Regolamento (UE) 2017/589

Requisiti organizzativi delle imprese di investimento che effettuano negoziazione algoritmica

Il regolamento delegato (UE) 2017/589 integra l’articolo 17 della direttiva 2014/65/UE (MiFID II) fissando norme tecniche di regolamentazione per le imprese di investimento che utilizzano negoziazione algoritmica. L’obiettivo è garantire che tali attività si svolgano con adeguata governance, robustezza operativa, controlli del rischio e presidi contro abusi di mercato, tenendo conto della natura, dimensione e complessità dell’attività dell’impresa.

Ambito soggettivo e finalità

Le disposizioni riguardano le imprese di investimento che effettuano negoziazione algoritmica, quelle che forniscono accesso elettronico diretto ai clienti e quelle che agiscono come partecipanti diretti generali di una controparte centrale per servizi di compensazione. Il regolamento disciplina sia i sistemi di negoziazione e gli algoritmi sia i processi di controllo, monitoraggio, continuità operativa, sicurezza informatica e registrazione dei dati, con attenzione specifica alla negoziazione algoritmica ad alta frequenza.

Governance, responsabilità e funzione di conformità

L’impresa deve disporre di un dispositivo di governance chiaro e formalizzato, con linee di responsabilità definite, procedure di approvazione per sviluppo, installazione e aggiornamento degli algoritmi, comunicazione interna efficace e separazione tra sale operative e funzioni di supporto, controllo del rischio e conformità. La funzione di compliance deve avere conoscenza generale dei sistemi algoritmici, essere in contatto costante con i soggetti tecnicamente competenti e, se esternalizzata, beneficiare di pari accesso alle informazioni con obblighi di riservatezza e di revisione.

Personale, competenze ed esternalizzazione

L’impresa deve impiegare personale in numero sufficiente e con competenze tecniche adeguate sui sistemi utilizzati, sul monitoraggio e sulle prove, sulle strategie di negoziazione e sugli obblighi legali. La formazione deve essere iniziale e continua, calibrata su esperienza e responsabilità; chi si occupa dell’immissione degli ordini deve essere formato anche sugli abusi di mercato. L’esternalizzazione di software o hardware non riduce la responsabilità dell’impresa, che deve comunque poter dimostrare la conformità e disporre della relativa documentazione.

Sviluppo, test e installazione dei sistemi e degli algoritmi

Prima dell’installazione o di aggiornamenti sostanziali, l’impresa deve adottare metodologie formalizzate di sviluppo e test e ottenere l’autorizzazione di una persona designata dall’alta dirigenza. I test devono verificare che i sistemi non si comportino in modo imprevisto, rispettino il regolamento e le regole della sede di negoziazione, funzionino anche in condizioni di stress e possano essere disattivati se necessario. Le prove di conformità devono essere svolte in un ambiente distinto da quello di produzione, che può essere interno o fornito da sede di negoziazione, fornitore di accesso diretto o vendor. Prima dell’installazione l’impresa deve fissare limiti predefiniti su strumenti negoziati, prezzi, valori, ordini, posizioni strategiche e numero di sedi interessate.

Autovalutazione annuale e stress testing

Ogni anno l’impresa deve svolgere un processo di autovalutazione e convalida, che sfocia in una relazione redatta dalla funzione di risk management, riesaminata dall’audit interno se presente e approvata dall’alta dirigenza. L’autovalutazione deve coprire sistemi, algoritmi, governance, continuità operativa e conformità generale all’articolo 17 MiFID II, includendo i criteri dell’allegato I. Nel medesimo contesto vanno eseguite prove di stress per verificare la tenuta rispetto ad aumenti dei flussi di ordini e a condizioni di mercato avverse, con test almeno su volumi elevati di messaggi e di negoziazioni, calcolati sulla base dei massimi dei sei mesi precedenti moltiplicati per due.

Kill functionality, sorveglianza e controlli di rischio

L’impresa deve poter cancellare immediatamente ordini non eseguiti come misura di emergenza e deve sempre poter identificare algoritmo, operatore, sala operativa o cliente responsabile. Deve inoltre monitorare tutte le attività di negoziazione, comprese quelle dei clienti, attraverso un sistema automatizzato di sorveglianza capace di individuare potenziali manipolazioni di mercato ai sensi del regolamento (UE) n. 596/2014, generare allarmi e produrre rapporti. Il sistema deve coprire l’intera attività, essere aggiornabile rispetto ai cambi normativi e strategici, essere riesaminato almeno annualmente e consentire riconciliazioni tempestive con i dati di sedi, broker, CCP e altri partner commerciali.

Controlli pre-negoziazione, monitoraggio in tempo reale e controlli post-negoziazione

Il regolamento impone filtri di prezzo, limiti di valore e volume degli ordini e limiti al numero di messaggi, oltre a controlli sulla possibilità di negoziare determinati strumenti e sulle soglie di rischio e credito. Gli ordini bloccati possono essere immessi solo tramite procedure eccezionali, temporanee e autorizzate. Durante le ore di invio ordini l’impresa deve effettuare monitoraggio in tempo reale, con allarmi entro cinque secondi e personale reperibile anche fuori orario. I controlli post-negoziazione devono essere continui e includere il monitoraggio di rischio di mercato e di credito, riconciliazione dei log e, per i derivati, limiti di posizione.

Continuità operativa e sicurezza informatica

L’impresa deve adottare meccanismi di continuità operativa adeguati e documentati, con scenari di crisi, procedure per il trasferimento su sito di back-up ove appropriato, formazione del personale, regole sull’uso della funzione di cancellazione, dispositivi di disattivazione degli algoritmi e strumenti alternativi per gestire ordini e posizioni aperte. Tali meccanismi vanno riesaminati e testati annualmente. Sul piano informatico, l’impresa deve avere una strategia di sicurezza coerente con il rischio aziendale, con misure fisiche ed elettroniche idonee a proteggere dati e sistemi; le violazioni rilevanti devono essere comunicate subito all’autorità competente, con rapporto sull’incidente e misure correttive. Sono richieste prove annuali anti-intrusione e scansioni di vulnerabilità.

Accesso elettronico diretto: responsabilità del fornitore e controllo dei clienti

Il fornitore di accesso elettronico diretto resta responsabile delle negoziazioni effettuate dai clienti con il suo codice di negoziazione. Deve quindi definire politiche e procedure per garantire la conformità alle regole della sede, applicare controlli pre- e post-negoziazione e monitoraggio in tempo reale ai flussi dei clienti, e mantenere il potere esclusivo di fissare o modificare i parametri dei controlli. I limiti devono derivare dalla valutazione di rischio e di credito del cliente eseguita nel quadro della diligenza dovuta; per lo sponsored access i parametri devono essere almeno altrettanto rigorosi di quelli per il direct market access. Il fornitore deve poter bloccare ordini, arrestare i flussi, sospendere o revocare il servizio e identificare in modo univoco clienti, sale operative e operatori, anche in caso di subdelega.

Diligenza dovuta e riesame periodico dei clienti con accesso elettronico diretto

Prima di concedere l’accesso il fornitore deve valutare governance, struttura proprietaria, strategie, sistemi, controlli, gestione di errori, storico di trading, volumi attesi, capacità finanziaria e precedenti disciplinari del potenziale cliente. Se è ammessa la subdelega, il cliente deve avere un quadro di diligenza dovuta almeno equivalente. Il riesame della procedura di valutazione va effettuato ogni anno, insieme a una valutazione annuale basata sul rischio dell’adeguatezza dei sistemi e controlli del cliente, tenendo conto delle variazioni intervenute nella sua struttura e attività.

Partecipanti diretti generali di controparti centrali e servizi di compensazione

L’impresa che agisce come partecipante diretto generale di una CCP deve sottoporre i sistemi di compensazione a valutazioni, controlli e monitoraggio adeguati nel quadro della diligenza dovuta. La valutazione iniziale dei potenziali clienti della compensazione deve considerare solidità creditizia, controlli interni, strategie, capacità di trasferire margini, limiti di negoziazione, garanzie reali, risorse operative e precedenti in materia di integrità dei mercati. I clienti devono essere riesaminati almeno una volta l’anno, salvo periodicità più frequente prevista nell’accordo scritto. L’impresa deve inoltre fissare limiti di posizione e di negoziazione, monitorarli in tempo reale per quanto possibile, documentare le procedure e informare il pubblico sulle condizioni dei servizi e sui livelli di segregazione, compresi i costi e i principali effetti giuridici, anche in materia fallimentare.

Registrazioni per la negoziazione algoritmica ad alta frequenza

Per chi utilizza tecniche di negoziazione algoritmica ad alta frequenza, il regolamento impone la registrazione immediata, dopo l’immissione, dei dettagli di ogni ordine secondo il formato dell’allegato II. Le informazioni devono essere aggiornate secondo gli standard ivi previsti e conservate per cinque anni dalla trasmissione dell’ordine alla sede di negoziazione o ad altra impresa di investimento per l’esecuzione.

Allegati tecnici

L’allegato I elenca i criteri da considerare nell’autovalutazione annuale: natura, dimensioni e complessità dell’attività, ruolo di mercato, livello di automazione, strumenti e sedi trattati, strategie, dipendenza da terzi, connettività, struttura di governance, organizzazione del risk management e uso dell’accesso elettronico diretto. L’allegato II dettaglia in modo estremamente analitico le informazioni da registrare sugli ordini e sulle operazioni, con codici standard, formati tecnici, identificativi, prezzi, quantità, indicatori di short selling, deroghe, routing, validità e ogni altro dato necessario alla tracciabilità regolamentare.