Maturità Rischio operativo · Regolamento COBAC rischio operativo

Il rischio operativo si definisce come il rischio di perdite derivanti da un’inadeguatezza o da una carenza delle procedure, del personale, dei sistemi interni o da eventi esterni. Il rischio legale vi è incluso. Il dispositivo prudenziale COBAC ne trae obblighi precisi per gli istituti di credito dell’area CEMAC: identificazione e mappatura dei rischi per linea di attività, raccolta e storicizzazione degli incidenti e delle perdite, dispositivi di continuità e di disaster recovery informatico, disciplina dell’esternalizzazione, coinvolgimento dell’organo con funzione di supervisione e requisito di fondi propri a titolo di rischio operativo.

In pratica, questo dispositivo è difficile da governare perché attraversa tutto l’istituto. La rete di filiali, la monetica, i sistemi informativi, la compliance e le risorse umane producono ciascuno una parte della materia, raramente allo stesso ritmo e raramente con lo stesso vocabolario. Tre domande ricorrono. La base incidenti è realmente alimentata dalle funzioni operative, o ricostruita a fine esercizio dalla direzione rischi? La mappatura è riconciliata con le perdite osservate, o vive di vita propria in un raccoglitore? I piani di continuità sono testati, e gli esiti dei test seguiti fino alla loro chiusura?

Due elementi di contesto pesano sugli istituti dell’area. Anzitutto l’intensificarsi della supervisione sulla sicurezza dei sistemi informativi e sull’esternalizzazione: la dipendenza da fornitori e da piattaforme monetiche regionali sposta una parte del rischio fuori dall’istituto, senza spostarne la responsabilità. Poi una confusione frequente da dissipare: il rischio operativo non è il controllo interno. Il controllo interno fornisce i dispositivi di presidio, il rischio operativo misura l’esposizione residua e la traduce in perdite e fondi propri.

Un audit di conformità si conclude con un riscontro binario: il requisito è soddisfatto o non lo è. La diagnosi di maturità risponde a un’altra domanda. A quale livello di presidio si colloca ciascuna componente del dispositivo, e quale azione precisa fa passare al livello successivo. Lo scostamento tra il punteggio ottenuto e l’obiettivo genera il piano d’azione, che l’IA raggruppa in una roadmap con priorità. Il confronto tra le entità del gruppo e con le valutazioni precedenti rende la progressione leggibile per l’organo con funzione di supervisione.

Il quadro di riferimento è pronto all’uso in Datamensio. Si adatta al vostro istituto: l’IA regola gli ambiti, le domande e i livelli di maturità secondo il metodo CMMI, oppure costruisce una declinazione a partire dalle vostre procedure, dalla vostra mappatura e dai vostri report di controllo interno.