Esperienze CobiT nelle banche: il Testo Unico dei Controlli di Banca CR Firenze

Transcript

1 Esperienze CobiT nelle banche: il Testo Unico dei Controlli di Banca CR Firenze Cesare M. De Santis Puzzonia e Gabriele Rocchi OASI SpA Gruppo ICBPI FIRENZE, 17 settembre

2 OASI SpA Fa parte del Gruppo bancario Istituto Centrale delle Banche Popolari Italiane Società di servizi, anche in outsourcing, prodotti e consulenza Leader di mercato in materia di antiriciclaggio Gli specialisti della compliance hanno svolto diversi interventi di consulenza a supporto della costituzione della Funzione di Audit dei S.I. e dello sviluppo di processi di analisi basati sulla metodologia CobiT (Control Objectives for Information and related Technology) 2

3 PM in Banca CR Firenze (1) Approccio ispirato a PMBOK (Project Management Body of Knowledge) Quadro generale per la gestione dei progetti ICT definito e controllato attraverso gli obiettivi di controllo del processo CobiT PO10 Manage projects al fine di assicurare una corretta definizione delle priorità ed il coordinamento di tutti i progetti Attori, fasi e controlli della progettualità sono disciplinati da circolare aziendale Progetti gestiti in maniera automatizzata attraverso il Portale della progettualità, condiviso con Infogroup Struttura dedicata (Servizio Program and cost management ) (1) Situazione esistente alla data di completamento del progetto 3

4 Il governo del S.I. Nell ambito del programma di miglioramento del governo e di ottimizzazione dell ICT aziendale, gli obiettivi del progetto, iniziato nel giugno 2007 e completato circa un anno dopo, sono stati: verificare la completezza e l adeguatezza del sistema di controlli esistenti sull ICT aziendale rispetto ad uno standard internazionale riconosciuto; pianificare gli interventi di adeguamento; Sviluppare un Testo Unico dei Controlli (TUC) per l area ICT della banca tenendo conto dello scenario di outsourcing di Gruppo (Infogroup) esistente. 4

5 Specificità del progetto Gli obiettivi sono stati sottoposti alle seguenti specificità : individuazione in CobiT 4 dello standard di riferimento; suddivisione dell analisi in due fasi: una prima fase di analisi di alto livello a partire dall articolazione dei processi CobiT con mappatura sull esistente; una seconda fase di analisi di dettaglio privilegiando quei processi CobiT considerati rilevanti per la legge 262/2005 (1) ; Gestione automatizzata del TUC. (1) Sono considerati quelli definiti come Entity ed Activity nel documento IT Control Objectives for Sarbanes-Oxley: The Role of IT in the Design and Implementation of Internal Control Over Financial Reporting, 2nd Edition di IT Governance Institute 5

6 Gestione del TUC Sviluppo sw di documentazione CobiT oriented, sulla base dei requisiti Banca CR Firenze ed Infogroup Stesso formalismo nella scheda TUC e base dati comune (costituita dall insieme delle schede componenti il TUC) Omogeneizzazione criteri valutazione del rischio e dell adeguatezza dei controlli Profilazione utenti (azienda/funzione/utente) del TUC Sviluppo query e report sulla base dati 6

7 Definizione controllo Per ciascun obiettivo di controllo: individuazione (evento/categoria/risk driver) e valutazione (impatto/probabilità) del rischio (assoluto); definizione controllo (1) (descrizione/responsabilità/formalizzazione/riferimenti/ periodicità) valutazione (media valori di 6 parametri) della validità dei controlli definiti e abbattimento del rischio (residuo) (1) Attività ripetitiva 7

8 Scheda del TUC Prima sezione: obiettivo di controllo Definizione Riferimento ai processi Seconda sezione: analisi del rischio Evento pregiudizievole Categoria di rischio Risk driver Individuazione (fonti: ABI e CobiT) Valutazione (impatto/probabilità) = esposizione assoluta al rischio Terza sezione: controlli Controllo di dettaglio Definizione Funzione responsabile Ruolo Periodicità Formalizzazione Riferimenti normativi processi Infogroup/normative banca/procedure interfaccia Altri documenti/riferimenti Esposizione assoluta Valutazione controlli = Esposizione residua 8

9 Report e query sul TUC Parametri di ricerca per query dominio/processo/obiettivo di controllo CobiT esposizione assoluta/residua al rischio categoria di rischio adeguatezza controlli funzione aziendale/ruolo processi CobiT qualificati Activity/Entity (rilevanza legge 262/2005) stato di formalizzazione del controllo di dettaglio riferimento normativo schede TUC prive di controlli di dettaglio definiti Stampa TUC (in PDF) per ruolo/funzione aziendale secondo l articolazione dei domini/processi CobiT 9

10 Fine presentazione Grazie per la cortese attenzione! Le slide che seguono sono quelle richiamate in maniera ipertestuale 10

11 TUC condiviso 11

12 Approccio CobiT al TUC 12

13 Scheda TUC (1/2) 13

14 Scheda TUC (2/2) 14

15 Inserimento controllo 15

16 Valutazione controlli 16

17 Calcolo esposiz. assoluta 17

18 Calcolo esposiz. residua 18

19 Produzione report/query 19

20 Scheda TUC in PDF 20

21 Esempio su PO.10 21