ISO 31000:2018 · PRINCE2
Gestione del rischio nella Pubblica Amministrazione con la ISO 31000
Ogni norma chiede di gestire il rischio, e ognuna ne parla con parole proprie. AuditManagement tiene un solo Registro Rischi con una sola metodologia, in cui confluiscono i rischi di sicurezza, privacy, IA, continuità, compliance e progetti — e misura quanto il modo di gestirli segue la ISO 31000.
- 175
- rischi ICT pronti in 18 domini
- 35
- raccomandazioni della norma
- 1
- registro e metodologia per tutto l'ente
- €0
- per le Pubbliche Amministrazioni
Perché la ISO 31000 riguarda ogni Comune
L'ANAC, nell'Allegato 1 al PNA 2019, ha assunto la UNI ISO 31000 come riferimento metodologico per il rischio corruttivo, che confluisce nel PIAO. Usare un metro per il rischio corruttivo e un altro per quello informatico vuol dire avere due scale sullo stesso ente, che non si possono confrontare.
Criteri prima, valutazioni dopo
Probabilità, impatto, matrice e soglia di accettazione si fissano prima di valutare. Senza criteri, duecento rischi ben descritti non sono confrontabili. L'applicazione chiede la metodologia dell'ente e ricalcola i livelli quando cambia.
Il rischio può essere anche un'opportunità
La norma definisce il rischio come effetto dell'incertezza sugli obiettivi, positivo o negativo. Il registro distingue minacce e opportunità, con strategie proprie, e non somma mai le due nell'esposizione.
Il rischio nei progetti
I progetti — un nuovo gestionale, una migrazione in cloud, un servizio PNRR — hanno rischi propri, gestiti con il metodo PRINCE2: tolleranze, escalation al comitato di progetto, rischio che si materializza e diventa una questione. Ciò che sopravvive al progetto passa nel registro dell'ente.
Come lo gestisce AuditManagement
Nel menu dell'applicazione le sezioni dedicate hanno 21 funzioni. Ecco che cosa fa ciascuna, con le stesse voci che si trovano nell'app.
Matrice RACI
- Matrice RACIChi è Responsabile, chi Approva, chi è Consultato e chi Informato, controllo per controllo e area per area.
ISO 31000:2018Impianto e criteri
- Cruscotto dei RischicruscottoEsposizione dell'ente: rischi aperti, livelli, trattamenti e riesami scaduti
- Principi & StrutturaPrincipi (cl. 4) e struttura di riferimento (cl. 5)
- Contesto e CriteriContesto, parti interessate e criteri (6.3)
- Playbook dei Rischi ICTCatalogo dei rischi ICT della PA da cui partire (6.4.2)
ISO 31000:2018Ciclo del rischio
- Registro & ValutazioneIdentificazione, analisi e ponderazione (6.4)
- Piano di TrattamentoOpzioni e azioni di trattamento (6.5)
- Monitoraggio e RiesameRiesami periodici, KRI ed efficacia (6.6)
- Comunicazione e ConsultazioneScambi con le parti interessate (6.2)
- Applicazioni del ProcessoIl processo applicato a perimetri concreti (cl. 6)
ISO 31000:2018La norma
- Cruscotto ISO 31000cruscottoMaturità del sistema di gestione del rischio, divari e incoerenze fra dichiarato e registri
- Gap Analysis RaccomandazioniLe 35 raccomandazioni verificabili: 8 principi, 12 dalla struttura, 15 dal processo
- Struttura e AllegatiLessico, tecniche della IEC 31010, declinazioni per dominio e le insidie della norma
- CorrispondenzeDove la stessa raccomandazione è già richiesta: altri framework, GDPR, AI Act, legge 132/2025 e PNA
PRINCE2 7ª ed.Gestione dei Progetti (PRINCE2)
- Cruscotto ProgetticruscottoEsposizione, escalation dovute e aderenza al metodo
- ProgettiBusiness case, tolleranze, organizzazione e fasi di gestione
- Approccio al RischioRisk Management Approach del progetto, approvato dal Project Board
- Registro dei RischiCausa/Evento/Effetto, stima, prossimità, risposte e procedura in 5 passi
- Questioni & EccezioniRegistro delle Questioni e Rapporti di Eccezione al Project Board
- Profilo di RischioSintesi del rischio: griglia P×I, esposizione, budget e prossimità
- Il Metodo PRINCE2Principi, pratiche, processi, prodotti di gestione e da non sbagliare
Tutte le funzioni sono incluse e gratuite per le Pubbliche Amministrazioni. Vedi l'elenco completo delle funzionalità.
Domande frequenti
La ISO 31000 è certificabile?
No: è una linea guida, e lo dichiara la norma stessa. Si adotta, e AuditManagement ne misura l'adozione invece della conformità.
Esiste un catalogo di rischi da cui partire?
Sì: il Playbook dei rischi ICT dell'applicazione propone rischi tipici di un ente pubblico, da istanziare e adattare.