In sintesi. I rischi che minacciano la continuità di una PMI italiana sono in costante aumento: cyber, normativi, di filiera, finanziari, geopolitici, reputazionali. Non si gestiscono per intuizione: serve un sistema strutturato di risk management che mappi i rischi, ne quantifichi l’impatto, definisca strategie di mitigazione e protezione. Questa guida copre i quattro pilastri della gestione del rischio — risk management strategico, compliance normativa, assicurazioni aziendali, rischi operativi e supply chain — con framework operativi adatti a imprese da 10 a 250 dipendenti.
Perché la gestione dei rischi non è più rinviabile
La maggior parte delle PMI italiane gestisce i rischi informalmente: nella testa dell’imprenditore, attraverso decisioni puntuali, con polizze assicurative spesso firmate “a sentimento”. Funziona finché i rischi sono pochi e prevedibili. Smette di funzionare quando: aumentano le minacce cyber, le filiere si globalizzano e si fanno fragili, le normative si moltiplicano (NIS2, GDPR, 231, antiriciclaggio, codice della crisi), il contesto geopolitico genera shock improvvisi.
Le PMI che hanno strutturato la gestione dei rischi mostrano nelle ricerche pattern comuni: minore frequenza di crisi gravi, capacità di reagire più velocemente agli eventi avversi, condizioni assicurative migliori, rapporti più solidi con banche e clienti corporate. Il Codice della Crisi d’Impresa ha reso esplicito un obbligo che molti consideravano facoltativo: dotarsi di assetti organizzativi adeguati alla rilevazione tempestiva della crisi.
Questa pillar fa parte del cluster Gestione Rischi di Imprendo24.
Le tipologie di rischio per una PMI italiana
I rischi che impattano su una PMI si classificano in categorie macro interconnesse.
Rischi strategici
Riguardano le scelte di fondo dell’impresa: cambiamento dei modelli di business, perdita di vantaggio competitivo, ingresso di nuovi entranti, obsolescenza tecnologica, decisioni strategiche errate. Sono i rischi più rilevanti per il valore d’impresa di lungo termine.
Rischi finanziari
Tensione di liquidità, restrizione credito bancario, rischio tasso, rischio cambio (per chi esporta), insolvenze clienti, gestione patrimoniale impropria. Su questi temi rimando al sub-pillar Pianificazione finanziaria e tesoreria del cluster Finanza PMI.
Rischi operativi
Interruzione attività produttiva, incidenti sul lavoro, errori umani, malfunzionamento impianti, perdita di personale chiave, problemi qualità.
Rischi di filiera
Insolvenza o sparizione di fornitori critici, ritardi nelle consegne, qualità non conforme, dipendenza da pochi fornitori (single sourcing).
Rischi cyber e tecnologici
Attacchi ransomware, phishing, data breach, downtime sistemi, perdita dati, dipendenza da fornitori cloud.
Rischi di compliance
Sanzioni per inadempimenti normativi (fiscali, GDPR, 231, NIS2, antiriciclaggio), responsabilità civile, penale, amministrativa degli amministratori.
Rischi reputazionali
Crisi mediatica, comportamenti scorretti diffusi sui social, whistleblowing pubblico, controversie con clienti o dipendenti.
Rischi geopolitici e di mercato
Cambiamenti normativi imprevisti, dazi, sanzioni internazionali, guerre, pandemia, recessione economica, shock energetici.
Rischi climatici
Eventi meteo estremi (alluvioni, siccità), trasformazioni di lungo periodo (riduzione disponibilità acqua, materie prime), normativa climate-related (carbon pricing, requisiti ESG).
I quattro pilastri della gestione del rischio
La gestione strutturata dei rischi in una PMI si articola su quattro pilastri interdipendenti.
1. Risk management strategico
È il framework complessivo: mappare i rischi rilevanti, quantificarne l’impatto, definire le strategie di gestione, costruire piani di contingenza. Approfondito nel sub-pillar Risk management strategico per PMI.
2. Compliance normativa
La gestione del rischio di non-conformità a normative settoriali e trasversali (231, GDPR, NIS2, fiscale, antiriciclaggio). Approfondito nel sub-pillar Compliance normativa per PMI.
3. Assicurazioni aziendali
Le coperture assicurative che trasferiscono rischi residui non gestibili internamente: RC, property, cyber, D&O, credito, key man. Approfondito nel sub-pillar Assicurazioni aziendali per PMI.
4. Rischi operativi e supply chain
La gestione dei rischi che impattano sull’operatività quotidiana: fornitori, continuità operativa, business continuity, disaster recovery. Approfondito nel sub-pillar Rischi operativi e supply chain per PMI.
Il framework di enterprise risk management
Il framework di Enterprise Risk Management (ERM) è lo standard internazionale per la gestione integrata dei rischi. La versione più diffusa è il COSO ERM Framework (2017), articolato in 5 componenti e 20 principi.
Per una PMI italiana l’applicazione del framework si semplifica in 6 passi operativi:
- Identificazione dei rischi: lista esaustiva dei rischi potenziali (interni ed esterni)
- Valutazione: per ciascun rischio, stima di probabilità e impatto
- Mappatura: rappresentazione grafica (mappa rischi) con priorità
- Strategie di risposta: per ciascun rischio rilevante, definire la strategia (accettare, mitigare, trasferire, evitare)
- Implementazione: realizzare le azioni di mitigazione decise
- Monitoraggio e revisione: aggiornamento periodico della mappa rischi
La mappa dei rischi
Strumento centrale del risk management, la mappa rischi rappresenta su due assi (probabilità × impatto) i rischi identificati, classificandoli in quattro quadranti:
| Probabilità\Impatto | Basso | Alto |
|---|---|---|
| Bassa | Accettare/monitorare | Trasferire (assicurazione) |
| Alta | Mitigare | Eliminare/evitare se possibile |
I rischi nel quadrante alta probabilità + alto impatto sono critici: vanno mitigati con priorità assoluta o, se possibile, evitati alla radice. I rischi alta probabilità + basso impatto possono essere mitigati o accettati con monitoraggio. I rischi bassa probabilità + alto impatto (i “cigni neri”) sono tipicamente trasferiti tramite assicurazioni o coperti con piani di contingenza.
I “cigni neri” e la pianificazione di contingenza
I cigni neri (Nassim Taleb) sono eventi a bassa probabilità ma alto impatto che, quando si materializzano, possono compromettere la continuità dell’impresa. Pandemia, cyber attack devastante, perdita simultanea di più clienti chiave, scoppio di guerra in un mercato chiave: tutti scenari “improbabili” che si sono materializzati negli ultimi anni.
La pianificazione di contingenza consiste nel preparare in anticipo risposte a scenari estremi:
- Business Continuity Plan (BCP): come continuare a operare in caso di disruption rilevante
- Disaster Recovery Plan (DRP): come ripristinare sistemi IT critici dopo un attacco o un evento catastrofico
- Crisis Management Plan: come gestire la comunicazione e le decisioni in fase di crisi
- Stress test finanziari: simulazione di scenari avversi sulla tesoreria
Su questo tema abbiamo dedicato l’articolo Stress test finanziari per PMI: simulare scenari di liquidità.
Le strategie di trattamento del rischio
Per ciascun rischio identificato esistono 4 strategie alternative:
1. Evitare
Eliminare l’attività che genera il rischio. Es. non entrare in un mercato troppo regolamentato, non firmare contratti con condizioni inaccettabili.
2. Mitigare
Ridurre probabilità e/o impatto del rischio. Es. backup giornalieri per ridurre l’impatto di un cyber attack; diversificare i fornitori per ridurre il rischio single sourcing.
3. Trasferire
Trasferire il rischio a terzi tramite contratti o assicurazioni. Es. polizza cyber, polizza D&O, polizza credito.
4. Accettare
Tollerare il rischio senza azioni specifiche, monitorandolo. Adatto a rischi a basso impatto e bassa probabilità.
La strategia ottimale dipende dal rapporto costo/beneficio delle azioni di mitigazione e dalla propensione al rischio dell’impresa.
La governance del rischio nelle PMI
La governance del rischio si articola diversamente per dimensione.
Per micro-imprese (sotto 20 dipendenti)
Il rischio è gestito direttamente dall’imprenditore. Buona pratica: dedicare 1 riunione strategica trimestrale specificamente ai rischi.
Per piccole-medie imprese (20-100 dipendenti)
Un responsabile rischi (spesso il CFO o l’amministratore di gestione) coordina le attività. Riunioni di risk management trimestrali nel comitato direzione.
Per medie-grandi imprese (100-250 dipendenti)
Comitato rischi dedicato; eventuale Chief Risk Officer (per imprese più strutturate); commissione del CdA su rischi e controllo interno.
Per gruppi e holding
Strutture più articolate con risk management funzionale (operations, finance, IT, legal) coordinate centralmente.
Il Codice della Crisi d’Impresa e gli “adeguati assetti”
Il D.Lgs. 14/2019 e successive modifiche hanno introdotto un obbligo specifico per amministratori e organi di controllo: dotarsi di “assetti organizzativi, amministrativi e contabili adeguati” alla natura e dimensione dell’impresa, idonei alla rilevazione tempestiva della crisi e della perdita di continuità aziendale.
Per una PMI questo si traduce concretamente in:
- Sistema di controllo interno documentato
- Piano di tesoreria prospettico a 6-12 mesi
- Monitoraggio degli indicatori di tensione finanziaria
- Procedure di allerta interna in caso di superamento di soglie critiche
- Coinvolgimento di organi di controllo (collegio sindacale, revisore)
La mancata adozione di assetti adeguati espone gli amministratori a responsabilità personale in caso di crisi/insolvenza dell’impresa.
L’evoluzione dei rischi cyber
Il rischio cyber è oggi forse il più critico per le PMI italiane. Le statistiche mostrano un aumento costante di attacchi ransomware, phishing, business email compromise mirati su PMI (più vulnerabili rispetto alle grandi corporate, ma con valore comunque interessante per gli attaccanti).
La normativa europea NIS2 (recepita in Italia con D.Lgs. 138/2024) amplia significativamente la platea di imprese obbligate a presidiare specifici requisiti di cybersecurity. Anche imprese sotto soglia NIS2 subiscono pressioni “a cascata” dai clienti corporate che richiedono standard di sicurezza coerenti.
Su questo tema abbiamo dedicato l’articolo Direttiva NIS2: impatti sulle PMI italiane.
Le assicurazioni essenziali per una PMI italiana
Le coperture assicurative trasferiscono rischi residui non gestibili internamente. Polizze essenziali per PMI:
- RC verso terzi e prodotti: copertura danni a terzi causati dall’attività o dai prodotti
- Property/Incendio: copertura beni strumentali, immobili, magazzino
- Furto e rapina
- Polizza credito: copertura insolvenza clienti commerciali (approfondimento dedicato)
- Polizza cyber: copertura per data breach, ransomware, business interruption cyber
- Polizza D&O (Directors & Officers): copertura per la responsabilità personale di amministratori e manager (approfondimento dedicato)
- Polizza key man: copertura in caso di indisponibilità di persone chiave
- RC professionale (per studi e professionisti)
- Polizze trasporti (per chi spedisce merce)
Errori frequenti nella gestione dei rischi
- Approccio reattivo: si gestisce solo il rischio che si è già materializzato
- Mancanza di mappa rischi: nessuno ha la visione complessiva
- Polizze assicurative sotto-dimensionate o sopra-dimensionate rispetto al profilo di rischio
- Mancanza di piani di contingenza: si scopre di non averli quando arriva la crisi
- Sopravvalutare il rischio di eventi visibili e sottovalutare i rischi sistemici
- Confondere assicurazione con gestione del rischio: la polizza è solo una delle 4 strategie
- Single sourcing senza alternative: un fornitore unico critico è un rischio strategico
- Sottovalutare i rischi cyber: “siamo troppo piccoli per essere attaccati”
- Mancata formazione del personale sui rischi (specialmente cyber)
- Codice della crisi ignorato: assetti organizzativi inadeguati con responsabilità personali
Domande frequenti su gestione rischi PMI
Già da micro-imprese (sotto 20 dipendenti) conviene avere una mappa rischi minima aggiornata annualmente. Sopra i 20-50 dipendenti, struttura più formale con responsabilità chiare. Sopra i 100, comitato rischi dedicato.
Costo indicativo per una piccola-media impresa: 0,5-2% del fatturato per le coperture base. Costo molto variabile per settore: industria pesante e healthcare sopra la media; servizi e consulenza sotto la media.
Gli amministratori che non adottano adeguati assetti rischiano responsabilità personali in caso di crisi: azioni di risarcimento dei creditori, sanzioni amministrative, eventuali responsabilità penali per bancarotta. Anche il collegio sindacale può essere chiamato a rispondere.
I report annuali di sicurezza informatica indicano che oltre il 40% delle PMI italiane ha subito almeno un attacco cyber rilevante negli ultimi 2 anni. Le tipologie più diffuse: phishing (>60%), ransomware (>20%), business email compromise.
Per PMI piccole sì, ma è raccomandato confrontarsi con un broker assicurativo qualificato per la parte coperture, e con un commercialista o consulente per gli aspetti finanziari e di compliance. Per imprese più strutturate serve almeno un risk manager part-time (interno o frazionale).
Per una PMI di 50-150 dipendenti, la prima mappa rischi richiede 2-4 settimane di lavoro distribuito tra management team e eventuale advisor esterno. Aggiornamenti annuali successivi richiedono significativamente meno.
Fonti istituzionali e risorse utili
- COSO ERM Framework — standard internazionale risk management
- ISO 31000 — Risk Management
- ANRA — Associazione Nazionale Risk Manager — community italiana
- ACN — Agenzia Cybersicurezza Nazionale — NIS2, sicurezza cyber
- Banca d’Italia — indicatori tensione finanziaria
- Centro Studi CGIA — analisi PMI e rischi
Approfondimenti per sub-pillar
- Risk management strategico per PMI — sub-pillar
- Compliance normativa per PMI — sub-pillar
- Assicurazioni aziendali per PMI — sub-pillar
- Rischi operativi e supply chain per PMI — sub-pillar
Approfondimenti tematici
- Rischio compliance normativa in settori regolamentati
- Assicurazioni D&O per proteggere manager
- Rischio fornitore critico: strategie
- Assicurazione crediti commerciali
- Direttiva NIS2 e PMI
- Stress test finanziari PMI
- Piani di contingenza strategici – Cigno Nero
Per maggiori informazioni scrivici a info@imprendo24.it.
Ultimo aggiornamento: [data pubblicazione]