BUSINESS COMPLIANCE HUB ANNO 2018 1
Strategia, innovazione e finanza. Questi i tre elementi fondanti le attività del CeTIF Il Centro di Ricerca su Tecnologie, Innovazione e Servizi Finanziari (CeTIF) dal 1990 realizza studi e promuove ricerche sulle dinamiche di cambiamento strategico e organizzativo nei settori finanziario, bancario e assicurativo. Ogni anno CeTIF attiva più di 15 strutture di ricerca, quali Competence Centre e Osservatori, cui possono partecipare gli oltre 20.000 professionisti che sono parte del network e organizza oltre 10 workshop dedicati a banche assicurazioni e aziende non finanziarie con l obiettivo di favorire fra i partecipanti lo scambio di esperienze e l adozione di pratiche innovative. Le attività di ricerca si focalizzano principalmente sugli effetti dello sviluppo di nuove strategie, sull innovazione normativa, sull approfondimento di prassi organizzative e di processo e sugli effetti dell introduzione dell innovazione tecnologica. Tra i partner istituzionali di CeTIF figurano: Banca d Italia, IVASS, ABI, ANBP, ANIA, AIPB e CONSOB. In seno a CeTIF è stato costituito il CEFIRS - Centre for European Financial Regulations Studies - un Osservatorio Permanente sulla regolamentazione nel settore finanziario, bancario e assicurativo. Inoltre è presente la struttura CeTIF Academy, scuola di Alta Formazione Universitaria, che si pone l'obiettivo di trasferire ai top e middle manager le conoscenze sviluppate in oltre vent anni di ricerca. CeTIF - Università Cattolica Via San Vittore, 18-20123 Milano Tel. +39 02 7234.2590 Fax +39 02 7234.8340 E-mail: cetif@unicatt.it www.cetif.it
BUSINESS COMPLIANCE HUB ANNO 2018 AUTORI: Chiara Frigerio Gabriella Pitagora Federico Rajola Clelia Tosi Pubblicato nel mese di luglio 2018 Copyright CeTIF. Tutti i diritti riservati. Ogni utilizzo o riproduzione anche parziale del presente documento non è consentita senza previa autorizzazione di CeTIF. DISCLAIMER: CeTIF assicura che il presente documento è stato realizzato con la massima cura e con tutta la professionalità acquisita nel corso della sua lunga attività. Tuttavia, stante la pluralità delle fonti d informazione e nonostante il meticoloso impegno da parte di CeTIF affinché le informazioni contenute siano esatte al momento della pubblicazione, né CeTIF né i suoi collaboratori possono promettere o garantire (anche nei confronti di terzi) esplicitamente o implicitamente l'esattezza, l'affidabilità o la completezza di tali informazioni. CeTIF, pertanto, declina qualsiasi responsabilità per eventuali danni, di qualsiasi tipo, che possano derivare dall'uso delle informazioni contenute nel presente rapporto. Si evidenzia, inoltre, che il presente rapporto potrebbe contenere proiezioni future o altre dichiarazioni in chiave prospettica, circostanza che comporta rischi e incertezze. Si avvisano pertanto i lettori che tali affermazioni sono solamente previsioni e potrebbero quindi discostarsi in modo considerevole dagli effettivi riscontri ed eventi futuri. CeTIF declina fin d ora qualsiasi responsabilità e garanzia in relazione a tali proiezioni. 3
INDICE DEI CONTENUTI 1 INTRODUZIONE... 4 2 DIGITAL TRANSFORMATION, TRA SFIDE ED OPPORTUNITA 7 2.1 PREMESSA 7 2.2 NEW ECOSYSTEM & PLATFORM 7 2.3 PSD2 E GDPR 9 2.4 BIG DATA & ANALYTICS 11 2.5 FINTECH, REGTECH E SUPTECH 11 3. CONCLUSIONI... 14 PARTECIPANTI Il presente documento è frutto di una collaborazione congiunta tra CeTIF e operatori del mondo bancario e assicurativo. Hanno partecipato ai tavoli di lavoro dell HUB: Allianz, Allianz Bank, Assimoco, AXA Assicurazioni, Banca Monte dei Paschi di Siena, BNP Paribas Cardif, BPER Banca, Credem, Reale Mutua Assicurazioni, UBI Banca, Unicredit, UnipolSai 4 Copyright CeTIF 2018. Tutti i diritti riservati. È vietata la riproduzione anche parziale del presente documento
1 INTRODUZIONE La Digital Transformation ha inevitabilmente effetti anche sulla funzione Compliance, che deve far fronte a nuove esigenze ed indirizzare le idee del Business, fornendo il proprio contributo in maniera costante. Ne emergono impatti in termini di governance, identificazione, valutazione e gestione dei rischi emergenti, oltre che nuove sfide di carattere tecnologico derivanti dalla mole di informazioni da processare. In questa fase di forte transizione, la Compliance diventa una funzione sempre più strategica e alla quale sono richiesti requisiti organizzativi più stringenti, nuove competenze e creazione di valore aggiunto. D altro canto opportunità importante per l efficientamento dei processi di controllo, è fornita da strumenti Regtech: l utilizzo dei dati e degli analytics, la potenza di calcolo e la connettività diventano i driver della Compliance R-Evolution. Figura 1.1 Le sfide per la Compliance Fonte CeTIF 2018 5
L evoluzione del know how, l apprendimento di nuovi linguaggi e il mutamento del mindset tradizionale sono le fondamenta sulle quali deve quindi rinnovarsi la Compliance, per consolidare il proprio ruolo di abilitatore dell innovazione: da un lato, supportare il Business nei progetti di innovazione, dall altro, adottare soluzioni tecnologiche per lo svolgimento di attività di controllo. Su questi ed altri temi, all interno del II Stream di ricerca del Business Compliance HUB 2018 nei mesi di maggio e giugno, il gruppo di lavoro, composto da 12 Istituzioni finanziarie e coordinato da CeTIF, si è confrontato con l obiettivo di mettere a fattor comune le progettualità sperimentate o in corso e di indagare sulle implicazioni e sfide organizzative, metodologiche e di processi che stanno investendo le funzioni Compliance. 6 Copyright CeTIF 2018. Tutti i diritti riservati. È vietata la riproduzione anche parziale del presente documento
2 DIGITAL TRANSFORMATION, TRA SFIDE ED OPPORTUNITA 2.1 PREMESSA Le attività dello stream di ricerca sono state avviate partendo dalla presentazione del contesto di riferimento in cui stanno muovendosi le Istituzioni Finanziarie e dall identificazione dei principali trend della digital transformation: - New Ecosystem & Platform, possibili modelli operativi per le Istituzioni Finanziarie alla luce della PSD2 e del GDPR; - Big Data & Analytics, evolute capacità di analisi e gestione dei dati; - Fintech, Regtech e Suptech, apportatori di soluzioni innovative proteiformi. 2.2 NEW ECOSYSTEM & PLATFORM Come evidenziato anche dal Comitato di Basilea 2017, la crescente concorrenza e le spinte all innovazione derivanti dall ingresso di nuovi attori nell ecosistema dei servizi finanziari, indirizzano possibili modelli operativi che possono consentire di non rischiare di essere disintermediati nella relazione con il cliente: - un Istituzione Finanziaria riorganizzata in grado di migliorare i propri processi interni e mantenere l interfaccia con la clientela; - una new Institution completamente digitalizzata che perde la presenza sul territorio e che si avvicina al cliente tramite canali digitali; - una open Institution, o istituzione che insieme a player digitali si interfaccia con la clientela in maniera più o meno disintermediata. Quest ultimo è lo scenario abilitato dalla PSD2 e dall apertura delle API (Application Programming Interface), che consentendo l ingresso di nuovi attori nel settore dei pagamenti, invita a riflettere sul concetto di institution as a platform, con cui si vuole indicare l offerta integrata di prodotti e servizi e l interazione nella catena del valore di terze parti. A tal proposito la Figura 2.1, riportata di seguito a titolo esemplificativo, rappresenta l home page dell home banking di Wells Fargo Bank e descrive il fenomeno del bundling nelle due sfaccettature: unbundling e rebundling. 7
Figura 2.1 Disruption & Foundation Fonte CeTIF 2018 Nel caso di unbundling le Istituzioni subiscono la disruption condotta dalle terze parti Fintech o GAFA che si sostituiscono ad esse nella fornitura di servizi specializzati grazie alla loro velocità di innovazione e usabilità; nel caso, invece, del rebundling le Istituzioni decidono di cooperare, instaurando delle partnership con le terze parti e integrando la propria offerta di prodotti e servizi al cliente, che continuerà a soddisfare i suoi bisogni presso l Istituzione per la quale ha più fiducia. In quest ottica le Istituzioni possono raccogliere e gestire dati per migliorare la conoscenza dei clienti, intercettare contesti di utilizzo e i loro bisogni, fornendo una serie di servizi a valore aggiunto, come assistenza specifica in base al verificarsi di determinate situazioni o offerte contestuali (proximity marketing) per prodotti tanto bancari e assicurativi quanto extra. Dunque, la mancata esplorazione di nuove partnership e flussi di entrate e il rischio di non cogliere le opportunità derivanti dall innovazione tencologica in termini di capacità di gestione dati, potrebbero concretizzarsi in una completa disintermediazione della relazione con il cliente, che potrebbe essere gestita direttamente da un aggregatore di servizi o da altri player, GAFA o Fintech, sfruttando alcuni servizi standard che l Istituzione continuerà ad «offrire» (ad es. servizi di tesoreria). 8 Copyright CeTIF 2018. Tutti i diritti riservati. È vietata la riproduzione anche parziale del presente documento
2.3 PSD2 E GDPR Nel contesto descritto, in cui si prospetta l affermarsi di un ecosistema di attori e prestatori di servizi finanziari sempre più ampio, è impossibile non tenere conto della rivoluzione introdotta dall apertura delle API (Application Programming Interface), che impatta numerosi servizi e prodotti finanziari, dai pagamenti digitali allo storico del credito e alle informazioni su conti e prodotti. Sarà soprattutto in questi ambiti che si concentrerà la competizione con i nuovi prestatori di servizi, che continuano a innovare sperimentando nuove tecnologie e offrendo user experience innovative. La PSD2 impone infatti di esporre le APIs relative a informazioni di conto, dati transazionali e iniziazioni di pagamento, creando delle opportunità di business per i nuovi soggetti - Account Information Service Provider (AISP) e Payment Initiation Service Provider (PISP). Se infatti prima della PSD2 il cliente si interfacciava solo e direttamente con la banca, con l ingresso dei TPPs (Third Party Provider), il cliente potrà ad esempio utilizzare un AISP per avere una visione di insieme della propria situazione finanziaria, analizzare le proprie abitudini di spesa, le esigenze finanziarie future in modo facile, interattivo, veloce. Figura 2.2 PSD2: nuovi player Fonte CeTIF 2018 La portata disruptive della PSD2, dunque, non consiste nelle APIs in sé, ma nella mole di dati, informazioni e contenuti, esposti e trasferiti tramite esse e attraverso vari canali: 9
tutto ciò, pensato in ottica GDPR, fa emergere la responsabilità delle Istituzioni nei confronti del cliente del governo di questi flussi informativi. Tuttavia il GDPR introduce regole al trattamento dei dati il cui campo d applicazione è esteso anche ad altri soggetti non bancari. Per tale ragione diventa necessario capire quali sono i perimetri all interno dei quali viene esercitato il consenso esplicito dell interessato nei confronti della terza parte. È bene a tal proposito evidenziare che tra Istituzione e terza parte non sussiste alcun contratto, perché il contratto viene stipulato dal cliente direttamente con il provider terzo di servizi. Figura 2.3 PSD2 vs GDPR Fonte CeTIF 2018 Dal momento che il GDPR regolerà, da un lato, il rapporto tra il cliente e Istituzione e, dall altro, il rapporto tra il cliente e la terza parte, ciò implica inevitabilmente una frammentazione della catena del valore del dato e, di conseguenza, una diversificazione di layer di responsabilità. 10 Copyright CeTIF 2018. Tutti i diritti riservati. È vietata la riproduzione anche parziale del presente documento
2.4 BIG DATA & ANALYTICS Riuscire a sfruttare a pieno le opportunità derivanti da un concetto di open institution o di institution as a platform, è necessario garantire un evoluzione nell analisi dati e nelle loro potenzialità. L aggregazione e la derivazione di insight con cui identificare nuovi bisogni della clientela ed attivare nuove opportunità di cross selling, sono tutte attività percorribili unicamente con una forte evoluzione del comparto Analytics, ed in particolare dei Big Data. Per tale ragione, nell identificazione dei principali trend d innovazione digitale, doveroso è un focus su big data & analytics dal momento che gli investimenti in big data in Italia hanno raggiungo il valore di circa 1 miliardo di euro nel 2017. Si tratta sempre più di investimenti funzionali all utilizzo di strumenti di analytics, analisi dati avanzate che consentono di estrarre informazioni da dati raccolti su avvenimenti passati, al fine di individuare schemi ricorrenti che consentano di fare previsioni su eventi e trend futuri. L obiettivo è quello di superare la barriera descrittiva di ciò che può essere conosciuto analizzando il passato, al fine di fornire una migliore valutazione su cosa succederà in futuro: l analisi predittiva infatti si basa sull uso di algoritmi statistici e tecniche di machine learning che possono variare in base all obiettivo che si intende raggiungere e alla tipologia di dati che si hanno a disposizione. Una previa verifica della data quality diventa essenziale per garantire l efficacia di tali strumenti. In questo senso, una collaborazione costante tra i reparti IT, Business e Compliance, volta a migliorare l'affidabilità e la qualità dei dati, è uno dei fattori chiave per sostenere le iniziative aziendali e garantire la conformità alle normative. 2.5 FINTECH, REGTECH E SUPTECH A completamento del quadro sinora delineato e sulla scia del crescente sviluppo di tecnologie innovative e abilitanti, il fenomeno Fintech ha interessato la trasformazione dei modelli di business oltre che il rinnovamento di prodotti e servizi caratterizzati da agilità, innovazione e focalizzazione sulla customer experience, in grado di guadagnarsi la fiducia di consumatori ed imprese. L utilizzo delle innovazioni tecnologiche è fortemente esteso da parte di new comers del settore finanziario - piccole Start Up o Tech Giant (GAFA), ma si sta man mano intensificando anche presso le Istituzioni finanziarie tradizionali. In questo contesto, è responsabilità dei Regulators da un lato, assicurare la stabilità del sistema finanziario, la trasparenza, la correttezza dei rapporti con i clienti e il level playing 11
field tra i vari operatori, dall altro, non ostacolare il progresso tecnologico che è apportatore di sviluppo economico. 1 Tuttavia in questi ultimi anni i costi di Compliance nel sistema finanziario stanno aumentando esponenzialmente: 300 miliardi di dollari è l ammontare delle sanzioni normative dopo la crisi del 2008, il cash out IT per interventi di Compliance è pari al 13,8% del totale 2016 e il volume delle modifiche alle normative tra il 2008 e il 2015 è aumentato del 492%. A questi si aggiunge la necessità, per le Banche e le Compagnie Assicurative italiane, di ripensare ai propri prodotti, servizi e business model al fine di migliorare la customer experience, ridurre il time to market e migliorare la redditività. Dalle evidenze emerse nell ambito delle ricerche CeTIF, il Fintech porta con sé soluzioni innovative applicabili a infrastrutture di sistema, ma anche innovazioni applicate a procedure di back office, di front line oltre che a processi decisionali di varia natura. In questo contesto emerge il fenomeno Regtech (Regulatory Technology), che consiste nell utilizzo di tecnologie per lo svolgimento delle attività di Compliance, ad oggi particolarmente time consuming ed onerose in termini di risorse umane da dedicarvi e report da produrre. È possibile identificare almeno tre macrocategorie di strumenti tecnologici a supporto delle funzioni di controllo: Automation, Cognitive e Advanced Analytics (Figura 2.5). Figura 2.4 Regulatory Technology Fonte CeTIF 2018 1 Cit. Salvatore Rossi, Direttore Generale Banca d Italia e Presidente Ivass 12 Copyright CeTIF 2018. Tutti i diritti riservati. È vietata la riproduzione anche parziale del presente documento
Ognuna delle tre categorie sopra riportate è in grado di apportare risultati in termini rispettivamente di efficienza, apprendimento e capacità predittiva. A questo si aggiunge di riflesso il Suptech (Supervisory Technology): un fenomeno che sta lanciando sfide alle Autorità di Vigilanza consentendo loro di automatizzare e rendere più efficaci procedure operative e amministrative, di gestire in modo più funzionale set di dati e automatizzare la produzione normativa. Alla base di tali soluzioni innovative vi è lo svolgimento di attività di supervisione non più basate solo su dati passati, prolungate ispezioni e azioni correttive ex post, ma con un approccio proattivo e forward looking che dipende da una più efficace raccolta di dati e dall utilizzo di strumenti di predictive analytics con riferimento, ad esempio, alla gestione del reporting e dei flussi informativi. Non di poco conto i punti d attenzione emersi sul tema dell impiego di soluzioni tecnologiche a supporto sia delle attività di Compliance che di supervisione da parte delle Autorità di Vigilanza: - rischio di potenziali attacchi cyber o failure delle procedure sulla stabilità finanziaria; - third party dependencies, data l emersione di nuovi player di rilievo sistemico pur essendo fuori dal perimetro regolatorio; - controllo della bontà dei processi decisionali automatizzati, in termini di esattezza dei dati e qualità degli algoritmi; - necessità di prevedere una machine-readable e smart regulation. 13
3. CONCLUSIONI All interno della funzione Compliance si inizia ad avvertire l esigenza di un cambio di approccio oltre che dello sviluppo di competenze digital, ferma restando la necessità che queste siano accompagnate da soft skills quali flessibilità, trasversalità, senso di responsabilità e capacità di ricoprire il ruolo di facilitatore anche nei progetti di innovazione digitale. Figura 3.1 Best practices per la Compliance 4.0 Elaborazione CeTIF 2018 Nella Figura 4 è possibile leggere un ulteriore dato relativo agli impatti organizzativi che stanno investendo la funzione Compliance: il 40% circa delle istituzioni ha già istituito o prevede di creare, nel prossimo futuro, team dedicati al supporto e all advisory nei progetti di digital transformation, sia interni che esterni alla Funzione. Sviluppare e incrementare la pervasività della funzione nei confronti del business, degli organi di vertice, e anche verso l IT, sono priorità strategiche per tutti i Chief Compliance Officer, in una logica di Compliance by Design che richiede di comprendere fin da subito il momento e la modalità opportune con le quali intervenire nei progetti e che agisce secondo il Data Driven Approach quale elemento guida nell identificazione e valutazione dei rischi. Per gli operatori che desiderano affrontare da protagonista questa rivoluzione, la 14 Copyright CeTIF 2018. Tutti i diritti riservati. È vietata la riproduzione anche parziale del presente documento
tecnologia diventa fattore abilitante: Robotica, Advanced Analytics e Cognitive sono strumenti in grado di migliorare l efficienza interna della Compliance e consentirle di giocare un ruolo chiave e strategico nei processi di controllo ex ante e nella relazione complessa, sfidante e interlocutoria, soprattutto per le tematiche di innovazione tecnologica, con i Regulator. Figura 3.2 I driver della Compliance R-Evolution Elaborazione CeTIF 2018 CeTIF ringrazia tutti i relatori e tutti i partecipanti per la loro presenza attiva ai lavori dello Stream e per il contributo prezioso che hanno dato alla riflessione che vi è stata condotta. 15
16 Copyright CeTIF 2018. Tutti i diritti riservati. È vietata la riproduzione anche parziale del presente documento
In collaborazione con 17