La qualità dei controlli come strumento di mitigazione del capitale assorbito Massimiliano Forte

Rome, January 29 th Contesto le istituzioni finanziarie si sono esposte in misura crescente rischi diversi ai rischi diversi – operativi, di non conformità nonche reputazionali– derivanti da nuove attività affiancamento (e sovraesposizione) di nuove attività a quelle tradizionali (finanza strutturata, derivati) aumentata complessità aumentata complessità del contesto operativo, normativo e regolamentare Attività tradizionali poco performing, utili in calo, spinta del trading e dellinvestiment gestione dei rischi limitata alle tipologie Pillar I e approccio ai rischi da laboratorio Sostenibilità delle performances del sistema bancario

Rome, January 29 th Contesto complessità gestionale Rischi indotti dallaumento della complessità gestionale in presenza di strategie aziendali orientate a forte crescita, abbiamo assistito a casi di scarsa funzionalità dei meccanismi di governance e del sistema dei controlli interni Esecutivo forte accentramento dei poteri nellEsecutivo, non soggetto a controlli efficaci tendenza allautoreferenzialità scarsa domanda di risk e inefficace gestione del processo decisionale prevalentemente business oriented con rischi correttamente misurati ma off policies. rafforzamento dellassetto organizzativo- informatico e dei controlli maggiore sensibilità del top management alle esigenze di sviluppo commerciale piuttosto che al rafforzamento dellassetto organizzativo- informatico e dei controlli debolezza delle funzioni di analisi organizzativa insufficienti sistemi di monitoraggio dellefficienza dei processi aziendali inadeguata valutazione delle esigenze connesse con lampliamento delloperatività in settori non tradizionali, non adeguatamente presidiati

Rome, January 29 th Basilea II e NAC Nellambito del II Pilastro, rischi e controlli devono uscire dalla fase di laboratorio per diventare embedded in un sistema di governance integrato. intermediari da parte degli intermediari, il processo formalizzato di valutazione delladeguatezza del capitale interno (ICAAP) è fondato sulla ricognizione di tutti i fattori di rischio rilevanti, anche non coperti o parzialmente coperti dai requisiti del Primo Pilastro Con esplicita inclusione del rischio reputazionale tra i rischi da considerare Autorità di Vigilanza da parte delle Autorità di Vigilanza, il riesame e la valutazione dellICAAP sarà effettuata sulla scorta del proprio apprezzamento del profilo di rischio globale dellintermediario, tenuto anche conto delladeguatezza dei sistemi di internal governance Con valutazione dellesposizione dellintermediario al rischio reputazionale e dellidoneità della funzione di compliance

Rome, January 29 th LICAAP ha tra I suoi presupposti lesistenza di adeguati meccanismi di governo societario, una struttura organizzativa ben definita e efficaci sistemi di controllo interno. LICAAP

Rome, January 29 th Ricordiamo che ICAAP si colloca in un macro processo di allocazione del capitale quale processo di assegnazione della capacità di assumere rischio a ciascuna business unit che sono in grado di massimizzarne la redditività Il patrimonio di una istituzione finanziaria non risponde solo alla funzione di copertura delle perdite e quindi di cuscinetto per lassorbimento dei rischi, ma è una forma di finanziamento adatta per quelle attività delle ist fin la cui redditività si manifesta in modo differito nel tempo; Nel determinare la dotazione di capitale sono 4 I fattori che vanno considerati: a) I requisiti patrimoniali impliciti ed espliciti imposti dal Regulators b) I piani di sviluppo aziendale e il relativo grado di rischio c) il mercato di capitali d) il rating obiettivo Capital Allocation Process

Rome, January 29 th Il primo pilastro impone nuovi requisiti patrimoniali che possiamo definire espliciti con la conseguenza e tutti ormai nota che in ambito di approcci standard potrebbe generarsi un aumento del requisito patrimoniale per effetto della presenza del requisito addizionale relativo al rischio operativo. Luso di modelli interni potrebbe determinare una riduzione del requisito. In ogni caso nei primi tre anni il requisito patrimoniale esplicito è soggetto ad un floor prefissato rispetto al requisito patrimoniale scaturito dalle regole di Basilea 1. I requisiti implici derivano proprio dal secondo pilastro, formalmente definito supervisory review, volto ad affiancare alle regole quantitative un processo di determinazione del requisito patrimoniale - meglio detto adeguatezza patrimoniale - che comprende delle variabili qualitative e organizzative nellambito dei sistemi di controllo dei rischi delle banche oltre che della presenza di altri rischi non ricompresi nel primo pilastro. Capital Adeguacy. Requisiti espliciti ed impliciti

Rome, January 29 th PILLAR II Template

Rome, January 29 th The Supervisory review and evaluation process (SREP) Review the institutions risk profile, IG and ICAAP adequacy and reliability, adequacy of its own funds and internal capital mitigants, with the following tools at their disposal On-site examinations and inspections Off-site review Discussions with bank management Review of work done by external auditors Periodic reporting Risk control and management processes MUST BE adequate for their business structure and risk profile Internal Governance (IG) Ensure that management is explicitly/transparently responsible for business strategy, organization, and internal control. Internal capital adequacy assessment process (ICAAP): Adequately identify and measure the firms risks Hold adequate internal capital in relation to Citigroups risk profile Use sound risk management systems and develop them further Pillar II - Supervisory Review Process Principles

Rome, January 29 th E sulla definizione di qualità del sistema dei controlli interni che bisogna soffermarsi per definirne contesto e contenuti. BU-processi-rischi inerenti-key controls-rischi residui Contesto: BU-processi-rischi inerenti-key controls-rischi residui Punti di domanda: Gli obiettivi assegnati alle BU sono stati definiti in modo coerente con gli macro- obiettivi stabiliti dallazienda (corporate objectives)? Quale è il livello di consapevolezza tra i managers e lo staff; sono state mai espresse preoccupazioni sui rischi assunti? Sono chiaramente definiti i ruoli e le responsabilità dei risk owners allinterno della BU? Esiste una diffusa conoscenza del risk appetite aziendale e del livello massimo di accettabilità dei rischi residuali al netto dei controlli in essere? Esistono canali di comunicazione appropriati tra staff e managers in merito agli obiettivi assegnati e ai rischi? Il ruolo del Sistema dei Controlli Interni

Rome, January 29 th I rischi come vengono identificati e valutati, e nel caso di mutamenti di contesto o di strategie esistono appropriati meccanismi di adeguamento? E in essere un processo che garantisca nel continuo che i rischi siano individuati (catturati), ed immediatamente classificati e valutati? Quali sono le policy in termini di mitigazione e contingency dei rischi materiali? Esiste apposita documentazione dalla quale risultino evidenze dellintero processo di individuazione e valutazione dei rischi? Esiste una funzione che svolge il ruolo di quality assurance nelle linea di management e che guida e supervisiona il processo di Risk Control Self Assessment? Esistono appositi test di verifica dei controlli di primo livello (key control levels)? Luso della tecnologia supporta il business nella riduzione dei rischi operativi derivanti da un eccessivo uso di attività manuali? Il ruolo del Sistema dei Controlli Interni

Rome, January 29 th Esiste un apposito cruscotto (dashboard) a disposizione del management che permette di prendere le decisioni in termini di assunzione e gestione dei rischi in tempi ragionevoli? Sono registrati gli eventi che non producono perdite materiali (near misses)? Esistono per ogni categoria di rischio un benchmark in termini di correlazione con i volumi o di livelli soglia per dimensione dellorganizzazione? I key controls sono efficaci ed effettivi? I key controls sono documentati? Esiste una metodologia di reporting consolidata in modo da poter fornire informativa al senior management sui rischi importanti, i fallimenti dei key controls e le performances corrette per il rischio? Il ruolo del Sistema dei Controlli Interni

Thank you