La struttura di scomposizione dei rischi ora ha un ramo di IA

Il tuo registro dei rischi ha quaranta righe, è aggiornato e il progetto ti ha comunque sorpreso da un lato che nessuno aveva guardato. Non è raro e non è colpa del registro. Un registro elenca i rischi uno per uno, e una lista piatta è proprio ciò che nasconde i buchi.

Cos’è la RBS e in cosa differisce dal registro

Il 15 settembre 2026 il PMI ha pubblicato un articolo che la definisce con precisione. La struttura di scomposizione dei rischi, la RBS per la sigla inglese, è una mappa gerarchica e orientata alle fonti di tutto ciò che può mettere a rischio il tuo progetto, organizzata dalle categorie ampie fino alle origini specifiche.

L’analogia che usa è quella che la spiega meglio. Così come la WBS organizza il lavoro da fare, la RBS organizza il rischio che quel lavoro porta con sé. In cima stanno le categorie, classicamente tecnico, gestione, commerciale ed esterno. Ognuna si apre in sottorami più specifici, per quanti livelli servano al progetto.

Ed ecco la distinzione che conviene fissare, perché quasi tutti la saltano. L’albero nomina fonti, non rischi. I rischi concreti e la tua strategia per ciascuno continuano a vivere nel registro, agganciati ai rami. La RBS non sostituisce il registro, lo ordina per origine così vedi i grappoli e i punti ciechi che una lista piatta copre.

Secondo quello stesso articolo la disciplina non è nuova. La guida pratica di gestione dei rischi del PMI tratta la categorizzazione per fonte come qualcosa di centrale, e la Guida PMBOK nomina la RBS come strumento per organizzare il rischio.

Dove compare questo nell’esame

Nel programma di luglio 2026 il rischio vive in Ambiente di business, il dominio che pesa il 26 per cento, e non dove stava prima. Se ti suona nuovo, abbiamo raccontato tutto lo spostamento nel post su Business Environment.

Il compito si chiama pianificare e gestire il rischio, e ha sette abilitatori. Identificare i rischi, analizzarli, monitorarli e controllarli, sviluppare il piano di gestione dei rischi, mantenere il registro dei rischi, eseguire il piano e comunicare lo stato dell’impatto di un rischio sul progetto.

Guarda il primo e il quinto affiancati. Identificare i rischi e mantenere il registro sono abilitatori distinti, e il programma li separa apposta. La RBS lavora sul primo. Il registro è il quinto. Confonderli è l’errore che si paga nelle domande dove l’enunciato dice che il team ha rivisto il registro e nonostante questo è spuntata una minaccia che nessuno aveva previsto.

Le quattro categorie classiche e le sette fonti di rischio IA vengono dall’articolo pubblicato dal PMI il 15 settembre 2026.

A cosa serve davvero

Il PMI le riconosce tre usi e il secondo è quello che più gente si perde.

Il primo è coprire tutte le fonti. I rami in alto funzionano da lista di avvio nei workshop di identificazione, così nessuna categoria intera passa senza essere nominata. Il terzo è riferire e riutilizzare, perché i totali salgono aggregati verso la direzione e scendono nel dettaglio per il team, e lo stesso albero si riutilizza tra progetti per confrontare.

Il secondo è trovare dove si concentra l’esposizione, e ha un colpo di scena. Agganci ogni rischio al suo ramo più basso e sommi per ramo il punteggio di probabilità per impatto. Quello che ti dice dove guardare per primo è il totale più alto, non il conteggio più alto. Un ramo con due rischi gravi pesa più di uno con quindici minori, e una lista ordinata per quantità ti manda esattamente dalla parte sbagliata.

Il ramo che il PMI ha aggiunto quest’anno

L’albero classico presuppone due cose, che i sistemi si comportino in modo prevedibile e che le decisioni le prenda una persona. L’IA rompe entrambe, con comportamento probabilistico, azione autonoma e processi decisionali che possono essere difficili da spiegare.

La proposta del PMI non è rifare l’albero. È conservare le categorie in alto e appenderci accanto un ramo distinto, quello del rischio di IA e sistemi intelligenti, che si apre in sette fonti.

Dati, che copre qualità, bias, privacy, provenienza e deriva. Modello, che copre accuratezza, robustezza, deriva, allucinazione e calibrazione. Autonomia, cioè agire oltre l’autorità prevista, mancare l’escalation o eseguire senza sufficiente supervisione. Spiegabilità, cioè opacità e difficoltà di audit. Governance, cioè responsabilità poco chiara e controlli deboli. Etica, cioè iniquità, danno, uso improprio ed erosione della fiducia. E cybersicurezza specifica dell’IA, che comprende l’iniezione di istruzioni, l’avvelenamento dei dati e l’accesso non sicuro agli strumenti.

Ogni fonte si definisce, riceve qualcuno che la sorvegli e il ramo si colloca accanto a quelli che avevi già. Lo standard di IA del PMI, che abbiamo scomposto a suo tempo, è la cornice più ampia dietro tutto questo.

Cosa non cambia

L’articolo chiude con tre principi che valgono per qualunque albero. Fonti e non sintomi, perché ogni ramo deve nominare un’origine capace di generare molti rischi. Adattare l’albero, perché nessuna RBS va bene per ogni progetto e si parte da una generica. E che ogni ramo abbia qualcuno che lo guarda, perché una fonte che nessuno sorveglia passa da sola.

C’è una frase finale da portarsi all’esame e in ufficio. L’automazione può reggere il registro e perfino proporre la risposta. Quello che non regge mai è la responsabilità.

Iscriviti alla lista d’attesa

In The PM Architect scriviamo le guide di studio del PMBOK in cinque lingue, con casi reali d’aula ed esercizi con spiegazione. Saranno gratuite. Lascia la tua e-mail nella pagina principale e ti avvisiamo non appena saranno disponibili.