Premessa
Il consolidamento di banche e
società finanziarie ha comportato significativi mutamenti nelle strutture organizzative degli
intermediari: lo schema delle deleghe a livello territoriale è stato profondamente
rivisto, il numero di livelli gerarchici nel processo decisionale è aumentato, come pure l’a
mpiezza dei poteri attribuita ai vari responsabili e parimenti la tipologia degli incentivi ad essi
corrisposti.
La complessità gestionale, già
messa a dura prova da prodotti e servizi innovativi, nonché da tecnologie sempre più
sofisticate e strettamente connesse alla operatività stessa, è aumentata e deve misurarsi
anche con i problemi legati alla vastità territoriale ed alle diverse risorse e culture,
spesso da integrare ed armonizzare.
In tale contesto sono esplosi
anche i rischi, che minano la stabilità delle banche ed il loro rapporto fiduciario con gli
stakeholders, come evidenzia la grave crisi attuale.
Nonostante la forte spinta
regolamentare degli ultimi anni da parte degli Stati e delle Autorità, è necessario
consolidare e raffinare ancora il sistema delle regole, anzi condividere
global legal standard per la finanza, come recentemente proposto da Giulio Tremonti al
vertice del G7 a Roma, per arrivare a “principi comuni e standard sulla proprietà, l’integrità e la
trasparenza dell’attività economica e finanziaria internazionale. Il nostro ministro dell’E
conomia ha così riassunto:
C’è un deficit di regole, di etica e di principi; ci sono molti deficit nelle banche, nell’e
conomia e nei bilanci pubblici. A mancare più di tutto non sono più capitali ma più regole e più
principi.
Questa considerazione è in
linea con le recenti disposizioni delle Autorità di vigilanza, tra cui in particolare le istruzioni
di Banca d’Italia sulla compliance, il regolamento congiunto Consob e Banca d’Italia sulla
compliance e sulla tutela degli investitori, le disposizioni Banca d’Italia sulla governance e
quelle sul processo ICAAP per il capitale da allocare a fronte dei rischi.
In realtà tutte queste regole
perseguono obiettivi strettamente connessi e vanno interpretate ed attuate secondo uno spirito
unitario: la gestione della conformità è infatti basilare per una buona governance e non può
prescindere dalla gestione dei rischi e viceversa, come pure la governance aziendale è un unicum
con la gestione della conformità e dei rischi.
L’esperienza insegna che il
focus sui soli aspetti di gestione dei rischi può far dimenticare un fatto semplice: di solito sono
gli uomini, più che i mega trends del mercato, a causare rischi e carenza di conformità e di solito
non è che tali rischi non siano considerati, ma quel che conta è come sono gestiti giorno per
giorno.
Sia l’identificazione e la
misura del rischio da una parte, sia le verifiche dell’audit dall’altra sono attività essenziali
della governance, ma alla base deve esserci un efficace sistema di gestione della compliance, un
sistema che indirizzi i comportamenti umani di risposta al rischio, specialmente i
comportamenti di coloro che hanno funzioni di governo e di controllo.La gestione della conformità
pertanto deve assumere una posizione primaria nell’ambito dell’organizzazione bancaria, passando da
un ruolo di controllo del rispetto delle norme a un ruolo anche preventivo che impatta sull’o
rientamento strategico della funzione in chiave di governance societaria.
La disciplina di
conformità
La disciplina di vigilanza
emanata da Banca d’Italia nel luglio 2007 arricchisce l’articolato sistema dei controlli interni
delle aziende bancarie e finanziarie di un nuovo importante presidio, la funzione di compliance,
cui spetta la verifica del rispetto sostanziale da parte dell’intermediario di tutte le
norme.
La nuova funzione, parte
integrante del sistema dei controlli interni, deve operare con metodologie e strumenti tipici del
risk management per gestire specificamente il rischio di non conformità, cioè il rischio di
incorrere in sanzioni amministrative e giudiziarie, perdite finanziarie rilevanti o danni di
reputazione in conseguenza di violazioni di norme di legge, di regolamenti o di norme aziendali.
Tale rischio di conformità può interessare tutte le attività bancarie, è difficile da
valutare e richiede competenze elevate e trasversali.
Per assicurare il pieno
rispetto delle norme, intese in senso ampio, la funzione di compliance deve identificare le norme
rilevanti per la banca e le aree a rischio di non conformità, definire i controlli preventivi,
predisporre le misure informative e formative, le procedure organizzative e operative, con la
consapevolezza del livello di rischio di violazioni insito nelle specifiche attività, prevenire i
conflitti di interesse e le irregolarità gestionali, verificare che le procedure siano efficaci ed
effettivamente applicate all’interno dell’azienda. Inoltre, la funzione di conformità ha
l’onere di un Report organico e su base regolare, come disposto dalla Vigilanza, con la
descrizione dei livelli di rischio, le azioni intraprese e le attività previste.
Nello svolgimento di tali
compiti i sistemi organizzativi e dei controlli interni costituiscono un ruolo cruciale: da essi,
dalla loro validità, dipende in gran parte la possibilità di garantire o no i risultati
previsti, soprattutto quando le forti competizioni sui mercati e le pressioni sul perseguimento
degli obiettivi di performance possono indurre a sottovalutare i rischi di conformità e ricorrere a
comportamenti non etici.
L’attività di compliance tende
a rivestire un ruolo chiave nelle aziende bancarie e finanziarie per la gestione complessiva del
rischio: spetta infatti alla funzione di compliance garantire comportamenti corretti, attuare
misure di mitigazione dei rischi di non conformità, contribuire a rafforzare il legame tra
requisiti patrimoniali ed organizzativi. L’attività della compliance indirizzerà nel tempo stili e
strumenti gestionali tesi a riconoscere il valore strategico del miglioramento delle relazioni
con la clientela, con il vantaggio di ridurre il contenzioso, migliorare la reputazione aziendale e
fidelizzare i clienti.
La disciplina di governo
societario
Si avvicina la scadenza del
progetto di governo societario, che secondo le disposizioni di vigilanza sulla governance del marzo
2008 deve essere inviato alla Banca d’Italia in fase di costituzione o di modifica del sistema di
amministrazione adottato e comunque redatto da tutte le banche entro il 30 giugno 2009.
Le disposizioni riconoscono
agli intermediari la scelta del modello di governo (dualistico, monistico o tradizionale) più
idoneo, in base alle loro strategie e peculiarità, a garantire l'efficienza della gestione e
l'efficacia dei controlli. Esse responsabilizzano nel loro insieme i vertici aziendali
rimarcando l’impossibilità di delegare materie rilevanti per il governo societario e
sottolineano l’esigenza di una ripartizione delle
competenze in modo chiaro e equilibrato, con una netta delimitazione delle deleghe,
al fine di prevenire concentrazioni di potere che possano impedire una corretta dialettica interna
ed attenuare le capacità di controllo.
La valorizzazione degli
amministratori indipendenti, il ruolo del presidente, le prerogative degli organi di controllo
interno e la posizione di preminenza del collegio sindacale, non solo nel verificare l’efficacia di
tutte le strutture coinvolte, ma anche “ l’adeguato coordinamento delle medesime”, sono altresì in
linea con tali obiettivi.
Anche le Istruzioni di
Vigilanza sulla governance insistono sulla verifica delle ricadute reputazionali e riprendono i
concetti delle precedenti disposizioni in materia di funzione di conformità; la disciplina dei
meccanismi di remunerazione dei responsabili con mansioni di controllo, che preclude compensi
basati su strumenti finanziari e bonus collegati ai risultati economici, indirizza l’indipendenza
di tali soggetti.
La circolazione di flussi
informativi, adeguati e tempestivi in relazione alla importanza ed alla complessità delle
informazioni, rappresenta il presupposto più importante per un efficiente funzionamento di tutto l’o
rgano di governo; la circolazione delle informazioni è richiesta per la piena trasparenza e
per la valorizzazione dei diversi livelli di responsabilità all’interno dell’organizzazione.
Le banche devono quindi
strutturare attentamente tali flussi, con informazioni complete, corrette ed accurate, tra gli
organi di supervisione strategica, di gestione e di controllo, nonché all’interno di ciascun
organo.
Appositi regolamenti devono
disciplinare almeno i seguenti aspetti:
a) contenuti, forme e
tempistica della documentazione da trasmettere ai singoli
componenti gli organi di
governo. Data la complessità tecnica di molte delibere, è necessario fornire agli organi
interessati informazioni esaurienti ed adeguate, basate anche su una attività istruttoria ben
sintetizzata e documentata.
b) individuazione dei
responsabili che devono inviare i flussi informativi.
c) presidi organizzativi per
evitare la divulgazione impropria di notizie riservate.
d) compiti e doveri attribuiti
ai presidenti degli organi stessi.
Un supporto strutturato al
sistema dei controlli
Le disposizioni prevedono l’u
tilizzo di
strumenti per gestire la compliance; essi non devono essere visti come un supporto
specifico ad un’altra serie di adempimenti, burocratici e costosi. La compliance è
la norma delle norme e richiede una visione unitaria. E’ necessario passare dalla gestione
di tante singole norme ad una gestione integrata di tutte le norme, lavoro più impegnativo, ma
necessario per raggiungere gli obiettivi veri della compliance e ridurre i costi totali.
Lo strumento deve disporre di
un repository legale, standard e calato nella organizzazione aziendale, facilmente consultabile da
tutti all’interno della banca, ma anche elaborabile ed integrato in una soluzione gestionale
strutturata, al fine di fare cultura, armonizzare i controlli previsti dalle diverse norme,
indirizzare un linguaggio comune tra i diversi attori dei controlli e tra questi e i responsabili
operativi.
La frammentazione delle
attività di Governo, Rischio e Conformità (GRC) è un problema serio. Le banche sono aggravate
da processi di governance, compliance e rischio, spesso duplicati, incongruenti e costosi, che si
traducono in maggiori sforzi organizzativi, soluzioni ridondanti o inconsistenti, aumento dei
costi e dei rischi.
La ridondanza e disparità dei
dati è dovuta a diversi fattori, quali la mancanza di comunicazione tra le persone responsabili
e decisorie, la mancanza di chiari drivers per avviare il processo di trasformazione nelle
organizzazioni e la mancanza di informazioni circa i reale costo degli approcci correnti.
L’introduzione della funzione
di compliance può fungere da stimolo per avviare il processo di integrazione anche dal punto
di vista organizzativo ed applicativo ed avere a
single version of truth. Può consentire di passare dalla logica delle
applicazioni ad hoc, dei fogli di calcolo, dei documenti e delle elaborazioni personali, ad un vero
sistema informativo, robusto e strutturato, basato su un framework GRC ed integrato con il sistema
informativo.
In base alla nostra
esperienza, i principali componenti che caratterizzano tale sistema sono:
a) mappatura norme processi
aziendali;
b) disponibilità diretta dei
dati su risorse umane, flussi informativi, infrastrutture reali, con tutte le loro correlazioni, a
livello storico;
c) condivisione dei controlli
e delle metodologie di gestione del rischio;
d) integrazione con la
gestione documentale e con strumenti di office automation;
e) motore di business
intelligence per reportistica ed analisi dei dati;
f) sistemi di alerting ed
automatismi per attivare le fasi operative ed informare proattivamente i diversi
responsabili;
g) sistemi per tracciare le
attività svolte e consentire l’accesso secondo le diverse abilitazioni.
Il sistema di supporto alla
compliance richiede pertanto un avvio graduale ed organico, un aggiornamento continuo, in linea con
gli aggiornamenti normativi e l’evoluzione aziendale, ma specialmente come sempre quando gli
obiettivi sono importanti, un forte commitment della direzione aziendale a sostenere la
condivisione delle informazioni.
Solo così si può gestire
efficacemente la compliance e vincere le sfide attuali!
Carlo Camerata -
Opentech