GRC dopo il go-live: come misurare il valore nel tempo
Adozione, performance e ROI: cosa monitorare dopo l'implementazione
L’implementazione di un sistema di Governance, Risk & Compliance rappresenta un passaggio importante per rendere più strutturati processi, responsabilità e attività di controllo. Il go-live, però, non coincide con la fine del percorso.
È proprio quando il sistema entra nell’operatività quotidiana che diventa possibile capire se le scelte fatte stanno funzionando: se le persone utilizzano realmente i nuovi processi, se le attività diventano più efficienti, se le informazioni sono più accessibili e se l’organizzazione riesce a gestire rischi e compliance con maggiore consapevolezza.
In altre parole, il go-live dimostra che il sistema è pronto. I mesi successivi dimostrano se sta generando valore.
Per questo, dopo l’implementazione, diventa fondamentale definire indicatori che permettano non solo di monitorare il funzionamento della soluzione, ma anche di comprendere il ritorno dell’investimento nel tempo.
Durante un progetto GRC, gran parte dell’attenzione viene inevitabilmente concentrata sull’implementazione: raccolta dei requisiti, progettazione dei processi, configurazione dei workflow, definizione dei ruoli, integrazione dei sistemi, test e formazione.
Poi arriva il go-live.
Da quel momento il modello progettato incontra l’organizzazione reale, con le sue priorità, eccezioni e modalità di lavoro. Ed è proprio qui che iniziano a emergere informazioni che difficilmente possono essere raccolte durante la sola fase progettuale.
Un workflow apparentemente lineare può rivelare passaggi troppo complessi. Alcune attività possono richiedere più tempo del previsto. Determinate informazioni possono risultare difficili da reperire o mantenere aggiornate.
Non significa necessariamente che il progetto sia stato impostato male. Significa che un sistema GRC deve essere osservato anche attraverso il modo in cui viene realmente utilizzato.
Il periodo successivo al go-live diventa quindi una fase fondamentale per verificare le ipotesi iniziali e individuare le opportunità di miglioramento.
Dal sistema implementato al sistema adottato
Il primo indicatore da osservare non riguarda la tecnologia, ma le persone.
Un sistema può essere perfettamente configurato e tuttavia generare poco valore se gli utenti continuano a gestire attività attraverso email, fogli di calcolo, documenti locali o procedure parallele.
Nel GRC questo aspetto è particolarmente rilevante perché non tutti gli utenti lavorano quotidianamente sulla piattaforma. Alcune persone possono essere coinvolte solo quando devono fornire un’evidenza, completare una verifica, approvare una richiesta o gestire un’azione correttiva.
Per questo l’adozione non dovrebbe essere misurata semplicemente contando gli accessi al sistema. È più utile osservare quanto dei processi previsti viene realmente gestito attraverso il nuovo modello operativo.
Percentuale di attività completate nei workflow previsti, utilizzo delle funzionalità, riduzione dei processi paralleli, completezza delle informazioni e coinvolgimento delle diverse funzioni possono offrire indicazioni molto più significative.
L’adozione diventa così il primo presupposto del ritorno dell’investimento: se il sistema non entra realmente nei processi, difficilmente potrà produrre tutti i benefici per cui è stato introdotto.
I primi mesi sono quelli da osservare
Una volta avviato il sistema, i dati iniziano a raccontare come funziona realmente il modello.
Dove si accumulano le attività? Quali passaggi richiedono più tempo? Quanto rapidamente vengono gestite le remediation? Dove aumentano le richieste di supporto? Quali informazioni vengono aggiornate con minore continuità?
Osservare questi segnali permette di individuare colli di bottiglia e aree di miglioramento che durante la progettazione potevano non essere evidenti.
I primi mesi dopo il go-live non dovrebbero quindi essere considerati soltanto una fase di stabilizzazione tecnica. Sono anche il momento in cui costruire una prima lettura delle performance del modello GRC e confrontarle con la situazione precedente.
Il dato diventa particolarmente interessante quando non viene utilizzato solo per fotografare lo stato delle attività, ma per individuare trend e ricorrenze. Una remediation che richiede molto tempo può essere un’eccezione; decine di remediation che rallentano nello stesso punto indicano probabilmente qualcosa su cui intervenire.
Dove cercare il valore del GRC
Il valore generato da un sistema GRC non è racchiuso in un singolo indicatore. È il risultato di benefici diversi, alcuni direttamente quantificabili e altri legati alla qualità con cui l’organizzazione riesce a governare rischi e processi.
Una prima dimensione è l’efficienza operativa. Quanto tempo serve oggi per raccogliere le evidenze rispetto a prima? Quanto effort richiede preparare un audit? Quanto rapidamente vengono assegnate e gestite le remediation? Quante attività manuali sono state eliminate o automatizzate?
Una seconda dimensione riguarda l’adozione. Quanti processi vengono effettivamente gestiti nel sistema? Quante funzioni sono coinvolte? Quanto si sono ridotti strumenti e modalità di lavoro paralleli?
C’è poi la performance dei processi: tempi di risposta e risoluzione, rispetto delle scadenze, remediation aperte e chiuse, ricorrenza delle non conformità e qualità delle informazioni disponibili.
Infine, esiste la dimensione più strettamente legata al rischio. Quantificare economicamente un evento che non si è verificato è complesso e può portare a valutazioni poco solide. È invece possibile osservare indicatori che mostrano come evolve l’esposizione: criticità ricorrenti, rischi residui, remediation scadute, severità delle non conformità e velocità di intervento.
Il valore emerge quindi dall’insieme di queste dimensioni, non da una singola metrica.
Come misurare il ROI dopo l’implementazione
Parlare di ROI nel GRC richiede qualche attenzione. Non tutti i benefici possono essere trasformati direttamente in un valore economico e sarebbe fuorviante attribuire al sistema il costo di ogni rischio che non si è concretizzato.
Esistono però elementi che possono essere misurati.
Uno dei più immediati è il tempo recuperato. Se prima dell’implementazione erano necessarie molte ore per raccogliere evidenze, preparare report, coordinare le funzioni coinvolte o aggiornare manualmente informazioni distribuite, la riduzione di questo effort può essere valorizzata economicamente.
Lo stesso vale per attività automatizzate, riduzione delle duplicazioni e maggiore rapidità nella gestione dei processi.
Per ottenere una misurazione significativa è però necessario disporre di un punto di confronto. Idealmente, alcuni indicatori dovrebbero quindi essere rilevati prima dell’implementazione, costruendo una baseline rispetto alla quale valutare i risultati successivi.
Il principio può essere sintetizzato mettendo a confronto:
valore generato, attraverso efficienza recuperata, costi ridotti o evitati e miglioramento delle performance;
con il Total Cost of Ownership, considerando tecnologia, implementazione e gestione evolutiva della soluzione.
Non è sempre necessario arrivare a una percentuale di ROI perfetta. L’obiettivo è costruire un sistema di misurazione abbastanza solido da comprendere se l’investimento sta generando valore, dove lo sta generando e dove esiste ancora margine di miglioramento.
Misurare per continuare a migliorare
Misurare i risultati non serve soltanto a dimostrare la bontà dell’investimento iniziale.
Serve soprattutto a decidere cosa fare dopo.
I dati raccolti attraverso il sistema possono evidenziare processi da semplificare, automazioni da introdurre, workflow da modificare, aree che richiedono maggiore formazione o nuove integrazioni da sviluppare.
In questo senso, piattaforme collaborative come Atlassian permettono di trasformare ciò che accade quotidianamente nei processi in informazioni utili per la loro evoluzione. Attività, responsabilità, tempi, eccezioni e remediation non rappresentano soltanto elementi da tracciare: insieme possono offrire una vista più ampia sul funzionamento del modello.
La tecnologia non serve quindi soltanto a digitalizzare il GRC, ma anche a rendere osservabili i processi e supportare decisioni basate sui dati.
Il post go-live diventa così un ciclo continuo: osservare, misurare, comprendere e migliorare.
Under Control Milano: dal progetto ai risultati
Implementare un sistema GRC è un passaggio importante. Farlo adottare, misurarne i risultati e continuare a evolverlo è la sfida successiva.
Sono temi che riguardano non soltanto Compliance e Risk Management, ma tutte le funzioni coinvolte nel governo di processi, sistemi e responsabilità.
Il 29 settembre, alla Galleria Campari di Milano, torna Under Control, il format di GetConnected e Responsa dedicato alla Governance, Risk & Compliance.
Un’occasione per confrontarsi con professionisti ed esperti sulle sfide che emergono quando governance, tecnologia e organizzazione incontrano l’operatività quotidiana e quando diventa necessario passare dall’implementazione alla capacità di generare valore nel tempo.
