Risk Management: standard, obblighi e certificazioni per gestire il rischio
ISO 31000, ISO/IEC 27005, DORA e NIS2: un metodo solo, applicato a rischi diversi
Quasi tutti gli standard di gestione chiedono «un approccio basato sul rischio», e quasi nessuno spiega come si fa. Il risultato è che ogni norma sembra chiedere un esercizio diverso: la sicurezza delle informazioni, la continuità operativa, il rischio ICT del settore finanziario, il rischio di progetto. In realtà il metodo sotto è uno solo — identificare, analizzare, valutare, trattare, monitorare — e cambia il perimetro a cui si applica. In questa pagina trovi la mappa completa: quale riferimento serve a quale rischio, che cosa è obbligatorio e che cosa no, e da dove conviene partire.
✅ La distinzione da tenere a mente: la ISO 31000 è una linea guida, non uno standard certificabile per l'organizzazione: descrive principi, struttura e processo, e la certificazione riguarda le persone. Gli standard certificabili — ISO/IEC 27001 per la sicurezza delle informazioni, ISO 22301 per la continuità — chiedono una gestione del rischio ma non ne prescrivono il metodo: è lì che la 31000 entra in gioco.
🎓 Formazione accreditata sulla gestione del rischio — corsi in italiano con esame ufficiale incluso, in aula virtuale o presso la tua sede.
📌 Navigazione rapida
Il processo di gestione del rischio, in cinque passi
Qualunque sia il perimetro, la sequenza non cambia. È questa la parte che si impara una volta sola e si riusa ovunque.
◆ 1. Stabilire il contesto
Che cosa stiamo proteggendo, entro quali confini, con quale propensione al rischio e secondo quali criteri di accettabilità.
◆ 2. Identificare
Che cosa può andare storto, dove e per causa di chi. È il passo in cui si sbaglia di più, perché si guarda solo a ciò che è già successo.
◆ 3. Analizzare e valutare
Quanto è probabile, quanto costerebbe, e se il livello risultante rientra o no nei criteri stabiliti al primo passo.
◆ 4. Trattare
Evitare, ridurre, trasferire o accettare. L'accettazione consapevole è una decisione legittima, purché sia scritta e presa da chi ne ha l'autorità.
◆ 5. Monitorare e riesaminare
Il rischio cambia da solo: cambiano fornitori, tecnologie e minacce. Un registro dei rischi non riesaminato è un documento, non un presidio.
◆ Trasversale: comunicare
Consultazione e comunicazione accompagnano tutte le fasi: chi decide deve sapere che cosa sta accettando.
💡 L'errore più comune: costruire il registro dei rischi come adempimento e non come strumento di decisione. Un registro utile ha un proprietario per ogni rischio, una data di riesame e una decisione tracciabile su ciascun trattamento; un registro inutile ha molte righe e nessuna firma.
Tabella di confronto: quale riferimento per quale rischio
| ISO 31000 | ISO/IEC 27005 | ISO 22301 | DORA e NIS2 | |
|---|---|---|---|---|
| Natura | Linea guida internazionale, non certificabile per l'organizzazione | Guida della famiglia ISO/IEC 27000 | Standard certificabile per l'organizzazione | Norme europee vincolanti |
| Perimetro del rischio | Qualunque tipo di rischio, non solo informatico | Sicurezza delle informazioni | Interruzione delle attività critiche | Rischio ICT nel settore finanziario (DORA); servizi essenziali e importanti (NIS2) |
| Che cosa dà | Principi, struttura organizzativa e processo: il metodo | Come applicare quel metodo agli asset informativi | I requisiti di un sistema di gestione della continuità | Gli obblighi: misure, notifiche, responsabilità degli organi direttivi |
| È obbligatorio? | No, volontario | No, volontario | No, ma spesso richiesto per contratto | Sì, se rientri nell'ambito |
| Approfondimento | ISO 31000 | ISO/IEC 27005 | Business continuity | La mappa cybersecurity |
ISO 31000: il metodo comune
ISO 31000 è la linea guida internazionale sulla gestione del rischio: principi, struttura organizzativa e processo, applicabili a qualunque tipo di rischio e non solo a quello informatico. La sua utilità pratica è proprio questa trasversalità: quasi tutti gli standard di gestione chiedono un approccio al rischio senza descriverlo nel dettaglio, e la 31000 fornisce il metodo che sta sotto a tutti.
La conseguenza operativa è che conviene impararla una volta e riusarla: chi la conosce affronta la valutazione del rischio richiesta dalla ISO/IEC 27001, quella richiesta dalla ISO 22301 e quella richiesta dall'articolo 21 della NIS2 con lo stesso impianto, cambiando solo l'oggetto e i criteri. La trattazione estesa è in ISO 31000.
📚 Dove si incrocia: ISO/IEC 27001 per la sicurezza delle informazioni · ISO/IEC 27005 per il rischio sugli asset informativi · ISO 22301 per la continuità operativa · IT governance e COBIT per il presidio di vertice.
Quando la gestione del rischio è un obbligo di legge
Fino a pochi anni fa il risk management era una buona pratica. Oggi, per una parte crescente di organizzazioni, è un obbligo con sanzioni: le norme europee non chiedono un documento, chiedono misure adeguate e proporzionate al rischio, dimostrabili a un'autorità.
| Norma | Che cosa chiede sul rischio |
|---|---|
| NIS2 Direttiva (UE) 2022/2555 D.lgs. 138/2024 |
L'articolo 21 elenca le misure di gestione del rischio che i soggetti essenziali e importanti devono adottare, con la responsabilità esplicita degli organi direttivi. La sicurezza della catena di fornitura è parte dell'obbligo. |
| DORA Regolamento (UE) 2022/2554 dal 17 gennaio 2025 |
Impone alle entità finanziarie un quadro di gestione del rischio ICT, con test di resilienza e presidio dei fornitori critici. La formazione dedicata è nei corsi DORA. |
| GDPR Regolamento (UE) 2016/679 |
Chiede misure di sicurezza adeguate al rischio per i diritti e le libertà delle persone, senza elencarle: la valutazione del rischio è il modo con cui si dimostra l'adeguatezza. |
Da dove iniziare, a seconda di dove sei
| La tua situazione | Il primo passo sensato |
|---|---|
| Devo imparare il metodo, una volta per tutte | Parti da ISO 31000 e dal corso ISO 31000 Foundation, 14 ore: termini, principi, framework e fasi del processo. |
| Il mio tema è la sicurezza delle informazioni | La valutazione del rischio è il cuore della ISO/IEC 27001; la guida specifica è la ISO/IEC 27005, e i corsi sono i percorsi ISO 27001. |
| Rientro nell'ambito della NIS2 | L'obbligo concreto è l'articolo 21: leggilo prima di tutto, poi guarda i corsi NIS. Il quadro d'insieme è nella mappa cybersecurity. |
| Lavoro in banca, assicurazione o in un fornitore ICT del settore | Il riferimento è DORA: la formazione dedicata sono i corsi sulla resilienza operativa digitale. |
| Il rischio che temo è il fermo delle attività | Non è risk management generico ma continuità operativa: ISO 22301 e il corso ISO 22301 Foundation, 14 ore. |
| Devo verificare, non implementare | I percorsi da auditor sono ISO 22301 Lead Auditor (35 ore) e, sul fronte sicurezza, i livelli Auditor e Lead Auditor della 27001. La differenza fra i due ruoli è spiegata in Lead Auditor o Lead Implementer. |
| Il mio problema è il rischio di progetto | È un'altra disciplina, con i suoi strumenti: il metodo più diffuso è PRINCE2, e il quadro è nella guida a PRINCE2 7. |
Formazione e certificazioni
I corsi BITIL.COM su questi temi sono accreditati, con docenza in italiano o in inglese ed esame ufficiale incluso:
| Percorso | A chi serve |
|---|---|
| ISO 31000 Foundation 14 ore · esame 60 min |
Chi deve imparare il metodo di gestione del rischio e riusarlo su più perimetri. |
| ISO 27001 Foundation, Auditor e Lead Auditor | Chi costruisce, mantiene o verifica un sistema di gestione della sicurezza delle informazioni. |
| ISO 22301 Foundation e Lead Auditor 14 ore · esame 70 min — 35 ore · esame 180 min |
Chi si occupa di continuità operativa e di audit sul sistema di gestione. |
| NIS Foundation e NIS Officer | Chi deve capire gli obblighi della direttiva e chi è designato a presidiarli in azienda. |
| DORA Foundation | Entità finanziarie e loro fornitori ICT. |
| COBIT | Chi presidia la governance dell'IT e deve collegare il rischio agli obiettivi aziendali. |
Domande frequenti
Ci si può certificare ISO 31000?
L'organizzazione no: la ISO 31000 è una linea guida, non uno standard di requisiti, e non esiste una certificazione aziendale. Le persone sì: la certificazione attesta la conoscenza di principi, framework e processo di gestione del rischio.
Che differenza c'è fra ISO 31000 e ISO/IEC 27005?
ISO 31000 dà il metodo generale, applicabile a qualunque rischio. ISO/IEC 27005 lo cala sulla sicurezza delle informazioni: come identificare e trattare i rischi che riguardano gli asset informativi, in coerenza con il sistema di gestione della ISO/IEC 27001.
Se sono certificato ISO 27001 ho già fatto risk management?
In buona parte sì, ma sul perimetro della sicurezza delle informazioni. Restano fuori i rischi di altra natura — operativi, di progetto, di continuità, di fornitura — che vanno trattati con lo stesso metodo ma con un altro ambito e altri criteri.
La NIS2 mi obbliga a fare una valutazione del rischio?
Chi rientra nell'ambito deve adottare misure di gestione del rischio adeguate e proporzionate, elencate all'articolo 21, e deve poterle dimostrare. Il modo per farlo in forma verificabile è un processo strutturato di gestione del rischio, che è esattamente ciò che descrive la ISO 31000.
Risk management e business continuity sono la stessa cosa?
No. La gestione del rischio decide che cosa fare prima, perché l'evento non accada o faccia meno danno; la continuità operativa si occupa di che cosa succede dopo, quando l'attività si è comunque fermata. Sono complementari, e la ISO 22301 dà alla seconda un sistema di gestione certificabile.
Da quale corso conviene partire?
Se il tuo obiettivo è il metodo, ISO 31000 Foundation: 14 ore, e vale su tutti i perimetri. Se invece hai già un obiettivo preciso — la certificazione della sicurezza, la continuità, la conformità NIS2 o DORA — conviene partire dal percorso specifico, che il metodo lo contiene già.
Chi deve occuparsi del rischio in azienda?
Le norme europee più recenti hanno spostato la responsabilità verso l'alto: la NIS2 coinvolge esplicitamente gli organi direttivi. In pratica serve un proprietario per ciascun rischio, a livello operativo, e un livello di vertice che approvi i criteri di accettabilità e riesamini i rischi residui.
Formazione accreditata su ISO 31000, ISO 27001 e ISO 22301
Corsi in italiano con esame ufficiale incluso, in aula virtuale o presso la tua sede. Guarda i corsi ISO 31000, i percorsi ISO 27001 e il calendario delle prossime edizioni.
⚠️ Nota sui riferimenti normativi
Questa pagina ha finalità informative e divulgative e non costituisce consulenza legale. I riferimenti citati sono la Direttiva (UE) 2022/2555 (NIS2) con il D.lgs. 138/2024 di recepimento, il Regolamento (UE) 2022/2554 (DORA), il Regolamento (UE) 2016/679 (GDPR) e le norme ISO 31000, ISO/IEC 27001, ISO/IEC 27005 e ISO 22301. Per l'applicazione al caso concreto fa sempre fede il testo ufficiale in vigore. BITIL.COM è un'organizzazione di formazione accreditata: verifica i nostri accreditamenti.
Keywords: risk management, gestione del rischio, ISO 31000, ISO/IEC 27005, valutazione del rischio, risk assessment, registro dei rischi, trattamento del rischio, rischio residuo, propensione al rischio, ISO 22301, business continuity, NIS2 articolo 21, DORA rischio ICT, GDPR, ISO 27001, corsi risk management, certificazione ISO 31000
