Il 18 settembre 2026, EBA ha pubblicato le linee guida definitive sul rischio dei fornitori non ICT. Disciplinano selezione, contratti, controlli e uscita dai rapporti.
Questi orientamenti di vigilanza sostituiranno quelli del 2019 sulle esternalizzazioni dalla data di applicazione, ancora da confermare.
Il problema affrontato dalle linee guida
DORA disciplina i rischi dei fornitori ICT oltre il perimetro dell’outsourcing. Per i servizi non ICT, il riferimento EBA restava legato all’esternalizzazione: affidare una funzione che l’intermediario avrebbe altrimenti svolto direttamente.
Rapporti capaci di creare dipendenze operative potevano così restare fuori dal perimetro outsourcing. Le nuove linee guida includono accordi con terzi che sostengono funzioni su base ricorrente o continuativa e ne avvicinano i presidi a DORA.
Quali rapporti sono interessati
Oltre a banche, imprese di investimento diverse da quelle piccole e non interconnesse, istituti di pagamento e moneta elettronica, sono inclusi altri soggetti, tra cui taluni emittenti di token e succursali bancarie di paesi terzi. Sono inclusi i rapporti infragruppo.
Sono invece esclusi, tra gli altri, revisione legale, servizi finanziari riservati per legge ad altri intermediari regolati, informazioni di mercato, infrastrutture di pagamento, determinati rapporti di compensazione e regolamento e corrispondenza bancaria, servizi senza impatto materiale sui rischi o sulla resilienza operativa, beni e utenze.
I requisiti più intensi riguardano le funzioni essenziali o importanti, la cui interruzione comprometterebbe risultati finanziari, solidità o continuità delle attività o rispetto degli obblighi della banca. I controlli vanno calibrati secondo proporzionalità.
Il coordinamento con DORA
Una banca usa una piattaforma per le richieste di mutuo e affida al personale del fornitore la raccolta dei documenti, la verifica della completezza delle informazioni e le richieste di integrazioni. Valutazione creditizia e decisione restano alla banca. Se il software funziona ma le verifiche si fermano, le domande si accumulano: un allegato DORA limitato alla piattaforma può non coprire questo rischio.
Occorre identificare le prestazioni e valutare la significatività della componente ICT: usare software non rende automaticamente ogni servizio soggetto a DORA. Sono possibili strategia e policy integrate e un unico registro, distinguendo servizi ICT e non ICT e rispettivi requisiti.
Governance e controlli
L’organo di gestione resta responsabile e approva strategia, policy di continuità e piani di audit. Una funzione o un responsabile della supervisione deve rispondergli direttamente.
Vanno assegnate risorse e responsabilità per gestire il nuovo perimetro. Il registro comprende tutti i rapporti soggetti alle linee guida, con informazioni aggiuntive per le funzioni essenziali o importanti.
Le clausole da verificare
Il contratto scritto deve attribuire diritti e obblighi. Servono descrizione completa dei servizi; ammissibilità e condizioni della subfornitura di funzioni essenziali o importanti o loro parti significative; legge applicabile; luoghi di esecuzione, con condizioni e comunicazione dei cambiamenti; luoghi di trattamento e conservazione dei dati.
I dati vanno protetti in relazione alla loro disponibilità, autenticità, integrità e riservatezza, rispettando la normativa sui dati personali e il segreto bancario. Per quelli di proprietà della banca vanno assicurati accesso, recupero e restituzione in caso di insolvenza, risoluzione o cessazione del fornitore o del contratto. Servono livelli di servizio aggiornabili e piena cooperazione con autorità di vigilanza, di risoluzione e loro incaricati. Per le banche soggette alla CRD, vanno richiamati i poteri informativi, investigativi e di risoluzione delle autorità, inclusi gli articoli 68 e 71 BRRD, e descritte le obbligazioni sostanziali del contratto.
I diritti di cessazione, con preavvisi, devono coprire violazioni significative di legge o contratto, cambiamenti rilevanti nel servizio o nel fornitore, carenze nella gestione dei rischi o nella sicurezza dei dati e ostacoli alla vigilanza. L’audit interno deve poter verificare il servizio in base al rischio.
Per le funzioni essenziali o importanti servono obiettivi quantitativi o qualitativi precisi; termini e obblighi informativi sugli sviluppi che incidano sul servizio o sulla conformità e, ove appropriato, relazioni dell’audit interno del prestatore; indicazione se siano richieste assicurazioni e relative coperture; piani di continuità attuati e testati. Nell’esempio della piattaforma per la gestione delle richieste di mutuo si dovranno concordare tempi, errori e arretrati ammissibili, distinguendo ritardi del fornitore e attesa di documentazione da parte del cliente.
La banca e le autorità devono avere accesso a sedi e informazioni, ispezioni e audit senza restrizioni, con cooperazione del prestatore e ambito, procedure e frequenza definiti. Sono ammesse garanzie alternative per tutelare altri clienti, ma certificazioni e relazioni non possono essere l’unica verifica nel tempo. Per le altre funzioni, analoghi diritti vanno valutati in base al rischio.
Per questi servizi, la subfornitura richiede attività escluse e condizioni, valutazione dei rischi geografici, monitoraggio e informazioni alla banca. Nei subcontratti vanno trasferiti obblighi di controllo, comunicazione e continuità, diritti di accesso e audit e adeguamenti regolamentari nei tempi previsti. Nuovi affidamenti e modifiche significative richiedono preavviso e approvazione o mancata opposizione. Il prestatore deve poter cessare subcontratti non autorizzati, attuati nonostante l’opposizione o prima del termine senza approvazione.
L’exit dal contratto richiede prosecuzione del servizio e assistenza al trasferimento per un periodo adeguato.
Tempi e organizzazione del lavoro
Dalla data di applicazione, i nuovi rapporti e quelli rivisti o modificati seguiranno le linee guida. Per riesaminare e documentare i rapporti esistenti a supporto di funzioni essenziali o importanti sono previsti due anni; se il lavoro è incompleto, occorre informare la vigilanza indicando misure previste o strategia di uscita. Gli altri rapporti possono essere adeguati al rinnovo.
Si può iniziare identificando servizi finora esclusi dal registro outsourcing, classificandone la criticità e confrontando i contratti con i requisiti. Le priorità dipendono dal possibile impatto di un’interruzione, sostituibilità e carenze. Il lavoro già fatto per DORA può essere riutilizzato verificandone la coerenza rispetto al nuovo quadro regolamentare; adeguare l’accordo quadro può evitare negoziazioni ripetute dei contratti esecutivi.
Questo articolo è stato pubblicato sul numero di ottobre 2026 di AziendaBanca ed è eccezionalmente disponibile gratuitamente anche sul sito web. Se vuoi ricevere AziendaBanca, puoi abbonarti nel nostro shop.
