Il Risk Based Thinking nei Sistemi Qualità

La ISO 9001:2015 è caratterizzata dall'introduzione di un approccio sistematico al tema del rischio. In questo articolo verranno presentate, a partire dai documenti di guida e supporto prodotti nell'ambito dell'ISO TC 176/SC2, alcune riflessioni sull'argomento, anche per individuare direzioni di ulteriore approfondimento e sviluppo.

Non verrà qui espressamente trattato il concetto di "opportunità", che pure la norma associa sempre a quello di rischio. Tuttavia parte le considerazioni che seguono, relative al rischio, con i dovuti adattamenti possono ritenersi valide anche in riferimento alla gestione delle opportunità.

Che cos'è il Risk-Based Thinking?

Il rischio nell'ambito di un QMS consiste nell'incertezza associata al raggiungimento dei principali obiettivi della nuova ISO 9001, e cioè:

• Generare fiducia nella capacità delle organizzazioni di fornire con regolarità ai propri clienti prodotti e servizi conformi ai requisiti;
• Accrescere la soddisfazione dei clienti.

L'edizione del 2008 utilizzava lo strumento dell'azione preventiva per la gestione dei potenziali eventi negativi, sebbene fosse sottintesa l'importanza, per un QMS, di adottare le logiche della prevenzione in ciascuna delle proprie componenti (processi, funzioni, attività, ecc.), e non in modo circoscritto. La nuova edizione, nell'esplicitare tale concetto, evidenzia che per assicurare che i rischi siano, in ogni fase dell'attuazione di un QMS, riconosciuti, presi in esame e affrontati, occorre un atteggiamento mentale diffuso, grazie al quale l'azione preventiva non è più uno strumento isolato, ma distribuito nell'intero corpo del MS. Per questo motivo non è più presente uno specifico punto riguardante l'azione preventiva, ma essa è ora evocata ovunque nella norma, attraverso ripetuti riferimenti al rischio.

Questa pervasività dell'azione preventiva e delle logiche del rischio si sintetizza nella formula del "Risk-Based Thinking", che identifica una gestione per la qualità basata, oltre che sulla puntuale applicazione di prescrizioni codificate, sulla generale capacità, da parte di ciascuno nell'organizzazione, di assumere, quando necessario, le decisioni di competenza - e intraprendere le azioni conseguenti - non in modo superficiale o disinformato, ma come effetto di una corretta valutazione dei possibili effetti, positivi o negativi, degli eventi considerati. Quanto la stretta relazione fra Risk-Based Thinking e processo decisionale sia cruciale ai fini di un QMS emerge in particolare dalle seguenti constatazioni:

1. La variabilità dei contesti organizzativi e delle aspettative che in essi si producono (si veda in questo dossier, l'articolo su contesto e parti interessate) richiede MS adattivi, cioè in grado di reagire adeguatamente alle sollecitazioni esterne/interne;
2. Questa adattività consiste in ampia misura nella capacità di assumere tempestivamente decisioni razionali (basate cioè sull'adeguato bilanciamento delle considerazioni di rischio e di opportunità) ed efficaci.

Il Risk-Based Thinking gioca anche un ruolo importante alla luce della logica "prestazionale" che ispira la nuova norma: insieme con la richiesta di contestualizzare i sistemi qualità, questa nuova edizione si focalizza più della precedente sul raggiungimento degli obiettivi concreti, e lascia maggiori margini di libertà alle organizzazioni nel progettare e attuare in tal senso il proprio QMS. Ciò implica d'altra parte una maggiore responsabilità delle aziende nel dimostrare la capacità del proprio "progetto qualità" di assicurare la regolare conformità del prodotto/servizio, di accrescere la soddisfazione del cliente, di conseguire il miglioramento.

L'adozione del Risk-based Thinking costituisce, in questo caso, lo strumento per costruire, applicare e migliorare un QMS rivolto al risultato e per rendere tracciabile il percorso logico che lo ha generato.

Diventa un esperto valutazione del rischio con il Master della Business School
"Sistemi di Gestione Integrati per la Qualità, Sicurezza, Energia e Ambiente" >>>

Quali punti della UNI EN ISO 9001:2015 trattano il Risk Based Thinking?

In particolare troviamo richiami al Risk-Based Thinking:

• Nell'introduzione - dove è spiegato il concetto stesso di Risk-Based Thinking;
• Nel punto 4 (Contesto dell'organizzazione), in cui si richiede all'organizzazione di affrontare i rischi e le opportunità associati ai processi del suo QMS;
• Nel punto 5 (Leadership), che impone all'alta direzione di:
  • promuovere la consapevolezza del Risk- Based Thinking,
  • determinare e affrontare i rischi e le opportunità che potrebbero incidere sulla conformità del prodotto/servizio;
• Nel punto 6 (Pianificazione), dove si stabilisce che l'organizzazione deve identificare i rischi e le opportunità relativi alle prestazioni del QMS e deve intraprendere azioni appropriate per affrontarli;
• Nel punto 7 (Supporto), in cui si richiede all'organizzazione di determinare e fornire idonee risorse;
• Nel punto 8 (Attività operative), che richiede all'organizzazione di gestire i propri processi operativi in modo appropriato;
• Nel punto 9 (Valutazione delle prestazioni), nel quale si stabilisce che l'organizzazione deve monitorare misurare, analizzare e valutare l'efficacia delle azioni intraprese per affrontare i rischi e le opportunità;
• Nel punto 10 (Miglioramento), in base al quale l'organizzazione deve correggere, prevenire o ridurre gli effetti indesiderati, migliorare il QMS e aggiornare i rischi e le opportunità.

In definitiva il Risk-Based Thinking, riferito alla gestione per la qualità, si esprime a tutti i livelli della struttura organizzativa e del processo decisionale:

• Al livello strategico, per esempio nella definizione del campo di applicazione del QMS, a partire della comprensione del contesto e delle sue sollecitazioni, attuali e potenziali, sull'organizzazione;
• Al livello manageriale, per esempio nella determinazione dei processi e degli strumenti gestionali da attivare nel QMS, e del loro peso relativo, nell'ambito del sistema stesso;
• Al livello operativo, come nella identificazione dei punti critici nei processi, nelle funzioni, nelle attività, ai fini del loro adeguato controllo.

Come applicare il Risk-Based Thinking?

La norma non richiede l'applicazione di specifici metodi o strumenti per la "gestione del rischio". Così come il PDCA, il Risk-Based Thinking rappresenta soprattutto un approccio mentale. Entrambi gli atteggiamenti sono necessari per l'adozione dell'approccio per processi. In linea di massima, organizzazioni semplici, di piccole dimensioni, con tecnologie consolidate, caratterizzate da un contesto esterno/interno stabile/prevedibile, non dovranno adottare soluzioni sofisticate per mettere in pratica il Risk-Based Thinking.

In tali realtà occorrerà soprattutto assicurare una cultura "pratica" del rischio, affinché ogni decisione sia determinata in modo razionale e informato. Invece nelle organizzazioni più grandi e complesse l'approccio al rischio, con riferimento alla qualità, dovrà verosimilmente prevedere anche uno sviluppo formale e potrebbe richiedere la messa in atto di metodiche, infrastrutture e competenze mirate. In generale, un buon riferimento per approcciare in modo strutturato la gestione del rischio (in senso generale) è rappresentato dalle norme della serie ISO 31000, che comprende:

• La UNI ISO 31000:2010 - Gestione del rischio - Principi e linee guida;
• La ISO TR 31004:2013 - Risk management - Guidance for implementation of ISO 31000;
• La ISO/IEC 31010:2009 - Risk management - Risk assessment techniques.

Esse costituiscono, nel loro insieme, un insieme di linee guida che l'organizzazione potrà decidere di applicare in modo rigoroso, o di assumere solo nei principi ispiratori e per i concetti fondamentali, o di ampliare ulteriormente, dotandosi di strumenti e metodi di più elevata complessità, o di non considerare affatto, sulla base di una decisione informata.

Risk-Based Thinking e “Sistema dei Sistemi di Gestione”

La necessità di un unico sistema di gestione diventa sempre più forte, soprattutto per quelle organizzazioni orientate alla sostenibilità, nelle quali la numerosità delle variabili da considerare e delle relazioni da armonizzare potrebbe rendere difficile una visione d'insieme.

In questi casi:

1. La proliferazione dei MS, concepiti per affrontare in modo strutturato la complessità del contesto, introduce paradossalmente un ulteriore elemento di complessità;
2. È opportuno considerare l'opportunità di istituire un "sistema dei sistemi di gestione" che consenta tra l'altro di perseguire, con approccio "olistico", obiettivi appartenenti a prospettive diverse (relative alla qualità, all'ambiente, alla sicurezza, ecc.), o addirittura antagoniste;
3. Nel "meta sistema" di cui sopra (per il quale la definizione di "sistema integrato" potrebbe risultare a questo punto semplicistica), l'approccio "risk-based" permetterà all'organizzazione:
• di confrontare fra loro gli obiettivi di somogenei di cui sopra, riducendoli alla comune dimensione del rischio;
• di gerarchizzarli su base oggettiva;
• e in tal modo di assumere decisioni coerenti, a partire da quelle che riguardano le strategie e la distribuzione delle risorse.