Un rischio scritto nel register non è un rischio gestito

C’è un rito che si ripete su quasi tutti i progetti: a inizio commessa si compila il risk register, si colora la heat map, si archivia tutto — e non se ne parla più. “Questo è un rischio”, scritto in tabella e lasciato lì. Come se nominare un problema equivalesse a gestirlo.

Degli strumenti per identificare e prioritizzare i rischi — register, heat map, Monte Carlo, Delphi — ho già scritto in Risk management in costruzione: strumenti pratici per chi decide. Questo articolo parte da dove quello finiva: cosa si fa dopo averli identificati. Perché ogni rischio deve avere una strategia, un responsabile e una data — altrimenti il register è solo un elenco di preoccupazioni ben formattate.

Le strategie di risposta: ogni rischio deve averne una

Il PMI le codifica con chiarezza, e vale la pena conoscerle tutte perché la scelta non è mai automatica.

Evitare significa cambiare il piano per eliminare il rischio alla radice: se il metodo costruttivo previsto è troppo incerto, si cambia approccio. Ridurre è la strategia più usata: azioni concrete per abbassare la probabilità che l’evento accada o il suo impatto se accade — più controlli di qualità, logistica rafforzata, sequenze riviste. Trasferire sposta il rischio su altri soggetti: assicurazioni, subappalti, contratti EPC. Attenzione però: trasferire non è eliminare. Il rischio cambia proprietario, ma l’onere di monitorarlo resta tuo — e se il soggetto a cui l’hai trasferito non regge, il problema torna indietro. Accettare è legittimo quando l’impatto è minimo o il costo per evitarlo sarebbe sproporzionato: in forma attiva (preparo comunque una risposta) o passiva (convivo con l’incertezza). E poi c’è la contingency: margine economico o temporale che si attiva solo se il rischio si materializza — l’ultima linea di difesa, non la prima.

Nella pratica le strategie si combinano: mitighi con azioni concrete, trasferisci parzialmente con un’assicurazione, e tieni comunque una contingency. Quello che non è ammesso è la sesta strategia — quella non scritta ma diffusissima: registrare il rischio e non decidere niente.

Il rischio non vive in un silo

L’errore strutturale più comune è tenere il risk register separato dal resto del progetto, come documento a sé. Ma un rischio ha sempre effetti su almeno uno di tre fronti: il programma lavori (un’attività a rischio che slitta può toccare il percorso critico), il budget (costi imprevisti, contingency da dimensionare), i contratti (chi è responsabile di quel rischio, e come è allocato).

Un esempio: identifichi un rischio sulla fornitura dell’acciaio. Il lavoro vero comincia lì — valuti l’impatto su tempi e costi, ma verifichi anche se è coperto contrattualmente e se serve una clausola specifica nel subappalto. È lo stesso principio delle condizioni back-to-back di cui ho scritto parlando di contratti di subappalto: un rischio identificato ma non allocato contrattualmente è un rischio che, al momento buono, sarà tuo. Per questo il risk manager lavora fianco a fianco con planner, cost controller e contract manager — non in un ufficio a parte.

I quattro errori che svuotano il risk management

Primo: il register come checklist iniziale. Compilato al kick-off, mai più aggiornato. Il risk management è un processo continuo: il register va discusso nei meeting, collegato al cronoprogramma e al budget, tenuto vivo per tutto il progetto.

Secondo: solo rischi tecnici. Chi lavora nelle costruzioni è quasi sempre di estrazione tecnica, e tende a vedere solo rischi tecnici. Ma i danni peggiori arrivano spesso da altrove: rischi organizzativi, commerciali, normativi, contrattuali. In un caso studio su un progetto ferroviario, il rischio che ha fatto più male non è stata la geologia: è stato il cambio delle norme antincendio durante la progettazione. Nessuno l’aveva previsto — risultato: sei mesi di ritardo e riprogettazione completa.

Terzo: nessun risk owner. Se un rischio non ha un responsabile con nome e cognome, nessuno lo monitora e nessuno agisce. Vale per i rischi come per il budget e il programma: le responsabilità non assegnate non esistono.

Quarto: il bias ottimistico. Tendiamo a sottovalutare i problemi e a sovrastimare la nostra capacità di risposta. “Vabbè, se accadrà ci penserò” — soprattutto noi italiani ci sentiamo sempre pronti a improvvisare. Ma quella non è una strategia di risposta: è la rinuncia ad averne una.

Far emergere i rischi che nessuno scrive

Un’ultima cosa, sul fronte dell’identificazione — perché le risposte migliori non servono a nulla se i rischi veri non emergono. I rischi più pericolosi sono quelli latenti: quelli che ognuno, nel proprio ambito, percepisce ma non mette per iscritto.

Per tirarli fuori servono workshop strutturati con un facilitatore — non riunioni qualunque. Il facilitatore serve a evitare il pensiero di gruppo, l’effetto per cui tutti si accodano all’opinione dominante e nessuno vuole disturbare portando problemi. Un buon facilitatore fa le domande giuste, spinge sugli scenari “what if” e documenta tutto in tempo reale. Nei megaprogetti si arriva a strumenti come l’IPRA (Integrated Project Risk Assessment), che costruisce una mappa multidisciplinare del rischio complessivo — tecnico, organizzativo, contrattuale, finanziario, ambientale — con tutte le funzioni chiave sedute allo stesso tavolo.

Il principio di fondo è sempre lo stesso: un buon risk manager è quello che si fa le domande scomode prima — prima che i rischi potenziali diventino problemi reali.

Apri il risk register del tuo progetto e conta: quanti rischi hanno una strategia decisa e un owner con nome e cognome — e quante sono solo righe compilate per dovere?

Tratto dal podcast Costruzioni Competenze — anche su YouTube.