Rapporto esplicativo

Revisione dell’ordinanza sulle banche (OBCR)

«Autorizzazione nell’ambito della tecnofinanza»

In queste eventualità la FINMA deve avere la facoltà di autorizzare eccezioni e di subordinarle a determinate condizioni. In tale ambito le deroghe devono poter essere concesse soprattutto nella fase di start up, in cui l’adempimento delle condizioni comporta maggiori difficoltà. Una possibile applicazione sarebbe per esempio se i fondatori di un’impresa tecnofinanziaria potessero coinvolgere investitori professionisti (venture capitalist) in grado di controbilanciare in modo sufficiente l’influenza dei fondatori stessi. In questi e in casi analoghi sono ipotizzabili degli allentamenti in relazione al requisito dell’indipendenza.

Art. 14e Compliance e gestione dei rischi

Capoverso 1

Analogamente a quanto previsto per le banche, anche le persone di cui all’articolo 1b LBCR devono assicurare che le leggi e le esigenze normative vengano rispettate, il che deve essere garantito mediante una funzione di compliance. Inoltre, i rischi collegati all’attività svolta devono essere individuati, valutati, gestiti e sorvegliati, il che richiede una gestione dei rischi efficace. Contrariamente alle banche, a causa della diversa esposizione al rischio, le persone di cui all’articolo 1b LBCR non devono soddisfare alcuna esigenza in termini di liquidità e fondi propri (cfr. parte successiva, commento all’art. 17a). Tuttavia anch’esse sono esposte a rischi operativi e per la reputazione di cui devono tenere conto (tra i quali rientra p. es. il rischio di attacco hacker ai sistemi informatici senza che vengano eseguiti accessi non autorizzati a causa di errori di programmazione). I rischi operativi possono essere definiti secondo l’articolo 89 OFoP, come il «pericolo di perdite consecutive all’inadeguatezza o all’inefficacia delle procedure interne, delle persone o dei sistemi oppure dovute a eventi esterni. Vi sono compresi i rischi legali, non però i rischi strategici e i rischi per la reputazione». I rischi delle imprese tecnofinanziarie variano in funzione dell’organizzazione specifica del modello aziendale e delle tecnologie impiegate.

Un sistema di controllo interno (SCI) include la totalità delle strutture e dei processi di controllo che a tutti i livelli di un’impresa costituiscono la base per il raggiungimento degli obiettivi politico-aziendali e per una gestione regolare dell’istituto. Generalmente gli istituti finanziari implementano tre istanze di controllo interno. Al primo livello le unità operative orientate al conseguimento di un profitto si assumono la gestione dei rischi, in particolare provvedendo alla loro diretta sorveglianza, gestione e resoconto e garantiscono il rispetto delle esigenze normative nell’attività ordinaria (cosiddetta first line of defense). Al secondo livello (cosiddetta second line of defense), le funzioni di controllo dei rischi e le funzioni di compliance sorvegliano i rischi e il rispetto delle prescrizioni legali, regolamentari e aziendali. Al terzo livello segue, infine, la verifica da parte di un organo di revisione interno (cosiddetta third line of defense). Per valutare se e in quale misura le persone di cui all’articolo 1b LBCR devono garantire i tre livelli citati bisognerà considerare il singolo caso concreto.

Capoverso 2

Le persone di cui all’articolo 1b LBCR indicano in apposite documentazioni e direttive interne gli strumenti da utilizzare per soddisfare concretamente i requisiti di cui al capoverso 1. Tra questi figura innanzitutto l’esecuzione di analisi dei rischi, relative segnatamente all’utilizzo delle tecnologie, ma anche a eventi esterni e procedure interne. Solo l’esecuzione di tali analisi consente di creare strutture idonee di controllo dei rischi. Inoltre si devono precisare e determinare le competenze concrete. Una volta identificati i rischi, occorre stimare il possibile potenziale di perdita e procedere alla definizione delle strategie e dei processi per gestirli e minimizzarli. Infine si devono delineare i controlli e i meccanismi di sorveglianza.

Capoverso 3

Per poter svolgere efficacemente la propria funzione, gli organi competenti in materia di sorveglianza della compliance e di gestione dei rischi devono essere indipendenti dalle unità