La gestione del rischio distingue quattro concetti. [RA01 - Risk Capacity] è il massimo rischio sostenibile senza compromettere continuità o vincoli essenziali. [RA02 - Risk Appetite] indica quali rischi l’organizzazione è disposta ad assumere per perseguire l’outcome. [RA03 - Risk Tolerance] traduce l’appetite in soglie operative e scostamenti accettabili. [RA04 - Risk Acceptance] è la decisione autorizzata di accettare uno specifico rischio residuo per condizioni e durata definite.
Il practitioner parte dagli scenari, non da un colore. Descrive evento, cause, impatto, probabilità, controlli, rischio residuo, owner e trattamento; collega poi le soglie ad autonomia, monitoring e gate. La capacity è un limite, l’appetite una scelta strategica, la tolerance una soglia misurabile e l’acceptance un atto puntuale: confonderli produce controlli incoerenti.
| ESEMPIO L’azienda può accettare raccomandazioni di riordino errate ma correggibili prima dell’ordine (appetite), fissare una soglia massima di override o errore per classe (tolerance), non poter sostenere ordini autonomi errati di valore elevato (capacity) e autorizzare temporaneamente un rischio residuo su tre brand con review dopo quattro settimane (acceptance). |
|---|
| Entità | Definizione | Uso nel framework |
|---|---|---|
| [RA01 - Risk Capacity] | Massimo rischio che l’organizzazione può sostenere senza compromettere la propria continuità o vincoli essenziali. | Limite superiore non superabile dal progetto |
| [RA02 - Risk Appetite] | Quantità e tipologia di rischio che l’organizzazione è disposta ad assumere per perseguire un obiettivo. | Orienta sperimentazione, autonomia, controlli ed escalation |
| [RA03 - Risk Tolerance] | Scostamento o soglia operativa accettabile rispetto all’appetite. | Definisce metriche e trigger di warning/stop |
| [RA04 - Risk Acceptance] | Decisione autorizzata di accettare uno specifico rischio residuo. | Deve indicare owner, durata, condizioni e review |
Comprendere — sintesi practitioner
La domanda di controllo è se l’engagement riesca davvero a tradurre capacity, appetite e tolerance in scenari, soglie, controlli e acceptance. Il practitioner esplicita oggetto, owner, evidenza e decisione; se uno di questi elementi resta implicito, la comprensione non è ancora sufficiente per alimentare il passaggio successivo.
Il risk appetite traduce tolleranza aziendale in limiti operativi, soglie, escalation e decisioni di rischio.
Applicare — sequenza minima
Operativamente: preparare fonti e casi; facilitare il confronto sul lavoro reale; registrare gap, assunzioni e alternative; assegnare owner e scadenze; aggiornare gli artefatti collegati; chiudere la sessione con una decisione verificabile. L’obiettivo specifico è tradurre capacity, appetite e tolerance in scenari, soglie, controlli e acceptance.
Registrare scenario, impatto, probabilità, controllo, rischio residuo, owner e trattamento; collegare a autonomia e gate.
Vedere in pratica — Buyer Assistant
Il caso mostra come tradurre capacity, appetite e tolerance in scenari, soglie, controlli e acceptance senza rendere obbligatorie le tecnologie adottate. Il practitioner deve trasferire il pattern — evidenza, responsabilità, limite e misura — e non copiare architettura o soluzione fuori contesto.
Buyer Assistant accetta raccomandazioni errate correggibili prima dell’ordine, ma non accetta invii autonomi o memoria non validata.
Verificare — definition of done
La sezione è chiusa quando il Decision Owner può ricostruire dalle evidenze se e a quali condizioni è stato possibile tradurre capacity, appetite e tolerance in scenari, soglie, controlli e acceptance; gap residui, N/A, condizioni e prossima review sono registrati, non affidati alla memoria dei partecipanti.
Rischio inerente e residuo sono distinti.
Acceptance è esplicita e time-bound.
Controlli sono testabili e osservabili.