Nell'era della digitalizzazione sono innumerevoli i rischi che corrono le banche, e sapersi difendere vuol dire prima di ogni altra cosa individuare le cause – interne ed esterne – di possibili eventi che da minacce possono trasformarsi in incidenti.
Proprio perché gli ecosistemi, le relazioni e i processi all'interno del mondo bancario tendono a diventare digitali, a fronte di una serie di indiscutibili vantaggi – sul piano dell'efficacia dell'esperienza d'uso offerta ai clienti, della trasparenza delle operazioni e della tracciabilità dei flussi finanziari – sussistono anche sfide e criticità che possono, se non opportunamente indirizzate, mettere in seria difficoltà gli istituti.
La disciplina dell'Operational Risk Management (e in particolare dell'IT Operational Risk Management) assume di conseguenza sempre maggiore importanza, in quanto mette a disposizione delle banche conoscenze, metodologie e soluzioni fondamentali per affrontare con tranquillità i molteplici ambiti su cui possono configurarsi rischi. Vediamo quali sono questi ambiti e perché le tecnologie digitali hanno un impatto così rilevante.
C'è innanzitutto da considerare il peso sempre maggiore che hanno i sistemi informatici nella gestione quotidiana delle attività bancaria. Dall'Home & Mobile Banking fino alle attività svolte quotidianamente dal back office, passando per i servizi evoluti messi a disposizione di partner e clienti, praticamente oggi l'intero ecosistema finanziario poggia su una serie di infrastrutture digitali interconnesse che, per la loro complessità e per le risorse a cui permettono di accedere, costituiscono un elemento degno di massima attenzione.
Chi delinea e orchestra le strategie di prevenzione dei rischi oggi deve confrontarsi con la possibilità di rallentamenti dei sistemi causati da disservizi che riguardano l'Information Technology: guasti, errori umani, problemi di connettività, incompatibilità degli aggiornamenti software, sono molteplici gli eventi più o meno fortuiti che possono arrecare danno al business. Ma, come accade sempre più spesso, la causa scatenante di un blocco potrebbe risalire anche a indisponibilità di dataset e di applicazioni determinate da intrusioni e attacchi sferrati da cyber criminali e concorrenti sleali.
Serve a questo punto sviluppare una visione olistica su tutti gli asset digitali non solo della banca, ma anche dei partner e degli interlocutori di business, per cominciare a monitorare il modo in cui vengono utilizzati e i fenomeni – endogeni ed esogeni – che rappresentano fattori di rischio.
Sempre più impattato dal tema della digitalizzazione (basti pensare al GDPR e al modo in cui ha trasformato l'approccio al trattamento dei dati personali), anche il fronte della compliance normativa necessita da parte delle banche di uno sguardo molto attento. Qui il rischio, in assenza di un piano adeguato di valutazione e mitigazione delle minacce, è quello di incorrere in pesanti sanzioni e danni reputazionali per l'organizzazione. Ma non bisogna sottovalutare il contraccolpo che la mancata ottemperanza ai regolamenti può comportare sull'efficienza dei processi. Il GDPR – per citare di nuovo il dispositivo che a partire dal 2018 ha impensierito non poche aziende – è molto più di uno strumento sanzionatorio: è un framework che, se seguito scrupolosamente, consente a qualsiasi impresa, e a maggior ragione alle banche, di ottimizzare la gestione delle informazioni personali dei propri clienti, trovando l'equilibrio perfetto tra privacy e valorizzazione dei dati.
Le banche hanno però a che fare anche con una serie di variabili del tutto indipendenti dall'attività che svolgono. I rischi legati alla situazione sociale, economica e ambientale possono essere valutati attraverso l'adozione di speciali parametri, denominati Key Risk Indicators (KRI), attraverso i quali è possibile impostare soglie di allarme nel momento in cui determinati fenomeni superano livelli di guardia. La scelta dei KRI è a discrezione di ciascuna banca, che di solito elabora algoritmi e indicatori in funzione di evidenze emerse dal day by day, dallo studio di esperienze pregresse ed elementi raccolti presso information provider specializzati. Oltre che, naturalmente, sulla base della capacità analitica sviluppata dai Risk Manager.