Le organizzazioni dispongono generalmente di un patrimonio informativo considerevole relativo a carenze, vulnerabilità e fenomeni ricorrenti nell’ambito della gestione dei rischi di criminalità finanziaria. Le relazioni dell’internal audit, il monitoraggio di compliance, le verifiche di qualità, le revisioni dei fascicoli, le analisi tematiche, gli esiti del monitoraggio delle transazioni, le risultanze investigative, i reclami, le segnalazioni di incidenti, le analisi legali, le valutazioni del rischio, i test sui controlli, i riscontri delle autorità di vigilanza e le informazioni direzionali possono, ciascuno, far emergere segnali rilevanti. La disponibilità di tali informazioni non implica, tuttavia, che l’organizzazione possieda automaticamente una visione coerente della natura effettiva, della gravità e dell’interconnessione delle problematiche individuate. Le risultanze sono spesso registrate in sistemi distinti, assegnate a diverse unità aziendali e descritte mediante definizioni, scale di rischio, classificazioni causali e criteri di chiusura non uniformi. Una carenza nel processo di accettazione della clientela può, pertanto, essere trattata come un’anomalia operativa circoscritta a uno specifico fascicolo, mentre carenze analoghe vengono qualificate altrove come debolezze normative interne, limitazioni dei sistemi, esigenze formative o carenze di governance. Quando tali osservazioni non vengono consolidate e valutate congiuntamente, l’organizzazione può attuare numerose azioni individuali senza acquisire una comprensione sufficiente delle cause più profonde che consentono ai medesimi rischi di criminalità finanziaria di ripresentarsi. La Gestione integrata dei rischi di criminalità finanziaria richiede, pertanto, un processo unitario nel quale le risultanze non siano semplicemente registrate, ma vengano interpretate come potenziali indicatori di debolezze strutturali riguardanti i processi decisionali, la qualità dei dati, l’attribuzione delle responsabilità, le competenze, la tecnologia, i sistemi incentivanti, la supervisione o la progettazione dei controlli.
La trasformazione dell’analisi in azione richiede, inoltre, un collegamento chiaro tra le attività di assurance, le decisioni assunte a livello dirigenziale e l’effettiva realizzazione del cambiamento. Una risultanza assume un’autentica rilevanza organizzativa soltanto quando risulta possibile determinare l’esposizione che ne deriva, i processi o gli ambiti giuridici interessati, i clienti, le transazioni o i prodotti potenzialmente coinvolti e l’intervento necessario per rimuovere in modo dimostrabile la causa sottostante. Tale processo richiede molto più della semplice designazione di un responsabile dell’azione o della registrazione di una futura data di completamento. Il management deve distinguere tra le situazioni che richiedono misure immediate di contenimento, le carenze che possono essere corrette attraverso un intervento tattico circoscritto e le debolezze strutturali che richiedono una revisione più ampia della governance, dei processi, dei sistemi, delle competenze o dei meccanismi decisionali. La prima linea deve determinare in che modo una risultanza incida sull’operatività quotidiana e individuare i vincoli pratici che possono influenzare le attività di rimedio. La seconda linea deve valutare se l’intervento proposto sia conforme alla normativa applicabile, alle aspettative delle autorità di vigilanza, agli standard interni e alla propensione al rischio definita dall’organizzazione. La terza linea deve stabilire, in piena indipendenza, se la gravità, l’estensione e la ricorrenza delle risultanze siano state rappresentate in misura adeguata e se la soluzione proposta sia idonea a produrre una riduzione sostenibile del rischio. La Gestione integrata dei rischi di criminalità finanziaria riunisce tali contributi all’interno di un processo di cambiamento controllato, nel quale priorità, responsabilità, risorse, dipendenze, requisiti probatori e momenti decisionali siano definiti con chiarezza sin dall’inizio. Tale impostazione evita che le attività di assurance conducano esclusivamente a risposte amministrative, a modifiche delle politiche interne prive di impatto operativo o a chiusure formali non accompagnate da un miglioramento dimostrabile della gestione dei rischi di criminalità finanziaria.
Una tassonomia integrata delle risultanze e delle carenze
Una tassonomia integrata costituisce il fondamento per una valutazione coerente delle risultanze nell’ambito della Gestione integrata dei rischi di criminalità finanziaria. In assenza di un quadro concettuale comune, carenze analoghe possono essere registrate e trattate in modo differente, con la conseguenza che i fenomeni ricorrenti rimangono nascosti e le informazioni direzionali restituiscono una rappresentazione frammentaria. Una risultanza può, ad esempio, riguardare l’assenza di informazioni sulla clientela, un’insufficiente verifica dei titolari effettivi, il tardivo approfondimento di segnalazioni relative alle transazioni, uno screening incompleto rispetto ai regimi sanzionatori, una documentazione inadeguata, un processo di escalation inefficace o una motivazione insufficiente delle decisioni. Qualora ciascuna unità aziendale registri tali debolezze utilizzando una propria terminologia, propri criteri di gravità e proprie classificazioni causali, diviene difficile stabilire se l’organizzazione sia confrontata con errori esecutivi isolati oppure con una problematica che interessa più entità o l’organizzazione nel suo complesso. Una tassonomia integrata deve, pertanto, distinguere tra la carenza osservabile, il rischio interessato, la causa sottostante, il controllo pertinente, l’estensione organizzativa e le potenziali conseguenze. Essa consente di collegare una risultanza alla fase rilevante del ciclo di vita del cliente o della transazione, all’ambito professionale interessato, all’entità giuridica coinvolta, alla giurisdizione applicabile, alla funzione responsabile e alla norma legale, regolamentare o interna sottostante. Una simile strutturazione permette di confrontare, all’interno di un unico quadro analitico, le risultanze provenienti dall’internal audit, dalla compliance, dalle indagini, dalle verifiche di qualità e dalle valutazioni esterne, senza perdere il contesto specifico della fonte originaria.
La tassonomia deve essere sufficientemente dettagliata da evidenziare differenze significative, senza divenire tanto complessa da trasformare la registrazione delle risultanze in una finalità autonoma. Un modello operativo comprende generalmente diversi livelli di classificazione tra loro collegati. Il primo livello descrive quanto è stato concretamente rilevato, come l’assenza di una valutazione del rischio, l’omessa esecuzione di un controllo, un’escalation incompleta o una deviazione rispetto a una procedura stabilita. Il secondo livello identifica il rischio di criminalità finanziaria interessato, tra cui riciclaggio di denaro, finanziamento del terrorismo, elusione delle sanzioni, frode, corruzione, criminalità fiscale, abusi di mercato o utilizzo improprio di persone giuridiche. Il terzo livello individua la categoria di controllo coinvolta, quale governance, adeguata verifica della clientela, monitoraggio delle transazioni, screening, gestione dei dati, attività investigative, processi di segnalazione, formazione, assicurazione della qualità o supervisione manageriale. Il quarto livello identifica la causa presunta, come standard non sufficientemente chiari, attuazione carente, risorse insufficienti, tecnologia inadeguata, dati mancanti, processi decisionali deboli o insufficiente attenzione da parte del management. Il quinto livello riguarda l’impatto e l’estensione, compresi il numero di fascicoli interessati, la durata della carenza, le giurisdizioni coinvolte e le possibili conseguenze per la clientela, le autorità e l’organizzazione. L’impiego coerente di tali livelli crea un quadro analitico nel quale le singole osservazioni possono essere aggregate senza eliminare sfumature sostanziali. Il management può così determinare se sintomi apparentemente distinti derivino da una medesima debolezza fondamentale.
Una tassonomia integrata svolge anche un’importante funzione sotto il profilo della governance e della tutela giuridica. Il modo in cui un’organizzazione classifica le proprie risultanze influenza i meccanismi di escalation, l’allocazione delle risorse, le comunicazioni agli organi di governo e il momento in cui una questione può essere considerata chiusa. Una classificazione eccessivamente ristretta può determinare una sottovalutazione dell’esposizione effettiva, mentre una classificazione troppo ampia può condurre a misure sproporzionate e a un impiego non sufficientemente mirato delle competenze disponibili. La tassonomia deve quindi essere allineata alla propensione al rischio dell’organizzazione, alla governance della Gestione integrata dei rischi di criminalità finanziaria e agli obblighi derivanti dalla normativa applicabile, dai quadri regolamentari, dalle politiche interne e dagli impegni contrattuali. Deve inoltre essere possibile individuare con chiarezza chi abbia definito la classificazione, quali informazioni siano state poste a fondamento della relativa decisione e quali incertezze permanessero in quella fase. Quando i fatti non sono ancora completi, deve poter essere adottata una classificazione provvisoria, successivamente modificabile sulla base di ulteriori verifiche. Una tassonomia accuratamente progettata supporta, pertanto, non soltanto l’analisi e la rendicontazione, ma anche l’adozione di decisioni difendibili. Essa consente all’organizzazione di spiegare agli stakeholder interni ed esterni perché determinate risultanze siano state raggruppate, perché altre osservazioni richiedano interventi distinti e in quale modo la classificazione prescelta abbia determinato una specifica priorità, strategia di rimedio e soglia probatoria.
Rilevanza e definizione delle priorità in funzione del rischio
Non tutte le risultanze giustificano il medesimo livello di attenzione da parte del management, la stessa urgenza o lo stesso investimento. Un’organizzazione può avere centinaia o persino migliaia di azioni ancora aperte, mentre soltanto una parte limitata di esse rappresenta l’esposizione più significativa ai rischi di criminalità finanziaria. In assenza di un approccio coerente alla rilevanza, le risorse disponibili possono essere allocate in funzione della visibilità del problema, della pressione interna, dell’anzianità della risultanza o della posizione gerarchica della funzione che l’ha segnalata. Carenze relativamente limitate possono, di conseguenza, essere risolte più rapidamente di debolezze che presentano un’esposizione giuridica, regolamentare, finanziaria o reputazionale sensibilmente superiore. La definizione delle priorità in funzione del rischio, nell’ambito della Gestione integrata dei rischi di criminalità finanziaria, richiede pertanto una valutazione che vada oltre il rating inizialmente attribuito dall’internal audit o dalla compliance. Tra i fattori rilevanti rientrano la natura del rischio interessato, la probabilità di utilizzo per finalità criminali, la dimensione della popolazione di clienti o transazioni potenzialmente coinvolta, la durata della carenza, l’esistenza e l’affidabilità di controlli compensativi, nonché la possibilità che obblighi di segnalazione, informazione o intervento non siano stati rispettati nei termini previsti. Anche il coinvolgimento di prodotti vulnerabili, strutture proprietarie complesse, giurisdizioni ad alto rischio, persone politicamente esposte, flussi di pagamento anomali o fornitori esterni può accrescere in misura sostanziale la rilevanza di una risultanza. Una carenza che appare limitata nel contesto di un singolo fascicolo può rappresentare una considerevole esposizione sistemica quando riguarda una popolazione più ampia sottoposta al medesimo processo.
La valutazione della rilevanza deve considerare sia le conseguenze attuali sia il rischio di futura escalation. Alcune carenze possono avere già determinato incidenti specifici, omissioni di segnalazione, transazioni con soggetti vietati, rilievi delle autorità di vigilanza o danni alla clientela. Altre possono non avere ancora prodotto un incidente visibile, ma creare condizioni nelle quali l’utilizzo abusivo dei servizi diviene più probabile o più difficile da individuare. Un sistema di monitoraggio delle transazioni non adeguatamente calibrato può, ad esempio, non avere dato luogo a incidenti dimostrabili per un periodo significativo, mentre la combinazione di scenari limitati, scarsa qualità dei dati e un’elevata popolazione di transazioni rivela un’esposizione latente rilevante. La Gestione integrata dei rischi di criminalità finanziaria impone che tali rischi non siano valutati esclusivamente alla luce dei danni già verificatisi. Devono essere considerate anche la velocità con cui il problema può evolversi, la possibilità di rilevare l’utilizzo abusivo, la reversibilità delle conseguenze e la capacità dell’organizzazione di intervenire tempestivamente. Le risultanze relative a termini legali di segnalazione, obblighi sanzionatori, conservazione delle prove o pregiudizio immediato per la clientela possono richiedere un intervento urgente anche quando il valore finanziario assoluto risulti contenuto. Risultanze caratterizzate da una minore urgenza immediata possono, nondimeno, giustificare un’elevata priorità strategica qualora evidenzino una governance strutturalmente inefficace, una supervisione non sufficientemente indipendente o ripetute deviazioni rispetto a standard precedentemente definiti.
La definizione delle priorità deve infine condurre a decisioni esplicite da parte del management e non può rimanere confinata a una valutazione tecnica del rischio. Il management deve stabilire quali questioni richiedano un contenimento immediato, quali interventi debbano essere completati in tempi brevi e quali miglioramenti strutturali debbano essere inclusi in un programma di trasformazione pluriennale. La valutazione sottostante deve rendere visibile il bilanciamento operato tra rischio, fattibilità, dipendenze, costi e riduzione attesa dell’esposizione. Una priorità elevata alla quale non siano associate risorse adeguate ha una portata pratica limitata, mentre una priorità bassa non può essere utilizzata per rinviare indefinitamente misure necessarie. La Gestione integrata dei rischi di criminalità finanziaria richiede quindi che le priorità siano collegate a specifici poteri decisionali, soglie di escalation, frequenze di rendicontazione e conseguenze definite in caso di ritardo. Quando un’azione non rispetta le tempistiche previste, l’organizzazione deve rivalutare se il rischio residuo rimanga accettabile e se siano necessari ulteriori controlli temporanei. Le priorità devono inoltre essere riesaminate periodicamente quando emergono nuovi fatti, la popolazione interessata risulta più ampia di quanto inizialmente stimato, le aspettative regolamentari evolvono o vengono individuate più risultanze comparabili. La definizione delle priorità rimane così un processo dinamico di governance, volto a concentrare l’attenzione sui rischi di criminalità finanziaria più rilevanti e a impedire che l’organizzazione sia gestita esclusivamente sulla base del numero amministrativo delle azioni ancora aperte.
Analisi delle cause profonde e delle debolezze sistemiche
Una strategia efficace di rimedio inizia con l’individuazione delle ragioni per cui una carenza si è verificata e delle ragioni per cui i controlli esistenti, i meccanismi di gestione o le procedure di escalation non sono stati in grado di prevenirla o individuarla tempestivamente. La causa immediata di una risultanza è spesso più semplice da identificare rispetto alla causa profonda. Un fascicolo cliente incompleto può, ad esempio, essere attribuito a un collaboratore che non ha acquisito un documento obbligatorio. Tale osservazione non chiarisce, tuttavia, perché il processo abbia consentito l’approvazione del fascicolo in assenza del documento, perché il sistema non abbia generato un controllo bloccante, perché le verifiche di qualità non abbiano individuato prima la carenza e perché errori analoghi possano interessare anche altri fascicoli. La Gestione integrata dei rischi di criminalità finanziaria richiede, pertanto, un’analisi che vada oltre la singola esecuzione e consideri la combinazione di fattori di governance, progettazione dei processi, dati, tecnologia, competenze, capacità, incentivi e comportamenti manageriali che hanno contribuito alla carenza. Un errore individuale può rappresentare il punto finale visibile di istruzioni poco chiare, obiettivi di performance confliggenti, formazione inadeguata, carichi di lavoro eccessivi, accesso limitato alle informazioni o una cultura nella quale le eccezioni vengono accettate senza un’adeguata motivazione. In assenza di una simile analisi più ampia, il rimedio si concentrerà sul sintomo, lasciando inalterate le condizioni che ne permettono la ricorrenza.
L’analisi delle cause profonde deve essere metodica, fondata su elementi fattuali e condotta con un approccio multidisciplinare. Essa può comprendere revisioni dei fascicoli, interviste, analisi dei dati, mappatura dei processi, valutazione della logica dei sistemi, confronti tra unità aziendali ed esame di precedenti incidenti o risultanze. Deve essere operata una distinzione tra i fattori che hanno originato la carenza, le circostanze che ne hanno ampliato l’estensione e le condizioni che ne hanno impedito una più tempestiva individuazione. Una politica inadeguata può costituire la causa originaria, un’attuazione carente può avere aggravato la problematica e informazioni direzionali insufficienti possono averne impedito la tempestiva rilevazione. Tali diversi fattori richiedono interventi distinti. La modifica di una politica non risolve una limitazione dei sistemi, mentre una formazione aggiuntiva non compensa l’assenza strutturale di dati. La Gestione integrata dei rischi di criminalità finanziaria deve quindi impedire il ricorso a soluzioni standardizzate prima che la causa sia stata sufficientemente approfondita. La formazione, la revisione delle politiche e l’introduzione di controlli aggiuntivi sono misure frequentemente utilizzate, ma riducono il rischio soltanto quando affrontano in modo dimostrabile il meccanismo che ha prodotto la carenza. Quando i collaboratori comprendono lo standard, ma il sistema non mette a disposizione le informazioni necessarie, un’ulteriore formazione produrrà un beneficio limitato. Quando il sistema funziona correttamente sul piano tecnico, ma gli incentivi commerciali scoraggiano l’escalation, l’intervento deve riguardare la governance, i processi decisionali e i meccanismi incentivanti.
La valutazione delle debolezze sistemiche richiede inoltre che le risultanze siano confrontate oltre i confini organizzativi. Un problema considerato locale all’interno di una funzione può presentarsi altrove in una forma differente. Relazioni di audit separate possono, ad esempio, rilevare una qualità insufficiente dei dati, responsabilità non adeguatamente definite e decisioni incoerenti in materia di eccezioni senza identificare tali osservazioni come elementi di un medesimo fenomeno. Collegando le risultanze attraverso una tassonomia integrata, la Gestione integrata dei rischi di criminalità finanziaria può determinare se esista una causa profonda comune. Quando la medesima carenza si ripresenta dopo precedenti interventi di rimedio, l’organizzazione deve esaminare perché tali misure non abbiano prodotto il risultato previsto. L’ambito originario può essere stato definito in termini troppo restrittivi, i criteri di chiusura possono essere stati insufficientemente orientati ai risultati, può essere mancata una validazione indipendente oppure la misura può non essere stata stabilmente incorporata nell’operatività successivamente alla sua consegna formale. Le debolezze sistemiche richiedono quindi interventi che vadano oltre un singolo piano d’azione. Possono rendere necessaria una redistribuzione delle responsabilità, un rafforzamento delle competenze, un miglioramento dei flussi di dati, una revisione dei poteri decisionali, una riprogettazione dei controlli o un adeguamento dei sistemi incentivanti del management. Un’approfondita analisi delle cause profonde consente di determinare il livello di intervento appropriato e impedisce che sintomi ricorrenti continuino a essere trattati come incidenti separati e privi di collegamento.
Misure immediate di contenimento e controlli temporanei
Quando una risultanza determina un’esposizione attuale o in rapido aumento, l’organizzazione non può attendere che una soluzione strutturale completa sia stata progettata e attuata. Le misure immediate di contenimento, nell’ambito della Gestione integrata dei rischi di criminalità finanziaria, sono finalizzate a limitare ulteriori danni, prevenire nuove violazioni e mantenere il controllo durante il periodo nel quale vengono condotti approfondimenti e interventi di rimedio più estesi. La natura della misura dipende dal processo interessato e dalle potenziali conseguenze. Tra gli interventi possibili rientrano la sospensione temporanea di determinate forme di accettazione della clientela, il blocco di specifiche categorie di transazioni, l’innalzamento dei livelli autorizzativi, l’introduzione di verifiche manuali, l’estensione delle attività di screening, la restrizione dei poteri di deroga o lo svolgimento di un’analisi retrospettiva mirata. Può inoltre risultare necessario preservare i dati e gli elementi di prova rilevanti, tutelare la posizione giuridica dell’organizzazione, valutare gli obblighi di segnalazione o comunicare tempestivamente con le autorità competenti. La scelta della misura di contenimento deve basarsi su una valutazione esplicita dell’urgenza, della proporzionalità e delle conseguenze indirette. Una misura che sospenda tutte le attività può ridurre il rischio, ma può anche arrecare pregiudizio alla clientela legittima, interferire con obblighi contrattuali e mettere sotto pressione la continuità operativa. L’organizzazione deve quindi individuare l’intervento minimo necessario per riportare l’esposizione sotto controllo in modo dimostrabile.
I controlli temporanei non devono essere considerati soluzioni informali che possano essere introdotte al di fuori dei meccanismi di governance esistenti. Anche in condizioni di forte pressione temporale, finalità, ambito di applicazione, responsabile, durata e momento di riesame devono essere chiaramente documentati. Una verifica manuale può essere efficace per un periodo limitato, ma un affidamento prolungato su tale soluzione può determinare errori esecutivi, vincoli di capacità e decisioni non uniformi. La Gestione integrata dei rischi di criminalità finanziaria richiede, pertanto, che le misure temporanee siano supportate da istruzioni operative chiare, risorse specialistiche adeguate, appropriati controlli di qualità e informazioni direzionali affidabili. Deve inoltre essere definito quali casi rientrino nell’ambito della misura, quali eccezioni siano eventualmente ammesse e chi sia autorizzato a decidere in merito. La prima linea deve monitorare la fattibilità operativa e individuare tempestivamente eventuali conseguenze indesiderate. La seconda linea deve valutare se la misura temporanea riduca in misura sufficiente l’esposizione legale, regolamentare e interna rilevante e se siano necessarie ulteriori restrizioni. Le funzioni legali devono, ove opportuno, analizzare le implicazioni contrattuali, in materia di protezione dei dati, di diritto del lavoro, di diritto penale e di contenzioso. La terza linea può valutare in modo indipendente se l’organizzazione applichi il controllo temporaneo in maniera coerente e se le affermazioni relative alla sua efficacia siano supportate da prove adeguate.
Le misure immediate di contenimento devono essere sempre collegate a un percorso verso il rimedio strutturale. Una misura temporanea che rimanga in vigore senza una chiara data di cessazione o senza criteri di uscita definiti può progressivamente diventare parte dell’operatività ordinaria. Ciò può determinare un affidamento prolungato su soluzioni costose, esposte a errori e difficili da controllare. L’organizzazione deve pertanto stabilire, già al momento dell’introduzione della misura temporanea, quale intervento strutturale sarà destinato a sostituirla, quali dipendenze sussistano e quali condizioni debbano essere soddisfatte prima che essa possa essere ritirata. L’efficacia della misura deve essere monitorata per tutta la durata della sua applicazione mediante indicatori quali il numero di fascicoli interessati, le anomalie individuate, i tempi di lavorazione, i tassi di errore e le escalation. Quando la misura si dimostra insufficiente, deve essere attivata un’escalation. Quando produce conseguenze sproporzionate, può essere necessario un adeguamento, senza compromettere il livello indispensabile di riduzione del rischio. La Gestione integrata dei rischi di criminalità finanziaria considera quindi i controlli temporanei come interventi formali, verificabili e sostenuti dal management. Essi creano lo spazio necessario per la progettazione di un rimedio strutturale accurato, ma non sostituiscono l’obbligo di rimuovere la causa sottostante.
Progettazione mirata delle misure di rimedio
Una misura di rimedio deve derivare direttamente dalla causa individuata, dall’ampiezza dell’esposizione e dal risultato perseguito. Formulazioni generiche, quali migliorare la consapevolezza, rafforzare le politiche interne o potenziare il monitoraggio, non forniscono indicazioni sufficienti per l’attuazione e la validazione. La Gestione integrata dei rischi di criminalità finanziaria richiede che ogni intervento descriva con precisione la modifica da realizzare, la popolazione alla quale essa si applica, la funzione responsabile dell’attuazione e il risultato dimostrabile da conseguire. Quando una carenza deriva da responsabilità poco chiare, può essere necessaria una revisione della governance e dei poteri decisionali. Quando i dati risultano mancanti o vengono trasferiti in modo non affidabile, l’intervento deve riguardare le definizioni dei dati, la qualità delle fonti, le interfacce, i meccanismi di validazione e l’attribuzione delle responsabilità. Quando i controlli non distinguono adeguatamente tra differenti livelli di rischio, l’organizzazione può dover rivedere la segmentazione, le soglie o i criteri di valutazione. La progettazione deve inoltre tenere conto della posizione dell’intervento nel più ampio sistema di gestione dei rischi di criminalità finanziaria. Un miglioramento locale può generare involontariamente nuove incoerenze qualora i processi collegati, i sistemi associati o le altre giurisdizioni non vengano considerati. Devono pertanto essere individuati preventivamente i segmenti della catena operativa, gli stakeholder e le dipendenze interessati dall’intervento.
Un rimedio mirato richiede al tempo stesso solidità sostanziale e fattibilità operativa. La misura deve soddisfare le aspettative legali e regolamentari, rimanendo nel contempo applicabile da parte dei collaboratori, compatibile con i sistemi disponibili e sufficientemente scalabile rispetto ai volumi di clienti e transazioni interessati. La prima linea svolge un ruolo centrale nel determinare se le modifiche proposte riflettano la realtà operativa ed evitino passaggi impraticabili, duplicazioni dei controlli o ritardi non necessari. La seconda linea deve valutare se l’intervento affronti adeguatamente i rischi di criminalità finanziaria rilevanti e se il rischio residuo rimanga entro i limiti della propensione al rischio. Gli specialisti in materia di tecnologia, dati, diritto e operazioni devono essere coinvolti quando l’intervento interessa i rispettivi ambiti. La Gestione integrata dei rischi di criminalità finanziaria impedisce così che il rimedio venga progettato esclusivamente da una funzione che disponga di una visibilità limitata a una sola parte della problematica. Devono essere considerati anche i fattori umani. Una soluzione tecnicamente adeguata può fallire quando le istruzioni rimangono poco chiare, le responsabilità continuano a essere ambigue o il comportamento del management non sostiene l’applicazione richiesta. Le fasi del processo, le funzionalità dei sistemi, la formazione, i controlli di qualità, la rendicontazione e l’escalation devono quindi essere progettati come un insieme coerente.
La progettazione del rimedio deve essere sufficientemente precisa da consentire, prima dell’attuazione, una valutazione della probabilità che l’intervento risulti efficace. Ciò richiede la definizione di assunzioni chiare, ipotesi di rischio, criteri di successo e scenari di test. Quando viene introdotto un processo revisionato di accettazione della clientela, l’organizzazione deve stabilire quale carenza il processo intenda prevenire, quali situazioni eccezionali possano verificarsi, come saranno documentate le decisioni e quali informazioni diverranno disponibili per le funzioni di supervisione. Quando viene modificato un modello di rilevazione, occorre esaminare quali rischi saranno identificati più efficacemente, quali falsi positivi potrebbero aumentare e come le prestazioni saranno monitorate successivamente all’implementazione. Progetti pilota, analisi dei dati, test di accettazione da parte degli utenti e controlli paralleli possono essere necessari prima che un’implementazione a livello dell’intera organizzazione risulti appropriata. Deve inoltre essere definito il trattamento dell’esposizione storica. Un nuovo controllo può prevenire carenze future, ma non corregge automaticamente fascicoli, transazioni o decisioni del passato. La Gestione integrata dei rischi di criminalità finanziaria richiede, pertanto, che il rimedio prospettico e la revisione retrospettiva siano pianificati separatamente. Una progettazione mirata collega prevenzione, rilevazione, correzione e supporto probatorio e stabilisce anticipatamente in quale modo l’organizzazione dimostrerà che l’intervento non sia stato soltanto consegnato, ma abbia prodotto un rafforzamento dimostrabile e sostenibile della gestione dei rischi di criminalità finanziaria.
Chiara attribuzione delle responsabilità e sponsorizzazione esecutiva
Un programma di rimedio può essere attuato efficacemente soltanto quando sia stato stabilito in modo inequivocabile chi è responsabile del conseguimento del risultato previsto, chi dispone dell’autorità necessaria per assumere le decisioni richieste e chi rimane responsabile a livello esecutivo qualora l’avanzamento, la qualità o la riduzione del rischio risultino insufficienti. Nell’ambito della Gestione integrata dei rischi di criminalità finanziaria, la responsabilità non può pertanto essere limitata alla mera attribuzione amministrativa di un’azione a un collaboratore, a un responsabile di progetto o a una funzione aziendale. Essa deve comprendere la piena responsabilità per l’adeguatezza sostanziale della soluzione, la disponibilità delle risorse necessarie, il coordinamento delle attività interdipendenti, la tempestiva escalation degli ostacoli e il conseguimento dimostrabile del risultato preventivamente definito. Il responsabile dell’azione deve disporre di autorità sufficiente, adeguata competenza specialistica e accesso diretto ai decisori rilevanti, così da poter determinare i cambiamenti necessari nella pratica. Quando una carenza interessa più unità aziendali, entità giuridiche, giurisdizioni, sistemi o ambiti professionali, l’attribuzione della responsabilità a una sola funzione operativa sarà raramente sufficiente. In tali circostanze deve essere designato un responsabile principale, incaricato di tutelare il carattere integrato del risultato e dotato dell’autorità necessaria per garantire che i contributi delle altre funzioni siano forniti tempestivamente, nella forma richiesta e secondo standard qualitativi coerenti. Deve inoltre essere definito con chiarezza quali soggetti siano responsabili dei singoli risultati intermedi, quali decisioni richiedano un’approvazione congiunta e quali questioni debbano essere sottoposte al senior management o all’organo di governo competente. Tale chiarezza impedisce che programmi di rimedio complessi perdano slancio perché le funzioni si rinviano reciprocamente le responsabilità, considerano determinate dipendenze esterne al proprio perimetro oppure presumono che un’altra parte dell’organizzazione gestirà l’esposizione residua.
La sponsorizzazione esecutiva è indispensabile per evitare che le risultanze rilevanti siano trattate come mere questioni tecniche, operative o di compliance. Le carenze strutturali nella gestione dei rischi di criminalità finanziaria possono incidere sulla strategia, sulla propensione al rischio, sul portafoglio clienti, sull’offerta di prodotti, sulla struttura dei costi, sull’ambiente informativo, sull’erogazione dei servizi commerciali e sui rapporti con le autorità di vigilanza, gli organi investigativi e le altre autorità competenti. Lo sponsor esecutivo deve quindi svolgere un ruolo più ampio della semplice ricezione periodica di informazioni sullo stato di avanzamento. Deve orientare attivamente la priorità, il perimetro, il livello di ambizione e le condizioni di attuazione del programma di rimedio. Ciò comprende l’assunzione di decisioni relative a risorse aggiuntive, finanziamenti, adeguamenti degli obiettivi commerciali, limitazioni temporanee di determinate attività e accettazione o rifiuto del rischio residuo. La Gestione integrata dei rischi di criminalità finanziaria richiede che lo sponsor esecutivo comprenda la causa profonda oggetto dell’intervento, le ragioni per cui la misura selezionata è ritenuta adeguata e le conseguenze che possono derivare da un ritardo nell’attuazione o da un’efficacia insufficiente della soluzione. Lo sponsor deve inoltre essere in grado di valutare se il programma di rimedio sia stato definito in modo eccessivamente ristretto, ad esempio quando viene modificata una sola componente del processo mentre carenze analoghe permangono in altre parti dell’organizzazione. Le carenze gravi, ricorrenti o aventi portata organizzativa generale possono richiedere una responsabilità congiunta tra più componenti del senior management o dell’organo di governo, con la designazione di un soggetto quale principale punto di responsabilità. Tale ripartizione deve rafforzare i processi decisionali e non deve tradursi in una frammentazione delle responsabilità o in incertezza circa il soggetto tenuto, in ultima istanza, a intervenire.
Un’effettiva attribuzione delle responsabilità richiede inoltre un processo di governance nel quale i progressi, gli scostamenti, le decisioni relative al rischio e gli interventi manageriali siano documentati in modo trasparente e possano essere ricostruiti successivamente. Il responsabile dell’azione deve riferire periodicamente in merito ai risultati conseguiti, alle attività ancora da completare, alle modifiche intervenute nella valutazione del rischio, alle dipendenze non risolte, all’utilizzo del budget e alla data prevista di completamento. Tale rendicontazione deve essere sufficientemente sostanziale da consentire di stabilire se siano stati realizzati progressi effettivi e non può limitarsi a indicazioni generiche quali conforme al piano, in ritardo o completato. Quando una tappa intermedia non viene rispettata, devono essere individuati la relativa causa, l’impatto sui rischi di criminalità finanziaria interessati e l’eventuale necessità di misure aggiuntive. La Gestione integrata dei rischi di criminalità finanziaria richiede che gli organi di governance non si limitino a prendere atto del ritardo, ma assumano decisioni esplicite riguardo a misure correttive, ridefinizione delle priorità, escalation, assegnazione di ulteriori risorse o introduzione di controlli temporanei. Deve inoltre rimanere chiaro quali rischi continuino a sussistere durante l’attuazione e chi abbia l’autorità per accettarli per un periodo definito. La seconda linea deve mantenere sufficiente autonomia per contestare l’avanzamento, la qualità e le ipotesi di rischio, mentre la terza linea deve poter valutare in modo indipendente se gli assetti di governance funzionino come previsto e se la responsabilità formale corrisponda al controllo concretamente esercitato. Ne deriva una struttura di responsabilità nella quale i responsabili delle azioni non vengono valutati soltanto sulla consegna di attività, ma sulla riduzione dimostrabile dei rischi di criminalità finanziaria rilevanti e sul rafforzamento sostenibile della Gestione integrata dei rischi di criminalità finanziaria.
Risorse, dipendenze e pianificazione dell’attuazione
La qualità di una misura di rimedio dipende non soltanto dalla solidità sostanziale della relativa progettazione, ma anche dalla disponibilità di risorse sufficienti per attuarla integralmente, entro le tempistiche richieste e secondo il livello qualitativo atteso. Molti programmi di rimedio subiscono ritardi o un deterioramento della qualità perché le capacità, i finanziamenti, i dati, le tecnologie o le competenze specialistiche necessarie vengono identificati soltanto quando l’attuazione è già iniziata. La Gestione integrata dei rischi di criminalità finanziaria richiede pertanto una valutazione tempestiva e realistica delle persone, delle competenze, dei sistemi, dei budget e del supporto esterno necessari per garantire il successo dell’intervento. Deve essere operata una distinzione tra le risorse necessarie per l’analisi, la progettazione, l’attuazione, i test, l’assicurazione della qualità, il risanamento dei dati, la formazione, la comunicazione e il supporto successivo all’implementazione. Una revisione sostanziale dei processi di adeguata verifica della clientela non può, ad esempio, essere realizzata esclusivamente da specialisti delle politiche interne. Può richiedere anche il coinvolgimento di esperti operativi, consulenti legali, analisti dei dati, sviluppatori tecnologici, specialisti di processo, formatori, responsabili dei controlli di qualità e personale dedicato alla revisione retrospettiva dei fascicoli esistenti. Quando i collaboratori disponibili risultano già pienamente impegnati nelle attività ordinarie, il management deve decidere espressamente quali attività saranno ridotte, differite, automatizzate o affidate a fornitori esterni. L’aggiunta di obblighi di rimedio ai carichi di lavoro esistenti, senza un corrispondente adeguamento delle priorità, accresce sensibilmente il rischio di ritardi, insufficiente qualità, sovraccarico del personale e deterioramento dei controlli ordinari. Un piano di rimedio credibile deve quindi individuare la quantità e la tipologia di impegno necessarie, il periodo durante il quale tali risorse dovranno rimanere disponibili e le ipotesi poste alla base delle relative stime.
Le dipendenze devono essere identificate e gestite con il medesimo livello di rigore. Un’azione di rimedio nell’ambito della Gestione integrata dei rischi di criminalità finanziaria opera raramente in modo isolato. L’attuazione di un nuovo controllo può dipendere da una fonte di dati gestita da un’altra funzione, da un programma tecnologico soggetto a una tempistica separata, dall’approvazione di un organo internazionale di governo, dalla consultazione con le rappresentanze dei lavoratori, da una modifica contrattuale riguardante un fornitore esterno oppure dall’analisi di specialisti in materia legale, di protezione dei dati o di sicurezza delle informazioni. Quando tali dipendenze non vengono identificate tempestivamente, un’azione può apparire formalmente realizzabile nonostante manchino condizioni preliminari essenziali. La Gestione integrata dei rischi di criminalità finanziaria richiede pertanto che ogni dipendenza critica sia associata a un responsabile chiaramente individuato, a un momento decisionale, a una data di consegna, a una procedura di escalation e, quando possibile, a una soluzione alternativa. Deve inoltre essere determinato in quale modo le diverse dipendenze interagiscano tra loro e quali attività non possano iniziare prima del completamento di una fase precedente. Un ritardo nell’ottenimento o nella validazione dei dati può, ad esempio, incidere sullo sviluppo dei sistemi, sui test, sulla formazione, sulla migrazione e sull’implementazione finale. Rendere visibili tali relazioni consente al management di individuare gli ambiti nei quali risultano necessari una maggiore direzione, un coordinamento più intenso o un’accelerazione. Permette inoltre di stabilire quali attività possano essere svolte parallelamente e quali controlli temporanei debbano essere introdotti quando la soluzione strutturale rimane subordinata a un programma di più lunga durata.
Un piano di attuazione deve rappresentare qualcosa di più di un semplice elenco di date di completamento. Deve suddividere il programma di cambiamento in momenti decisionali e fasi di consegna significativi, capaci di dimostrare il passaggio dall’analisi iniziale al funzionamento effettivo e verificabile della soluzione. Le fasi rilevanti possono comprendere la definizione del perimetro, l’analisi delle cause profonde, la progettazione, l’approvazione, lo sviluppo tecnico, il risanamento dei dati, i progetti pilota, l’implementazione, la formazione, il funzionamento iniziale, la stabilizzazione e la valutazione dell’efficacia. Ogni fase deve essere associata a risultati chiaramente definiti, standard qualitativi, poteri decisionali e requisiti di approvazione. La Gestione integrata dei rischi di criminalità finanziaria richiede inoltre che il piano sia collegato all’evoluzione del rischio residuo nel tempo. Quando una soluzione strutturale non sarà disponibile per un periodo significativo, il piano di attuazione deve indicare quali controlli temporanei rimarranno in vigore, chi ne sarà responsabile e quando la loro efficacia sarà nuovamente valutata. Gli scenari di ritardo devono essere esaminati anticipatamente, affinché le misure aggiuntive non vengano progettate soltanto dopo il mancato rispetto di una scadenza critica. Il piano deve altresì considerare i periodi di elevato carico operativo, le assenze, i cicli di rilascio dei sistemi, le migrazioni, gli altri programmi di trasformazione e le scadenze legali o regolamentari. Un piano che non tenga conto di tali fattori crea un’apparenza di prevedibilità priva di sufficiente fondamento operativo. Un piano di attuazione solido, al contrario, supporta processi decisionali trasparenti, rende governabili le dipendenze e consente al management di intervenire prima che le limitazioni di risorse, le criticità qualitative o i ritardi assumano carattere rilevante.
Indicatori di successo basati sui risultati
Un intervento di rimedio non può essere considerato efficace per il solo fatto che una politica sia stata modificata, un miglioramento tecnologico sia stato introdotto, una formazione sia stata completata o un determinato numero di fascicoli sia stato riesaminato. Tali attività possono costituire componenti necessarie dell’intervento, ma non dimostrano che la carenza sottostante sia stata eliminata o che il rischio di criminalità finanziaria interessato sia stato concretamente ridotto. La Gestione integrata dei rischi di criminalità finanziaria richiede pertanto indicatori di successo basati sui risultati, capaci di definire il cambiamento da conseguire nei comportamenti, nell’esecuzione dei processi, nella performance dei controlli, nella qualità dei dati o nei processi decisionali. Ogni indicatore deve essere direttamente collegato alla causa profonda individuata e all’effetto perseguito dall’intervento. Quando una carenza riguarda un’adeguata verifica della clientela incompleta, il successo non può essere valutato esclusivamente verificando che siano state pubblicate procedure revisionate. L’organizzazione deve stabilire se i fascicoli siano divenuti sostanzialmente più completi, se gli indicatori di rischio rilevanti vengano individuati e approfonditi tempestivamente, se le deroghe siano adeguatamente motivate e se le approvazioni vengano rilasciate in conformità ai livelli autorizzativi applicabili. Quando una debolezza riguarda il monitoraggio delle transazioni, gli indicatori devono considerare la copertura degli scenari di rischio pertinenti, la qualità e completezza dei dati sottostanti, la tempestiva gestione degli alert, la qualità delle attività investigative e la capacità di individuare schemi anomali significativi. Gli indicatori devono quindi dimostrare l’effettivo funzionamento della misura e non soltanto il completamento delle attività progettuali associate.
Indicatori di successo efficaci combinano informazioni quantitative e qualitative. Gli indicatori quantitativi possono riguardare tassi di errore, tempi di lavorazione, arretrati, tempestività delle escalation, completezza dei fascicoli, numero e tipologia delle deroghe, risultanze ricorrenti ed esiti dei test sui controlli. Tali dati devono tuttavia essere interpretati con cautela. Una diminuzione del numero di segnalazioni o di alert può riflettere un miglioramento della prevenzione, ma può anche indicare un indebolimento della capacità di rilevazione o una soppressione inappropriata dei segnali. Un aumento delle escalation può evidenziare una crescita del rischio, ma può anche dimostrare una maggiore consapevolezza e un’applicazione più coerente degli standard richiesti. La Gestione integrata dei rischi di criminalità finanziaria impone quindi che i dati quantitativi siano valutati insieme ad analisi qualitative, revisioni dei fascicoli, interviste, informazioni sull’andamento nel tempo e confronti tra unità aziendali, entità e giurisdizioni. Devono inoltre essere definiti il livello di partenza precedente all’attuazione e il livello di performance atteso dopo l’introduzione dell’intervento. In assenza di una base di riferimento affidabile, risulta difficile dimostrare che il miglioramento osservato sia effettivamente attribuibile alla misura adottata. Devono essere stabilite preventivamente anche soglie di tolleranza. L’assenza totale di errori può non risultare realistica in ogni contesto operativo, ma qualsiasi margine accettato deve riflettere la gravità del rischio, gli obblighi legali e regolamentari applicabili e le potenziali conseguenze di una carenza.
Gli indicatori basati sui risultati devono essere monitorati per un periodo sufficientemente lungo da consentire di stabilire se il miglioramento sia sostenibile. Un miglioramento temporaneo immediatamente successivo a una formazione intensiva, a una maggiore attenzione manageriale o a controlli di qualità svolti nell’ambito di un progetto può ridursi quando l’organizzazione ritorna alle condizioni operative ordinarie. La Gestione integrata dei rischi di criminalità finanziaria richiede pertanto che l’efficacia venga valutata in condizioni di carico normale, durante i periodi di maggiore attività, a seguito di cambiamenti del personale e in situazioni che coinvolgano deroghe, transazioni anomale o strutture di clientela complesse. La valutazione deve inoltre esaminare se i collaboratori comprendano il nuovo approccio, se i sistemi mettano a disposizione le informazioni necessarie e se il management intervenga coerentemente quando la performance scende al di sotto dello standard richiesto. Quando il risultato atteso non viene conseguito, deve essere determinato se la progettazione dell’intervento sia carente, se l’attuazione rimanga incompleta, se le risorse siano insufficienti o se le circostanze esterne siano mutate. Un indicatore di successo non deve essere modificato retroattivamente al solo fine di agevolare una chiusura formale, salvo che venga effettuata una ricalibrazione sostanzialmente giustificata, adeguatamente documentata e approvata attraverso il processo di governance competente. Gli indicatori devono inoltre essere progettati in modo da evitare incentivi inappropriati, come la valorizzazione della rapidità a discapito della qualità sostanziale o l’induzione dei collaboratori a ridurre artificiosamente il numero delle deroghe segnalate. Indicatori correttamente progettati favoriscono comportamenti responsabili, consentono di individuare tempestivamente eventuali deterioramenti e forniscono elementi probatori convincenti del fatto che la Gestione integrata dei rischi di criminalità finanziaria sia stata concretamente rafforzata.
Validazione indipendente e chiusura basata su elementi probatori
La chiusura formale di un’azione di rimedio non deve dipendere esclusivamente dalla dichiarazione del relativo responsabile secondo cui le attività richieste sono state completate. La funzione incaricata della progettazione e dell’attuazione dell’intervento ha un interesse intrinseco a conseguire una chiusura tempestiva e può, anche in assenza di un’intenzione deliberata, attribuire maggiore rilevanza alle attività completate rispetto alle limitazioni o alle incertezze ancora presenti. La Gestione integrata dei rischi di criminalità finanziaria richiede pertanto una valutazione indipendente volta a stabilire se la misura sia stata integralmente attuata, se operi conformemente alla progettazione approvata e se riduca in modo dimostrabile il rischio che era destinata ad affrontare. Il livello di indipendenza richiesto deve essere proporzionato alla gravità, alla complessità e all’estensione della risultanza originaria. Per una carenza limitata, una funzione di controllo qualità esterna al team di attuazione può garantire sufficiente distanza. Per una questione rilevante, ricorrente o avente portata organizzativa generale, può essere necessaria la validazione da parte della seconda linea, di una funzione di testing indipendente, dell’internal audit o di uno specialista esterno. Il soggetto incaricato della validazione non deve essere stato responsabile della consegna del risultato sottoposto a verifica e deve disporre di accesso adeguato ai sistemi, ai fascicoli, ai collaboratori, alla documentazione decisionale e ai dati sottostanti. Deve inoltre essere libero di richiedere informazioni aggiuntive, ampliare il perimetro o il campione delle verifiche e concludere che l’intervento non sia ancora sufficientemente efficace.
La chiusura basata su elementi probatori richiede che gli standard documentali e i requisiti di prova applicabili siano definiti sin dall’avvio del programma di rimedio. Il responsabile dell’azione deve costruire un fascicolo probatorio controllato durante l’intero processo, anziché stabilire soltanto alla fine quali documenti risultino disponibili. Tale fascicolo può comprendere decisioni relative alle politiche interne, descrizioni dei processi, documentazione dei sistemi, approvazioni progettuali, risultati dei test, registri della formazione, analisi dei dati, revisioni dei fascicoli, feedback degli utenti, decisioni del management e relazioni sull’efficacia operativa. La Gestione integrata dei rischi di criminalità finanziaria richiede elementi probatori che dimostrino non soltanto l’esistenza della misura, ma anche la sua applicazione coerente nella pratica e il conseguimento del risultato previsto. Un nuovo campo di sistema o un nuovo flusso operativo possono dimostrare che determinate informazioni possono essere registrate, ma non provano che i collaboratori le utilizzino costantemente o che tali informazioni incidano in modo sostanziale sui processi decisionali. Un registro di partecipazione a un corso dimostra la presenza dei collaboratori, ma non la loro comprensione né la corretta applicazione dello standard rilevante. Le diverse fonti probatorie devono pertanto completarsi reciprocamente e fornire congiuntamente una dimostrazione convincente dell’attuazione e dell’efficacia della misura. La validazione deve riguardare anche le deroghe, le soluzioni temporanee, gli arretrati residui, le migrazioni incomplete e le situazioni nelle quali la misura revisionata non sia stata ancora applicata all’intera popolazione rilevante. Quando determinati elementi del rimedio rimangono incompleti, la chiusura deve essere rinviata oppure espressamente limitata alla parte il cui completamento sia stato dimostrato.
Una decisione di chiusura deve essere sostanzialmente motivata e assunta al livello di governance appropriato. Deve identificare la carenza originaria, gli interventi eseguiti, le attività di validazione svolte, i risultati ottenuti e il rischio residuo ancora presente. La Gestione integrata dei rischi di criminalità finanziaria richiede che tutte le limitazioni, le ipotesi e le incertezze rilevanti siano documentate in modo trasparente. Quando le informazioni sull’efficacia coprono soltanto un periodo limitato, l’organizzazione deve determinare se siano necessari un monitoraggio rafforzato o ulteriori test successivamente alla chiusura formale. Quando una popolazione residua limitata non sia stata ancora oggetto di rimedio, può essere necessario predisporre un’azione distinta e un apposito sistema di controllo. La risultanza originaria non deve essere chiusa amministrativamente mentre la medesima vulnerabilità sottostante continua a esistere in un’altra forma o in un altro ambito dell’organizzazione. Deve inoltre essere valutato se carenze analoghe possano ripresentarsi altrove. La terza linea deve preservare la propria indipendenza e non può essere obbligata a sostenere la chiusura per il solo fatto che un programma abbia raggiunto una scadenza esecutiva o un impegno reso pubblico. Una decisione motivata di non procedere alla chiusura costituisce un elemento essenziale di un’assurance efficace e tutela l’organizzazione da dichiarazioni premature di successo. Una chiusura fondata su elementi probatori rende il rimedio difendibile di fronte agli organi di governo, alle autorità di vigilanza, agli auditor, alle autorità giudiziarie, alla clientela e agli altri stakeholder e conferma che la verifica indipendente ha condotto a un miglioramento dimostrabile.
Insegnamenti acquisiti e miglioramento continuo
Ogni risultanza rilevante e ogni intervento di rimedio completato producono informazioni che possono essere utilizzate oltre il processo o l’unità aziendale nei quali la problematica è stata inizialmente individuata. La Gestione integrata dei rischi di criminalità finanziaria richiede pertanto una valutazione sistematica degli insegnamenti potenzialmente rilevanti per altre popolazioni di clienti, prodotti, giurisdizioni, sistemi, entità giuridiche e ambiti professionali. Una carenza nell’adeguata verifica della clientela può, ad esempio, indicare debolezze più ampie riguardanti le definizioni dei dati, l’esternalizzazione, i processi decisionali, l’escalation o l’assicurazione della qualità, parimenti rilevanti in altre parti dell’organizzazione. Quando gli insegnamenti rimangono confinati nel piano d’azione originario, una parte significativa della conoscenza organizzativa viene perduta e carenze comparabili possono emergere altrove. Un processo strutturato di trasferimento della conoscenza deve quindi stabilire quali informazioni presentino una portata più ampia, quali modifiche alle politiche, alle metodologie o alle tecnologie risultino necessarie e quali funzioni debbano ricevere e applicare tali informazioni. La valutazione non deve concentrarsi esclusivamente su quanto non ha funzionato. Deve anche individuare gli interventi che si sono dimostrati efficaci, le forme di collaborazione interfunzionale che hanno creato maggiore valore e i segnali che avrebbero potuto consentire un’individuazione più tempestiva della problematica. Tali insegnamenti possono essere integrati nelle valutazioni aziendali del rischio, nei repertori dei controlli, nei programmi di formazione, nei piani di monitoraggio, nei piani di internal audit, nei processi di approvazione dei prodotti e nei futuri programmi di cambiamento.
Il miglioramento continuo richiede inoltre un’analisi periodica, a livello organizzativo, delle tendenze, dei fenomeni ricorrenti e dell’efficacia degli interventi precedenti. Una diminuzione del numero complessivo delle risultanze aperte non dimostra automaticamente un rafforzamento della Gestione integrata dei rischi di criminalità finanziaria. Un numero ridotto di risultanze può derivare anche da una copertura limitata dei test, da verifiche non sufficientemente critiche, da classificazioni incoerenti o da criteri di chiusura eccessivamente accelerati. L’organizzazione deve pertanto riferire non soltanto quante azioni rimangano aperte o siano state chiuse, ma anche quali tipologie di carenza si ripresentino, quali cause profonde siano più frequenti, quali unità aziendali registrino ritardi ricorrenti e quali misure di rimedio non producano l’effetto perseguito. Deve inoltre essere esaminato il periodo intercorrente tra l’insorgenza della carenza, la sua prima individuazione, l’escalation, l’avvio del rimedio e la chiusura finale. Tempi di individuazione o di risposta particolarmente lunghi possono rivelare debolezze nel monitoraggio, nella condivisione delle informazioni, nell’escalation o nella governance. Il confronto tra periodi, unità aziendali, entità, giurisdizioni e categorie di rischio può evidenziare gli ambiti nei quali è necessaria una maggiore attenzione manageriale. Tale analisi deve essere utilizzata per adeguare i piani di assurance, le decisioni di investimento e le priorità esecutive, in modo che le risorse limitate siano indirizzate verso le aree che presentano il maggiore potenziale di miglioramento strutturale e di significativa riduzione del rischio.
Un’organizzazione orientata al miglioramento continuo non considera l’assurance come una verifica conclusiva e retrospettiva, ma come una fonte rilevante di informazioni strategiche e operative. Risultanze, incidenti, indagini, riscontri regolamentari e risultati delle attività di rimedio devono essere valutati congiuntamente per verificare le ipotesi relative ai rischi di criminalità finanziaria e riesaminare periodicamente la progettazione e il funzionamento della Gestione integrata dei rischi di criminalità finanziaria. Con l’emergere di nuove tipologie criminali, tecnologie, prodotti, metodi di pagamento o canali distributivi, gli insegnamenti derivanti da precedenti carenze possono favorire un’individuazione più tempestiva delle vulnerabilità e un adeguamento più proattivo dei controlli. Anche gli sviluppi esterni, tra cui modifiche legislative, decisioni regolamentari, provvedimenti sanzionatori, pronunce giurisdizionali ed evoluzione delle modalità operative criminali, devono essere collegati all’esperienza interna. Il miglioramento continuo richiede una cultura nella quale le carenze possano essere segnalate tempestivamente, le osservazioni critiche siano esaminate con serietà e il management rimanga disponibile a riconsiderare decisioni, controlli e presupposti commerciali consolidati. L’obiettivo non consiste nel creare un ambiente nel quale non emergano risultanze, ma nel costruire un’organizzazione capace di individuare precocemente le proprie debolezze, valutarne rigorosamente la portata e trarre insegnamenti dimostrabili da ogni intervento. Quando le conoscenze generate dalle attività di assurance vengono sistematicamente trasformate in processi decisionali migliori, competenze più solide, controlli più efficaci e priorità maggiormente focalizzate, la Gestione integrata dei rischi di criminalità finanziaria diviene capace non soltanto di rispondere alle carenze esistenti, ma anche di adattarsi costantemente all’evoluzione dei rischi, delle aspettative e delle realtà operative.
