Con il CRR III cambia profondamente il modo con cui le banche calcolano il requisito patrimoniale a fronte del rischio operativo. Un’unica metodologia sostituisce i precedenti approcci e, per le banche meno significative, apre una questione che va oltre il semplice calcolo del capitale: il rischio si sposta sempre più dalla formula alla qualità della governance.
Quando pensiamo ai rischi di una banca, il primo pensiero va quasi inevitabilmente al credito. Un’impresa non restituisce un finanziamento, una famiglia non riesce più a pagare le rate del mutuo, aumenta il numero dei crediti deteriorati e la banca subisce una perdita.
Ma non è l’unico modo in cui una banca può perdere denaro.
Un attacco informatico può bloccare per ore i servizi. Un errore nei sistemi informatici può impedire l’esecuzione dei pagamenti. Una frode interna o esterna può provocare perdite considerevoli. Un contenzioso può trasformarsi in un costo inatteso. Un fornitore tecnologico può interrompere improvvisamente un servizio essenziale. Un errore umano può produrre conseguenze economiche e reputazionali.
Tutto questo appartiene, con diverse articolazioni, a ciò che la regolamentazione bancaria definisce rischio operativo.
Un rischio diventato progressivamente più importante proprio mentre le banche diventano più digitali, più interconnesse e maggiormente dipendenti dalla tecnologia.
Ed è proprio il modo con cui questo rischio viene tradotto in requisito patrimoniale che è cambiato con l’entrata in vigore del CRR III, il nuovo regolamento europeo sui requisiti prudenziali delle banche.
Dal passato a un’unica metodologia
Prima della riforma esistevano differenti metodologie per determinare il requisito patrimoniale relativo al rischio operativo.
Con il CRR III questo sistema viene superato.
Il legislatore europeo introduce sostanzialmente un unico approccio standardizzato, costruito intorno a un indicatore denominato Business Indicator (BI).
Il principio può essere spiegato senza entrare eccessivamente nella matematica regolamentare.
Il Business Indicator cerca di rappresentare la dimensione dell’attività della banca attraverso tre grandi componenti: quella relativa a interessi, leasing e dividendi; quella relativa ai servizi; quella derivante dalle attività finanziarie.
Dal Business Indicator viene quindi determinato il Business Indicator Component (BIC), che costituisce la base per il requisito patrimoniale per il rischio operativo.
Per gli istituti con un Business Indicator non superiore a un miliardo di euro – fascia nella quale rientra una parte importante delle banche meno significative – il BIC corrisponde al 12% del Business Indicator.
All’aumentare del BI intervengono coefficienti marginali più elevati.
La logica è abbastanza evidente: quanto maggiore e articolata è l’attività della banca, tanto maggiore viene considerata la sua potenziale esposizione al rischio operativo.
Ma proprio qui emerge una delle novità più interessanti della riforma europea.
Le perdite passate non determinano più direttamente il capitale
Nell’impostazione originaria elaborata dal Comitato di Basilea era previsto un meccanismo denominato Internal Loss Multiplier, attraverso il quale l’esperienza storica delle perdite operative della singola banca avrebbe potuto incidere sul requisito patrimoniale.
L’Unione europea ha scelto una strada differente.
Nel CRR III l’Internal Loss Multiplier è sostanzialmente neutralizzato ai fini del requisito di primo pilastro.
Il risultato può apparire paradossale.
Due banche con caratteristiche dimensionali e Business Indicator analoghi potrebbero avere lo stesso requisito patrimoniale per rischio operativo anche se una ha registrato negli anni perdite operative molto contenute e l’altra perdite significativamente superiori.
Questo non significa, però, che le perdite operative siano diventate irrilevanti.
Significa qualcosa di diverso: non incidono direttamente sulla formula utilizzata per determinare il requisito minimo di Pillar 1, ma possono continuare a incidere sulla valutazione complessiva del rischio della banca.
Ed è qui che entra in gioco la Vigilanza.
Il rischio esce dalla formula e rientra nello SREP
Per comprendere la portata della modifica occorre distinguere due livelli della regolamentazione bancaria.
Il Pillar 1 stabilisce i requisiti patrimoniali minimi determinati attraverso regole comuni.
Il Pillar 2, invece, consente alla Vigilanza di valutare i rischi specifici della singola banca attraverso il processo noto come SREP – Supervisory Review and Evaluation Process.
Ed è proprio qui che la storia delle perdite operative torna ad assumere importanza.
Una banca caratterizzata da elevate perdite operative, debolezze nei controlli, problemi nei sistemi informatici, vulnerabilità cyber, forte dipendenza da fornitori esterni o insufficiente continuità operativa può essere considerata più rischiosa dalla Vigilanza anche se tali elementi non hanno aumentato automaticamente il requisito derivante dal BIC.
Possiamo quindi sintetizzare il nuovo meccanismo in maniera molto semplice:
dimensione e struttura dell’attività → Business Indicator → BIC → Pillar 1
mentre
perdite operative + ICT + cyber risk + outsourcing + frodi + qualità dei controlli → valutazione prudenziale → SREP/Pillar 2.
Il rischio operativo, dunque, non scompare.
Cambia il luogo nel quale viene valutato.
Perché il cambiamento interessa soprattutto le LSI
La questione assume particolare rilievo per le Less Significant Institutions (LSI), cioè le banche che nell’ambito del Meccanismo di vigilanza unico non rientrano tra gli istituti classificati come significativi e direttamente vigilati dalla BCE.
Parliamo di un universo particolarmente importante per l’Italia: banche territoriali, istituti locali e intermediari spesso fortemente legati alle famiglie e alle piccole e medie imprese.
Per queste banche il principio di proporzionalità continua naturalmente ad avere un ruolo fondamentale.
Ma proporzionalità non significa assenza di rischio.
Una LSI può essere dimensionalmente piccola e contemporaneamente avere una forte dipendenza da pochi fornitori tecnologici, utilizzare servizi cloud esterni, essere esposta a cyberattacchi o disporre di strutture di controllo inevitabilmente meno articolate rispetto a quelle di un grande gruppo bancario.
Ed è proprio questa combinazione a rendere particolarmente interessante la nuova disciplina.
La soglia dei 750 milioni
Il CRR III introduce inoltre una distinzione importante relativa alla raccolta delle informazioni sulle perdite operative.
Per gli intermediari con Business Indicator pari o superiore a 750 milioni di euro assumono rilievo specifici obblighi relativi alla determinazione e conservazione dei dati sulle perdite operative.
Per gli istituti collocati tra 750 milioni e un miliardo di euro è prevista, in determinate condizioni, la possibilità per l’autorità competente di concedere una deroga quando tali obblighi risultino sproporzionatamente onerosi.
È una previsione che mostra chiaramente il tentativo del legislatore europeo di conciliare due esigenze: disporre di informazioni sufficientemente robuste sul rischio operativo e non imporre alle banche minori strutture organizzative sproporzionate rispetto alla loro dimensione.
Il possibile effetto sulle banche che vivono sempre più di commissioni
C’è poi un altro aspetto meno evidente ma particolarmente interessante.
Negli ultimi anni molte banche territoriali hanno cercato di diversificare i propri ricavi riducendo la dipendenza dal tradizionale margine di interesse.
Sono cresciuti wealth management, bancassurance, consulenza, sistemi di pagamento, collocamento di prodotti e, più in generale, i ricavi da servizi.
Ma proprio la componente servizi entra nella costruzione del nuovo Business Indicator.
Questo significa che la trasformazione del modello di business può produrre anche conseguenze sul requisito per rischio operativo.
È un elemento che dovrà essere considerato nella pianificazione strategica delle LSI.
La crescita delle attività non genera soltanto nuovi ricavi.
Può generare anche nuovo assorbimento di capitale.
Digitalizzazione: il vero terreno sul quale si misurerà il rischio
La questione diventa ancora più evidente se il CRR III viene letto insieme a un’altra importante trasformazione normativa europea: DORA, il Digital Operational Resilience Act.
Le due discipline intervengono su piani differenti, ma convergono verso una stessa conclusione.
La banca del futuro non dovrà soltanto essere solvibile.
Dovrà essere operativamente resiliente.
Un istituto può avere capitale abbondante e contemporaneamente essere vulnerabile sul piano tecnologico.
Può avere un CET1 elevato ma sistemi informatici fragili.
Può avere pochi crediti deteriorati ma dipendere eccessivamente da un unico provider.
Può presentare buoni risultati economici e contemporaneamente possedere procedure insufficienti per affrontare un grave attacco cyber.
Il rischio operativo diventa così sempre meno un problema esclusivamente contabile e sempre più una questione di governance.
Il ruolo degli organi aziendali
È probabilmente questa la conseguenza più importante della riforma.
Se il Pillar 1 diventa maggiormente standardizzato, la qualità della gestione interna assume ancora più rilievo nella valutazione prudenziale.
Per gli organi di amministrazione e controllo delle LSI significa interrogarsi non soltanto sulle perdite già verificatesi, ma soprattutto sui rischi che potrebbero manifestarsi.
Quanto dipendiamo dai fornitori ICT?
Cosa accadrebbe se il principale provider diventasse indisponibile?
Quanto tempo impiegheremmo per ripristinare i servizi essenziali?
Abbiamo individuato le funzioni critiche?
I sistemi di controllo intercettano tempestivamente le anomalie?
Gli incidenti operativi vengono realmente analizzati oppure semplicemente registrati?
Il consiglio di amministrazione riceve informazioni sufficientemente comprensibili sul cyber risk?
Sono domande che apparentemente appartengono alla tecnologia, ma che in realtà riguardano direttamente capitale, governance e continuità aziendale.
Un nuovo paradigma per le banche territoriali
La riforma del rischio operativo introdotta dal CRR III potrebbe quindi essere letta soltanto come una modifica della formula utilizzata per calcolare un requisito patrimoniale.
Sarebbe una lettura riduttiva.
Il cambiamento racconta qualcosa di più profondo sull’evoluzione della vigilanza bancaria europea.
Il rischio operativo non coincide più soltanto con le perdite già registrate.
Conta la capacità dell’intermediario di prevenire, individuare, gestire e assorbire eventi che potrebbero compromettere il funzionamento della banca.
Per le LSI questa trasformazione presenta due facce.
Da una parte, semplificazione e maggiore standardizzazione del Pillar 1.
Dall’altra, una crescente attenzione alla qualità della governance, dei controlli, dell’infrastruttura tecnologica e della resilienza operativa.
Ed emerge così un apparente paradosso della nuova regolamentazione:
le perdite operative pesano meno nella formula, ma la capacità di governare il rischio operativo può pesare sempre di più nel giudizio della Vigilanza.
Per una banca territoriale, quindi, la domanda da porsi non sarà più soltanto: quanto capitale dobbiamo detenere per il rischio operativo?
La domanda decisiva diventa un’altra:
quanto siamo realmente preparati quando qualcosa smette di funzionare?
Ed è probabilmente questa, molto più di qualsiasi formula matematica, la vera novità introdotta dal nuovo paradigma prudenziale.
