Guida pratica
Come si calcola il ROSI della formazione sulla sicurezza
Il ROSI (Return on Security Investment, il ritorno di un investimento in sicurezza) risponde a una domanda semplice: per ogni euro che investo, quanto rischio evito? È il numero che le Risorse Umane portano in direzione per far approvare il budget della formazione.
Tre numeri e una formula
Il metodo è quello usato nella gestione del rischio e descritto anche dall’Agenzia europea per la cybersicurezza (ENISA, Introduction to Return on Security Investment).
- 1
Quanto costa un incidente
Il danno medio di un singolo incidente grave: fermo delle attività, ripristino, sanzioni, clienti persi. Nei manuali si chiama SLE (perdita per singolo evento).
- 2
Quanto è probabile in un anno
La probabilità che un incidente del genere capiti nell’arco di un anno. Nei manuali si chiama ARO (frequenza annua).
- 3
Quanto lo riduce la formazione
Di quanto si abbassa il rischio quando le persone riconoscono phishing, truffe e comportamenti pericolosi.
- €
Quanto investi
Il costo annuo della formazione: per PensieroSicuro Premium è il canone per il numero di persone.
Perdita attesa in un anno = costo di un incidente × probabilità in un annoRischio evitato = perdita attesa × riduzione grazie alla formazioneROSI = (rischio evitato − investimento) ÷ investimentoDa dove vengono i nostri numeri
Nel calcolatore partiamo da questi valori. Sono ipotesi prudenti: puoi cambiarle con i dati della tua azienda.
| Valore | Cosa rappresenta | Fonte |
|---|---|---|
| 300.000 € | Costo medio di un incidente per un’azienda colpita, usato fino a 250 persone | Rapporto Clusit, ottobre 2025 |
| 3,31 milioni € | Costo medio di una violazione di dati in Italia, usato oltre 250 persone | IBM, Cost of a Data Breach, edizione 2025 |
| 10% | Probabilità di un incidente grave in un anno | Nostra ipotesi prudente, da adattare |
| 30% | Riduzione del rischio grazie alla formazione | Nostra ipotesi prudente, da adattare |
Due esempi, passo passo
I prezzi vengono dal listino di PensieroSicuro Premium, IVA esclusa.
Un’azienda con 500 persone, contratto di 3 anni
Prova con i tuoi numeri
Cambia le ipotesi: il risultato si aggiorna mentre scrivi.
Come leggerlo, e cosa non dice
- Positivo vuol dire che conviene: il rischio che eviti vale più di quanto spendi. Un ROSI del 200% significa che ogni euro investito evita in media tre euro di danni.
- È una stima, non una promessa: dipende dalle ipotesi. Prova a dimezzare probabilità o riduzione e guarda se resta positivo: è il modo più onesto per presentarlo.
- Non conta tutto: restano fuori benefici difficili da misurare, come la reputazione o la formazione richiesta da GDPR e NIS2, e costi interni come il tempo delle persone in formazione.
- Usa i tuoi dati quando li hai: incidenti degli ultimi anni, costi di fermo, sanzioni ricevute. Il calcolo diventa più solido e più facile da difendere.
Le parole del ROSI
SLESingle Loss Expectancy: la perdita attesa da un singolo incidente.
AROAnnualized Rate of Occurrence: quante volte in un anno ci si aspetta l’incidente.
ALEAnnualized Loss Expectancy: la perdita attesa in un anno, cioè SLE × ARO.
Vuoi portarlo in direzione? Prepara la proposta con il calcolatore di Premium o leggi perché le Risorse Umane scelgono Premium.