A cosa serve
Il registro dei rischi è l'elenco di ciò che può andare storto nel progetto, con quanto è probabile, quanto farebbe male e chi se ne occupa.
Non serve all'audit: serve a decidere in anticipo, quando rimediare costa ancora poco. Se il registro si apre solo prima della riunione con il cliente, è un documento. Se cambia le priorità della settimana, è uno strumento.
Bastano poche colonne: rischio, causa ed effetto, probabilità, impatto, owner, strategia, piano di risposta, stato, data di revisione. Ogni colonna in più è un campo che nessuno aggiornerà.
Scrivere un rischio: causa, evento, effetto
«Ritardi del cliente» non è un rischio: è una preoccupazione. Un rischio si scrive in una frase con tre parti, causa → evento → effetto:
Il cliente deve preparare 120 schede prodotto (causa); se le consegna dopo l'inizio del collaudo (evento), il go-live slitta di due settimane (effetto).
Così si capisce cosa osservare (le consegne), quando preoccuparsi (prima del collaudo) e quanto pesa (due settimane).
- Dai a ogni rischio anche un titolo breve, per la lista: «Testi e foto dei prodotti in ritardo».
- Un rischio per riga. Se la frase ha due «se», sono due rischi.
- Un rischio non è un problema. Il problema è già successo: si gestisce con un task, oggi.
Probabilità e impatto, con una scala scritta
Ogni rischio si valuta con due numeri da 1 a 5. Prima di farlo, scrivi che cosa vuol dire ogni numero per il tuo progetto: se per te 4 è «più probabile che no» e per un collega è «quasi certo», i punteggi non si confrontano.
| Grado | Probabilità | Impatto sui tempi | Impatto sui costi |
|---|---|---|---|
| 1 | Rara: meno di 1 caso su 10 | meno di 1 settimana | meno dell'1 % |
| 2 | Improbabile: da 1 a 3 su 10 | 1–2 settimane | 1–5 % |
| 3 | Possibile: da 3 a 5 su 10 | 2–4 settimane | 5–10 % |
| 4 | Probabile: da 5 a 7 su 10 | 1–2 mesi | 10–20 % |
| 5 | Quasi certa: più di 7 su 10 | oltre 2 mesi | oltre il 20 % |
Le soglie sono un esempio: adattale al tipo di progetti che fai. Ma tienile uguali in tutti i progetti e non cambiarle a metà, altrimenti due registri non si sommano più.
Punteggio, livello e matrice
Il punteggio è probabilità × impatto, da 1 a 25. Il livello viene dal punteggio:
| Livello | Punteggio |
|---|---|
| Basso | da 1 a 4 |
| Medio | da 5 a 9 |
| Alto | da 10 a 14 |
| Critico | da 15 a 25 |
Due esempi. «Testi in ritardo»: probabilità 4, impatto 4, punteggio 16, critico. «Accessibilità scoperta a fine progetto»: probabilità 2, impatto 5, punteggio 10, alto: poco probabile, ma costerebbe cara.
La matrice 5 × 5 mette la probabilità sulle righe e l'impatto sulle colonne, e conta i rischi aperti in ogni cella: si guarda in alto a destra.
Un limite da conoscere: il prodotto pesa allo stesso modo probabilità e impatto. Un rischio raro ma devastante (1 × 5) vale 5, come uno quasi certo ma trascurabile (5 × 1). Per questo, accanto al livello, leggi sempre i due numeri.
La risposta: una strategia e un task
Per ogni rischio scegli una strategia:
- evitare: cambi il piano perché non possa succedere;
- mitigare: riduci la probabilità o l'impatto;
- trasferire: lo affidi a chi lo gestisce meglio, con un fornitore che garantisce un livello di servizio, un'assicurazione o una clausola del contratto;
- accettare: lo tieni d'occhio e prevedi un margine nel piano;
- scalare: non è nelle tue mani, e lo porti a chi può decidere.
Una strategia senza un task resta un'intenzione. Per i rischi alti e critici scrivi il piano di risposta e crea il task che lo mette in pratica, con chi lo fa e quando: «Calendario delle consegne dei contenuti, entro venerdì, Chiara».
Owner e revisioni
Ogni rischio ha un owner: la persona che lo segue, non quella che lo subirebbe. E una data di revisione: quando lo riguardi, anche solo per scrivere che non è cambiato niente.
Un ritmo che funziona: i critici ogni settimana, gli alti ogni due, medi e bassi una volta al mese.
Una revisione scaduta su un rischio aperto è il segnale più utile del registro: vuol dire che nessuno lo sta guardando.
Gli stati raccontano la vita del rischio: identificato, in mitigazione, in monitoraggio, poi chiuso, oppure occorso se è successo davvero. A quel punto è un problema, con i suoi task.
Cinque errori comuni
- Rischi scritti come categorie («tecnico», «cliente»): non si valutano e non hanno risposta.
- Una scala diversa per ogni capo commessa: i registri non si confrontano.
- Il registro aggiornato la sera prima dell'audit: le date di revisione sono tutte uguali, e tutte passate.
- Azioni decise in riunione che non diventano il task di nessuno.
- Cancellare i rischi chiusi: il registro di un progetto finito è la migliore lista di partenza per il prossimo.