INTEGRATED INTERNAL CONTROL SYSTEM IN BANKING
GROUPS
Executive summary
Milano, 2012
Sommario
1
Il contesto di riferimento
La nostra visione
2
Il “clima” dell’industria finanziaria quotata a fine 2009 evidenzia la
necessità di intensificare gli sforzi per proteggersi da ulteriori perdite
(credito ed extra crd) al fine contenere la criticità della risorsa capitale
Tensioni su:
■ Riduzione degli utili del 32,4%
■ Riduzione degli asset del 2,3%
■ Riduzione del margine di interesse di circa
4 mld ( 20%)
■ Gestione del capitale (Basilea 3
+ cfr. risultati stress test del
23 luglio)
■ Riduzione delle commissioni nette di circa 1
mld
■ Stock di crediti deteriorati a 85 mld (+ 5,8%)
■ Gestione della redditività
■ Aumento delle rettifiche di circa 7 mld (+
50%)
■ Gestione del debito
■ Raccolta obbligazionaria in scadenza
■ Gestione finanziaria
■ Fabbisogno di nuovo capitale per circa 25
mld
■ Gestione organizzativa
Complessità
■ (Fonte Sole24ore/ R&S 21 maggio 2010)
3
Sommario
Il contesto di riferimento
2
La nostra visione
4
1
Efficacia ed efficienza dei processi aziendali
(amministrativi, produttivi, distributivi, ecc.)
ORGANIZZAZIONE / BUSINESS
2
Salvaguardia
del valore delle attività e
protezione dalle perdite
RISK MGNT/ CONVALIDA / ICAAP
3
Affidabilità e integrità delle informazioni
contabili e gestionali
CFO, DIRIGENTE PREPOSTO / CAPO
CONTABILE, PIANIFICAZIONE E
CONTROLLO, DATA QUALITY MGNT, …
4
Conformità delle operazioni con la legge, la
normativa di vigilanza nonché con le
politiche, i piani, i regolamenti e le procedure
interne
INTERNAL AUDIT
La corretta applicazione degli standard di vigilanza porta a costruire un
Sistema di controllo con una forte valenza di governo…
COMPLIANCE / ANTI-RICICLAGGIO, …
L’ASSETTO DEL SISTEMA DI CONTROLLO AZIENDALE DEVE DUNQUE PREVEDERE
L’INTERAZIONE COORDINATA DI DIVERSI ORGANI E FUNZIONI AZIENDALI CON APPROPRIATI
STRUMENTI E METODOLOGIE DI LAVORO, OPPORTUNAMENTE DOCUMENTATE E INTEGRATE AL
FINE DI PERMETTERE LA VALUTAZIONE COMPLESSIVA DELLO SCI DA PARTE DELL’ORGANO CON
FUNZIONE DI SUPERVISIONE STRATEGICA E DELLA VIGILANZA DA PARTE DELL’ORGANO CON
FUNZIONE DI CONTROLLO
5
…con attenzione anche al governo e controllo del Gruppo dove possono
esistere elementi endogeni di complessità
Possibili aspetti di
complessità in relazione al
Sistema dei controlli interni
di Gruppo
Capogruppo
(Direzione e
coordinamento)
Controllata 1
(Banca)
Controllata 1
(Banca QUOTATA)
Controllata 1
(Società prodotto SGR)
Controllata 1
(Società prodotto –
credito al
consumo)
■ Esistenza di linee di business
differenti
(anche
business
parabancari)
■ Esistenza di società quotate
■ Esistenza di società estere
■ Società di recente acquisizione
Controllata 1
(Banca - ESTERA)
Controllata 1
(Società prodotto –
Leasing/Factoring)
6
Necessità di un Sistema
integrato
“di Gruppo”
Dal controllo dei processi al governo dei risultati: i nostri
progettazione…
“driver” di
■ Valorizzare il ruolo della funzione di supervisione
e gestione nella progettazione e nell’utilizzo del
sistema di controllo
■ Avere come principio “ordinatore” il business
■ Dare rilevanza alla misurazione (NON SOLO
QUALITATIVA) dei fenomeni aziendali in
termini di capitale, margini, rettifiche di
valore,
perdite
extra-credito,
efficienza
/efficacia organizzativa e considerarli obiettivi
misurabili del Sistema dei controlli interni
(utilizzo, dove possibile, di grandezze reali
per “comunicare” con la Direzione)
Non solo “sistema dei controlli
interni” come costo
ma
“Sistema dei controlli interni” come
Modello di governo e controllo
direzionale anche a supporto del
business
■ Attuare i principi regolamentari previsti per la
progettazione del Sistema dei controlli interni
■ Ispirarsi alle principali best practice di mercato
(Co.So , ERM, …)
7
“Business internal
governance system”
(B.I.G.S.)
…con attenzione ad una chiara separazione dei ruoli fra chi governa e chi
controlla
FUNZIONE DI SUPERVISIONE STRATEGICA
FUNZIONE DI
CONTROLLO
INDIRIZZI E VALUTAZIONE SCI
OBIETTIVI
ECONOMICO
FINANZIARI
OBIETTIVI DI
CONFORMITA’
OBIETTIVI DI
REPORTING
VIGILANZA SU
FUNZIONALITA’
SCI
Rischio accettabile/ Policy di gestione dei rischi
FUNZIONE DI GESTIONE
ATTUAZIONE DEGLI INDIRIZZI, ESERCIZIO DEL BUSINESS, ASSUNZIONE DEI RISCHI
CONTROLLO
ORGANIZZATI
VO
(EFFICIENZA
E EFFICACIA)
CONTROLLO
REDDITIVITA’/
PATRIMONIO
CONTROLLO
DI
CONFORMITA’
NORME
ESTERNE
CONTROLLO
DI
CONFORMITA’
AUTO-REG.
CONTROLLO
AMM-VO
CONTABILE
CONTROLLO
DATA
QUALITY
CONTROLLI DI LINEA
FUNZIONE
1
FUNZIONE
2
FUNZIONE
3
FUNZIONE
4
REVISIONE INTERNA
8
FUNZIONE
5
FUNZIONE
…
ORGANO DI
CONTROLLO
(COLLEGIO
SINDACALE)
ORGANISMO DI
VIGILANZA
I principali elementi del Sistema consentono un approccio graduale per la
realizzazione del disegno complessivo di Gruppo
1
2
LINEE
GUIDA
3
MAPPA DEI RISCHI AZIENDALE
Mappatura dei
processi /
Normativa
interna
Mappa dei rischi, vs Policy assuntive dei
rischi / limiti operativi/ poteri delegati
Mappatura
obiettivi
Processo
di
gestione
SCI
Regole e
standard
Progettazi
one
componen
ti SCI
4
ORGANIZZAZIONE DEI
CONTROLLI
Risk Management, Convalida,
ICAAP, Compliance, Antiriciclaggio,
Organizzazione
(misurazione
processi),
Dirigente Preposto, OdV 231,
…
5
KNOWLEDGE MANAGEMENT
ATTIVITA’ DI REVISIONE
INTERNA
Valutazioni / verifiche
ad hoc
Valutazione
complessiva
funzionalità SCI
7
Sistema dei
controlli di linea
6
SISTEMA
INFORMATIVO
Repository organizzativi
Repository GRC
B.I. / Dashboard
REPORT
Censim
ento
obiettivi
informati
vi
Data
quality
Re-ing
flussi
informati
vi e
informati
zzazion
e
PERCHE’ SISTEMA INTEGRATO
Documento di
progettazione
Componenti SCI
INTEGRAZIONE DI “INTENTI” (ATTENZIONE AGLI OBIETTIVI DI BUSINESS)
INTEGRAZIONE “INFORMATIVA” (DATI E INFORMAZIONI A FATTORE COMUNE,
TASSONOMIE STANDARD, REPORTISTICA COORDINATA)
INTEGRAZIONE “METODOLOGICA” (METODOLOGIE DI VALUTAZIONE DEL RISCHIO
COERENTI E COMUNI, SINERGIA NELL’UTILIZZO DEI RISULTATI DELLE VALUTAZIONI)
9
Le Linee guida sono il documento di visione strategica del Sistema di
controllo che indirizza, in termini di impianto (cc.dd. “standard di
progettazione”) tutte le altre componenti del Sistema
LINEE GUIDA
OBIETTIVI DI
CONFORMITA’
OBIETTIVI DI
REPORTING
OBIETTIVI DI
EFFICIENZA E
EFFICACIA
MAPPA DEI RISCHI
OBIETTIVI
ECONOMICO
FINANZIARI
STD DI
PROGETTAZIONE
OBIETTIVI DI
REDDITIVITA’/
PATRIMONIALI
OBIETTIVI DI
COMPLIANCE/
LEGALI
Istr. di Vigilanza/
Disp.Gov. Soc.
Bankit
Regolamento
Congiunto
Bankit/ Consob
Auto-disciplina,
CO.SO. / ERM /
CoBIT, …
BENCHMARK
(Istituti
comparable)
OBIETTIVI INFO
FINANZIARIA
10
Conformità
ATTENZIONE SEMPRE AL “BUSINESS”
NELLA REALIZZAZIONE DELLO SCI
Best practice
1
COMPONENTI
SCI
MAPPA DEI
RISCHI
KNOWLEDGE
MANAGEMENT
ORGANIZZAZIONE
DEI CONTROLLI
ATTIVITA’ DI
REVISIONE
INTERNA
SISTEMA
INFORMATIVO
REPORTISTICA
La Mappa dei rischi aziendali si integra con la mappa dei rischi contenuta
nel procedimento ICAAP in modo da uniformare la visione dei rischi
2
MAPPA DEI RISCHI
Mappe di rischio autonome possono costituire un potenziale problema in termini di valutazione del
capitale interno, in quanto potrebbero esprimere valutazioni di rischio potenziale non analizzate in
sede ICAAP. L’audit può valutare autonomamente i rischi potenziali ma partendo dalla stessa
“tassonomia aziendale” utilizzata a fini di Vigilanza
RISCHI DI PRIMO PILASTRO (compreso il rischio
reputazionale derivante da non conformità)
Rischio di
credito
Rischi di
mercato
Rischio
operativo
Rischi di non
conformità
RISCHI DI SECONDO PILASTRO
Rischio di
Rischio di tasso
concentrazione
di interesse
Rischio di
liquidità
Rischi derivanti
da
cartolarizzazione
Rischio
strategico
Rischio
residuo
Rischio di
reputazione
residuale
rispetto ai rischi
di non
conformità
Per ogni obiettivo / rischio occorre definire e formalizzare internamente tutti gli aspetti collegati alle
modalità “assuntive” dei rischi:
Policy assuntive dei
rischi e limiti operativi
(di Vigilanza e
gestionali)
Politiche commerciali
vs
Politiche di incentivazione
11
Sistema delle deleghe
e poteri
I processi sono l’elemento di unificazione del sistema e oggetto di
valutazione in relazione alla finalità di controllo
3
KNOWLEDGE MANAGEMENT
La mappa dei processi deve essere unica a livello aziendale e di Gruppo (quale convenzione di
rappresentazione dei diversi ambiti di operatività nel Gruppo)
La normativa interna è un oggetto organizzativo diverso dal processo (chi, cosa, come)
Tutti i processi devono essere valutati in termini di conformità alla normativa esterna e potrebbero
essere misurati in termini di performance (costi, efficienza, qualità, …)
I profili di rischio valorizzati nell’ICAAP sono una guida per la valutazione dei processi di business
e viceversa (i rischi nei processi di business – risk taking - devono essere un input per l’ICAAP)
Analisi organizzativa
Regole per la gestione della normativa interna
12
L’organizzazione integrata dei controlli deve fornire una visione organica
delle modalità di mitigazione dei rischi assunti dai diversi business
aziendali a complemento dell’ICAAP (sistemi di attenuazione e controllo)
4
ORGANIZZAZIONE DEI CONTROLLI
RISCHI DI PRIMO PILASTRO (compreso il rischio
reputazionale derivante da non conformità)
Rischio di
credito
Rischi di
mercato
RISCHI DI SECONDO PILASTRO
Rischio Rischi di non
Rischio di
Rischio di tasso Rischio di
operativo
conformità concentrazione di interesse
liquidità
Rischi derivanti
da
cartolarizzazione
Rischio
strategico
Rischio
residuo
Rischio di
reputazione
residuale
rispetto ai rischi
di non
conformità
CONTROLLI DI LINEA
METODOLOGIE DI MISURAZIONE E VALUTAZIONE (ALLINEATE PER DETERMINATE RISCHI)
ATTENZIONE AI CONTROLLI INTERNI DI GRUPPO (STRATEGICO, GESTIONALE, OPERATIVO)
RUOLI E RESPONSABILITA’/ COINVOLGIMENTO DEL BUSINESS NEI CONTROLLI
(AUTO-ATTESTAZIONI)
DIMENSIONAMENTO QUALI-QUANTITATIVO DELLE FUNZIONI DI CONTROLLO AZIENDALI
STRUMENTI INFORMATICI A SUPPORTO
REPORTING OPERATIVO (STANDARD E SCALE DI SINTESI COMUNI)
13
ICAAP E SISTEMI DI CAPITAL
MANAGEMENT
ASSETTO DI CONTROLLO AZIENDALE E DI GRUPPO (Accentrato, decentrato, distribuito, …)
L’articolazione su tre livelli del Sistema dei controlli interni può implicare
una riorganizzazione delle attività e dei ruoli delle funzioni di controllo
basata anche questa su principi di efficienza ed efficacia
4
Compliance/
AML
Organizzazione
Pianificazione e
controllo
Dirigente
Preposto
Risk Management/
CFO?
Report su esiti
valutazioni/
verifiche COM
(score: rischio)
Report su esiti
valutazioni/
misurazioni
E+E+REPO
(score: rischio)
Report su esiti
valutazioni/
misurazioni
E+E+ECOFIN
(score: rischio)
Report su esiti
valutazioni/
verifiche REPO
(score: rischio)
Report su esiti
valutazioni/
verifiche
ECOFIN
(score: rischio)
Report su esiti
valutazioni/
verifiche
(score:
impianto e
funzionamento)
Analisi di
rilevanza dei
rischi
(in una logica
sinergica,
anche ai fini
ICAAP)
Business
Report su esiti
valutazioni
controlli di linea
(score: impianto
e funzionamento)
ORGANIZZAZIONE DEI CONTROLLI
Report su esiti
valutazioni/
verifiche COM
(score:
impianto e
funzionamento)
Audit
Esiti proprie verifiche /
valutazioni su conformità
SCI (requisiti di Vigilanza)
(score: impianto e
funzionamento)
Esiti proprie
verifiche/ indicatori
a distanza su ambiti
specifici
(score: impianto e
funzionamento)
Integrazione esiti
proprie verifiche
con quelle di altre
funzioni aziendali
(score: impianto e
funzionamento)
14
Acquisizione analisi
di rilevanza per
confronto con esiti
valutazioni di
impianto e
funzionamento
Valutazione
di
adeguatezza
/ funzionalità
La revisione interna è la funzione responsabile della valutazione del
Sistema dei controlli interni
5
ATTIVITA’ DI REVISIONE INTERNA
Le attività di revisione interna presentano come perimetro:
Audit verticali di impianto e/o funzionamento (anti-riciclaggio, ICAAP, sistemi di remunerazione,
…) + ispezioni + controlli “a distanza” (indicatori)
Valutazioni complessive della funzionalità dello SCI (in considerazione della conformità delle
diverse componenti dello SCI – anche tenuto conto dei controlli delle altre funzioni - dell’analisi di
rilevanza dei rischi e, conseguentemente, dell’effettivo raggiungimento degli obiettivi aziendali)
Quando un Sistema dei controlli interni può
essere considerato adeguato / funzionale
(in ragione alle caratteristiche della Banca)
Attenzione alla conformità dello SCI
(con visione anche di Gruppo)
• Occorre garantire in primo luogo il rispetto
degli standard che la Vigilanza impone con
riferimento alla progettazione dello SCI (cfr.
Istruzioni
di
Vigilanza,
Disposizioni
Governance, Regolamento Congiunto, …).
Attenzione al business
• Gli obiettivi aziendali e a livello consolidato
sono effettivamente raggiunti e quindi lo SCI
ha traguardato il suo scopo (nel caso gli
obiettivi non fossero chiaramente esplicitati
allora può essere opportuno un confronto
con altri Istituti - benchmark)
•I
rischi
conseguentemente
risultano
ottimizzati (nel caso dei rischi di credito, di
mercato, …) o mitigati (nei casi dei rischi
operativi, di compliance, reputazionali, …)
• Tali standard costituiscono il primo presidio
ad una sana e prudente gestione dei rischi
15
…la nostra visione, per la metodologia di valutazione complessiva, si
fonda sulle logiche di Vigilanza
5
ATTIVITA’ DI REVISIONE INTERNA
ARROW (FSA – UK)
SRP (BANKIT / UE)
L’adeguatezza dello SCI viene quindi
valutata in relazione:
Adeguatezza
patrimoniale
RISCHI /
OBIETTIVI
• Analisi degli
obiettivi aziendali
• Analisi dei rischi
aziendali
• Misurazione
/valutazione
• Stima del
patrimonio
necessario
Qualità del
governo
societario
•
•
•
•
Ruoli
Responsabilità
Remunerazioni
Procedure di
funzionamento
• Autovalutazione
Adeguatezza
organizzativa
1. All’effettivo raggiungimento attuale e
prospettico degli obiettivi aziendali
TUTELA
(obiettivi raggiunti, rischi ottimizzati/
STAKEHOLDER mitigati)
• Adeguatezza
amministrativa
• Adeguatezza dei
processi
• Adeguatezza dei
sistemi
• Adeguatezza dei
controlli
2. All’effettiva qualità del “SISTEMA DI
DIFESA” della Banca e del Gruppo
(conformità
agli
standard
di
Vigilanza, …)
16
Il sistema informativo deve consentire l’integrazione e l’unificazione
(repository) dei dati del Sistema dei controlli interni e gestire tramite
appropriati work flow le esigenze funzionali dei diversi attori
6
SISTEMA INFORMATIVO
Un sistema integrato che gestisce dati su obiettivi e rischi (performance, conformità, adeguatezza
patrimoniale, qualità reporting, …) con diverse prospettive (Società, UO, processi e controlli,
prodotti, …)
Il “concept” del “Business
internal governance system”
prevede, al minimo, lo
sviluppo
di
una
integrazione tra:
eventuali
repository
organizzativi già utilizzati
(p.e. ARIS, MEGA, …)
eventuali altre soluzioni
informatiche a supporto della
valutazione/ misurazione dei
rischi (cc.dd. “GRC”)
17
Attendibilità, tempestività e integrità dei flussi informativi sono garantiti
dalla scelta di un sistema informativo unificato
7
FLUSSI INFORMATIVI
E’ fondamentale, in una logica gestionale e grazie ai sistemi informativi a supporto:
razionalizzare i report prodotti dalle diverse funzioni di controllo (standard comuni)
prevedere report sintetici di direzione con logiche di approfondimento successivo (anche con una
visione di Gruppo)
TOP
DOWN
Gestione dei report secondo
approcci “drill down”
18
NIKE consulting possiede le competenze, le esperienze e le professionalità
per supportare la realizzazione di tutti gli elementi del sistema
1
LINEE GUIDA
2
MAPPA DEI RISCHI
Stesura delle linee guida sul sistema dei controlli interni (considerando ed esaminando,
laddove possibile, gli obiettivi aziendali in una logica SCI - da documentazione interna –
auto-esplicitazione – acquisizione dati da benchmark)
Mappatura, analisi e revisione componenti del modello di governo (funzionigramma,
policy di governo dei rischi, poteri delegati, sistemi di remunerazione, …)
Mappatura e analisi dei processi aziendali. Impostazione sistema di rilevazione delle
performance (lean six sigma o approcci semplificati)
Mappatura e analisi del disegno dei controlli di linea
Impostazione sistemi di gestione della normativa interna (Ind. vs Gruppo)
3
KNOWLEDGE MANAGEMENT
4
ORGANIZZAZIONE DEI CONTROLLI
Impostazione sistemi di auto-attestazione dei controlli di linea da parte del business
Impostazione sistemi di misurazione/ valutazione comuni per le funzioni di controllo di II
livello al fine di coordinare le funzioni e ottenere reportistica omogenea
5
ATTIVITA’ DI REVISIONE INTERNA
Impostazione modelli di audit specialistici (ICAAP, sistemi di remunerazione e
incentivazione, conflitti di interesse, AML, …) e modelli di valutazione complessiva SCI
6
SISTEMA INFORMATIVO
Implementazione relazioni tra repository organizzativo e sistemi GRC
Implementazione moduli SAS business analytics e intelligence / dashboard
7
FLUSSI INFORMATIVI
Mappatura e analisi dei flussi informativi in una logica gestionale
Razionalizzazione dei flussi informativi in funzione dei destinatari
19
00PRE-Presentazione NIKE
Rev. 6 – 01/03/12
