Rischi, regolamentazione ed etica professionale · Lezione 4 di 5
Rischi operativi e di mercato
7 min di lettura
Classificare il rischio prima di misurarlo
Il rischio è la combinazione di un evento incerto e del suo potenziale impatto sugli obiettivi. Per le imprese che operano nel settore degli asset digitali, una perdita può derivare da un guasto software, dalle azioni del personale, da interruzioni di servizi esterni, da carenze di liquidità, da cambiamenti normativi o da movimenti di mercato. Non si tratta di cause intercambiabili. Un incidente operativo può causare una perdita di mercato; uno shock di mercato può mettere in luce controlli operativi inadeguati. La gestione del rischio dovrebbe quindi descrivere la causa, l'esposizione, i controlli, le ipotesi sulla probabilità o sugli scenari, l'impatto e il rischio residuo dopo la mitigazione.
Il NIST Cybersecurity Framework (CSF) 2.0 fornisce un quadro organizzativo volontario con le funzioni Govern, Identify, Protect, Detect, Respond e Recover. La NIST Special Publication 800-61 Revision 3 (2025) tratta gli aspetti della risposta agli incidenti nell'ambito del CSF 2.0. Si tratta di riferimenti utili per il rischio informatico, non di prove che un fornitore sia sicuro o conforme alle leggi. I controlli operativi richiedono anche una gestione aziendale, responsabilità legale e garanzie indipendenti adeguate.
Guasti operativi e dipendenze
Debolezze umane e procedurali
I guasti operativi includono istruzioni di pagamento errate, un'insufficiente separazione dei compiti, modifiche non autorizzate alle configurazioni, riconciliazioni incomplete, registrazioni smarrite e procedure di ripristino non testate. Un controllo di separazione dei compiti significa che nessun singolo individuo può sia avviare sia approvare un'operazione sensibile senza le verifiche prescritte. Definire chiaramente i ruoli è particolarmente importante per le istituzioni che movimentano asset dei clienti, tengono registrazioni finanziarie o pubblicano report. Una registrazione immutabile su blockchain non può correggere da sola un processo di approvazione inadeguato.
Il rischio di terze parti emerge quando un'organizzazione dipende da servizi di hosting cloud, infrastrutture di trading, fornitori di dati, servizi di custodia o librerie software critiche. Un accordo sul livello di servizio stabilisce aspettative contrattuali; non garantisce che un fornitore sia in grado di superare un'interruzione. La due diligence dovrebbe esaminare il ricorso a subappaltatori, la resilienza, il monitoraggio della sicurezza, la notifica degli incidenti, i diritti di accesso, le evidenze di audit e una strategia di uscita. Concentrare molti servizi presso un unico fornitore può creare un punto comune di guasto, anche quando ogni servizio, considerato singolarmente, sembra solido.
Incidenti informatici e limiti del ripristino
I controlli di sicurezza mirano a ridurre sia la frequenza sia l'impatto degli incidenti. Tra le capacità tipiche figurano la gestione degli accessi, la revisione delle modifiche, il monitoraggio, i backup, il ripristino testato, i piani di risposta e l'approvazione indipendente delle operazioni ad alto impatto. Nelle attività con asset digitali, alcuni trasferimenti non autorizzati non possono essere annullati tramite le normali procedure tecniche. La preparazione deve quindi includere l'escalation verso le istituzioni o le autorità competenti, la conservazione dei log e dei dati sulle transazioni e comunicazioni credibili con i clienti. NIST SP 800-61 Rev. 3 incoraggia l'integrazione della risposta agli incidenti nella gestione più ampia del rischio, anziché attendere che si verifichi un incidente.
Rischi di mercato senza previsioni sui prezzi
Volatilità, liquidità e slippage
La volatilità è l'entità delle variazioni del prezzo di mercato nel tempo. La liquidità è la possibilità di negoziare senza spostare sensibilmente il prezzo o dover attendere troppo a lungo. Lo slippage è la differenza tra il prezzo richiesto o previsto e il prezzo effettivo di esecuzione. Un mercato può mostrare un prezzo indicativo pur avendo scarsa profondità eseguibile. Ordini di grandi dimensioni, condizioni di stress o interruzioni delle negoziazioni possono aumentare lo slippage. Un analista dovrebbe misurare l'esposizione usando scenari osservati e ipotesi documentate, senza promettere risultati futuri stabili.
Il rischio di concentrazione esiste quando un'organizzazione dipende in misura significativa da un singolo asset, una controparte, una sede o un servizio. Il rischio di controparte è la possibilità che un'altra parte non adempia a un'obbligazione contrattuale. Il rischio di regolamento riguarda l'impossibilità di consegnare denaro o asset come concordato. L'esposizione al prezzo e la titolarità giuridica non sono la stessa cosa: un cliente può vantare un diritto contrattuale nei confronti di un intermediario anziché controllare direttamente un asset. Analogamente, il valore delle garanzie può variare mentre l'obbligazione sottostante del prestito rimane invariata, generando pressioni sui margini anche quando il software funziona come previsto.
Integrità del mercato e qualità delle informazioni
I mercati possono essere soggetti a manipolazioni, informative fuorvianti, conflitti di interesse, wash trading o interruzioni che compromettono la correttezza dell'esecuzione. Il wash trading consiste in operazioni che creano un'apparenza ingannevole di attività anziché riflettere una domanda economica genuina; le definizioni giuridiche e la relativa prova dipendono dal mercato e dalla giurisdizione. I volumi pubblicati non sono sempre sottoposti ad audit indipendente. I professionisti dovrebbero considerare la provenienza dei dati, le metodologie, le sedi di negoziazione, le operazioni con parti correlate e la differenza tra i prezzi dichiarati e le offerte eseguibili. L'International Organization of Securities Commissions (IOSCO) ha pubblicato 18 Policy Recommendations for Crypto and Digital Asset Markets nel novembre 2023, affrontando gli abusi di mercato, i conflitti, la custodia, il rischio operativo e la distribuzione al dettaglio.
| Classe di rischio | Evento esemplificativo | Controllo o metrica utile |
|---|---|---|
| Operativo | Modifica non autorizzata della configurazione | Verifica dell'approvazione e del ripristino della versione precedente |
| Sicurezza informatica | Compromissione delle credenziali | Revisione degli accessi ed esercitazioni di risposta |
| Liquidità | Scarsa profondità del book degli ordini | Verifica della profondità eseguibile e stress test |
| Controparte | Il fornitore di servizi non è in grado di adempiere | Limiti di esposizione e pianificazione delle contingenze |
| Giuridico/conformità | L'attività eccede l'autorizzazione | Revisione dei cambiamenti normativi e approvazione legale |
Dal registro dei rischi all'azione
Probabilità, impatto e responsabili
Un registro dei rischi documenta un evento, un responsabile, l'esposizione, i controlli, la valutazione, le misure di mitigazione e la data di revisione. Le scale qualitative possono essere utili, ma dovrebbero basarsi su definizioni coerenti. Un livello «alto» senza evidenze o un processo decisionale è poco più che un'etichetta. Utilizzate più scenari plausibili, tra cui l'interruzione di un servizio di terze parti durante un mercato volatile, la congestione simultanea dei pagamenti e il mancato rispetto di un'approvazione interna. Per ciascuno scenario, chiedetevi come viene rilevato, quali servizi continuano a funzionare, chi può intervenire e come vengono fornite le comunicazioni prescritte ai clienti e alle autorità di regolamentazione.
Resilienza e doveri di interesse pubblico
La continuità operativa mira a mantenere i servizi critici durante un'interruzione; il disaster recovery si concentra sul ripristino delle capacità dopo un evento grave. L'obiettivo di tempo di ripristino (RTO) è il tempo previsto per riprendere un servizio, mentre l'obiettivo del punto di ripristino (RPO) è la quantità tollerata di perdita di dati espressa in termini di tempo. Si tratta di parametri di pianificazione, non di garanzie. Alcune registrazioni delle transazioni possono essere ricostruite da fonti indipendenti, ma le registrazioni dell'identità dei clienti, le approvazioni e le corrispondenze con i registri interni potrebbero non avere un sostituto on-chain. I backup e il ripristino dovrebbero quindi riflettere l'intero processo aziendale, non solo i dati del registro distribuito.
Per i dirigenti e il personale del settore pubblico, la proporzionalità è essenziale. Un piccolo progetto educativo, un custode istituzionale e un sistema di pagamento pubblico differiscono per impatto, responsabilità ed esposizione. Ciascuno necessita di una propensione al rischio documentata e di limiti di escalation adeguati al proprio ruolo. Gli enti pubblici devono inoltre garantire trasparenza, appalti conformi alla legge, riservatezza e continuità dei servizi essenziali. I consigli di amministrazione dovrebbero ricevere metriche utili alle decisioni: incidenti, controlli scaduti, test di ripristino, mancati incidenti, esposizioni rilevanti alla concentrazione e rilievi di audit non risolti.
Una domanda finale utile è: «Se le nostre ipotesi preferite si rivelassero errate, quali evidenze dimostrerebbero che siamo in grado di riconoscere il problema e proteggere le persone coinvolte?» Questa domanda evita di sostenere che la tecnologia elimini il rischio. Trasforma una generica matrice dei rischi in un impegno operativo con responsabili identificabili e procedure testate.
Focus d'esame: Distinguere i rischi operativi, informatici, di liquidità, di controparte, di mercato e giuridici; interpretare RTO e RPO; e collegare la valutazione del rischio a responsabili concreti, test dei controlli, procedure di escalation e decisioni sul rischio residuo.