01/04/2020 - Banco di Desio e della Brianza S.p.A.: Terzo Pilastro di Basilea 3 - Informativa al pubblico al 31 dicembre 2019

TERZO PILASTRO DI BASILEA 3

INFORMATIVA AL PUBBLICO

AL 31 dicembre 2019

BANCO DI DESIO E DELLA BRIANZA S.p.A.

Sede legale via Rovagnati,1 - 20832 Desio (MB)

Codice Fiscale n. 01181770155

Iscritta alla Camera di Commercio Metropolitana

di Milano, Monza e Brianza e Lodi

Capitale Sociale Euro 70.692.590,28 i.v.

Aderente al Fondo Interbancario di Tutela dei Depositi

e al Fondo Nazionale di Garanzia

Iscritta all'Albo delle Banche al Cod. ABI n. 3440/5

Capogruppo del Gruppo Bancario Banco di Desio e della Brianza

Iscritto all'Albo dei Gruppi Bancari al n. 3440/5

11. ESPOSIZIONE IN STRUMENTI DI CAPITALE NON INCLUSE NEL PORTAFOGLIO DI

12. ESPOSIZIONE AL RISCHIO DI TASSO DI INTERESSE SU POSIZIONI NON INCLUSE NEL

2

Introduzione

Dal 1° gennaio 2014 ha avuto efficacia la disciplina armonizzata per le banche e le imprese di investimento contenuta nel Regolamento (UE) N. 575/2014 (di seguito "CRR" o il "Regolamento") e nella Direttiva 2014/36/EU (di seguito "CRD IV" o la "Direttiva") del 26 giugno 2014, che recepiscono nel quadro normativo dell'Unione Europea i provvedimenti adottati dal Comitato di Basilea per la vigilanza bancaria (impianto normativo Basilea 3).

In tale ambito la normativa riguardante il Terzo Pilastro prevede obblighi di pubblicazione delle informazioni riguardanti l'adeguatezza patrimoniale, l'esposizione ai rischi e le caratteristiche generali dei sistemi preposti all'identificazione, alla misurazione e alla gestione di tali rischi. In particolare l'Informativa al Pubblico è normata dal Regolamento UE n. 575/2014 (c.d. CRR), Parte Otto e Parte Dieci, Titoli I, Capo 3 e dalle norme tecniche di regolamentazione o di attuazione emanate dalla Commissione Europea per disciplinare:

• i modelli uniformi per la pubblicazione delle informazioni riguardanti le principali caratteristiche degli strumenti di capitale;
• i modelli uniformi per la pubblicazione delle informazioni riguardanti i fondi propri nel periodo a decorrere dal 1° gennaio 2014 al 31 dicembre 2021;
• gli obblighi di informativa in materia di riserve di capitale;
• i modelli uniformi per la pubblicazione delle informazioni riguardanti gli indicatori di importanza sistemica;
• l'informativa concernente le attività di bilancio prive di vincoli;
• i modelli uniformi per la pubblicazione delle informazioni riguardanti la leva finanziaria (leverage ratio).

Alla normativa dell'Unione europea si aggiungono le disposizioni emesse dalla Banca d'Italia con la Circolare n. 285 del 17 dicembre 2013, che raccoglie le disposizioni di vigilanza prudenziale applicabili alle banche e ai gruppi bancari italiani, riviste e aggiornate per adeguare la normativa interna alle novità intervenute nel quadro regolamentare internazionale, con particolare riguardo al nuovo assetto normativo e istituzionale della vigilanza bancaria dell'Unione europea, nonché per tener conto delle esigenze emerse nell'esercizio della vigilanza sulle banche e sugli altri intermediari. La suddetta Circolare detta alcune disposizioni specifiche per la predisposizione e pubblicazione del Pillar 3, richiamando in particolare i seguenti orientamenti dell'EBA con riferimento:

• ai criteri generali di redazione (pubblicazioni del 23 dicembre 2014 e del 4 agosto 2017);
• all'informativa sulle attività impegnate e non impegnate (documento del 27 giugno 2014);
• al coefficiente di copertura della liquidità (richiamo a quanto pubblicato in data 21 giugno 2017);
• disposizioni transitorie per l'attenuazione dell'impatto IFRS9 (rinvio agli orientamenti del 16 gennaio 2018).

Inoltre a partire dalla presente informativa al pubblico, il Gruppo provvede a fornire specifica disclosure in merito alle proprie esposizioni non-performing e forborne secondo gli schemi di compilazione standard richiesti dalle linee guida EBA 2018/10 entrate in vigore al 31 dicembre 2019, per la parte direttamente applicabile alle entità non significative.

Le informazioni devono essere pubblicate attraverso il sito internet della banca con una frequenza almeno annuale e comunque in occasione della pubblicazione del bilancio d'esercizio.

Le informazioni contenute nel documento di Informativa al Pubblico al 31/12/2019 sono quelle espressamente previste da CRR.

La predisposizione dell'Informativa al Pubblico è realizzata attraverso la collaborazione dei diversi organi e delle strutture interessate nel governo e nell'esecuzione dei processi, coerentemente con le

3

attribuzioni previste dalla normativa interna del Gruppo. In particolare la supervisione del processo di informazione al pubblico e di comunicazione della banca rientra nelle attribuzioni del Consiglio di Amministrazione.

Il Gruppo Banco Desio ha definito una politica formale per conformarsi ai requisiti in materia di informativa, con la finalità di formalizzare i processi utilizzati per la costruzione e pubblicazione dell'Informativa al Pubblico.

A fini di completezza, si specifica che le informazioni oggetto di pubblicazione sono riferite all'area di consolidamento prudenziale, ovvero all'insieme delle entità soggette al consolidamento ai fini di vigilanza. Eventuali disallineamenti rispetto ad altre fonti (Bilancio consolidato redatto alla medesima data di riferimento) sono pertanto imputabili alle differenze sul perimetro considerato.

Ulteriori informazioni in tema di rischi e adeguatezza patrimoniale sono riportate nella Relazione sulla Gestione e nella Nota integrativa al Bilancio consolidato al 31 dicembre 2019; in particolare le informazioni sui rischi del Gruppo sono contenute nella Parte E della Nota Integrativa del bilancio.

Gli importi delle tabelle e i dati riportati nel documento sono espressi - se non diversamente indicato

- in migliaia di Euro.

Il Gruppo Banco Desio pubblica la presente Informativa al Pubblico attraverso il proprio sito Internet (www.bancodesio.it).

4

1. Obiettivi e politiche di gestione del rischio (art. 435 CRR)

Introduzione

In termini generali è possibile definire il rischio, in ambito economico-finanziario, come la possibilità che il risultato di una qualsiasi operazione compiuta da un soggetto economico sia differente da quanto previsto ex-ante. E' dunque implicito che il rischio è parte integrante dello svolgimento dell'attività bancaria e che la stabilità di medio/lungo periodo dell'Istituto di Credito e la sua competitività sono funzione della scelta del rapporto rischio/rendimento delle operazioni poste in essere nel loro complesso. Al fine di fronteggiare i rischi a cui è esposta, la banca si dota di idonei dispositivi di governo societario e di adeguati meccanismi di gestione e di controllo. Tali presidi coprono ogni tipologia di rischio aziendale assunto coerentemente con le caratteristiche, le dimensioni e la complessità delle attività svolte dall'intermediario. In ottemperanza alla Circolare di Banca d'Italia n.285/2013, il Gruppo bancario ha provveduto a predisporre il Risk Appetite Framework (RAF), oggetto di aggiornamento su base annuale in coerenza con l'evoluzione degli obiettivi e delle strategie di rischio della banca. L'approccio metodologico adottato dal Gruppo prevede una valutazione di tipo quantitativo basata su tre differenti tipologie di indicatori (indicatori di rischio di primo livello, indicatori di rischio di secondo livello e key-risk indicators) e una valutazione di tipo qualitativo concernente la valutazione dei presidi organizzativi. A ciò si aggiungono specifiche policy riguardanti le varie tipologie di rischio, che forniscono i criteri per la gestione operativa degli stessi in una prospettiva di gruppo e individuale.

Le decisioni strategiche a livello di Gruppo in materia di gestione del rischio sono rimesse agli organi aziendali della Capogruppo e tali scelte tengono conto della specifica operatività e dei connessi profili di rischio di ciascuna delle Società componenti il Gruppo. Per quanto riguarda le altre componenti del Gruppo, gli organi aziendali sono consapevoli del profilo di rischio e delle politiche di gestione definiti dalla Capogruppo e sono responsabili dell'attuazione di tali politiche in modo coerente con la propria realtà aziendale. Nella prospettiva di un efficace ed efficiente sistema di gestione e controllo dei rischi, il Gruppo declina sulla propria struttura organizzativa specifiche responsabilità in materia. In quest'ottica il Gruppo applica il principio di separazione delle funzioni coinvolte nel processo di controllo del rischio secondo quanto previsto dalla normativa di vigilanza prudenziale.

Il Sistema dei Controlli Interni e di Gestione dei Rischi è costituito dall'insieme delle regole, delle procedure e delle strutture organizzative volte a consentire l'identificazione, la misurazione, la gestione e il monitoraggio dei principali rischi. Tale sistema è integrato negli assetti organizzativi e di governo societario adottati dal Gruppo. Le linee guida del sistema sono definite in apposita normativa interna. Le disposizioni operative e informative di dettaglio in merito ai controlli posti in essere, ai vari livelli, sui processi aziendali sono contenute in specifica normativa di funzione e Procedure Interne. Gli Organi e le funzioni coinvolti nel Sistema dei Controlli Interni sono articolati come segue:

1. Comitato Controllo e Rischi, in qualità di organismo endoconsiliare, ha funzioni consultive e istruttorie rispetto alle competenze del Consiglio di Amministrazione, con particolare riferimento alle valutazioni e decisioni relative al sistema di controllo interno e di gestione dei rischi;
2. Amministratore incaricato per il sistema di controllo interno e di gestione dei rischi (AISCI), a cui spetta il compito di assicurare il mantenimento di un efficace sistema di controllo interno e di gestione dei rischi;
3. Direttore Generale, in qualità di Organo con Funzione di Gestione, al quale spetta il compito di condurre, in qualità di soggetto preposto alla gestione del personale e all'organizzazione e funzionamento delle strutture aziendali, gli affari correnti, secondo gli indirizzi generali stabiliti dal Consiglio di Amministrazione, dal Comitato Esecutivo e di quelli forniti dall'AISCI per quanto attiene al sistema di controllo interno e gestione dei rischi connessi con l'operatività aziendale;
4. Funzione Chief Audit Officer, a cui spetta il compito di svolgere le verifiche volte ad assicurare che il Sistema di Controllo Interno aziendale e di Gruppo, nel suo complesso, sia adeguato e funzionante;
5. Funzione di Compliance, alla quale è attribuito il compito di gestire e presidiare, a livello di Gruppo, il rischio di non conformità alle norme;

5

1. Funzione Chief Risk Officer, a cui spetta il compito di misurare e monitorare l'esposizione del Gruppo alle diverse tipologie di rischio, in particolare ai rischi di mercato, credito, tasso, liquidità ed operativi, nonché di supportare il Consiglio di Amministrazione nel governo del RAF e del processo
   ICAAP/ILAAP;
2. Funzione Antiriciclaggio, a cui spetta il compito di verificare nel continuo che le procedure aziendali siano coerenti con l'obiettivo di prevenire e contrastare la violazione di norme in materia di riciclaggio e di finanziamento del terrorismo;
3. L'Ufficio Rischi di Credito, a riporto della Funzione Chief Risk Officer, avente funzione di verifica del corretto svolgimento del monitoraggio andamentale sulle esposizioni creditizie (in bonis ed in particolare deteriorate) della coerenza delle classificazioni, della congruità degli accantonamenti e dell'adeguatezza del processo di recupero (di cui alla Circolare 285/2013);
4. Dirigente Preposto ex legge 262/05, a cui spetta il compito di definire e mantenere un modello organizzativo e di controllo sull'informativa finanziaria del Gruppo, finalizzato a garantire l'affidabilità e l'integrità delle informazioni contabili e gestionali;

Tali funzioni svolgono la loro attività anche nei confronti delle controllate, secondo quanto previsto dalla specifica normativa di funzione, nonché - laddove la Capogruppo assuma in outsourcing le incombenze di controllo interno di determinate Controllate - secondo quanto previsto dagli appositi Accordi Quadro in materia.

La propensione al rischio del Gruppo

La Circolare 285/2013 prevede che le banche debbano definire un quadro di riferimento per la determinazione della propensione al rischio (RAF), che fissi ex-ante gli obiettivi di rischio-rendimento che l'intermediario intende raggiungere e i conseguenti limiti operativi. Ai fini dell'implementazione del RAF il dettato regolamentare fornisce una serie di informazioni minimali sottolineando che l'effettiva articolazione dello stesso va, comunque, calibrata in base alle caratteristiche dimensionali e di complessità operativa di ciascuna banca. La normativa di vigilanza prudenziale definisce i seguenti concetti rilevanti ai fini del RAF:

• risk capacity(massimo rischio assumibile): rappresenta il livello massimo di rischio che una banca è tecnicamente in grado di assumere senza violare i requisiti regolamentari o gli altri vincoli imposti dagli azionisti o dall'autorità di vigilanza;
• risk appetite(obiettivo di rischio o propensione al rischio): è il livello di rischio (complessivo e per tipologia) che la banca intende assumere per il perseguimento dei suoi obiettivi strategici;
• risk tolerance(soglia di tolleranza): indica la devianza massima dal risk appetite consentita. La soglia di tolleranza è fissata in modo da assicurare in ogni caso alla banca margini sufficienti per operare, anche in condizioni di stress, entro il massimo rischio assumibile;
• risk profile(rischio effettivo): esprime il rischio effettivamente misurato in un determinato istante temporale;
• risk limits(limiti di rischio): consiste nell'articolazione degli obiettivi di rischio in limiti operativi definiti, in linea con il principio di proporzionalità, per tipologia di rischio, unità e/o linee di business, linee di prodotto e tipologie di clienti.

L'approccio metodologico adottato dal Gruppo prevede una valutazione di tipo quantitativo basata su tre differenti tipologie di indicatori (indicatori di rischio di primo livello, indicatori di rischio di secondo livello e key-risk indicators) e una valutazione di tipo qualitativo concernente la valutazione dei presidi organizzativi.

A ciò si aggiungono specifiche policy riguardanti le varie tipologie di rischio che forniscono i criteri per la gestione operativa degli stessi in una prospettiva di gruppo e individuale. Nel seguito si fornisce una descrizione delle tre tipologie di indicatori utilizzati e della valutazione qualitativa dei presidi organizzativi ai fini della misurazione, del monitoraggio e della gestione delle varie tipologie di rischi.

6

Indicatori di rischio di primo livello (RAF):sono riconducibili a specifici macro-ambiti concernenti l'esposizione al rischio del Gruppo rappresentati dall'adeguatezza patrimoniale, struttura finanziaria, liquidità, redditività e business. Su ciascun indicatore sono calibrati sia i concetti di risk appetite, risk tolerance e risk capacity sia un valore soglia (soglia di warning) il cui superamento comporta l'attivazione di specifici processi aziendali di escalation.

Per le singole entità giuridiche costituenti il Gruppo non sono calibrati indicatori di primo livello.

Indicatori di rischio di secondo livello (Policy di gestione dei rischi aziendali - Gruppo Banco Desio):sono riconducibili alle singole tipologie di rischio e ritenuti di particolari significatività per l'operatività bancaria. Su ciascun indicatore è calibrato un sistema di limiti operativi (risk limits) strutturato su due differenti tipologie di soglie il cui superamento comporta, a seconda della minore o maggiore gravità riscontrata (rispettivamente soglia di alert e soglia di warning), l'attivazione di specifici processi aziendali di escalation. Le suddette soglie hanno l'obiettivo di segnalare tempestivamente un eventuale avvicinamento degli indicatori di rischio di secondo livello ad una situazione ritenuta di particolare criticità. I valori delle soglie sono descritte all'interno del documento "Limiti operativi di monitoraggio della Policy di gestione dei rischi aziendali" specifico per ogni entità giuridica.

Key-riskindicators: sono definiti nell'ambito della "Policy di gestione dei rischi aziendali - Gruppo Banco Desio" riguardanti le singole tipologie di rischio in quanto riconducibili a specifici aspetti operativi e gestionali, ritenuti di particolare rilevanza per l'operatività bancaria. Pertanto forniscono ulteriori informazioni, in una differente prospettiva, sulla dinamica dell'esposizione ai rischi del Gruppo. Su tali indicatori non sono previste soglie di alert e/o di warning, anche se sono monitorati periodicamente al fine di rilevare eventuali dati anomali o possibili tendenze atipiche e individuare, di conseguenza, eventuali azioni correttive.

La valutazione qualitativa dei presidi organizzativi: valutazione di tipo qualitativo sui presidi organizzati attualmente in essere a fronte dei rischi aziendali. L'obiettivo di tale attività è analizzare, attraverso l'esame delle evidenze provenienti dalla Revisione Interna, dalla Compliance e dell'Ufficio Antiriciclaggio, l'adeguatezza della configurazione organizzativa in essere in relazione al profilo di risk appetite definito in sede RAF. Le evidenze ottenute consentono, dapprima, di formulare un giudizio di adeguatezza complessiva sullo stato dell'arte dei presidi organizzativi e, successivamente, identificare specifici interventi migliorativi da attivare nei successivi 12 mesi. Infine, viene effettuata una valutazione del profilo atteso di adeguatezza dei presidi organizzativi, a seguito dell'attuazione dei predetti interventi, attraverso la condivisione con le strutture interessate. Successivamente si provvede all'approvazione degli interventi individuati con definizione delle relative tempistiche e responsabilità di attuazione e coordinamento. Le attività individuate sono svolte nell'ambito del processo di autovalutazione in sede ICAAP.

In tale ambito si colloca, inoltre, l'attività di autovalutazione effettata, con cadenza annuale, dall'Ufficio Antiriciclaggio in tema di rischi riciclaggio e finanziamento al terrorismo. Le modalità di analisi di tali rischi sono effettuate in linea con quanto previsto da Banca D'Italia1 e recepite nella Policy Antiriciclaggio.

L'implementazione del RAF prevede una efficace attività di monitoraggio e di reportistica in grado di analizzare e valutare il profilo di rischio della banca. I processi di escalation differiscono a seconda che il superamento delle soglie riguardi gli indicatori di rischio di primo o di secondo livello.

L'implementazione del RAF prevede una efficace attività di monitoraggio e di reportistica in grado di analizzare e valutare il profilo di rischio della banca. Il superamento delle soglia di alert/warning degli indicatori di rischio comporta l'attivazione di specifici processi di escalation finalizzati a valutare, innanzitutto, le ragioni alla base della violazione dei limiti e, successivamente, individuare le azioni correttive per riportare l'operatività in una situazione di normale corso degli affari. I processi di escalation differiscono a seconda che il superamento delle soglie riguardi gli indicatori di rischio di primo o di secondo livello.

• Cfr. comunicazione n. 1115097/15 del 21/10/2015

7

I rischi

Il rischio di credito

Il rischio di credito è il rischio che una variazione inattesa del merito creditizio di una controparte, nei confronti della quale esiste una esposizione, generi una corrispondente variazione del valore di mercato della posizione creditoria.

Le strategie e i processi per la gestione del rischio di credito

Nell'ambito della Policy Creditizia del Gruppo e con riferimento agli operatori economici sono espressamente richiamati i seguenti principi generali da osservare nell'erogazione dei crediti: a) il frazionamento del rischio fra una molteplicità di aziende operanti in diversi settori di attività economica ed in diversi segmenti di mercato; b) la congruità del fido a livello di singolo nominativo in funzione non solo dell'autonoma capacità di credito di quest'ultimo, ma anche della forma tecnica del fido stesso nonché delle garanzie collaterali acquisibili.

Ciò premesso per la concessione di un fido e il successivo mantenimento, il Gruppo si basa, in linea di massima, sul combinato concorso di più elementi quali: a) la fiducia, che è in funzione di fattori d'ordine personale attinenti alla correttezza, capacità tecnica, etc., di coloro che guidano l'azienda; b) la stabilità nella conduzione aziendale, che assicura unità e continuità all'indirizzo gestionale; c) la consistenza responsabile, intesa come patrimonio aziendale e/o personale dei soci garanti che deve presentarsi in termini adeguati per la concessione del fido richiesto; d) l'equilibrata struttura patrimoniale e finanziaria, tenuto conto delle risorse sulle quali l'azienda potrà fare assegnamento e dei fabbisogni che nello stesso tempo si verificheranno in conseguenza degli impegni programmati; e) la positiva situazione di liquidità; f) l'adeguata redditività della relazione; g) la convincente motivazione della destinazione del fido; h) la capacità di reddito prospettica e di continuità aziendale. Nel caso delle Famiglie Consumatrici vengono, invece, considerati i seguenti aspetti: a) l'adeguata capacità di reddito in relazione agli impegni assunti e da assumere; b) la rispondenza patrimoniale del richiedente; c) la positiva sperimentazione dei rapporti in essere.

La Struttura e l'organizzazione della pertinente funzione di gestione del rischio di credito

Il Consiglio di Amministrazione approva e valuta l'adeguatezza dell'assetto di governo societario, organizzativo, amministrativo e contabile della Banca e del Gruppo, con particolare riferimento al sistema dei controlli interni e di gestione di tutti i rischi, garantendo la chiara distinzione di compiti tra funzioni, nonché la prevenzione dei conflitti di interesse.

L'Amministratore incaricato del sistema di controllo e di gestione dei rischi "(AISCI)", ferme restando le prerogative del Consiglio di Amministrazione, del Comitato Controllo e Rischi nonché del Collegio Sindacale, svolge, avvalendosi del supporto delle funzioni di controllo interno, compiti di monitoraggio e coordinamento del Sistema di Controllo Interno e Gestione dei Rischi nel suo complesso, con l'obiettivo di assicurare il mantenimento dell'efficacia dello stesso.

In tale quadro, riferito alla gestione dei rischi in generale, particolare importanza riveste il sistema delle deleghe in materia di concessione del credito; esso risulta articolato in base agli organi e alle funzioni/ruoli aziendali, dal Comitato Esecutivo ai Quadri Direttivi. Alle diverse funzioni sono pertanto assegnate le responsabilità per le attività di valutazione e per l'assunzione dei rischi, nel rispetto dei limiti di autonomia creditizia presenti nel Regolamento Interno ed in coerenza con l'articolazione organizzativa della rete commerciale.

In tale contesto la Direzione Creditisupporta la Direzione Generale presidiando le attività di concessione e di gestione del credito ordinario e coadiuvando la Direzione Generale al fine di assicurare una attenta e consapevole assunzione dei rischi, in linea con le politiche aziendali sulla qualità del credito, sovrintendendo il coordinamento complessivo dell'attività creditizia e assicurando il presidio dell'operatività del comparto anche con riferimento ai Crediti Speciali (ferma restando l'autonomia gestionale delle Controllate nell'erogazione del credito alla propria clientela). In particolare provvede a: a) omogeneizzare le metodologie

8

e i processi di concessione del credito; b) assicurare l'attuazione della Policy delle politiche creditizie di Gruppo assumendo quale primo elemento fondamentale per una corretta valutazione del rischio di credito l'esposizione creditizia globale di ogni Controparte e del relativo gruppo giuridico-economico di appartenenza verso il Gruppo bancario; c) supervisionare le attività svolte in materia dalle strutture delle Controllate impartendo le relative disposizioni e fornendo la necessaria assistenza.

Nell'ambito della Direzione Crediti, l'Area Crediti svolge i seguenti compiti: a) presidia le attività di concessione e di gestione del credito ordinario e coadiuva la Direzione Crediti al fine di assicurare una attenta e consapevole assunzione dei rischi, in linea con le politiche aziendali sulla qualità del credito; b) presidia i controlli interni finalizzati ad assicurare la certezza giuridica delle garanzie; c) contribuisce, di concerto con la Direzione Risorse, allo sviluppo delle conoscenze e delle competenze tecnico-specialistiche delle risorse interne e della rete distributiva; d) collabora allo sviluppo di progetti organizzativi, fornendo il necessario contributo e assicurando il collegamento tra il centro di governo progettuale e le strutture della Direzione/Area;

1. supporta la formazione, per gli aspetti specialistici di competenza, nell'individuazione dei bisogni formativi, contribuendo nella progettazione, nella realizzazione e nell'aggiornamento dei moduli formativi e nell'attività di docenza.
   L'Area Crediti Speciali, a diretto riporto della Direzione Crediti svolge i seguenti compiti: a) coadiuva la Direzione Crediti al fine di assicurare un'attenta e consapevole assunzione dei rischi, in linea con le politiche aziendali sulla qualità del credito; b) assicura il presidio e la realizzazione dei prodotti di credito a medio-lungo termine, credito agevolato e factoring, svolgendo la funzione di interlocutore con gli Istituti a medio e lungo termine, con i Consorzi fidi, con le Associazioni di categoria (Assilea/Assifact/Assofin) e Banche Dati; c) affianca la Rete Distributiva nell'allestimento e nella formalizzazione dei contratti di finanziamento, verificando la rispondenza delle proposte alla normativa specifica e deliberando gli affidamenti nel rispetto dei poteri delegati; d) assicura alla Direzione Processi Organizzativi il supporto per gli aspetti specialistici di competenza per la realizzazione e il costante aggiornamento della normativa interna; collabora, altresì, con detta Direzione per lo sviluppo e l'implementazione delle applicazioni informatiche di riferimento; e) collabora allo sviluppo di progetti organizzativi, fornendo il necessario contributo e assicurando il collegamento tra il centro di governo progettuale e le strutture dell'Area.
   L'Area Monitoraggio Andamentale processi credito e Reporting: gestisce le posizioni in bonis/past due intercettate dalla strumentazione in uso, per le quali non sussistano ancora i presupposti per l'avvio di recupero stragiudiziale ovvero di azioni legali. Le principali attività svolte, per il tramite dell'Ufficio Monitoraggio, sono di seguito descritte: a) effettua rilevazioni sull'andamento delle singole posizioni di rischio intercettate in base a controlli periodici e puntuali, secondo i criteri predefiniti, ovvero evidenziate da altre Unità Organizzative (Direzione Crediti, Funzione Chief Risk Officer, Funzione Chief Audit Officer, ecc.); b) interviene sulla rete distributiva per evidenziare i segnali di anomalia al fine di richiedere la normalizzazione della posizione di rischio e, in caso di esito negativo, ne dispone la classificazione nelle diverse categorie di rischio anomalo e determina le previsioni di perdita analitica; c) gestisce, in collaborazione con la rete distributiva, le posizioni di rischio classificate "past due" e "sotto controllo", monitorando l'evoluzione delle singole posizioni e coordinando tutta la rete distributiva in tale attività di presidio dei rischi; d) supporta le Filiali nella disamina di criticità e delle problematiche connesse alla gestione dei rischi; e) delibera le posizioni "sotto controllo" e past due, nei limiti dei poteri attribuiti ed esprime parere per le delibere oltre i poteri; f) stima le previsioni di perdita per le posizioni da classificare tra le "Inadempienze probabili" per le posizioni ipotecarie, provvedendo a richiedere le perizie Drive-by; g) gestisce le posizioni forborne performing; h) valuta e analizza le posizioni in bonis e past due con sofferenze allargate; i) dispone l'eventuale invio di lettere di sollecito ed in caso di urgenza di messa in mora, risoluzione dei contratti e realizzo coattivo dei pegni; l) esegue il controllo sulla rete del corretto svolgimento delle azioni inerenti la gestione del fenomeno e delle garanzie reali.

La Direzione NPLgestisce le attività di recupero sulle posizioni classificate a sofferenza o ad inadempienza probabile, sia svolte direttamente che attraverso società esterne specializzate. La Direzione NPL è posta a diretto riporto del Direttore Generale ed è così articolata: Ufficio UTP, Ufficio Contenzioso e Ufficio Outsourcing e Progetti Speciali, che gestisce tra l'altro la fase post vendita delle cessioni e funge da

9

interfaccia per il Chief Risk Officer. La Direzione NPL gestisce le attività di recupero crediti sia in via giudiziale sia in via stragiudiziale, gestisce i crediti ristrutturati e le esposizioni rilevanti, interviene sulle posizioni classificate a inadempienza, cura la gestione di posizioni deteriorate attuando tutti gli adempimenti necessari per il recupero del credito. La Direzione NPL sottopone alla valutazione di soggetti interessati all'acquisto di pratiche NPL, sia le singole posizioni, sia eventuali portafogli chirografari e/o ipotecari, con tutte le attività di rito volte alla collazione informativa per il potenziale cessionario.

La Funzione Chief Risk Officer, posta a diretto riporto del Consiglio di Amministrazione, ha il compito di supportare il governo dei rischi aziendali e di Gruppo in coerenza con le strategie, i piani e le politiche di rischio definite e nel rispetto della normativa primaria, secondaria e aziendale. Alla stessa spetta quindi il compito di misurare e monitorare l'esposizione del Gruppo alle diverse tipologie di rischio, tra cui il rischio di credito e concentrazione, coordinando anche le attività progettuali per la definizione e l'implementazione di modelli, metodologie e strumenti di valutazione e misurazione e sviluppando un sistema di reportistica integrato per il monitoraggio dei rischi e del relativo capitale interno complessivo. La Funzione Chief Risk Officer è altresì incaricata dei seguenti controlli: a) corretto svolgimento delle attività di monitoraggio delle esposizioni creditizie, in bonis ed in particolare di quelle deteriorate; b) coerenza delle classificazioni; c) congruità degli accantonamenti; d) adeguatezza del processo di recupero. Nell'ambito della stessa è stata inoltre costituita l'unità di Rating Desk, con funzioni di override, delibera e controllo dei rating attribuiti alle singole controparti.

Infine, la Funzione Chief Audit Officer, posta a diretto riporto del Consiglio di Amministrazione, valuta la funzionalità e l'affidabilità dell'intero sistema dei controlli interni, ed effettua, tra gli altri, i controlli sulla regolarità operativa dell'attività creditizia.

L'ambito di applicazione e la natura dei sistemi di segnalazione e misurazione del rischio di credito

I sistemi di gestione e controllo del rischio di credito si sviluppano in un contesto organizzativo che vede coinvolto tutto il ciclo del processo del credito, dalla fase iniziale di istruttoria al riesame periodico e a quella finale di revoca e recupero. Nella fase di istruttoria del credito il Gruppo effettua indagini sia interne sia esterne sul cliente da affidare, e perviene alla decisione finale di concessione del credito considerando anche tutto l'insieme di informazioni relative al soggetto economico, frutto di una diretta conoscenza della clientela e del contesto economico ove opera. Sostanzialmente la determinazione del merito creditizio di una controparte deriva da: a) un'analisi delle informazioni qualitative e quantitative reperibili da diverse fonti (bilancio, centrale rischi, banche dati, etc.); b) una valutazione soggettiva da parte dell'Organo Deliberante sulla base della conoscenza della controparte o della reputazione del management. Le principali linee guida di tale processo valutativo fanno riferimento: a) alla conoscenza del prenditore in termini di attività esercitata, informazioni finanziarie e di bilancio, reputazione del cliente e del management qualora si tratti di Imprese; b) all'identificazione delle finalità alle quali è indirizzata l'assistenza creditizia richiesta; c) alla individuazione delle fonti di rimborso e copertura del rischio di credito assunto; d) alle garanzie acquisite al fine di mitigare il rischio di credito.

La conoscenza del prenditore, qualora si tratti di una impresa, si articola innanzitutto nella verifica del posizionamento competitivo dello stesso sul mercato di riferimento in cui opera, definito in base ai prodotti/servizi realizzati, l'Area geografica coperta dalla Rete di vendita/distribuzione ed il segmento di clientela target. Oltre ai bilanci, l'analisi ha per oggetto anche l'evoluzione prospettica della gestione aziendale (business plan) e le ripercussioni sul piano finanziario e sulla conseguente capacità di rimborso/copertura degli impegni assunti. Sia per le Imprese che per i Privati, una particolare attenzione viene dedicata all'analisi delle finalità di investimento per le quali è richiesto l'affidamento. Sia per la clientela privata che per le Imprese, la corretta rappresentazione delle finalità e del relativo piano finanziario, consentono all'Organo Deliberante, una volta verificato il gradimento della tipologia di operazione, di assumere il rischio di credito in maniera consapevole pesando adeguatamente la sostenibilità finanziaria del progetto da finanziare, le ricadute gestionali del medesimo e la redditività complessiva presente e prospettica che consentirà il rimborso del proprio debito.

10

A fini gestionali il Gruppo utilizza un sistema di rating interno - sviluppato a livello consortile e adattato al portafoglio del Gruppo che classifica ogni controparte in classi di rischio aventi probabilità di insolvenza omogenee e crescenti. Il modello statistico è di tipo "Logit" e consente di determinare la probabilità di accadimento dell'evento "default" (PD - probability of default) mediante l'analisi e la valutazione combinata di fattori andamentali e fondamentali. L'applicazione di tale modello permette di assegnare un rating sulla base delle fonti informative utilizzate e del segmento di appartenenza. In particolare, i criteri di segmentazione delle controparti sono derivati tenendo conto del settore di attività economica (SAE) e della dimensione della controparte (fatturato o totale attivo) della controparte. Le classi di rating per le controparti in bonis sono dieci (ordinate da 1 a 10 al crescere della Probabilità di insolvenza assegnata). Le società finanziarie, le istituzioni e le associazioni (componenti residuali dei portafogli delle banche consorziate) sono analizzate secondo i criteri di un precedente modello di rating articolato secondo 8 classi di rating in bonis dalla AAA alla CC. Le evolutive che hanno di recente interessato il sistema di rating hanno ampliato il set informativo prevedendo anche un ulteriore contributo di valutazioni di tipo qualitativo nella determinazione della classi di rating.

Il Gruppo utilizza inoltre i parametri di LGD (Loss Given Default) ed EAD (Exposure At Default) nei processi di gestione del rischio di credito (i.e. risk reporting, autonomie deliberative).

Le politiche di copertura e di attenuazione del rischio di credito, le strategie e i processi per la sorveglianza continuativa sulla loro efficacia

Nel processo che porta all'erogazione del credito, pur in presenza di valutazioni positive riferite alla controparte e all'operazione, il Gruppo acquisisce, ogniqualvolta possibile, garanzie accessorie finalizzate alla mitigazione del rischio. Le garanzie assunte a mitigazione del rischio di credito sono sottoposte ad attento monitoraggio periodico per verificarne il mantenimento del valore inizialmente determinato o la solidità patrimoniale del garante/fidejussore. Nel caso di eventi che modifichino in senso negativo il quadro delle garanzie occorre provvedere prontamente al reintegro delle medesime e/o alla riduzione della linea di credito accordata precedentemente. Sul complesso dei crediti appare preminente la garanzia ipotecaria, riferita principalmente alla forma tecnica dei mutui (particolarmente su immobili residenziali). In forma minore, ma pur sempre su livelli significativi, sono presenti anche garanzie pignoratizie su valori mobiliari e/o denaro.

Al valore delle garanzie reali è applicato uno scarto prudenziale in relazione alla variabilità nel tempo del valore di mercato del pegno; le stesse sono sottoposte ad un costante monitoraggio in modo da verificare il valore attuale rispetto a quello iniziale e consentire interventi in caso di riduzione del valore. Sull'acquisizione delle garanzie ipotecarie vengono applicati gli scarti previsti dalla normativa interna. Le garanzie personali consistono principalmente in fidejussioni rilasciate da persone fisiche e società. La loro valorizzazione viene sempre effettuata sulla base di una valutazione del patrimonio del garante, nell'ambito delle fasi di istruttoria e/o rinnovo del credito. Le garanzie raccolte dal Gruppo sono redatte su schemi contrattuali, in linea con gli standard di categoria e con gli orientamenti giurisprudenziali, che sono approvati dalle competenti funzioni aziendali.

Il rischio di mercato

Il rischio di mercato è il rischio derivante da cambiamenti nel valore di uno strumento finanziario o di un portafoglio di strumenti finanziari causati da variazioni inattese delle condizioni di mercato.

Le strategie e processi per la gestione del rischio di mercato

Il Gruppo presenta un'esposizione molto limitata ai rischi di mercato inerente il "portafoglio di negoziazione di vigilanza". Ai fini gestionali le logiche di definizione, misurazione, gestione e controllo dei rischi di mercato sono mutuate anche per i portafogli di strumenti finanziari, diversi dai crediti, classificati nel portafoglio bancario.

La gestione del portafoglio di proprietà si concretizza principalmente nell'attuazione delle politiche di investimento finanziario sulla base degli indirizzi strategici definiti dal Consiglio di Amministrazione e nella

11

gestione operativa di portafogli di proprietà e della liquidità a breve termine, in Euro e divisa, puntando all'ottimizzazione del rapporto rischio/rendimento. In tale contesto il Gruppo provvede all'attuazione della propria politica di investimento in modo coerente con i propri obiettivi di capitale e con il profilo di rischio desiderato al fine di garantire una gestione efficiente e prudente della liquidità rispetto alla situazione attuale ed alle previsioni strategiche formulate. Ne deriva una gestione profittevole dei flussi finanziari allo scopo di soddisfare il fabbisogno di liquidità e di massimizzare la redditività. A questa capacità di utilizzo delle disponibilità monetarie si aggiunge la ricerca e l'uso di strumenti di approvvigionamento e di impiego, in contropartita di controparti istituzionali e sovranazionali (es. Banca Centrale Europea).

La Struttura e organizzazione della pertinente funzione di gestione del rischio di mercato

L'assetto organizzativo del Gruppo prevede il presidio e la gestione del rischio di credito in una logica di separatezza fra funzioni di business e di controllo. Il Consiglio di Amministrazione approva gli orientamenti strategici e le politiche di gestione del rischio. Lo stesso verifica che, anche a livello di Gruppo, l'Amministratore incaricato del sistema di controllo e di gestione dei rischi (AISCI) promuova e garantisca nell'ambito del suo operato una chiara e diffusa conoscenza delle politiche di gestione dei rischi approvate dal C.d.A. stesso, definisca la struttura del sistema dei controlli interni e dei rischi (da sottoporre all'approvazione del C.d.A. medesimo) in coerenza con la propensione al rischio predefinita nell'ambito del RAF ("Risk Appetite Framework"), e che le funzioni di controllo abbiano autonomia all'interno della struttura e siano dotate delle risorse adeguate all'espletamento delle proprie responsabilità. In particolare:

• la Funzione Risk Management della Capogruppo assicura il processo integrato di gestione del rischio, controllando e monitorando i rischi rilevanti, identificando ed analizzando sistematicamente le fonti di tali rischi, coordinando le attività progettuali per la definizione e l'implementazione di modelli, metodologie e strumenti di misurazione e sviluppando un sistema di reportistica integrato per il monitoraggio dei rischi;
• la Direzione Finanza della Capogruppo conduce le attività di propria competenza nel rispetto dei limiti e delle deleghe assegnate.

L'ambito di applicazione e la natura dei sistemi di segnalazione e misurazione del rischio di mercato

L'attività di negoziazione della Direzione Finanza è soggetta a limiti operativi così come declinato nella "Policy di rischio" e nei testi di normativa interna; al fine di contenere il rischio di mercato sono fissati specifici limiti di consistenza, duration e Valore a Rischio (Value at Risk - VaR). Uno specifico sistema di reporting è lo strumento finalizzato a fornire alle unità organizzative coinvolte un'adeguata informativa. Il contenuto e la frequenza dei report dipendono dagli obiettivi assegnati a ciascun attore del processo. Unitamente ai controlli sopra menzionati il Gruppo ha adottato l'uso di modelli interni, assegnando il monitoraggio e la misurazione del rischio tasso e di prezzo alla funzione di risk management che opera in completa autonomia rispetto sia alle aree operative sia alle controllate.

Per la quantificazione dell'esposizione al rischio di mercato il Gruppo ha adottato un modello basato sul concetto di Valore a Rischio (Value at Risk - VaR) in modo da esprimere sinteticamente e in termini monetari la massima perdita probabile di un portafoglio statico con riferimento ad uno specifico orizzonte temporale e ad uno specifico livello di confidenza in normali condizioni di mercato. Tale metodologia presenta il vantaggio di consentire l'aggregazione delle posizioni assunte inerenti a fattori di rischio di natura eterogenea; fornisce, inoltre, un numero sintetico che, essendo un'espressione monetaria, è agevolmente utilizzato dalla struttura organizzativa interessata.

Per il "portafoglio di negoziazione" il modello VaR utilizza la tecnica della simulazione Monte Carlo ove, fatte le opportune assunzioni e correlazioni, stima, mediante il calcolo di una serie di rivalutazioni possibili, il valore del portafoglio e, dato il vettore dei rendimenti attesi del portafoglio, si determina il percentile desiderato della distribuzione. Il modello utilizza un intervallo di confidenza del 95% con un periodo temporale pari a 1 giorno. L'applicativo utilizzato per il calcolo del VaR è l'infoprovider Bloomberg.

12

Per il "portafoglio bancario", il modello specifico adottato è quello parametrico varianza-covarianza per gli strumenti di tipo lineare, con l'approssimazione di delta-gamma per gli strumenti opzionali, e utilizza un intervallo di confidenza del 99% e un orizzonte temporale di riferimento pari a 10 giorni, in linea con le raccomandazioni definite dal Comitato di Basilea e con le practice di mercato. Con riferimento alla volatilità il modello applica alle esposizioni del portafoglio le matrici contenenti le deviazioni standard di ciascun fattore di rischio (tassi, cambi e prezzi) e le relative correlazioni. Il calcolo delle volatilità e delle correlazioni si basa sulla modellizzazione in ipotesi di normalità dei rendimenti logaritmici giornalieri dei fattori di rischio, mediante una ponderazione esponenziale sulla base di un fattore di decadimento in un intervallo temporale pari a 250 osservazioni. L'applicativo utilizzato per il calcolo del VaR è Ermas3 (Prometeia), mentre le informazioni finanziarie necessarie alla determinazione del VaR (volatilità, correlazioni, struttura a termine dei tassi di interesse, tassi di cambio, indici azionari e indici benchmark) sono fornite dal prodotto RiskSize.

Il rischio operativo

Il rischio operativo è il rischio di subire perdite derivanti dall'inadeguatezza o dalla disfunzione di procedure, risorse umane e sistemi interni oppure da eventi esogeni. Rientrano in tale tipologia, tra l'altro, le perdite derivanti da frodi, errori umani, interruzione dell'operatività dei sistemi, inadempienze contrattuali e catastrofi naturali. Nel rischio operativo è compreso il rischio legale, mentre sono esclusi quelli strategici e di reputazione.

Le strategie e processi per la gestione del rischio operativo

Il Gruppo ha implementato un'apposita procedura per la raccolta strutturata delle informazioni inerenti gli eventi pregiudizievoli che possono dar luogo a perdite operative. Tale attività ha l'obiettivo di rispondere alle esigenze gestionali interne in tema di "attivazione" di un processo finalizzato a fornire all'Alta Direzione l'evidenza dei rischi operativi manifestatisi all'interno del Gruppo.

Il modello di Gestione dei Rischi Operativi (o macro processo di Operational Risk Management - ORM) disciplina ruoli e responsabilità delle funzioni coinvolte nella gestione del Rischio. Esso declina, inoltre, specifici limiti di monitoraggio per singolo evento di perdita e sul complessivo ammontare delle perdite operative lorde segnalate per anno. Questi limiti sono declinati sia a livello di Gruppo e sia su ogni singola entità giuridica appartenente al Gruppo.

Il Gruppo utilizza la definizione di rischio operativo sopra riportata all'interno del modello di gestione dei Rischi Operativi approvato e formalizzato nella normativa aziendale. In tale ambito è stato definito uno specifico macroprocesso di gestione dei rischi operativi (definito Framework di ORM) che si compone delle seguenti fasi:

1. Identificazione: rilevazione, raccolta e classificazione delle informazioni relative ai rischi operativi;

1. Valutazione: quantificazione in termini economici dei rischi operativi rilevati connessi all'operatività aziendale;

1. Monitoraggio e reporting: raccolta e organizzazione strutturata dei risultati al fine di monitorare l'evoluzione dell'esposizione al rischio operativo;

A supporto del modello di gestione dei rischi operativi sono stati formalizzati i seguenti processi operativi:

• Loss Data Collection - processo strutturato per la raccolta delle perdite operative manifestate all'interno della Banca;
• Risk Self Assessment - processo strutturato per la valutazione dei rischi operativi potenziali finalizzato ad avere una visione complessiva degli eventi di rischio in termini di impatto potenziale e impatto peggiore.

13

La Funzione Risk Management, nell'ambito di quanto definito nella normativa aziendale, ha strutturato un'adeguata attività di monitoraggio e reporting in tema di rischi operativi integrandola con i dettami della normativa di vigilanza in merito a quanto previsto in tema di Coordinamento tra le funzioni di controllo. Relativamente agli eventi pregiudizievoli raccolti nel Database delle Perdite Operative Aziendale (DBPOA), è stato, da tempo, implementato un sistema di reporting in grado di fornire tutte le informazioni riguardanti gli eventi medesimi: numero eventi, ammontare perdite lorde (al netto di eventuali recuperi) su predefiniti intervalli di tempo.

La Struttura e organizzazione della pertinente funzione di gestione del rischio operativo

Per quanto riguarda il modello Organizzativo di gestione dei Rischi Operativi sono state introdotte le seguenti figure:

• Referente di ORM:coincide con il Responsabile di Direzione, di Area, Ufficio o Servizio (qualora non siano a diretto riporto di una Direzione - fatta eccezione per la Direzione Generale e la Vice Direzione Affari). Ha il compito di dare attuazione alle linee guida del Macroprocesso di ORM e alle azioni di mitigazione all'interno della struttura di riferimento, validare e certificare i questionari di Risk Self Assessment, governare il processo di Loss Data Collection all'interno della struttura di riferimento e comunicare, tramite sistema di allerta, eventi rilevanti in materia di Rischio Operativo anche quando non comportano una perdita operativa.
• Risk Collector:coincide con il Responsabile di Area e/o di Ufficio (se in riporto ad una Direzione). Ha il compito di rilevare gli eventi pregiudizievoli rientranti nel processo di Loss Data Collection; tramite sistema di allerta, identificare e comunicare tempestivamente alla Funzione Risk Management eventi rilevanti in materia di Rischio Operativo anche se questi non comportano una perdita operativa; tramite il processo di Risk Self Assessement, valutare i rischi potenziali individuati nella struttura di riferimento e individuare e proporre alla Funzione Risk Management le strategie di intervento per la mitigazione degli stessi.

Relativamente alla gestione dei rischi impattanti sulla continuità operativa è stato definito il Piano di Continuità operativa: sono, stati completati gli interventi volti alla rilevazione dei servizi ritenuti vitali ai fini del business, predisposizione dell'impianto documentale a supporto dell'operatività (procedure operative per la gestione dell'emergenza e del ripristino), all'approntamento/manutenzione del sito di Business Continuity (Bologna), alternativo rispetto a quelli di produzione, da utilizzare in caso di emergenza e l'effettuazione dei relativi test. Sono state completate le attività di aggiornamento delle misure adottate per la gestione della continuità operativa e le attività di presidio sul fornitore informatico.

Per il presidio dei rischi di commissione di reati ai sensi del D.Lgs. n.231/2001 "Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica", le Società del Gruppo hanno adottato un modello organizzativo di prevenzione. La vigilanza sull'efficace attuazione dei predetti modelli è stata demandata a specifici organismi.

L'ambito di applicazione e la natura dei sistemi di segnalazione e misurazione del rischio operativo

In ottica di rischio operativo sono svolte le seguenti attività di monitoraggio periodiche che sono oggetto di reporting all'Alta Direzione della Capogruppo:

• monitoraggio del limite complessivo di Perdite Operative Lorde segnalate;
• analisi di perdite lorde e nette per evento;
• analisi della numerosità degli accadimenti rilevati per evento;
• analisi dei principali eventi rilevati/censiti dall'inizio dell'anno;
• analisi degli scostamenti del totale delle perdite e degli eventi rilevati/censiti;
• monitoraggio degli eventi che hanno superato il limite nel trimestre di riferimento;
• analisi andamento delle perdite per trimestre;

14

• analisi dei flussi di ritorno DIPO;
• analisi delle rilevazioni del processo di Risk Self Assessment;

Le politiche di copertura e di attenuazione del rischio operativo, le strategie e i processi per la sorveglianza continuativa sulla loro efficacia

Come ulteriore forma di mitigazione, il Gruppo si è dotato di idonee coperture assicurative volte a coprire alcune fattispecie significative di rischi operativi.

Il rischio informatico

Il rischio informatico è il rischio di incorrere in perdite economiche, di reputazione e di quote di mercato in relazione all'utilizzo di tecnologie IT (Information and Communication Technology). Nella rappresentazione integrata dei rischi aziendali a fini prudenziali (ICAAP), tale tipologia di rischio è considerata, secondo gli specifici aspetti, tra i rischi operativi, reputazionali e strategici.

Le strategie e processi per la gestione del rischio informatico

Il Gruppo ha implementato un'apposita procedura operativa costituita da un macro-processo di lavoro ed attività di controllo poste in essere per l'identificazione, valutazione, monitoraggio, reporting, mitigazione e controllo del rischio informatico. Tali attività hanno l'ulteriore obiettivo di rispondere alle esigenze gestionali interne in tema di "attivazione" di un processo finalizzato a fornire all'Alta Direzione l'evidenza dei rischi informatici manifestatisi all'interno del Gruppo.

Il Gruppo utilizza la definizione di rischio informatico sopra riportata all'interno del modello di gestione del Rischio Informatico approvato e formalizzato nella normativa aziendale. In tale ambito è stato definito uno specifico processo di gestione del rischio che si compone delle seguenti fasi:

1. Identificazione del rischio ICT: rilevazione nel continuo delle minacce ICT a cui è esposto il Gruppo, riconduzione delle minacce a scenari di rischio esistenti o da definire, determinazione dell'Asset

Catalog in uso presso il Gruppo.

1. Valutazione del rischio ICT: assessment di rischio informatico, asseverazione del rischio informatico residuo e predisposizione reportistica (i.e. rapporto sintetico di rischio informatico).

1. Monitoraggio e reporting: analisi e controllo dei risultati evidenziati dal sistema di gestione del rischio informatico al fine di monitorare nel continuo le informazioni derivanti dalla valutazione del rischio informatico e dal monitoraggio di specifici KRI definiti in tale ambito (oggetto di rendicontazione

trimestrale in ambito Tableau de Bord).

IV. Mitigazione e controllo: adozione di opportune strategie di trattamento (e.g. mitigazione, trasferimento assicurativo) definite sulla base di quanto emerso in sede di identificazione, valutazione e monitoraggio.

La Funzione Risk Management, nell'ambito di quanto definito nella normativa aziendale, ha strutturato un'adeguata attività di monitoraggio e reporting in tema di rischi informatici integrandola con i dettami della normativa di vigilanza in merito a quanto previsto in tema di Coordinamento tra le funzioni di controllo. Relativamente agli eventi passibili di generare un incremento significativo del rischio informatico di Gruppo rilevati nell'ambito delle periodiche attività di assessment e dal monitoraggio - nel continuo - di un sistema di indicatori di rischio informatico, sono state identificate opportune modalità di reporting, formalizzate nell'ambito del Tableau de Bord della Funzione Risk Management e nel Documento sintetico di valutazione del rischio informatico, redatto con cadenza annuale.

15

La Struttura e organizzazione della pertinente funzione di gestione del rischio informatico

Per quanto riguarda il modello Organizzativo di gestione del Rischio Informatico sono state introdotte le seguenti figure:

• Utente Responsabile:Figura aziendale, identificata nei Responsabili di struttura aziendale (Direzione / Area / Ufficio), che per ciascun sistema o applicazione assume formalmente la responsabilità, in rappresentanza degli utenti e nei rapporti con le funzioni preposte allo sviluppo e alla gestione tecnica, convalidando e accettando formalmente il rischio residuo emerso dall'analisi.
• Utente Finale:Utente delegato dall'Utente Responsabile alla compilazione dei Questionari di Criticità Risorsa.

In ottemperanza a quanto previsto dalla normativa Banca d'Italia (ex circolare 285/2013 Parte I, Titolo IV, cap. 4, 5) il Gruppo si è dotato di:

• Policy di Sicurezza;
• Procedura di Gestione degli incidenti di sicurezza;
• Metodologia di Valutazione del Rischio Informatico.
• Metodologia di monitoraggio andamentale e reporting del Rischio Informatico (KRI Rischio Informatico)

L'ambito di applicazione e la natura dei sistemi di segnalazione e misurazione del rischio informatico

In ambito di rischio informatico sono svolte le seguenti attività di monitoraggio periodiche che sono oggetto di reporting all'Alta Direzione della Capogruppo:

• monitoraggio dell'indicatore ICT Risk di RAF, sia su base annuale (i.e. esito rapporto sintetico di rischio informatico) che in occasione di variazioni del livello del rischio a seguito di specifici assessment su una o più risorse ICT;
• monitoraggio dell'indicatore sintetico di rischio informatico derivante dall'analisi ed aggregazione dei singoli indicatori di rischio informatico (KRI).

Le politiche di copertura e di attenuazione del rischio informatico, le strategie e i processi per la sorveglianza continuativa sulla loro efficacia

Come ulteriore forma di mitigazione, il Gruppo si è dotato di idonee coperture assicurative volte a coprire alcune fattispecie significative di rischi in ambito cyber.

Altri rischi

Il rischio di concentrazione

Il rischio di concentrazione è il rischio derivante da esposizioni verso controparti, gruppi di controparti connesse e controparti del medesimo settore economico o che esercitano la stessa attività o appartenenti alla medesima area geografica.

Per quel che concerne le politiche e i processi di gestione l'attività creditizia del Gruppo opera in una politica di frazionamento del proprio portafoglio crediti. Tale frazionamento è garantito da uno sviluppo aziendale, in linea con gli indirizzi definiti all'interno del Piano strategico, rivolto a economie locali articolate principalmente nei mercati retail, small business e piccole medie imprese ed in misura meno marcata verso aziende corporate. Tali indirizzi trovano formalizzazione all'interno della Policy Creditizia che identifica tra i principi basilari per garantire una corretta gestione del portafoglio impieghi, il frazionamento del rischio fra una molteplicità di aziende operanti in diversi settori di attività economica ed in diversi segmenti di mercato. Nel quadro delle attività di monitoraggio svolte dalla Funzione Risk Management, il CdA della Capogruppo ha fissato, nell'ambito delle policy di gestione dei rischi aziendali, limiti specifici da monitorare periodicamente per

16

il rischio di concentrazione per i gruppi di clienti collegati, per le singole esposizioni e per i settori di attività economica. In fase di emissione di nuovi prodotti/servizi il processo di Product Approval prevede l'intervento delle diverse funzioni aziendali ciascuna secondo le proprie competenze, anche al fine di pervenire ad una preventiva analisi di carattere generale sul rischio di concentrazione cui il Gruppo si esporrebbe nello svolgimento della propria azione commerciale.

Il processo di monitoraggio e reporting periodico relativo al rischio di concentrazione, ivi compreso il monitoraggio dei limiti previsti dalle policy di gestione dei rischi, è svolto dalla Funzione Risk Management, la quale misura l'esposizione al rischio di concentrazione e predispone un'adeguata reportistica per le funzioni aziendali coinvolte nel processo di gestione e monitoraggio del credito e per il CdA. Nell'ambito del reporting periodico sono presenti analisi di concentrazione delle esposizioni per settori/branche di attività economica anche in comparazione con le evidenze empiriche ottenute a livello di sistema bancario italiano.

Il rischio di tasso di interesse del portafoglio bancario

Il rischio di tasso di interesse del portafoglio bancario è il rischio derivante da variazioni potenziali dei tassi di interesse che impattano su attività diverse dalla negoziazione.

Per quel che concerne le politiche e i processi di gestione per l'intero perimetro di Gruppo, la Funzione Risk Management svolge processi di identificazione, misurazione, controllo e gestione del rischio di tasso di interesse in ottica attuale e prospettica. La Direzione Finanza è coinvolta nel processo di gestione del rischio di tasso con riguardo alle analisi di carattere generale sui mercati finanziari e i potenziali effetti sul portafoglio titoli. La Direzione Finanza valuta, di volta in volta, l'opportunità di effettuare coperture con strumenti finanziari derivati relativamente sia alle poste dell'attivo sia del passivo di bilancio. La Funzione Risk Management e la Direzione Finanza svolgono, per quanto di competenza, attività di monitoraggio e reporting all'Alta Direzione. La Funzione Risk Management monitora il rischio di tasso a cui l'intero Gruppo è esposto attraverso analisi di sensitività, di maturity gap e di valore economico.

A fini gestionali, per il monitoraggio di tutta l'attività commerciale connessa con la trasformazione delle scadenze dell'attivo e del passivo di bilancio, dell'operatività di tesoreria e dei rispettivi derivati di copertura, il Gruppo si è dotato di un modello interno di Asset and Liability Management (A.L.M.) mediante l'applicativo ERMAS5. Tale modello consente di misurare gli impatti prodotti dalle variazioni della struttura dei tassi d'interesse, espressi in termini sia di variazione del valore economico del patrimonio sia del margine di interesse. La variabilità del margine di interesse, determinata da variazioni positive e negative dei tassi su un orizzonte temporale di 365 giorni, è stimata mediante gap analysis con l'ausilio di una pluralità di approcci al fine di pervenire a stime sempre più puntuali. Le variazioni del valore economico delle attività e delle passività sono analizzate mediante l'applicazione di approcci di Duration Gap e Sensitivity Analysis. Le analisi sono eseguite considerando anche spostamenti non paralleli della curva dei rendimenti e l'applicazione di modelli comportamentali delle poste a vista. Nell'analisi di simulazione è possibile prevedere specifici scenari di variazione dei tassi di mercato.

Il modello ALM è mensilmente utilizzato per la stima degli indicatori gestionali di rischio previsti. Le evidenze riprodotte sono oggetto di reporting periodico.

17

Il rischio di liquidità

Il rischio di liquidità è il rischio che il Gruppo non sia in grado di adempiere ai propri impegni di pagamento. Tale rischio può assumere forme diverse in funzione dell'ambito in cui lo stesso è generato, ovvero:

1. funding liquidity risk: rischio che il Gruppo non sia in grado di far fronte in modo efficiente ed economico alle proprie uscite di cassa sia attese che inattese, correnti e future e alle esigenze di collateral, senza pregiudicare l'operatività quotidiana o la situazione finanziaria del Gruppo stesso;
2. market liquidity risk: rischio che il Gruppo non sia in grado di liquidare un'attività finanziaria senza incorrere in perdite in conto capitale a causa della scarsa liquidità o di turbative del mercato di

riferimento.

Le due forme di rischio di liquidità sono spesso fortemente correlate e possono manifestarsi a fronte dei medesimi fattori scatenanti. Mentre il market liquidity risk è ascritto tra i rischi di mercato (rischio di prezzo), i processi e i regolamenti volti a misurare, controllare e mitigare il rischio di liquidità si focalizzano esclusivamente sull'aspetto del funding liquidity risk.

Nell'ambito di specifiche Policy di rischio è descritto il processo di gestione dei rischi costituito dall'insieme delle regole, delle procedure e delle strutture organizzative volte a consentire l'identificazione, la misurazione, la gestione e il monitoraggio del rischio di liquidità originata sia da fattori di mercato sia da fattori interni al Gruppo. Il Gruppo assicura un adeguato processo per il presidio e la gestione del rischio di liquidità, in una logica di separatezza fra funzioni di business e di controllo. Il Consiglio di Amministrazione approva gli orientamenti strategici e le politiche di gestione del rischio. Lo stesso verifica che l'Amministratore Incaricato per il sistema di controllo interno e di gestione dei rischi (AISCI), promuova e garantisca nell'ambito del suo operato una chiara e diffusa conoscenza delle politiche di gestione dei rischi approvate dal CdA, che definisca la struttura del sistema dei controlli interni e dei rischi (da sottoporre al CdA medesimo) in coerenza con la propensione al rischio predefinita, e che le funzioni di controllo abbiano autonomia all'interno della struttura e siano dotate delle risorse adeguate all'espletamento delle proprie responsabilità. La Direzione Risk Management assicura il processo integrato di gestione del rischio, controllando e monitorando i rischi rilevanti, identificando ed analizzando sistematicamente le fonti di tali rischi, coordinando le attività progettuali per la definizione e l'implementazione di modelli, metodologie e strumenti di misurazione e sviluppando un sistema di reportistica integrato per il monitoraggio dei rischi. La Direzione Finanza conduce le attività di propria competenza nel rispetto dei limiti e delle deleghe assegnate nella gestione della liquidità giornaliera, della riserva di liquidità e della counterbalancing capacity. La Direzione Generale "Affari" conduce le attività di propria competenza nella gestione della liquidità strutturale e nella diversificazione delle fonti di finanziamento.

Il modello complessivo per la gestione ed il monitoraggio del rischio di liquidità si articola in distinti ambiti, differenziati in funzione del perimetro di riferimento, dell'orizzonte temporale e della frequenza di analisi, coerenti con la soglia di tolleranza al rischio determinata:

1. gestione della Riserva di Liquidità (Counterbalancing Capacity), ovvero la gestione dello stock adeguato di attività liquide di elevata qualità non vincolate e stanziabili presso banca centrale che possono essere prontamente convertite in contanti per soddisfare il fabbisogno di liquidità;
2. gestione della liquidità a breve, ovvero la gestione di tutti gli eventi che impattano sulla posizione complessiva di liquidità del Gruppo nell'orizzonte temporale inferiore a 30 giorni, con l'obiettivo del mantenimento di un adeguato rapporto tra le attività di elevata qualità immediatamente monetizzabili e la differenza tra i deflussi e gli afflussi di cassa;
3. gestione della liquidità operativa, ovvero la gestione di risorse atte ad assicurare la capacità del Gruppo di far fronte agli impegni di pagamento per cassa previsti o imprevisti, in un contesto di "normale corso degli affari" (going concern) su un orizzonte temporale di breve termine non superiore ai 3 mesi;
4. gestione della liquidità strutturale, ovvero la gestione di tutti gli eventi del portafoglio bancario che impattano sulla posizione complessiva di liquidità del Gruppo, nell'orizzonte temporale superiore a 1 anno, con l'obiettivo primario del mantenimento di un adeguata interdipendenza tra passività

18

ed attività ponendo un vincolo alla possibilità di finanziare attività a medio/lungo termine con passività a breve termine;

1. gestione della diversificazione delle fonti di finanziamento, ovvero la gestione di particolari fonti e/o canali di finanziamento con l'obiettivo sia di una suddivisione delle fonti di raccolta, privilegiando la clientela di dettaglio rispetto alla provvista all'ingrosso, sia verso un numero significativo di controparti, assicurando, nel contempo, un'adeguata diversificazione per scadenza residua delle passività.

Il Gruppo ha individuato specifici indicatori di rischio al fine di fornire ulteriori informazioni e diverse viste in merito all'andamento complessivo del rischio, garantire un monitoraggio puntuale ed operativo dell'esposizione al rischio ed evidenziare trend che possano richiedere un maggiore coinvolgimento degli Organi di Gestione e Governo, affinché siano definite ed implementate eventuali azioni correttive o di mitigazione nel caso di superamento delle soglie individuate.

Per alcuni di questi indicatori il Gruppo ha fissato dei valori limite, articolati in valori soglia di alert e warning, mentre per altri ne monitora periodicamente i livelli, al fine di rilevare eventuali dati anomali. Il Gruppo ha definito uno schema per la gestione dello sconfinamento dei limiti predisponendo sia una serie di azioni sia l'interessamento degli organi aziendali preposti alla gestione e controllo dei rischi.

Uno specifico sistema di reporting è lo strumento finalizzato a fornire alle unità organizzative coinvolte un'adeguata informativa sulle risultanze del monitoraggio dei rischi di liquidità. Il contenuto e la frequenza dei report dipendono dagli obiettivi assegnati a ciascun attore del processo.

Il Gruppo si è, inoltre, dotato di uno specifico Contingency Funding Recovery Plan (CFRP) che consente di individuare le strategie di intervento in ipotesi di tensione di liquidità, determinando la natura esogena o endogena delle situazioni di tensione e definendo le specifiche competenze e responsabilità delle funzioni aziendali in situazioni di emergenza. Il CFRP è approvato dal Consiglio di Amministrazione della Capogruppo, revisionato periodicamente ed applicato alle entità giuridiche rientranti nel perimetro di monitoraggio del rischio di liquidità.

Il principale presidio a fronte del rischio di liquidità, per far fronte a situazioni di stress di liquidità in un orizzonte temporale di 1 mese, è rappresentato dal mantenimento di un'adeguata riserva di liquidità, costituita da attività finanziarie facilmente e rapidamente liquidabili o stanziabili a garanzia nelle operazioni di rifinanziamento con la Banca Centrale Europea. In tale ottica e con la finalità di rafforzare il profilo di rischio di liquidità di breve termine, il Gruppo detiene una riserva costituita esclusivamente da attivi altamente liquidi (HQLA- High Quality Liquid Asset).

Al fine di valutare l'impatto di eventi negativi sull'esposizione al rischio e della riserva di liquidità il Gruppo effettua prove di stress test, partendo dalla situazione di liquidità operativa e dall'orizzonte temporale di breve termine fino a 3 mesi, analizzando i principali eventi significativi per il Gruppo in tema di liquidità misurando l'effetto di tensioni acute di liquidità specifiche (a livello banca), derivanti dal mercato e combinate. In considerazione dell'elevata consistenza delle riserve di liquidità disponibili il periodo di autonomia finanziaria (c.d. survival period), in ipotesi di blocco del mercato monetario, si attesta a un valore superiore ai 3 mesi.

La politica di liquidità strutturale del Gruppo prevede l'analisi della struttura finanziaria come parte integrante della gestione del rischio di liquidità. L'identificazione della concentrazione delle fonti di finanziamento, e l'analisi della loro evoluzione in un orizzonte temporale di medio lungo termine, sono sviluppati gestionalmente con la tecnica di Asset and Liability Management (A.L.M.) che, evidenziando tutti i flussi di cassa delle operazioni, consente di valutare e di gestire nei diversi periodi l'eventuale fabbisogno di liquidità della banca generato dallo squilibrio dei flussi in entrata ed uscita. La costruzione di una "maturity ladder" è lo strumento finalizzato alla valutazione dell'equilibrio dei flussi di cassa attesi, mediante la contrapposizione di attività e passività, la cui scadenza è posizionata in ogni singola fascia temporale, la costruzione di sbilanci cumulati e il calcolo del saldo netto del fabbisogno (o del surplus) finanziario nell'orizzonte temporale considerato. Ulteriori metriche utilizzate si basano su indicatori di rischio che indagano

19

la concentrazione del funding per tipologia e controparte, e lo sbilancio dei flussi a scadenze predefinite con particolare attenzione a gap di medio lungo periodo.

Il Funding plan è lo strumento mediante il quale sono definiti obiettivi e attività di funding coerenti con le esigenze di breve periodo (12 mesi - budget) o di medio periodo (3 anni - Piano Industriale) e con il mantenimento dell'equilibrio strutturale Lo scopo primario del Funding Plan e del relativo processo di definizione e di gestione nel tempo è la specificazione delle iniziative atte a garantire al Gruppo la disponibilità di fonti di finanziamento al fine di sostenere le attività. Il Piano di Funding è predisposto con frequenza annuale nell'ambito del complessivo processo di budgeting e monitorato ed aggiornato su base mensile al fine di verificare il mantenimento dell'equilibrio operativo e strutturale con livelli di liquidità coerenti.

L'analisi tempestiva degli eventuali scostamenti dei dati consuntivi rispetto al previsionale, per cause legate alla situazione dei mercati e/o al comportamento della clientela, permette di individuare tempestivamente le possibili azioni correttive da intraprendere. Il Gruppo è tendenzialmente meno esposto a rischi di liquidità legati al funding, dato che non ricorre sistematicamente a fonti di finanziamento maggiormente instabili ma sviluppa una strategia centrata sia sul mantenimento della raccolta "retail", che si è caratterizzata nel corso del tempo per la sua stabilità, sia con l'accrescimento della raccolta tramite vie interne e coi canali tradizionali. L'utilizzo e lo sviluppo di forme di finanziamento orientate ai mercati secured (es. covered bond) e a programmi di finanziamento a medio termine EMTN (Euro Medium Term Note) permettono una maggiore diversificazione e stabilità.

Nell'ambito delle metriche regolamentari e in coerenza con l'orizzonte temporale di un mese il Gruppo rispetta il requisito regolamentare LCR (Liquidity Coverage Ratio) collocandosi ben al di sopra del valore limite previsto dalla Normativa.

La tabella successiva espone le informazioni quantitative inerenti a LCR misurato secondo la Normativa Regolamentare (circolare 285 Banca d'Italia - Parte Seconda, Capitolo 13, Sezione II), ove i dati si riferiscono alla media semplice delle ultime 12 osservazioni mensili a partire dal LCR rilevato a dicembre 2019.

Il Net Stable Funding Ratio (NSFR), indicatore di liquidità di medio-lungo termine previsto dalla normativa regolamentare di "Basilea III" e che rimane sottoposto ad un periodo di osservazione, è già oggi rispettato con riferimento al requisito minimo che è previsto a regime. La politica applicata dal Gruppo è finalizzata a promuovere un maggior ricorso alla raccolta stabile al fine di evitare che l'attività a medio lungo termine generi squilibri da finanziare a breve termine, stabilendo un adeguato ammontare minimo di provvista stabile.

Il rischio residuo

Il rischio residuo è il rischio che le tecniche di attenuazione del rischio di credito utilizzate dalla banca risultino meno efficaci del previsto.

Le garanzie hanno lo scopo di rafforzare il principio della responsabilità patrimoniale dell'obbligato principale in quanto mirano ad assicurare una maggiore certezza di adempimento, ovvero una maggiore efficacia delle azioni esecutive in caso di inadempimento. Esse costituiscono, da un punto di vista economico, un elemento sussidiario del credito garantito e come tali vanno considerate al momento della valutazione del

20

soggetto al quale concedere un affidamento; è dunque fondamentale considerare sempre che l'obbligato principale costituisce la primaria fonte di rimborso del credito concesso. Le garanzie, per essere utili ai fini del recupero del credito, devono possedere i requisiti di ineccepibilità giuridica e di adeguato contenuto economico; a tal fine occorre che gli atti di garanzia siano rigorosamente conformi alle specifiche norme in materia, mentre per quanto concerne il contenuto economico della garanzia, è necessario verificarne la capienza lungo l'intera durata del rapporto. Nell'ambito del processo di affidamento alla clientela, gli organi proponenti sottopongono ai deliberanti la garanzia richiesta alla controparte da affidare. Il deliberante procede ad una valutazione complessiva della posizione e valuta che la garanzia sia di largo mercato e di non difficile escussione.

Da un punto di vista operativo, nel caso di assunzione di garanzie personali, reali finanziarie e assicurative, la Direzione Crediti procede alla conferma di validità in procedura Garanzie successivamente all'attività di controllo formale delle stesse.

Per quanto attiene le garanzie ipotecarie è presente un processo di conferma nelle procedure informatiche da parte dell'Area Crediti Speciali. Il Gruppo, per il tramite della Direzione Crediti e dell'Area Monitoraggio Andamentale Processi del Credito e Reporting, presidia il mantenimento delle coperture a garanzia rispetto al credito in essere nei processi di concessione/rinnovo delle pratiche e di monitoraggio/controllo andamentale. Il presidio assicurato dall'Area Monitoraggio Andamentale Processi del Credito e Reporting è riconducibile ai compiti tipici del monitoraggio mentre alla Direzione NPL spetta quanto di competenza in materia di gestione delle pratiche deteriorate. Quest'ultima inoltre provvede ad analisi mensili sui dati relativi ai recuperi su crediti deteriorati (ivi compreso l'effetto di mitigazione apportato dalla garanzia che assiste il finanziamento). I criteri per l'attribuzione delle previsioni di perdita sui crediti deteriorati prevedono dubbi esiti articolati in funzione del tipo di garanzia che assiste il credito: reale ipotecaria, reale finanziaria, personale. Per i crediti garantiti da ipoteca è prevista un'articolazione del dubbio esito in funzione del livello di Loan To Value (LTV).

Al fine di garantire il rispetto dei requisiti di eleggibilità previsti dalla normativa, il Gruppo utilizza la procedura Collateral per la gestione delle informazioni relative alle esposizioni garantite da immobili residenziali e non residenziali. Per quanto concerne le garanzie reali/finanziarie, come già illustrato, è previsto un processo di gestione con particolare riferimento ai controlli finalizzati ad assicurare l'eleggibilità. Questi ultimi sono assicurati da una procedura informatica (procedura Garanzia - Monitoraggio controlli ed eventi di eleggibilità), in gestione alla Direzione Crediti, che presidia il rispetto dei requisiti specifici (correlazione, valore equo e separatezza) mediante un dettagliato insieme di specifici controlli.

La procedura di controllo dell'eleggibilità (sia essa ipotecaria o meno) segnala un'eventuale garanzia che non rispetta tutti i parametri sopra elencati. Ciò però non influisce sulla validità della garanzia che di fatto può essere costituita regolarmente dal punto di vista giuridico e quindi manifestarsi in tutta la sua validità in caso di escussione. Scopo della procedura è la verifica della eleggibilità e quindi la valutazione per un suo riconoscimento ai fini della mitigazione del requisito patrimoniale.

Nell'ambito delle attività di analisi prospettica sul rischio di credito, la Funzione Risk Management provvede ad effettuare analisi di tipo "what if" anche in considerazione del grado di efficacia delle garanzie sia ipotecarie sia reali/finanziarie. In particolare la Funzione Risk Management comunica alle Funzioni aziendali coinvolte nel processo di gestione delle garanzie gli esiti delle proprie analisi circa l'impatto patrimoniale a fronte dell'eleggibilità delle garanzie. La rendicontazione riguarda: a) l'assorbimento patrimoniale che deriverebbe dall'assenza di eleggibilità; b) l'ammontare delle esposizioni e l'assorbimento patrimoniale delle poste classificate non eleggibili con il dettaglio delle motivazioni; c) l'assorbimento patrimoniale che deriverebbe dalla completa eleggibilità delle garanzie. Nell'ottica di un maggior presidio delle garanzie ipotecarie a fronte di posizioni classificate come inadempienze probabili e sofferenze, la Funzione Risk Management provvede periodicamente alla verifica del rispetto della corretta applicazione della policy di copertura dei crediti deteriorati, nell'ambito della quale sono previsti specifici criteri di applicazione per le esposizioni garantite da immobili in funzione del Loan to Value.

21

Il rischio strategico

Il rischio strategico è il rischio attuale o prospettico di flessione degli utili o del patrimonio derivante da cambiamenti del contesto operativo o da decisioni aziendali errate, attuazione inadeguata di decisioni, scarsa reattività a variazione del contesto competitivo. Nell'ambito delle politiche e processi di gestione i consigli di amministrazione delle Capogruppo e delle controllate, tra le altre attribuzioni previste dalla normativa e dagli statuti sociali, determinano gli indirizzi che incidono sulla gestione generale degli affari del Gruppo e delle singole aziende definendone le rispettive linee strategiche. In tale contesto sono predisposti i piani strategici pluriennali ed i budget annuali; questi documenti sono periodicamente analizzati dai vertici aziendali. Al fine di garantire un attento monitoraggio e controllo di tale tipologia di rischio, il Gruppo ha inoltre definito un processo che coniuga le esigenze di gestione del business con quelle inerenti una prudente e consapevole gestione dei rischi.

Il rischio reputazionale e di non conformità

Il rischio reputazionale è il rischio attuale o prospettico di flessione degli utili o del patrimonio derivante da una percezione negativa dell'immagine della banca da parte di clienti, controparti, azionisti della banca, investitori o autorità di vigilanza. Il rischio di non conformità è il rischio di incorrere in sanzioni giudiziarie o amministrative, perdite finanziarie rilevanti o danni di reputazione in conseguenza di violazioni di norme imperative (di legge o di regolamenti) ovvero di autoregolamentazione (ad esempio statuti, codici di condotta, codici di autodisciplina). Al fine di monitorare l'evoluzione del rischio reputazionale, che per sua natura è un rischio definito «non misurabile», il Gruppo ha identificato degli indicatori che permetto di monitorare nel tempo l'evoluzione di tale rischio. Tali indicatori sono monitorati con cadenza trimestrale per tutte le entità del Gruppo. Il Gruppo ha inoltre previsto presidi organizzativi volti a fronteggiare i rischi in argomento. I presidi organizzativi adottati dal Gruppo a tutela del rischio reputazionale sono riscontrabili da specifiche disposizioni presenti all'interno di vari documenti organizzativi e normativi oggetto di delibere da parte del consiglio di amministrazione e rappresentati dal Codice Etico, dal RAF, dalla policy Antiriciclaggio e dalla policy per la gestione del rischio di compliance.

Il rischio di leva finanziaria eccessiva

Il rischio di leva finanziaria eccessiva è il rischio che un livello di indebitamento particolarmente elevato rispetto alla dotazione di mezzi propri renda la banca vulnerabile, rendendo necessaria l'adozione di misure correttive al proprio piano industriale, compresa la vendita di attività con contabilizzazione di perdite che potrebbero comportare rettifiche di valore anche sulle restanti attività. Il Gruppo provvede alla rilevazione e alla relativa segnalazione dell'indicatore di leva finanziaria (leverage ratio) così come previsto dalla normativa vigente (Regolamento 575/2013).

Per un approfondimento si rimanda a quanto riportato nel paragrafo 15 del presente documento.

Il rischio di natura non finanziaria

Il Gruppo è inoltre consapevole dell'importanza di identificare, valutare, prevenire e ridurre potenziali rischi anche di natura non finanziaria, ovvero i rischi socio-ambientali generati e subiti riconducibili alle seguenti dimensioni:

• Rischio ambientale e legato al climate change: connesso agli impatti diretti quali l'utilizzo di risorse energetiche (fonti rinnovabili e non rinnovabili), le emissioni di gas ad effetto serra, la produzione di rifiuti e loro smaltimento, il consumo di materie prime strumentali all'attività propria (carta e toner), la violazione di normativa ambientale e di settore.
  A livello europeo, il piano d'azione per il finanziamento della crescita sostenibile pone particolare enfasi sull'importanza sistemica del settore bancario/finanziario nel consentire la transizione verso un sistema a basse emissioni di carbonio ed una economia resiliente al clima. II settore bancario si trova infatti ad essere coinvolto nei potenziali rischi indiretti legati al clima nella misura in cui i finanziamenti concessi e

22

gli investimenti effettuati sono rivolti ad attività economiche che contribuiscono al cambiamento climatico (per esempio in termini di emissioni di gas ad effetto serra). Lo stesso settore bancario può comunque assumere un ruolo proattivo nel promuovere la transizione verso un'economia a basse emissioni di carbonio e resiliente al clima aumentando la consapevolezza del proprio ruolo, nell'ambito della transizione, integrando una valutazione del potenziale impatto sui cambiamenti climatici correlato alle politiche creditizie e di investimento poste in essere.

• Rischio sociale: legato agli aspetti relazionali con la clientela e più in generale con la comunità, con particolare riguardo allo sviluppo economico e sociale delle comunità locali, verso cui il Gruppo vuole essere un interlocutore attendibile e autorevole mediante una condotta integra e rigorosa, attenta alle esigenze dei propri stakeholder, finalizzata al mantenimento di una redditività-solidità ispirata alle tematiche di sostenibilità e per questo duratura nel tempo, per creare valore condiviso con cui contribuire al benessere e al progresso della comunità stessa. Rischio legato anche alla concessione di finanziamenti, agli investimenti e ai rapporti di fornitura rispetto a controparti caratterizzate da modelli economici non resilienti con profili di vulnerabilità sociale, alla possibilità di offrire prodotti o servizi finanziari non adeguati in funzione dell'evoluzione del contesto socio-economico o normativo, ecc.;
• Rischio attinente al personale: correlato alla gestione dei collaboratori e soggetti assimilati, incluse le azioni poste in essere a tutela della salute e sicurezza nei luoghi di lavoro, per garantire la parità di genere, l'attuazione di specifici programmi di attrazione dei talenti, la limitazione di situazioni di inadeguatezza dei profili professionali, prevenire la perdita di figure chiave, come anche le misure volte ad attuare le convenzioni di organizzazioni internazionali e sovranazionali in materia, e le modalità con cui è realizzato il dialogo con le parti sociali, correlato anche alla concessione di finanziamenti, agli investimenti e ai rapporti di fornitura rispetto a controparti caratterizzate da modelli economici non resilienti con profili di vulnerabilità nella gestione del personale;
• Rischio di mancato rispetto dei diritti umani: relativo appunto al mancato rispetto dei diritti umani, tra cui i diritti dei lavoratori, e/o relativo ad atteggiamenti ed azioni comunque discriminatori, per effetto anche della concessione di finanziamenti, degli investimenti e dei rapporti di fornitura rispetto a controparti caratterizzate da modelli economici non resilienti con profili di vulnerabilità legati al rispetto dei diritti umani. Si considera in questo ambito anche il rischio di violazione dei dati personali per cui occorre prevenire l'utilizzo illecito dei dati forniti dalle diverse categorie di interessati adottando idonee soluzioni tecniche e organizzative per la protezione degli stessi;
• Rischio nella lotta contro la corruzione attiva e passiva: relativo cioè al possibile verificarsi di eventi e/o circostanze di corruzione attiva e passiva, frode, riciclaggio o finanziamento del terrorismo (ad esempio per adeguamenti della normativa di riferimento ovvero per inadeguata formazione del personale) anche in relazione alla concessione di finanziamenti, agli investimenti e ai rapporti di fornitura rispetto a controparti caratterizzate da modelli economici non resilienti con profili di vulnerabilità nella lotta contro la corruzione attiva e passiva.

Per quest'ultimo ambito in particolare, in un percorso di miglioramento continuo nella gestione efficace ed evolutiva degli stimoli dati dalla normativa, nel 2018 il Gruppo Banco Desio insieme ad alcuni tra i principali gruppi bancari italiani si è fatto promotore del progetto denominato "Dichiarazione non finanziaria e gestione dei rischi connessi ai temi di sostenibilità", un'analisi strutturata dell'approccio adottato per gestire le richieste di informativa dell'ambito rischi ESG consultando i principali soggetti coinvolti, ovvero funzioni CSR e Risk Manager delle banche aderenti alla progettualità come anche dei principali gruppi bancari italiani, opinion leader e best practice di mercato.

A queste iniziative progettuali è strettamente legata anche la progettualità interna, avviata sempre nel 2018, che ha portato il Gruppo Banco Desio a sviluppare nel corso del 2019 una prima mappatura organica dei rischi previsti dal D.Lgs. 254/2016 all'interno delle politiche di gestione dei rischi aziendali in coerenza con quanto previsto nella normativa di vigilanza prudenziale e tenendo conto delle specifiche policy in materia di sostenibilità di cui la Capogruppo si è dotata, o che sono in via di finalizzazione, come meglio descritto nel successivo capitolo "La sostenibilità per il Gruppo Banco Desio".

23

Nello specifico, l'identificazione dei rischi Environmental Social e Governance (ESG), correlati ai rischi di business definiti nelle politiche interne del Gruppo e i principali impatti, la fase della valutazione dei rischi ESG prevede il monitoraggio e la classificazione degli stessi attraverso:

• l'aggiornamento delle tassonomie già in uso nell'ambito dei processi di valutazione e misurazione dei rischi operativi con eventi ESG;
• l'identificazione di KRI/KPI al fine di integrare l'indicatore sintetico di rischio reputazionale con l'ambito ESG.

Tali indicatori dovranno essere oggetto di monitoraggio per un periodo di tempo congruo a verificarne la validità e affidabilità degli stessi (fase di test). Individuazione dei rischi ESG e modello di valutazione saranno poi integrati nell'aggiornamento della Policy di gestione dei rischi aziendali che sarà sottoposto all'approvazione da parte del Consiglio di Amministrazione della Capogruppo.

Nell'ambito del contesto di settore in cui si trova ad operare e in relazione allo specifico tema del cambiamento climatico, per i prossimi reporting il Gruppo Banco Desio sta valutando di integrare le proprie analisi e, di conseguenza, la propria disclosure rispetto ai principali impatti generati e subiti che si trova ad affrontare per effetto delle proprie politiche creditizie e di investimento, tenendo anche conto dell'evoluzione in corso nella normativa di riferimento in materia.

Le decisioni strategiche a livello di Gruppo in materia di gestione del rischio sono infatti rimesse agli organi aziendali della Capogruppo; per quanto riguarda le altre società controllate, gli organi aziendali di ciascuna di esse sono consapevoli del profilo di rischio e delle politiche di gestione definiti dalla Capogruppo e sono responsabili dell'attuazione di tali politiche in modo coerente con la propria realtà aziendale. Nella prospettiva di un efficace ed efficiente sistema di gestione e controllo dei rischi, il Gruppo declina sulla propria struttura organizzativa specifiche responsabilità in materia: in quest'ottica è applicato il principio di separazione delle funzioni coinvolte nel processo di controllo del rischio secondo quanto previsto dalla normativa di vigilanza prudenziale.

24

Sistemi di governance

Il Consiglio di Amministrazione del Banco Desio in carica, composto da n. 12 amministratori, è stato nominato dall'Assemblea del 6 aprile 2017 e scade con l'Assemblea di approvazione del bilancio al 31 dicembre 2019. In base alla normativa speciale di riferimento per le banche con azioni quotate, gli amministratori devono possedere, pena decadenza dalla carica, specifici requisiti di onorabilità e di professionalità; in particolare sotto il profilo della professionalità è richiesta un'esperienza almeno triennale in almeno una delle seguenti attività: amministrazione, controllo o direttive in imprese; attività professionali in materie attinenti al settore bancario, finanziario, assicurativo o funzionali all'attività della banca; insegnamento universitario in materie giuridiche o economiche; funzioni amministrative o dirigenziali pubbliche con attinenza al settore creditizio o che comportino la gestione di risorse economico-finanziarie. Per la carica di Presidente l'esperienza suddetta deve essere almeno quinquennale; per la carica di Direttore Generale è richiesta una specifica competenza nelle materie attinenti il settore creditizio, maturata in posizioni di adeguata responsabilità per almeno cinque anni. La verifica dei requisiti degli Esponenti spetta allo stesso Consiglio di Amministrazione, entro 30 giorni dalla nomina, con procedura stabilita dalle Disposizioni di Vigilanza della Banca d'Italia; in sintesi, il possesso dei requisiti è verificato in modo specifico e deliberato dal C.d.A. e col parere del Collegio Sindacale (previa apposita verifica da parte del Collegio stesso), per ogni singolo esponente, con l'astensione dell'interessato, sulla base di idonea documentazione prodotta dagli Esponenti stessi (esempio: certificati, attestazioni, curricula vitae, dichiarazioni sostitutive di atto notorio o di certificazione, dichiarazioni rese da imprese/enti di provenienza, ecc.).

Le informazioni sulle caratteristiche personali e professionali degli Amministratori, nonché le informazioni sul possesso dei requisiti di cui al presente paragrafo, sono pubblicate in occasione della presentazione delle liste per il rinnovo delle cariche sociali, in conformità alle vigenti disposizioni Consob (); sono altresì tenute a disposizione sul sito internet www.bancodesio.italla sezione "La Banca - Gorvernance

- Corporate Governance".

Il C.d.A. del Banco Desio ha, inoltre, stabilito, nel proprio Regolamento Interno, taluni criteri generali relativi al cumulo degli incarichi degli amministratori.

Fatto salvo quanto prescritto da disposizioni specifiche in materia (con particolare riferimento a quanto previsto dalle disposizioni di legge in materia di "divieto di interlocking" tra gruppi bancari, finanziari e assicurativi in concorrenza), tali criteri generali sono da considerarsi non tassativi e il sopraggiungere di situazioni di difformità non comporta di per sé la decadenza dalla carica; il C.d.A., oltre ad effettuare con cadenza almeno annuale una valutazione specifica per quanto attiene al citato "divieto di interlocking" in conformità ai criteri applicativi emanati dalle Autorità di Vigilanza, si riserva di valutare caso per caso eventuali situazioni non conformi, fermo restando il principio, sancito dal Codice, secondo il quale è rimessa alla discrezionalità degli interessati la valutazione circa l'opportunità di accettare gli incarichi, anche nei comitati interni, esclusivamente "quando ritengono di poter dedicare allo svolgimento dei loro compiti il tempo necessario".

In occasione dei rinnovi delle cariche, viene definito dal Consiglio di Amministrazione - al fine di determinare la composizione qualitativa dell'Organo amministrativo e di quello di controllo - un insieme di competenze ritenute necessarie al Consiglio di Amministrazione e al Collegio Sindacale per il corretto ed efficace svolgimento dei propri compiti.

Tali competenze sono determinate tenendo conto: di quanto previsto dalla normativa di riferimento, anche comunitaria; delle best practice di sistema; delle esigenze di governo del Gruppo Banco Desio. Le aree di competenza di ciascun Esponente identificate nel modello generale della metodologia di autovalutazione degli Organi sono specificate nell'apposito "Profilo Teorico" pubblicato ai sensi delle disposizioni applicabili.

Ferme restando le disposizioni del T.U.F. che prevedono la presenza di un componente del Consiglio di Amministrazione e del Presidente del Collegio Sindacale eletti da una "lista di minoranza", va altresì tenuta presente la normativa in materia di c.d. "quote di genere" (Legge 120/2011 e Legge n. 160/2019). In virtù delle disposizioni applicabili, per il mandato 2017-2019 dovevano essere di genere femminile almeno 1/3 dei

25

componenti dell'Organo amministrativo (cioè 4 componenti su 12) e dell'Organo di controllo (cioè 1 componente effettivo e 1 componente supplente); per sei mandati consecutivi a decorrere dal primo rinnovo delle cariche successivo al 1° gennaio 2020, tali quote sono elevate ad almeno 2/5 dei componenti dell'Organo amministrativo (cioè 5 componenti su 12) e dell'Organo di controllo (cioè 1 componente effettivo e 1 componente supplente, arrotondando in questo caso per difetto come stabilito dalla Consob per gli Organi composti da tre membri).

Il Consiglio di Amministrazione ha approvato un Regolamento Interno di Autovalutazione degli Organi, al fine di disciplinare il relativo processo in conformità a quanto previsto dalla Circolare n. 285, individuando in particolare le metodologie da utilizzare (basate principalmente sulla compilazione di un apposito questionario da parte di ciascun Consigliere, nonché sullo svolgimento di un'apposita intervista complementare alla compilazione del questionario) e i profili oggetto di analisi - a livello aggregato - riguardo alla composizione (professionalità, indipendenza, ecc.) nonché al funzionamento (prassi operative, flussi informativi, ecc.) del Consiglio e dei Comitati costituiti al suo interno.

Nell'ambito delle iniziative finalizzate all'aggiornamento delle conoscenze relative al settore di attività in cui opera il Banco Desio, alle dinamiche aziendali e alla loro evoluzione, ai principi di corretta gestione dei rischi, nonché al quadro normativo e autoregolamentare di riferimento, sono state effettuate, a partire dal 2012, una serie di sessioni di formazione e di incontri di approfondimento, opportunamente diversificati per materie e relatori (tra i quali si annoverano anche manager, advisor, giuristi, economisti e giornalisti particolarmente qualificati),

A partire dal 2015 si è tra l'altro tenuto annualmente, con la partecipazione dei componenti degli Organi delle diverse Società del Gruppo e di alcune funzioni aziendali, un incontro di approfondimento dedicato, in una logica di pianificazione strategica e di modello di business al posizionamento del Gruppo nel mercato di riferimento alla luce degli scenari macroeconomici e regolamentari, nonché delle dinamiche delle economie regionali (Lombardia, Umbria, ecc.), che è stata condotta da un esperto esterno in materia di business bancario. Tale iniziativa si inquadra nella "buona prassi" che i componenti degli Organi si incontrino una o due volte l'anno, al di fuori delle sedute consiliari, per approfondire e confrontarsi sulle questioni di carattere strategico come previsto dalla citata Circolare n. 285.

Per ulteriori informazioni di maggior dettaglio per quanto attiene in particolare alle attività formative, si rinvia integralmente alla Relazione Annuale sul Governo Societario, a disposizione sul sito internet www.bancodesio.italla sezione "La Banca - Gorvernance - Corporate Governance".

1. C.d.A. ha istituito un Comitato Controllo e Rischi che è composto attualmente da n. 3 Amministratori non esecutivi (l'Amministratore Incaricato del Sistema di Controllo Interno e Gestione dei Rischi o più brevemente "AISCI"2 e n. 2 Amministratori indipendenti, tra cui il Presidente del Comitato). Alle sedute del Comitato partecipa il Presidente del Collegio Sindacale o un Sindaco Effettivo dallo stesso designato e possono comunque partecipare anche gli altri Sindaci Effettivi; ne è componente, in particolare, l'Amministratore Incaricato del Sistema di Controllo e Gestione dei Rischi e possono essere invitati a partecipare il Direttore Generale, i Vice Direttori Generali, i preposti alle funzioni di Chief Auditing Officer, Chief Risk Officer, Compliance e Antiriciclaggio, nonché altri dipendenti/collaboratori/consulenti secondo le specifiche materie da trattare. Il Comitato Controllo e Rischi, in veste di organismo "endoconsiliare", svolge

funzioni consultive e precisamente di assistenza al C.d.A. nell'attività di supervisione sul regolare

• A far data dal prossimo rinnovo delle cariche, l'Esponente che ricopre l'incarico di AISCI non figurerà più tra i componenti del Comitato Controllo e Rischi.

26

funzionamento del sistema dei controlli interni e di gestione dei rischi, nonché di valutazione del corretto utilizzo dei principi contabili. Il Comitato riferisce al C.d.A. sull'attività svolta e sull'adeguatezza del sistema dei controlli interni e di gestione dei rischi, con apposita relazione redatta semestralmente.

Al Comitato è altresì attribuita, a livello di Gruppo, la supervisione dei temi di sostenibilità nell'ambito del proprio ruolo consultivo-propositivo ai fini dell'approvazione da parte del C.d.A. di strategie e politiche in materia.

Per ulteriori informazioni di maggior dettaglio per quanto attiene in particolare all'attività del Comitato, si rinvia integralmente alla Relazione Annuale sul Governo Societario, a disposizione sul sito internet www.bancodesio.italla sezione "La Banca - Gorvernance - Corporate Governance".

Nella medesima Relazione sul Governo Societario ed Allegati, sono consultabili anche tutte le altre informazioni richieste dall'art. 435 comma 2 della CRR in merito agli amministratori, ai relativi requisiti e criteri stabiliti ai sensi della normativa applicabile, al cumulo delle cariche da essi ricoperte e alle modalità di selezione degli stessi, nonché alle politiche di diversità e ai flussi informativi.

27

2. Ambito di applicazione (art. 436 CRR)

Quanto riportato nel presente documento di Informativa al Pubblico è riferito al Gruppo Bancario Banco Desio. La Capogruppo Banco di Desio e della Brianza S.p.A. è l'ente al quale si applicano gli obblighi relativi alla presente informativa.

Nella Tabella sotto riportata vengono elencate le società del Gruppo ed il loro trattamento ai fini del bilancio consolidato e della vigilanza consolidata.

Entità consolidate ai fini di bilancio e prudenziali

Tipo di rapporto:

1 = Maggioranza dei diritti di voto nell'assemblea ordinaria

Nota (*) - In data 1°gennaio 2019 ha avuto efficacia contabile l'operazione di fusione per incorporazione della ex controllata Banca Popolare di Spoleto nella Capogruppo Banco Desio. Nota (**) - operazione di Covered Bond

Ai fini della definizione del perimetro di consolidamento, si è tenuto conto dei requisiti di effettivo controllo previsti dal principio IFRS10.

Per il calcolo dei fondi propri consolidati si fa riferimento ai soli dati riferiti alle società bancarie e finanziarie appartenenti al gruppo bancario. Tali dati includono anche i rapporti attivi e passivi (in bilancio e "fuori bilancio"), di stato patrimoniale e di conto economico, verso le altre società incluse nel consolidamento del bilancio che hanno formato oggetto di elisione. Non ci sono impedimenti né sostanziali né giuridici che ostacolano il rapido trasferimento di risorse patrimoniali o di fondi all'interno del gruppo.

In base alle disposizioni di vigilanza prudenziale dettate dagli articoli 11, paragrafi 2 e 3 e 13, paragrafo 2, del Regolamento CRR, le banche controllate da una "società di partecipazione finanziaria madre" sono tenute a rispettare i requisiti stabiliti dal predetto regolamento sulla base della situazione consolidata della società di partecipazione finanziaria medesima. Tali disposizioni portano a calcolare i ratio patrimoniali a livello di Brianza Unione di Luigi Gavazzi e Stefano Lado S.A.p.A., società controllante il 49,88% di Banco di Desio e della Brianza S.p.A. (di cui detiene il 50,44% delle azioni ordinarie ed il 44,69% delle azioni di risparmio).

Il calcolo dei Fondi Propri e dei requisiti prudenziali consolidati al 31 dicembre 2019 che sono oggetto di trasmissione alla Banca d'Italia nell'ambito delle segnalazioni di vigilanza prudenziale (COREP) e delle segnalazioni statistiche (FINREP) è stato conseguentemente effettuato con riferimento a Brianza Unione di Luigi Gavazzi e Stefano Lado S.A.p.A. che, secondo la normativa europea, si configura come la capogruppo finanziaria del gruppo bancario. Nel presente documento sono quindi esposti i risultati di tale calcolo, relativi al perimetro prudenziale del bilancio consolidato redatto dalla società Brianza Unione di Luigi Gavazzi e Stefano Lado S.A.p.A. (la capogruppo finanziaria).

28

3. Fondi Propri (art. 437 e 492 CRR) Informativa qualitativa

In base alla normativa vigente, sono descritti nel seguito gli elementi che compongono i Fondi Propri:

1. Capitale Primario di classe 1 (Common Equity Tier 1 - CET1)

Gli elementi del capitale primario di classe 1 degli enti sono i seguenti: a) strumenti di capitale, purché siano soddisfatte le condizioni di cui all'art. 28 o, ove applicabile, all'articolo 29 del Regolamento UE n. 575/2014 (cfr. paragrafo "Introduzione"); b) riserve sovrapprezzo azioni relative agli strumenti di cui al punto precedente; c) utili non distribuiti; d) altre componenti di conto economico complessivo accumulate; e) altre riserve; f) fondi per rischi bancari generali. Gli elementi di cui alle lettere da c) a f) sono riconosciuti come capitale primario di classe 1 soltanto se possono essere utilizzati senza restrizioni e senza indugi dall'ente per la copertura dei rischi o delle perdite nel momento in cui tali rischi o perdite si verificano.

2. Capitale Aggiuntivo di classe 1 (Additional Tier 1 - AT1)

Gli elementi del Capitale Aggiuntivo di classe 1 sono costituiti da: a) strumenti di capitale, quando sono rispettate le condizioni di cui all'art. 52, paragrafo 1 del Regolamento UE n. 575/2014; b) riserve sovrapprezzo azioni relative agli strumenti di cui al punto precedente. Gli strumenti di cui alla lettera a) non sono qualificati elementi del capitale primario di classe 1 o elementi di classe 2.

3. Capitale di Classe 2 (Tier 2 - T2)

Gli elementi del Capitale di Classe 2 sono costituiti da: a) strumenti di capitale e prestiti subordinati, quando sono rispettate le condizioni di cui all'articolo 63 del Regolamento UE n. 575/2014; b) riserve sovrapprezzo azioni relative agli strumenti di cui alla lettera precedente; c) per gli enti che calcolano gli importi delle esposizioni ponderati per il rischio conformemente alla parte tre, titolo II, capo 2 del Regolamento UE n. 575/2014, le rettifiche di valore su crediti generiche, al lordo degli effetti fiscali, fino all'1,25% degli importi delle esposizioni ponderati per il rischio calcolati conformemente alla parte tre, titolo II, capo 2 del regolamento stesso; d) per gli enti che calcolano gli importi delle esposizioni ponderati per il rischio conformemente alla parte tre, titolo II, capo 3 del Regolamento UE n. 575/2014, gli importi positivi, al lordo degli effetti fiscali, risultanti dal calcolo di cui agli articoli 158 e 159 fino allo 0,6 % degli importi delle esposizioni ponderate per il rischio calcolate conformemente alla parte tre, titolo II, capo 3 del regolamento stesso.

In data 23 e 25 gennaio 2018, i rispettivi Consigli di Amministrazione della ex controllata Banca Popolare di Spoleto e Banco Desio, tenuto conto della migliore stima disponibile delle maggiori rettifiche per perdite attese su crediti in bonis e deteriorati in prima applicazione del principio contabile IFRS9, hanno deliberato di aderire alle disposizioni transitorie introdotte dal Regolamento (UE) 2017/2395 del 12 dicembre 2017 volte ad attenuare l'impatto dell'introduzione del principio sui fondi propri e i coefficienti patrimoniali, con riferimento sia alla componente di incremento delle rettifiche per perdite attese su crediti in bonis e deteriorati in prima applicazione del principio sia con riferimento all'incremento delle perdite attese su crediti in bonis rispetto alla data di prima applicazione del principio.

Ai sensi di quanto previsto dalla disciplina armonizzata per le banche e le imprese di investimento contenuta nel regolamento (CRR) e nella direttiva (CRD IV) comunitari del 26/06/2013, che traspongono nell'Unione Europea gli standard definiti dal Comitato di Basilea per la vigilanza bancaria (c.d. framework Basilea 3), entrata in vigore il 1° gennaio 2014, i Fondi Propri consolidati del Gruppo calcolati con riferimento a Brianza Unione alla data del 31 dicembre 2019 sono così composti:

29

Composizione Fondi Propri con e senza applicazione del regime transitorio

30

Si riportano di seguito le caratteristiche degli strumenti aggiuntivi di classe 1 e gli strumenti computabili nel capitale di classe 2 rilevati nei fondi propri del Gruppo bancario e rideterminati per la Holding finanziaria Brianza Unione in funzione dei rischi riconducibili alle singole società controllate (sia ai fini del capitale aggiuntivo di classe 1 sia del capitale di classe 2).

1. Ad esempio identificativo CUSIP, ISIN o Bloomberg per i collocamenti privati
2. I tipi devono essere specificati per ciascuna giurisdizione
3. Alla più recente data di riferimento per la segnalazione
4. Specificare il tipo di strumento di rango immediatamente superiore (senior)

31

La tabella seguente fornisce il dettaglio degli elementi che compongono i fondi propri al 31/12/2019, secondo lo schema previsto dall'allegato VI del Regolamento di Esecuzione (UE) n. 1423/2014 della Commissione

32

33

1. L'importo riportato nella Colonna C fa riferimento all'ammontare degli interessi di minoranza ammessi nel capitale primario di classe 1 Consolidato, ai sensi delle discipline transitorie di cui agli articoli 479 e 480 del CRR.
2. Ammontare espresso in percentuale delle attività ponderate per il rischio, ottenuto sottraendo dal capitale primario di classe 1 i seguenti elementi: (i) requisito riferito al capitale primario di classe 1; (ii) requisito riferito al capitale aggiuntivo di classe 1, per la quota coperta da elementi del capitale primario di classe 1.

L'articolazione dei Fondi Propri del Gruppo Banco Desio, determinata in conformità alle disposizioni normative precedentemente descritte, evidenzia che il Capitale Primario di classe 1 rappresenta il 83,46% dei Fondi Propri del Gruppo, mentre il Capitale Aggiuntivo di classe 1 e il Capitale di Classe 2 sono pari rispettivamente a una quota del 6,17% e del 10,37% circa dei Fondi Propri.

Il Consiglio di Amministrazione della Capogruppo esamina ed approva periodicamente gli aggregati che compongono i Fondi Propri in modo da verificare sia la loro congruenza con il profilo di rischio assunto sia la loro adeguatezza ai piani di sviluppo della banca.

Nella seguente tabella viene riportata la riconciliazione del Capitale Primario di Classe 1 con il Patrimonio netto contabile del Gruppo.

34

1. L'importo comprende i seguenti elementi rilevanti ai fini dei Fondi Propri:
2. • elementi positivi: (i) impatto su CET1 regime transitorio (è ricompreso anche l'aggiustamento dovuto all'IFRS9);
   • elementi negativi: (i) filtri prudenziali derivanti dal rischio di credito proprio dell'ente correlato a passività derivative.
3. L'importo risulta decurtato di quanto accantonato a titolo di "Riserva di beneficenza" e del maggior dividendo distribuito rispetto all'utile.

35

4. Requisiti di capitale (art. 438 CRR) Informativa qualitativa

Con il termine adeguatezza patrimoniale si intende la valutazione della capacità del patrimonio aziendale di fronteggiare, in termini attuali e prospettici, le perdite inattese insite nello svolgimento dell'attività, presupponendo che le perdite attese - in particolare con riferimento al rischio di credito - siano fronteggiate dalle rettifiche di valore nette (specifiche e di portafoglio) di pari entità già rilevate a conto economico.

In tale contesto, la banca, oltre a rispettare i requisiti patrimoniali regolamentari (a fronte dei rischi di credito, controparte, mercato, operativo) in quanto i Fondi Propri rappresentano il primo presidio a fronte dei rischi connessi all'attività bancaria e il prioritario criterio di giudizio dell'adeguatezza patrimoniale da parte dell'Autorità di Vigilanza, dispone di strategie e processi al fine di valutare e detenere nel tempo il capitale complessivo ritenuto adeguato (per importo e composizione) alla copertura di tutti i rischi ai quali è o potrebbe essere esposto (capitale interno o capitale a rischio).

Attraverso il processo interno di determinazione dell'adeguatezza patrimoniale (Internal Capital Adequacy Assessment Process - ICAAP) il Gruppo effettua un'autonoma valutazione della propria adeguatezza patrimoniale, attuale e prospettica, in relazione ai rischi assunti e alle strategie aziendali. Il presente processo è documentato, conosciuto e condiviso dalle strutture aziendali ed è sottoposto a revisione interna.

Il perimetro di riferimento del processo ICAAP è rappresentato dal Gruppo bancario su base consolidata, così come indicato dalla normativa di Vigilanza. In quest'ottica il processo ICAAP è svolto dalle funzioni preposte della Capogruppo.

Il processo interno di determinazione dell'adeguatezza patrimoniale è svolto sia in ottica normativa (secondo le tempistiche e le modalità previste dalla Circolare Banca di Italia n. 285/2013, Parte I, Titolo III, Capitolo 1), che in ottica gestionale (secondo tempistiche previste internamente e mediante modalità anche diverse da quelle predisposte in ottica normativa).

Il processo di determinazione dell'adeguatezza patrimoniale si articola nelle seguenti principali fasi:

• individuazione dei rischi da sottoporre a valutazione, con riferimento sia ai rischi regolamentari o di primo pilastro, sia ai rischi rientranti nel secondo (rischio di concentrazione single-name e geo-settoriale, rischio di tasso di interesse derivante da attività diverse dalla negoziazione, rischio di liquidità, rischio residuo, rischi derivanti da cartolarizzazioni, rischio strategico, rischio di reputazione e eventuali ulteriori tipologie di rischio connesse alla specifica operatività del Gruppo);
• misurazione/valutazione dei singoli rischi e del relativo capitale interno. Il capitale interno è calcolato per i rischi regolamentari e per i rischi quantificabili del secondo pilastro e limitatamente a quelli per i quali Banca d'Italia ha indicato metodologie semplificate di determinazione del capitale interno. Per le altre tipologie di rischio, difficilmente quantificabili, sono, comunque, fornite valutazioni qualitative e predisposti sistemi di controllo e di mitigazione adeguati;
• valutazione del capitale interno complessivo. Il Gruppo determina il capitale interno complessivo secondo un approccio "building block" semplificato, che consiste nel sommare ai requisiti regolamentari a fronte dei rischi del primo pilastro (o al capitale interno relativo a tali rischi calcolato sulla base di metodologie interne, laddove presenti), l'eventuale capitale interno relativo agli altri rischi rilevanti. Secondo quanto previsto dalla normativa di vigilanza la valutazione del capitale interno complessivo è condotta sia in ottica di condizioni normali di business sia in condizioni di stress.

36

Informativa quantitativa

Come già illustrato nella Sezione dedicata ai "Fondi propri", il Patrimonio di vigilanza complessivo è composto dalla somma algebrica degli elementi di seguito specificati:

• Capitale di Classe 1 o Tier 1 (in grado di assorbire le perdite in condizioni di continuità d'impresa). Tale patrimonio si suddivide in Capitale primario di Classe 1 (Common Equity Tier 1) e Capitale aggiuntivo di Classe 1 (Additional Tier 1);
• Capitale di Classe 2 o Tier 2 (in grado di assorbire le perdite in caso di crisi).

In base alle disposizioni dettate dagli articoli 11, paragrafi 2 e 3 e 13, paragrafo 2, del Regolamento CRR, le banche controllate da una "società di partecipazione finanziaria madre" sono tenute a rispettare i requisiti stabiliti dal predetto regolamento sulla base della situazione consolidata della società di partecipazione finanziaria medesima. Tali disposizioni hanno pertanto reso necessaria la modifica del perimetro di consolidamento del Gruppo ai fini della vigilanza prudenziale, portando a calcolare i ratio patrimoniali a livello di Brianza Unione di Luigi Gavazzi e Stefano Lado S.A.p.A., società controllante il 49,88% di Banco di Desio e della Brianza S.p.A. (di cui detiene il 50,44% delle azioni ordinarie ed il 44,69% delle azioni di risparmio).

In data 27 giugno 2019, la Banca d'Italia ha comunicato al Banco di Desio e della Brianza S.p.A. e alla capogruppo finanziaria Brianza Unione di Luigi Gavazzi e Stefano Lado S.A.p.A. la propria decisione sul capitale a conclusione del periodico processo di revisione prudenziale ("SREP"), disponendo che, a decorrere dalla segnalazione sui fondi propri relativa al 30 giugno 2019, il Gruppo "CRR" Brianza Unione adotti cienti di capitale che, tenuto conto della riserva di conservazione del capitale del 2,5% applicabile ai gruppi bancari italiani nel 2019, presuppongono il rispetto dei limiti minimi di seguito indicati:

• 7,25% per il Common Equity Tier1 ratio, vincolante - ai sensi dell'art. 67-ter TUB - nella misura del 4,75% (di cui 4,5% a fronte dei requisiti minimi regolamentari e 0,25% a fronte dei requisiti aggiuntivi determinati a esito dello SREP) e per la parte restante dalla componente di riserva di conservazione del capitale;
• 8,85% per il Tier1 ratio, vincolante - ai sensi dell'art. 67-ter TUB - nella misura del 6,35% (di cui 6,0% a fronte dei requisiti minimi regolamentari e 0,35% a fronte dei requisiti aggiuntivi determinati a esito dello SREP) e per la parte restante dalla componente di riserva di conservazione del capitale;
• 11,00% per il Total Capital ratio, vincolante - ai sensi dell'art. 67-ter TUB - nella misura dell'8,5% (di cui 8,0% a fronte dei requisiti minimi regolamentari e 0,50% a fronte dei requisiti aggiuntivi determinati a esito dello SREP) e per la parte restante dalla componente di riserva di conservazione del capitale.

La riserva di conservazione del capitale, aggiuntiva ai requisiti minimi, ha l'obiettivo di dotare le banche di mezzi patrimoniali di elevata qualità da utilizzare nei momenti di tensione del mercato per prevenire disfunzioni del sistema bancario ed evitare interruzioni nel processo di erogazione del credito.

Si evidenzia inoltre che in materia di pianificazione della risoluzione delle LSI (Less Significant Institution), il Gruppo Banco Desio ha ricevuto dalla Banca d'Italia, in qualità di Autorità di Risoluzione, una comunicazione che non richiede il rispetto di un requisito MREL (requisito minimo di fondi propri e di passività idonee da sottoporre al bail-in).

La seguente tabella mette a raffronto i requisiti patrimoniali consolidati rilevati al 31 dicembre 20193 con quelli minimi richiesti alla medesima data in applicazione della normativa vigente (sia con riguardo al Gruppo Bancario che con riferimento al consolidato prudenziale in capo a Brianza Unione).

• In applicazione del regime transitorio introdotto per l'attenuazione dell'impatto dell'IFRS9

37

Ai fini del calcolo delle "Attività di rischio e coefficienti di vigilanza", la normativa UE assoggetta ad una ponderazione agevolata (fattore di sostegno pari a 0,7619) le PMI (Piccole Medie Imprese).

Si ricorda che in data 23 gennaio e 25 gennaio 2018, i rispettivi Consigli di Amministrazione della ex controllata Banca Popolare di Spoleto e della Capogruppo Banco di Desio e della Brianza, tenuto conto della migliore stima disponibile delle maggiori rettifiche per perdite attese su crediti in bonis e deteriorati in prima applicazione del principio contabile IFRS9, hanno deliberato di aderire alle disposizioni transitorie introdotte dal Regolamento (UE) 2395 del 12 dicembre 2017 volte ad attenuare l'impatto dell'introduzione del principio sui fondi propri e i coefficienti patrimoniali, con riferimento sia alla componente di incremento delle rettifiche per perdite attese su crediti in bonis e deteriorati in prima applicazione del principio sia con riferimento all'incremento delle perdite attese su crediti in bonis rispetto alla data di prima applicazione del principio.

In applicazione dell'informativa uniforme relativa alle disposizioni transitorie introdotte per l'attenuazione dell'impatto dell'IFRS9 sui fondi propri ai sensi dell'art. 473-bis del CRR (Guidelines EBA 2018/01) si riportano i requisiti patrimoniali calcolati a livello di Brianza Unione (consolidato prudenziale) sia in applicazione della norma transitoria che senza applicazione della stessa:

38

Al 31 dicembre 2019 i ratios consolidati calcolati in capo alla capogruppo finanziaria sono pertanto al di sopra delle soglie regolamentari considerando anche i limiti imposti dall'Autorità di Vigilanza attraverso il procedimento SREP in precedenza richiamato, con e senza applicazione della normativa transitoria per l'attenuazione dell'impatto IFRS9.

Rischio di credito e controparte: requisito patrimoniale per classe di attività

Rischio di mercato: requisito patrimoniale

Rischio operativo: requisito patrimoniale

39

Rischi specifici: requisito patrimoniale

A fronte di attività di rischio ponderate (RWA) in contrazione rispetto a quelle in essere a fine 2018, in linea con gli obiettivi strategici definiti nel Piano Industriale 2018-2020, si evidenzia un miglioramento dei coefficienti CET 1 e Tier 1 ratio, mentre il Total capital ratio risulta sostanzialmente in linea con quello dello scorso esercizio per effetto della diminuzione degli strumenti di capitale di classe 2.

40

5. Esposizione al rischio di controparte (art. 439 CRR)

Informativa Qualitativa

Ai fini della determinazione del requisito di capitale a fronte del rischio di credito, il Gruppo utilizza il metodo standardizzato, previsto per la determinazione dei requisiti di vigilanza a fronte di tale rischio (Circ. 285/13 Parte Seconda - Capitolo 3, Sezione I). Nell'ambito di tale scelta metodologica il Gruppo fa riferimento, per il calcolo del valore dell'esposizione, al metodo del valore di mercato previsto dalla normativa (Circ. n. 285/13 Parte Seconda - Capitolo 7, Sezione I).

Informativa Quantitativa

Derivati finanziari di negoziazione: valori nozionali di fine periodo

41

42

Derivati finanziari di copertura : fair value lordo positivo e negativo - ripartizione per prodotti

46