Regolamento (UE) 2018/959

Metodologia di valutazione per l’autorizzazione all’uso dell’AMA per il rischio operativo

Il regolamento delegato (UE) 2018/959 integra il regolamento (UE) n. 575/2013 fissando norme tecniche di regolamentazione per stabilire come le autorità competenti devono valutare se un ente può utilizzare i metodi avanzati di misurazione per il rischio operativo. La disciplina risponde all’esigenza di armonizzare le pratiche di vigilanza nell’Unione, considerando che il quadro AMA è complesso, fondato su modelli sofisticati e soggetto a valutazioni non solo iniziali ma continuative.

Ambito della valutazione e logica generale

La valutazione non riguarda soltanto la prima autorizzazione all’uso dell’AMA, ma anche le estensioni e modifiche del perimetro, i piani di applicazione sequenziale, il ritorno a metodi meno sofisticati ex articolo 313 del regolamento (UE) n. 575/2013 e i riesami periodici. Le autorità competenti devono verificare un insieme coerente di requisiti qualitativi e quantitativi, considerando il quadro AMA nel suo complesso e non in modo frammentario.

Definizioni operative rilevanti

Il testo introduce definizioni utili alla modellizzazione e al controllo prudenziale, tra cui le nozioni di soglia di modellizzazione corpo-coda, dati di calcolo, soglia di raccolta dei dati, soglia minima di modellizzazione, perdita lorda, recupero, categoria di rischio operativo, profilo e tolleranza al rischio operativo, misura del rischio e SDLC. Tali definizioni sono funzionali a garantire omogeneità interpretativa nella costruzione del sistema AMA e nella sua verifica da parte delle autorità.

Classificazione degli eventi di rischio operativo

Gli articoli 3, 4 e 5 precisano quali eventi devono essere trattati come rischio operativo quando sono collegati rispettivamente al rischio giuridico, al rischio di modello e alle operazioni finanziarie, comprese quelle connesse al rischio di mercato. Vengono elencate ipotesi concrete da includere nei dati interni e nella misurazione, come omissioni o azioni per eludere norme, errori contrattuali, errori di modello, errori di inserimento ordini, carenze di controlli interni e problemi di qualità dei dati o dell’infrastruttura informatica. Il regolamento chiarisce anche alcune esclusioni, ad esempio le spese non correlate a una violazione o alcune spese legali prive di un evento di rischio operativo sottostante.

Governance, tolleranza al rischio e indipendenza delle funzioni

Il capo 2 dedica grande attenzione alla governance. L’organo di amministrazione deve approvare il quadro di gestione del rischio operativo, definire almeno annualmente la tolleranza al rischio operativo e monitorarne il rispetto. L’alta dirigenza è responsabile dell’attuazione del quadro approvato e deve disporre del potere di elaborare e applicare politiche e procedure. La funzione di gestione del rischio operativo deve essere indipendente dalle linee di business, adeguatamente supportata e guidata da un responsabile con esperienza, autonomia e accesso al budget in modo non dipendente dalle funzioni operative. Sono richiesti flussi di segnalazione efficaci, tempestivi e regolari, con reporting almeno trimestrale all’alta dirigenza e valutazioni annuali trasmesse all’autorità competente.

Prova dell’utilizzo dell’AMA e integrazione nel business

Il regolamento richiede che il metodo AMA sia effettivamente utilizzato a fini interni, non solo per il calcolo regolamentare. Il sistema di misurazione del rischio operativo deve essere integrato nelle diverse unità o entità del gruppo e, se applicato su base consolidata, esteso alle controllate. Inoltre, deve servire anche al processo ICAAP ex articolo 73 della direttiva 2013/36/UE. La prova dell’utilizzo include il confronto con metodi meno sofisticati prima dell’autorizzazione, la dimostrazione della solidità del sistema e l’uso continuativo del modello per supportare comunicazione gestionale, decisioni interne e miglioramento organizzativo.

Audit, convalida e qualità dei dati

Le funzioni di audit e convalida interna devono riesaminare il quadro AMA almeno una volta l’anno, verificando affidabilità del modello, integrità dei processi e qualità delle fonti dati. Devono operare in modo indipendente, con personale qualificato, e riferire i risultati ai livelli appropriati dell’ente, compreso l’organo di amministrazione. Sul versante dei dati, il regolamento richiede categorie di qualità adeguate, banche dati ben documentate, mappatura dei flussi e delle responsabilità, nonché politiche sul ciclo di vita dello sviluppo dei sistemi informatici approvate dal vertice aziendale. L’infrastruttura IT deve essere solida, resiliente ed efficiente anche in caso di outsourcing di alcune funzioni.

Quattro elementi, costruzione delle perdite e modellizzazione

La parte quantitativa disciplina in modo puntuale l’uso dei quattro elementi del metodo AMA: dati interni, dati esterni, analisi di scenario e fattori di contesto operativo e dei controlli interni. Il regolamento detta criteri su soglie, perimetro delle perdite, recuperi, date da registrare, perdita lorda, voci da includere o escludere, nonché trattamento di eventi specifici come frodi di credito, timing losses, pending losses e costi di opportunità. La modellizzazione deve essere metodologicamente solida, con scelta prudente delle distribuzioni di perdita, granularità coerente con la struttura dell’ente, analisi statistiche e diagnostiche adeguate, trattamento robusto delle code e divieto di basare la dipendenza su distribuzioni gaussiane o Normali.

Perdite attese, correlazione e allocazione del capitale

Il regolamento richiede che, se l’ente calcola i requisiti di fondi propri solo sulle perdite inattese, la metodologia di stima delle perdite attese sia coerente, documentata e basata su statistiche non distorte dagli estremi. Quanto alla correlazione, devono essere evitate ipotesi non prudenti, in particolare quelle fondate su distribuzioni gaussiane o Normali; la dipendenza tra eventi deve essere esaminata con attenzione e supportata da dati empirici e giudizi esperti. Il meccanismo di allocazione del capitale deve essere coerente con il profilo di rischio del gruppo, tenere conto delle differenze tra le varie entità e non incontrare ostacoli giuridici o fattuali al trasferimento dei fondi propri.

Assicurazioni e altri meccanismi di trasferimento del rischio

Il capo 4 disciplina il riconoscimento prudenziale delle assicurazioni e di altri meccanismi di trasferimento del rischio. Il fornitore dell’assicurazione deve essere autorizzato in modo equivalente ai requisiti UE, l’assicurazione deve essere effettivamente fornita da un soggetto terzo e devono essere evitate duplicazioni, inclusa la riassicurazione consapevole di coperture già inizialmente stipulate. L’ente deve dimostrare che la copertura corrisponde al proprio profilo di rischio, che il calcolo dell’attenuazione è sofisticato e trasparente e che l’allineamento con il profilo di rischio è tempestivo. I coefficienti di sconto devono riflettere tutte le incertezze, compresa la capacità dell’assicuratore di pagare, il rischio di contenzioso, la durata dei sinistri e la possibile erosione della copertura. Per gli altri meccanismi di trasferimento del rischio, l’ente deve dimostrare esperienza, ammissibilità dei venditori e un effetto effettivamente significativo di attenuazione del rischio.

Regime transitorio ed efficacia

Per gli enti che già utilizzano l’AMA o che ne hanno chiesto l’autorizzazione alla data di entrata in vigore, il regolamento si applica dopo un anno; la regola specifica sulla non ammissibilità delle distribuzioni gaussiane o Normali per la correlazione si applica dopo due anni. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.