16.6.2012   

IT

Gazzetta ufficiale dell'Unione europea

C 173/1

BCE

Banca centrale europea

BCM

Business Continuity Management (gestione della continuità operativa)

BCN

Banche centrali nazionali

BCP

Business Continuity Plan (piano di continuità operativa)

BIA

Business Impact Analysis (analisi dell'impatto sull’attività operativa)

BRI

Banca dei regolamenti internazionali

BPH

Business Practice Handbook (manuale per la gestione delle attività)

CBPP

Covered Bonds Purchase Programme (programma per l’acquisto di obbligazioni garantite)

CRO

Chief Risk Officer (Direttore rischi)

D-CO

Direzione Comunicazione

DG-A

Direzione Generale Amministrazione

DG-H

Direzione Generale Risorse umane, bilancio di previsione e strutture organizzative

DG-IS

Direzione Generale Sistemi informatici

DG-M

Direzione Generale Operazioni di mercato

DG-P

Direzione Generale Pagamenti e infrastrutture di mercato

DG-S

Direzione Generale Statistiche

EB

Executive Board (Comitato esecutivo)

FOS

Financial Operations Services (Servizi operazioni finanziarie)

GFP

Gestione dei fondi propri

GIPS

Global Investment Performance Standards (Standard globali di presentazione delle performance degli investimenti)

IAS

International Accounting Standards (Principi contabili internazionali)

IASB

International Accounting Standards Board (Organismo internazionale di normalizzazione contabile)

IFRS

International Financial Reporting Standards (Principi internazionali d’informativa finanziaria)

INV

Divisione investimenti

MOS

Market Operations Systems (Sistemi delle operazioni di mercato)

ORC

Operational Risk Committee (Comitato rischi operativi)

ORM

Operational Risk Management (gestione dei rischi operativi)

RMA

Divisione Gestione dei rischi (della DG-H)

SEBC

Sistema europeo delle banche centrali

SMP

Securities Markets Programme (Programma per il mercato dei titoli finanziari)

VaR

Value at Risk (valore a rischio)

1.

La Banca centrale europea (BCE) e le banche centrali nazionali di tutti gli Stati membri dell'Unione europea (UE) costituiscono, nel loro insieme, il Sistema europeo delle Banche centrali (SEBC). L'obiettivo principale del SEBC è il mantenimento della stabilità dei prezzi. Il SEBC sostiene inoltre le politiche economiche generali nell’UE al fine di contribuire alla realizzazione degli obiettivi dell’Unione (1). A tal fine, la BCE svolge i compiti indicati nel proprio statuto (2) ed è responsabile per la gestione delle proprie attività e finanze.

2.

L'audit sull'efficienza operativa della BCE espletato dalla Corte dei conti europea (in appresso «la Corte») trova la sua base giuridica nell'articolo 27, paragrafo 2, del protocollo sullo statuto del SEBC e della BCE (3). L’audit 2010 ha riguardato le procedure ed i sistemi stabiliti dalla BCE per la gestione dei rischi e la loro applicazione.

3.

Gli organi decisionali della BCE sono il Consiglio direttivo ed il Comitato esecutivo (4). Il Comitato esecutivo attua la politica monetaria secondo le decisioni e gli indirizzi stabiliti dal Consiglio direttivo (5) ed è responsabile della gestione degli affari correnti della BCE e delle sue risorse. Il Comitato esecutivo è anche responsabile in ultima istanza della gestione dei rischi presso la BCE.

4.

Alla BCE, i rischi sono gestiti tramite due distinte strutture. L’unità Gestione del rischio operativo [ORM (6)/BCM] si occupa di tutti i rischi operativi (cfr. nota 22), compresa la continuità operativa. La Divisione Gestione dei rischi (RMA) si occupa della gestione del rischio finanziario (cfr. paragrafo 70), comprese le attività di investimento della BCE e le operazioni di credito.

5.

L’audit della Corte relativo all’esercizio 2010 aveva lo scopo di valutare l’adeguatezza del quadro di gestione dei rischi operativi e finanziari della BCE (7). La gestione dei rischi presso la BCE è stata valutata sulla base dei seguenti principali quesiti di audit:

6.

L’audit della gestione dei rischi della BCE (8) ha incluso i seguenti elementi:

7.

L’obiettivo che si prefigge la BCE è quello di applicare le migliori pratiche alla propria gestione dei rischi: «La Banca centrale europea ha, sin dall’inizio, prestato particolare attenzione alla gestione dei rischi. Come nuovo membro della comunità delle banche centrali, la BCE ambiva a soddisfare i più alti standard di governance nell’organizzare la propria funzione di gestione dei rischi all’interno dell’istituzione, e ad utilizzare strumenti d’avanguardia» (10).

8.

«Una solida cultura del rischio diffusa in tutta l’istituzione è uno degli elementi principali per una efficace gestione dei rischi. Uno dei prerequisiti della creazione di detta cultura del rischio è l’introduzione di una funzione di gestione dei rischi che sia omnicomprensiva (che copra cioè tutti i tipi di rischio, tutte le aree di attività e tutti i rischi significativi) ed indipendente, sotto la diretta responsabilità del Direttore rischi (Chief Risk Officer, CRO), o degli alti dirigenti, qualora non sia stato nominato un CRO, seguendo il principio di proporzionalità» (11).

9.

Alla BCE, ogni unità organizzativa (12) è responsabile della gestione dei propri rischi e controlli. Due funzioni/divisioni assistono le unità organizzative nel processo di gestione dei rischi:

10.

Per assistere la presa delle decisioni da parte del Comitato esecutivo, sono stati istituiti diversi comitati che si occupano dei vari aspetti della gestione dei rischi; tra questi, il Comitato rischi operativi, il Comitato investimenti, il Comitato attività e passività ed il Comitato credito.

11.

Esiste una completa struttura organizzativa, con ruoli e responsabilità chiaramente assegnati. Tuttavia, alla BCE vi è una netta separazione tra la gestione dei rischi finanziari e la gestione di quelli operativi, che accresce il rischio che la visione delle esposizioni riguardanti l’intera BCE possa non essere completa.

12.

Tra il Comitato esecutivo e le due funzioni/unità che si occupano di rischi (la ORM/BCM e la RMA) non è stato istituito alcun organo unico, indipendente, come un Direttore rischi o un Comitato per la gestione globale dei rischi. Al momento dell’audit, il membro del Comitato esecutivo incaricato della gestione dei rischi aveva anche una serie di altre aree di responsabilità, mentre un Direttore rischi si concentrerebbe esclusivamente sulla gestione dei rischi.

13.

Inoltre, l’assenza di una funzione di gestione dei rischi gerarchicamente indipendente accresce il rischio che le tematiche concernenti la gestione dei rischi non ricevano sufficiente priorità, ad esempio in termini di assegnazione di risorse umane a compiti di gestione dei rischi, dal momento che tali tematiche sono soggette alle decisioni della DG-H.

14.

Un esame delle migliori pratiche in altre organizzazioni internazionali simili ha mostrato che la Bank of Canada ha adottato una struttura di gestione integrata dei rischi, che comprende un Direttore rischi ed un Gruppo di lavoro sulla gestione dei rischi. Entrambi si occupano di determinare un profilo di rischio esaustivo per la Bank of Canada, che includa rischi connessi all’attività, i rischi operativi e i rischi finanziari, come descritto nel riquadro 1. La struttura di gestione dei rischi della Bank of Canada è pienamente integrata nei suoi processi di pianificazione strategica, di elaborazione del bilancio, e di valutazione della performance a fine esercizio.

Riquadro 1

Un esempio di gestione integrata dei rischi — la Bank of Canada

Il Direttore rischi ha le seguenti responsabilità:

Il Gruppo di lavoro sulla gestione dei rischi ha i seguenti compiti:

15.

16.

La BCE pubblica una relazione annuale, che comprende i conti annuali e le relative note informative (16). Le informazioni sulla gestione dei rischi contenute nei conti annuali sono piuttosto limitate, e le informazioni sui principi di gestione dei rischi della BCE e sulle cifre non sono rese pubbliche, tranne che per la cifra relativa al valore a rischio (VaR) consolidato (17). La relazione annuale della BCE contiene brevi informazioni su alcuni aspetti di gestione dei rischi, ma non rende pubblico il quadro d’insieme del processo di gestione dei rischi nell’organizzazione, i rischi cui essa fa fronte o l’approccio dei dirigenti nei confronti di detti rischi.

17.

L’utilizzo dei principi internazionali d’informativa finanziaria (IFRS) (18) costituisce buona prassi per quanto riguarda la presentazione dei conti di un’entità. L’IFRS 7 («Strumenti finanziari: informazioni integrative») tratta della presentazione, nei conti di un’organizzazione, dei rischi cui essa fa fronte. Tuttavia, tale principio non è stato applicato dalla BCE.

18.

Altre organizzazioni internazionali o banche centrali nazionali, come la Banca dei regolamenti internazionali (BRI) e la Bank of Canada, riportano informazioni sulla gestione dei rischi nei loro stati finanziari annuali, sebbene una di esse non applichi gli IFRS (cfr. riquadro 2).

Riquadro 2

Esempi concreti di informativa in materia di gestione dei rischi

19.

La gestione della continuità operativa fa da complemento alla struttura di gestione dei rischi operativi (ORM) della BCE, ed entrambe formano una componente importante della governance della Banca (20).

20.

Un efficace quadro di gestione dei rischi operativi include chiare strategie e sorveglianza da parte del consiglio di amministrazione e degli alti dirigenti, una solida cultura dei rischi operativi ed una cultura di controllo interno (comprendente chiare linee di responsabilità e separazione dei compiti), nonché un’efficace comunicazione interna.

21.

Per valutare la gestione dei rischi operativi alla BCE, la Corte ha esaminato:

22.

23.

Il quadro di gestione dei rischi operativi della BCE è stato approvato dal Comitato esecutivo nell’ ottobre 2007 (21) ed è descritto nel Manuale per la gestione delle attività (BPH) pubblicato sull’Intranet e consultabile da tutto il personale. Esso illustra la definizione di ORM della BCE (22), la politica di tolleranza del rischio, i ruoli e le responsabilità, nonché le politiche di valutazione, risposta, informazione e monitoraggio.

24.

Le politiche ORM stabilite forniscono una definizione di rischio operativo chiara ed applicabile a tutta la Banca, e fissano le politiche delineanti l’approccio della Banca alla valutazione, al monitoraggio ed al controllo/mitigazione dei rischi. Tuttavia, il BPH non fornisce dettagli in merito all’approccio della Banca in tema di individuazione dei rischi.

25.

26.

Il Comitato esecutivo è il responsabile ultimo della gestione dei rischi operativi alla BCE. Il Comitato rischi operativi (ORC) si occupa di questioni strategiche ed a medio termine, nonché di importanti questioni a breve termine e ad hoc (23). Il Comitato è composto da un membro del Comitato esecutivo (in qualità di presidente) e sette alti dirigenti della Banca (24). Ha poteri decisionali quanto all’accettazione del rischio di livello medio, mentre i rischi di alto livello devono sempre essere accettati dal Comitato esecutivo. Si riunisce ogni due mesi o, se necessario, più frequentemente.

27.

Il manuale di gestione delle attività (BPH) indica chiaramente che le aree operative sono responsabili della gestione dei propri rischi operativi (25). Quindi, ogni Area operativa dovrebbe nominare (almeno) un coordinatore rischi che assista i dirigenti dell'Area operativa nella gestione dei rischi operativi (ORM) e funga da primo punto di contatto per le questioni di ORM all’interno dell’area operativa. I dirigenti dell’Area operativa devono inoltre far sì che il personale acquisisca e mantenga le necessarie competenze per assumere responsabilità e assolva all’obbligo di rendere conto per quanto riguarda la gestione dei rischi operativi. La funzione ORM/BCM dovrebbe elaborare e curare il quadro di gestione dei rischi operativi, nonché coordinare l’approccio delle Aree operative in tema di ORM.

28.

Degli otto addetti alla funzione ORM/BCM, solo quattro erano impiegati con contratto a tempo indeterminato al momento dell’audit. Gli altri erano distaccati dalle banche centrali nazionali o lavoravano con contratti a tempo determinato che andavano da tre mesi a due anni. Ciò significa che vi è un elevato tasso di avvicendamento del personale, che provoca una perdita di continuità in una funzione importante, accrescendo il rischio che il quadro ORM non venga adeguatamente attuato alla BCE.

29.

La consapevolezza, da parte del personale, del quadro di gestione dei rischi operativi è stata oggetto di sondaggi tra il personale nel 2009 e nel 2010. L’indagine del 2009 ha mostrato che circa il 40 % di coloro che avevano risposto affermava di non aver ricevuto sufficienti informazioni in merito all’ORM; il 56 % non sapeva chi era stato nominato Coordinatore rischi per la propria Area operativa ed il 45 % non sapeva dove trovare informazioni sull'ORM sull’Intranet. In base al sondaggio del 2010, il 40 % del personale continuava a non sapere dove trovare informazioni sull’ORM.

30.

31.

Per stabilire il profilo di rischio della BCE, un elemento importante è la valutazione annuale dei rischi operativi condotta dalle Aree operative e dalla funzione ORM/BCM. Le valutazioni relative al 2009 sono state svolte dalle Aree operative dal giugno all’agosto 2009, ed in seguito ha avuto luogo una riunione di calibrazione del rischio con i Coordinatori rischi. La relazione di sintesi è stata finalizzata nel gennaio 2010.

32.

Il profilo di rischio dovrebbe essere uno degli input per il processo di pianificazione strategica, che a sua volta guida il piano finanziario. Tuttavia, dall’audit è emerso che non vi è integrazione tra la valutazione annuale dei rischi operativi ed il ciclo di programmazione strategica e finanziaria della BCE. La gestione dei rischi operativi potrebbe quindi divenire un esercizio isolato, ed il piano finanziario potrebbe non dirigere le risorse in modo appropriato per conseguire gli obiettivi strategici (26).

33.

Un esempio di buona prassi è la Bank of Canada, dove il profilo di rischio della banca forma parte integrante del ciclo di pianificazione strategica e finanziaria generale della banca stessa (27).

34.

35.

Il quadro di gestione dei rischi operativi è stato attuato principalmente tramite valutazioni dall’alto verso il basso. In base alla politica della BCE in tema di rischi, le Aree operative dovrebbero inoltre operare continue valutazioni dal basso verso l’alto dei processi delle Aree operative, ed i rischi così individuati dovrebbero essere approvati (28).

36.

La BCE ha svolto valutazioni dei rischi dall’alto verso il basso nel 2008 e nel 2009. La funzione ORM/BCM ha fornito alle Aree operative alcuni rischi predefiniti di livello elevato, che hanno costituito la base delle loro valutazioni di rischio. Nella relazione finale è stato incluso un piano di azione per ciascuna delle Aree operative. Il BPH dispone che le Aree operative debbano analizzare e definire strategie di risposta ai rischi e svolgere un'analisi costi-benefici delle possibili soluzioni.

37.

Tutte le Aree operative avevano individuato rischi e risposte in relazione all’esercizio di valutazione dal basso verso l’alto del 2009. La conseguente relazione di valutazione del 2009 elencava in punti alcune azioni di follow-up per ogni Area operativa. Tuttavia, non vi era documentazione relativa ad analisi costi-benefici nelle Aree operative incluse nel campione.

38.

Per alcuni rischi, la procedura di accettazione da parte del Comitato rischi operativi/Comitato esecutivo è stata molto lenta dopo che il rischio era stato individuato dall’Area operativa. Ad esempio, due rischi individuati nel luglio-agosto 2009 non erano ancora stati accettati al dicembre 2010. L’elenco delle azioni di follow-up ancora non attuate esaminato alle riunioni dell’ORC mostra altresì che alcune di esse sono rimaste inattuate per più di un anno e certe per periodi che vanno fino a due anni.

39.

Soltanto per tre delle sei Aree operative incluse nel campione è stato possibile individuare nel programma di lavoro specifiche risorse assegnate alle attività di gestione dei rischi operativi, ma tali attività erano descritte in termini vaghi e non è stato possibile documentare se e come i punti dell’esercizio valutativo ORM dall’alto verso il basso del 2009 contenenti azioni di follow-up fossero recepiti nei programmi di lavoro delle Aree operative.

40.

La gestione della continuità operativa (BCM) è una componente importante della gestione dei rischi operativi. Essa richiede piani di emergenza e di ripristino per i peggiori scenari, per assicurare la continuità delle attività e dei processi critici in caso di crisi.

41.

La Corte ha valutato se:

42.

La gestione della continuità operativa è un approccio operativo globale che include politiche, norme e procedure per assicurare che determinate attività possano essere mantenute o ripristinate in modo tempestivo in caso di perturbazione (disruption). Essa mira a minimizzare le conseguenze operative, finanziarie, giuridiche, in termini di reputazione ed altre conseguenze rilevanti che derivano da una perturbazione  (29).

43.

La BCM mira a far sì che i dispositivi e le soluzioni di continuità operativa siano conformi agli obiettivi, agli obblighi e ai compiti istituzionali della BCE, nonché alla sua politica di tolleranza del rischio (30).

44.

L’audit ha compreso un esame dei principali documenti che costituiscono il quadro di gestione della continuità operativa:

45.

La BCE ha elaborato un manuale di gestione delle crisi che definisce ruoli, responsabilità e processi in caso di crisi, e fornisce informazioni su come contattare la squadra di gestione delle crisi. Ogni Area operativa è interamente responsabile dell’elaborazione del proprio piano di continuità operativa (BCP). Tuttavia, il modello del BCP di livello elevato non richiede un BCP generale a livello BCE e non ne è stato preparato alcuno.

46.

La BCE ha istituito un quadro di riferimento solido che fornisce orientamento sulle politiche, i processi e le responsabilità in tema di BCM all’interno dell'istituzione. Tuttavia, l’approccio decentrato adottato crea anche il rischio che, in mancanza di uno stretto coordinamento, la gestione della continuità operativa possa non essere attuata in maniera coerente in seno all’organizzazione.

47.

L’analisi dell’impatto operativo (BIA) è un processo dinamico volto a individuare le operazioni ed i servizi critici, le primarie dipendenze interne ed esterne e i livelli appropriati di resilienza. Essa valuta i rischi ed il potenziale impatto di vari scenari perturbativi sulle operazioni e sulla reputazione di un’organizzazione  (31).

48.

L’analisi completa più recente dell’impatto operativo è stata effettuata nel 2006 (32) per individuare le prestazioni ed i servizi della BCE critici per la continuità delle principali attività della Banca. Le principali aree su cui è stata incentrata detta analisi includevano quanto segue:

49.

Un esaustivo aggiornamento della BIA effettuato nel 2007 ha individuato delle lacune in termini di continuità operativa e dei dispositivi validi a quel tempo. È stata definita una strategia di follow-up, che includeva opzioni per colmare le lacune individuate oppure accettarne i rischi e i costi. Tuttavia, sebbene detto documento presentasse i costi in termini di soluzioni per l’infrastruttura IT e logistica, esso non mostrava l'impatto sui costi ripartito in base ai diversi livelli di rischio.

50.

Il più recente aggiornamento della BIA, volto a colmare le lacune individuate nel 2007, è stato completato nel 2010. Dall’inizio della crisi finanziaria non è stata effettuata nessuna analisi completa dell’impatto operativo.

51.

I piani di continuità operativa (BCP) dovrebbero essere concepiti in modo da individuare le attività critiche per far sì che la BCE sia in grado di adempiere ai propri compiti istituzionali, come definiti nel pertinente Protocollo sullo statuto della BCE  (33). I BCP dovrebbero essere elaborati attorno al «peggior scenario possibile», tenendo presente che la risposta può essere ridimensionata in modo appropriato per rispondere alla crisi effettivamente verificatasi  (34).

52.

La BCE ha fissato criteri primari per la determinazione della criticità relativamente ad una serie di rischi e sulla base dei propri compiti istituzionali (cfr. riquadro 3).

Riquadro 3

Criteri primari per la determinazione della criticità

L’assolvimento dei compiti istituzionali, tra cui:

L’impatto dell’interruzione di uno specifico processo in termini di:

Fonte: BCE, Analisi dell’impatto operativo, revisione 2006.

53.

Sulla base dell’esame condotto dalla Corte su questi criteri primari, nonché di una valutazione preliminare del potenziale livello di attività non interrotte negli scenari prestabiliti (35), si può ritenere che i piani elaborati siano stati concepiti per garantire l’assolvimento dei compiti istituzionali. Tuttavia, in seguito all’esame dei BCP, la Corte ha constatato l’assenza di piani per affrontare una grave perdita di risorse umane (36) in caso di incidente (disaster). Sebbene le Aree operative responsabili dei processi avessero definito il personale di continuità operativa ed individuato i rispettivi sostituti, nessuna di esse disponeva di un piano alternativo in caso di indisponibilità di personale su vasta scala.

54.

Un’organizzazione deve confrontare i propri benefici diretti derivanti da misure volte ad aumentare la propria resilienza a perturbazioni delle attività con i costi di tali misure  (40).

55.

Il modello generale del piano di continuità operativa (BCP) di alto livello della BCE mostra la forma ed i contenuti obbligatori dei BCP delle singole Aree operative. In quanto tale, detto modello include solo la struttura dei BCP, che devono essere redatti dalle Aree operative.

56.

I BCP sono preparati al livello di Area operativa, Dipartimento o Divisione. Il modello di BCP di alto livello viene generalmente rispettato in termini di contenuto obbligatorio, ma vi sono grandi differenze quanto al grado di dettaglio. Sebbene la funzione ORM/BCM svolga un ruolo centrale di coordinamento, la qualità dei singoli BCP dipende dalla persona responsabile a livello di Area operativa. Non vi erano elementi comprovanti che i singoli BCP venissero riesaminati in modo sufficiente dalla funzione ORM/BCM.

57.

Delle cinque Aree operative (41) prescelte per una dettagliata verifica, quattro hanno redatto un BCP in linea con i requisiti, e tre di questi quattro piani affrontavano in modo completo i processi critici individuati tramite l'analisi d'impatto operativo.

58.

Nella maggior parte dei casi, nelle Aree operative controllate non vi era documentazione relativa all’analisi costi-benefici in merito alle opzioni di continuità operativa, comprendente la valutazione dei vari livelli di rischio.

59.

Le organizzazioni dovrebbero testare i propri piani di continuità operativa, valutare la loro efficacia, e aggiornare la propria gestione della continuità operativa, come necessario  (42). La norma BS 25999  (43) richiede che l’organizzazione si assicuri che i propri dispositivi di BCM siano verificati tramite test e riesame, e che vengano tenuti aggiornati.

60.

Sono stati presi in esame i seguenti documenti:

61.

La strategia di verifica è incentrata sui piani di continuità operativa e sui piani di ripristino dei sistemi informatici, sviluppati per verificare i processi che, in seguito alla BIA, sono stati ritenuti essenziali. Il quadro di verifica include una chiara assegnazione di responsabilità, stabilendo l’ambito della verifica, i requisiti di reporting, la frequenza dei test nonché pertinenti programmi di verifica a medio termine. L’esame condotto dalla Corte ha indicato che era stato posto in essere un adeguato quadro di verifica, in linea con i requisiti della norma BS 25999.

62.

I test effettuati hanno fatto emergere che, sebbene gli esercizi di verifica riguardassero personale chiave e fossero effettuati periodicamente, non sempre simulavano le circostanze cui la BCE dovrebbe far fronte in caso di grave perturbazione delle attività. Le verifiche programmate nel 2009 e nel 2010 non coprivano tutti gli scenari stabiliti dalla BCE, e non tutte le verifiche originariamente programmate sono state effettuate.

63.

Le squadre di gestione della crisi e di risposta dovrebbero essere istruite circa le loro responsabilità ed i loro doveri. Le squadre dovrebbero ricevere formazione almeno annualmente ed i nuovi membri dovrebbero essere formati nel momento in cui entrano a far parte della squadra. Tutto il personale dovrebbe essere formato per assolvere le proprie responsabilità individuali in caso di crisi. Esso dovrebbe inoltre venire informato circa le componenti chiave del Piano di continuità operativa  (45).

64.

La strategia formativa adottata dalla BCE specifica che tutto il personale dovrebbe beneficiare di un programma di sensibilizzazione in tema di BCM (46). Per quanto riguarda le verifiche, la strategia formativa prevede la creazione di un programma formativo che dovrà fornire dettagli sull’attuazione delle stesse.

65.

Nel 2010, sono stati tenuti cinque programmi formativi di gestione delle crisi, ognuno della durata di mezza giornata, per fornire un excursus del Manuale di crisi adottato dalla BCE. Nel complesso, sia l’introduzione del manuale che la sessione formativa sono state valutate positivamente dai partecipanti al corso, ma è stato anche osservato che una verifica tramite simulazione sarebbe molto apprezzata.

66.

L’audit ha individuato chiari elementi comprovanti che il personale addetto alla continuità operativa riceve formazione, specie sotto forma di verifica dei BCP. Tuttavia, non è stato possibile trovare prova che ci si sia occupati in modo attivo dell’informazione del rimanente personale in merito al quadro ed ai processi di continuità operativa. Diversi documenti di riferimento interni (47) riconoscono che, sebbene le verifiche svolgano una parte molto importante nella formazione del personale, vi è l’esigenza di rivolgersi a tutto il personale tramite un programma di sensibilizzazione dello stesso. Tale programma non è stato sviluppato fino a questo momento, dal momento che la funzione centrale ORM/BCM ritiene che la consapevolezza dei dispositivi di continuità operativa tra il personale sia soddisfacente. Ad ogni modo, una indagine interna (48) indica che più del 12 % (20 % nel 2009) di coloro che hanno risposto non sono a conoscenza dei dispositivi di continuità per la loro area operativa e non saprebbero dove reperire informazioni su come comportarsi in caso di crisi.

67.

La gestione del rischio finanziario è un processo che riguarda le incertezze risultanti dai mercati finanziari. Include la valutazione dei rischi finanziari cui deve far fronte un’organizzazione, nonché l’elaborazione di strategie di gestione che siano coerenti con le priorità e le politiche interne.

68.

La Corte ha verificato:

69.

Il quadro dovrebbe fornire una definizione di rischio finanziario applicabile a tutta l’impresa e stabilire i principi in base ai quali i rischi finanziari devono essere individuati, valutati, monitorati e controllati/mitigati  (49). La banca deve disporre di un sistema di gestione del rischio finanziario, con chiare responsabilità assegnate.

70.

Il quadro di gestione del rischio finanziario della BCE è concepito per coprire i rischi derivanti da due attività della BCE: i) l’investimento e ii) il credito. Le attività di investimento riguardano i due portafogli d’investimento, le riserve ufficiali (50) (60 600 milioni di euro al 31 dicembre 2010) e i fondi propri (51) (13 300 milioni di euro al 31 dicembre 2010). Le attività di credito riguardano le operazioni di politica monetaria (52). Le attività di investimento della BCE includono la gestione delle riserve ufficiali della BCE (53), il portafoglio dei fondi propri della BCE, la gestione del fondo pensione e le attività relative ai due portafogli detenuti per scopi di politica monetaria (54).

71.

La Divisione Gestione dei rischi (RMA) è responsabile dell’aggiornamento del quadro generale di gestione dei rischi per le attività di investimento, nonché del monitoraggio, della valutazione e del controllo dei rischi derivanti da tali attività. La Divisione RMA verifica il rispetto delle politiche e dei processi concordati di gestione del rischio di mercato e del rischio di credito. I casi di violazione vengono segnalati seguendo procedure prestabilite per fasi.

72.

La Direzione Generale Operazioni di mercato (DG-M) è l’area operativa che conduce le attività di investimento alla BCE. Essa è anche responsabile dell’aggiornamento e dell’ulteriore sviluppo del software di gestione di portafoglio dell’Eurosistema (55). La Divisione investimenti della DG-M è responsabile della preparazione delle proposte del Comitato per gli investimenti in merito al portafoglio di riferimento (benchmark) tattico per i portafogli in valuta estera, nonché della gestione diretta del portafoglio dei fondi propri della BCE.

73.

Il Manuale di gestione del rischio finanziario (56), il documento essenziale per la gestione del rischio finanziario delle attività di investimento, fornisce un quadro d’insieme completo di ogni politica, processo e procedura applicabile, in particolare facendo riferimento ai documenti approvati dall’organo decisionale della BCE.

74.

Il quadro generale e la gestione del rischio finanziario posti in essere dalla BCE per la gestione delle attività di investimento e delle attività relative alle politiche forniscono una definizione di rischio finanziario applicabile a tutta la Banca e stabiliscono i principi in base ai quali i rischi finanziari devono essere individuati, valutati, monitorati e controllati/mitigati.

75.

76.

Il Manuale di gestione del rischio finanziario della BCE fornisce una definizione dei seguenti elementi:

77.

Il processo di investimento delle riserve ufficiali è diretto da una struttura a tre fasi, comprendente il benchmark strategico, il benchmark tattico ed i portafogli effettivi. Il benchmark strategico riflette le preferenze rischio/rendimento a lungo termine ed è deciso dal Consiglio direttivo.

78.

Il processo di investimento dei fondi propri si basa su una struttura a due livelli: il benchmark strategico ed il portafoglio effettivo. Il benchmark strategico è deciso dal Comitato esecutivo.

79.

I rendimenti sono massimizzati nel rispetto del vincolo consistente nell’evitare perdite e del vincolo relativo alla struttura di portafoglio, e sono ottenuti tramite una specifica ripartizione strategica dell’attivo (58).

80.

La Divisione Gestione rischi (RMA) amministra un elenco di paesi, emittenti e controparti idonei. I limiti per le controparti vengono fissati dalla RMA applicando la metodologia approvata dal Comitato esecutivo. Per la gestione delle riserve ufficiali, i limiti vengono assegnati alle banche centrali nazionali sulla base della metodologia approvata dal Consiglio direttivo. Una volta l’anno, viene effettuato un aggiornamento sistematico di tutti i limiti. Inoltre, si tiene immediatamente conto dell’impatto prodotto dai cambiamenti di rating sull’idoneità e sui limiti.

81.

La ripartizione strategica dell’attivo tiene conto dei seguenti requisiti di policy di alto livello:

Gli orizzonti di investimento e di rischio sono stabiliti ad un anno e a cinque anni per i fondi propri.

82.

L’audit espletato dalla Corte ha incluso un esame:

83.

L’esame del quadro di gestione dei rischi finanziari indica che la metodologia di gestione dei rischi finanziari determina in modo sufficiente la propensione al rischio e fornisce orientamenti esaustivi per le attività d’investimento presso la BCE.

84.

85.

L’audit espletato dalla Corte ha incluso:

86.

Per l’esame del quadro relativo al valore a rischio, sono stati considerati i seguenti aspetti:

87.

Le verifiche hanno mostrato che la metodologia veniva applicata in modo adeguato. Tuttavia, non vi era documentazione comprovante l’applicazione del «principio del doppio controllo». Inoltre, l’esame dei modelli usati per il calcolo dei benchmark strategici e tattici, nonché per i calcoli del valore a rischio, compreso l’esame della convalida del modello, ha mostrato che, per alcuni modelli:

88.

Una rassegna delle migliori pratiche in altre organizzazioni internazionali simili ha mostrato che, in seguito alla crisi finanziaria negli Stati Uniti e nell’ambito del rafforzamento della propria struttura di gestione dei rischi finanziari, la Federal Reserve Bank di New York ha creato una équipe di convalida dei modelli. I principali compiti di tale équipe sono descritti nel riquadro 4.

Riquadro 4

Équipe di convalida dei modelli presso la Federal Reserve Bank di New York

I principali compiti dell’équipe sono elencati di seguito:

89.

90.

Il rispetto di concordate politiche e processi di gestione del rischio di credito e del rischio di mercato viene monitorato dalla RMA, cui compete altresì segnalare le violazioni, secondo prestabilite procedure per fasi. La RMA della BCE riferisce periodicamente in merito al rischio, al rendimento e alla performance dei portafogli delle riserve ufficiali e dei fondi propri della BCE, nonché in merito agli associati benchmark strategici e tattici. Tali comunicazioni hanno luogo con frequenza giornaliera, settimanale, mensile, trimestrale ed annuale.

91.

Le verifiche ed i colloqui operati dagli auditor della Corte hanno confermato che il reporting della performance viene effettuato periodicamente ed è trasmesso ai dirigenti in modo tempestivo. Tuttavia, è stato notato che, ai fini del reporting della performance interno alla BCE, gli standard GIPS (59), ritenuti essere la migliore pratica, non sono stati pienamente rispettati.

92.

La BCE ha posto in essere una struttura organizzativa completa, con ruoli e responsabilità chiaramente assegnati. Tuttavia, vi è una rigida separazione fra le gestione dei rischi finanziari e quella dei rischi operativi, e ciò accresce il rischio che la visione delle esposizioni della Banca possa non essere completa. Non è stato istituito alcun organo indipendente, unico, quale un responsabile rischi o un comitato rischi, tra il Comitato esecutivo e le due unità/funzioni che si occupano di rischi, la ORM/BCM e la RMA.

93.

I conti annuali della BCE contengono solo succinte informazioni su certe questioni di gestione dei rischi invece di riportare un quadro d’insieme del processo di gestione dei rischi nell’organizzazione, i rischi cui essa fa fronte e l’approccio seguito dai dirigenti riguardo a detti rischi.

Raccomandazioni

94.

La BCE dispone di una chiara struttura organizzativa e ha definito adeguate politiche di gestione dei rischi operativi, le quali elencano l’approccio della Banca alla valutazione, al monitoraggio ed al controllo/mitigazione dei rischi.

95.

Sebbene nel 2008 e nel 2009 siano state condotte valutazioni dall’alto verso il basso, e siano stati individuati piani d’azione per ogni area operativa, non vi è documentazione comprovante lo svolgimento di analisi costi-benefici.

96.

È stato creato un sistema di reporting, monitoraggio e follow-up, ed è stato stabilito un calendario per il follow-up delle misure di mitigazione del rischio per i rischi medi ed elevati. Tuttavia, per alcuni rischi, la procedura di accettazione da parte del Comitato rischi operativi/Comitato esecutivo ha richiesto tempi molto lunghi. Non vi è integrazione fra i cicli di pianificazione e quelli di gestione dei rischi operativi. Inoltre, le attività di gestione dei rischi operativi non erano chiaramente indicate nei programmi di lavoro di alcune aree operative esaminate.

97.

La BCE ha elaborato un manuale di gestione delle crisi esaustivo, che definisce ruoli, responsabilità e processi in caso di crisi, nonché informazioni di contatto della squadra di gestione crisi. Ogni area operativa ha piena responsabilità quanto all’elaborazione del proprio piano di continuità operativa.

98.

La BCE ha stabilito un solido quadro che fornisce orientamenti in merito alle politiche, alle responsabilità e ai processi di gestione della continuità operativa al proprio interno. Tuttavia:

Raccomandazioni

99.

Il quadro generale e la gestione dei rischi finanziari posti in essere dalla BCE per la gestione delle operazioni d’investimento e delle attività relative alle politiche sono adeguati. L’esame del quadro di gestione dei rischi finanziari ha indicato che la metodologia di gestione dei rischi finanziari è stata concepita in maniera solida ed adeguata alle operazioni d’investimento e alle attività relative alle politiche della BCE. Tuttavia, è necessario migliorare l’applicazione pratica della metodologia, ad esempio nell’ambito dei modelli usati per il calcolo dei benchmark strategici e tattici nonché per il calcolo del valore a rischio.

100.

Le relazioni interne sulla gestione dei rischi forniscono agli alti dirigenti e al Comitato esecutivo della BCE informazioni accurate, adeguate ed esaustive sui rischi finanziari. Il reporting della performance è periodico e tempestivo, ma non viene aggiornato con regolarità per riflettere i cambiamenti intervenuti negli standard GIPS.

Raccomandazioni