RISK ACADEMY BANCHE E RISCHI OPERATIVI. Un problema difficile? Laura Palombi Dalla ricerca di Mediobanca 1, risulta che i rischi operativi delle principali banche italiane rappresentano circa l 11% del totale delle attività ponderate per il rischio, in linea, grosso modo, con il dato delle prime venti banche europee. I dati pubblici forniti dal DIPO 2, su un ampio campione nazionale, e da ORX 3 su una dimensione più internazionale, mostrano, in estrema sintesi, le seguenti evidenze: Ø Ø Ø I trend dei RO - numero di eventi e ammontare delle perdite - sono, complessivamente, in crescita costante; il retail banking è la business line maggiormente critica, soprattutto per l ammontare delle perdite; le tipologie di eventi che produco le maggiori perdite sono in larghissima misura quelle legate a clients, products e business practice e a execution, delivery e process management. Di fronte a queste evidenze, verrebbe da chiedersi come mai risulta così difficile invertire queste tendenze. Vedremo, con l aiuto di alcuni dati allegati, queste evidenze e avanzeremo alcune considerazioni. Rimandiamo invece ad un prossimo lavoro più analitico un esame approfondito degli andamenti. 1 R&S Mediobanca, Le maggiori banche europee nel 1 semestre 2013. 2 Il DIPO, Database Italiano Perdite Operative 2 gestito da ABIServizi, associa 33 Banche italiane per un totale di 235 entità legali. fornisce una panoramica aggregata dei rischi operativi dall inizio del 2003, e gli ultimi dati pubblici arrivano al 2013. Il modello prevede la rilevazione di eventi che producono perdite da 5.000,00 in su. La metodologia e i dati pubblici sono disponibili sul sito www.dipo- operationalrisk.it 3 ORX, organismo indipendente senza fini di lucro, associa 68 tra banche, assicurazioni e gestori patrimoniali che operano in 20 Paesi. Il suo modello prevede la rilevazione di eventi che producono perdite per un ammontare pari o superiore a 20.000. La metodologia completa e i dati pubblici sono disponibili sul sito www.orx.org
UNO SGUARDO ALL ANDAMENTO DELLA DISTRIBUZIONE DEI RO NELLE BANCHE ITALIANE LE TIPOLOGIE DI RISCHIO PIÙ PESANTI Pesano sempre di più sul totale dei rischi operativi: LE PRATICHE DI BUSINESS, in altri termini, inadempienze e/o le negligenze relative a obblighi professionali verso i client (legate a prodotti/servizi); al perfezionamento delle operazioni, etc. LA GESTIONE DEI PROCESSI Dai dati del DIPO è anche evidente un trend di costante innalzamento del peso percentuale di queste tipologie di rischio. LE BUSINESS LINE PIÙ CRITICHE 4 IL RETAIL BANKING è la business line maggiormente critica sia per la produzione di eventi avversi sia per l incidenza delle perdite sul totale e (Tab.1 e Tab. 2). IL COMMERCIAL BANKING, pur producendo una modesta percentuale degli eventi avversi complessivi, è la business line al secondo posto per ammontare delle perdite (Tab. 2) IL TRADE AND SALES, pur producendo una percentuale ancora più modesta di eventi avversi sul totale, il valore unitario delle perdite che produce è elevato e lo pone al 3 posto nella classifica delle business line maggiormente critiche (Tab. 2). Diamo ora uno sguardo ai dati, di fonte ORX, che riguardano un ampio campione internazionale di intermediari. Occorre fare però alcune avvertenze. Innzitutto i dati ORX e DIPO non sono statisticamente confrontabili in quanto i primi rilevano eventi che producono perdite lorde a partire da 20.000,00 mentre i secondi perdite lorde a partire da 5.000,00. Inoltre per le due fonti sono disponibili periodi di riferimento differenti. 4 I dati a cui si fa riferimento, e riportati in allegato, sono gli ultimi disponibili per i non- aderenti al DIPO e si riferiscono al 2012 (quindi a 108 mesi dal 2003, data di avvio delle rilevazioni del DIPO).
UNO SGUARDO ALL ANDAMENTO DELLA DISTRIBUZIONE DEI RO A LIVELLO INTERNAZIONALE 5 Gli eventi registrati nel campione internazionale delle banche aderenti a ORX, nel 2013 sono poco più di 45.000 e rappresentano circa il 19% del totale del periodo 2008-2013, mentre le perdite lorde assommano a circa 13 Mld di e rappresentano circa il 9% delle perdite dell intero periodo 2008-2013. Gli andamenti 6 mostrano una tendenza costante di crescita de: il numero degli eventi, la dimensione media delle perdite lorde, l incidenza delle perdite lorde sul reddito lordo. LE BUSINESS LINE PIÙ CRITICHE A LIVELLO INTERNAZIONALE IL RETAIL BANKING è la business line maggiormente critica sia per frequenza di eventi sul totale (Tab. 3) sia per volumi delle perdite (Tab. 4). Produce circa il 47% delle perdite totali del 2013 soprattutto con eventi connessi alla gestione della clientela (26%), e alla gestione dei processi (ca 9%). TRADING & SALES produce circa il 24% delle perdite lorde totali del 2013 soprattutto con eventi legati alla gestione dei processi. Pertanto circa il 71% delle perdite lorde totali sono prodotte da queste due business line. 5 GLi ultimi dati forniti da ORX sono stati pubblicati a metà 2014 e sono relativi al 2013. 6 I dati di ogni ultimo anno della rilevazione sono soggetti a rettifiche che possono comportare aggiornamenti sia in incremento sia in decremento. L andamento storico delle rettifiche ha quasi sempre incrementato i valori sia del numero degli eventi sia dell ammontare delle perdite lorde.
ALCUNE CONSIDERAZIONI PROVVISORIE Ciò che colpisce in queste sintetiche informazioni, è che i trend non mostrano significative riduzioni, anzi, al contrario, mostrano tendenze di incremento sia del numero degli eventi sia dei volumi delle perdite. Allora c è da chiedersi: perché risulta così difficile ridurre i rischi operativi? La domanda, che potrebbe sembrare retorica, in realtà intende portare l attenzione sulle modalità con cui si opera per la mitigazione dei rischi operativi (e non solo operativi). Infatti, anche seguendo diligentemente le indicazioni/prescrizioni contenute nei documenti della Vigilanza della Banca d Italia (pensiamo soprattutto al 15 Aggiornamento della 263/06 del luglio 2013) la mitigazione dei rischi rappresenta un complesso apparato di controllo da realizzare a più livelli. In questa sede vogliamo focalizzarci su due aspetti: a) le logiche dei controlli di primo livello; b) le azioni di mitigazione. A. Le logiche dei controlli di primo livello. Come sappiamo, questi vanno realizzati direttamente nelle strutture operative, (anche se possono essere affidati a strutture dedicate, ma comunque sempre a diretto riporto dei responsabili delle strutture operative) e dovrebbero servire ad assicurare il corretto svolgimento delle operazioni. Ebbene, è proprio l idea del controllo del corretto svolgimento delle operazioni che entra in crisi! Infatti, in ogni tipo di processo si possono generare rischi anche se l operatore rispetta la corretta esecuzione prevista dalle norme. Le ragioni sono connesse ad un complesso di fattori che possiamo raccogliere sotto la definizione manifestazione idiosincratica del rischio. Per esemplificare, in un processo, anche una semplice attività correttamente eseguita può essere interessata da eventi esogeni che ne possono distorcere gli esiti (l effetto farfalla della teoria dell instabilità). È come se un evento non direttamente connesso alla nostra attività vi interferisse cambiandone il corso (fenomeni di retroazione e amplificazione). B. Le azioni di mitigazione. Molto spesso, le azioni tese a ridurre l eventualità che si ripeta un determinato evento avverso, sono rappresentate dall introduzione di ulteriori procedure di garanzia, da ulteriori livelli di controllo, e così via, quindi, in buona sostanza, da ulteriori attività. Ebbene, questo tipo di soluzioni, oltre ad essere potenzialmente interessate dal cosidetto rischio residuo, rischiano a loro volta di complessificare il processo e di introdurre ulteriori e nuove occasioni di errore che possono produrre ulteriori e nuovi eventi avversi!
Cosa fare (di nuovo)? Di fronte a queste empasse, avvalorate dai dati che ci mostrano come i RO non si riducono, occorrerebbe mettere l organizzazione nella condizione di intercettare tempestivamente il sorgere di situazioni che possono produrre eventi avversi. Ma questo richiede una diffusa cultura della prevenzione che vada a completare la già diffusa cultura del controllo. Il che significa fare in modo che: Ø tutti i livelli organizzativi abbiano visibilità degli impatti dei rischi operativi sulla catena del valore. A questo proposito, prendendo ad esempio il retail banking, che abbiamo visto essere la business line statisticamente più critica, è raro incontrare operatori commerciali di questa filiera del valore consapevolizzati e responsabilizzati su questi aspetti. Ø gli interventi per mitigare le possibili cause di errori e/o di mancata compliance coniughino le esigenze di mitigazione con la quelle di non- complessificazione dei processi, che sono, sempre, potenzialmente causa di ulteriori possibili errori.
DATI DIPO Tab.1 Distribuzione per celle ET/BL del numero degli eventi censiti in 108 mesi Internal fraud External fraud Employm. Practices and Workplace Safety Clients, Products and Business Practices Damage to Physical Assets Business disruption and system failures Execution, Delivery and Process Manag. Corporate Finance Trading and Sales Retail Banking Commercial Banking Payment and Set. Agency Services Asset Management Retail Brokerage Classi numero eventi 0 1--10 11--50 51--100 101--500 501--1000 1001--5000 >5000 4 Fonte: DIPO http://www.dipo operationalrisk.it Tab.2 Distribuzione per celle ET/BL dell ammontare delle perdite ( 5.000 euro) degli eventi censiti in 108 mesi Internal fraud External fraud Employm. Practices and Workplace Safety Clients, Products and Business Practices Damage to Physical Assets Business disruption and system failures Execution, Delivery and Process Manag. Corporate Finance Trading and Sales Retail Banking Commercial Banking Payment and Set. Agency Services Asset Management Retail Brokerage Classi ammontare perdite 0 1-60.000 60.000-350.000 350.000-2,5mln 2,5mln-12,5 mln >12,5 mln Fonte: DIPO http://www.dipo operationalrisk.it 5 5 Questa rappresentazione è la più recente tra quelle disponibili per i non- aderenti al DIPO e si riferisce a dati relativi al 2012, quindi a 108 mesi dal 2003, data di avvio delle rilevazioni.
DATI ORX Tab. 3 Tab. 4