Dalla visibilita del rischio alle decisioni aziendali corrette per il rischio

E se il rischio potesse essere misurato con la stessa continuita del fatturato — e comparire nell’economia di ogni prodotto e servizio?

La maggior parte dei framework di rischio operativo racconta cio che e gia andato storto. Gli eventi vengono registrati, le perdite contabilizzate, gli indicatori di rischio rivisti a cadenza, gli scenari aggiornati periodicamente, e il consiglio riceve un quadro aggregato alcune settimane dopo il periodo che descrive. Tutto questo e necessario. Molto poco e attuale.

L’alternativa non e abbandonare quei framework, ma aggiungere una seconda visione: il rischio misurato vicino al punto in cui si genera davvero — per prodotto, per servizio, per volume di transazioni e per ambiente operativo che lo sostiene — e aggiornato con una frequenza tale da poter influenzare le decisioni mentre sono ancora aperte.

Questa e la premessa del Risk Accounting, una metodologia sviluppata e pubblicata dal Risk Accounting Standards Board. VODIS opera sul lato implementativo: tradurre il metodo in un modello operativo, rendere disponibili i dati, costruire la vista per il management e — come passaggio distinto, che appartiene a VODIS e non allo standard — esplorare cosa significhi il rischio misurato per l’economia di un prodotto.

Perche una visione retrospettiva non basta

Un report trimestrale di rischio risponde bene alla domanda "che cosa e successo?". Risponde male a "che cosa si sta accumulando ora, e in quale prodotto?", e praticamente per nulla a "che effetto avrebbe questa decisione sul nostro rischio?".

Le conseguenze pratiche sono familiari a gran parte delle funzioni rischio e finanza:

  • La crescita viene approvata prima che qualcuno verifichi se i controlli scalano con essa.
  • Due prodotti vengono confrontati sul margine, senza una misura comparabile del rischio che ciascuno sostiene.
  • Le debolezze di controllo sono note alla prima linea molto prima di comparire in una nota al consiglio.
  • Le azioni correttive vengono ordinate per rilievo di audit o forza negoziale, non per esposizione.
  • Le scelte di esternalizzazione si decidono sul costo, con l’effetto sul rischio descritto solo in termini qualitativi.

Misurare il rischio dove si genera

Il passaggio consiste nel non misurare piu il rischio dopo che si e materializzato, ma nel misurare l’esposizione di un’attivita mentre viene svolta. Tre elementi la determinano: cosa sia strutturalmente quel prodotto o servizio, quanto di esso venga svolto, e quanto bene funzioni davvero l’ambiente di controllo che lo circonda.

Espresso in questo modo, il rischio diventa comparabile tra portafogli, invece di essere descritto separatamente per ciascuna componente.

Risk Accounting e la Risk Unit

Il Risk Accounting e sviluppato e pubblicato dal Risk Accounting Standards Board (RASB), che si descrive come organismo di normazione indipendente, di base accademica e professionale, ospitato presso la Durham University Business School. Le definizioni che seguono provengono dal RASB.

Il metodo esprime il rischio non finanziario in una denominazione comune, cosi che esposizioni diverse possano essere sommate e confrontate:

  • Risk Unit (RU) — la misura standard del RASB, che rappresenta l’esposizione non finanziaria in una denominazione comune.
  • Inherent Risk (rischio inerente) — l’esposizione lorda, prima di considerare controlli e mitigazione.
  • Exposure Uncertainty Factor (EUF) — rappresenta le caratteristiche strutturali di rischio e l’incertezza dell’attivita, del prodotto, del servizio o del processo definito, come complessita, dipendenze operative e stabilita dell’ambiente.
  • Value-Based Weighting — il volume osservabile o la dimensione delle transazioni informa la ponderazione relativa dell’unita. Il RASB precisa esplicitamente che cio non afferma alcuna causalita meccanica, proporzionale o predittiva rispetto alle perdite finali.
  • Risk Mitigation Index (RMI) — un indice empirico, dinamico e verificabile dell’efficacia dei controlli, espresso da 0 a 100 %.
  • Residual Risk (rischio residuo) — l’esposizione netta che resta dopo la mitigazione, anch’essa espressa in Risk Unit.

La logica pubblicata procede in questo ordine: l’esposizione strutturale, combinata con l’attivita di business e la sua ponderazione, produce il rischio inerente in Risk Unit; l’applicazione dell’indice di efficacia dei controlli produce il rischio residuo nella stessa unita.

Due precisazioni contano qui, e VODIS le dichiara invece di sorvolarci. Il RASB pubblica la struttura del metodo ma non le sue scale e formulazioni dettagliate nei materiali pubblici; questa pagina non riporta quindi numeri che non puo documentare. E il RASB e esplicito: misurazione, valorizzazione monetaria e rilevazione contabile sono questioni collegate ma distinte — una Risk Unit e una misura di esposizione, non un importo in denaro.

Una vista di management aggiornata in continuo

Quando l’esposizione e espressa in un’unita unica e gli input provengono dai sistemi anziche da un questionario periodico, la misurazione puo aggiornarsi molto piu spesso di quanto consenta un ciclo di reporting — in tempo reale o quasi, laddove i dati sottostanti e l’architettura implementativa lo sostengano davvero. La riserva e deliberata: in gran parte delle organizzazioni alcuni input sono automatizzati e altri no, e la risposta onesta e che la frequenza di aggiornamento segue i dati.

Dove funziona, cambiano le domande che il management puo porre:

  • Dove sta crescendo l’esposizione piu rapidamente dei controlli che la circondano?
  • Quali prodotti e servizi sostengono il maggior rischio residuo, misurato allo stesso modo?
  • La crescita di questa linea aumenta l’esposizione piu rapidamente del ricavo?
  • Il rischio residuo e peggiorato rispetto al mese scorso, e in quale area di controllo?
  • Quali controlli sono dimostrabilmente efficaci e quali esistono solo in una policy?
  • Quale azione rimuoverebbe piu esposizione con il minore sforzo?
  • I volumi o i limiti di questa attivita vanno rivisti ora, invece che alla prossima revisione?

Dalle Risk Unit all’economia del rischio

Questa sezione descrive un’ipotesi implementativa di VODIS. Non fa parte dello standard RASB, e nulla di quanto segue va letto come posizione del RASB.

Il Risk Accounting produce una misura di esposizione. Le decisioni di management, invece, si prendono quasi sempre in denaro. Il ponte che VODIS vuole costruire e uno strato di traduzione deliberato e chiaramente etichettato: prendere il rischio inerente e residuo misurati in modo coerente e mapparli — con ipotesi validate, la storia delle perdite proprie dell’organizzazione e una valutazione prospettica — su un costo economico stimato del sostenere quel rischio.

Dove questa traduzione tiene, il rischio puo entrare direttamente nell’economia di prodotto invece di restarne accanto:

  • costo operativo
  • costo del funding e del capitale, dove pertinente
  • costo di vendita e di servizio
  • costo economico stimato del rischio
  • margine obiettivo

Si tratta di un modello di management, non di uno standard contabile ne di una previsione di perdita. La stima vale quanto le ipotesi che la sostengono, e tali ipotesi vanno rese esplicite perche possano essere contestate, versionate e verificate contro la realta. VODIS tratterebbe un modello del genere come qualcosa da validare insieme alle funzioni rischio e finanza, non come una consegna a scatola chiusa.

Pricing e redditivita corretti per il rischio

Quando il costo del rischio puo essere stimato per prodotto, diverse decisioni normalmente qualitative diventano comparabili:

  • Redditivita di prodotto corretta per il rischio, invece del margine ante rischio.
  • Pricing che riflette il rischio effettivamente sostenuto da un prodotto.
  • Confronto tra clienti, segmenti e canali, nei limiti consentiti dai dati.
  • Decisioni di portafoglio su quali prodotti crescere, ri-prezzare, ridisegnare o dismettere.
  • Definizione di volumi e limiti basata sull’esposizione, non solo sul risk appetite.
  • Investimento in controlli valutato rispetto all’esposizione che eliminerebbe.
  • Scelte di esternalizzazione e di fornitura con l’effetto sul rischio incorporato nel prezzo.
  • Ridisegno dei processi dove riduce maggiormente l’esposizione.

Lo schema che emerge spesso e noto, e qui viene descritto in termini qualitativi perche i numeri reali sono specifici di ciascuna organizzazione. Un prodotto puo apparire molto redditizio ante rischio e molto meno una volta sostenuto il costo del suo rischio residuo. La stessa logica vale al contrario: un investimento in controlli che riduce il rischio residuo puo migliorare il contributo corretto per il rischio di un prodotto, e talvolta creare spazio per un pricing piu competitivo invece che piu caro.

Rischio esistente e rischio potenziale

Un framework di misurazione e piu utile se si puo calcolare in avanti e non solo a ritroso. Quattro elementi vanno tenuti distinti:

  • Esposizione attualmente osservata — cio che il business sostiene oggi.
  • Rischio inerente — esposizione lorda, prima dei controlli.
  • Rischio residuo — cio che resta dopo la mitigazione.
  • Rischio potenziale — cio che l’esposizione diventerebbe con volumi diversi, nuovi prodotti, controlli modificati, altra esternalizzazione o in uno scenario definito.

E l’ultima categoria a dare al metodo un posto nella discussione di management. Sostiene domande come: che succede alla nostra economia corretta per il rischio se i volumi di transazione raddoppiano? Quale effetto ha un’efficacia dei controlli in calo in quest’area? Il margine di questo prodotto e adeguato al rischio che accettiamo? Migliorare questo controllo costerebbe meno che continuare a sostenere il rischio residuo? Sono domande di supporto alle decisioni. Non sono previsioni garantite e non vanno presentate come tali a un consiglio.

Un ciclo di management continuo

Usato correttamente, non e un esercizio di reporting ma un ciclo che continua a girare:

  • Misurare — esprimere l’esposizione in modo coerente tra prodotti e servizi.
  • Quantificare — produrre rischio inerente e residuo in un’unita comune.
  • Confrontare — ordinare e mettere a confronto l’intero portafoglio.
  • Tradurre — stimare l’effetto economico, con ipotesi dichiarate.
  • Decidere — al livello a cui la decisione effettivamente appartiene.
  • Agire — mitigare, ri-prezzare, ridisegnare o limitare.
  • Misurare di nuovo — e verificare se l’azione ha spostato il numero.

L’ultimo passo e quello piu spesso omesso ed e quello che rende credibile il resto: se un investimento in controlli non muove il rischio residuo, questa e un’informazione importante.

Risk Accounting Standards Board

La metodologia del Risk Accounting, la sua terminologia e la sua attivita di normazione sono sviluppate e pubblicate dal Risk Accounting Standards Board. Il RASB e la fonte autorevole per il metodo stesso, e il suo sito e i suoi white paper sono il riferimento con cui VODIS lavora — comprese le pubblicazioni sulla misurazione del rischio operativo prima che diventi perdita e le proposte sul trattamento contabile delle Risk Unit.

VODIS e una practice di implementazione e integrazione. VODIS non ha inventato il Risk Accounting, non possiede la metodologia e non dichiara di essere un partner di implementazione accreditato dal RASB.

Scopri il Risk Accounting presso il RASB — rasb.org

Dove contribuisce VODIS

La metodologia e il punto di partenza, non il risultato. Farla funzionare in un’organizzazione reale e un programma di implementazione e integrazione — ed e esattamente la parte di cui si occupa VODIS:

  • Tradurre la metodologia in un modello operativo e una governance sostenibili.
  • Costruire l’inventario di prodotti e servizi su cui si basa la misurazione.
  • Reperimento e integrazione dei dati, inclusa la connessione ai sistemi transazionali.
  • Progettazione della tassonomia di rischio e del modello dati.
  • Mappatura di processi e controlli e le evidenze di efficacia dei controlli.
  • Architettura tecnologica, automazione e il percorso verso la frequenza di aggiornamento.
  • Dashboard e reporting di management che un consiglio usi davvero.
  • Integrazione con il reporting di rischio, finanza e management esistente, non accanto a esso.
  • Economia di prodotto corretta per il rischio, costruita come modello esplicito e contestabile.
  • Un’implementazione pilota in perimetro limitato prima di qualsiasi impegno aziendale.
  • Il programma di cambiamento e la governance che lo circondano.

Un punto di partenza sensato

La prima conversazione piu utile e circoscritta: una linea di prodotto o un’area operativa, i dati che gia esistono per essa, e le decisioni che il management prenderebbe diversamente se l’esposizione fosse misurata in modo coerente e aggiornata piu spesso.

Da li e di norma rapido dire se un pilota delimitato valga la pena, quale lavoro sui dati richieda e cosa servirebbe per collegarne l’esito all’economia che l’azienda gia governa.

Parliamo della misurazione dei rischi operativi