ARTICOLI

La valutazione del profilo di rischio aziendale attraverso la raccolta dei dati interni di perdita

Dott. Andrea Giacchero

23 Dicembre 2011

 

La misurazione del rischio operativo è un processo del sistema di gestione del rischio operativo, che inizia con l'identificazione del rischio e prosegue con la misurazione, il monitoraggio, il reporting e le azioni di controllo/mitigazione. I presupposti per la misurazione del rischio operativo sono rappresentati dalla preventiva identificazione e classificazione dei suddetti rischi - partendo dagli eventi pregiudizievoli da cui possono derivare perdite per l’impresa - e dalla costruzione di un database che raccolga i dati di perdita raccolti.

L'obiettivo della fase di identificazione è pervenire alla costituzione di una base informativa completa ed affidabile, su cui avviare la successiva fase di misurazione, attraverso il trattamento coerente e coordinato di tutte le fonti di informazione rilevanti per la gestione integrata dei rischi operativi. La base informativa viene alimentata da:

  • dati interni di perdita

  • dati esterni di perdita

  • stime soggettive derivanti da un processo di self-assessment

  • indicatori (indicatori di esposizione, di performance, di anomalia)

  • valutazione dei fattori di contesto operativo e di controllo interno.

La raccolta di queste informazioni avviene sulla base di un framework metodologico, che dovrebbe garantire un’omogenea classificazione dei dati, attraverso il ricorso ad opportuni strumenti operativi ed informatici volti ad assicurare tempestività, precisione ed uniformità della raccolta stessa per ogni set informativo sopra citato. Ad ogni input - rappresentato da dati dispersi e non organizzati – corrisponde, quindi, un’informazione organizzata in output.

I dati interni di perdita rappresentano un elemento di primaria importanza, in quanto forniscono indicazioni sul profilo di rischio aziendale e sulla solidità delle prassi gestionali del Risk Management.

La Loss Data Collection (LDC) è, quindi, un’attività nevralgica del sistema di gestione dei rischi operativi, in quanto la carenza di serie storiche profonde e la scarsa disponibilità di dati sulle perdite interne per alcune tipologie di eventi pregiudizievoli rappresentano il maggior ostacolo alla quantificazione degli assorbimenti di capitale a fronte di tali rischi. La mancanza di un processo strutturato di LDC all’interno delle banche sarebbe, infatti, la prima causa del ritardato sviluppo - in passato - dei modelli di gestione e misurazione dei rischi operativi.

L’obiettivo della LDC è l’individuazione, il censimento ed il reporting delle perdite operative già verificatesi in azienda.

L’unità di Operational Risk Management (ORM) deve definire un framework metodologico, che preveda il rispetto e la salvaguardia di alcuni principi cardine del processo di LDC, al fine di garantire un elevato standard qualitativo in termini di attendibilità delle informazioni raccolte e di completezza delle serie storiche di perdita rispetto al profilo di rischio operativo.

Come per ogni altro elemento del sistema di gestione del rischio operativo, anche la LDC deve essere supportata da una forte cultura aziendale sui rischi, che permei l’intera azienda. La mission dell’unità di ORM consiste proprio nel definire, selezionare, implementare e diffondere una metodologia unica, basata su di un processo adeguatamente formalizzato, in cui le principali attività di LDC - ricerca, censimento, validazione, monitoraggio e reporting - costituiscano i principali sottoprocessi.

Il corretto censimento delle perdite effettive richiede l’identificazione del singolo accadimento pregiudizievole, che genera uno o più effetti e che li aggrega in un’unica perdita: partendo dall’evento di perdita, si individuano le perdite e i fattori di rischio che hanno scatenato l’evento stesso. Il presupposto di questa metodologia è la disaggregazione dei dati, che consenta di identificare - unitamente alle perdite - l’evento che le ha generate: la successiva aggregazione dei singoli effetti in capo ad un solo evento di perdita risulta tanto più significativo quanto più aumenta la complessità del fenomeno osservato.

L'identificazione di ogni evento dovrebbe essere accompagnata da una descrizione dettagliata, in modo da garantire l’auditabilità delle modalità operative con cui gli eventi pregiudizievoli sono stati effettivamente individuati.

Un'analisi con un simile livello di dettaglio - in grado di rilevare eventuali sacche di inefficienza a livello di processo/prodotto - assicurerebbe all’azienda evidenti benefici, in virtù di una maggior consapevolezza dei manager in merito ai potenziali eventi di perdita che gravano sul settore aziendale da loro presidiato. Una raccolta di dati di perdita strutturata e rigorosa, in grado di fornire dati omogenei, completi ed affidabili, permette di applicare - in modo produttivo - gli strumenti di misurazione dei rischi operativi.

Uno degli aspetti rilevanti del processo di LDC è l’individuazione delle fonti informative, da cui sia possibile attingere per la rilevazione - sia gestionale che contabile - delle perdite operative. Il ciclo di vita della perdita inizia con la manifestazione dell’evento e termina con la contabilizzazione degli effetti della stessa: a seconda dello stadio in cui la perdita si trova, cambiano le modalità di osservazione. La ricerca delle perdite si basa sull’assunto che in ogni azienda esistano procedure - strutturate e/o destrutturate in funzione della sensibilità ai rischi operativi - per la gestione delle perdite operative. Occorre, pertanto, censire gli archivi già esistenti presso le varie unità organizzative dell’azienda. Tali unità organizzative, che prendono il nome di fonti informative, al loro interno gestiscono:

  • archivi stand-alone, tenuti in formato cartaceo o elettronico e usufruiti, in via esclusiva, dalla funzione che li gestisce;

  • sistemi legacy, che consistono in applicativi di supporto alle principali attività dell’azienda, collegati - generalmente - alla contabilità.

Una fonte informativa è valida se, oltre al censimento di un set minimale di informazioni, consente anche la riconciliazione delle perdite raccolte con le rubriche di c/economico in cui le stesse vengono contabilizzate; deve essere in grado di fornire le informazioni riguardanti le dimensioni principali sia di ogni evento di perdita rilevato che degli effetti ad esso associati.

Le fonti informative si dividono in:

  • fonti contabili: si tratta delle unità organizzative che imputano direttamente a c/economico i dati di perdita;

  • fonti gestionali o extracontabili: sono le unità organizzative con la responsabilità gestionale del dato di perdita. In questo caso, le unità organizzative inviano i dati di loro pertinenza alla contabilità, che provvede a contabilizzarli.

L’ideale sarebbe riuscire a sfruttare al meglio i benefici caratteristici delle une e delle altre, sia da un punto di vista dei costi implementativi del modello che da quello dell’efficacia del processo di raccolta. La scelta di attingere da una fonte piuttosto che da un’altra dipende dalla numerosità di perdite rilevabili presso una determinata fonte informativa e dalla qualità del set informativo che se ne ricaverebbe. In ogni caso, le fonti informative dovrebbero, nel tempo, essere dotate di appositi applicativi gestionali, in modo da automatizzare la registrazione dell’informazione, rendendo minimo il rischio di inconvenienti da lavoro manuale.

All’interno di ogni fonte informativa deve essere individuato un referente ORM, che è responsabile del corretto, completo e tempestivo svolgimento delle attività di LDC che la propria struttura di appartenenza è chiamata ad adempiere, garantendo il suo supporto secondo modalità e tempistiche definite dall’unità di Operational Risk Management. Al referente ORM spetta anche la validazione di primo livello dei dati di perdita raccolti, mentre all’unità di ORM quella di secondo.

Il framework metodologico della LDC deve prevedere i criteri per l’individuazione delle fonti informative, l’assegnazione di una mission agli attori coinvolti e la specifica degli strumenti da impiegare nella raccolta dei dati.

Le principali fasi del processo di LDC si possono così riepilogare:

  1. ricerca: la raccolta dovrebbe prevedere il censimento di informazioni aggiuntive rispetto ai dati di perdita, in ottica di una gestione proattiva dei rischi. Nella fase della ricerca si stabiliscono i criteri per l’individuazione delle fonti informative, l’individuazione delle perdite operative da censire e la valutazione delle fonti mediante test che misurino il loro grado di tempestività, completezza ed accessibilità;

  1. censimento: riguarda la rilevazione e la registrazione degli eventi di perdita e la raccolta della relativa documentazione a supporto. Vengono definiti e formalizzati i parametri di raccolta, che devono garantire:

  • accuratezza dell’informazione, per disporre di informazioni complete ed affidabili;

  • tempestività della raccolta, in modo da assicurare che gli eventi siano censiti in un istante il più ravvicinato possibile alla data di accadimento, che - rispetto alle altre date disponibili - sembra riflettere meglio il profilo di rischio della banca;

  • auditability dell’intero processo di censimento, che deve essere supportato da un’adeguata documentazione;

    1. gestione dei dati: i dati raccolti vengono archiviati nel database di riferimento;

    2. validazione: nonostante la presenza di adeguati criteri per il censimento dei dati, è necessario prevedere una successiva fase di validazione delle informazioni raccolte;

    3. monitoraggio: l’attività di monitoraggio è volta a controllare il regolare andamento del processo di raccolta - secondo tempi e modi previsti dall’unità di ORM - e la manutenzione del database;

    4. reporting: il processo di LDC termina con la stesura di un reporting diretto al Top Management e a tutte le unità organizzative interessate dagli eventi di perdita analizzati.

Il processo di LDC - la cui efficacia dipende dalla profondità temporale delle perdite operative raccolte e dalla qualità delle informazioni di cui si dispone – è, quindi, un elemento chiave nella valutazione del grado di esposizione al rischio operativo rispetto alle tipologie di eventi riscontrate nell’azienda. Dipende fortemente dalla specificità dell’organizzazione aziendale in cui viene realizzata e, soprattutto, dal modello organizzativo adottato per l’unità di ORM.

Indipendentemente dal disegno di processo e dall’organizzazione dei flussi della LDC, l’elemento centrale della raccolta è rappresentato dalla realizzazione di un database in cui far confluire i dati di perdita operativa.

Posta la centralità del database nel processo di raccolta, gli elementi principali del processo di LDC sono:

  • le fasi del processo

  • le fonti informative

  • gli attori coinvolti

Il processo di LDC deve permettere l’individuazione, il censimento, la validazione e il reporting delle perdite operative, consentendo di mantenere un elevato standard qualitativo in termini di:

  •  
    • attendibilità delle informazioni raccolte;

    • completezza delle serie storiche di perdita rispetto alla rappresentazione del profilo di rischio operativo dell’azienda.

A tal proposito, è necessario prevedere:

  • la predisposizione di un’adeguata documentazione, che accompagni ogni evento di perdita archiviato nel database;

  • la definizione di una metodologia idonea a supportare la dimostrabilità, l’obiettività e l’attendibilità dell’intero processo di LDC;

  • la diffusione di una cultura del rischio - attraverso il coinvolgimento diretto delle varie unità organizzative nelle attività di LDC - per lo sviluppo di un linguaggio comune in materia di gestione del rischio operativo, evitando problemi futuri di sovrapposizione o di incomprensione;

  • un processo formalizzato, ben disegnato, basato su di una metodologia chiara e di facile applicabilità.

A valle dell’intero processo di LDC, l’unità di ORM potrebbe creare una sorta di dizionario degli eventi, in cui ciascun evento è precisamente definito, al fine di agevolarne la comprensione all'interno dell'organizzazione. Si tratterebbe di stilare una lista dei rischi operativi – definiti tipici – da usare come base per la costruzione di un database più strutturato. In questo modo, il database delle perdite operative – alla stregua di un vero e proprio indicatore di performance - fornirebbe indicazioni utili per valutare l'efficienza di una banca nella gestione delle perdite, dei processi e dei controlli.

Il processo di LDC, coinvolgendo l’intera struttura organizzativa, assurge a strumento di diffusione delle politiche di sana gestione del rischio: l’attività di ricerca dei dati di perdita operativa rafforza - ad ogni livello organizzativo - la cognizione del concetto di rischio.