Chi lavora ogni giorno con aziende, broker e clienti sa bene che il passaggio più delicato nella gestione del rischio arriva molto prima del sinistro, della crisi o della perdita. Arriva quando l’impresa deve decidere quanto rischio è davvero disposta a sopportare per raggiungere i propri obiettivi. È qui che entra in gioco il Risk Appetite Framework, cioè l’insieme di regole, soglie e indicatori che aiutano l’azienda a dare una forma concreta alla propria propensione al rischio.
Troppo spesso il RAF viene trattato come un adempimento formale, un documento da approvare e archiviare. In realtà è molto di più. È uno strumento di governo che collega la strategia al rischio, traduce il business model in limiti operativi e offre ai decision maker una base razionale per scegliere, investire, espandersi o fermarsi. Per il mondo del brokeraggio questo tema è tutt’altro che teorico, perché ogni programma assicurativo ben costruito nasce proprio dalla comprensione di quanta volatilità il cliente può sostenere, quanta ne vuole trattenere e quanta invece intende trasferire al mercato.
Le quattro parole chiave del RAF
Per costruire un Risk Appetite Framework serio bisogna partire da quattro concetti che vengono spesso confusi, ma che in realtà svolgono funzioni molto diverse.
La Risk Capacity è il limite massimo. È la quantità di rischio che l’azienda può sopportare senza compromettere la propria continuità, la propria solidità finanziaria o il rispetto di vincoli esterni, come covenant bancari, requisiti regolamentari o soglie minime di liquidità.
La Risk Appetite è invece una scelta manageriale. Indica il livello di rischio che l’impresa decide consapevolmente di assumere per perseguire i propri obiettivi strategici. In altre parole, non dice quanto rischio può sopportare, ma quanto rischio vuole correre.
La Risk Tolerance rappresenta il margine di oscillazione accettabile attorno a quella scelta. È la fascia entro cui l’azienda può muoversi senza dover cambiare immediatamente rotta, ma oltre la quale devono scattare attenzione, analisi e possibili interventi correttivi.
Il Risk Target, infine, è il punto operativo verso cui si tende nella gestione quotidiana. È l’obiettivo concreto, normalmente più prudente rispetto al limite massimo di tolleranza.
Se vogliamo semplificare, possiamo immaginare questa sequenza come una strada con quattro riferimenti precisi: il confine invalicabile, la velocità che si decide di tenere, il margine entro cui si può oscillare e la velocità ideale da mantenere nella guida di tutti i giorni. Senza questa distinzione, il RAF resta un esercizio teorico. Con questa distinzione, invece, diventa una vera grammatica del rischio.
Come si definiscono le Risk Metrics
Una volta chiariti i concetti, il problema diventa operativo: come si misura il rischio nelle diverse aree aziendali? Non esiste una sola risposta, perché i rischi non sono tutti uguali. Alcuni sono facilmente misurabili con dati storici, altri richiedono valutazioni più ibride, altri ancora possono essere letti solo attraverso giudizi strutturati.
Le metriche quantitative sono quelle più solide dal punto di vista tecnico. Si basano su dati storici, frequenze, severità, distribuzioni statistiche, indicatori economico-finanziari. Sono adatte, per esempio, al rischio di credito, al rischio operativo con buona base dati, ai danni property, ai fermi impianto, ai tassi di insolvenza, alla volatilità dei margini o alla concentrazione del portafoglio clienti.
Le metriche semi-quantitative sono utili quando il dato esiste ma non è sufficiente, oppure quando il rischio è troppo nuovo o troppo discontinuo per essere letto solo in chiave statistica. In questi casi si usano scale di punteggio, matrici probabilità-impatto, scenari di stress, scorecard che trasformano elementi diversi in un valore confrontabile.
Le metriche qualitative entrano in gioco quando il rischio non si lascia catturare facilmente da un numero. Pensiamo al rischio reputazionale, al rischio strategico, al rischio di governance o ad alcuni profili di rischio cyber e compliance. In questi casi si lavora con interviste, assessment, audit, giudizi esperti e scale descrittive.
Il punto non è scegliere una sola famiglia di metriche, ma costruire per ogni Risk Area la combinazione più adatta. Un buon RAF non pretende di misurare tutto allo stesso modo. Fa una cosa più intelligente: misura ogni rischio con lo strumento più coerente con la sua natura.
Dalle metriche ai criteri di valutazione
Le metriche servono a raccogliere informazioni. Ma il vero salto di qualità avviene quando queste informazioni vengono trasformate in criteri decisionali.
La Risk Capacity, come detto, fissa il limite estremo. In un’impresa industriale può coincidere con la perdita massima sostenibile senza violare i covenant. In un’impresa commerciale può essere collegata al livello minimo di marginalità o di cassa necessario a mantenere la continuità operativa. In ogni caso, è il punto oltre il quale il rischio smette di essere gestibile e diventa una minaccia per la sopravvivenza aziendale.
La Risk Tolerance definisce invece la fascia di attenzione. È il livello oltre il quale il management deve interrogarsi se il profilo di rischio si stia allontanando troppo da quanto pianificato.
Il Risk Target è l’obiettivo di gestione ordinaria. Serve a guidare le funzioni operative e a evitare che l’azienda lavori costantemente a ridosso delle soglie di allerta.
Questa impostazione è fondamentale perché consente di trasformare il rischio da concetto astratto a leva di governo. Se i criteri sono chiari, anche le decisioni diventano più coerenti: investimenti, retention assicurativa, limiti di delega, politiche commerciali, concentrazione dei fornitori, scelte di continuità operativa.
Il ruolo dei KRI nel monitoraggio del Risk Profile
Una volta fissate metriche e soglie, bisogna monitorare nel tempo l’evoluzione del profilo di rischio. Qui entrano in scena i Key Risk Indicators, cioè gli indicatori che permettono di capire se l’azienda si sta muovendo dentro il perimetro definito o se sta entrando in una zona di attenzione.
Un KRI efficace deve essere semplice da leggere, aggiornabile con regolarità e collegato a una decisione concreta. Se un indicatore supera una soglia ma non produce alcuna reazione, non è un vero KRI: è solo un dato.
Per questo molte organizzazioni adottano un sistema a semaforo. La fascia verde indica che il rischio è in linea con il target. La fascia gialla segnala l’ingresso nella zona di tolleranza e richiede analisi, escalation interna e possibili misure correttive. La fascia rossa segnala il superamento di una soglia critica e impone un intervento immediato.
Il valore dei KRI non sta solo nel fotografare il presente, ma soprattutto nel cogliere i segnali anticipatori. Un aumento dei tempi di consegna, una crescita dei reclami, una maggiore dipendenza da pochi fornitori, un peggioramento degli incassi o un aumento dei near miss operativi sono spesso campanelli d’allarme che precedono il danno vero e proprio. Per questo il RAF funziona solo se è dinamico. Non basta definire soglie corrette: bisogna anche aggiornarle quando cambia il contesto.
Case study 1: la media impresa industriale
Immaginiamo una media impresa manifatturiera con uno o più stabilimenti produttivi, una forte dipendenza dalla continuità degli impianti e una marginalità sensibile agli stop operativi. In un contesto simile, il RAF può diventare uno strumento molto concreto.
La Risk Capacity può essere definita come la perdita massima sostenibile senza compromettere la tenuta finanziaria dell’impresa o il rispetto degli impegni verso il sistema bancario. In pratica, l’azienda stabilisce il livello di perdita oltre il quale entrerebbe in una zona di stress non più compatibile con la continuità aziendale.
Su questa base il management definisce il Risk Appetite. Per esempio, può accettare una moderata esposizione ai rischi operativi ordinari, ma dichiarare una bassa propensione verso i rischi catastrofali sui siti produttivi o verso interruzioni prolungate della supply chain.
Il Risk Target può essere tradotto in una perdita operativa annua attesa entro una soglia compatibile con il budget e con la redditività attesa, mentre la Risk Tolerance individua il margine massimo oltre il quale devono scattare escalation e piani di rientro.
A questo punto entrano in gioco i KRI. Un primo indicatore quantitativo può riguardare la frequenza e la severità dei fermi macchina o dei sinistri property. Un secondo indicatore semi-quantitativo può valutare il rischio di interruzione della supply chain, combinando probabilità e impatto per i fornitori critici. Un terzo indicatore qualitativo può monitorare lo stato di manutenzione degli impianti, la qualità dei piani di business continuity e il livello di preparazione delle squadre interne.
Per un broker questo caso è molto istruttivo. Se il cliente ha già definito il proprio target di rischio e la propria fascia di tolleranza, il programma assicurativo può essere costruito in modo molto più preciso: limiti, franchigie, retention e coperture accessorie non saranno il frutto di una media di mercato, ma la risposta coerente al profilo di rischio reale dell’impresa.
Case study 2: un’impresa commerciale tra punti vendita, supply chain e canale online
Prendiamo ora una realtà commerciale con una rete di negozi fisici, un e-commerce in crescita e una forte dipendenza dalla puntualità delle forniture. Anche qui il RAF può fare la differenza, soprattutto perché il rischio non si concentra in un solo punto, ma si distribuisce tra margini, logistica, reputazione, dati dei clienti e continuità delle vendite.
La Risk Capacity può essere definita in relazione alla perdita massima che l’azienda può sopportare senza compromettere la liquidità o senza violare i covenant finanziari. In un’impresa commerciale questo limite è spesso molto legato alla tenuta del margine e alla capacità di assorbire shock sulle vendite.
Il Risk Appetite può essere differenziato per area. L’azienda può dichiarare una propensione elevata verso gli investimenti in innovazione digitale e sviluppo omnicanale, ma una propensione molto più bassa verso la concentrazione dei fornitori o verso interruzioni dei sistemi informatici che impattano il rapporto con il cliente finale.
Il Risk Target può essere espresso, per esempio, in termini di margine commerciale minimo atteso, livello di disponibilità dei prodotti, continuità del servizio e tempi di evasione degli ordini. La Risk Tolerance definisce quanto questi parametri possono peggiorare prima che il management debba intervenire.
Anche in questo caso i KRI diventano il cuore del monitoraggio. Un indicatore quantitativo può misurare la puntualità delle consegne dei fornitori strategici. Un indicatore semi-quantitativo può valutare la dipendenza da pochi fornitori concentrati nella stessa area geografica. Un indicatore qualitativo può riguardare la robustezza dei sistemi cyber che proteggono i dati dei clienti, i pagamenti e la continuità del canale e-commerce.
Il vantaggio pratico, per broker e risk manager, è evidente. Un’azienda commerciale che ha chiarito in anticipo quali oscillazioni di margine può accettare e quali no consente di disegnare coperture property, business interruption, cyber e supply chain molto più aderenti alla realtà. Anche qui il RAF evita due errori frequenti: sottoproteggere i rischi davvero critici o sovra-assicurare aree che l’impresa sarebbe perfettamente in grado di trattenere.
Perché il broker deve conoscere questa grammatica
Per il broker, conoscere il linguaggio di Capacity, Appetite, Tolerance e Target significa fare un salto di ruolo. Non significa più limitarsi a collocare una copertura, ma aiutare il cliente a capire quale parte del rischio trattenere, quale trasferire e con quale architettura.
Ogni scelta assicurativa, in fondo, è una scelta di RAF applicato. La franchigia esprime una quota di rischio trattenuta. Il massimale riflette un limite di protezione. Le esclusioni obbligano l’impresa a valutare se il rischio residuo è coerente con la propria tolleranza. Le coperture accessorie servono a proteggere aree che il management considera incompatibili con il proprio target di rischio.
Ed è proprio su questo punto che si vede, nella pratica, il valore di un approccio più maturo. Molte aziende, infatti, non fanno a monte queste valutazioni in modo strutturato e finiscono per acquistare polizze con franchigie molto basse o con livelli di retention più prudenti del necessario. In altri termini, trasferiscono al mercato assicurativo quote di rischio che, alla luce della loro reale capacità finanziaria e della loro tolleranza, potrebbero trattenere senza particolari criticità. Il risultato è spesso un programma assicurativo più costoso, meno efficiente e non sempre coerente con il vero profilo di rischio dell’impresa.
In un mercato sempre più guidato da dati, scenari e capacità di lettura del business, questa competenza distingue il broker che intermedia da quello che orienta. Ed è proprio qui che il Risk Appetite Framework smette di essere un tema da addetti ai lavori e diventa uno strumento concreto per costruire imprese più consapevoli, più resilienti e meglio assicurate.
