Microsoft Enterprise Risk Management (ERM)
L’Enterprise Risk Management (ERM) di Microsoft identifica i rischi più significativi per Microsoft e fornisce un approccio coerente per la gestione dei rischi nell'intera organizzazione. L’ERM include una metodologia formale di gestione dei rischi, che include ruoli e responsabilità definiti, fornisce un input continuo e supporta decisioni tempestive per mitigare i rischi. Il supporto e il coinvolgimento dei dirigenti altamente visibili assicurano la responsabilità e sottolineano l'impegno di Microsoft nella gestione efficace dei rischi aziendali.
L’ERM esegue una valutazione dei rischi aziendali semestrale per valutare i rischi in Microsoft. Queste valutazioni hanno due livelli di destinatari: i dirigenti (CEO e report diretti) e il Comitato di controllo del consiglio di amministrazione. Le valutazioni ERM usano gli input delle discussioni con i responsabili di dominio dell'azienda e i dirigenti all'interno di ogni organizzazione. Gli input chiave per la valutazione includono colloqui a vari livelli in Microsoft, da esperti in materia (SME) in ogni dominio di rischio e area di rischio operativo fino alla dirigenza. Il processo ERM combina le informazioni dettagliate dei proprietari dei domini di rischio con le informazioni ottenute dai responsabili e SME in ogni area di rischio operativo. Questo include anche il feedback degli elementi fondamentali del processo di gestione dei rischi, ad esempio i sistemi di ascolto che monitorano gli indicatori di rischio e gli strumenti che forniscono visibilità nel funzionamento dei sistemi e dei processi Microsoft.
Il processo di valutazione dei rischi ERM identifica le opportunità, le ambizioni e gli impegni, insieme ai rischi più significativi per gli obiettivi di Microsoft. Questa analisi include una valutazione dell'ambiente operativo, incluse le valutazioni dei rischi interne da unità operative e fattori esterni come la concorrenza e il panorama normativo. La valutazione dei rischi aziendali prende in considerazione anche i dati cronologici, ad esempio i controlli e le valutazioni precedenti. Microsoft applica inoltre le conoscenze e il feedback di gruppi di settore, forum e revisioni paritarie per sviluppare un quadro generale dell'ambiente di rischio esterno.
Il processo di valutazione dei rischi include discussioni con gli stakeholder principali nell'intera organizzazione. Queste parti interessate forniscono feedback sui rischi identificati per garantire che rappresentino accuratamente l’approccio di rischio di Microsoft. Dopo aver esaminato i piani di azioni per i rischi identificati e aver assicurato che i rischi siano assegnati ai proprietari corretti, la valutazione si conclude con un report sulla gestione dei rischi aziendali per il consiglio di amministrazione che acquisisce l'opinione dei dirigenti Microsoft.