Perché la formazione non riduce il rischio (e cosa lo riduce davvero)

Un corso completato non cambia il comportamento. Il vero divario è tra sapere e agire nel momento della scelta. Ecco cosa riduce davvero il rischio umano.

· 6 min

Ogni anno le organizzazioni investono in formazione obbligatoria. Le persone guardano i video, superano i quiz, ottengono l'attestato. I completion rate salgono. E il rischio resta esattamente dov'era. Non è un paradosso: è il difetto strutturale del modo in cui la maggior parte delle aziende affronta il rischio umano.

Il divario tra sapere e agire

Il problema non è che le persone non sappiano cosa è rischioso. La maggior parte sa benissimo che non dovrebbe cliccare su un link sospetto, condividere una password o saltare un controllo. Il divario non è tra chi sa e chi non sa: è tra sapere qualcosa in astratto e agire diversamente nel momento reale, sotto pressione, con la fretta di chiudere un'attività.

Un corso completato misura se una persona ha visto un contenuto. Non misura se il suo comportamento è cambiato.

Le stesse ricerche di settore lo confermano. Il vero divario non è nella consapevolezza, ma nel comportamento che persiste nonostante la consapevolezza. Le persone completano la formazione e continuano a fare le stesse cose.

Il rischio si concentra

C'è un dato che cambia il modo di guardare il problema: una piccola parte delle persone genera la gran parte dell'esposizione. Non perché siano malintenzionate, ma perché sono più esposte, più distratte, più prese di mira. Formare tutti allo stesso modo, sullo stesso contenuto, ignora questa concentrazione.

  • 68% delle violazioni coinvolge un elemento umano (Verizon DBIR 2024)
  • 8% / 80% l'8% delle persone genera l'80% degli incidenti (Mimecast)

Cosa riduce davvero il rischio

Tre cose che un corso da solo non fa: misurare l'esposizione reale (dove il rischio è davvero, in quali comportamenti e in quali persone), allenare il comportamento nel momento della scelta invece che spiegarlo in astratto, e dimostrare con dati che il rischio è sceso. La formazione riempie la testa di nozioni. Il cambiamento avviene solo quando il comportamento viene allenato dove conta.

È la differenza tra un'organizzazione che può mostrare un registro di corsi completati e una che può mostrare che il rischio, misurato, è diminuito. La prima ha adempiuto. La seconda si è protetta.