La continuità operativa nel settore bancario, da Basilea alle disposizioni BankIt

Il percorso più recente di regolazione del settore bancario nasce principalmente da alcune riflessioni iniziate negli anni ’80, anche in relazione a operazioni ritenute poco prudenti intraprese da numerosi istituti di credito.

I primi due Accordi di Basilea
La Banca dei Regolamenti Internazionali (BRI) – in inglese Bank of International Settlement (BIS) -  con sede a Basilea in Svizzera, Ente che ha l’obiettivo di promuovere la cooperazione e di perseguire la stabilità monetaria e finanziaria tra le banche centrali, mediante appunto il Comitato di Basilea costituito dagli enti regolatori del G10, nel 1988 definiva l’Accordo sul Capitale Minimo della Banche, noto anche come Accordo di Basilea.

L’Accordo di Basilea, (Basilea I) contiene la prima definizione e la prima misura del capitale minimo bancario, accettati a livello internazionale, con l’assunzione che ad ogni operazione di prestito deve corrispondere una quota di capitale da detenere a scopo precauzionale.

Nel 2004 fu poi definito il Nuovo Accordo di Basilea (o più semplicemente Basilea II), che definiva i requisiti di accantonamento del capitale sulla base del rischio assunto. L’Accordo, strutturato in tre pilastri come illustrato in figura 1, integrava il concetto di “adeguatezza patrimoniale” basato sui più classici rischio di credito e rischio di mercato, la cui valutazione è necessaria per la copertura delle perdite inattese, con una “novità”: il rischio operativo.

Il Rischio Operativo: che cosa è e come si misura
Il Rischio Operativo, per cui la BRI ha definito metodologie diversificate per la sua trattazione (basic, standard e advanced, quest’ultimo il meno punitivo), è definibile come “il rischio di contrarre perdite risultanti dall’inadeguatezza dei processi interni, del personale, dei sistemi o per causa di eventi esterni”. La definizione include i rischi legali, ma esclude i rischi di natura strategica e reputazionale.

Nel 2009, in seguito ad “intenzioni di trading su strumenti che alla prova dei fatti si sono rivelati difficili da dismettere con rapidità”, la BRI integrò alcune regole, denominate Basilea 2.5, con lo specifico scopo di avvicinare la ponderazione sulle posizioni di trading a quelle di banking.  

Basilea III: che cosa prevede
Come ultimo capitolo, la BRI ha rilasciato nel dicembre 2010 l’accordo per le nuove regole a garanzia della stabilità del sistema bancario, noto come Basilea III, che integra e supera quanto stabilito in Basilea I e Basilea II stabilendo, tra l’altro, nuovi vincoli di liquidità. Il nuovo regolamento prevede diverse fasi di transizione a partire dal 2013 (ma in concreto dal gennaio 2014) per completarsi alla fine del 2019. Con Basilea III la BRI definisce quindi un insieme articolato di provvedimenti di riforma, indirizzato al rafforzamento della regolamentazione, della vigilanza e della gestione del rischio.

I nuovi provvedimenti hanno l’obiettivo di:

• migliorare la resilienza della banca al verificarsi di turbative di liquidità, come nel caso di shock originati da tensioni economiche e finanziarie;
• migliorare la gestione del rischio e la governance;
• rafforzare la trasparenza e la disciplina di mercato.

Per aggiungere qualche dettaglio, si specifica che le riforme introdotte dai provvedimenti si dividono in due ordini tra loro complementari. Il primo è relativo alla regolamentazione della singola banca, ricercandone fondamentalmente la capacità di resistenza allo stress. Il secondo concernente i rischi sistemici, rischi che possono accumularsi e contagiare in parte o totalmente il settore bancario di un paese.

In un recente rapporto della BRI, indicante lo stato dell’implementazione degli accordi, sia osservata sia presunta, elaborata sulla base di dati effettivi e stime forniti dai diversi paesi, risulta evidente come alcuni paesi versino presumibilmente ancora in uno stato di non conformità, anche relativamente ai provvedimenti di Basilea II e 2.5 (vedi Figura 2).

Figura 2 Risultati della formalizzazione e applicazione delle regole. Fonte: Banca dei Regolamenti Internazionali

Tralasciando per un momento i fatti di carattere patrimoniale, se si analizzano le parti relative alla gestione del rischio e alla governance, rilevandone ovviamente l’afferenza ai principi del rischio operativo, si può notare come già con il provvedimento di Basilea II ci fosse un indirizzamento del rischio agli “eventi di perdita”, cioè al verificarsi di tutte quelle condizioni che a qualsiasi titolo potrebbero turbare e compromettere il normale svolgimento delle attività di business.

Rischio operativo: una tassonomia degli eventi di perdita
In particolare, nel documento Working Paper on the Regulatory Treatment of Operational Risk – Annex 2, venivano individuati tali eventi con la seguente tassonomia di base:

• Frodi interne (attività non autorizzate, furto e frode);
• Frodi esterne (sicurezza dei sistemi, furto e frode);
• Rapporti con il personale e sicurezza sul lavoro (relazioni con gli impiegati, sicurezza e salute, diversità e discriminazione, ecc.);
• Clientela, prodotti e attività di business (diffusione di informazioni, compromissione del rapporto fiduciario, svolgimento di attività improprie, ecc.);
• Danneggiamento a beni materiali (disastro o altri eventi);
• Compromissione del business e dei sistemi informativi (guasto, malfunzionamento e danneggiamento di hardware, software, ecc.);
• Esecuzione, distribuzione e gestione dei processi (transazioni fallite, assenza di rapporti, danneggiamento o perdita di beni dei clienti, ecc.).

In questo quadro, seppur resti inteso che la resilienza di un istituto di credito sia correttamente individuata nella capacità di assorbire shock derivanti da tensioni economiche o finanziarie (tradotto da Basilea III nella capacità della banca di innalzare e mantenere sia la qualità, sia la quantità della base patrimoniale, migliorando la copertura dei rischi) emerge come anche per i beni materiali ed immateriali coinvolti nei processi di business debbano essere garantiti adeguati livelli di resilienza.

Poiché, come sappiamo, il grado di affidamento a sistemi informativi e di telecomunicazioni anche nel settore bancario è, oggi più che mai, pressoché totale, essere resilienti significa anche predisporre piani appositi per il personale, le tecnologie, le strutture della banca e le terze parti, che consentano di raggiungere una maturità ed un’ottimizzazione dell’operatività tali da poter ridurre le interruzioni dell’attività di business al minor numero e per il minor tempo possibile.

Le nuove disposizioni di BankItalia
E’ interessante notare come Banca d’Italia, nell’aggiornamento del 2 luglio 2013 delle Nuove disposizioni di vigilanza prudenziale per le banche (disposizione del 27 dicembre 2006), senta la necessità di introdurre tre nuovi capitoli in materia di sistema dei controlli interni (Tit. V – Cap. 7), sistema informativo (Tit. V – Cap. 8) e continuità operativa (Tit. V – Cap. 9).

In particolare, prima di focalizzarci sulle prescrizioni relative alla continuità operativa, per i sistemi informativi (Cap. 8 p. 5 – La sicurezza informatica) la Banca d’Italia ha voluto rimarcare alcuni aspetti basilari di un Sistema di Gestione, in questo caso orientato alla sicurezza, e cioè:

(…)

La funzione di sicurezza informatica è deputata allo svolgimento dei compiti specialistici in materia di sicurezza delle risorse ICT.

In particolare:

• segue la redazione e l’aggiornamento delle policy di sicurezza e delle istruzioni operative;
• assicura la coerenza dei presidi di sicurezza con le policy approvate;
• partecipa alla progettazione, realizzazione e manutenzione dei presidi di sicurezza dei data center;
• partecipa alla valutazione del rischio potenziale nonché all’individuazione dei presidi di sicurezza nell’ambito del processo di analisi del rischio informatico;
• assicura il monitoraggio nel continuo delle minacce applicabili alle diverse risorse informatiche;
• segue lo svolgimento dei test di sicurezza prima dell’avvio in produzione di un sistema nuovo o modificato.

(…)

Continuità operativa: che cosa dice Banca d'Italia
In merito alla continuità operativa e quindi della resilienza, termine quest’ultimo abbastanza ricorrente all’interno del regolamento di Basilea III, nel provvedimento Banca d’Italia sottolinea volutamente alcuni principali punti, in particolare:

• la continuità operativa è monitorata dalla funzione di Revisione Interna che controlla regolarmente il piano aziendale, il piano dei fornitori di servizi e dei fornitori critici;
• negli accordi scritti tra la Banca ed il fornitore di servizi sono formalizzati e chiaramente definiti i livelli di servizio assicurati in caso di emergenza e le soluzioni di continuità adottate, coerenti con le esigenze aziendali e con le prescrizioni dell’Autorità di Vigilanza. La Banca acquisisce inoltre i piani di continuità operativa del fornitore, al fine di valutare la qualità delle misure previste e provvederne l’integrazione con le soluzioni interne;
• la gestione degli incidenti di sicurezza informatica segue procedure formalmente definite, con l’obiettivo di ridurre il più possibile l’impatto di eventi avversi e garantire il tempestivo ripristino dei servizi e delle risorse ICT coinvolti;
• le funzioni a cui comunicare gli incidenti di sicurezza sono individuate secondo una procedura di escalation e per i casi più gravi, ad esempio in caso di interruzione della continuità operativa, sono segnalati alla struttura preposta a dichiarare lo stato di crisi;
• i piani di continuità operativa prevedono soluzioni, non solo basate su misure tecnico-organizzative finalizzate alla salvaguardia degli archivi elettronici e ai sistemi informativi, ma che considerino anche ipotesi di crisi estesa e blocchi prolungati delle infrastrutture essenziali;
• il piano di continuità operativa considera diversi scenari di crisi basati almeno sui seguenti fattori di rischio, conseguenti a eventi naturali o attività umana, inclusi danneggiamenti gravi perpetrati dal personale:

>    distruzione o inaccessibilità di strutture nelle quali sono allocate unità operative o apparecchiature critiche;
>    indisponibilità di sistemi informativi critici e di personale essenziale per il funzionamento dei processi aziendali;
>    interruzione del funzionamento delle infrastrutture (energia elettrica, reti di telecomunicazione, reti interbancarie, mercati finanziari);
>    alterazione o perdita di dati e documenti critici.

• le modalità di verifica (test) delle misure di continuità operativa dipendono dalla criticità dei processi e dai rischi presenti. Sono quindi ipotizzabili differenti frequenze e livelli di dettaglio delle prove, in alcuni casi prevedendo il coinvolgimento degli utenti finali, dei fornitori di servizi e, qualora possibile, delle controparti rilevanti. I risultati delle verifiche sono documentati in forma scritta e per le eventuali carenze riscontrate sono tempestivamente avviate le opportune azioni correttive;
• in caso di crisi, successivamente al ripristino dei processi critici, l’operatore fornisce alla Banca d’Italia valutazioni circa l'impatto dell'evento sulla operatività delle strutture centrali e periferiche e sui rapporti con la clientela e le controparti.

Nel quadro di regolazione qui rappresentato, emergono alcune riflessioni e domande. Ad esempio, per quale motivo la continuità operativa e quindi la resilienza, tematica avviata già nel 2002 dalla Banca d’Italia abbia ancor oggi la necessità di nuovi provvedimenti, specificazioni e linee guida? Forse perché gli Enti regolatori ravvisano ancora immaturità negli operatori, cioè possa esservi la sensazione che diversi Sistemi di Gestione della Business Continuity risultano essere ancora lontani da una efficiente applicazione ed utilità pratica?

Come valutare il sistema di gestione della continuità operativa
Se volessimo quindi svolgere una prima valutazione circa il livello di effettività ed efficacia del sistema di gestione della continuità operativa adottato, si potrebbe utilizzare la traccia di seguito esposta. In particolare, in modo coerente con le linee guida di ABI in materia di continuità operativa, si dovrebbero valutare la sistematicità ed effettività dei processi di:

• monitoraggio della tipologia e delle modalità del cambiamento apportato al business e il relativo  impatto sui processi critici;
• verifica delle misure di continuità disegnate ed applicate. L’ABI (Associazione Bancaria Italiana) ha ad esempio avviato una collaborazione continuativa con CIPA (Convenzione Interbancaria per i Problemi dell’Automazione) che ha stilato un range predeterminato di quattro livelli per giudicare nel complesso il risultato dei test:

>    ECCELLENTE: tutte le prove hanno raggiunto gli obiettivi posti nei tempi stabiliti;
>    BUONO: almeno una serie di prove ha raggiunto tutti gli obiettivi posti;
>    DISCRETO: almeno una serie di prove ha raggiunto il 75% degli obiettivi posti;
>    SCARSO: nessuna serie di prove ha raggiunto almeno il 75% degli obiettivi.

• verifica del grado di conoscenza dei piani per la continuità operativa per tutto il personale e le parti direttamente e indirettamente interessati;
• verifica delle opportunità di miglioramento, affinché il business continuity plan aziendale sia sempre attuale e coerente con le necessità del business;
• ultimo punto, ma non in ordine di importanza, comunicazione, con tutte le parti interessate, circa la situazione di contingenza e le azioni intraprese e da intraprendere per la tutela del Cliente.