12. Gestione del rischio operativo e resilienza operativa

L’emittente di ART dovrebbe disporre di un adeguato quadro per la gestione del rischio operativo e di un quadro per la resilienza operativa. Ciò include politiche e processi efficaci per:

• a. individuare, valutare, vagliare, monitorare, segnalare e mitigare il rischio operativo in modo tempestivo;
• b. individuare e proteggersi contro le minacce e i potenziali fallimenti, rispondere e adattarsi, nonché recuperare e imparare da eventi dirompenti per ridurre al minimo il loro impatto sull’erogazione di funzioni essenziali o importanti (¹³ ).

L’organo di amministrazione di un emittente di ART dovrebbe, nell’ambito del quadro di gestione dei rischi, approvare strategie, politiche e processi per la gestione del rischio operativo e della resilienza operativa, compresa la propensione al rischio per il quadro di gestione del rischio operativo e la tolleranza al rischio per l’interruzione di funzioni essenziali o importanti (¹⁴ ). Tali strategie, politiche e processi dovrebbero essere periodicamente riesaminati e aggiornati, a seconda dei casi.

L’organo di amministrazione assicura che tali politiche e processi siano attuati in modo efficace, pienamente integrati nel quadro generale di gestione dei rischi dell’emittente di ART, compreso il rischio in relazione al ricorso a soggetti terzi, e siano efficacemente comunicati al personale pertinente.

Un emittente di ART dovrebbe assegnare chiaramente le responsabilità per il sistema di valutazione e gestione del rischio operativo e della resilienza operativa.

Un emittente di ART dovrebbe individuare le proprie esposizioni al rischio operativo, tenere traccia dei dati pertinenti sul rischio operativo, compresi quelli relativi alle perdite rilevanti, ed eseguire un’analisi degli scenari.

(¹³ ) BCBS Principles for Operational Resilience (Principi per la resilienza operativa del CBVB), marzo 2021, https://www.bis.org/bcbs/publ/d516.pdf.

(¹⁴ ) La tolleranza all’interruzione delle attività è il livello di interruzione derivante da qualsiasi tipo di rischio operativo che un emittente è disposto ad accettare in base a una serie di scenari gravi ma plausibili.

L’emittente di ART dovrebbe individuare le proprie operazioni essenziali, coerentemente con il proprio approccio alla resilienza operativa, e mappare le persone, la tecnologia, i processi, i dati, le strutture, i soggetti terzi, comprese le entità infragruppo, e le interconnessioni e interdipendenze tra di essi che sono necessarie per l’esecuzione di funzioni essenziali o importanti in situazioni normali e in caso di interruzione.

Il quadro di gestione del rischio operativo e della resilienza operativa dovrebbe essere sottoposto a revisioni periodiche da parte di revisori interni o esterni che possiedono le conoscenze necessarie per effettuare questo tipo revisioni. Il quadro di gestione del rischio operativo e il quadro di resilienza operativa dovrebbero essere strutturati con risorse umane e tecniche sufficienti e adeguate. Il sistema di valutazione del rischio operativo e il quadro di resilienza operativa dell’emittente di ART dovrebbero essere pienamente integrati nel quadro di gestione dei rischi dell’emittente.

Dovrebbe essere attuato un sistema di segnalazione all’organo di amministrazione che preveda adeguate relazioni sul rischio operativo e sulla resilienza operativa delle funzioni pertinenti all’interno dell’emittente di ART. L’emittente di ART dovrebbe disporre di procedure per intraprendere senza indugio le azioni appropriate, a seconda dei casi.

L’emittente di ART dovrebbe individuare e valutare il rischio operativo inerente alle attività, ai processi e ai sistemi dell’emittente di ART per assicurarsi che i rischi intrinseci siano ben compresi.

Considerando il titolo I sull’applicazione del principio di proporzionalità, l’emittente di ART dovrebbe individuare, analizzare e misurare una serie di scenari, compresi eventi di bassa probabilità e di elevata gravità, alcuni dei quali potrebbero comportare gravi perdite da rischio operativo. Gli input per l’analisi degli scenari includono i dati pertinenti sulle perdite interne ed esterne, le informazioni provenienti dalle autovalutazioni, il giudizio degli esperti, il quadro di controllo interno, i parametri previsionali, le analisi delle cause alla radice e il quadro dei processi, a seconda dei casi. Il processo di analisi degli scenari dovrebbe essere utilizzato per elaborare una serie di conseguenze di potenziali eventi, comprese le valutazioni d’impatto ai fini della gestione dei rischi, integrando altri strumenti basati su dati storici o valutazioni del rischio corrente.

In considerazione del titolo I, gli emittenti di ART possono ricorrere a metodi qualitativi di valutazione del rischio, mentre gli emittenti di ART significativi dovrebbero adottare un metodo più sofisticato, compreso, se disponibile, l’uso di dati sulle perdite interne ed esterne da tenere in conto per l’analisi degli scenari.