11. Quadro di gestione dei rischi

Nell’ambito del quadro di controllo interno complessivo, gli emittenti di ART dovrebbero disporre di un quadro olistico di gestione dei rischi a livello di emittente che si estenda a tutte le sue linee di business e unità interne, comprese le funzioni di controllo interno, riconoscendo pienamente la sostanza economica di tutte le loro esposizioni al rischio, compresi i rischi che l’emittente di ART pone a se stesso, ai detentori di attività, i rischi operativi e i rischi derivanti dalla riserva di attività.

Il quadro di gestione dei rischi dovrebbe consentire all’emittente di ART di prendere decisioni con piena consapevolezza in merito a tutti i rischi ai quali sono o potrebbero essere esposti, compresi i rischi informatici, conformemente al regolamento (UE) 2022/2554 (DORA) (¹² ) e alla sezione 12. Il quadro di gestione dei rischi dovrebbe comprendere tutti i rischi, compresi i rischi correnti e quelli futuri ai quali l’emittente di ART potrebbe essere esposto. I rischi dovrebbero essere valutati a partire dal basso e a partire dall’alto, all’interno e attraverso le linee di business

• o le unità interne, utilizzando una terminologia coerente e metodologie compatibili in tutto l’emittente di ART e a un livello consolidato, ove applicabile. Tutti i rischi pertinenti dovrebbero essere inseriti nel quadro di gestione dei rischi con l’appropriata valutazione dei rischi sia finanziari sia non finanziari, compresi i rischi di concentrazione, operativi, TIC, reputazionali, legali, di condotta ed ESG. Dovrebbero essere presi in considerazione anche il rischio di credito, il rischio di mercato, il rischio di concentrazione e il rischio di liquidità derivanti dalle attività di riserva.

Il quadro di gestione dei rischi di un emittente di ART dovrebbe prevedere politiche, procedure, limiti di rischio e controlli dei rischi che garantiscano l’individuazione, la misurazione o la valutazione, il monitoraggio, la gestione, la mitigazione e la segnalazione dei rischi, in maniera adeguata, tempestiva e continua, a livello delle linee di business, delle unità interne, a livello di emittente e di gruppo, laddove applicabile.

Il quadro di gestione dei rischi di un emittente di ART dovrebbe fornire indicazioni specifiche sull’attuazione delle strategie di rischio. Tali indicazioni dovrebbero, eventualmente, stabilire e mantenere limiti interni coerenti con la propensione e la tolleranza al rischio dell’emittente e commisurati al sano funzionamento, alla resilienza operativa, alla solidità finanziaria, al fabbisogno di liquidità e agli obiettivi strategici dello stesso. Il profilo di rischio dell’emittente di ART dovrebbe essere mantenuto entro i limiti stabiliti. Il quadro di gestione dei rischi dovrebbe garantire che, laddove si verifichino violazioni dei limiti di rischio, vi sia un processo definito per segnalarle e gestirle con un’apposita procedura di follow-up.

Il quadro di gestione dei rischi dovrebbe essere sottoposto a una revisione interna indipendente, ad esempio da parte della funzione di audit interno, e rivalutato regolarmente rispetto alla tolleranza e alla propensione al rischio dell’emittente di ART.

Dovrebbero essere istituiti meccanismi di segnalazione periodici e trasparenti, affinché l’organo di amministrazione e tutte le unità pertinenti di un emittente di ART ricevano le informazioni in maniera tempestiva, precisa, sintetica, comprensibile e significativa, e possano condividere le informazioni pertinenti in materia di individuazione, misurazione o valutazione, monitoraggio e gestione dei rischi. Il quadro di segnalazione dovrebbe essere ben definito e documentato.

(¹² ) Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativo alla resilienza operativa digitale per il settore finanziario: Ufficio delle pubblicazioni (europa.eu).

L’efficace comunicazione e sensibilizzazione in merito ai rischi e alla strategia in materia di rischio è fondamentale per l’intero processo di gestione dei rischi, inclusi i processi di revisione e quelli decisionali, e contribuisce a impedire la presa di decisioni che potrebbero involontariamente aumentare i livelli di rischio. L’efficace segnalazione dei rischi implica la sana valutazione e comunicazione interna della strategia in materia di rischio e dei dati relativi ai rischi sia trasversalmente all’interno dell’emittente di ART sia verticalmente lungo la catena gestionale.