È importante oggi effettuare una riflessione sul ruolo e sulle attività delle funzioni di controllo delle banche e altri intermediari finanziari, i cosiddetti FAC, alla luce dell’impatto del coronavirus sulla società e sull’economia. Ci sono alcune domande chiave:

• come cambia il ruolo delle FAC?
• quali sono le priorità sulle quali le FAC dovrebbero concentrarsi?
• esistono delle attività di controllo in discontinuità con il periodo ordinario che abbiamo lasciato alle spalle?

Per dare una risposta a tali interrogativi, i professionisti KPMG hanno analizzato distintamente due fasi: i) la gestione del periodo di quarantena e ii) la gestione del ritorno alla normalità. Sebbene la prima possa sembrare a prima vista già obsoleta, si ritiene che possa comunque fornire utili insegnamenti da consolidare nei processi aziendali, in quanto non è detto che tale scenario non possa malauguratamente ripresentarsi in un futuro più o meno prossimo.

Durante il periodo di quarantena, le banche hanno gioco forza semplificato i processi di business per far fronte alla situazione straordinaria in modo tempestivo. Tale periodo è stato pertanto caratterizzato dall’affermazione di prassi dettate, per la maggior parte dei casi, dall’improvvisazione.

Contrariamente ai tipici contesti bancari strutturati, le prassi operative non formalizzate hanno costituito la regola in questo particolare frangente. Le soluzioni adottate sono state orientate all’efficacia ma hanno avuto come effetto collaterale un aumento dei rischi, soprattutto di carattere operativo.

L’esperienza vissuta sta funzionando nella maggior parte dei casi. Ora occorre:

• raccomandare e orientare la formalizzazione delle prassi adottate nel periodo di quarantena apportando gli opportuni miglioramenti in termini di controllo in modo da disporre di prassi consolidate e formalizzate in caso dovesse ripresentarsi un contesto analogo alla stregua di un piano di contingency;
• analizzare la variazione del livello di rischio assunto nell’ambito dei processi oggetto di semplificazione durante la quarantena, per identificarne l’entità, determinare il risk appetite e identificare le relative misure di mitigazione conseguenti.

Al riguardo è auspicabile che il confronto sia aperto anche a funzioni di controllo di altre realtà, per raccogliere importanti benchmark a livello nazionale ed internazionale da cui trarre spunto per la messa appunto di un processo di gestione della quarantena solido, sicuro ed orientato alla salvaguardia di una sana e prudente gestione.

La gestione della crisi ha imposto la necessità di effettuare continui riposizionamenti rispetto ai piani industriali approvati al fine di recepire, da un lato, il calo operativo dei comparti in ‘stop’ e, dall’altro, il ruolo che il Governo si aspetta che le banche giochino nella gestione della crisi e soprattutto nella preparazione della ripartenza.

Per comprendere a fondo le priorità che le FAC dovranno darsi in questo particolare momento, è utile ripartire dal modello operativo ordinario di funzionamento dal quale ha origine l’attività di controllo, dove osserviamo:

• l’organo con funzione di supervisione strategica approvare le linee strategiche ed il piano strategico conseguente;
• l’organo con funzione di gestione attuare le linee strategiche;
• la linea operativa dei Chief (COO, CFO, CLO, CCO) declinare il piano in processi operativi e di business che mirino al raggiungimento degli obiettivi prefissati;
• le funzioni di controllo di II livello (RM, COM, AML) analizzare i rischi che minacciano il raggiungimento degli obiettivi di piano
• la funzione di III livello (IA) verificare la coerenza delle prassi seguite rispetto a quanto formalmente definito.

Nel corso del periodo di quarantena, alla luce delle restrizioni imposte dal governo, è emersa con forza l’esigenza di attuare un riposizionamento da parte delle strutture manageriali di vertice che si sono trovate costrette a rivedere, in gran fretta, le priorità rispetto agli obiettivi ambiziosi precedentemente fissati.

Il rapido cambio di direzione imposto dal periodo di quarantena è stato spesso accompagnato da un processo di ridefinizione degli obiettivi e dei budget che non hanno seguito un processo formalizzato e con una comunicazione fra le strutture.  Le banche si sono trovate improvvisamente a correre in una direzione diversa rispetto a quella pianificata: in termini marinareschi si direbbe che il punto nave rilevato (PNR) è diverso dal punto nave stimato (PNS). La ripartenza va pertanto ripresa dal PNR e questo comporterà per la FAC la necessità di:

• instaurare un efficace dialogo con gli organi di vertice per una chiara comprensione dei nuovi obiettivi;
• effettuare analisi empiriche dei dati per una rilevazione dettagliata del riposizionamento in corso;
• alleggerire i controlli finalizzati a monitorare obiettivi temporaneamente abbandonati o ridimensionati;
• spostare l’effort risparmiato sui nuovi obiettivi;
• impostare un piano di flessibilità e di osservazione idoneo a seguire tempestivamente il business mano a mano che i nuovi obiettivi (o semplicemente quelli originari) torneranno ad essere perseguiti in modo da adeguare per tempo la macchina dei controlli.

La fase della ripartenza richiede un’attenta preparazione da un lato per evitare di eccedere nelle libertà riconquistate venendo meno agli obblighi di conformità normativa tempo per tempo vigenti, ad esempio a causa di comportamenti opportunistici e poco etici, dall’altro per garantire che la ripartenza non sia troppo lenta, a tal punto da lasciare pericolosamente spazio ai competitors.

La fase che si troveranno ad affrontare le banche, come in generale tutte le aziende, è paragonabile sotto più aspetti a quella che vive un team di Formula 1 nell’affrontare un pit stop. Il timing nella gestione dello stop e della ripartenza rappresenta un fattore cruciale perché sintetizza un’intera strategia di gara: ‘troppo presto’ potrebbe comportare la necessità di fermarsi di nuovo; ‘troppo tardi’ rischierebbe di vedere i nostri avversari sfrecciare davanti alla nostra squadra del cuore; ‘troppo veloce’ in uscita rischierebbe di esporci a penalità difficilmente recuperabili in un contesto delicato e competitivo.

Le scelte da compiere sono molteplici e, per essere efficaci, non vanno improvvisate. Occorre invece studiarle e formalizzarle in un lavoro collegiale che dovrebbe essere la massima espressione di collaborazione fra organi di vertice e funzioni di controllo, in cui:

• la funzione di Compliance dovrà verificare la coerenza di quanto ipotizzato rispetto alla normativa e monitorare ogni passo rispetto alle – prevedibili – repentine ‘sterzate’ del Governo;
• la funzione di Risk Management dovrà valutare il rischio assunto e calcolare le diverse soglie di risk appetite caratterizzanti le diverse fasi operative;
• la funzione di Internal Audit dovrà valutare la coerenza dei processi effettivamente seguiti rispetto a quanto formalizzato e pianificato, fornendo importanti feedback volti a rivedere il modello operativo di gestione per i prossimi esercizi.

La macchina operativa dei controlli dovrà continuare a prediligere una velocità di azione ed una maggiore libertà di movimenti nelle fasi iniziali della ripresa, per poi aggiungere gradualmente maggiori controlli via via che i processi si avvicinano al loro ciclo ordinario e che il numero di operazioni tornerà ad essere consistente.

Tutto ciò va comunque conciliato con le nuove modalità di azione e i nuovi prodotti che le banche sono chiamate ad erogare per dare supporto alla ripartenza economica del Paese. È proprio su questi rinnovati processi che vanno concentrate le analisi di rischio e i maggiori sforzi delle funzioni di controllo, al fine di assicurare che l’operatività non comprometta la condizione di stabilità della banca e la sana e prudente gestione. 

Il risk based approach dovrebbe essere il faro che continuerà a guidare, con sempre maggiore enfasi, le funzioni di controllo in questo importante percorso. In ottica risk based approach andranno rivisti quindi i processi per consentire di concentrare i maggiori controlli laddove ci si ritiene maggiormente esposti a rischio. Un esercizio, questo, che sembrerebbe ordinario rispetto ai tipici processi di controllo, ma che trova la sua originalità nel nuovo rischio, quello di pandemia, che prima di questa esperienza pochi, o forse nessuno, aveva mai immaginato di dover stimare a fondo. Gli step operativi, in sintesi, sono:

• analisi dell’alberatura dei processi;
• analisi del rischio Pandemia insistente su ciascun processo;
• segmentazione dei processi in base al rischio effettivamente sopportato;
• definizione del processo di gestione di ciascun processo nei diversi scenari: ordinario, sospetto di contagio, contagio, diffusione del contagio, ecc.

Per consentire una ripartenza con l’assetto più leggero possibile e garantire velocità d’azione, è auspicabile che le funzioni di controllo effettuino un’analisi delle attività di controllo di I e II livello per ricercare l’efficienza.

A tal fine, le funzioni dovrebbero:

• svolgere una mappatura as is dei controlli di I e II livello;
• immaginare l’evoluzione dei controlli in ottica to be in diversi scenari;
• individuare le attività migliorabili con aggiustamenti di processo;
• individuare le attività da efficientare tramite l’adozione di RPA o soluzioni DA;
• effettuare un Business plan che consenta di pianificare attentamente la riallocazione degli effort su attività di controllo secondo una logica ‘risk based’.

Alla luce delle considerazioni esposte sopra, ci si aspetta un ruolo attivo e delicato delle funzioni di controllo nelle fasi di gestione sia del transitorio periodo di quarantena, sia nella fase della ripartenza. Ruolo che dovrà garantire gli organi di vertice e gli stakeholder sulla sana e prudente gestione dell’intermediario, calibrando e posizionando al meglio le attività di controllo in modo tale da seguire tempestivamente l’azione del business senza lasciare scoperture anche in un contesto soggetto a continui cambiamenti.

Non è né auspicabile né prevedibile uno scenario di rilassamento delle richieste in merito all’attività di controllo da parte delle Autorità di Vigilanza. La giusta misura del controllo da attuare dovrà probabilmente essere ricercata da ogni singolo intermediario, facendo appello al principio del risk based approach, in un contesto di dialogo attivo e di confronto costruttivo fra organi di vertice, strutture di business e strutture di controllo.