Serie Generale n. 172 del 26-7-2007
ESTRATTI, SUNTI E COMUNICATI
BANCA D'ITALIA
BANCA D'ITALIA
COMUNICATO
Disposizioni di vigilanza in materia di conformita' compliance (GU Serie Generale n.172 del 26-07-2007)

1. Premessa.

Il rispetto delle norme e la correttezza negli affari
costituiscono elementi fondamentali nello svolgimento dell'attività
bancaria, che per sua natura è fondata sulla fiducia. L'evoluzione
dei mercati finanziari, in termini di innovazione dei prodotti, di
trasferimento del rischio e di proiezione internazionale, rende più
complessi l'identificazione e il controllo dei comportamenti che
possono dar luogo a violazioni di norme, di standard operativi, di
principi deontologici ed etici dell'attività di intermediazione.
Nel mutato contesto è necessario, da un lato, promuovere una
cultura aziendale improntata a principi di onestà, correttezza e
rispetto non solo della lettera, ma anche dello spirito, delle norme;
dall'altro, approntare specifici presidi organizzativi, volti ad
assicurare il rigoroso rispetto delle prescrizioni normative e di
autoregolamentazione.
A tal fine, assume particolare rilievo la costituzione
all'interno delle banche e dei gruppi bancari di una specifica
funzione dedicata al presidio e al controllo della conformità. Le
presenti disposizioni dettano principi di carattere generale, volti a
individuare le finalità e i principali compiti della funzione di
conformità, riconoscendo nel contempo alle banche piena
discrezionalità nella scelta delle soluzioni organizzative più
idonee ed efficaci per realizzarli. Esse si applicano alle banche e
ai gruppi bancari secondo il principio di proporzionalità, in
coerenza quindi con le specifiche caratteristiche dimensionali e
operative.
La funzione di conformità svolge un ruolo di rilievo nella
creazione di valore aziendale, attraverso il rafforzamento e la
preservazione del buon nome della banca e della fiducia del pubblico
nella sua correttezza operativa e gestionale. Nel perseguimento di
questiobiettivi, le banche sono chiamate a prestare attenzione
soprattutto agli utenti dei servizi offerti, non solo attraverso la
puntuale e coerente applicazione della disciplina posta a tutela
della clientela, ma anche assicurando un'informazione completa che
promuova la consapevole assunzione delle scelte finanziarie.
Per lo svolgimento dei servizi e delle attività di investimento
da parte delle banche, troveranno applicazione anche le disposizioni
di recepimento della direttiva 2006/73/CE relative alla funzione di
conformità di cui all'art. 6 della medesima direttiva. Nelle more
dell'adozione della richiamata disciplina, rilevano le disposizioni
in materia di controlli interni di cui al Regolamento Intermediari,
adottato dalla CONSOB con delibera n. 11522/1998.
2. Il rischio di non conformità alle norme.

Il rischio di non conformità alle norme è il rischio di
incorrere in sanzioni giudiziarie o amministrative, perdite
finanziarie rilevanti o danni di reputazione in conseguenza di
violazioni di norme imperative (di legge o di regolamenti) ovvero di
autoregolamentazione (es. statuti, codici di condotta, codici di
autodisciplina).
Detto rischio è diffuso a tutti livelli dell'organizzazione
aziendale, soprattutto nell'ambito delle linee operative; l'attività
di prevenzione deve svolgersi in primo luogo dove il rischio viene
generato: è pertanto necessaria un'adeguata responsabilizzazione di
tutto il personale.
In via generale, le norme più rilevanti ai fini del rischio di
non conformità sono quelle che riguardano l'esercizio dell'attività
di intermediazione, la gestione dei conflitti di interesse, la
trasparenza nei confronti del cliente e, più in generale, la
disciplina posta a tutela del consumatore.
Un'efficace ed efficiente gestione del rischio di non
conformità, oltre alla responsabilizzazione di tutti i dipendenti,
richiede, tra l'altro:
una chiara e formalizzata individuazione e distinzione di ruoli
e responsabilità ai diversi livelli dell'organizzazione della banca;
l'istituzione di un'apposita funzione incaricata della gestione
del rischio di non conformità;
la nomina di un responsabile della conformità all'interno
della banca;
la predisposizione di un documento interno che indichi
responsabilità, compiti, modalità operative, flussi informativi,
programmazione e risultati dell'attività svolta dalla funzione di
conformità.
3. Ruolo degli organi di vertice della banca.

Il consiglio di amministrazione e il collegio sindacale sono
responsabili della supervisione complessiva del sistema di gestione
del rischio di non conformità alle norme. Nel caso in cui le banche
adottino un modello organizzativo diverso da quello tradizionale,
detto compito spetta: nel modello dualistico, al consiglio di
sorveglianza e al consiglio di gestione; nel modello monistico, al
consiglio di amministrazione.
In particolare, il consiglio di amministrazione, sentito il
collegio sindacale, con apposita delibera (non delegabile) approva le
politiche di gestione del rischio in questione, ivi inclusa la
costituzione di una funzione di conformità alle norme, permanente e
indipendente. Per le banche che adottino il sistema di
amministrazione e controllo dualistico, è opportuno che lo statuto
preveda su dette materie una delibera del consiglio di sorveglianza,
su proposta del consiglio di gestione. In caso di modello monistico,
la delibera deve essere approvata, oltre che dal consiglio di
amministrazione nel suo complesso, anche dal comitato per il
controllo sulla gestione.
Almeno una volta l'anno il consiglio di amministrazione, sentito il
collegio sindacale, valuta l'adeguatezza della funzione di
conformità alle norme e a tal fine può avvalersi di un comitato
costituito al suo interno; nel modello dualistico, detta valutazione
è svolta dal consiglio di gestione e gli esiti della stessa sono
comunicati al consiglio di sorveglianza, ovvero a un comitato
costituito al suo interno.
Gli organi delegati (o nel modello dualistico il consiglio di
gestione) e il direttore generale - secondo le specifiche competenze
definite in via generale con riferimento al sistema dei controlli
interni - devono assicurare una efficace gestione del rischio di
conformità. A tal fine: definiscono adeguate politiche e procedure
di conformità; stabiliscono canali di comunicazione efficaci per
assicurare che il personale a tutti i livelli dell'organizzazione sia
a conoscenza dei presidi di conformità relativi ai propri compiti e
responsabilità; assicurano che le politiche e le procedure vengano
osservate all'interno della banca; nel caso emergano violazioni,
accertano che siano apportati i rimedi necessari; delineano flussi
informativi volti ad assicurare agli organi di vertice della società
piena consapevolezza sulle modalità di gestione del rischio di non
conformità.
Inoltre, con la collaborazione della funzione di conformità, gli
organi delegati (o nel modello dualistico il consiglio di gestione e
il direttore generale - secondo le rispettive competenze - hanno il
compito di:
identificare e valutare, almeno una volta all'anno, i
principali rischi di non conformità a cui la banca è esposta e
programmare i relativi interventi di gestione. La programmazione
degli interventi deve riguardare sia le eventuali carenze (di
politica, procedurali, di implementazione o esecuzione) emerse
nell'operatività aziendale, sia la necessità di affrontare
eventuali nuovi rischi di non conformità identificati a seguito
della valutazione annuale del rischio;
riferire di iniziativa o su richiesta, almeno una volta
all'anno, al consiglio di amministrazione (o a un comitato costituito
al suo interno) e al collegio sindacale ovvero al consiglio di
sorveglianza (o a un comitato costituito al suo interno)
sull'adeguatezza della gestione del rischio di non conformità
attuata dalla banca;
fornire tempestiva informazione al consiglio di amministrazione
(o a un comitato costituito al suo interno) e al collegio sindacale
(o al consiglio di sorveglianza (1) o al comitato di controllo sulla
gestione) su ogni violazione rilevante della conformità alle norme
(es. violazioni che possono comportare un alto rischio di sanzioni
regolamentari o legali, perdite finanziarie di rilievo o danno di
reputazione).
----
(1) Le violazioni devono essere portate a conoscenza del
comitato costituito all'interno del consiglio di
sorveglianza di cui sono attribuite funzioni in materia di
controlli interni

4. La funzione di conformità alle norme.

Una gestione dinamica e consapevole del rischio di non
conformità richiede l'istituzione di un'apposita funzione, il cui
compito specifico è quello di verificare che le procedure interne
siano coerenti con l'obiettivo di prevenire la violazione di norme di
etero regolamentazione (leggi e regolamenti) e autoregolamentazione
(codici di condotta, codici etici) applicabili alla banca. Detta
funzione è parte integrante del sistema dei controlli interni delle
banche (Titolo IV - Capitolo 11 - Sezione II delle istruzioni di
vigilanza).
I principali adempimenti che la funzione di conformità è
chiamata a svolgere sono:
l'identificazione nel continuo delle norme applicabili alla
banca e la misurazione/valutazione del loro impatto su processi e
procedure aziendali;
la proposta di modifiche organizzative e procedurali
finalizzata ad assicurare adeguato presidio dei rischi di non
conformità identificati;
la predisposizione di flussi informativi diretti agli organi
aziendali e alle strutture coinvolte (gestione del rischio operativo
e revisione interna);
la verifica dell'efficacia degli adeguamenti organizzativi
(strutture, processi, procedure anche operative e commerciali)
suggeriti per la prevenzione del rischio di conformità.
In relazione ai molteplici profili professionali richiesti per
l'espletamento di tali adempimenti, le varie fasi in cui si articola
l'attività della funzione di conformità possono essere affidate a
strutture organizzative diverse già presenti nella banca (es.
legale, organizzazione, gestione del rischio operativo), purchè il
processo di gestione del rischio e l'operatività della funzione
siano ricondotti ad unità mediante la nomina di un responsabile che
coordini e sovrintenda alle diverse attività, anche attraverso la
predisposizione di un apposito programma di attività.
La funzione di conformità deve essere coinvolta nella
valutazione ex ante della conformità alla regolamentazione
applicabile di tutti i progetti innovativi che la banca intenda
intraprendere nonchè nella prevenzione e nella gestione dei
conflitti di interesse sia tra le diverse attività svolte dalla
banca sia con riferimento ai dipendenti e agli esponenti aziendali.
Altra area di intervento della funzione di conformità concerne
la verifica della coerenza del sistema premiante aziendale (in
particolare retribuzione e incentivazione del personale) con gli
obiettivi di rispetto delle norme, dello statuto nonchè di eventuali
codici etici o altri standard di condotta applicabili alla banca.
Rientrano nell'ambito della funzione di conformità anche la
consulenza e assistenza nei confronti degli organi di vertice della
banca in tutte le materie in cui assume rilievo il rischio di non
conformità nonchè la collaborazione nell'attività di formazione
del personale sulle disposizioni applicabili alle attività svolte al
fine di diffondere una cultura aziendale improntata ai principi di
onestà, correttezza e rispetto dello spirito e della lettera delle
norme.
Ferma restando la discrezionalità delle banche nell'organizzare
la funzione di conformità, in coerenza con le proprie peculiarità
dimensionali e operative nonchè con l'assetto organizzativo e
strategico della gestione dei rischi, è comunque necessario che la
medesima funzione:
sia indipendente. A tal fine è necessario che: vengano
formalizzati lo status e il mandato della funzione attraverso
l'indicazione di compiti, responsabilità, addetti, prerogative,
flussi informativi rivolti direttamente agli organi di vertice; venga
nominato un responsabile indipendente; sia assicurata la presenza di
adeguati presidi per prevenire i conflitti di interesse attraverso,
in particolare, la previsione di flussi informativi separati e
dedicati;
sia dotata di risorse qualitativamente e quantitativamente
adeguate ai compiti da svolgere. Sotto il profilo delle risorse
umane, le attività di conformità possono essere svolte da personale
inserito in una struttura organizzativa dedicata e gerarchicamente
dipendente dal responsabile della funzione ovvero da dipendenti
integrati in aree operative diverse. Indipendentemente dalla
soluzione organizzativa prescelta, il personale che svolge funzioni
di conformità deve essere adeguato per: numero; competenze
tecnico-professionali; aggiornamento, anche attraverso l'inserimento
in programmi di formazione nel continuo. Inoltre, attraverso
l'attribuzione di risorse economiche eventualmente attivabili anche
in autonomia, dovrà essere consentito alla funzione il ricorso a
consulenze esterne, in relazione alla particolare complessità di
specifiche innovazioni normative e/o operative;
abbia accesso a tutte le attività della banca svolte sia
presso gli uffici centrali sia presso le strutture periferiche
nonchè a qualsiasi informazione rilevante per lo svolgimento dei
propri compiti, anche attraverso il colloquio diretto con il
personale.
Le banche di dimensioni contenute o caratterizzate da una
limitata complessità operativa possono affidare lo svolgimento della
funzione di conformità alle strutture esistenti incaricate della
gestione dei rischi o a soggetti terzi (es. altre banche ovvero
organismi associativi di categoria), purchè dotati di requisiti
idonei in termini di professionalità e indipendenza. In ogni caso
deve essere nominato un responsabile della funzione all'interno
dell'azienda, dotato delle caratteristiche e prerogative indicate nel
paragrafo seguente, al quale spettano il compito di referente interno
per il soggetto incaricato della funzione nonchè la complessiva
supervisione dell'attività di gestione del rischio, posto che la
responsabilità per la corretta gestione del rischio di non
conformità resta in capo alla banca.
L'esternalizzazione della funzione di conformità deve essere
formalizzata in un accordo, che definisca quanto meno i seguenti
aspetti:
gli obiettivi della funzione;
la frequenza minima dei flussi informativi nei confronti del
responsabile interno all'azienda e degli organi di vertice aziendali,
fermo restando l'obbligo di corrispondere tempestivamente a qualsiasi
richiesta di informazioni e consulenza da parte di questi ultimi;
gli obblighi di riservatezza delle informazioni acquisite
nell'esercizio della funzione;
la possibilità di rivedere le condizioni del servizio al
verificarsi di modifiche nell'operatività e nell'organizzazione
della banca.
5. Il responsabile della funzione di conformità alle norme.

Al fine di assicurare l'efficacia della funzione di conformità
è necessario che il responsabile possieda requisiti adeguati di
indipendenza, autorevolezza e professionalità.
La nomina e la revoca del responsabile della conformità sono di
competenza, esclusiva e non delegabile, del consiglio di
amministrazione (consiglio di gestione) sentito il collegio sindacale
(consiglio di sorveglianza). Le banche provvedono a comunicare
tempestivamente alla Banca d'Italia la nomina e l'eventuale revoca
del responsabile della conformità.
Il responsabile della funzione di conformità deve rivestire un
ruolo all'interno della banca tale da conferire autorevolezza alla
funzione medesima; può essere nominato responsabile della funzione
anche un componente dell'organo amministrativo purchè non sia
destinatario di deleghe. Se il responsabile della funzione è
un'esponente della dirigenza della banca non deve avere
responsabilità dirette di aree operative nè deve essere
gerarchicamente dipendente da soggetti responsabili di dette aree.
Il personale incaricato di compiti di conformità, anche se
inserito in aree operative, riferisce direttamente al responsabile
della funzione per le questioni attinenti a detti compiti. Tali
flussi informativi separati possono non essere necessari nelle
ipotesi in cui il personale appartenga a strutture indipendenti della
banca (es. legale, gestione del rischio).
6. Rapporti con altre funzioni aziendali.

La funzione di conformità collabora con le altre funzioni
presenti in azienda (es. revisione interna, controllo del rischio
operativo, funzione legale, organizzazione, organismo di vigilanza
individuato ai sensi della legge n. 231/2001, ecc.) allo scopo di
sviluppare le proprie metodologie di gestione del rischio in modo
coerente con le strategie e l'operatività aziendale, disegnando
processi conformi alla normativa e prestando ausilio consultivo.
L'indipendenza della funzione, in un contesto caratterizzato da
forti interrelazioni, è assicurata dalla formalizzazione del mandato
che ne sancisce l'autonomia rispetto sia alle strutture operative sia
a quelle di controllo interno, attraverso la definizione espressa di
ruoli e competenze.
La funzione di conformità si inserisce nel sistema dei controlli
interni delle banche nell'ambito delle funzioni di controllo sulla
gestione dei rischi (controlli di secondo livello), con l'obiettivo
di concorrere alla definizione delle metodologie di
misurazione/valutazione del rischio di conformità, di individuare
idonee procedure per la prevenzione dei rischi rilevati e di
richiederne l'adozione. Il ruolo descritto differenzia
sostanzialmente la funzione di conformità da quella di revisione
interna (cfr. Titolo IV - Capitolo 11 - Sezione II - paragrafo 1
delle istruzioni di vigilanza).
L'adeguatezza ed efficacia della funzione di conformità devono
essere sottoposte a verifica periodica da parte della revisione
interna. Ne consegue che, per assicurare l'imparzialità delle
verifiche, la funzione di conformità non può essere affidata alla
funzione di revisione interna. In ogni caso, attesa la contiguità
tra le due attività, sono chiaramente individuati e comunicati
all'interno della banca i compiti e le responsabilità delle due
funzioni, in particolare per quanto specificamente attiene alla
suddivisione delle competenze relative alla misurazione dei rischi,
alla consulenza in materia di adeguatezza delle procedure di
controllo nonchè alle attività di verifica delle procedure
medesime.
Specifica attenzione è posta nell'articolazione dei flussi
informativi tra le due funzioni; in particolare il responsabile della
revisione interna informa il responsabile della conformità per le
eventuali inefficienze nella gestione del rischio emerse nel corso
delle attività di verifica di propria competenza.
7. La funzione di conformità nelle strutture di gruppo.

Le decisioni strategiche a livello di gruppo in materia di
gestione del rischio di non conformità sono rimesse agli organi
aziendali della capogruppo. Le scelte effettuate tengono conto della
specifica operatività e dei connessi profili di rischio di non
conformità di ciascuna delle società componenti il gruppo. Gli
organi aziendali delle componenti del gruppo devono essere
consapevoli delle scelte effettuate dagli organi di vertice della
capogruppo e sono responsabili, ciascuno secondo le proprie
competenze, dell'attuazione nell'ambito della propria realtà
aziendale delle strategie e politiche di gestione del rischio di non
conformità. In tale ottica è necessario che la capogruppo coinvolga
e renda partecipi, nei modi ritenuti più opportuni, gli organi
aziendali delle controllate delle scelte effettuate in materia di
politiche e procedure di gestione del rischio di non conformità.
Le attività relative alla funzione di conformità potranno
essere accentrate, al fine di conseguire economie di scala, anche
attraverso la costituzione di unità specializzate all'interno del
gruppo medesimo; resta fermo, comunque, che in ciascuna banca del
gruppo dovrà essere individuato un referente, che svolgerà funzioni
di supporto per il responsabile di gruppo della conformità, in
particolare nell'applicazione alla specifica realtà aziendale delle
politiche di gestione delineate a livello di gruppo.
Particolare attenzione richiede l'articolazione della funzione
nei gruppi con operatività internazionale, tenuti al rispetto delle
regole vigenti in tutti i paesi in cui svolgano le proprie attività.
In questi casi le banche dovranno individuare le soluzioni
organizzative più idonee (es. compliance officer locali) per
assicurare la corretta gestione del rischio derivante dalla
necessità di rispettare tutte le disposizioni applicabili in
relazione ai diversi ambiti di operatività.
È altresì opportuno che società controllate da banche italiane
operanti all'estero adottino i medesimi presidi di conformità della
capogruppo italiana, anche nei casi in cui la normativa dei paesi in
cui la controllata è stata costituita non preveda analoghi livelli
di attenzione.
In via transitoria, si fa presente che le banche che si sono già
dotate di strutture incaricate della conformità, collocando
organizzativamente i relativi compiti nella funzione di revisione
interna, potranno adeguarsi alle presenti disposizioni in modo
graduale. In particolare, entro dodici mesi dalla pubblicazione del
presente provvedimento, le due funzioni dovranno essere rese
organizzativamente e operativamente separate e indipendenti.
Roma, 10 luglio 2007
Il direttore generale: Saccomanni