Risk management - Appunti lezioni

La funzione di risk management

La funzione di risk management è una funzione relativamente giovane nel comparto italiano e nel comparto internazionale. Soprattutto nel nostro paese è stata costruita all’interno degli intermediari finanziari, e soprattutto di quelli più complessi operativamente, a partire dagli anni '80. Questa funzione rientra nelle tre funzioni aziendali di controllo degli intermediari bancari, le cui responsabilità e attività si sono articolate nel corso degli ultimi anni. Difatti, oggi questa è una funzione che, ancorché relativamente giovane, ha un ruolo di primaria importanza all’interno della pianificazione strategica.

Quindi la banca o l'intermediario finanziario non può sviluppare strategie, fare modifiche all’attività di business, aprire nuove filiali senza fare le giuste valutazioni relative al governo dei rischi. Se un decennio fa questa era una funzione strumentale rispetto alle altre funzioni aziendali dell’azienda di banca e si limitava alla sola misurazione dei rischi, oggi questa è la funzione che si occupa di mappare, misurare e gestire i rischi e di pianificare e gestire l’adeguatezza patrimoniale e del governo della liquidità della banca. Motivo per cui il RM ha una funzione centrale nella buona gestione dell’intermediario finanziario.

Evoluzione e regolamentazione

Questa evoluzione della funzione è stata sollecitata sicuramente dal framework normativo in materia di rischi, capitale e liquidità, o meglio è stata sollecitata dalle continue norme dedicate al governo dei rischi, al governo della liquidità e al governo del capitale che si sono succedute negli ultimi anni. Queste hanno ampliato il perimetro operativo del risk management. Oggi l’attività del RM è caratterizzata anche da un’attività di rule management, ovvero di gestione delle regole, perché tante sono le regole in materia di rischio, capitale e liquidità. Tali per cui spesso il RM ha difficoltà a gestire in maniera proattiva e dinamica le azioni da svolgere poiché deve concentrare i suoi sforzi soprattutto sull’attività di conformità alle tante norme che riguardano il proprio perimetro di operatività.

Il RM svolge attività da un forte contenuto strategico, motivo per cui oggi si occupa non solo della definizione, misurazione e gestione dei rischi quantificabili e non, ma si occupa anche di attività di testing e di convalida interna, manutenzione dei diversi modelli di misurazione dei rischi che la funzione gestisce all’interno della propria attività. Si occupa dei sistemi di pricing del credito e dei prodotti finanziari, si occupa di attività di collateral management in quanto i collateral sono strumenti che fanno da ausilio al RM non solo per la compensazione del rischio di credito ma anche per il supporto e il ricorso ad alcune fonti di funding, come il ricorso alla BCE che svolge un’attività di funding collateralizzata. Ma oggi il RM si occupa anche di governare la liquidità all’interno dell’azienda di banca e di definire il Risk appetite framework e statement, di definire e gestire il processo di valutazione di adeguatezza patrimoniale, nonché tutti gli obblighi relativi al secondo pilastro di supervisione e valutazione prudenziale, e ancora si preoccupa e si occupa di fare un’attività di crisis risk management, cioè della gestione del dissesto bancario nel rispetto della direttiva europea sulla gestione delle banche in crisi.

Importanza del risk management

Quindi è un’attività che va al di là della semplice misurazione dei rischi. Questa pletora di attività che il RM è chiamato a svolgere richiedono professionalità e competenze tecniche importanti, questo significa che la funzione in oggetto è una funzione che deve avere queste elevate professionalità e competenze tecniche, ma alla quale è richiesta nel contempo un elevato livello di onestà, integrità, reputazione oltre che un’esperienza in materia di governo dei rischi. È una funzione sottoposta a continuo monitoraggio da parte degli organi strategici e di supervisione della banca. I compiti devono essere espletati nell’alveo della regolamentazione e nel contempo alla funzione viene attribuito un compito fondamentale visto che il governo dei rischi del capitale e della liquidità è una funzione principe degli intermediari finanziari.

È attribuito al risk anche il compito di diffusione di una sana cultura del rischio all’interno dell’azienda di banca, su tutti i livelli di organizzazione aziendale affinché questa cultura del rischio non rimanga più proprietà esclusiva del RM stesso.

Le tre funzioni aziendali di controllo

Dal punto di vista organizzativo, il risk management è tra le tre funzioni aziendali di controllo di una banca. Le tre funzioni aziendali di controllo sono:

• Funzione compliance
• Funzione internal audit
• Funzione di Risk management

Sono tre funzioni importanti per la sana gestione della banca. Sono tre funzioni che devono operare in stretta collaborazione con le altre funzioni aziendali, soprattutto con le funzioni che all’interno della banca hanno un ruolo strategico in modo da raggiungere nel modo più coerente possibile gli obiettivi fissati nella pianificazione strategica.

Framework regolamentare per l’attività di RM

Il framework regolamentare per l’attività di RM è Basilea 3. Oggi siamo a Basilea 3.5, siamo ad un passo da Basilea 4. Basilea 4 è il framework regolamentare di riferimento di uno solo dei pilastri dell’Unione bancaria Europea. La banking union è stata la risposta delle autorità europee alla crisi finanziaria internazionale. La crisi ha richiesto una rimodulazione da parte delle autorità europee di tutte le regole in materia dei rischi capitale e gestione delle banche in crisi, anche a garanzia dei depositanti, motivo per cui è stato costituito il meccanismo unico di vigilanza europeo.

Questa è stata la risposta alla crisi finanziaria internazionale da parte delle autorità europee e forse la pietra miliare per la costruzione dell’Unione bancaria a livello europeo. Questa unione bancaria è costruita sulla base di tre pilastri fondamentali:

• Sistema unico di vigilanza
• Il meccanismo unico di risoluzione
• Il sistema unico di garanzia dei depositanti

Il perimetro di operatività del RM abbraccia i primi due pilastri, in parte riguarda anche il terzo. Tutto l’SSM è fondato sulle norme che riguardano i requisiti patrimoniali minimi, sui rischi, sulle norme che riguardano l’adeguatezza patrimoniale degli intermediari finanziari europei e sulle norme che riguardano l’adeguatezza del governo della liquidità. Tutta la pletora di norme che attiene al SSM riempie di compiti e responsabilità il RM.

Stessa cosa si può dire del meccanismo unico di risoluzione, il meccanismo unico di risoluzione ancorché entrato in vigore nel 2016 è ancora in fase di piena attuazione. Questo meccanismo unico di risoluzione ha preso piede dall’introduzione nell’ordinamento europeo della Direttiva sulla risoluzione e gestione delle banche in crisi PRD la quale direttiva sta provando a dettare norme uniche a livello europeo per gestire i dissesti bancari. Questa prevede tanti obblighi operativi che ricadono nelle attività svolte dal RM.

Poi c’è ancora il meccanismo unico di vigilanza che è finalizzato a salvaguardare la stabilità finanziaria poggia sul SINGLE RULEBOOK. Ma cosa è questo single rulebook? Dietro l’etichetta di BASILEA c’è un quadro di norme, regolamenti europei e circolari di banca d’Italia che attuano i dettami di questo framework. BASILEA NON È UNA NORMA O UN QUADRO NORMATIVO.

Single rulebook e regolamentazione

Dire che il meccanismo unico di vigilanza, finalizzato a perseguire la stabilità finanziaria dei singoli intermediari e quindi del sistema finanziario europeo, è poggiato sul single rulebook significa che va compreso quali sono gli atti e le fonti normative che costituiscono il single rulebook. IL SINGLE RULEBOOK È IL BREVIARIO DI RIFERIMENTO PER LE ATTIVITÀ DEL RISK MANAGEMENT.

Domanda: Questa carrellata di attività che riguardano la funzione di RM trovano la loro fonte normativa in quali atti di questo meccanismo unico di vigilanza europeo idealmente scomponibile in tre pilastri?

Risposta: SINGLE RULEBOOK. Ma questo single rulebook da quali fonti normative di dettaglio è costruito? Non posso fare il RM se non ho conoscenza approfondita delle fonti normative che vanno a perimetrare la mia attività. Non posso fare il RM se non ho delle softskills adeguate: autorevolezza, integrità, capacità di lavorare in team.

Single rulebook è un sistema articolato e composto da direttive, regolamenti, circolari, norme primarie del paese europeo del paese di appartenenza. MA QUALI DIRETTIVE? Partiamo dall’architettura dell’unico di vigilanza prudenziale pensato per rispondere alla crisi finanziaria internazionale e per creare un’unione bancaria poggiata su un sistema bancario resiliente fatto da intermediari finanziari resilienti. Questo MUV si articola in tre pilastri.

Il primo è il sistema unico di vigilanza, la fonte regolamentare di riferimento di questo primo pilastro è il framework Basilea. Ma il framework di Basilea da quali atti regolamentari è composto? Perché il framework di Basilea è un’etichetta, non corrisponde ad una norma o regolamento europeo. È una composizione tra la direttiva CRD 4 (che si occupa del tema capitale, buffer aggiuntivi di capitale, tema relativo alla governance degli intermediari finanziari, tema relativo all’esercizio e autorizzazione dell’attività bancaria), CRD4 è una direttiva quindi è un atto non direttamente vincolante negli stati membri che ha avuto bisogno di una legge nazionale per essere recepita nell’ordinamento italiano. CRD4 è stata sostituita da CRD5, che è l’aggiornamento sullo stampo di Basilea 4 del framework precedente.

Questo SSM ha come fonte regolamentare anche il regolamento europeo denominato Capital Requirement Regulation CRR, in quanto regolamento (575 introdotto nel 2013) è direttamente efficace negli stati membri dell’unione europea quindi non ha richiesto un atto normativo nazionale per essere applicato. Di cosa si applica la CRR? Dei requisiti patrimoniali obbligatori, del rischio di liquidità, della leva finanziaria, della questione inerente l’informativa al pubblico obbligatoria in materia di rischi e capitale. CRR1 è stata sostituita da CRR2, in vista di Basilea 4.

Questo perché siamo in epoca Basilea 3.5, il regulator ha voluto dare uno spazio temporale maggiore per adottare nuovi vincoli di Basilea 4 visto che questi impattano inevitabilmente sull’adeguatezza patrimoniale delle banche in un momento di recessione quindi di crescita del credito problematico, quindi questi vincoli così stringenti potrebbero creare un effetto pro ciclico particolarmente invasivo e quindi delle difficoltà maggiori per gli intermediari finanziari.

L’SSM è fondato su questi due atti principali:

• Direttiva CRD4/5, recepita in Italia con gli aggiornamenti delle circolari di Banca d’Italia (circolare 285, circolare 263, circolare 269)
• Regolamento CRR1/2

Quindi le fonti regolamentari su cui è fondato l’SSM sono una porzione del Single Rulebook e sono atti normativi di riferimento per l’attività del risk. Il risk manager non fa solo gestione dei rischi capitale e liquidità in condizioni di normale operatività ma si occupa delle crisi o delle quasi-crisi degli intermediari finanziari bancari approntando, in tale direzione, una serie di presidi normativi di governance interna che permettono in qualche maniera di gestire il quasi-dissesto senza arrivare al fallimento completo quindi senza attivare i meccanismi di risoluzione previsti dal secondo pilastro del MUV.

Questo significa che il Meccanismo Unico di Risoluzione che ha la sua base normativa nella Direttiva sul “Risanamento e la Risoluzione delle Banche” cosiddetta BRRD è un altro quadro normativo di riferimento da cui promanano una serie di vincoli operativi e di compiti attribuiti al risk manager. Esempio: per la prevenzione della crisi bancaria la BRRD prevede che la banca prepari il “Piano di Recovery” ovvero un piano di azioni da compiere qualora accadano delle situazioni particolarmente pericolose che riguardano la qualità degli attivi bancari o il suo livello di patrimonializzazione o l’adeguatezza delle sue fonti di funding. Questo piano di Recovery che la banca deve obbligatoriamente predisporre, previsto dalla BRRD, chi lo prepara? Anche se la responsabilità se la assume l’organo strategico della banca, il piano viene predisposto dal risk management. Questo esempio serve per capire che anche da questa direttiva promanano una serie di compiti e responsabilità per il risk manager, il quale è chiamato a gestire la banca non solo in condizioni di normale operatività ma anche in condizioni di stress/crisi e ad approntare dei piani di azioni utili da far scattare qualora ci sia l’evento di default o quasi default della banca stessa.

La direttiva BRRD voluta per una gestione ordinata e omogenea a livello EU dei dissesti bancari ha avuto effetto diretto sull’attività delle banche e in particolar modo sull’attività del risk manager. Il terzo Pilastro dell’Unione Bancaria EU si occupa del sistema di garanzia dei depositanti che dovrebbe essere creato in maniera armonizzata e gestito in modo omogeneo a tutela di tutti i depositanti dell’Unione Bancaria Europea. Anche questo terzo pilastro del MUV, con la sua direttiva corrispondente, impatta sull’attività del risk manager. Quindi è stato il Meccanismo Unico di Vigilanza, con i suoi tre pilastri e i suoi regolamenti, a caricare di compiti e responsabilità la funzione di risk manager e quindi a ritagliare per la stessa funzione un ruolo centrale nella pianificazione strategia e nello sviluppo del business e quindi anche nella sana e prudente gestione della stessa.

Conoscenze del risk manager

Il risk manager deve conoscere le fonti regolamentari che perimetrano la sua attività, molte delle attività del risk manager sono ancorate all’SSM. Vediamo in cosa consiste l’SSM e come impatta sull’attività del risk. Innanzitutto, l’SSM, oltre a dettare regole di vigilanza, in materia di rischi capitale/liquidità stabilisce la modalità di fare supervisione all’interno dell’Unione Bancaria sui temi oggetto di questo primo pilastro. Quindi stabilisce la modalità e attribuisce i poteri di vigilanza alle diverse autorità europee.

Il risk deve avere, quindi, piena consapevolezza non solo delle fonti normative che attribuiscono alla sua funzione compiti e responsabilità, ma anche delle autorità da cui è supervisionata la sua attività. Il risk manager è diventato anche rule management per la gestione delle tante regole, deve quindi conoscere bene le regole (oltre ai tecnicismi della materia). Deve anche conoscere chi fa attività di supervisione e di vigilanza in materia dei rischi capitale e liquidità, chi è il supervisor nell’ambito dell’SSM del mio intermediario finanziario? Per rispondere a questa domanda devo capire come è suddiviso nell’SSM il sistema delle autorità di vigilanza prudenziale svolto su tutti gli intermediari dell’Area Euro.

Lo schema operativo dell’SSM è articolato lungo due direttrici, c’è una vigilanza svolta direttamente dalla BCE sulle Banche significant. Quindi se sono il risk di una banca significativa so che tutta la mia attività è supervisionata/valutata dalla BCE che svolge la vigilanza diretta all’interno dell’unione bancaria europea solamente sulle banche significative e svolge questa attività insieme ai joint supervisory team (JST) che sono dei team composti anche da esponenti delle singole autorità di vigilanza nazionali.

Definizione di banca significativa

Ma quando una banca/ente è definita significativa? Questa definizione ha diverse declinazioni, un intermediario/ente può essere:

• Globally significant quindi significant a livello globale
• Domestic significant quindi significativo a livello nazionale

Quindi il concetto di “significant” al suo interno trova declinazioni leggermente diverse, va a graduare la significatività. Di per sé, la significatività di un intermediario bancario è qualificata tale se ricorre una delle condizioni:

• Valore tot attivo > 30 mld di euro o il 20% PIL nazionale
• È uno dei tre enti creditizi più significativi in uno stato membro
• Riceve assistenza direttamente un meccanismo Europeo di stabilità
• Valore asset > 5 mld
• Rapporto attività transfrontaliere e attività totali > 20%

Questi criteri sono stati fissati direttamente nell’SSM. Nell’SSM vengono conferiti i poteri di vigilanza prudenziali e gli stessi vengono articolati, secondo uno schema di:

• Vigilanza diretta: BCE e JST
• Vigilanza decentralizzata per LSI: Autorità Nazionali (in Italia Banca d’Italia)

In Italia prima il 90% era LSI, poi c’è stato un processo di “concentrazione”. La significatività è un concetto che rileva per comprendere a quale direttrice di vigilanza l’ente è sottoposto, è quindi il criterio di riferimento. È un criterio oggettivo. L’operato del risk ha il suo interlocutore nell’autorità di supervisione e di vigilanza prudenziale, quindi tutti gli obblighi del risk (predisposizione piano recovery, segnalazione sui rischi, calcolo dei requisiti patrimoniali, …) di cui se ne assume la responsabilità.