Settore Banche e Finanza
Affiancamento a banche, banche di credito cooperativo, intermediari ex art. 106 TUB, SGR, istituti di pagamento e di moneta elettronica: sistema dei controlli interni, antiriciclaggio, trasparenza, resilienza operativa digitale e presidio degli obblighi verso Banca d’Italia, Consob e UIF.
Le sfide del settore
Controllo dei rischi, conformità alle norme, revisione interna e funzione antiriciclaggio devono avere mandato, risorse e indipendenza adeguati, produrre relazioni utili agli organi e non sovrapporsi tra loro: negli intermediari di dimensioni contenute è il vincolo organizzativo più stringente.
Profilatura del rischio, adeguata verifica proporzionata, segnalazione delle operazioni sospette alla UIF e controlli di secondo e terzo livello vanno tenuti in efficienza mentre il pacchetto antiriciclaggio europeo del 2024, che ha istituito un’autorità di settore, sposterà parte della disciplina su un regolamento di applicazione diretta.
Core banking, servizi cloud, gestori di pagamento e outsourcer informatici concentrano il rischio operativo fuori dai confini aziendali: DORA chiede registro degli accordi contrattuali, clausole specifiche, strategia di uscita e segnalazione degli incidenti gravi.
Informativa precontrattuale, documenti di sintesi, modifiche unilaterali, tempi di risposta ai reclami, ricorsi all’Arbitro Bancario Finanziario e, per i servizi di investimento, adeguatezza e product governance MiFID II: adempimenti che ricadono su contratti, sistemi e reti distributive.
Valutazione del merito creditizio, modelli di scoring, sistemi di informazioni creditizie, Centrale dei rischi e antifrode: trattamenti ad alto impatto che richiedono basi giuridiche corrette, informative comprensibili e presidi sulle decisioni interamente automatizzate.
Le aspettative di vigilanza sui rischi climatici e ambientali chiedono di integrarli in governance, processi creditizi e reportistica, mentre l’informativa Pillar 3 ESG e la rendicontazione di sostenibilità richiedono dati e controlli sulla qualità delle informazioni.
Ambiti di intervento
Verifichiamo mandati, procedure e flussi informativi delle funzioni aziendali di controllo rispetto alle disposizioni di vigilanza applicabili (Circolare 285/2013 per le banche, Circolare 288/2015 per gli intermediari ex art. 106 TUB, disposizioni dedicate per istituti di pagamento e IMEL) e proponiamo un disegno proporzionato alla struttura, collocazione della funzione antiriciclaggio compresa.
Assumiamo per intero la funzione di revisione interna o affianchiamo quella esistente: audit universe, piano basato sui rischi approvato dagli organi, programmi di lavoro, test dei controlli, rilievi classificati e follow-up con reporting al Consiglio e al Collegio sindacale.
Lavoriamo su valutazione dei rischi, procedure di adeguata verifica, criteri di profilatura, gestione delle anomalie e istruttoria delle segnalazioni sospette, con piani di formazione e test a campione sui fascicoli, per rendere il presidio verificabile e non solo formalizzato.
Costruiamo o rivediamo il quadro di gestione del rischio informatico, il registro degli accordi con i fornitori terzi di servizi ICT, le clausole contrattuali e le strategie di uscita, il processo di classificazione e segnalazione degli incidenti gravi e il programma di test di resilienza.
Sottoponiamo home banking, app, portali e interfacce di pagamento a penetration test e vulnerability assessment e ne inseriamo gli esiti nel programma di test di resilienza operativa digitale. Per le entità designate ai test avanzati basati su minacce reali prepariamo perimetro, documentazione e verifica dei requisiti del soggetto incaricato, seguendo il coordinamento con l’autorità. Sicurezza e continuità restano allineate a ISO 27001 e ISO 22301.
Rivediamo informativa precontrattuale, documenti di sintesi e comunicazioni al cliente rispetto al Titolo VI del TUB e alle disposizioni di trasparenza di Banca d’Italia, ricostruiamo il ciclo dei reclami fino all’Arbitro Bancario Finanziario e, per i servizi di investimento, verifichiamo valutazione di adeguatezza, product governance e informativa sui costi.
Analizziamo i reati presupposto che pesano su un intermediario: reati tributari, abusi di mercato, ricettazione, riciclaggio e autoriciclaggio, corruzione, false comunicazioni sociali, ostacolo alle funzioni di vigilanza, delitti informatici. I protocolli si innestano sulle procedure di vigilanza esistenti.
Presidiamo informative, basi giuridiche, valutazioni d’impatto su scoring e antifrode, tempi di conservazione, rapporti con i sistemi di informazioni creditizie e diritti degli interessati sulle decisioni automatizzate, con il DPO esterno quando l’incarico non è coperto internamente.
L’attività bancaria e finanziaria è riservata e vigilata: l’ingresso passa da un’autorizzazione e la permanenza dipende dal mantenimento dei requisiti organizzativi e patrimoniali. Banca d’Italia esercita la vigilanza prudenziale nel Meccanismo di vigilanza unico, che affida alla BCE la vigilanza diretta sulle banche significative; la Consob presidia i servizi di investimento; la UIF riceve le segnalazioni di operazioni sospette. Il perimetro è disomogeneo, dalle banche ai confidi vigilati.
L’impianto di fondo è però comune. Ogni intermediario deve dotarsi di funzioni aziendali di controllo distinte (controllo dei rischi, conformità alle norme, revisione interna) e di esponenti in possesso dei requisiti di idoneità. Le disposizioni antiriciclaggio di Banca d’Italia vi aggiungono la funzione antiriciclaggio: autonoma funzione di controllo di secondo livello, con un proprio responsabile e con la distinta figura del responsabile per la segnalazione delle operazioni sospette; negli intermediari meno complessi può essere affidata, alle condizioni previste, al responsabile della conformità alle norme.
Cambiano invece i requisiti prudenziali: ICAAP, ILAAP e le regole su capitale e liquidità riviste dal pacchetto bancario europeo del 2024 (CRR3 e CRD6) riguardano le banche, mentre gli altri intermediari seguono le disposizioni loro applicabili, con la tutela dei fondi della clientela per istituti di pagamento e IMEL.
Accanto alla vigilanza prudenziale corrono la tutela della clientela e l’antiriciclaggio: il Titolo VI del TUB (D.Lgs. 385/1993) e le disposizioni di trasparenza di Banca d’Italia governano il rapporto con il cliente, fino ai ricorsi all’Arbitro Bancario Finanziario, mentre per i servizi di investimento valgono TUF e MiFID II. Il D.Lgs. 231/2007 e i provvedimenti attuativi di Banca d’Italia governano gli obblighi di adeguata verifica e la segnalazione delle operazioni sospette; il pacchetto antiriciclaggio europeo del 2024 sposterà gran parte della disciplina su un regolamento di applicazione diretta, ma con applicazione differita: oggi gli obblighi operativi restano quelli del decreto.
Sul fronte tecnologico il riferimento è il Regolamento (UE) 2022/2554 (DORA), che porta nel perimetro di vigilanza la dipendenza dai fornitori di servizi informatici, fino al registro degli accordi comunicato all’autorità. Completano il quadro il GDPR su profilazione e credit scoring, il D.Lgs. 231/2001 e le aspettative di vigilanza sui rischi climatici e ambientali.
Un solo interlocutore che conosce vigilanza, antiriciclaggio e sistemi informativi lavora con le funzioni di controllo, l’IT, la direzione crediti e gli organi aziendali, invece di consulenti separati per ogni normativa. Partiamo dai documenti che l’intermediario già produce: relazioni delle funzioni di controllo, autovalutazione dei rischi di riciclaggio, registro dei reclami, esiti di ispezioni.
Sulla terza linea offriamo internal audit in outsourcing o co-sourcing, con reporting agli organi e coordinamento fra Collegio sindacale, revisore legale e Organismo di Vigilanza.
Il rischio informatico si presidia costruendo l’impianto DORA e mettendolo alla prova: i penetration test e i vulnerability assessment sui canali digitali verificano ciò che le procedure dichiarano.
La trasparenza si misura sui documenti che arrivano al cliente e sul ciclo dei reclami, fino ai ricorsi all’Arbitro Bancario Finanziario: la fonte più diretta di segnali sui processi che non tengono. Sullo stesso versante stanno le procedure antiriciclaggio, gli adempimenti privacy su scoring e marketing e il Modello 231 innestato sui presidi esistenti.
I dati di sostenibilità seguono lo stesso principio: una sola filiera del dato, con controlli sulle stime e tracciabilità, per l’informativa Pillar 3 ESG e per la rendicontazione.
Il perimetro si definisce insieme e le decisioni restano agli organi dell’intermediario: noi portiamo lettura normativa, metodo di verifica ed evidenze, con responsabilità e tempi fissati in partenza.
Domande frequenti
Il settore bancario e finanziario è compreso tra i settori della NIS2, ma il Regolamento (UE) 2022/2554 opera come disciplina settoriale con requisiti equivalenti: per la gestione del rischio informatico e per la notifica degli incidenti si applicano DORA e le segnalazioni verso le autorità di vigilanza finanziaria, non gli obblighi corrispondenti del D.Lgs. 138/2024. Restano da verificare i casi particolari, ad esempio società del gruppo che svolgono attività estranee ai servizi finanziari e possono ricadere autonomamente nel perimetro NIS2. La prima attività è quindi una qualificazione motivata e documentata del soggetto, per evitare presidi duplicati e notifiche indirizzate all’autorità sbagliata.
Le disposizioni di vigilanza ammettono l’esternalizzazione delle funzioni aziendali di controllo a determinate condizioni, che variano con la natura, la dimensione e la complessità dell’intermediario e di norma richiedono la nomina di un referente interno, un contratto che disciplini livelli di servizio e accesso alle informazioni e il mantenimento della responsabilità in capo agli organi aziendali. La verifica di ammissibilità è il primo passo dell’incarico: se le condizioni non sono soddisfatte, la formula praticabile è il co-sourcing a supporto di una funzione interna.
Dall’esercizio di autovalutazione dei rischi e da un test a campione sui fascicoli di adeguata verifica: insieme dicono se i criteri di profilatura sono coerenti con l’operatività reale e se le informazioni raccolte sono complete e aggiornate. Si passa poi al percorso delle anomalie, dalla generazione dell’alert all’archiviazione motivata o alla segnalazione alla UIF, misurando tempi e qualità dell’istruttoria. Sono le stesse evidenze che vengono richieste in sede ispettiva, per questo conviene costruirle prima.
Ricostruendo la filiera: fonti dei dati, base giuridica di ciascun trattamento, informativa resa al cliente, logica del modello descritta in modo comprensibile, tempi di conservazione, contratti con i fornitori dei dati e con i sistemi di informazioni creditizie. Dove la valutazione produce effetti significativi in modo interamente automatizzato vanno predisposti l’intervento umano, la contestazione della decisione e la tracciabilità delle richieste degli interessati. Una valutazione d’impatto aggiornata tiene insieme questi elementi e riduce il rischio di contestazioni.
Pesano soprattutto i reati che nascono dall’operatività tipica di un intermediario: abusi di mercato, ricettazione, riciclaggio e autoriciclaggio, reati tributari, corruzione, false comunicazioni sociali e ostacolo all’esercizio delle funzioni delle autorità pubbliche di vigilanza, oltre ai delitti informatici. La mappatura va costruita sull’operatività effettiva: raccolta, credito, servizi di investimento, pagamenti, gestione dei crediti deteriorati. I protocolli si appoggiano ai presidi già previsti dalla normativa di vigilanza, così da evitare un secondo corpo di procedure parallelo.
Si parte dai punti in cui i rischi climatici e ambientali toccano già i processi: politiche di credito e istruttoria, valutazione delle garanzie, reportistica agli organi, informativa Pillar 3 ESG dove è richiesta. La parte più onerosa riguarda i dati: origine delle informazioni raccolte dalla clientela, criteri delle stime quando il dato manca, controlli sulla qualità, tracciabilità di chi ha prodotto il numero. Le stesse informazioni alimentano la rendicontazione di sostenibilità per gli intermediari che ne sono destinatari, per cui conviene costruire una sola filiera del dato invece di due reportistiche separate.
Servizi collegati
Funzione di revisione interna in outsourcing o co-sourcing: piani di audit risk-based, verifiche sui controlli e reporting al vertice.
ApprofondisciVerifiche tecniche di sicurezza su reti, applicazioni e infrastrutture: individuiamo le vulnerabilità prima che lo faccia un attaccante.
ApprofondisciModelli di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001, risk assessment dei reati presupposto e supporto all’Organismo di Vigilanza.
ApprofondisciAdeguamento al Regolamento UE 2016/679 e al Codice Privacy: assessment, registro dei trattamenti, DPIA, policy e formazione.
ApprofondisciRendicontazione ESG secondo CSRD, ESRS, GRI e standard VSME: analisi di materialità, raccolta dati, redazione e assurance readiness.
ApprofondisciProgettazione, implementazione e mantenimento di sistemi di gestione certificabili: ISO 9001, 14001, 45001, 27001, 37001, 50001 e i principali schemi di settore e di filiera.
ApprofondisciParliamone
Raccontaci le priorità della tua impresa: in un primo incontro senza impegno analizziamo il contesto e ti proponiamo un percorso concreto, con tempi e risultati misurabili.