Misurare il rischio umano: perché i completion rate non bastano
Il completion rate misura la partecipazione, non il comportamento né il rischio. Cosa misurare davvero per sapere se l'esposizione della tua organizzazione sta scendendo.
· 5 min
Chiedi a molte organizzazioni come va la loro formazione sulla sicurezza e ti risponderanno con una percentuale di completamento. L'80% delle persone ha completato il corso. Sembra un buon numero. In realtà non dice nulla sul rischio.
Cosa misura davvero un completion rate
Il completion rate misura una cosa sola: quante persone hanno cliccato fino alla fine di un contenuto. Non misura se hanno capito, non misura se il loro comportamento è cambiato, e soprattutto non misura se il rischio dell'organizzazione è sceso. È una metrica di partecipazione travestita da metrica di sicurezza.
Un attestato dimostra che una persona ha visto un corso. Non dimostra che si comporterà diversamente il giorno in cui conterà.
Cosa misurare invece
- Il comportamento reale: come le persone agiscono davvero, non solo se completano i corsi
- La concentrazione del rischio: dove e in chi l'esposizione è più alta
- L'evoluzione nel tempo: il rischio sta scendendo, e dove
- La reazione sotto pressione: come si comportano le persone nel momento della scelta, non nel quiz
Dalla partecipazione al risultato
La differenza è tra un'organizzazione che può dire abbiamo formato tutti e una che può dire il nostro rischio è sceso, e sappiamo dove. La prima ha una metrica di adempimento. La seconda ha una metrica di sicurezza. Solo la seconda serve davvero, davanti a un board o a un audit.
- solo 28% delle organizzazioni combina formazione e monitoraggio del comportamento (Mimecast)