Il rischio operativo: l'utilizzo delle reti neurali per la previsione del rischio di frode

Introduzione
La Barings Banks, una delle più vecchie e prestigiose banche inglesi, fu ridotta al 
fallimento nel 1995, a causa di Nicholas Leeson, trader della Barings per la 
negoziazione in derivati, per perdite superiori a 800 milioni di sterline cumulate 
nell'arco di 2 anni a piena insaputa della stessa banca.
Caso simile per Societè Generale che ha registrato perdite per oltre 4 miliardi di 
euro sempre per posizioni assunte su derivati, ad opera del trader Jerome Kerviel.
Eventi simili a quelli descritti dimostrano quanto possa essere significativo il 
rischio connesso all'attività d'impresa, specialmente in quella finanziaria, dove la 
stabilità del sistema stesso può essere  compromessa così facilmente. 
Lo studio e l'attuazione di misure idonee a fronteggiare la problematica del rischio 
operativo, risultano arretrati rispetto agli altri rischi. 
A tal proposito, il Comitato di Basilea ha introdotto delle regole che impongono 
alle banche una gestione orientata alla redditività (come può essere per altri tipi di 
imprese), ma che tenga conto anche della rischiosità delle scelte.
Il Comitato in realtà non impone soltanto delle regole, ma mette a disposizione 
una serie di soluzioni che suggeriscono il modo in cui affrontare il problema del 
rischio, inducendo le banche a sviluppare delle unità operative di Risk Management, 
con dei veri e propri sistemi di gestione dei rischi.
Per le differenti tipologie di rischio, quindi anche per quello operativo, l'Accordo di 
Basilea descrive diversi approcci con cui misurare il profilo di rischiosità e quindi il 
capitale da accantonare a copertura. 
Tra gli approcci forniti, quelli con un maggior grado di semplicità, hanno una 
minore efficacia nella corretta misurazione del rischio assunto e quindi un maggior 
costo in termini di capitale da accantonare. Al contrario, quelli più complessi 
4 di 128
richiedono alti investimenti per l'implementazione, ma riescono ad individuare quali 
aspetti della gestione mettono in risalto la rischiosità per l'intera banca. Inducendo le 
istituzioni a sviluppare dei sistemi di monitoraggio e copertura dal rischio, il Comitato 
persegue l'obbiettivo di rendere l'intero sistema finanziario meno soggetto ad eventi 
che ne compromettano la stabilità. 
Lo studio e l'attuazione di misure idonee a fronteggiare la problematica del rischio 
operativo, risultano arretrati rispetto agli altri rischi, ma l'attività del Risk Management 
negli ultimi anni all'interno del rischio operativo ha avuto una crescita notevole. 
Tra i principali assunti di partenza, c'è la consapevolezza dell'esistenza di una 
distinzione tra i rischi generati da eventi “High Frequency Low Impact” (HFLI), ossia 
caratterizzati da un'elevata frequenza ma da un ridotto impatto economico, con quelli 
originati da eventi “Low Frequency High Impact” (LFHI), cioè caratterizzati da una 
bassa probabilità di verificarsi ma con un alto impatto in termini economici.
Ai fini del calcolo del coefficiente patrimoniale richiesto dall'Accordo di Basilea, 
l'attività di Risk Management ha mostrato le difficoltà esistenti nel modellizzare gli 
eventi LFHI, al contrario degli HFLI.
Gli eventi LFHI presentano infatti un grado di difficoltà elevato per quanto 
riguarda la previsione e la misura del reale rischio assunto nonostante l'evoluzione 
dei modelli matematici ad oggi applicati. Ciò rende evidenti dei possibili riflessi sul 
mercato assicurativo in termini di domanda di strumenti a copertura degli eventi 
cosiddetti catastrofici.
Invece andare a misurare il costo in termini probabilistici degli eventi HFLI non 
risulta particolarmente difficile con l'utilizzo di modelli statistici, ma la necessità di 
misurare i costi subiti al verificarsi di tali eventi, dovrebbe suggerire lo sviluppo di 
sistemi di monitoraggio dei rischi, al fine di ridurne il più possibile la frequenza. In tale 
ambito trova una reale applicazione l'utilizzo di modelli matematici esperti, quali le reti 
neurali, in grado di lavorare come strumento previsionale per il rischio di frode nelle 
richieste di finanziamento.
L'obiettivo del lavoro sarà quello di descrivere nel primo capitolo l'attuale 
regolamentazione nell'ambito del Rischio Operativo del settore bancario con 
principale riferimento all'Accordo di Basilea 2 sulla vigilanza prudenziale, descrivendo 
gli approcci dettati dal Trattato al fine di misurare e fronteggiare le perdite derivanti 
5 di 128
dalle diverse fonti di rischio. 
Il tema affrontato nel secondo capitolo sarà quello dell'Intelligenza Artificiale ed i 
modelli basati sulle reti neurali artificiali, partendo dall'evoluzione raggiunta nel corso 
degli anni dai differenti studi nei diversi ambiti, approfondendo le diverse tipologie di 
struttura progettate e i diversi algoritmi d'apprendimento utilizzati per la costruzione 
delle reti. 
Infine nel terzo capitolo verrà descritta la metodologia utilizzata per la costruzione 
di un modello basato su reti neurali artificiali e la sua applicazione per la risoluzione 
della problematica del rischio di frode che deve essere fronteggiata dalle istituzioni 
bancarie nell'attività di concessione di finanziamenti per prestiti al consumo.
6 di 128
1 Il rischio operativo
Il rischio operativo è una componente intrinseca di ogni attività d'impresa (sia 
industriale che di servizi) ed il settore bancario e finanziario non ne è affatto immune.
Negli ultimi anni il rischio operativo ha iniziato ad assumere una rilevanza 
progressivamente crescente  anche nell’ambito dell’industria bancaria e finanziaria. 
Numerosi eventi hanno messo in luce quanto questo tipo di rischio possa generare 
ingenti perdite, anche a banche di livello e dimensione notevoli. 
Da uno studio della Federeal Reserve Bank of Boston
1
 è emerso che tra il 1992 e 
il 2002, a causa del rischio operativo le istituzioni finanziarie hanno sofferto più di 100 
perdite superiori  a 100 milioni di dollari.
Pricewaterhouse Coopers ha rilevato che le istituzioni finanziarie hanno perso più 
di 7.000 milioni di dollari nel 1998 imputabili a rischi operativi e che le più grandi 
istituzioni hanno registrato perdite operative per un ammontare di 100 milioni di 
dollari in un anno.
2
Ricerche condotte dall'Operational Risk Inc., società di consulenza sul rischio 
operativo, hanno indicato che dal 1980 le istituzioni finanziarie hanno perso più di 
200.000 milioni di dollari a causa di rischi operativi.
3
Le cause di tale crescita possono essere ricondotte principalmente a: 
• l’aumento dei volumi di attività; 
• ingenti investimenti tecnologici in sistemi informativi e gestionali. Investimenti 
che rendono le banche particolarmente esposte a fallimenti di tali sistemi e ad 
errori umani connessi al loro utilizzo; 
• crescita del commercio elettronico, fenomeno che rende le banche esposte a 
rischi di frodi interne, esterne e a problemi di sicurezza dei sistemi; 
• l’incremento di operazioni di fusione ed acquisizione nel settore finanziario, 
che comporta problemi e rischi rilevanti connessi all’integrazione dei sistemi 
informativi;
1 Fountnouvelle et al. (2003).
2 Smithson (2000)
3 Cosma (2008)
7 di 128
A differenza di altre tipologie di rischio considerate nel settore finanziario, (rischio 
di mercato o rischio di credito), il rischio operativo non è assunto dalla banca in modo 
deliberato e consapevole ed è soltanto l'inevitabile conseguenza dell'attività svolta.
Vista l'impossibilità di eliminare il rischio di perdite operative (a meno di polizze 
assicurative tutt'altro che sviluppate e diffuse), il comune interesse di banche e 
autorità di vigilanza è rivolto all'identificare, misurare, monitorare e controllare tale 
tipologia di rischio.
8 di 128
1.1 Definizione
Il problema iniziale nell'affrontare il rischio operativo, a differenza delle altre 
tipologie di rischio, è la difficoltà di definire correttamente il rischio operativo stesso: 
non esiste, infatti, ancora un chiaro consenso sulla sua definizione presso l’industria 
bancaria internazionale.
Inizialmente fu utilizzata una definizione “negativa” rispetto agli altri rischi – tutti i 
rischi eccetto quello di credito, di mercato e d'interesse – ma come il settore 
giustamente fece notare, con ciò non furono fornite le basi sufficienti per la 
misurazione del rischio e valutazione del capitale.
Nell'Accordo del 2004, il Comitato di Basilea definisce il rischio operativo come 
“...il rischio di perdite derivanti dalla inadeguatezza o dalla disfunzione di procedure, 
risorse umane e sistemi interni, oppure da eventi esogeni. Tale definizione include il 
rischio legale, ma non quelli strategico e di reputazione. ”
Il rischio legale comprende, fra l’altro, l’esposizione ad ammende, sanzioni 
pecuniarie o penalizzazioni derivanti da provvedimenti assunti dall’organo di 
vigilanza, ovvero da regolamenti privati. 
4
Il rischio strategico identifica il rischio di perdite derivanti da scelte strategiche 
errate, mentre quello di reputazione identifica il rischio di perdita di fiducia 
nell'istituzione da parte di depositanti, creditori e/o del mercato.
5
Nonostante le ulteriori specifiche allegate, da questa definizione possiamo 
facilmente comprendere perché il rischio operativo è più difficile da identificare 
rispetto alle altre tipologie di rischio. Infatti, appare evidente che tale rischio 
comprende una serie eterogenea di fattori causali:
• Processi interni: ruoli e responsabilità definite e assegnate; procedure; modelli 
e metodologie di monitoraggio e controllo dei rischi; violazione della sicurezza 
informatica.
• Risorse umane: negligenze; frodi, inesperienza, errate decisioni manageriali, 
azioni incoerenti o conflittuali, errori, inosservanza delle leggi ossia rischio 
4 International Convergence of Capital Measurement and Capital Standards (2004)
5 S. Cosma (2008)
9 di 128
legale;
• Fattori tecnologici: malfunzionamento dei sistemi operativi, errori di 
programmazione, interruzioni nella rete informatica;
• Eventi esogeni: vulnerabilità politiche e istituzionali del contesto in cui la banca 
opera, attività criminali come furti, atti di terrorismo e, infine, eventi naturali 
come terremoti o inondazioni.
Vista la numerosità delle possibile cause e data l'esigenza di effettuare un 
monitoraggio a livello statistico, il Comitato, per indirizzare nella maniera più univoca 
possibile le rilevazioni statistiche di tutti gli attori, approfondisce con una 
classificazione dettagliata le tipologie di eventi di perdita nell'allegato 7 dell'Accordo .
Dalla definizione emergono anche altre osservazioni che caratterizzano tale 
tipologia di rischio.
A differenza del rischio di mercato e del rischio di credito (rischi di natura 
speculativa), il rischio operativo è un rischio puro, ossia che comporta 
prevalentemente manifestazioni di perdita e non di guadagno; infatti è difficile 
immaginare che un erorre umano o di un sistema informativo possa generare 
guadagni per la banca che lo ha commesso. Un’eccezione a questa regola è 
rappresentata dai fattori esterni: variazioni nel contesto regolamentare, legislativo, 
politico o fiscale potrebbero configurarsi come favorevoli  e dunque aumentare la sua 
redditività prospettica.
Come già detto, una caratteristica che distingue il rischio operativo risiede nel 
fatto che esso viene assunto involontariamente come conseguenza inevitabile delle 
diverse attività svolte da un’istituzione finanziaria. 
Ad esempio per quanto riguarda il rischio di mercato, qualora il management di 
una banca non voglia assumere una posizione rischiosa, è sufficiente non effettuare 
l'operazione che genera la posizione (oppure potrebbe effettuarla parallelamente ad 
un'operazione di hedging); mentre per quanto riguarda il rischio operativo, la 
posizione rischiosa viene assunta già nel momento in cui una banca è, per l'appunto, 
“operativa”.
Ulteriore differenza con gli altri rischi riguarda la copertura di una posizione già 
assunta. Gli strumenti utilizzabili in tal senso per i rischi di credito e di mercato sono 
10 di 128
già sviluppati e diffusi (sostanzialmente le operazioni di hedging con derivati), mentre 
per quanto riguarda strumenti di copertura che consentano di prezzare e trasferire il 
rischio operativo ad altri soggetti risultano ad oggi ancora relativamente poco diffusi e 
strutturati (rinvio a par 1.7).
Rischi finanziari (tasso, mercato e credito) Rischio operativo
Assunti consapevolmente Assunto involontariamente (inevitabile)
Rischi speculativi Rischio puro
Coerenti con la logica rischio-rendimento Non coerente con la logica rischio-rendimento
Compresi e facilmente identificati Poco compreso e difficile da identificare
Facilmente misurabili/quantificabili Complesso da misurare e quantificare
Disponibilità di strumenti di copertura Assenza di strumenti efficaci di copertura
Possono essere “prezzati” e trasferiti Complesso da “prezzare” e trasferire
Tabella 1: Peculiarità del rischio operativo
Fonte Sironi 2008
11 di 128
1.2 La regolamentazione: il Comitato di Basilea
Nel 1974 è stato istituito dai governatori delle banche centrali dei Paesi del G10 il 
Comitato di Basilea per la Vigilanza Bancaria (Basel Committee on Banking 
Supervision) in seguito ad alcuni gravi episodi di crisi del mercato finanziario 
internazionale.
Il Comitato è composto da esponenti delle banche centrali e di eventuali organi di 
vigilanza del sistema bancario di ogni paese e rappresenta un foro di discussione e 
cooperazione in materia di vigilanza sull'attività bancaria a livello internazionale.
Inizialmente le proposte e raccomandazione del Comitato riguardavano la sola 
attività bancaria internazionale ed erano volte a garantire che nessun insediamento 
sfuggisse alla vigilanza di un'autorità, nazionale od estera.
Dalla seconda metà degli anni Ottanta, il Comitato ha assunto un ruolo sempre 
più importante, estendendo i propri compiti, con l'obbiettivo di rendere efficace l'intero 
sistema di vigilanza sulle banche.
Pur non avendo un potere legislativo o autorità sopranazionale, le 
raccomandazioni e direttive emanate dal Comitato vengono poi recepite dalle singole 
autorità politiche e di vigilanza. In particolare, il Comitato ha dedicato una grande 
attenzione ai requisiti minimi patrimoniali, al fine di garantire una solvibilità delle 
singole istituzioni (e quindi dell'intero sistema) e delle condizioni competitive uniformi.
Proprio nel 1988, il Comitato ha definito, in un documento noto come “Accordo 
sul capitale”, un sistema di requisiti patrimoniali obbligatori; tale direttiva, recepita da 
oltre 100 paesi (inclusa l'Unione europea), era indirizzata ad istituzioni operanti in 
ambito internazionale, ma le singole autorità nazionali hanno esteso la normativa 
anche alle banche operanti in ambito domestico.
L'accordo verteva sull'obbligo da parte delle banche di mantenere un rapporto 
minimo pari all'8% (detto coefficiente patrimoniale), tra il “patrimonio di vigilanza” 
(definito nello stesso Accordo) e le attività ponderate per il rischio.
Con la definizione dell'Accordo, nonostante i numerosi limiti riscontrati in esso, si 
è riusciti ad invertire la tendenza a ridurre il grado di patrimonializzazione dei diversi 
sistemi bancari, imponendo alle banche un certo livello di capitalizzazione che ne 
12 di 128