Il progetto di una piattaforma flessibile e integrata e il supporto di Augeos: un partner tecnologico esperto in tutte le fasi dell’implementazione. La soluzione ideale per una banca aperta al futuro e una gestione completa dei rischi operativi e rischi IT
Banca UBAE nasce nel 1972 come “Unione delle Banche Arabe ed Europee.” L’obiettivo attuale è quello di sviluppare le relazioni commerciali, industriali ed economiche tra l’Europa e i paesi dell’Africa del Nord e Sub-Sahariana, del Medio Oriente, del Sub Continente Indiano e dei paesi ex CIS. Gli azionisti di Banca UBAE includono i principali gruppi bancari libici, marocchini e italiani: Libyan Foreign Bank, Banque Centrale Populaire, Banque Marocaine du Commerce Extérieur, Unicredit, e Intesa San Paolo e importanti istituzioni finanziarie italiane: Sansedoni Siena spa, Gruppo ENI (ENI Adfin) e Telecom Italia. «Abbiamo una operatività in oltre 50 paesi con il supporto di un’ampia rete di banche corrispondenti» – spiega a Data Manager il Dr. Enrico Pilotti, responsabile direzione organizzazione & IT di Banca UBAE. I principali servizi offerti alla clientela che opera con l’estero sono: finanziamenti all’esportazione, lettere di credito, SBLCs, risk sharing, garanzie, finanza, sindacazioni commerciali e finanziarie e assistenza professionale nei paesi esteri presidiati da una rete di consulenti locali. «Ora ci stiamo aprendo moderatamente anche verso il retail con servizi e prodotti innovativi e diversificati».
Le esigenze e la scelta del partner
«Per quanto riguarda il sistema informatico, a partire dal 2000, è stato scelto un servizio di full outsourcing sebbene, al contempo, si sia deciso di mantenere all’interno una adeguata infrastruttura tecnologica finalizzata alla gestione autonoma delle esigenze informative avanzate dai vari servizi interni. Nella struttura organizzativa IT sono pertanto presenti risorse con adeguati skills in grado di implementare, anche con la collaborazione di partner tecnologici, soluzioni customizzate» – continua Enrico Pilotti. Per quanto attiene il portafoglio progetti in corso di implementazione, il tema della governance dei rischi è sicuramente un argomento su cui la banca ripone particolare attenzione e dove sta investendo. L’obiettivo è quello di poter disporre di strumenti, processi e strutture organizzative adeguate a monitorare e controllare le esposizioni di rischio e a prevenire / gestire eventuali incidenti. La principale spinta al cambiamento è stata impressa dal recepimento della normativa 285/2013 della Banca d’Italia dove si raccomandano una serie di attività volte, soprattutto nell’ambito IT, a definire policy, ad adottare strumenti/soluzioni e a rivedere processi. Viene introdotto un nuovo modo di intendere il concetto di governance e management del rischio con una particolare attenzione alle best practices e agli standard internazionali.
«Le banche sono state chiamate a una profonda revisione del completo processo del rischio: dall’analisi e la metodologia fino ai processi interni. Come Banca UBAE, abbiamo inizialmente cercato un partner di primo piano al quale rivolgerci, facendo anche riferimento a importanti analisti quali Gartner e Forrester. Dopo un primo screening, i cui parametri hanno tenuto conto delle specificità della banca, del sistema informatico in outsourcing e della adeguatezza delle soluzioni proposte (integrazione con i sistemi) nonché di una attenzione agli investimenti necessari, la selezione si è ristretta a cinque società tutte con soluzioni estremamente valide. Alcune società leader di settore hanno riscontrato la nostra RFP con soluzioni molto articolate ma la complessità nell’integrazione con il sistema informatico della banca e i costi da sostenere (nonché i tempi di realizzazione) ne hanno sconsigliato l’adozione. La banca, quindi, ha ridimensionato il progetto iniziale e si è quindi concentrata sulle proposte di un GRC (Governance, Risk & Compliance) che avesse un buon rapporto tra i costi e le funzionalità rilasciate, elevata usabilità e facile implementazione, oltre che possibilità di evoluzione dell’esistente prodotto. Augeos offriva tutti i requisiti che cercavamo: uno tra questi un framework, anche flessibile, aperto e customizzabile, una piattaforma elastica e disponibile ad accompagnare la banca nelle fasi di introduzione e deployment del prodotto, con particolare attenzione alla sua integrazione con il sistema di gestione dei processi» – ha evidenziato Enrico Pilotti.
Visione totale della banca
«Riteniamo che la soluzione dei rischi operativi e il modulo per i rischi IT che stiamo sviluppando insieme a Augeos, siano compliant agli standard richiesti dalla normativa. Il modulo rischi operativi è stato già rilasciato ed entro la fine di ottobre 2016 è stato completato il primo rilascio del modulo AIT Risk per la gestione dei rischi informatici» – spiega Enrico Pilotti. «La seconda fase, fondamentale, del progetto che si concluderà nel 2017, vedrà l’integrazione con il modulo di analisi dei rischi operativi, un prodotto anch’esso targato Augeos. L’obiettivo finale è disporre di un sistema integrato di governance dei processi e dei rischi operativi. Riteniamo Augeos un partner ideale che ci possa accompagnare negli stage di sviluppo, implementazione, customizzazione e infine manutenzione della piattaforma, il tutto anche rispettando criteri di convenienza economica che hanno in ogni caso il loro peso» – continua Enrico Pilotti. Naturalmente, a parte la componente tecnologica, in tutto questo processo il management aziendale gioca un ruolo di primo piano per il successo della nuova piattaforma.
La gestione del rischio
AIT Risk è la soluzione targata Augeos per la gestione completa dei rischi e dei controlli focalizzata sugli asset IT, e fa parte della suite GRC (Governance, Risk & Compliance) per la gestione dei rischi aziendali prodotta dalla software house di Rivoli, nata nel 2005 da un’idea di Claudio Ruffini (presidente) e Carlo Cugusi (attuale amministratore) per offrire soluzioni informatiche ad alto valore aggiunto nel campo del risk management, compliance, legal e audit.
AIT Risk di Augeos recepisce le disposizioni di vigilanza prudenziale di Banca d’Italia in materia di sistema dei controlli interni, sistema informativo e continuità operativa con l’obiettivo di valutare il rischio informatico e la correlazione con la gestione del rischio operativo. Le disposizioni della normativa recepiscono, inoltre, le raccomandazioni della Banca Centrale Europea per la sicurezza delle transazioni bancarie via Internet.
Identificare i rischi e mappare i processi
L’IT Risk, ovvero il rischio di incorrere in danni economici, di quote di mercato e di reputazione legati all’utilizzo degli strumenti di information & communication technology, è un ambito correlato sia ai rischi operativi di un’azienda sia ai rischi reputazionali e strategici. Un corretto approccio alla gestione del rischio IT deve, inoltre, prendere in considerazione il contesto interno, come l’assetto organizzativo, unitamente a quello esterno, come l’evoluzione a livello di normativa e il progresso tecnologico.
Il metodo di analisi applicato da Augeos per identificare e gestire i rischi IT si basa su un processo di risk assessment e un processo di risk management, in cui gli step principali vanno dall’identificazione dei rischi potenziali alla mappatura dei processi aziendali, dalla valutazione dei rischi al sistema di monitoraggio, fino alle azioni di mitigation. Oltre a rilevare e monitorare il rischio IT, AIT Risk di Augeos effettua l’archiviazione e l’analisi degli incidenti IT e consente di gestire le azioni di mitigation, supportando in questo modo anche la leadership interna dell’azienda. Il prodotto si basa su un approccio funzionale che permette di avere «una vista personalizzata dei rischi IT e la gestione dei controlli per ciascuna funzione aziendale competente», utilizzando un framework proprietario conforme agli aggiornamenti della circolare 285/2013 della Banca d’Italia e compatibile con il framework COBIT 5 e lo standard ISO 27001.
Aperti al futuro
«Come Banca UBAE seguiamo sempre con attenzione gli sviluppi e le ultime novità tecnologiche sul mercato» – prosegue Enrico Pilotti. Gli istituti finanziari hanno infatti moltiplicato i punti di contatto con la clientela attraverso il mondo del web, per aprirsi al futuro e venire incontro alle aspettative dei Millennials. Se da un lato questo è irrinunciabile, in quanto moltiplica le opportunità di crescita e di business con le nuove generazioni, dall’altro però anche le superfici d’attacco aumentano esponenzialmente. «Siamo interessati alle evoluzioni tecnologiche di strumenti come il CRM strategico e, anche per la tipologia di clientela in portafoglio, ad acquisire soluzioni che favoriscano il contatto con la clientela e rendano più facile e decentrata l’iterazione con la banca. Gli strumenti, ovviamente, sono quelli che si basano su piattaforme internet ma è evidente che anche in questo caso la sicurezza e i rischi sono i due temi che si ripetono prepotentemente. «La Banca ha sicuramente l’intenzione di preservare gli investimenti IT sino ad ora portati a compimento e di continuare a interagire con partner qualificati che le stanno permettendo di raggiungere importanti obiettivi. Si vuole infatti continuare a offrire, sia agli azionisti che alla clientela, le migliori garanzie sul successo e la serietà dei servizi che mettiamo a loro disposizione» – conclude Enrico Pilotti.
