Software sicuro by design, resilienza digitale dei servizi as a Service e consulenza personalizzata sulle esigenze delle banche.
Sono i tre elementi per accompagnare il settore finance nell’adeguamento normativo alla DORA e guidarlo nell’uso di nuovi tool e strumenti di gestione del rischio operativo.
«La DORA è l’ultimo atto di un percorso ormai intrapreso da anni, iniziato con la 263, che richiamava a una gestione strutturata del rischio e alla continuità operativa dei servizi – spiega Andrea Di Filippo, Direttore Divisione Servizi Finanziari di Sopra Steria. È poi proseguito con la 285, che ha ampliato la gestione del rischio richiedendo analisi di resilienza a tutto tondo, non solo per la sicurezza IT».
Resilienza certificata e sicurezza by design
Oggi DORA porta le banche clienti di Sopra Steria a richiedere principalmente due elementi al loro vendor: certificare la resilienza digitale e avere un livello di sicurezza dei software che sia già intrinseco, by design.
«Tutti i nostri servizi, offerti in SaaS, PaaS, etc. rispettano i dettami DORA e sono le banche stesse a chiederci di certificare quanto realizzato – spiega Di Filippo –, attraverso dei questionari o interviste che mirano a verificare l’aderenza ai requisiti di resilienza digitale e operativa dei servizi IT.
Inoltre siamo un system integrator e le nostre competenze nello sviluppo dei software sono sempre più indirizzate all’adozione di un approccio di security by design nella scrittura del codice».
Il vendor al fianco delle banche
Un vendor è controllato nell’erogazione dei servizi informatici, ma indossa anche la veste di controllore quando si tratta della implementazione di nuove metodologie e framework in ambito regolamentare.
A occuparsi della consulenza è un team di consulenti dedicati, con competenze locali ma anche globali.
«La consulenza è un cantiere aperto che si evolve costantemente – evidenzia Di Filippo. Il Regolatore prosegue infatti con aggiornamenti e rettifiche: questi cambiamenti normativi richiedono un supporto continuo, che comportano la revisione dei controlli per aumentarne l’efficacia e l’azione mitigante».
Due vie per gli istituti italiani
Le banche al momento si stanno muovendo a due velocità: le grandi banche, che normalmente approcciano queste normative comunitarie con modelli di analisi e di implementazione fortemente strutturati, avendo perlopiù i sistemi in house; e le banche più piccole, e con i sistemi prevalentemente esternalizzati, che devono necessariamente fare affidamento ai modelli di governance definiti dagli outsourcer.
«A giocare un ruolo decisivo nella definizione delle varie strategie è la dimensione, europea o prettamente locale, delle banche che operano in Italia: le grandi realtà, con ramificazioni di business in Europa, hanno già definito i loro framework normativi, includendo anche le declinazioni locali.
Mentre – sottolinea Di Filippo – le banche locali invece devono prevedere dei modelli di controllo che pongano l’attenzione sui presidi e controlli eseguiti da terzi. Si tratta quindi di un approccio che deve essere differenziato».
La consulenza, locale e globale
La linea Consulting di Sopra Steria è stata strutturata a livello di gruppo, con metodologie e framework condivisi, che vengono poi declinati su ogni paese e personalizzati sulle esigenze di ogni cliente.
«Una doppia vista, locale e globale – conclude Di Filippo – per rispondere in maniera sinergica alle necessità del cliente».
Questo articolo è stato pubblicato sul numero di marzo 2024 di AziendaBanca ed è eccezionalmente disponibile gratuitamente anche sul sito web. Se vuoi ricevere AziendaBanca, puoi abbonarti nel nostro shop.
