Author: admin

Coordinatori: Paolo Giudici (Università di Pavia), Giulio Mignola (Intesa SanPaolo), PMO: Prometeia, supervisione a cura di Corrado Meglio (Vice Presidente AIFIRM)
Il crescente utilizzo di Big Data e Advanced Analytics (BD&AA), compreso il Machine Learning, in tutto il settore finanziario evolverà rapidamente nei prossimi anni. Un recente rapporto EBA identifica le tendenze recenti e suggerisce misure di salvaguardia chiave nel tentativo di sostenere costantemente la neutralità tecnologica attraverso gli approcci normativi e di vigilanza, identificando quattro pilastri chiave – gestione dei dati, infrastruttura tecnologica, organizzazione e governance e metodologia di analisi – necessari per supportare il lancio di Advanced Analytics, insieme a una serie di “elementi di fiducia”.
La necessità della competenza necessaria sta diventando sempre più importante, sollevando una sfida importante per istituzioni, autorità di vigilanza e autorità di regolamentazione. La formazione e lo sviluppo, nonché un più stretto coinvolgimento tra le parti interessate, potrebbero essere un punto di partenza appropriato per affrontare questa sfida.
Un approccio “basato sui dati” sta emergendo in tutto il settore finanziario, influenzando le strategie aziendali, i business model Fintech -Like, i rischi e le operazioni delle istituzioni con i rispettivi cambiamenti nella mentalità e nella cultura ancora in corso.
In questo contesto, il CRO ha un ruolo fondamentale come centro di eccellenza analitico per l’evoluzione, in collaborazione con le diverse funzioni di riferimento ed in particolare con il CIO per le componenti tecnologiche, con approcci sempre più di tipo ‘ibrido’ per la modalità agile di passaggio applicativo delle metodologie sviluppate.
Tutte le funzioni nelle istituzioni finanziarie trarranno vantaggio dalle applicazioni BD&AA in quanto miglioreranno i servizi esistenti in una prospettiva di efficienza, produttività e riduzione dei costi o creazione di nuove opportunità di business. Si ritiene che la situazione attuale possa evolversi rapidamente nei prossimi anni.
Obiettivi della commissione
L’obiettivo della commissione è quello di effettuare una ricognizione delle best practice di mercato e delineare le metodiche più efficienti per applicare fonti alternative di dati alle applicazioni di risk management sia sui rischi di primo e secondo pilastro che al sistema dei controlli che alle applicazioni di tipo manageriale (e.g. nuovi modelli di servizio di Fast Lending e Customer Centricity) con particolare riferimento a:
· Overview di possibili use case di BD&AA in ambito risk management
· Struttura dei dati utilizzabili
· Architetture IT di sviluppo di riferimento
· Pipeline analitiche
Impatti operativi e normativi (quali ad esempio: Etichs e Consumer Protection)
Il lavoro fornirà, infine, un contributo al dialogo dell’Associazione AIFIRM con le istituzioni di vigilanza sui temi critici per l’applicazione e aree di approfondimento anche sfruttando eventuali sandbox normative dedicate.

Coordinatori Paolo Trucco (Politenico di Milano), Veruska Orio (IntesaSanpaolo), PMO Nicasio Muscia (Accenture), supervisione Corrado Meglio (Vice Presidente AIFIRM)
In un ecosistema sempre più digitale, interconnesso ed in continua evoluzione, il rischio Cyber ha assunto dimensioni significative, fino ad essere considerato non più soltanto un fenomeno di natura tecnologica, ma anche legato a fattori comportamentali e alla cultura dei rischi aziendali.
La pandemia COVID-19 ha imposto un rapido cambiamento degli scenari e delle modalità di gestione dei rischi Cyber, introducendo numerose sfide per le aziende, tra le quali:

• nuove tipologie di minacce legate ai vettori di social engineering (14.795 nuovi domini registrati di cui il 50% indentificato come malevolo) e all’utilizzo del remote-working come nuova prassi lavorativa;
• necessità di garantire la continuità e la resilienza dei processi aziendali (non solo quelli critici);
• necessità di rivedere le soluzioni di emergenza e di disaster recovery, nonché di definire modalità di attivazione / riattivazione più snelle.

In questo contesto si evidenzia un trend crescente nel numero di attacchi, perpetrati principalmente sfruttando le classiche tecniche di spam con impatti sia in termini economici sia reputazionali.
 
L’incremento del numero degli attacchi, in aggiunta a una crescente digitalizzazione dei servizi per effetto della pandemia, ha ulteriormente messo in evidenza l’importanza di gestire il fenomeno Cyber anche in ottica di resilienza operativa.
 
Le recenti evoluzioni del quadro normativo (es. DORA Framework) sono orientate verso dei modelli di gestione del Cyber Risk & Resilience, basati su standard condivisi a livello europeo in relazione a:

• Testing della resilienza dei sistemi;
• Classificazione degli eventi di perdita;
• Gestione del rischio derivante dalle terze parti;
• Condivisione delle informazioni tra i player.

 
In un contesto così dinamico, sono possibili evoluzioni del framework di Cyber Resilience verso una visione customer-centric, che pone il cliente e i disservizi subiti al centro della strategia di mitigazione e risposta alle minacce Cyber. L’approccio proposto si propone di soddisfare le seguenti finalità:

• favorire l’interazione tra le strutture specialistiche di security, gli utenti business e le funzioni di risk management chiamate a collaborare per una gestione efficace delle minacce;
• adottare strategie di mitigazione e risposta al tempo stesso selettive e profilate rispetto ai clienti oggetto degli attacchi;
• rafforzare i meccanismi di protezione dei dati della clientela in linea con le aspettative regolamentari.

 
Obiettivo del position paper è proporre un approccio strutturato (descritto nella forma di un framework) che, sfruttando la mappatura della clientela normalmente predisposta per finalità legate alla customer experience, supporti le aziende nella definizione di azioni di prevenzione, rilevamento e mitigazione personalizzate a seconda del segmento di riferimento e delle tecnologie ad esso associate, permettendo così un intervento mirato che massimizzi la riduzione complessiva del rischio Cyber.

Referenti e PMO

• AIFIRM: Carlo Frazzei (Banca Akros) e Gabriele Bonini (Deloitte)
• ASSIOM FOREX: Stefano Masante (Intesa Sanpaolo), Giacomo Elena e Alessandro Garufi (Banca Akros)
• PMO Deloitte: Leonardo D’Auria e Michael Zottarel (supervisione), Andrea Rodonò, Valentino Caputo, Federico Canfora e Luca Serra (supporto operativo)

 
Obiettivi
L’iniziativa è finalizzata a:

• definire una best practice di mercato in termini di modelli di calcolo e modello operativo, sia per le banche che utilizzano il solo modello standard che per le banche che adottano il modello interno;
• valutare gli impatti su aspetti organizzativi e di processo del nuovo framework regolamentare per il rischio di mercato, con una panoramica sui temi di governance e framework dei controlli.

I benefici per gli aderenti all’iniziativa riguardano la partecipazione attiva nel disegno di una best practice di mercato in termini di modelli di calcolo e modello operativo (sia per le banche con il solo SA sia per le banche a IMA) e la convergenza sugli aspetti metodologici attualmente soggetti ad interpretazione normativa nonché sulle tematiche organizzative del nuovo framework normativo per il Market Risk.
 
Fasi
L’iniziativa si articola in 3 fasi successive:
 
Set-up iniziativa – indicativamente aprile-maggio 2021

• Dopo un primo incontro di kick-off, al fine di garantire un level playing field di tutti i partecipanti interessanti e condividere nel dettaglio gli obiettivi dell’iniziativa tra i partecipanti, saranno effettuati sia un incontro preliminare di training/allineamento delle competenze sia un brainstorming iniziale per condividere le tematiche oggetto di trattazione;

 
Modello standard – indicativamente maggio-agosto 2021

• Analisi congiunta dei key points metodologici, con focus sulle maggiori challenge implementative (e.g. impatti sulle strategie di business delle principali technicalities, nonché fornire linee guida condivise per l’integrazione nei processi organizzativi delle sensitivity utilizzate per il calcolo);
• Analisi attinenti temi segnaletici, organizzativi e di governance (e.g. competenze e ruoli nel processo di segnalazione del requisito – FO/Risk/Segnalazioni – nonché dubbi interpretativi della normativa emersi lato reporting COREP – boundary e trading intent);

 
Modello interno – indicativamente settembre-dicembre 2021

• Analisi congiunta dei principali key points metodologici under discussion (e.g. NMRF: impatti sul requisito dei fattori di rischio non-modellable e criteri per definizione della modellabilità);
• Impatti su aspetti organizzativi e di processo del nuovo framework (e.g. definizione Trading Desk e Trading Desk Mandate, Internal Risk Transfer, Validation Test: Back-testing e P&L Attribution).