efficienza ed efficacia

Transcript

1

2

3 editoriale efficienza ed efficacia per aggiungere valore alla qualità La filosofia di SEC SERVIZI, società consortile per azioni, si fonda sull intrinseca convinzione che sviluppare sinergie nel campo dell ICT consente alle singole banche consorziate di rafforzare la propria capacità operativa e la continua innovazione tecnologica mantenendo, nel contempo, l autonomia decisionale e la governance su scelte e strategie. Da tempo il mercato conferma la bontà del modello adottato così come la qualità raggiunta dai servizi è testimoniata dalla notevole espansione dimensionale conseguita. Negli ultimi anni, grazie alla crescita delle banche socie e all estensione dei servizi e dell offerta al mercato, SEC SERVIZI ha potuto aumentare considerevolmente i volumi operativi gestiti riuscendo, in virtù delle maggiori sinergie attuate, a raggiungere importanti obiettivi di riduzione del pricing. Un trend complessivamente positivo che si è protratto anche nel corso del 2009 durante il quale, nonostante lo scenario economico difficile e le incertezze del mercato, SEC SERVIZI ha continuato a contraddistinguersi come azienda di successo in continua crescita registrando un andamento positivo in tutti i suoi indicatori. Con efficacia ha dunque saputo cogliere tutte le opportunità del momento fornendo un contributo di valore ai propri Soci e Clienti. A tal riguardo desidero tuttavia sottolineare come, nella logica consortile che caratterizza la società, il merito dell evoluzione aziendale sia da attribuire anche ai Soci di SEC SERVIZI: solide banche legate al territorio impegnate a sostenere e rilanciare l economia che, nel riaffermare la bontà dei propri modelli di far banca, hanno proattivamente lavorato a fianco di SEC SERVIZI affinché la crescita e lo sviluppo del consorzio fosse strumentale al proprio specifico business. Il crescente interesse e la puntuale attenzione che Soci e Clienti dimostrano nei riguardi dell ICT testimoniano come l informatica sia a tutti gli effetti divenuta leva strategica per il business bancario e come le soluzioni tecnologiche proposte vengano percepite sempre più come investimento produttivo e funzionale allo sviluppo. Forte di tale consapevolezza, negli ultimi anni SEC SERVIZI ha accelerato un percorso di sviluppo che ha portato l azienda a elevati livelli di performance. In virtù delle crescenti sinergie derivanti dal continuo allargamento societario e della clientela, SEC SERVIZI può oggi disporre di servizi di elevata qualità che consentono ai Soci e Clienti un evidente e reale vantaggio competitivo. Un positivo circolo virtuoso che si autoalimenta e che, grazie alla competenza e professionalità dello Staff che lavora in azienda, rappresenta il segreto dei successi di SEC SERVIZI. Un percorso intrapreso da quasi quarant anni, e nel tempo consolidatosi, che ci legittima a guardare il futuro con ragionevole ottimismo. 3

4 sommario in questo numero 3 Editoriale Efficienza ed efficacia per aggiungere valore alla qualità 26 Customer service SEC SERVIZI reingegnerizza il servizio clienti 5 SECurity Online Una visione globale sulle minacce online e le risposte di successo di SEC 28 Servizi Galileo Network Confidi: consulenza e supporto organizzativo 16 La proposta di SEC SERVIZI Per un assistenza finanziaria personalizzata 32 Convegno CPM La nuova soluzione direzionale per la gestione integrata della banca 20 Monitoraggio e GdC Nuovo approccio: evoluzione del modello di gestione del credito 24 La partecipata di SEC SERVIZI: AMS Full outsourcing tra le società di gestione del risparmio

5 SECurity Online una visione globale sulle minacce online e le risposte di successo di SEC Nel rapporto cliente-banca, internet è diventato nel tempo uno strumento abituale, di uso quasi quotidiano. Alcuni dei servizi di home banking attualmente più diffusi sono: Visione dell estratto conto Bonifici bancari on-line Operazioni di ricarica del cellulare Pagamenti on-line L adozione di sistemi di home banking ha portato vantaggi sia alle banche che ai clienti degli istituti di credito: per la banca l adozione di tali servizi comporta l allargamento del target di clientela, potendo estendere i propri servizi anche all estero, e una riduzione dei costi operativi; i clienti beneficiano invece della maggior comodità (accesso non geograficamente né temporalmente limitato) dei servizi di home banking e del loro minor costo rispetto ai servizi off-line. La tendenza è ampiamente confermata anche nei servizi online offerti da SEC SERVIZI. Servizi sempre più completi e ricchi di funzionalità e di multicanalità per poter soddisfare le esigenze del nuovo mercato. Internet ha reso possibile avere i servizi Bancari in casa, addirittura in tasca (MOBanking). Ma le enormi potenzialità dell «Internet banking» possono anche lasciare spazio a problematiche che contemplano diversi aspetti. Siamo abituati a vedere la Banca la cassaforte che custodisce il denaro e ne garantisce la sicurezza. Progettare servizi bancari innovativi per SEC SERVIZI implica in primis tenere conto della sicurezza. Ma cosa vuol dire sicurezza online? Sicurezza online vuol dire garantire un servizio e degli strumenti per i quali il cliente banca possa fidarsi del mondo digitale operando in assoluta riservatezza e confidenza. Tutti i servizi ad oggi offerti dalla Banca, non prescindono dalla sicurezza per quanto essi possano essere utili. L iniziale diffidenza dei consumatori sull utilizzo dell online banking è stata superata creando garanzie di sicurezza. Realizzare servizi online sicuri, vuol dire innanzi tutto avere cultura informatica in ambito di security, progettare software avendo sempre fisso l obiettivo di creare un prodotto sicuro e non ultimo conoscere e tenersi informati sulle minacce informatiche. SEC SERVIZI offre nelle sue architetture sicurezza. E nel cuore delle sue applicazioni, e nella cultura delle modalità di progettazione di servizi. Sicurezza online ad oggi significa per SEC SERVIZI garantire anche alle applicazioni di multicanalità una progettazione software sicura, canali di comunicazione con la clientela cifrati secondo gli standard SSL di mercato, apparati WAF (Web application Firewall) per evitare attacchi applicativi, sistemi leader di mercato Web Authentication, test periodici di penetration test per validare la bontà dell infrastruttura e correggere eventuali rischi da nuove insidie. Ma un sistema centrale sicuro garantisce la sicurezza delle operazioni online? Per capire cosa vuol sicurezza, dobbiamo analizzare le frodi informatiche sia da un punto di vista internazionale che contestualizzato nel mercato bancario italiano. Parlare di frode informatica e analizzare le sue forme ed entità il più delle volte corrisponde a creare allarmismo. Ma bisogna essere consapevoli che ad oggi dietro ad un crimine informatico, non c e più un singolo hacker, 5

6 La soluzione ICT per il credito e la finanza Hole in one SEC SERVIZI fornisce servizi di Information & Communication Technology a Istituti bancari e Istituzioni finanziarie. L efficienza del proprio sistema informativo, le soluzioni evolute di multicanalità e i servizi di back office accentrato consentono al Cliente di poter tranquillamente affidare a SEC SERVIZI, in full outsourcing o in service verticale, la gestione dell Information Technology. Application Management Il sistema informativo di SEC SERVIZI garantisce una copertura di qualità su ogni area funzionale utilizzando i migliori prodotti disponibili sul mercato: un sistema informativo multibanca, personalizzato, altamente modulare intuitivo ed omogeneo nelle sue differenti funzioni, semplice da imparare e da usare, pronto e veloce nelle risposte, aggiornato all ultima normativa. Facility Management and Operations Il potente sistema legacy, l elevata capacità di memorizzazione, la sicurezza del processo di Disaster Recovery, l affidabilità della rete di trasmissione dati fornita da più carrier, il sistema sempre disponibile (24 ore/365 giorni) e l efficiente gestione dell output rendono SEC SERVIZI un azienda leader nello sviluppo di soluzioni tecnologicamente avanzate. Consulenza, formazione e assistenza L elevata professionalità del personale di SEC SERVIZI garantisce un puntuale studio progettuale, un assistenza costante e completa su qualsiasi ambito funzionale ed efficaci percorsi formativi sull utilizzo del sistema. Servizi complementari SEC SERVIZI, inoltre, offre servizi per accesso web a database esterni, struttura tecnica delegata per Corporate/Remote Banking, gestione ATM e POS, supporto al marketing per mailing e, in collaborazione con partner di comprovata affidabilità, servizi mirati per Confidi e soluzioni di Fatturazione Elettronica. SEC SERVIZI S.C.p.A. - Via Transalgardo, Padova - T F

7 SECurity Online bensì organizzazioni specializzate. La frode online è un mercato nascosto (underground) per la compra vendita di credenziali o numero di carte di credito rubate e di strumenti per la realizzazione delle frodi. Come nei normali mercati, la maggior parte dei frodatori che partecipano in esso sono specializzati nell offrire una particolare tecnologia o un particolare servizio. Il modello dell organizzazione è riassunto nella figura sotto: complesse strategie organizzative per l esecuzione materiale della frode. Usano reti di conti di persone che ricevono fondi, ritirano denaro, e lo inviano ad altri frodatori, spesso tramite servizi di trasferimento di denaro. I conti sono usati anche per ricevere e rispedire materiale comprato con carte di credito. Ma quali sono le tecniche per rubare le credenziali? Fino a qualche anno fa la più diffusa tecnica per rubare le credenziali era il phishing. Ad oggi le tipologie di attachi conosciuti sono molteplici, dai trojan, al fastflux, al drive-by-download fino al man-in-the-browser. Phishing Il processo di frode si compone in due fasi: Harvesting (Raccogliere) Cashing out (Incassare) La prima fase è un processo di collezione di credenziali e informazioni personali degli utenti online. Un frodatore harvester lavora per recuperare credenziali compromesse con l intenzione di rivenderle ai frodatori che hanno il compito di incassare. Facendo leva su infrastrutture tecniche e strumenti informatici eseguono i loro attacchi. L attacco consiste nel rubare le credenziali, e fornirle all ecosistema delle frodi ad un prezzo. Di solito il prezzo è stabilito per conto compromesso, o per giga di dati, o per una percentuale sulle frodi. Un tempo questi guadagnavano la metà del processo di frode, ad oggi, semplificandosi gli strumenti per catturare credenziali, il 20%. I frodatori che incassano hanno lo scopo di sviluppare una infrastruttura operazionale e le relative strategie di utilizzo. Mentre i primi frodatori erano focalizzati principalmente nelle tecnologie, questi ultimi utilizzano E il processo di acquisizione delle informazioni personali di un utente online (quali possono essere il numero di conto corrente bancario, il numero della carta di credito o le password segrete) attraverso i metodi di comunicazione come la mail. Il phishing è la tecnica più vecchia, e rimane la più popolare e largamente usata dai frodatori per il suo basso tempo e costo di esecuzione. Fast-Flux network Le Fast-Flux network sono uno dei metodi che i frodatori stanno usando sempre più spesso per estendere la tecnica di phishing. E una tecnica avanzata che sfrutta una rete di computers compromessi, detti botnet, per nascondere il vero server (chiamato mother ship) di phishing e contenente i siti con i malware. Questa rete di host compromessi agiscono da proxy e cambiano in continuazione. Ci si può anche riferire a questo attacco come alla combinazione di reti peerto-peer, sistemi command-and-control distribuiti, load balancing del web e redirezione di proxy utilizzate per rendere le reti di malware più resistenti rispetto alla loro individuazione e alle contromisure di spegnimento del sito infettato. L uso del fast flux si calcola sia stato del 44% negli attachi di phishing totali del 2008, incluso l attacco al famoso sito MySpace. 7

8 SECurity Online Trojans Un Trojan (Cavallo di Troia) è una forma di software malevolo (malware,virus) che tipicamente risiede nei computer degli utenti, e all apparenza sembra un programma innocuo. Rispetto al phishing che è facilmente identificabile dagli utenti online con qualche avvertenza, un trojan è invisibile nel pc. naviga semplicemente su siti o che riceve una posta viene infettato dal virus. Un esempio è stato il sito di Paul McCartney s fan page. Nell aprile del 2009, il sito è stato messo sotto attacco e per 2 giorni tutti i visitatori che lo visitavano sono stati infettati da un famoso e pericoloso malware finanziario. I trojan tipicamente cercano di catturare le credenziali immesse dall utente in una navigazione Web (di solito SSL, ovvero quelle con canale cifrato tipo gli accessi ai conti online). I più diffusi Trojans sono Zeus e Limbo che compromettono la navigazione del browser e la guidano per poter catturare le credenziali. In altri casi, questi riescono a modificare le pagine della sessione dell utente per rubare altri dati come la password o il numero di carta di credito. Drive by Download Storicamente il phishing e i Trojans sono stati riconosciuti come gli unici possibili attacchi. La combinazione di phishing e Trojan che lavorano insieme è diventata la tecnica prevalente tra i frodatori. Nel 2009 il crimine online è cresciuto vertiginosamente attorno al 600%. Si usa dunque il phishing come ingegneria sociale per far accedere l utente a contenuti di siti internet, che una volta effettuato il download iniettano il trojan sul pc. Questa tecnica è conosciuta come drive-bydownload. Tipicamente i frodatori prendono in considerazione eventi o personaggi celebri di particolare interesse pubblico. Vengono inviate delle mail agli utenti indirizzandoli a vedere video o a leggere una notizia in merito a questi eventi o celebrità. Quando gli utenti cliccano sul link del video, vengono infettati dal Trojan. Casi noti sono stati video su Britney Spears o sulla morte di Michael Jackson. Una volta visto il sito e cliccato la visualizzazione del video compariva sul browser un errore che chiedeva di installare Adobe Flash Player 10. L installazione invece di scaricare il plugin per vedere il video, installava un Trojan progettato per catturare dati finanziari e informazioni personali. A volte semplicemente sfruttando falle di browser o di client di posta o del sistema operativo, l utente che Verificando gli andamenti di tali attacchi, quello che si denota è che il fenomeno del phishing internazionale ha raggiunto per il terzo mese consecutivo il record con attacchi in ottobre. Dal seguente grafico si denota inoltre come il metodo largamente preferito per sferrare gli attacchi sia il Fast-Flux, cresciuto tra l altro del 3% rispetto a Settembre

9 SECurity Online nazionale, di cui 11 banche piccole e minori e 10 gruppi bancari medio grandi. Nel panorama delle frodi il campione si presenta sostanzialmente equiripartito sulle tre modalità principali. La malavita organizzata in ambito frode è internazionale. Le modalità di attacco che sono state riscontrate sul campione analizzato delle frodi andate a buon fine, indicano una maggioranza di casi di phishing, che corrisponde quasi ai due terzi del totale. Anche in termini di volumi transati tale percentuale si ripresenta quasi immuta, a conferma dell efficacia che il fenomeno del phishing puro ancora conserva. Forme di attacco più evolute, basate principalmente su crimeware (malware), sono segnalate in larga maggioranza da quelle banche che sono da più tempo oggetto di attacchi, e che pertanto hanno adottato misure più consolidate e fluide di contrasto agli attacchi di phishing puro. Le statistiche di carattere internazionale vanno però integrate con l analisi in ambito finanziario italiano, fatta dall ABILab. SEC SERVIZI infatti partecipa alla Centrale d Allarme ABI Lab per Attacchi Informatici in cui sono presenti le più rappresentative Banche Italiane e Patners. Le analisi sono svolte su un campione di 21 banche altamente rappresentative del sistema bancario 9

10 10

11 SECurity Online Nel corso del 2009 si è evidenziato però come il volume degli attacchi di phishing sembra essersi ridotto, a beneficio di attacchi più mirati, che si stanno rivolgendo in maniera sempre più crescente anche ad organizzazioni non finanziarie, che gestiscono pagamenti on-line. (autenticazione forte); l uso di un qualcosa che l utente conosce, ad esempio la sola password, viene considerato una autenticazione debole. Uno dei meccanismi più utilizzati in ambito bancario per praticità e semplicità d uso sono i token One Time Password. Lo scopo della one-time password (OTP) è avere un meccanismo forte di autenticazione basato su una password univoca usa e getta. Ci sono vari tipi di one-time-password, basati sul meccanismo di generazione della password. I trojan continuano ad essere la categoria per eccellenza di malware rilevata a livello worldwide, e per essi si evidenzia un trend in crescita rispetto a tutte le altre tipologie. È stato evidenziato nel primo semestre del 2009 un trend in crescita di sfruttamento delle vulnerabilità dei software client di gestione dei documenti, con prevalenza sui documenti di tipo.pdf Il meccanismo di generazione più utilizzato è basato su una sincronizzazione temporale tra il server di autenticazione e il dispositivo che fornisce la password. Attenta al contesto SEC SERVIZI si è inserita verificando le migliori soluzioni presenti nel mercato. L adozione di meccanismi di autenticazione forte basati su OTP (One time password, ovvero password usa e getta) dà un forte contributo alla risoluzione di molti dei problemi di sicurezza evidenziati. Ma in dettaglio che soluzioni di sicurezza sono a disposizione nella multicanalità di SEC SERVIZI? SEC SERVIZI offre in ambito multicanalità ha 2 soluzioni di One Time Password Token OTP RSAOTP GSM Telecom Da questa analisi si deduce che l utente finale è l obiettivo principale degli attacchi. Obiettivo facile da attaccare, e con strumenti meno efficaci per la protezione personale. Per poter minimizzare gli effetti di queste perdite di credenziali le Banche nel contesto italiano con l adozione di nuove tecniche di autenticazione e di verifica delle dispositive effettuate. Ad integrazione propone dal 2005, la soluzione di notifica SMS delle dispositive. Entrambi i meccanismi di strong authentication si sono rivelati casi di successo, a partire dal Token OTP RSA. Quando viene utilizzato un meccanismo di autenticazione tramite un qualcosa che l utente possiede si parla di strong authentication 11

12 SECurity Online La soluzione RSA scelta è una time-synchronized one-time passwords, il cui generatore di password è un token fisico da consegnare al cliente, mentre il server di verifica della password generata, è installato nei server multicanalità di SEC SERVIZI. In questo sistema OTP, il tempo è un importante parte per il meccanismo di generazione della password dato che una nuova password si crea in tempo corrente, oltre ad una chiave segreta all interno del token. In quest ultimo quindi c e un clock che deve essere sincronizzato con il clock del server di autenticazione. Il Token genera una chiave di 6 cifre ogni 60 secondi. Ha una durata da 5 anni, ed è antitampering, ovvero in caso di apertura fisica del token il meccanismo interno si autodannaggia per evitare la clonazione. Funzionamento del token Il codice si considera corretto se: il codice inserito è quello mostrato dal token nel momento in cui è richiesto; il token è sincronizzato con il server di verifica; Se invece è tra uno di quelli generati, memorizza per il token la differenza temporale da tener presente per le successive verifiche. Questo permette di avere un meccanismo autolearning delle desincronizzazioni dei token, con il vantaggio di non dover avere token che smettano di funzionare e che debbano essere sostituiti. La scelta di SEC SERVIZI e delle Banche è stata verso RSA, leader nel panorama della sicurezza e nei servizi a 360 in quest ambito. La soluzione è stata adottata per prima dal Gruppo Popolare di Vicenza. Nell arco di pochi mesi la soluzione si è dimostrata valida, semplice e molto apprezzata da parte della clientela che vede nel token, una chiave, una sicurezza effettivamente fisica del proprio conto. La dimostrazione del successo del dispositivo, conferma anche il successo dell integrazione fatta da SEC SERVIZI ed è integrata perfettamente in ogni canale della multicanalità (dal home banking, al MOBanking, al Call Center). il codice inserito non è già stato usato per una verifica precedente (One time password). Oggi tutti i clienti con conto online in Banca Popolare di Vicenza utilizzano il token. Il codice si considera scorretto se: OTP GSM il codice inserito è formalmente scoretto (ha una lunghezza errata, non è numerico,...); il codice è formalmente corretto ma errato; il codice è già stato usato. Dato che la sincronizzazione del server e dei token è fondamentale per la verifica corretta, il software di verifica tiene conto anche di eventuali desincornizzazioni dei singoli token. In particolare, la prima volta che viene verificato un codice di un token, il server cerca di capire ricostruendo i codici precedenti e futuri, che tipo di intervallo temporale c e di differenza tra il suo clock e il token. Se il codice inviato dall utente non esiste, il server non riconosce il token. La soluzione del token è un ottimo prodotto. Nell ottica della continua diversificazione, SEC SERVIZI ha ritenuto di valutare soluzioni interamente basate sul dispositivo che in Italia è più diffuso del computer: il telefono cellulare. Essendo un paese dove ogni 100 persone ci sono 120 cellulari (studio Eurostat), trovare una soluzione di sicurezza del Internet Banking basata su questo dispositivo garantisce il vantaggio di non 12

13 SECurity Online dover distribuire all utente finale una quantità fisica in più. Un nuovo meccanismo che si è affacciato al mercato delle soluzioni di strong authentication è l utilizzo del proprio telefono cellulare come mezzo di autenticazione; esso diventa quindi il token usato per certificare e abilitare le proprie credenziali. Il processo combina due fattori (PC e cellulare) e due canali per l invio dei dati (web e gsm): è un processo di autenticazione a due fattori-due canali. La strong authentication è basata sul possesso da parte dell utente del cellulare registrato e sul disaccoppiamento del canale di autenticazione rispetto quello di fruizione del servizio. Il valore aggiunto di questa soluzione si può riscontrare principalmente nei seguenti fattori: l usabilità di tale meccanismo (il telefono cellulare è da considersi oramai un bene di massa e non di lusso); la differenziazione del canale di comunciazione (gsm), complementare rispetto a quello di fruizione del servizio (web); l aleatorietà delle password OTP utilizzate, generate dinamicamente; la logistica, non essendoci costi aggiuntivi per l acquisto del token e per la gestione del suo ciclo di vita. Il concetto di OTP è basato sul fatto che per ogni ordine dispositivo il sistema genererà un numero di telefono randomico (dentro un certo range) che l utente dovrà contattare entro un certo tempo per confermare l ordine. La password OTP non è così ristretta al solo numero telefonico (randomico) da contattare, ma viene combinata col numero del telefono utilizzato per chiamare, che l utente ha preventivamente identificato come proprio. Infatti viene utilizzato per il riconoscimento l MSISDN del cellulare, un numero univoco, che identifica una persona in una rete mobile GSM/UMTS. La soluzione scelta è stata di utilizzare il servizio di strong authentication Aladdin offerto da Aliaslab. Aladdin può essere infatti integrato in un applicazione web utilizzando interfacce web service, quindi si presta ad essere integrato alla soluzione di IHB di SEC SERVIZI; i server che contengono le interfacce a questi web service e che effettuano la verifica della corretta chiamata al numero verde sono quindi quelli della multicanalità di SEC SERVIZI. Tale soluzione è stata implementata ed è già in uso da una banca cliente SEC. Anche in questo caso SEC SERVIZI, grazie alla 13

14 SECurity Online continua ed efficace collaborazione con le banche del consorzio, è riuscita ad integrare la soluzione sulla multicanalità in breve tempo e con estrema attenzione alle esigenze del cliente. Le integrazioni di una nuova forma di sicurezza infatti non sono basate solo sulla tecnologia dispositiva che cambia, bensì nello sviluppo di un processo, che tenga conto del cambiamento di tecnologia, del processo di registrazione, provisioning del nuovo sistema alla clientela e degli strumenti di controllo e analisi di BackOffice a supporto del cliente. SEC SERVIZI con questi progetti riesce a fornire alla Banca Cliente una vasta offerta di soluzioni. I servizi di sicurezza descritti sono flessibili e configurabili per utenza. Ovvero la Banca potrebbe pensare di creare dei servizi in cui decidere di classificare la clientela e fornire un servizio OTP basato su chiave RSA per alcuni e su soluzione GSM per altri. Luciano Dalla Riva, Direttore generale di SEC SERVIZI <<La sicurezza è uno degli asset fondamentali su cui si fondano i nostri servizi>> L attenzione di SEC SERVIZI sulle tecnologie da fornire alle Banche per contrastare i fenomeni di frode non si ferma mai. La sicurezza è uno degli asset fondamentali su cui si fondano i nostri servizi. Per questo, siamo da sempre molto attenti a questo tema, e investiamo continuamente su questo fronte nell intento di offrire ai nostri clienti le migliori soluzioni applicative presenti sul mercato. 14

15 15

16 La proposta di SEC SERVIZI per un assistenza finanziara personalizzata SEC SERVIZI, nel costante intento di affiancare e sostenere le attività e il business delle proprie Banche clienti e socie, ha condiviso con le stesse la soluzione per l erogazione della consulenza finanziaria Mifid compliant alla clientela private. Come noto la direttiva Mifid definisce il servizio di consulenza in materia di investimenti, come la prestazione di raccomandazioni personalizzate ad un cliente, (dietro sua richiesta o per iniziativa del prestatore del servizio) riguardo ad una o più operazioni relative ad un determinato strumento finanziario. Il gruppo di lavoro congiunto SEC SERVIZI - Banche ha pertanto definito come perseguire l obiettivo di fornire un servizio di consulenza conforme con la normativa Mifid che distingua ed elevi il livello di servizio formato dalle Banche e coinvolga l intero patrimonio del cliente. Tale servizio è destinato, con criteri e modalità diverse, ad ogni segmento di clientela, compresa quella di più alto standing. Infatti Consob, nelle proprie linee di indirizzo, prevede che le banche possano configurare servizi di consulenza a diverso valore aggiunto, destinandoli quindi anche a differenti segmenti di clientela. I requisiti funzionali di dettaglio del gruppo di lavoro sono stati completati nel corso del L esame della copertura in termini di clienti/referenze delle soluzioni considerate ha incluso gran parte dei casi realizzati in modo non custom sul mercato italiano della consulenza private. Al termine di un approfondita fase di valutazione e confronto è stata individuata la piattaforma Objectway, che pertanto sarà installata ed integrata in Secnew nel corso del secondo semestre Il progetto con Object Way prevede la realizzazione completa in circa 8-10 mesi (coerente con progetti analoghi di altre primarie banche italiane). L applicativo consente di erogare al cliente un percorso completo di consulenza finanziaria, i cui step sono dettagliati nello schema sotto riportato: 16

17 La proposta di SEC SERVIZI L individuazione del cliente è il primo passo per l erogazione della consulenza. L applicativo di consulenza, oltre a garantire la ricerca del cliente al proprio interno, tramite interfaccia all anagrafe generale/contratti della Banca, potrà acquisire il nominativo tramite link dal front desk della filiale. In questo caso l applicativo sarà attivato direttamente dal front di sportello, consentendo l integrazione fra i diversi servizi a disposizione degli operatori e assicurando così la fluidità nei loro work flow operativi. La consulenza può inoltre essere erogata anche ad un cliente potenziale (prospect), disponendo così di uno strumento non solo atto a fidelizzare la clientela esistente, ma anche idoneo ad attrarne di nuova. Componente fondamentale per l erogazione della consulenza personalizzata è la conoscenza, da parte della Banca, del profilo finanziario completo del cliente. Allo scopo l applicativo consente, tramite interfaccia all attuale motore di calcolo dell adeguatezza Mifid (IAC di CAD), la lettura/scrittura del questionario Mifid, sia ultimo che storico, il cui fine è determinare quali portafogli modello possono essere proposti al cliente. Individuato il cliente vengono visualizzati i suoi rapporti in base a regole predefinite (ad esempio i rapporti intestati, cointestati, delegati, etc). L operatore può scegliere (seleziona/deseleziona) i rapporti da analizzare, anche in relazione all obiettivo che il cliente vuole perseguire. L applicativo esporrà il portafoglio delle attività e passività del cliente selezionato, ovvero dei rapporti in capo allo stesso scelti dall operatore. Questi i partitari alimentanti: Area Finanza Fondi e Sicav Gpm C/C e libretti di risparmio Estero Certificati di Deposito Derivati Otc Pronti contro termine Assicurazioni Fondi Pensione Mutui Prestiti Personali Il portafoglio attuale del cliente viene visualizzato aggregando gli strumenti finanziari secondo diversi criteri di raggruppamento flessibile (macro e micro asset class). Sul portafoglio viene visualizzato il calcolo delle performance ottenute, sia su un intervallo predefinito (ad esempio un anno) che su periodi scelti dall operatore. Oltre agli strumenti gestiti presso la banca, è possibile inserire asset detenuti presso terzi, qualora dichiarati dal cliente. Ciascuna banca individua un set di portafogli modello e quindi di tipologie di strumenti finanziari da destinare alla clientela sulla base del citato profilo finanziario (questionario Mifid) e delle caratteristiche dell eventuale obiettivo del cliente, sia esso il conseguimento di 17

18 La proposta di SEC SERVIZI un rendimento piuttosto che un capitale a scadenza (ad esempio l acquisto di una casa oppure la rendita integrativa per la pensione). Determinato il portafoglio modello, l applicativo deve provvedere al confronto fra portafoglio attuale e modello, indicando le singole operazioni di acquisto e vendita necessarie per allineare il portafoglio attuale del cliente al portafoglio modello. Oltre al confronto a livello di composizione e quindi di ripartizione sulle micro asset class, l applicativo fornisce sia il back testing (comportamento dei due portafogli nel passato) che l analisi previsionale, basata su indicatori di performance, rischio e volatilità, determinati dalla Banca. Dopo aver allineato gli asset del cliente al portafoglio modello l applicativo ne permette il monitoraggio, al fine di rilevare eventuali scostamenti sui parametri utilizzati per la determinazione dello stesso (il rischio, il rendimento, la volatilità, etc). Tale funzionalità consente di supportare la relazione col cliente e di apportare al portafoglio gli assestamenti e i ribilanciamenti necessari per mantenerlo in linea con il profilo e le scelte del cliente. Possiamo quindi concludere che l applicativo di consulenza finanziaria coniuga due esigenze solo apparentemente distinte per le banche: la rispondenza alla normativa e l esigenza di conseguire business e quindi ricavi, mantenendo e sviluppando la raccolta dalla clientela ed i servizi prestati alla stessa. A fronte della consulenza erogata viene prodotto un report, in formato pdf, da consegnare al cliente. Il report, personalizzabile per ciascuna Banca, sia per il layout che per i contenuti, può contenere le seguenti informazioni: Portafoglio attuale del cliente Portafoglio modello Questionario Mifid del cliente Grafici a supporto dell analisi svolta Operazioni di allineamento del portafoglio Questi applicativi, relativamente nuovi per il panorama bancario italiano, possono contribuire in modo sostanziale al trasferimento della fonte dei ricavi in ambito finanziario dal mark up sui titoli negoziati alla commissione per il servizio di consulenza prestato, in linea con lo spirito della normativa Mifid, tesa a garantire la tutela dell investitore e la scelta degli investimenti al suo esclusivo interesse. Ogni informazione utile (scenari macroeconomici, etc). 18

19 19

20 Monitoraggio e GdC nuovo approccio evoluzione del modello di gestione del credito SEC SERVIZI ha avviato un attività progettuale che risponde all esigenza delle Banche di dotarsi di strumenti che favoriscano una tempestiva gestione delle posizioni problematiche, indirizzando e strutturando l operatività dell utente, e che si colloca nell ambito di una serie di importanti iniziative già avviate volte ad evolvere il parco applicativo del Credito. L iniziativa prevede la definizione di un modello di gestione del portafoglio crediti, basato su strategie predefinite e coerenti con il livello di rischiosità del cliente e la realizzazione di uno strumento informatico che supporti l utente nella gestione andamentale del credito. Il nuovo modello, definito attraverso confronti diretti con le singole Banche, copre le fasi creditizie che vanno: dalla rilevazione delle posizioni anomale, all assegnazione di uno status gestionale che riflette il crescente livello di rischio delle controparti, alla definizione di strategie gestionali mirate a sanare le anomalie rilevate, al monitoraggio della corretta esecuzione degli interventi (incluse sia posizioni in bonis che quelle in default, escluse le sofferenze). Figura 1: Nuovo modello di gestione del Credito condiviso con le Banche 20

21 Monitoraggio e GdC In particolare, il nuovo processo prevede una gestione puntuale e tempestiva delle anomalie gravi, (da indirizzare al momento del loro verificarsi) tempistiche predefinite per ciascuna fase di lavorazione, e meccanismi di controllo che consentono di verificarne l avanzamento e ne garantiscono il completo governo. La gestione prevede due distinti approcci: approccio Industrializzato: mira ad aumentare l efficacia delle strategie gestionali e liberare tempo alla Rete, attraverso la standardizzazione delle azioni verso il cliente, l utilizzo di competenze specifiche e la decentralizzazione/automatizzazione delle attività a minor valore ; approccio Dedicato: finalizzato a guidare l utente nella gestione puntuale delle posizioni che evidenziano segnali di deterioramento, con strumenti e metodologie che agevolano l individuazione delle azioni correttive e ne limitano la discrezionalità. La differenziazione degli approcci gestionali è in funzione della tipologia di clientela (es. l approccio industrializzato è orientato alla gestione di posizioni non complesse, con prodotti standard quali il Mutuo e/o il C/C; ecc.). Il modello si caratterizza inoltre per la presenza di meccanismi organizzativi di escalation delle responsabilità che spostano la competenza gestionale su Organi di Livello Superiore per i casi più gravi o anomalie irrisolte, garantendo da un lato la responsabilizzazione della Rete per livelli di rischio contenuto, e dall altro un maggior presidio da parte delle strutture centrali. A partire dal modello gestionale condiviso con le Banche, sono stati definiti i requisiti funzionali alla base del nuovo strumento applicativo, denominato Gestione del Credito GdC, che si caratterizza per i seguenti aspetti essenziali: B Area dati cliente: Visualizzazione dei dati di sintesi del cliente A Area di menu: Menù di navigazione tra le varie funzioni cross Shortcut (es.: ritorno all home page) A D B E C C Area di supporto: Area di ricerca cliente Messaggi dalla Direzione Link e materiale di supporto all utente D Area di To Do List: Definizione delle pratiche secondo requisiti temporali o attività da svolgere Evidenze del giorno E Area di lavoro: Dettaglio delle posizioni da lavorare secondo i requisiti selezionati nella To Do List 21

22 Monitoraggio e GdC integrazione nell attuale Desktop di Filiale (all interno dello scenario del Credito), volta a garantire la completa uniformità degli strumenti di lavorazione oggi disponibili in Filiale; funzioni di business guidate da processi che consentono di gestire parametricamente attività, ruoli, iter di processo, ecc.; integrazione al documentale per le funzioni di archiviazione documenti, storicizzazione, ricerca e recupero documenti. L avvio del nuovo applicativo avverrà, mediante rilasci progressivi, a partire dal primo semestre del Prosegue l evoluzione del sistema informativo di SEC SERVIZI sulla base delle esigenze di Business future e presenti delle nostre Banche commenta Paolo Pecchiari, Vice Direttore Generale di SEC SERVIZI. Dopo l evoluzione dello Sportello volto a massimizzare l efficenza e l efficacia dell azione commerciale in filiale, decentrando in back office e/o su altri canali a minor costo, le transazioni a basso Paolo Pecchiari, Vice Direttore generale di SEC SERVIZI <<Prosegue l evoluzione del sistema informativo di SEC SERVIZI>> di interpretare anche quella che sarà l evoluzione su queste componenti nel prossimo futuro: la consulenza finanziaria e la gestione strategica del credito. valore aggiunto, ci si è concentrati su altri 2 aspetti fondamentali della gestione del cliente, cercando La prima potenzia ulteriormente l efficacia commerciale dando nuovi strumenti alla forza vendita in materia di investimenti Mifid Compliant, la Gestione del Credito punta, invece, a industrializzare un sistema per la gestione delle posizioni problematiche del credito in modo tempestivo. Tale tematica diventerà sempre più pressante in relazione anche alla crisi economica di questo periodo. 22

23 23

24 La partecipata di SEC SERVIZI: AMS full outsourcing tra le società di gestione del risparmio Ridurre i costi non è sufficiente in tempi di crisi. Occorre farlo in modo intelligente. Potrebbe essere questa, in estrema sintesi, la ricetta che spiega il successo di AMS - Asset Management Service, società di servizi di full outsourcing per le realtà che operano nel mercato del risparmio gestito. Il mercato del risparmio gestito sta attraversando una fase particolare. Da un lato la crisi di tutta l industria e la riduzione di masse e ricavi hanno costituito un forte fattore di pressione per la riduzione dei costi e lo snellimento di strutture e procedure. Dall altro la tendenza in atto verso possibili poli aggreganti, che costituiscano una massa critica indispensabile per ottenere buone performance, spinge alla ricerca di soluzioni che garantiscano in maniera efficace l aggregazione e la gestione di dati e piattaforme diverse, fattore che rappresenta uno dei nostri punti di forza afferma Matteo Moretti, Presidente di AMS Group. AMS è l unico player del settore con un offerta completa e integrata che include il Back Office e l ICT. Si tratta di una società giovane, dinamica e innovativa, ma con solide radici nell ambito dei servizi per il settore finanziario. AMS nasce infatti nel 2007 per volontà di Lynx Spa e SEC SERVIZI dalla cessione di un ramo d azienda del Gruppo Azimut Sgr, leader nel business del risparmio gestito. Oggi è già tra le più affermate realtà del settore, sia in termini di fatturato che di masse amministrate, per un valore di queste ultime che supera i 20 miliardi di euro. La storia di AMS è quella di una crescita continua. Il 2009 si è chiuso con l acquisizione Servizi Sgr che ha Matteo Moretti, Presidente di AMS Group portato in dote quattro nuovi clienti, tra cui i due maggiori: Carige Sgr (Banca Carige), Vegagest Sgr (principale azionista Cassa Di Risparmio di Ferrara). I clienti hanno premiato la nostra capacità di offrire soluzioni solide e affidabili, grazie alle quali ci prendiamo completamente in carico i servizi di back office e ICT, offrendo loro risposte veloci e l aggiornamento tempestivo delle nostre soluzioni, oltre a una razionalizzazione dei processi e dei costi di gestione conferma Moretti. L elemento che ha caratterizzato maggiormente la nostra attività, è stato il concetto di flessibilità e rapidità d intervento applicati a quelle che sono le reali esigenze del cliente, prescindendo da logiche di costi o di dimensionamento, il che si è tradotto di fatto in una costante comunicazione e in un puntuale confronto con il cliente stesso continua Moretti. 24

25 La partecipata di SEC SERVIZI: AMS L operazione si traduce per AMS nell acquisizione di 6 miliardi di euro di masse gestite e di uno staff altamente qualificato di 30 persone. Si tratta dunque di un rafforzamento dell offerta di AMS, grazie al know how e all expertise acquisito da Servizi Sgr. E da sottolineare infatti come la società abbia rappresentato un unicum nel panorama nazionale per il suo essere al tempo stesso società di full outsourcing ed SGR, potendo quindi vantare una solidità e un affidabilità derivanti anche dallo stretto controllo al quale era sottoposta dagli organi di vigilanza (Consob e Banca d Italia). L acquisizione inoltre rafforza la volontà di AMS di diventare leader del settore non solo in Italia, ma anche a livello europeo. E per il 2010 prevediamo di confermare il trend di crescita, con l acquisizione di due nuovi importanti clienti, che ci consentiranno di confermare la nostra leadership per il full outsourcing nel campo del risparmio gestito, dichiara Moretti. A conferma della validità del progetto e della sua proiezione verso un rapido sviluppo nel corso del 2009 EFA (European Fund Administration), leader e punto di riferimento nel mondo per le attività di back e middle office in ambito finanziario gestite in outsourcing, con oltre 100 miliardi di euro di masse amministrate, primo amministratore di fondi in Lussemburgo e secondo amministratore di fondi a livello mondiale, entra nel gruppo AMS con una quota del 10%. Si tratta di un investimento strategico che riconosce la solidità della proposta di AMS e il suo potenziale di sviluppo. In poco più di due anni dunque AMS ha saputo esprimere la sua vocazione internazionale e oggi opera già in un contesto europeo, grazie alle sedi di Milano e del Lussemburgo, presso le quali operano oltre 150 persone. I servizi offerti da AMS L offerta dei servizi AMS in full outsourcing si compone di: Valorizzazione di tutti i tipi di prodotti oggi gestiti (OICR aperti, pensione, hedge, real estate e private equity; Gestioni Patrimoniali; Raccolta Ordini; unit e index linked) Gestione dei sottoscrittori (TA) pluri-prodotto Collegamenti con uffici amministrativi, reti di collocamento, banche depositarie, info provider, ecc. Consulenza organizzativa Assistenza nella migrazione / fusione di altre strutture SGR e SIM acquisite dal Cliente Internal Audit di SGR e SIM Gestione dei servizi di assistenza e amministrazione delle reti di promotori di SIM e Banche Contabilità generale e societaria 25

26 Customer Service sec servizi reingegnerizza il servizio clienti Il mondo del finance è più che mai coinvolto in un processo di aggiornamento continuo. Per questo motivo, SEC SERVIZI ha deciso di accrescere il grado di flessibilità e trasparenza dei servizi offerti, soprattutto dal punto di vista dell help desk. A tale scopo si è voluto integrare uno strumento centralizzato, capace di offrire una visione completa sullo stato della domanda, dalla presa in carico della richiesta, all assegnazione del fornitore, liberando tempo alle risorse preposte ed eliminando le code di attesa per i clienti. La significativa crescita della domanda, infatti, aveva rivelato alcune criticità della piattaforma in uso. «Le richieste di intervento tecnologico pervenivano alla struttura tramite telefono o mail - racconta Gennaro De Luca, responsabile servizio Ict Service & Infrastructure di SEC SERVIZI, mediante il telefono nei momenti di picco, i clienti non riuscivano a contattarci o accadeva solo dopo significativi tempi di attesa. Le richieste via posta elettronica, invece, non consentivano di fornire ritorni al mittente fino al momento dell evasione della richiesta stessa, nè tanto meno quest ultimo poteva conoscere lo stato di lavorazione delle richieste. Gennaro De Luca, Responsabile Servizio Ict Service & Infrastructure di SEC SERVIZI L applicativo di trouble ticketing veniva utilizzato solo all interno per tracciare i fenomeni ex post». Dopo aver confrontato le alternative di mercato, SEC SERVIZI ha deciso di capitalizzare la scelta effettuata a suo tempo da una delle banche del Consorzio con la suite Help Desk Advanced (HDA) di Pat che, per 26

27 Customer Service «Rispetto al passato oggi possiamo contare su una piattaforma avanzata - ribadisce De Luca - grazie a cui gestire e controllare l andamento dei fenomeni e delle criticità segnalate, potendo proporre su specifici template iter operativi per l utente mittente o per la persona di help desk meno esperta». De Luca, «presenta specificità interessanti come, ad esempio, la gestione in automatico dell apertura e della chiusura di ticket anche da canali diversificati. Durante i circa 9 mesi dedicati al progetto di reingegnerizzazione, il prodotto è stato adeguato sulla pluralità di istanze connesse all operatività di ogni singola realtà bancaria di riferimento. In particolare, è stato possibile integrare tutti i servizi di help desk che, attraverso un unico connettore, consentono ai vari ticket di afferire alla medesima infrastruttura centralizzata da cui gli amministratori di sistema possono gestire sia la parte di front che quella di back end. Dalla messa in produzione del sistema, avvenuta all inizio dello scorso anno, i ticket aperti sono cresciuti di mese in mese, mentre a gennaio erano al di sotto del centinaio, a luglio erano triplicati per arrivare a sfiorare quota 1400 a dicembre. La razionalizzazione dei flussi di trouble ticketing ha permesso anche una riduzione dei costi di gestione delle richieste di supporto e un monitoraggio costante dei servizi erogati per singolo istituto e centralmente. «Oltre a fornirci indicazioni precise sulle problematiche in essere - conclude De Luca -, la soluzione adottata ci permette analisi di dettaglio con diversi gradi di approfondimento grazie all analisi dei dati registrati. In questo modo i servizi di help desk si articolano al meglio sulle specificità dei clienti». «La soluzione ci permette una migliore gestione amministrativa e operativa interna - aggiunge De Luca -. Una reportistica dettagliata e analitica, infatti, consente ai vari responsabili di area di avere sempre il polso della situazione sia sulle postazioni di lavoro che sul servizio erogato». Lo strumento ha permeso di velocizzare i processi di gestione. 27

28 Servizi Galileo Network confidi: consulenza e supporto organizzativo Il Confidi, che per dimensioni di attività e per i parametri stabiliti da Banca d Italia ha l opportunità e, di regola, l obbligo di qualificarsi come soggetto Vigilato 107, si trova oggi di fronte a molte incombenze e quindi a scelte strategiche non facili da intraprendere. SEC SERVIZI e GALILEO NETWORK hanno organizzato un Convegno sul tema NUOVE OPPORTUNITA PER I CONFIDI per fornire ai Confidi nuove soluzioni e servizi. Il Convegno svoltosi il 9 ottobre 2009, ha visto la partecipazione di circa 100 persone in rappresentanza dell ampio mondo consortile, ed in particolare delle realtà più importanti del paese. L obiettivo che si è posti, rivolgendosi ai futuri Soggetti Vigilati 107, è stato di illustrare l ampiezza della problematica evidenziata da prestigiosi Consulenti, lo stato dell arte di alcuni Clienti attraverso la loro diretta testimonianza, e alcune soluzioni fortemente innovative che GALILEO NETWORK è oggi in grado di fornire, e che possono orientare il Confidi nelle scelte. Il Dott. Claudio D Auria ha evidenziato i principali elementi che vengono valutati da Banca d Italia in sede di analisi della richiesta di iscrizione e cioè: adeguatezza patrimoniale; situazione organizzativa; convenzioni con le banche; sistemi informativi; sistema contabile. In particolare dice D Auria - è essenziale che il Confidi vigilato abbia un organizzazione interna efficiente per potere operare sul mercato in maniera Claudio D Auria, Consulente Studio Legale Associato Allen & Overy 28

29 Servizi Galileo Network efficace. Occorre che siano presenti e attivati tutti i presidi di controllo previsti dalla normativa di vigilanza. Controlli di linea (interni al processo produttivo), controlli sui rischi e controlli di compliance (esterni al processo produttivo) e controlli di terzo livello (audit). Tali controlli possono essere eseguiti all interno della struttura organizzativa oppure possono essere esternalizzati (ad eccezione ovviamente del primo). L esternalizzazione dei controlli di secondo (rischi e compliance) e di terzo livello (audit), da un lato, consente di non implementare internamente funzioni nuove, dall altro, riduce l autonomia del Confidi in quanto si permette a un soggetto terzo di operare un controllo sulle modalità produttive dell azienda. Le relazioni di prestigiosi rappresentanti dei Confidi (Sviluppo Artigiano, Confidi Lombardia, Neafidi) hanno tra l altro messo in evidenza la necessità di adottare sistema informativi funzionali all operatività del Confidi e specificatamente progettati per tali enti; in particolare il Dott. Borin, Amministratore Delegato di Sviluppo Artigiano, rappresentando uno dei soli tre Confidi al momento soggetti vigilati in Italia, ha sottolineato la bontà della scelta a suo tempo fatta dalla sua società nell adottare la soluzione SIC107, e in particolare per quanto riferisce alle segnalazioni a Banca d Italia prodotte da SEC SERVIZI. 29