Insurance, banking, asset & wealth management. Business differenti, legal entity distribuite in più Paesi, contesti di rischio non necessariamente sovrapponibili. Per un grande gruppo, costruire un Risk Assessment comune significa confrontarsi con una questione di fondo: rendere comparabili realtà diverse senza perdere le differenze che contano. È su questo equilibrio che si è concentrato il secondo appuntamento dedicato all’esperienza del Group AFC di Assicurazioni Generali nel Group Risk Assessment, realizzato con ComplianceDesign.it | Academy & Learning.

Nel primo incontro il Risk Assessment era emerso non come semplice esercizio di misurazione, ma come strumento di gestione e governance del rischio a livello di Gruppo. Nel secondo, Francesco Schippa, Group Anti Financial Crime di Assicurazioni Generali, ha portato il confronto dentro il modello, mostrando cosa accade quando una metodologia comune deve misurarsi con un perimetro fatto di società assicurative, banche e realtà dell’asset management, attraversando mercati, prodotti, clienti e geografie differenti.

Perché costruire un modello è solo il primo passaggio. La vera prova arriva quando quello stesso modello deve produrre risultati che siano, allo stesso tempo, rappresentativi delle singole realtà e confrontabili a livello di Gruppo.

Dalla misurazione alla comparabilità

La struttura metodologica si sviluppa lungo tre dimensioni: rischio inerente, vulnerabilità dei presidi e rischio residuo.

Il rischio inerente fotografa l’esposizione della società al rischio di riciclaggio e finanziamento del terrorismo in assenza degli effetti mitiganti dei presidi di controllo , sulla base dei  dati relativi, tra gli altri, alla clientela, alle transazioni, ai canali distributivi, ai prodotti e servizi ed esposizione geografica. Informazioni che vengono progressivamente aggregate in Key Risk Indicators, fattori di rischio e infine in un risk score. Ma quel numero, da solo, dice ancora poco.

Per comprenderne realmente il significato occorre metterlo in relazione con la capacità dell’organizzazione di governare quell’esposizione. Entra così in gioco la valutazione della vulnerabilità: funzionamento dei controlli, regolamentazione interna, formazione, risultanze dell’Internal Audit, esito delle ispezioni delle Autorità di Vigilanza ed eventuali sanzioni irrogate.

Dall’incrocio tra queste due dimensioni emerge il rischio residuo, cioè ciò che rimane dell’esposizione iniziale dopo aver considerato la capacità dei presidi di mitigarla. È proprio a questo punto, però, che il problema cambia natura. Non si tratta più soltanto di costruire correttamente un rating, ma di capire quanto quel rating continui a raccontare la stessa cosa quando viene applicato a realtà profondamente diverse.

Un modello comune senza appiattire le differenze

Un indicatore rilevante per una banca non ha necessariamente lo stesso peso per una compagnia assicurativa. La geografia può modificare sensibilmente l’esposizione e un National Risk Assessment può far emergere specificità che una metodologia costruita esclusivamente a livello centrale rischierebbe di non intercettare. L’uniformità, quindi, non può coincidere con la semplice applicazione dello stesso schema ovunque.

Un modello eccessivamente rigido sarebbe certamente omogeneo, ma rischierebbe di perdere capacità rappresentativa. All’estremo opposto, lasciare alle singole entità margini troppo ampi di adattamento renderebbe gli assessment difficilmente confrontabili, indebolendo proprio quella lettura di Gruppo che il modello dovrebbe consentire. Il punto di equilibrio indicato da Schippa passa attraverso tre concetti strettamente collegati: granularità, flessibilità e consistenza.

La granularità consente di intercettare business model e customer segment differenti; la flessibilità permette di incorporare fattori di rischio locali e specificità geografiche o regolamentari. Ma entrambe devono fermarsi prima di compromettere la consistenza del modello, perché è quest’ultima a rendere possibile il confronto. Ed è qui che una questione apparentemente metodologica diventa una questione di governance.

Confrontare significa anche capire cosa sta cambiando

La comparabilità non serve soltanto a mettere una società accanto all’altra. Se entità appartenenti allo stesso comparto utilizzano nel tempo una metodologia sufficientemente coerente, il Gruppo può osservare non soltanto quanto rischio esiste, ma anche come quel rischio si sta muovendo.

Se invece criteri, indicatori o modalità di valutazione cambiano in maniera disomogenea, diventa molto più difficile distinguere una variazione effettiva del profilo di rischio da una variazione generata dal modo in cui quel rischio è stato misurato.

È questo uno dei passaggi che meglio collega il secondo incontro al primo: per leggere un trend non basta disporre di molti dati; bisogna essere certi che quei dati continuino a misurare fenomeni confrontabili. La metodologia comune assume così una funzione ulteriore. Diventa un linguaggio condiviso attraverso il quale il Gruppo può leggere realtà differenti senza renderle artificialmente uguali. Ed è proprio la possibilità di osservare il rischio nel tempo a spostare il tema dalla fotografia alla dinamica.

Dalla fotografia del rischio alla sua evoluzione

Quello illustrato da Schippa è il modello di Risk Assessment “as is”. Ma il passaggio successivo è già visibile: rendere quella fotografia progressivamente più dinamica, granulare e capace di intercettare i cambiamenti. Il terzo e ultimo appuntamento, Mercoledì 14 ottobre alle ore 11:00, sarà dedicato ad Analytics & Automation e Continuous Improvement e ai nuovi requisiti AMLA.

Il focus si sposterà quindi dall’architettura del modello alla sua evoluzione: maggiore granularità degli indicatori, trend analysis, dashboard e lettura dinamica del rischio.

Una trasformazione tecnologica che procede insieme a quella regolamentare. I nuovi requisiti collegati ad AMLA sono destinati a incidere significativamente sul disegno dei modelli di Risk Assessment, spingendo ulteriormente verso standardizzazione metodologica, dataset comuni, integrazione IT e maggiore qualità del dato.

Il percorso iniziato dalla funzione di governance del Risk Assessment e passato attraverso il problema della comparabilità arriva così alla sua naturale evoluzione: non più soltanto misurare correttamente il rischio, ma costruire un modello capace di seguirne il movimento.