In quest’ottica si colloca la sempre maggiore attenzione dei decisori (e degli studiosi) nei confronti dei concetti e degli strumenti di "corporate governance", "internal audit", "risk management" e, in relazione alla sfera dell’attività clinica, "clinical governance", "clinical audit", "clinical risk management". La loro valenza è duplice. In primo luogo, interna: aziende sanitarie e regioni hanno investito in programmi per la qualità dell’assistenza per ottenere risultati immediati. Le realtà che hanno avviato iniziative quali, ad esempio, il clinical audit, hanno spes-so prodotto significativi cambiamenti nei processi e nelle attività, ottenendo soddisfacenti "ritorni sull’investimento".

Bisogna inoltre considerare la valenza esterna. Nella logica del performance measurement, l’attivazione dei programmi per la qualità è un’occasione concreta per misurare l’efficacia del sistema sanitario e trasferire questa informazione all’esterno. La qualità, così processata, non rappresenta più un obiettivo strategico ritualmente declinato nei piani, ma una dimensione operativa dell’assistenza. Essa è una caratteristica misurabile, osservabile nel tempo, riferita ad un numero di aree selezionate e prioritarie (ad esempio, la gestione della cartella clinica, la presa in carico del paziente con diabete non complicato, e così via), quindi, non più "generica".

L’operazionalizzazione della dimensione della qualità dei servizi impatta sul sistema sanitario nel suo complesso e non solo nel contesto aziendale che avvia queste iniziative. Mutuando dal linguaggio economico potremmo parlare a questo proposito di "esternalità positive". I vantaggi indiretti per il sistema derivano, quindi, non solo dagli esiti delle azioni implementate (il risultato intermedio), ma anche dall’assunzione della decisione in sé di investire nella qualità. L’impegno dimostrato stimola, infatti, la fiducia degli utenti e, di conseguenza, il loro livello di soddisfazione. La stessa considerazione vale nei confronti degli operatori e dei professionisti, così come dei referenti politici e istituzionali dell’azienda. In sintesi, l’investimento per il miglioramento della qualità, se opportunamente comunicato ai portatori di interesse, è già un primo passo per produrre in concreto il cambiamento auspicato.

A livello di SSN, si è ancora lontani da una strategia unitaria per la gestione dei rischi dell’assistenza sanitaria. In questa direzione un valido contributo può venire dalla visione d’insieme dei fattori ambientali che portano ad emergere il fabbisogno di maggiore sicurezza e appropriatezza della pratica clinica. Esso si snoda attraverso un percorso in due fasi logiche, correlate ma distinte.

Nella prima fase entrano in gioco una serie di fattori che stimolano la ricerca di pratiche cliniche sempre più improntate a criteri di evidenza scientifica, efficacia e appropriatezza.

Queste pressioni portano allo sviluppo di azioni e strumenti che rientrano nella sfera della evidence based medicine, tra cui formazione continua, revisione tra pari, attivazione dei circoli di valutazione della qualità dei servizi, clinical audit. Nel complesso, essi delineano un modello (più o meno esplicito) di clinical governan-ce, in quanto sottintendono una visione di responsabilizzazione esplicita dei professionisti e di valutazione delle performance dell’assistenza come base per innestare le azioni di miglioramento dell’efficacia e della sicurezza (Figura 1).

I fattori più attivi in questa fase sono:

Il modello di clinical governance si limita a delineare la cornice strategica entro cui declinare operativamente alcuni strumenti a servizio dell’appropriatezza tra cui, in particolare, il risk management. Per meglio evidenziare i due livelli di obiettivi ("appropriatezza" e "sicurezza") che fanno riferimento, rispettivamente, al sistema di clinical governance e a quello di risk management si confronti la Figura 2. Essa rappresenta, per ciascun pilastro del modello di clinical governance, i nuovi sistemi di gestione aziendale che si rafforzano o sviluppano ex-novo.

La seconda fase del percorso verso l’emergere del risk management vede in gioco due ulteriori fattori di contesto che stimolano, specificamente, lo sviluppo di un sistema aziendale a supporto della sicurezza dei processi svolti. Essi sono:

z il fenomeno, in espansione, del rifiuto degli esiti dei processi di diagnosi, cura e riabilitazione da parte dei pazienti, che sfocia nell’aumento della conflittualità e nell’esplosione dei reclami e, di conseguenza, dei risarcimenti. Esso dimostra la crescente litigiosità del sistema sociale, indirettamente misurabile in termini di insorgenza dei reclami e delle richieste di risarcimento per motivi di responsabilità civile del medico, supportate da vari orientamenti della giurisprudenza sempre più a favore dei "consumatori";

z il ruolo del mercato assicurativo, che ha assistito a partire dagli anni Novanta ad un’esplosione dei costi delle polizze. La crescita dei premi sulla responsabilità civile che le aziende sanitarie corrispondono alle compagnie (oramai stabilizzatisi su livelli decisamente preoccupanti) è solo in parte conseguenza di una crescita analoga dei risarcimenti corrisposti ai pazienti. La dinamica appare, a tutti gli effetti, una variabile non governata dalle aziende sanitarie. Infatti, in assenza di modalità in grado, da un lato, di gestire il livello di rischio sopportato e, dall’altro lato, di rappresentare oggettivamente il miglioramento perseguito da queste azioni nei confronti del mercato assicurativo, le aziende non hanno la possibilità di modificare in alcun modo la dinamica delle polizze, o di contrattarne i prezzi facendo riconoscere al mercato le performance aziendali "virtuose" di gestione del profilo di rischio aziendale. In definitiva, l’asimmetria informativa tra mercato assicurativo e aziende sanitarie è un fattore che distorce le convenienze degli attori, compagnie e aziende, nel riposizionarsi versosoluzioni più efficienti. È indubbio, in ogni caso, che esso induce riflessioni e reazioni nella maggior parte delle aziende, stimolando la nascita di iniziative di risk management nonostante la scarsa ricettività dimostrata su questo fronte dal mercato assicurativo.

In sintesi, nel settore sanitario è oggi possibile osservare l’emergere non solo di una sensibilità al problema della gestione del rischio, ma anche una domanda esplicita di intervento che prefigura lo spazio per l’evoluzione di una "funzione aziendale di risk management" nelle aziende sanitarie.

Sulla base di queste osservazioni è possibile tracciare due indicazioni preliminari per l’avvio di una "strategia di SSN" per il risk management.

Per ciò che concerne lo studio e la progettazione delle iniziative di risk management, è evidente che sia l’approfondimento scientifico che l’avvio delle prime esperienze a livello aziendale non possano che essere demandate a gruppi di lavoro multidisciplinari, in grado di assicurare la convergenza di conoscenze e competenze cliniche e sanitarie, gestionali, ingegneristiche, giuridiche. La sinergia tra più paradigmi, prospettive di approfondimento ed esperienze rappresenta una condizione e, al contempo, un fattore critico di successo per il consolidarsi delle esperienze di gestione dei rischi nel settore sanitario.

A livello di SSN, invece, il fiorire di sperimentazioni aziendali sul tema della gestione dei rischi in sanità testimonia una sana vitalità progettuale (nonostante le duplicazioni e gli esisti ancora non del tutto ottimali che ne derivano). Pertanto, ancor prima di auspicare una regia unitaria delle iniziative sul risk management, è comunque preferibile accettare un certo grado di ridondanza nelle esperienze in atto a livello di SSN, agendo piuttosto sul versante della promozione di presupposti comuni alla base di queste esperienze. Una "mappa mentale" comune a guida delle iniziative di risk management renderebbe sicuramente più fluida la collaborazione multidisciplinare, il consolidamento delle esperienze e il coinvolgimento di un elevato numero di operatori. Non a caso proprio su questo obiettivo si è concentrata la Commissione Tecnica sul Rischio Clinico, istituita dal 2003 nell’ambito delle attività avviate dal Ministero della Salute in tema di Qualità dei servizi sanitari, avviando il primo studio nazionale dedicato a questo tema ("Risk management in Sanità. Il problema degli errori").

La riflessione sul tema della gestione del rischio aziendale si sviluppa originariamente nel settore industriale, e la letteratura di riferimento è stata elaborata nel campo della logistica, della produzione, della finanza aziendale e della gestio-ne assicurativa. L’estensione dell’approccio e delle metodologie di risk management al settore dell’assistenza sanitaria è un passaggio delicato, che richiede di valutare attentamente l’applicabilità dei concetti di riferimento a questo contesto. In sanità, dove non è possibile semplicemente mutuare da esperienze e concetti elaborati altrove, la puntualizzazione di alcuni concetti di base del risk management rappresenta quindi un momento non formale, che delinea ex novo la mappa delle conoscenze per lo sviluppo della funzione. Dal punto di vista organizzativo, la scelta della definizione stessa di rischio costituisce il momento centrale dello sviluppo della funzione aziendale e dei sistemi di gestione ad essa correlati. È quindi necessario che il concetto di rischio sia il più possibile operativo, chiaro, e non troppo astratto.

In questa prospettiva, è necessario definire innanzitutto le tipologie di rischio e il ciclo logico della funzione risk management, a partire dalla consolidata distinzione che distingue "rischi speculativi" e "rischi puri".

I rischi speculativi sono legati al verificarsi di eventi che implicano sia la possibilità di un beneficio che di una perdita (ad esempio: le decisioni di investimento). Essi sono connaturati all’esercizio dell’attività d’impresa: non a caso, la gestio-ne è generalmente considerata come parte caratteristica della complessiva strategia aziendale. A fronte di questi rischi è possibile sviluppare azioni e strumenti di gestione alla base della creazione di un compenso reddituale e di vantaggio competitivo.

I rischi puri, invece, sono legati al verificarsi di eventi che comportano conseguenze esclusivamente negative per l’organizzazione. I rischi puri descrivono eventi dannosi capaci di turbare il sereno svolgimento della routine operativa e ostacolare la stabilità e l’equilibrio aziendali in modo profondo e durevole (ad esempio: lo scoppio di un incendio, un danno all’impianto produttivo, il furto a valori aziendali). Il verificarsi di questi rischi è indipendente da decisioni aziendali e non è pertanto possibile prevedere con esattezza né il momento in cui si verificheranno, né la gravità delle conseguenze arrecate. L’interesse dell’organizzazione sarebbe, idealmente, la completa eliminazione: questa soluzione non appare tuttavia possibile, in quanto svantaggiosa sia dal punto di vista economico (costo troppo alto rispetto al beneficio raggiungibile), che tecnico. Essendo, infatti, strettamente connessi alle attività core dell’azienda, è probabile che l’unica modalità di una loro completa eliminazione sia per l’azienda l’abbandono della missione aziendale.

L’insieme dei rischi che l’azienda fronteggia in un determinato momento è definito profilo di rischio. La natura di tale profilo e la sua composizione sono influenzati dalle finalità aziendali, oltre che dalle caratteristiche dell’ambiente interno ed esterno in cui essa opera. In ambito sanitario esso è funzione della mis-sion aziendale (in particolare, la tipologia di azienda considerata e il livello di specializzazione dei servizi offerti: ASL, AO, IRCSS), della combinazione delle caratteristiche epidemiologiche e socio culturali della popolazione, delle caratteristiche istituzionali dei sistemi sanitari di riferimento (l’ambiente esterno), delle competenze professionali disponibili, della disponibilità e funzionalità dei sistemi di controllo interni dell’ambiente organizzativo interno e dalla cultura organizzativa (l’ambiente interno). La descrizione del profilo di rischio è un’operazione che non può essere generalizzata e deve basarsi su valutazioni condotte nello specifico contesto aziendale, integrando tutte le informazioni possibili. Inoltre, il profilo di rischio è estremamente dinamico, ragion per cui il management ha la responsabilità di dotarsi di sistemi di rilevazione sistematici per monitorarne costantemente l’evoluzione.

La parte caratterizzante e prioritaria del profilo di rischio delle aziende sanitarie è costituita dalla dimensione del rischio clinico, definito come probabilità che un paziente sia vittima di un evento avverso (un danno o disagio), imputabile, anche se in modo involontario, alle cure mediche prestategli durante un periodo di degenza e in grado di causare un prolungamento del periodo di degenza, un peggioramento delle condizioni di salute o la morte. Alla base di ogni evento avverso è sempre possibile individuare uno o più errori, commessi dai singoli operatori o dal sistema organizzativo (processi, procedure, divisione e carichi di lavoro individuali). Gli studi di ergonomia e di psicologia organizzativa hanno contribuito alla conoscenza delle cause che originano il prodursi degli errori nelle moderne organizzazioni, attraverso l’elaborazione del modello cognitivo dell’errore. Il modello evidenzia gli eventi avversi prevenibili, ovvero quelli originati da errori, sottolineando inoltre come questi errori, in misura schiacciante, siano riconducibili al sistema piuttosto che a livello dei singoli operatori. Buona parte degli errori (e degli eventi avversi) almeno in teoria potrebbe quindi essere gestibile mediante l’attivazione di un ciclo di attività di identificazione, analisi e gestione, proprio della funzione risk management.

Il risk management, su questa linea, rappresenta quindi l’insieme delle azioni, delle metodologie e degli strumenti impiegati in azienda per la riduzione della tipologia di rischi che comportano, potenzialmente, solo conseguenze negative all’organizzazione (il richiamato concetto di rischio puro che in sanità si declina, in particolare, l’errore clinico). La gestione del profilo di rischio dell’azienda sanitaria presuppone la definizione di un intervento organizzato e consapevole, sistemico e continuo, che combini attività e decisioni di natura strategica e una fase di gestio-ne operativa.

La gestione del rischio, a sua volta, si basa sulla conoscenza degli elementi che lo costituiscono. Tali elementi possono essere descritti come l’insieme delle minacce in cui i rischi si concretizzano (ovvero la fonte del rischio), delle risorse aziendali colpite dalla minaccia (i diversi sottosistemi aziendali esposti al rischio), delle vulnerabilità che rendono le risorse minacciate più attaccabili (i punti di debolezza che possono aumentare la probabilità che il concretizzarsi della minaccia dia origine ad un danno) e, infine, delle "conseguenze" del verificarsi della minaccia (l’insieme degli effetti su tutte le componenti del sistema aziendale).

Definiti gli elementi di rischio oggetto di gestione è quindi possibile descrivere il ciclo logico (Figura 3) della gestione. I momenti chiave di questo ciclo sono innanzitutto il coinvolgimento e formazione del personale e l’identificazione degli obiettivi della funzione di risk management. Al termine di questa fase preparatoria si colloca la fase di identificazione dei rischi, mediante la ricostruzione del profilo di rischio aziendale. Si apre quindi la fase progettuale, durante la quale la valutazione e quantificazione dei rischi viene attuata per progettare le misure e gli strumenti di gestione e mitigazione. Il ciclo di pianificazione si chiude con l’avvio della fase operativa, che vede l’implementazione del programma e il controllo e feedback del ciclo attivato.

L’esplicitazione della missione e dell’oggetto della funzione appare una scelta del grado di "differenziazione orizzontale" della funzione risk management. In altri termini, di quali tipi di rischi si deve occupare la funzione risk management? Solo dei rischi sanitari (clinical negligence e malpractice)? O spaziare, ad esempio, anche alla gestione dei rischi non sanitari (emergenze, frodi, sicurezza strutturale ecc.)? La scelta non è affatto scontata. Il profilo di rischio nel settore sanitario è multidimensionale, poiché il rischio prioritario (il rischio clinico, insito nei processi primari) si accompagna sempre alla presenza di altre aree di rischio collocate nei processi di supporto (rischi non sanitari, tra cui, ad esempio, quelli amministrativi, logistici, ecc. Per un confronto, è sufficiente pensare alla struttura "monodimensionale" del profilo di rischio della maggior parte delle imprese, dove la produzione (attività primaria) rappresenta tipicamente un’area ad elevata standardizzazione e automazione, quindi, relativamente poco rischiosa. In sanità, al contrario, l’attività core (diagnosi, cura e riabilitazione) è quella più a rischio, poiché ha per oggetto, di per sé, la gestione di un rischio (il "rischio salute" del paziente).

deve essere affidata la responsabilità della gestione del rischio clinico? L’unica strada percorribile, in questo contesto, è la sottoscrizione di un patto tra azienda e professionisti in grado di assicurare l’autonomia di decisione di gestione dei rischi clinici e, al contempo, la responsabilizzazione mediante l’autogoverno delle pratiche cliniche, a livello individuale e di team. Accanto alla responsabilità di line della gestione del rischio clinico (relativa alle aree specifiche di performance clinica), lo sviluppo della funzione risk management dovrà perciò prevedere un efficace meccanismo di integrazione in grado di assicurare il governo unitario delle azioni di gestione dei rischi clinici, in mano ai professionisti, con le altre attività di gestione dei rischi non sanitari.). La multidimensionalità del profilo di rischio, connaturata alla missione istituzionale delle aziende sanitarie, è una caratteristica che rende particolarmente complesso disegnare una responsabilità "aziendale" di gestione del rischio. Non è un caso, quindi, che le aziende sanitarie che per prime hanno sviluppato una funzione risk management si siano concentrate su un nucleo ristretto di rischi, dando vita innanzitutto a sistemi di clinical risk management. Solo in una seconda fase si osserva, accanto al nucleo primario, uno spazio di sviluppo di sistemi di gestione di rischi delle attività di supporto.

Dalla definizione dei "confini orizzontali" della funzione risk management muove in seconda battuta la decisione di come collocare le responsabilità di gestio-ne dei rischi tra i diversi livelli organizzativi, ovvero la scelta del grado di differenziazione "verticale" della funzione. Le aziende sanitarie devono valutare la riallocazione delle diverse responsabilità di gestione dei rischi, attualmente diffuse tra più funzioni aziendali (ad esempio il servizio protezione aziendale, la direzione sanitaria), oltre alla scelta di quali attivare ex-novo (ad esempio, la gestione dei cli-nical audit o del rischio legato alle tecnologie sanitarie). A valle di questa decisione si colloca, poi, la definizione del disegno dei meccanismi di coordinamento e integrazione, che assicurino in prospettiva il presidio unitario della gestione del profilo di rischio aziendale. Questa fase è caratterizzata dal trade-off tra accentramento o decentramento della responsabilità di valutazione e gestione dei rischi tra gli organi di governo, la funzione dirigenziale e i team di professionisti. L’allocazione della responsabilità di gestione dei rischi sanitari è una decisione estremamente delicata, che chiama in gioco il carattere professionale dell’organizzazione sanitaria, citato precedentemente. La gestione dei rischi clinici, a questo proposito, è un terreno che enfatizza efficacemente la debolezza della leva gerarchica nella gestione delle organizzazioni professionali. La valutazione e la decisione delle azioni di governo dei rischi legati alle attività di diagnosi e cura richiede necessariamente un intervento da parte del management nella sfera dell’autonomia professionale dei professionisti. D’altra parte, la gestione del rischio clinico è un’area di responsabilità di cui rispondono sia il management intermedio (primari, responsabili di distretto e dipartimento, direzioni di presidio) che la direzione strategica (direzione sanitaria, in primis). A quale livello — verticale, quindi —

Lo sviluppo del risk management fornisce un approccio sistemico e sistematico al fabbisogno di governo dell’ incertezza aziendale. Il risk management reinterpreta in modo originale la tradizionale "funzione di controllo", attraverso una strategia di responsabilizzazione sulla qualità dell’assistenza erogata, che viene affidata alla gestione dei professionisti in cambio della piena autonomia decisionale relativa a dove e come agire sui fallimenti del sistema assistenziale. L’approccio giustamente sottolinea la necessità di dare vita ad un nuovo rapporto tra management e professionisti come condizione per introdurre nuove strategie e sistemi di gestione rischi.

Concludendo, la prospettiva di una efficace co-gestione management-professionisti del profilo di rischio aziendale appare oggi sempre più realistica.

Innanzitutto perché le aziende sanitarie dispongono oggi di sistemi gestionali più maturi, che da meccanismi reattivi si stanno trasformando in sistemi anticipatori e proattivi rispetto alla lettura delle possibili dinamiche ambientali.

In secondo luogo, perché il contesto ambientale di riferimento è fonte di una serie di stimoli sempre più pressanti nella direzione della sicurezza e della qualità dell’assistenza sanitaria e, in questo senso, non pare più possibile che le aziende possano tornare indietro sulla strada intrapresa.

Infine, perché a dispetto dei tentativi di ingegneria organizzativa che stanno caratterizzando questa fase di sviluppo della funzione, il risk management è una prospettiva di rafforzamento della qualità delle pratiche cliniche che affonda le radici nella cultura professionale medica e, proprio per questo motivo, se opportunamente guidata dalle aziende e dal sistema, rende oggi fiduciosi degli esiti positivi che contribuirà a produrre anche per il settore sanitario pubblico.