Sektor bankowy i finansowy
Wsparcie dla banków, banków spółdzielczych, pośredników z art. 106 włoskiego TUB, spółek zarządzających aktywami, instytucji płatniczych i pieniądza elektronicznego: system kontroli wewnętrznej, przeciwdziałanie praniu pieniędzy, przejrzystość, operacyjna odporność cyfrowa i nadzór nad obowiązkami wobec Banca d’Italia, Consob i UIF.
Wyzwania sektora
Kontrola ryzyka, zgodność z przepisami, audyt wewnętrzny i funkcja przeciwdziałania praniu pieniędzy muszą mieć odpowiedni mandat, zasoby i niezależność, dostarczać organom użytecznych raportów i nie dublować się wzajemnie: u pośredników o niedużej skali działalności to najbardziej dotkliwe ograniczenie organizacyjne.
Profilowanie ryzyka, proporcjonalna należyta staranność wobec klienta, zgłaszanie transakcji podejrzanych do UIF oraz kontrole drugiego i trzeciego poziomu muszą działać sprawnie, podczas gdy europejski pakiet AML z 2024 r., który utworzył wyspecjalizowany organ nadzoru, przeniesie część tej materii do rozporządzenia stosowanego bezpośrednio.
Systemy core banking, usługi chmurowe, operatorzy płatności i firmy obsługujące infrastrukturę informatyczną skupiają ryzyko operacyjne poza granicami przedsiębiorstwa: DORA wymaga rejestru informacji o umowach, określonych klauzul, strategii wyjścia i zgłaszania poważnych incydentów.
Informacja przedumowna, dokumenty podsumowujące warunki, jednostronne zmiany umowy, terminy odpowiedzi na reklamacje, wnioski do Arbitro Bancario Finanziario (włoskiego organu pozasądowego rozstrzygania sporów bankowych) oraz, dla usług inwestycyjnych, ocena odpowiedniości i product governance z MiFID II: obowiązki, które przekładają się na umowy, systemy i sieci sprzedaży.
Ocena zdolności kredytowej, modele scoringowe, systemy informacji kredytowej, Centrale dei rischi, czyli włoski rejestr ekspozycji kredytowych, oraz systemy antyfraudowe: operacje przetwarzania o dużym wpływie na osoby, wymagające prawidłowych podstaw prawnych, zrozumiałych klauzul informacyjnych i zabezpieczeń przy decyzjach w pełni zautomatyzowanych.
Oczekiwania nadzorcze dotyczące ryzyk klimatycznych i środowiskowych wymagają włączenia ich do ładu organizacyjnego, procesów kredytowych i raportowania, a ujawnienia ESG w ramach Filaru III oraz sprawozdawczość zrównoważonego rozwoju wymagają z kolei danych i kontroli ich jakości.
Obszary działania
Weryfikujemy mandaty, procedury i przepływy informacyjne funkcji kontrolnych pod kątem właściwych przepisów nadzorczych (okólnik Banca d’Italia 285/2013 dla banków, okólnik 288/2015 dla pośredników z art. 106 włoskiego TUB, odrębne przepisy dla instytucji płatniczych i instytucji pieniądza elektronicznego), a następnie proponujemy rozwiązanie proporcjonalne do struktury, wraz z umiejscowieniem funkcji AML.
Przejmujemy w całości funkcję audytu wewnętrznego albo wspieramy tę już działającą: audit universe, plan oparty na ryzyku zatwierdzany przez organy, programy prac, testy mechanizmów kontrolnych, sklasyfikowane ustalenia i follow-up, z raportowaniem do zarządu i do Collegio sindacale, włoskiego organu kontroli wewnętrznej spółki.
Pracujemy nad oceną ryzyka, procedurami należytej staranności wobec klienta, kryteriami profilowania klientów, obsługą anomalii i postępowaniem wyjaśniającym przy zgłoszeniach transakcji podejrzanych, wraz z planami szkoleń i testami na próbie dokumentacji klientów, tak aby mechanizmy dawały się zweryfikować, a nie tylko istniały na papierze.
Budujemy lub przeglądamy ramy zarządzania ryzykiem informatycznym, rejestr informacji o umowach z zewnętrznymi dostawcami usług ICT, klauzule umowne i strategie wyjścia, proces klasyfikacji i zgłaszania poważnych incydentów oraz program testów odporności.
Poddajemy bankowość internetową, aplikacje, portale i interfejsy płatnicze testom penetracyjnym i ocenie podatności, a wyniki włączamy do programu testów operacyjnej odporności cyfrowej. Dla podmiotów wyznaczonych do zaawansowanych testów opartych na rzeczywistych zagrożeniach przygotowujemy zakres, dokumentację i weryfikację wymogów wobec podmiotu przeprowadzającego testy, w koordynacji z organem nadzoru. Bezpieczeństwo i ciągłość pozostają spójne z ISO 27001 i ISO 22301.
Przeglądamy informację przedumowną, dokumenty podsumowujące i komunikację z klientem pod kątem Tytułu VI włoskiego TUB oraz przepisów Banca d’Italia o przejrzystości, odtwarzamy obieg reklamacji aż po wnioski do Arbitro Bancario Finanziario, a dla usług inwestycyjnych sprawdzamy ocenę odpowiedniości, product governance i informację o kosztach.
Analizujemy przestępstwa źródłowe, które najbardziej ciążą na pośredniku: przestępstwa skarbowe, nadużycia na rynku, paserstwo, pranie pieniędzy i tzw. pranie własnych pieniędzy, korupcję, podawanie nieprawdziwych informacji w sprawozdaniach spółki, utrudnianie sprawowania nadzoru, przestępstwa informatyczne. Protokoły osadzamy na istniejących procedurach wymaganych przepisami nadzorczymi.
Zajmujemy się klauzulami informacyjnymi, podstawami prawnymi, ocenami skutków dla ochrony danych przy scoringu i systemach antyfraudowych, okresami przechowywania, relacjami z systemami informacji kredytowej oraz prawami osób, których dane dotyczą, w związku z decyzjami zautomatyzowanymi, wraz z zewnętrznym IOD, gdy funkcja nie jest obsadzona wewnętrznie.
Działalność bankowa i finansowa jest zastrzeżona i nadzorowana: wejście na rynek wymaga zezwolenia, a pozostanie na nim zależy od utrzymania wymogów organizacyjnych i kapitałowych. Banca d’Italia, włoski bank centralny i organ nadzoru, sprawuje nadzór ostrożnościowy w ramach Jednolitego Mechanizmu Nadzorczego, który powierza EBC bezpośredni nadzór nad bankami istotnymi; Consob, włoski organ nadzoru nad rynkiem kapitałowym, czuwa nad usługami inwestycyjnymi; UIF, włoska jednostka analityki finansowej, przyjmuje zgłoszenia transakcji podejrzanych. Sam katalog podmiotów jest niejednorodny, od banków do nadzorowanych konsorcjów gwarancji kredytowych (confidi).
Podstawowa konstrukcja jest jednak wspólna. Każdy pośrednik musi mieć wyodrębnione funkcje kontrolne (kontrola ryzyka, zgodność z przepisami, audyt wewnętrzny) oraz członków organów spełniających wymogi odpowiedniości. Przepisy AML wydane przez Banca d’Italia dodają do tego funkcję przeciwdziałania praniu pieniędzy: samodzielną funkcję kontroli drugiego poziomu, z własnym kierownikiem i z odrębną rolą osoby odpowiedzialnej za zgłaszanie transakcji podejrzanych; w podmiotach mniej złożonych może ona zostać powierzona, na przewidzianych warunkach, osobie kierującej funkcją zgodności z przepisami.
Różnią się natomiast wymogi ostrożnościowe: ICAAP, ILAAP oraz zasady dotyczące kapitału i płynności zmienione europejskim pakietem bankowym z 2024 r. (CRR3 i CRD6) odnoszą się do banków, podczas gdy pozostali pośrednicy stosują przepisy dla nich właściwe, wraz z ochroną środków klientów w instytucjach płatniczych i instytucjach pieniądza elektronicznego.
Równolegle z nadzorem ostrożnościowym biegną ochrona klienta i przeciwdziałanie praniu pieniędzy: Tytuł VI włoskiego TUB (D.Lgs. 385/1993) i przepisy Banca d’Italia o przejrzystości regulują relację z klientem, aż po wnioski do Arbitro Bancario Finanziario, włoskiego organu pozasądowego rozstrzygania sporów bankowych, natomiast dla usług inwestycyjnych obowiązują włoski TUF i MiFID II. Włoski D.Lgs. 231/2007 i akty wykonawcze Banca d’Italia określają obowiązki należytej staranności wobec klienta oraz zgłaszania transakcji podejrzanych; europejski pakiet AML z 2024 r. przeniesie znaczną część tej materii do rozporządzenia stosowanego bezpośrednio, ale z odroczonym terminem stosowania: dziś obowiązki operacyjne wynikają nadal z dekretu.
W obszarze technologii punktem odniesienia jest rozporządzenie (UE) 2022/2554 (DORA), które włącza w zakres nadzoru zależność od dostawców usług informatycznych, aż po rejestr informacji o umowach przekazywany organowi nadzoru. Obraz dopełniają RODO w zakresie profilowania i scoringu kredytowego, włoski D.Lgs. 231/2001 oraz oczekiwania nadzorcze dotyczące ryzyk klimatycznych i środowiskowych.
Jeden partner, który zna regulacje nadzorcze, przepisy AML i systemy informatyczne, pracuje z funkcjami kontrolnymi, IT, pionem kredytowym i organami spółki, zamiast osobnych doradców do każdej regulacji. Zaczynamy od dokumentów, które pośrednik już wytwarza: raportów funkcji kontrolnych, samooceny ryzyka prania pieniędzy, rejestru reklamacji, wyników kontroli nadzorczych.
Na trzeciej linii oferujemy audyt wewnętrzny w outsourcingu lub co-sourcingu, z raportowaniem do organów i koordynacją między Collegio sindacale, biegłym rewidentem i Organismo di Vigilanza.
Ryzyko informatyczne ogranicza się, budując konstrukcję wymaganą przez DORA i wystawiając ją na próbę: testy penetracyjne i ocena podatności kanałów cyfrowych sprawdzają to, co procedury deklarują.
Przejrzystość mierzy się na dokumentach, które trafiają do klienta, i na obiegu reklamacji, aż po wnioski do Arbitro Bancario Finanziario: to najbardziej bezpośrednie źródło sygnałów o procesach, które nie działają. Po tej samej stronie stoją procedury AML, obowiązki z zakresu ochrony danych przy scoringu i marketingu oraz Model 231 osadzony na istniejących mechanizmach kontrolnych.
Dane o zrównoważonym rozwoju traktujemy tak samo: jeden łańcuch danych, z kontrolą szacunków i możliwością odtworzenia ich pochodzenia, na potrzeby ujawnień ESG w ramach Filaru III i sprawozdawczości.
Zakres ustalamy wspólnie, a decyzje pozostają przy organach pośrednika: my wnosimy wykładnię przepisów, metodę weryfikacji i dowody, z odpowiedzialnością i terminami ustalonymi na starcie.
Częste pytania
Sektor bankowy i finansowy należy do sektorów wskazanych w NIS2, ale rozporządzenie (UE) 2022/2554 działa jako regulacja sektorowa o równoważnych wymogach: w zakresie zarządzania ryzykiem informatycznym i zgłaszania incydentów stosuje się DORA i przewidziane w tym rozporządzeniu zgłoszenia do organów nadzoru finansowego, a nie odpowiadające im obowiązki z włoskiego D.Lgs. 138/2024. Do sprawdzenia pozostają przypadki szczególne, na przykład spółki z grupy prowadzące działalność niezwiązaną z usługami finansowymi, które mogą samodzielnie wejść w zakres NIS2. Pierwszym działaniem jest więc uzasadniona i udokumentowana kwalifikacja podmiotu, aby uniknąć dublowania mechanizmów kontrolnych i zgłoszeń kierowanych do niewłaściwego organu.
Przepisy nadzorcze dopuszczają outsourcing funkcji kontrolnych na określonych warunkach, które zależą od charakteru, wielkości i złożoności pośrednika oraz z reguły wymagają wyznaczenia wewnętrznej osoby odpowiedzialnej, umowy regulującej poziomy usług i dostęp do informacji oraz utrzymania odpowiedzialności po stronie organów spółki. Sprawdzenie dopuszczalności jest pierwszym krokiem zlecenia: jeżeli warunki nie są spełnione, wykonalną formułą pozostaje co-sourcing wspierający funkcję wewnętrzną.
Od samooceny ryzyka i od testu na próbie dokumentacji należytej staranności: razem pokazują, czy kryteria profilowania odpowiadają rzeczywistej działalności i czy zebrane informacje są kompletne i aktualne. Następnie przechodzimy do ścieżki anomalii, od wygenerowania alertu do uzasadnionego zamknięcia sprawy albo zgłoszenia do UIF, mierząc czasy i jakość postępowania wyjaśniającego. To te same dowody, o które pyta nadzór w toku kontroli, dlatego lepiej przygotować je wcześniej.
Odtwarzając cały łańcuch: źródła danych, podstawę prawną każdego przetwarzania, klauzulę informacyjną przekazaną klientowi, logikę modelu opisaną w zrozumiały sposób, okresy przechowywania, umowy z dostawcami danych i z systemami informacji kredytowej. Tam, gdzie ocena wywołuje istotne skutki w sposób w pełni zautomatyzowany, trzeba zapewnić interwencję ludzką, możliwość zakwestionowania decyzji i możliwość odtworzenia obsługi żądań osób, których dane dotyczą. Aktualna ocena skutków dla ochrony danych spina te elementy i ogranicza ryzyko sporu.
Największe znaczenie mają przestępstwa wyrastające z typowej działalności pośrednika: nadużycia na rynku, paserstwo, pranie pieniędzy i pranie własnych pieniędzy, przestępstwa skarbowe, korupcja, podawanie nieprawdziwych informacji w sprawozdaniach spółki i utrudnianie wykonywania funkcji przez publiczne organy nadzoru, a także przestępstwa informatyczne. Mapowanie trzeba oprzeć na faktycznej działalności: przyjmowanie depozytów, kredyty, usługi inwestycyjne, płatności, zarządzanie kredytami zagrożonymi. Protokoły opierają się na mechanizmach już przewidzianych w przepisach nadzorczych, tak aby nie tworzyć drugiego, równoległego zbioru procedur.
Zaczynamy od miejsc, w których ryzyka klimatyczne i środowiskowe dotykają już istniejących procesów: polityki kredytowej i oceny wniosków, wyceny zabezpieczeń, raportowania do organów, ujawnień ESG w ramach Filaru III tam, gdzie są wymagane. Najbardziej pracochłonne są dane: pochodzenie informacji zebranych od klientów, kryteria szacunków, gdy danych brakuje, kontrola jakości, możliwość ustalenia, kto wyliczył daną wartość. Te same informacje zasilają sprawozdawczość zrównoważonego rozwoju u pośredników, których ona dotyczy, dlatego lepiej zbudować jeden łańcuch danych niż dwa odrębne obiegi raportowe.
Powiązane usługi
Funkcja audytu wewnętrznego w outsourcingu lub co-sourcingu: plany audytu oparte na ryzyku, testy mechanizmów kontrolnych i raportowanie do zarządu.
Dowiedz się więcejTechniczne weryfikacje bezpieczeństwa sieci, aplikacji i infrastruktury: wykrywamy podatności, zanim zrobi to atakujący.
Dowiedz się więcejModele organizacji, zarządzania i kontroli zgodne z włoskim dekretem ustawodawczym 231/2001, ocena ryzyka przestępstw źródłowych i wsparcie dla Organismo di Vigilanza (OdV).
Dowiedz się więcejDostosowanie do rozporządzenia (UE) 2016/679 i włoskiego Kodeksu ochrony danych osobowych: audyt, rejestr czynności przetwarzania, DPIA, polityki i szkolenia.
Dowiedz się więcejSprawozdawczość ESG według CSRD, ESRS, GRI i standardu VSME: analiza istotności, zbieranie danych, opracowanie raportu i przygotowanie do atestacji.
Dowiedz się więcejProjektowanie, wdrażanie i utrzymywanie systemów zarządzania podlegających certyfikacji: ISO 9001, 14001, 45001, 27001, 37001, 50001 oraz główne schematy branżowe i łańcucha dostaw.
Dowiedz się więcejPorozmawiajmy
Prosimy opowiedzieć o priorytetach Państwa firmy: podczas pierwszego spotkania bez zobowiązań analizujemy sytuację i proponujemy konkretną ścieżkę, z terminami i mierzalnymi rezultatami.