6.6 Valutazione di altri rischi

Le autorità competenti dovrebbero valutare l’importanza di altri rischi che impattano sul capitale dell’impresa di investimento e non sono coperti dai requisiti di fondi propri di primo pilastro, in conformità degli articoli 36 e 40 della direttiva (UE) 2019/2034. Nella valutazione di tali altri rischi, le autorità competenti dovrebbero prendere in considerazione la natura e la complessità delle attività dell’impresa di investimento che impattano sulla significatività di tali rischi.

6.6.2 Valutazione dei rischi intrinseci

Mediante la valutazione dei rischi intrinseci non coperti dai requisiti di fondi propri di primo pilastro, le autorità competenti dovrebbero stabilire le principali determinanti dei rischi dell’impresa di investimento e valutare la significatività dell’impatto di tali rischi sull’impresa. La valutazione di questi rischi dovrebbe essere strutturata attorno alle seguenti fasi principali:

• a. valutazione preliminare;
• b. valutazione della natura e dell’ampiezza delle attività d’investimento che costituiscono un rischio per l’impresa di investimento non coperto dai requisiti di fondi propri di primo pilastro;
• c. valutazione di sistemi e processi relativi a queste attività.

Le autorità competenti dovrebbero valutare i rischi non coperti dai requisiti di fondi propri di primo pilastro in termini sia correnti sia prospettici.

Ove pertinente, le autorità competenti dovrebbero condurre anche una valutazione di rischi diversi da quelli elencati nel presente capitolo.

Valutazione preliminare

Per stabilire l’ambito di applicazione della valutazione dei rischi non coperti dai requisiti di fondi propri di primo pilastro, le autorità competenti dovrebbero prima di tutto individuare le fonti dei rischi a cui l’impresa di investimento è o potrebbe essere esposta.

Come minimo, le autorità competenti dovrebbero prendere in considerazione quanto segue:

• a. Il modello imprenditoriale e la propensione al rischio;
• b. gli sviluppi in seno all’impresa e l’esternalizzazione di soluzioni informatiche;
• c. le funzioni di supporto quali quelle di conformità, legale e fiscale (anche se esternalizzate);
• d. i costi per cause e contenziosi;

76

• e. le perdite operative totali, compresi i costi di frodi interne ed esterne;
• f. l’ambito delle attività diverse dalla negoziazione.

Le autorità competenti dovrebbero effettuare l’analisi preliminare tenendo conto delle variazioni intervenute nel corso del tempo negli aspetti di cui sopra, al fine di formarsi un giudizio informato sulle principali determinanti degli altri rischi dell’impresa di investimento.

Rischio di tasso di interesse derivante da attività diverse dalla negoziazione

Le autorità competenti dovrebbero valutare il rischio di tasso di interesse derivante da attività diverse dalla negoziazione a cui l’impresa di investimento è esposta.

Le autorità competenti dovrebbero valutare il modo in cui le variazioni dei tassi di interesse possono incidere sfavorevolmente sulle attività, sulle passività e sulle esposizioni fuori bilancio dell’impresa di investimento. Per determinare meglio la complessità e il profilo di rischio di tasso di interesse dell’impresa di investimento, le autorità competenti dovrebbero anche capire le caratteristiche principali delle attività, delle passività e delle esposizioni fuori bilancio dell’impresa.

Nella loro valutazione quantitativa, le autorità competenti dovrebbero prendere in considerazione i risultati delle metodologie interne dell’impresa di investimento per misurare il rischio di tasso di interesse derivante da attività diverse dalla negoziazione. In aggiunta, le autorità competenti dovrebbero considerare opportuni scenari di shock, data la natura dell’esposizione al rischio di tasso di interesse derivante da attività diverse dalla negoziazione dell’impresa di investimento.

Rischi operativi non coperti dal primo pilastro

Le autorità competenti dovrebbero valutare i rischi operativi non coperti dai requisiti di fondi propri minimi in conformità del regolamento (UE) 2019/2033. Questi rischi potrebbero portare a perdite operative dirette e indirette derivanti da reclami e contenziosi. I grandi rischi operativi possono anche portare a una carenza di personale in posizioni chiave. La valutazione dovrebbe prendere in considerazione non solo le perdite operative, ma anche i «quasi incidenti» e gli eventi di rischio operativo conclusisi con un utile.

Le autorità competenti dovrebbero considerare le seguenti fonti di rischio intrinseco e, se pertinenti, concentrare la valutazione sugli aspetti considerati più significativi per l’impresa di investimento:

• a. sicurezza sul luogo di lavoro;
• b. danni a beni materiali;
• c. frode interna;
• d. frode esterna;

77

• e. rischi delle TIC;
• f. rischio di condotta;
• g. rischi regolamentari, legali e fiscali;
• h. rischio di modello, in relazione ai modelli utilizzati a fini commerciali;
• i. risorse (sia qualitative, sia quantitative) tecniche e umane insufficienti in posizioni chiave;
• j. rischio reputazionale.

Nell’ambito della valutazione delle SREP, le autorità competenti dovrebbero formulare un giudizio sul grado di rischio ICT e la coerenza delle operazioni ICT con la strategia imprenditoriale. Le autorità competenti dovrebbero includere nella propria valutazione tutti gli aspetti concernenti il rischio di ICT, come il rischio riguardante la sicurezza, il rischio relativo ai progetti informatici e il rischio di gestione ITC, nella misura in cui ciò non sia già contemplato in altre parti dei presenti orientamenti, e tenendo conto degli Orientamenti dell’ABE sui rischi delle ITC e di sicurezza (¹⁹ ), nonchè degli Orientamenti dell’ESMA in materia di esternalizzazione a fornitori di servizi cloud (²⁰ );

Le autorità competenti dovrebbero formulare un giudizio sul grado di rischio di condotta connesso alle attività di investimento e di mercato dell’impresa di investimento, nella misura in cui tale rischio non è coperto dai requisiti di fondi propri di primo pilastro. Il rischio di condotta va inteso come il rischio attuale o prospettico a cui sono esposti i clienti, i mercati o l’impresa a causa di un comportamento inappropriato dell’impresa o del suo personale. Tale rischio può derivare da casi di cattiva condotta intenzionale o per negligenza (compresa la fornitura inappropriata di servizi finanziari), nella misura in cui ciò potrebbe portare a impatti finanziari o reputazionali negativi. Il rischio di reputazione può a sua volta causare una perdita di quote di mercato o di clienti chiave e un aumento dei reclami da parte dei clienti.

Le autorità competenti dovrebbero concentrarsi sulle seguenti fonti di rischio di condotta intrinseco, ove pertinenti:

• a. chiusura o sospensione di un fondo;
• b. numero di episodi di cattiva condotta: vendita di prodotti inadeguati, manipolazione del mercato;
• c. sanzioni regolamentari ricevute.

Le autorità competenti dovrebbero formulare un giudizio sui rischi regolamentari, legali e fiscali derivanti dalla non conformità a leggi o a regolamenti. Tali rischi potrebbero

(¹⁹ ) Orientamenti dell’ABE sulla gestione dei rischi relativi alle tecnologie dell’informazione e della comunicazione (Information and Communication Technology - ICT) e di sicurezza (EBA/GL/2019/04).

(²⁰ ) Orientamenti dell’ESMA in materia di esternalizzazione a fornitori di servizi cloud (ESMA50-164-4285). 78 portare a contenziosi e sanzioni per l’impresa di investimento. I programmi correttivi possono anche comportare spese ingenti per conformarsi a leggi e a regolamenti.

Le autorità competenti dovrebbero concentrarsi su queste fonti di rischi regolamentari, legali e fiscali intrinseci, ove pertinenti:

• a. costi per conseguire la piena conformità alle normative vigenti;
• b. pagamento di ammende o altre sanzioni per mancata conformità;
• c. rivalutazione fiscale o pagamento di tasse, ammende e sanzioni di mora;
• d. anticipazione di modifiche normative che interessano l’impresa di investimento.

Le autorità competenti dovrebbero valutare il rischio relativo ai modelli utilizzati a fini commerciali, compresi i modelli di valutazione/di formazione prezzi, i modelli per la negoziazione algoritmica e altri modelli che sono suscettibili di incidere negativamente sulle decisioni commerciali e sulle attività dell’impresa di investimento.

Tenendo conto delle specificità dell’impresa di investimento, nell’effettuare la valutazione dei rischi non coperti dai requisiti dei fondi propri di primo pilastro, le autorità competenti possono prendere in considerazione altre fonti di rischio non incluse nelle categorie sopra menzionate.

Rischio sistemico

Partendo da criteri quantitativi e qualitativi, le autorità competenti dovrebbero formulare un giudizio sul rischio sistemico dell’impresa di investimento. Sulla base di tale valutazione, le autorità competenti dovrebbero stabilire, se il dissesto dell’impresa di investimento potrebbe condurre a importanti perturbazioni dei mercati finanziari in cui l’impresa di investimento opera.

Ove appropriato, la valutazione del rischio sistemico può essere svolta in maniera aggregata per un gruppo di imprese di investimento aventi modello imprenditoriale e profilo di rischio simili. Nell’effettuare tale valutazione aggregata, le autorità competenti devono considerare i potenziali impatti del dissesto simultaneo di un determinato numero/una determinata percentuale di tali imprese di investimento sui mercati finanziari in cui operano. A tal fine le autorità competenti possono considerare uno o più scenari.

6.6.3 Valutazione della gestione e dei controlli dei rischi

Per avere una visione completa del profilo del rischio dell’impresa di investimento in relazione ai rischi non coperti dai requisiti di fondi propri di primo pilastro, le autorità competenti dovrebbero anche esaminare l’assetto di governance e di gestione del rischio che riduce il rischio derivante da altre fonti di rischi. A tal fine, le autorità competenti dovrebbero valutare gli elementi che seguono, tenendo, al contempo, in considerazione il volume, la natura e complessità delle attività dell’impresa di investimento:

79

• a. la strategia dell’impresa di investimento rispecchia correttamente la propensione dell’impresa ad assumere tali rischi ed è coerente con la propensione al rischio complessiva;
• b. l’impresa di investimento dispone di linee guida e politiche interne volte ad assicurare una sana cultura del rischio;
• c. l’impresa di investimento dispone di un adeguato assetto per la gestione, la misurazione, il monitoraggio e il controllo del rischio di tasso d’interesse derivante da attività diverse dalla negoziazione;
• d. l’impresa di investimento dispone di un adeguato assetto per la gestione, la misurazione, il monitoraggio e il controllo dei rischi informatici, con risorse (sia qualitative sia quantitative) tecniche e umane sufficienti;
• e. l’impresa di investimento dispone di politiche e procedure definite chiaramente per l’individuazione e il controllo del rischio operativo.

6.6.4 Sintesi delle risultanze e punteggio

A seguito della valutazione di cui sopra, le autorità competenti dovrebbero formulare un giudizio sugli altri rischi dell’impresa di investimento. Detto giudizio dovrebbe riflettersi in una sintesi delle risultanze, accompagnata da un punteggio di rischio assegnato sulla scorta delle considerazioni di cui alla tabella 8. Qualora, in base alla rilevanza di taluni fattori di rischio, le autorità competenti decidano di valutarli e attribuirgli un punteggio individuale, le indicazioni fornite nella tabella sottostante dovrebbero essere applicate, per quanto possibile, per analogia.

Le autorità competenti dovrebbero tener conto di tutti questi fattori parallelamente e non separatamente, e comprendere i fattori che alimentano i rischi non coperti dai requisiti di fondi propri di primo pilastro.

80 Tabella 8. Considerazioni di vigilanza per l’assegnazione di un punteggio agli altri rischi

Punteggio Considerazioni per una Considerazioni relative al rischio del Giudizio di vigilanza gestione e controlli adeguati intrinseco