Le 4 tipologie di rischio operativo

Il rischio operativo è il rischio di perdite derivanti da processi interni, persone, sistemi o eventi esterni inadeguati o non funzionanti. A differenza del rischio di mercato o di credito, che può essere quantificato attraverso modelli finanziari, il rischio operativo è spesso più difficile da misurare ma non per questo meno significativo. Comprendere le sue quattro categorie principali è il primo passo per gestirlo in modo efficace.

1. Rischio di processo

Il rischio di processo deriva da errori nelle procedure e nei flussi di lavoro su cui un'organizzazione fa affidamento per condurre la propria attività. Questi fallimenti possono variare da inefficienze minori a guasti critici che comportano perdite finanziarie o violazioni normative.

Esempi comuni includono errori nell’elaborazione delle transazioni, errori nelle procedure di riconciliazione, interruzioni nei flussi di lavoro di approvazione e lacune nelle pratiche di documentazione. Una banca che elabora un bonifico bancario sul conto sbagliato a causa di un errore di immissione manuale dei dati ha riscontrato un evento di rischio di processo.

La gestione del rischio di processo richiede procedure chiare e ben documentate, una formazione adeguata per il personale che esegue tali procedure e controlli che rilevano gli errori prima che causino danni. Le revisioni periodiche dei processi aiutano a identificare le aree in cui le procedure sono diventate obsolete o in cui i colli di bottiglia aumentano la probabilità di errori.

L'automazione può ridurre significativamente il rischio di processo eliminando i passaggi manuali soggetti a errori. Tuttavia, l’automazione introduce i propri rischi se non adeguatamente progettata e monitorata, il che porta alla categoria successiva.

2. Rischio sistemico e tecnologico

Il rischio sistemico si riferisce a guasti nell’infrastruttura tecnologica che supporta le operazioni aziendali. Ciò include guasti hardware, bug software, violazioni della sicurezza informatica, danneggiamento dei dati e interruzioni del sistema.

La crescente dipendenza dalla tecnologia fa sì che il rischio sistemico sia diventato una delle categorie più significative di rischio operativo. Un’interruzione della piattaforma di trading durante le ore di punta del mercato, un attacco ransomware che crittografa i dati critici o un aggiornamento software non riuscito che corrompe i record finanziari possono comportare perdite sostanziali.

La gestione del rischio dei sistemi implica il mantenimento di una solida infrastruttura IT, l'implementazione di controlli di sicurezza informatica, l'esecuzione di test regolari del sistema e il mantenimento di piani di ripristino di emergenza e continuità aziendale. La gestione delle patch, i controlli degli accessi e le procedure di backup dei dati sono componenti fondamentali.

Le organizzazioni dovrebbero anche considerare il rischio tecnologico di terze parti. I fornitori di servizi cloud, i fornitori di software e gli elaboratori di dati introducono tutti potenziali punti di guasto che devono essere valutati e monitorati.

3. Rischio personale

Il rischio personale comprende le perdite derivanti da errori umani, cattiva condotta, personale inadeguato o incapacità di trattenere il personale chiave. È probabilmente la categoria di rischio operativo più imprevedibile perché coinvolge il comportamento umano.

L'errore umano include errori involontari come l'immissione di dati errati, l'errata interpretazione delle istruzioni o la trascuratezza di informazioni critiche. La cattiva condotta include atti intenzionali come frode, furto, commercio non autorizzato o violazioni di politiche e regolamenti.

Anche le questioni relative al personale rientrano nel rischio personale. Un organico insufficiente durante i periodi di punta aumenta la probabilità di errori. La partenza di dipendenti chiave può comportare lacune di conoscenza che influiscono sulla continuità operativa.

La gestione del rischio personale richiede una combinazione di pratiche di assunzione, programmi di formazione, gestione delle prestazioni e una forte cultura etica. La separazione dei compiti, i requisiti di doppia autorizzazione e i programmi per gli informatori aiutano a scoraggiare e individuare i comportamenti illeciti. La formazione incrociata garantisce che le funzioni critiche non dipendano da un singolo individuo.

4. Rischio di eventi esterni

Il rischio di eventi esterni copre le perdite causate da eventi al di fuori del controllo dell'organizzazione. Disastri naturali, pandemie, conflitti geopolitici, cambiamenti normativi e fallimenti dei fornitori rientrano tutti in questa categoria.

Sebbene le organizzazioni non possano prevenire eventi esterni, possono prepararsi ad affrontarli. La pianificazione della continuità operativa, la copertura assicurativa e la diversificazione dei fornitori e dei prestatori di servizi contribuiscono a mitigare l’impatto.

La pandemia di COVID-19 ha evidenziato l’importanza della gestione del rischio legato agli eventi esterni. Le organizzazioni con solide capacità di lavoro a distanza e catene di fornitura diversificate si sono adattate più rapidamente di quelle che non avevano pianificato tali interruzioni.

La gestione del rischio di eventi esterni richiede la pianificazione degli scenari e lo stress test. Le organizzazioni dovrebbero valutare regolarmente la propria esposizione a potenziali eventi esterni e valutare se i propri piani di emergenza sono adeguati.

Unire tutto

Queste quattro categorie sono interconnesse. Un evento esterno come un attacco informatico (esterno) può sfruttare una vulnerabilità del sistema (sistemi), che non viene rilevata a causa di personale insufficiente (persone) e causa danni maggiori a causa di procedure di risposta agli incidenti deboli (processo).

Una gestione efficace del rischio operativo richiede una visione olistica che consideri tutte e quattro le categorie e le loro interazioni. Valutazioni periodiche del rischio, chiare procedure di escalation e una cultura che incoraggi la segnalazione trasparente di incidenti e quasi incidenti sono essenziali per mantenere il rischio operativo entro livelli accettabili.

I team finanziari e di audit svolgono un ruolo chiave nell'identificazione dei rischi operativi attraverso la revisione di processi, controlli e documentazione. Gli strumenti che semplificano la raccolta e l’analisi delle prove aiutano questi team a concentrarsi sui rischi che contano di più.