa dei rischi non è nominata espressamente, ma è lo strumento più diretto per dimostrare quell’adeguatezza e farla funzionare.
Ogni quanto va aggiornata una mappa dei rischi?
Almeno due volte l’anno, più una revisione ogni volta che cambia qualcosa di grosso: un cliente che supera una soglia di fatturato, una persona chiave che esce, un macchinario o un fornitore che diventano critici. La mappa che non si aggiorna smette di riflettere l’azienda e diventa carta.
Serve un consulente o un software per fare la mappa dei rischi?
No, per una prima mappa bastano un foglio di calcolo e una riunione di due ore con le persone che conoscono i processi. Il consulente serve semmai dopo, per validare le valutazioni o per i rischi che richiedono competenze specifiche. Il software serve solo quando la mappa è già viva e va monitorata con continuità.
Quanti rischi deve contenere una mappa dei rischi di una PMI?
Tra cinque e dieci, non cento. Una mappa con troppi rischi non viene letta e non viene aggiornata. Meglio dieci rischi con un proprietario e una risposta chiara che un elenco di cinquanta voci senza nessuno che se ne occupa. La regola è: se non sai chi lo presidia, toglilo o assegnalo.
Delera CRM
Delera Agent AI
UmanValue
PMI Speed Test