1 Antonio Taverna RISCHI OPERATIVI E CONTROLLO INTERNO Lezione 23 aprile 2007 – 2^ parte RISCHI OPERATIVI E CONTROLLO INTERNO.

Presentazione sul tema: "1 Antonio Taverna RISCHI OPERATIVI E CONTROLLO INTERNO Lezione 23 aprile 2007 – 2^ parte RISCHI OPERATIVI E CONTROLLO INTERNO."— Transcript della presentazione:

1 1 Antonio Taverna RISCHI OPERATIVI E CONTROLLO INTERNO Lezione 23 aprile 2007 – 2^ parte RISCHI OPERATIVI E CONTROLLO INTERNO

2 2 AT RISCHI OPERATIVI E CONTROLLO INTERNO Economici Infrastrutture. Disponibilità di capitali. Disponibilità di risorse materiali. Emissioni di prestiti, insolvenze. potenzialità delle risorse materiali. Concentrazione. Accesso ai capitali. Liquidità. Complessità. Mercati finanziari Personale. Disoccupazione. Potenzialità delle risorse umane. Concorrenza. Frodi. Fusioni/acquisizioni. Salute e sicurezza Ambientali Processo. Inquinamento e rifiuti. Risorse. Energia. Disegno. Catastrofi naturali. Esecuzione. Sviluppo sostenibile. Fornitori/dipendenze Categorie di eventi Fattori esterniFattori interni

3 3 AT RISCHI OPERATIVI E CONTROLLO INTERNO Categorie di eventi Fattori esterniFattori interni Politici. Cambiamenti nel contesto politico. Legislazione. Politiche pubbliche. Regolamentazione Sociali. Demografici. Comportamento dei consumatori. Nazionalità dellazienda. Privacy. Terrorismo Tecnologici. Interruzioni. Commercio elettronico. Dati esterni. Tecnologia emergente Tecnologia. Integrità dei dati. Disponibilità dei dati e dei sistemi. Scelta del sistema. Sviluppo. Diffusione. Manutenzione

4 4 RISCHI OPERATIVI E CONTROLLO INTERNO AT Sistema di misurazione dei rischi operativi – requisiti generali Il sistema di misurazione dei rischi operativi rappresenta linsieme strutturato dei processi, delle funzioni e delle risorse per la determinazione del requisito patrimoniale. Il sistema di misurazione utilizza le quattro componenti di seguito elencate: dati interni di perdita operativa dati esterni di perdita operativa analisi di scenario fattori del contesto operativo e del sistema dei controlli interni

5 5 AT RISCHI OPERATIVI E CONTROLLO INTERNO RECORD DI OGNI EVENTO PREGIUDIZIEVOLE DA INSERIRE NEL DATABASE ( MOD. ABI) 1.NR. PROGRESSIVO PER IDENTIFICAZIONE UNIVOCA 2.BUSINESS LINE DI ACCADIMENTO (BIS) 3.TIPO DI EVENTO 4.CODICE UNITA OPERATIVA 5.AREA GEOGRAFICA 6.PROCESSO 7.PRODOTTO 8.DATA DI RILEVAMENTO 9.DATA DI ACCADIMENTO 10.DATA CONTABILIZZAZIONE PERDITA 11.STATO DELLEVENTO: APERTO(A) CHIUSO(C) SOSPESO (S) CANCELLATO (D) 12.DESCRIZIONE

6 6 AT RISCHI OPERATIVI E CONTROLLO INTERNO RECORD DI OGNI EVENTO GENERATORE DI PERDITE DA INSERIRE NEL DATABASE (ABI) 13. QUANTITA DI MANIFESTAZIONI RIPETITIVE 14. PERDITA EFFETTIVA 15. ALTRE PERDITE STIMATE 16. MANCATI GUADAGNI 17. PERDITA POTENZIALE 18. SOMME RECUPERATE DA ASSICURAZIONI 19. ALTRE SOMME RECUPERATE 20. STATO DI RECUPERO DELLE SOMME 21. IDENTIFICAZIONE DELLOPERATORE CHE HA INSERITO RECORD 22. DATA DI INSERIMENTO E DI ULTIMA MODIFICA DEL RECORD

7 7 AT Risk Management, le scelte RISCHI OPERATIVI E CONTROLLO INTERNO Evitare il rischio – Una banca ha identificato e valutato i rischi di operare su un mercato mobiliare emergente, poco trasparente, non disponendo di una struttura sufficientemente qualificata. Ha deciso di non operare su questo mercato né in proprio né per conto della clientela. Ridurre il rischio – La banca ha identificato e valutato il rischio di blocco dei suoi sistemi per più di tre ore ed è arrivata alla conclusione che un tale evento è dannoso per la sua attività. La società, quindi, decide di investire in tecnologia per migliorare i meccanismi di auto-ricerca dei guasti e le procedure di back-up al fine di ridurre la probabilità che i sistemi si blocchino. Condividere il rischio – Un Gestore di fondi Real Estate ha identificato e valutato il rischio di gestione degli alloggi in una certa metropoli ed è arrivato alla conclusione di non disporre delle risorse necessarie per gestire efficacemente le grandi strutture residenziali che ivi possiede. Decide così di concedere in outsourcing la gestione degli alloggi a una società, specializzata nel settore, riuscendo così a ridurre la probabilità e limpatto del rischio di gestione diretta di queste strutture. Accettare il rischio – Una banca ha colto lopportunità di localizzare lattività di back-office di controllo delle carte di credito in unarea che disporrà di adeguate infrastrutture (rete energia, rete telefonica) solo fra un certo periodo di tempo; ha identificato e valutato il rischio di blocco delle attività di back-office e il costo di una copertura assicurativa. Poichè il costo incrementale dell assicurazione eccede il previsto costo di perdita temporanea di attività ha deciso di accettare il rischio.

8 8 AT Le attività RM RISCHI OPERATIVI E CONTROLLO INTERNO Analisi svolte dallalta direzione – Le performance realizzate sono analizzate raffrontandole con i budget, con le proiezioni, con i risultati dei periodi precedenti e con i risultati dei concorrenti. Si esamina landamento delle principali iniziative adottate (come, per esempio, campagne di marketing, miglioramento dei processi di vendita, programmi di contenimento o di riduzione dei costi) per determinare in che misura gli obiettivi siano stati conseguiti. Si monitorano i piani di realizzo per lo sviluppo di nuovi prodotti, per gli accordi di joint venture. Gestione diretta delle attività o delle funzioni – Tutti i responsabili di funzione o di attività procedono allanalisi della performance. Per esempio, il manager responsabile dei prestito al consumo analizza i report elaborati per filiale, per area e per tipo di prestito (incluse le garanzie), controlla le sintesi e identifica le tendenze, raffrontano i risultati ottenuti con le statistiche economiche e i target. A loro volta, i direttori di filiale ricevono i dati relativi a nuovi affari conclusi ripartiti per funzionario addetto ai prestiti e per segmento di mercato. I direttori di filiale verificano inoltre il rispetto delle norme di legge e dei regolamenti, esaminando, per esempio, le relazioni richieste dalle autorità di vigilanza in merito a nuovi depositi, che eccedono specifici importi. I flussi giornalieri di tesoreria sono riconciliati con le posizioni nette comunicate alla sede centrale per consentire a questultima di gestire velocemente i trasferimenti e gli investimenti.

9 9 AT Le attività RM RISCHI OPERATIVI E CONTROLLO INTERNO Processi informativi – Una varietà di controlli sono realizzati per verificare laccuratezza, la completezza e lautorizzazione delle operazioni. I dati registrati sono soggetti a on-line edit checks o confrontati con i file di controllo approvati. Lordine di un cliente, per esempio, è accettato solo dopo essere stato associato ad un cliente approvato e ad un limite di credito. Le sequenze numeriche delle transazioni sono registrate, le eccezioni sono rilevate e segnalate ai supervisori. Lo sviluppo di nuovi sistemi e i cambiamenti ai sistemi attuali sono controllati così come laccesso ai dati, ai file e ai programmi. Controlli fisici – Titoli, denaro e altre attività sono protetti fisicamente e periodicamente soggetti a conta fisica e confrontati con le risultanze contabili.(… le collezioni darte) Indicatori di performance – Lanalisi comparata di diversi insiemi di dati, operativi o finanziari, lesame delle correlazioni e le conseguenti azioni investigative o correttive costituiscono attività di controllo. Un indicatore da non trascurare è il turnover del personale per unità operativa. Indagando sui risultati inattesi o su tendenze anomale, il management identifica le situazioni che evidenziano uninadeguata capacità di portare a termine dei processi chiave, il che può significare che la realizzazione degli obiettivi è alquanto improbabile. Il modo in cui il management utilizza le suddette informazioni, solo per decisioni operative oppure per il follow up di risultati inattesi evidenziati dal sistema di reporting, determina se lanalisi degli indicatori di performance serve solo a fini operativi oppure anche per controllare la correttezza del reporting.

10 10 AT Le attività RM RISCHI OPERATIVI E CONTROLLO INTERNO Acquisizione, sviluppo e manutenzione del software – I controlli su acquisizione e implementazione del software sono compresi in un processo definito per la gestione dei cambiamenti, compresa la richiesta della documentazione, test di accettazione degli utenti, stress test e valutazione del rischio di progetto. Laccesso al codice sorgente è controllato attraverso la code library. Gli sviluppatori di software lavorano solo in ambienti separati di sviluppo/test e non hanno accesso allambiente di produzione. I controlli su cambiamenti di sistema includono richieste di autorizzazione ai cambiamenti, la review dei cambiamenti, approvazioni, documentazione, testing, implicazioni dei cambiamenti sulle altre componenti dellinformation technology, risultati di stress testing e protocolli di implementazione. Controllo di quadratura – Gli errori si possono rilevare riconciliando gli ammontari immessi nel processo elaborativi, sia manualmente che automaticamente, con un totale di controllo. Per esempio il numero delle operazioni di vendita di una società sono processate e trasferite dal sistema di registrazione ordini on line al sistema di fatturazione. La società provvede a quadrare automaticamente il totale del numero delle operazioni processate dal sistema di registrazione ordini on line con il numero delle operazioni trasferite nel sistema di fatturazione.

11 11 AT Le attività RM RISCHI OPERATIVI E CONTROLLO INTERNO La componente software dellinformation technology può includere controlli come la supervisione e lapprovazione da parte del management o del comitato direttivo di nuove acquisizioni significative, la restrizione dellaccesso al software di configurazione del sistema e del sistema operativo, le riconciliazioni automatizzate dei dati ottenuti mediante middle-ware software, e la rilevazione dei parità bit per gli errori di comunicazione. I controlli del software di sistema includono anche la rilevazione degli errori, i log ai sistemi e lanalisi dei report indicanti luso dei programmi per la modifica dei dati. Gestione della sicurezza - Controlli logici allaccesso come password sicure limitano laccesso alla rete, al database e a determinati livelli delle applicazioni. Le user account e i relativi controlli agli accessi privilegiati, aiutano a limitare laccesso, da parte degli utenti autorizzati alle sole applicazioni o funzioni di applicazione di cui hanno bisogno per lo svolgimento del proprio lavoro. Gli internet firewalls e reti virtuali private proteggono i dati da accessi esterni non autorizzati.

12 12 AT Le attività RM RISCHI OPERATIVI E CONTROLLO INTERNO Check digit – I dati inseriti nel processo sono valicati tramite calcolo. Per esempio, i codici anagrafici clienti contengono un check digit per individuare e correggere imputazioni non corrette. Elenco di dati predefiniti – Consiste nel fornire ai clinti dei servizi on-line una lista di dati accettabili predefiniti. Per esempio, una banca nel suo sito intranet può inserire una lista di titoli disponibili per lacquisto. Test di ragionevolezza dei dati – Sono comparati i dati rilevati con i livelli di ragionevolezza attuali o frutto di trend storici. Per esempio blocco per autorizzzazione di operazioni di acquisto o vendita di volumi eccezionali di titoli Test logici – Il controllo include lutilizzo di una serie di limiti o valori o test alfanumerici. Errori potenziali nelle operazioni su titoli possono essere individuati tramiti appositi codici alfanumerici che indicano profilo di rischio sia del titolo sia del cliente.

13 13 AT Le attività RM RISCHI OPERATIVI E CONTROLLO INTERNO Separazione dei compiti – Al fine di ridurre il rischio di errori e irregolarità, i compiti sono ripartiti o segregati tra più persone. Per esempio, la responsabilità di autorizzare operazioni, di contabilizzarle e di gestirle deve essere suddivisa tra persone diverse. Tipica e la separazione fra front-office e back office. Gestione dellinformation technology – Un comitato direttivo effettua la supervisione, il monitoraggio e il reporting relativo alle attività dellinformation technology e alle iniziative di miglioramento. Infrastruttura dellinformation technology – I controlli si applicano alla definizione, acquisizione, installazione, configurazione, integrazione e manutenzione del sistema. I controlli possono includer5e service-level agreements, che stabiliscono e rafforzano la performance del sistema, il business continuity planning, che assicura la disponibilità del sistema, un sistema di rilevazione della performance della rete, per individuare malfunzionamenti, e la programmazione delle operazioni del computer.

14 14 AT RISCHI OPERATIVI E CONTROLLO INTERNO RIDUZIONE DEI RISCHI OPERATIVI LA GESTIONE DEI RISCHI DEVE CONTEMPLARE ADEGUATE METODOLOGIE PER RIDURRE GLI EFFETTI NEGATIVI DEGLI EVENTI PREGIUDIZIEVOLI. ESSE HANNO PRINCIPALMENTE LOBIETTIVO IL MIGLIORAMENTO DEI PROCESSI E DEI PRODOTTI. METODOLOGIE UTILIZZABILI SONO SIX SIGMA – ATTRAVERSO INDICATORI SI METTE A CONFRONTO IL TARGET/BENCHMARK (ASPETTATIVE PROGETTISTI O CLIENTI) CON LA VARIABILITA CHE CARATTERIZZA GLI EVENTI BALANCED SCORECARD - E UN MODELLO DI GESTIONE DELLIMPRESA CHE PRENDE IN CONSIDERAZIONE PROSPETTIVE INTERNE ED ESTERNE ALLIMPRESA (AZIONISTI, CLIENTI E STAKEHOLDER, MANAGEMENT), INDIVIDUANDO OBIETTIVI E INDICATORI DI CONTROLLO E DI MERCATO.

15 15 AT RISCHI OPERATIVI E CONTROLLO INTERNO RIDUZIONE DEI RISCHI OPERATIVI I DUE MODELLI SONO PROPRI DELLINTERA GESTIONE E NECESSARIAMENTE SONO UTILIZZABILI AI FINI DELLA RIDUZIONE DEI RISCHI OPERATIVI IN QUANTO, IL RAGGIUNGIMENTO DI OBIETTIVI DI SODDISFAZIONE DEGLI AZIONISTI E DELLA CLIENTELA, SONO STRETTAMENTE CONNESSI AGLI OBIETTIVI DI REDDITIVITA SOSTENIBILE NEL TEMPO.

16 16 AT RISCHI OPERATIVI E CONTROLLO INTERNO RIDUZIONE DEI RISCHI OPERATIVI NEAR-MISS - Si riferisce ad accadimenti anomali che pur non producendo perdite sono segnale di futuri eventi pregiudizievoli Il modello prevede: identificazione dellevento near-miss divulgazione degli incidenti occorsi, attraverso adeguati canali e agli opportuni livelli operativi e decisionali analisi delle cause identificazione di possibili soluzioni direttive agli operatori monitoraggio delle azioni intraprese e delle problematiche aperte reporting

17 17 AT RISCHI OPERATIVI E CONTROLLO INTERNO CONTENIMENTO (MITIGAZIONE) DEI RISCHI OPERATIVI LO SI PERSEGUE ATTRAVERSO LA GESTIONE ATTIVA DEL RISCHIO E SI ESPLICITA CON IL TRASFERIMENTO A TERZI DEL RISCHIO O PARTE DI ESSO, UTILIZZANDO SCHEMI ASSICURATIVI O FINANZIARI POLIZZE ASSICURATIVE CON DIVERSE FORME DI COPERTURA COMPAGNIE CAPTIVE (COMPAGNIE DI ASSICURAZIONE CONTROLLATE DALLO STESSO GRUPPO DELLA BANCA) CONTRATTI DERIVATI OPERATIONAL RISK SWAP FIRST-LOSS-TO-HAPPEN PUT CATASTROPHE BOND CATASTROPHE OPTION

18 18 AT RISCHI OPERATIVI E CONTROLLO INTERNO OPERATIONAL RISK SWAP LA BANCA A TRASFERISCE A SOGGETTO TERZO (BANCA, COMPAGNIA DI ASSICURAZIONE) IL RISCHIO, CONTRO PAGAMENTO DI UN PREMIO. ALLEVENTUALE VERIFICARSI DELLEVENTO PREGIUDIZIEVOLE IL SOGGETTO TERZO CORRISPONDE LINDENNIZZO. FIRST-LOSS-TO-HAPPEN PUT LA BANCA CHE INTENDE EFFETTUARE UNA COPERTURA DEFINISCE UN BASKET DI EVENTI PREGIUDIZIEVOLI E IL LIVELLO DI PERDITA CHE INTENDE TENERE A SUO CARICO (TRESHOLD). LASSUNTORE DEL RISCHIO PAGA LINDENNIZZO DELLEVENTO PIU DANNOSO CHE SUPERA IL VALORE DI SOGLIA