La sanità si muove in un contesto sempre più esposto a rischi di varia natura (clinici, organizzativi, tecnologici) che richiedono risposte non più episodiche ma strutturali. In questo scenario, la gestione del rischio non può restare un’attività confinata a pochi specialisti: deve diventare un tratto costitutivo della cultura aziendale.
Le organizzazioni che non riescono a radicarla a ogni livello si espongono con maggiore frequenza a eventi critici, con ricadute dirette su salute dei pazienti, contenzioso legale e costi assicurativi. Con il termine risk management si indica il processo attraverso cui un’azienda valuta e pianifica le azioni utili a contenere l’impatto negativo di variabili, interne o esterne, che possono ostacolare il raggiungimento degli obiettivi aziendali (Mezzopera, 2024).
Applicato al contesto sanitario, il risk management assume una rilevanza ancora maggiore, configurandosi come insieme dei processi d’individuazione, monitoraggio, valutazione, mitigazione e prevenzione dei rischi orientati alla tutela della sicurezza del paziente (Odone, 2019). La natura stessa dei processi clinici (complessi, multidisciplinari, segnati da un alto grado d’incertezza legato alle condizioni cliniche dei pazienti) richiede un approccio proattivo e strutturato, non episodico o reattivo.
Anche il legislatore ha riconosciuto questa centralità: la legge 8/3/2017 n. 24 (Gelli-Bianco), dedicata a sicurezza delle cure e responsabilità professionale in ambito sanitario, ha sancito che le attività di prevenzione del rischio debbano coinvolgere tutto il personale sanitario, inclusi i liberi professionisti, non solo per tutelare i pazienti ma anche per elevare la qualità complessiva dell’assistenza (Ministero della Salute, 2017).
In questo scenario, il risk manager ha un ruolo strategico: identifica, analizza e mitiga i rischi, ne valuta gravità e frequenza, definisce le misure preventive e correttive più opportune e ne verifica nel tempo l’efficacia. Per svolgere efficacemente questa funzione è indispensabile una conoscenza approfondita dei processi clinico-assistenziali e dell’assetto organizzativo aziendale. Affrontare il rischio in sanità richiede uno sguardo d’insieme, che colga l’interdipendenza tra gli elementi del sistema e il loro effetto complessivo su sicurezza e salute dei pazienti.
Non a caso, un’indagine condotta su un campione di 165 ospedali italiani ha mostrato che un approccio sistematico e integrato alla gestione del rischio produce risultati concreti e misurabili (Mezzopera, 2024). Il principio “conosco, gestisco, controllo” sintetizza bene questa logica: solo una comprensione approfondita dei rischi consente di governarli efficacemente e monitorarne l’evoluzione nel tempo, per un sistema più sicuro e resiliente.
I fattori culturali
Uno degli ostacoli più radicati alla gestione efficace del rischio in sanità è di natura culturale: la paura del giudizio o la vergogna spingono spesso gli operatori a non segnalare, o addirittura a occultare, situazioni critiche (Dhamanti, Leggat, & Barraclough, 2020). Questo atteggiamento reticente impedisce d’intervenire tempestivamente sui problemi e alimenta un circolo vizioso che può aggravare nel tempo le conseguenze degli eventi avversi.
Contrastare questa “cultura del silenzio” richiede un investimento costante nella formazione degli operatori (Marum, Verhoeven & Rooy, 2022), che non può limitarsi alla trasmissione di conoscenze teoriche, ma deve sviluppare competenze operative in gestione del rischio, analisi degli errori e comunicazione, elementi chiave per costruire fiducia reciproca tra operatori e organizzazione (Mata et al., 2021). A questo si affianca un secondo elemento imprescindibile: la condivisione, tra strutture sanitarie diverse, esperienze e buone pratiche.
Diverse organizzazioni hanno adottato con successo sistemi di gestione del rischio condivisi con altre aziende, avvalendosi anche di strumenti come l’Analisi delle Cause Profonde (ACP) per la revisione degli eventi segnalati. Questo tipo di collaborazione consente di trasformare l’approccio reattivo in proattivo, generando una rete di apprendimento che sostiene il miglioramento continuo della qualità e della sicurezza delle cure.
La trasformazione della cultura del rischio, tuttavia, non si esaurisce nella formazione e nello scambio di esperienze: richiede un impegno più ampio, volto a costruire un’organizzazione che valorizzi realmente trasparenza e responsabilità (Falsini et al., 2023). In questo senso, la leadership aziendale è determinante nel creare un clima di fiducia diffusa, in cui segnalare un errore o una criticità non sia percepito come rischio personale. Le politiche interne devono essere orientate più al supporto e alla risoluzione sistemica dei problemi che alla ricerca di responsabilità individuali.
Anche gli strumenti tecnologici (sistemi di monitoraggio in tempo reale, piattaforme di gestione dei dati clinici) possono rafforzare questa cultura, rendendo più rapida l’identificazione dei rischi e più tempestiva la risposta correttiva. Infine, un ulteriore tassello riguarda il coinvolgimento diretto degli operatori nei processi decisionali legati alla gestione del rischio.
Includerli attivamente in pianificazione e attuazione delle strategie ne rafforza il senso di responsabilità e arricchisce le soluzioni adottate grazie al contributo della loro esperienza diretta sul campo.
Ruolo del risk manager ed evoluzione dell’approccio integrato dei rischi in sanità
L’emergere di crisi pandemiche e nuove minacce come i rischi cibernetici impone una riflessione urgente sul coordinamento della gestione del rischio sanitario nelle aziende sanitarie. L’attuale approccio alla sicurezza delle cure necessita un aggiornamento, in quanto richiede l’adozione di nuove abilità da parte dei professionisti che hanno il ruolo di risk manager.
È fondamentale un cambio di paradigma in monitoraggio, prevenzione e gestione del rischio sanitario, nonché nello sviluppo delle strategie di sicurezza delle cure. Questa situazione richiede l’implementazione d’interventi strutturali sugli assetti organizzativi. Benché il rischio clinico abbia storicamente dominato la gestione del rischio sanitario, oggi è necessario ampliare l’ambito, ispirandosi ai modelli di Enterprise Risk Management (ERM) (COSO, 2017). Gli obiettivi principali di questo approccio includono:
- diffondere una cultura basata sul rischio a tutti i livelli organizzativi
- adattare i processi di sicurezza per garantire l’erogazione delle migliori pratiche sanitarie
- rafforzare gli strumenti di gestione dei rischi, con una visione complessiva e strategica
- migliorare la resilienza delle organizzazioni per adattarsi a scenari imprevisti.
La necessità di resilienza organizzativa immediata a flessibile e gestione a 360 gradi con il coinvolgimento di tutti gli stakeholders richiede al risk manager consolidamento e acquisizione di nuove competenze, quali: progettare piani d’emergenza (disaster plan); applicare metodologie di gestione delle crisi; comunicare efficacemente in situazioni di crisi; gestire le dinamiche di team in situazioni critiche; relazionarsi con i vari livelli istituzionali coinvolti nella crisi; usare big data per monitorare e misurare i fenomeni; dirigere il processo d’identificazione, analisi e valutazione dei rischi con metriche aggiornate; supportare le Direzioni aziendali in gestione dei rischi e definizione di strategie; monitorare e pianificare attività di prevenzione e gestione dei rischi a livello dipartimentale; promuovere formazione continua su sicurezza delle cure e gestione del rischio sanitario; collaborare con altre aree dell’organizzazione per una gestione integrata dei rischi (rischi infettivi, sicurezza dei dispositivi ecc.); stimolare l’integrazione tra i vari modelli organizzativi di gestione del rischio per migliorare l’efficacia operativa.
Nell’ottica di superare la visione a silos, il coordinatore delle attività di gestione del rischio deve promuovere un dialogo interno tra le diverse funzioni aziendali, come IT, Ingegneria Clinica, Area Sanitaria, Comitato Infezioni Ospedaliere (CIO), Comitati per il Buon Uso del Sangue, Farmacia, Acquisti, Area Tecnico-Patrimoniale, Sviluppo della Qualità, Responsabile del Servizio di Prevenzione e Protezione (RSPP), Risorse Umane e altre. Obiettivo di questo è ridurre eventuali sovrapposizioni e duplicazioni nelle attività di assessment.
La gestione del rischio aziendale deve evolvere in un risk based thinking pervasivo e sinergico, che coinvolga ogni livello dell’organizzazione. Questo approccio richiede anche competenze non tecniche, come coaching, sensemaking e team building, ma soprattutto la capacità di monitorare e mappare i rischi in modo preciso, aggiornato e sistematico. Solo così si può anticipare efficacemente l’emergere di scenari di crisi e gestirli tempestivamente con azioni correttive in tempo reale.
La gestione del rischio nelle organizzazioni complesse ha subito una costante evoluzione, soprattutto per quanto riguarda modelli organizzativi, metodi di analisi e metodologie d’identificazione, valutazione e gestione. Questo ha portato alla diffusione di modelli più solidi, adatti a settori come quello sanitario, caratterizzati dalla predisposizione ed erogazione di servizi critici, dall’uso crescente di tecnologie e reti di comunicazione digitale e da una crescente professionalizzazione degli attori coinvolti.
Tra gli standard di riferimento troviamo l’Enterprise Risk Management-Integrated Framework e l’ISO 31000:2018, insieme ad altri standard già ampiamente adottati nel settore sanitario, come l’ISO 31010:2019 (Tecniche di Risk Assessment), l’ISO 9001:2015 (Sistemi di gestione per la qualità), l’ISO 14001:2015 (Sistemi di gestione ambientale), l’ISO 45001:2018 (Sistemi di gestione per la salute e sicurezza sul lavoro) e l’ISO 22301:2019 (Sistemi di gestione per la continuità operativa), nonché il modello Healthcare Continuity HCLE 2020. Questi standard suggeriscono l’adozione di modelli organizzativi e processi cross-funzionali, che costituiscono il sistema di gestione integrato Enterprise Risk Management (ERM).
L’ERM è un sistema sinergico di cultura, competenze, ruoli organizzativi, politiche, processi, modelli di analisi e gestione e strumenti, che permette alle organizzazioni di creare e proteggere valore in modo sostenibile nel lungo periodo, raggiungendo gli obiettivi strategici e operativi. In questi modelli il “valore” non si riferisce solo a quello economico, ma anche al raggiungimento degli obiettivi istituzionali, come il miglioramento della salute della popolazione.
A tal fine, il Centro Regionale per la Gestione del Rischio Sanitario e la Sicurezza del Paziente della Regione Lombardia, con decreto n. 20638 del 21/12/2023, ha introdotto il Modello di Gestione del Rischio Aziendale in Ambito Sanitario (Healthcare Enterprise Risk Management, HERM). (Regione Lombardia, 2023), riconosciuto in letteratura come la prima esperienza italiana di applicazione sistematica dell’ERM in sanità (Burato et al., 2023). Gli obiettivi principali di questo modello sono:
- migliorare la sicurezza del sistema sanitario regionale tramite l’identificazione, l’analisi e la gestione integrata dei rischi
- preservare la creazione di “valore sociale” a lungo termine e il raggiungimento sostenibile degli obiettivi strategici e operativi
- ottimizzare i costi di gestione del rischio
- ridurre gli eventi avversi in tutti i processi aziendali
- rafforzare la capacità di anticipare e reagire ai cambiamenti
- stabilire strategie solide e basate sul rischio per il lungo periodo.
L’approccio full risk dev’essere pervasivo in tutta l’organizzazione e, al contempo, sinergico tra le linee operative e funzioni aziendali. Solo un’intelligenza collettiva dell’organizzazione, che pianifica e agisce in modo coeso, permette di affrontare tempestivamente e in maniera efficace le situazioni di crisi.
L’esperienza di ATS Milano
Le riflessioni teoriche fin qui esposte trovano riscontro concreto nell’esperienza di ATS Milano, che offre alcuni spunti utili a comprendere come i principi della gestione del rischio si traducano in pratica organizzativa quotidiana. Un primo elemento riguarda la formazione. In ATS Milano, come in generale nel settore sanitario, la gestione efficace del rischio è considerata competenza trasversale che deve appartenere a tutti gli operatori, non solo a chi ha ruoli specialistici.
La normativa prevede, infatti, formazione obbligatoria in tema di sicurezza sul lavoro e rischi correlati, a cui si affianca una formazione specifica legata alle attività effettivamente svolte in ciascuna struttura. Gran parte di queste competenze, tuttavia, si consolida non tanto nei percorsi formativi formali quanto in affiancamento e formazione sul campo, dato che segnala quanto la trasmissione dell’esperienza tra colleghi resti insostituibile.
A questo si aggiunge un altro requisito imprescindibile: la piena conoscenza da parte di tutto il personale delle procedure di segnalazione di eventi avversi, condizione necessaria perché il sistema di risk management funzioni davvero. Un ulteriore elemento riguarda il rapporto tra innovazione tecnologica e rischio. Le nuove tecnologie, da un lato, velocizzano numerosi processi organizzativi, ma dall’altro espongono i sistemi informativi a rischi crescenti in tema di sicurezza e protezione dei dati, tema che ATS Milano ha scelto di presidiare in modo specifico.
Non svolgendo attività di erogazione diretta di prestazioni alla popolazione, ATS Milano ha indirizzato buona parte della propria attenzione strategica alla protezione dei dati, dotandosi nel Piano di organizzazione di una struttura dedicata al governo della cybersecurity. Questa struttura, con approccio integrato, multidisciplinare e proattivo, supporta la Direzione Generale nella definizione delle politiche di sicurezza informatica e nell’individuazione delle best practice organizzative e procedurali necessarie al raggiungimento degli obiettivi di sicurezza dell’Ente.
In concreto, la struttura individua le scelte tecnologiche, strategiche e architetturali per il rafforzamento della cybersicurezza ed effettua un Security Assessment periodico (orientato anche alla prevenzione di minacce future) per misurare il livello di esposizione dell’organizzazione al rischio cibernetico e formulare proposte alla Direzione Generale e al Comitato Strategico per la cybersicurezza. Un terzo elemento, di natura più trasversale, riguarda le resistenze culturali al cambiamento.
Anche in presenza di strutture e processi definiti, l’introduzione di nuove procedure o schemi di lavoro incontra spesso resistenze nel personale, che non sempre le accoglie con favore. Superare tali resistenze richiede investimento costante in programmi di formazione mirati non solo a trasferire competenze tecniche, ma soprattutto a costruire consapevolezza diffusa sul valore della gestione del rischio, confermando quanto già evidenziato in apertura di questo contributo rispetto al ruolo centrale della cultura organizzativa.
Conclusioni
La gestione del rischio in sanità non può più essere trattata come funzione tecnica isolata, affidata a pochi specialisti e attivata solo a valle di un evento critico. Come emerge dai contributi teorici e dall’esperienza organizzativa qui presentati, si tratta piuttosto di una competenza distribuita, che deve permeare la cultura aziendale a ogni livello, dagli operatori impegnati nell’attività quotidiana fino ai vertici strategici.
Il percorso evolutivo che ha condotto dal tradizionale rischio clinico ai modelli di ERM riflette una consapevolezza crescente: le organizzazioni sanitarie sono esposte a rischi interconnessi (clinici, tecnologici, cibernetici, reputazionali) che richiedono una visione integrata e non più compartimentata. L’introduzione di modelli come l’HERM in Regione Lombardia rappresenta in questo senso un passo concreto verso una gestione del rischio realmente sistemica, capace di generare valore duraturo per le organizzazioni e per la salute della popolazione.
L’esperienza di ATS Milano conferma che questa trasformazione richiede un lavoro su più fronti contemporaneamente: investimento nella formazione, presidio delle nuove aree di rischio legate alla digitalizzazione e alla protezione dei dati e impegno costante nel superare le resistenze culturali al cambiamento. Nessuno di questi fronti, da solo, basta: è la loro integrazione a determinare la reale capacità di un’organizzazione di anticipare, gestire e imparare dai rischi a cui è esposta.
Guardando al futuro, il successo di questo cambiamento dipenderà dalla capacità dei risk manager di acquisire competenze sempre più trasversali (tecniche, relazionali, strategiche) e dalla volontà delle direzioni aziendali di sostenere in concreto questo percorso, riconoscendo nella gestione del rischio non un vincolo normativo, ma una leva essenziale di qualità, sicurezza e sostenibilità del sistema sanitario.
Bibliografia
1) Burato, E., Scotti, L., Trombetta, E., Taddei, G., Audino, A., Malinverno, E., Molteni, D., Saporetti, G., Rossodivita, A., Castaldi, S., Barni, R., & Amato, S. (2023). The ERM experience of the Lombardy Region as a tool for improving the safety of the regional health care system. Igiene e Sanita Pubblica, 80(5), 101-109
2) COSO – Committee of Sponsoring Organizations of the Treadway Commission. Enterprise Risk Management – Integrating with Strategy and Performance. COSO. 2017
3) Dhamanti, I., Leggat, S., & Barraclough, S. (2020). Practical and Cultural Barriers to Reporting Incidents Among Health Workers in Indonesian Public Hospitals. Journal of Multidisciplinary Healthcare, 13, 351-359. https://doi.org/10.2147/JMDH.S240124
4) Falsini, G., Barisone, M., Frongillo, D., & Usmiani, T. (2023). La gestione del rischio clinico: una nuova frontiera per la Cardiologia italiana. Giornale Italiano di Cardiologia, 24(12): 952-959. https://doi.org/10.1714/4139.41341
5) Marum, S., Verhoeven, D., & Rooy, D. (2022). The Barriers and Enhancers to Trust in a Just Culture in Hospital Settings: A Systematic Review. Journal of Patient Safety, 18, e1067-e1075. https://doi.org/10.1097/PTS.0000000000001012
6) Mata, Á., Azevedo, K., Braga, L., Medeiros, G., Segundo, V., Bezerra, I., Pimenta, I., Nicolás, I., & Piuvezam, G. (2021). Training in communication skills for self-efficacy of health professionals: a systematic review. Human Resources for Health, 19, 30. https://doi.org/10.1186/s12960-021-00574-3
7) Ministero della Salute (2017). Governo clinico e sicurezza delle cure
8) Mezzopera S.M. (2024). La gestione del rischio in sanità. Corso di Management e Leadership in Healthcare – ML-Care. Università LIUC Carlo Cattaneo, Castellanza (VA). 21/5/2024
9) Odone, A., Bossi, E., Gaeta, M., et al. (2019). Risk Management in healthcare: results from a national-level survey and scientometric analysis in Italy. Acta bio-medica: Atenei Parmensis, 90(9-S), 76-86. https://doi.org/10.23750/abm.v90i9-S.8164
10) Regione Lombardia, Direzione Generale Welfare. Decreto n. 20638 del 21/12/2023 – Linee di riferimento per l’implementazione del modello di Healthcare Enterprise Risk Management (HERM). 2023
Autori:
E. Croce – Università Cattaneo LIUC
F. Rolli, R. Gauli – ATS Milano
L. Cajazzo, F. Agrò, F. Fagandini, E. Burato – ASST Spedali Civili di Brescia
F. Convenga – LIUC Business School
Articolo tratto da Tecnica Ospedaliera di settembre 2026
