Un progetto che opera in un solo paese ha rischi noti e relativamente prevedibili. Un progetto che si estende su più paesi — come nelle espansioni EU-LATAM o Europa-Middle East che seguo abitualmente — moltiplica le categorie di rischio: normativo, valutario, culturale, logistico. ISO 31000 non è burocrazia da certificazione: è l'unico framework che ho visto reggere davvero in contesti multi-giurisdizione.
1. Perché ISO 31000 e non un semplice registro rischi. ISO 31000 non prescrive strumenti specifici (a differenza di ISO 31010 che elenca tecniche), ma impone un processo iterativo: stabilire il contesto, identificare, analizzare, valutare, trattare, monitorare e comunicare il rischio. La differenza pratica rispetto a un registro rischi tradizionale è che il rischio viene rivalutato a ogni cambio di contesto — un cambio normativo, una svalutazione valutaria, un nuovo fornitore — non solo alle milestone pianificate.
2. Le categorie di rischio specifiche dei progetti multi-paese. Rischio normativo e di compliance — leggi su lavoro, fiscalità, importazione che cambiano tra un paese e l'altro e spesso durante il progetto stesso. Rischio valutario — un progetto quotato in EUR ma eseguito in paesi con valute volatili (es. PEN, TRY) può perdere margine solo per fluttuazione valutaria. Rischio culturale e di stakeholder — decisioni che in un paese richiedono un'email richiedono, in un altro, una relazione personale costruita in settimane. Rischio di supply chain e logistica cross-border — doganale, tempi di trasporto, dipendenza da un singolo fornitore locale.
3. Matrice probabilità/impatto adattata al contesto internazionale. La matrice classica probabilità x impatto va integrata con una terza dimensione: la velocità di rilevamento. Un rischio normativo in un paese dove non hai presenza locale può materializzarsi settimane prima che il team se ne accorga. Per questo tipo di rischio, anche con probabilità e impatto moderati, serve un trattamento prioritario semplicemente perché il tempo di reazione disponibile è più corto.
4. Le quattro strategie di trattamento (e quando usarle). Evitare — cambiare l'approccio per eliminare il rischio (es. non aprire entità legale in un paese, operare tramite partner locale). Ridurre — mitigare probabilità o impatto (es. hedging valutario, clausole contrattuali di adeguamento prezzi). Trasferire — assicurazione, contratti con fornitori locali che assorbono parte del rischio. Accettare — quando costo del trattamento supera il beneficio atteso, ma sempre con un piano di contingenza documentato, non per default.
5. Governance del rischio: chi decide cosa. Nei progetti internazionali, la governance del rischio deve avere soglie di escalation chiare: rischi sotto una certa soglia di impatto li gestisce il PM locale, sopra quella soglia serve coinvolgimento dello sponsor o del board. Senza questa soglia esplicita, i rischi importanti restano bloccati a livello operativo troppo a lungo, mentre quelli minori arrivano inutilmente al board.
Domande Frequenti. ISO 31000 richiede certificazione formale per essere applicata? No, ISO 31000 è una linea guida, non una norma certificabile come ISO 9001. Come si integra ISO 31000 con PMBOK? PMBOK dedica un'intera area di conoscenza al risk management ed è pienamente compatibile con i principi ISO 31000 — molti PMO le usano insieme, PMBOK per la struttura di progetto, ISO 31000 per la profondità del processo.
Se stai pianificando un'espansione multi-paese e vuoi una valutazione onesta dei rischi specifici del tuo caso, prenotiamo una call: analizziamo insieme dove sono i punti ciechi reali.
