Responsabilità del consiglio secondo DORA: dalle politiche alle decisioni

Comprendere di chi è la responsabilità descritta da DORA

Parti dal soggetto giuridico regolamentato. Per l’ambito di applicazione e le esclusioni di DORA, consulta l’articolo 2. Inoltre, l’articolo 3, punto 30, definisce l’«organo di gestione» in base alle disposizioni di governance settoriali e nazionali applicabili. Il titolo professionale usato in azienda non basta a stabilire chi ricopre questo ruolo. Individua e documenta quale organo, o quali organi, esercita le funzioni pertinenti nella tua organizzazione.

Nell’ambito del quadro generale, l’articolo 5, paragrafo 2 attribuisce all’organo di gestione la responsabilità del quadro di gestione dei rischi ICT, compresa la responsabilità ultima per il rischio ICT dell’entità. Ciò non impedisce agli specialisti di svolgere il lavoro operativo. Il consiglio deve però poter dimostrare di aver definito le aspettative, ricevuto informazioni adeguate, esaminato criticamente le lacune e seguito l’attuazione delle decisioni importanti.

Questa guida riguarda il regime generale. Alle entità di cui all’articolo 16 si applica un quadro semplificato in luogo degli articoli da 5 a 15. Per le relative disposizioni di governance, consulta l’articolo 28 del regolamento delegato 2024/1774. Verifica il regime applicabile prima di usare questa guida per costruire un registro interno degli obblighi.

La stessa chiarezza serve all’interno di un gruppo. La capogruppo può gestire le operazioni di sicurezza e gli acquisti o fornire competenze per definire le politiche. La controllata deve comunque conoscere i servizi da cui dipende, i rischi che assume e le decisioni che spettano al proprio organo di gestione. «Se ne occupa il gruppo» non chiarisce chi risponde di cosa.

Considera l'approvazione come l'inizio della supervisione

L’articolo 5 comprende responsabilità relative alla strategia di resilienza e alla tolleranza al rischio ICT, alla continuità e al ripristino, alla pianificazione degli audit, alle risorse, alla politica sui fornitori terzi e ai canali di segnalazione. Per la ripartizione precisa consulta l’articolo 5, paragrafo 2, lettere da c) a i). Di seguito riportiamo un modo pratico per organizzare il lavoro risultante, e non un’alternativa alla disposizione normativa.

Per ogni approvazione importante, conserva una breve registrazione della decisione che colleghi tre elementi: ciò che il consiglio ha autorizzato, le ipotesi su cui si è basato e le evidenze che si aspetta di ricevere. Approvare una strategia dovrebbe portare a progressi sulle priorità definite. Approvare un piano di ripristino dovrebbe portare a una capacità di ripristino verificata. Approvare un budget dovrebbe permettere di disporre di persone, servizi o misure di controllo che riducano concretamente l’esposizione individuata.

Approvare un piano correttivo di sei mesi senza chiedere chi lo realizzerà crea un problema prevedibile. Se gli stessi due specialisti sono già impegnati in una migrazione essenziale, il piano potrebbe non essere attuabile. Chiedi su quali disponibilità di personale e tempo si basa e documenta il compromesso scelto. Una scadenza rivista ma realistica, accompagnata da una misura di protezione temporanea esplicita, è più utile di una data che nessuno può rispettare.

Distingui gli elementi da decidere da quelli informativi. Tutti i documenti che richiedono una decisione dovrebbero indicare l’azione proposta, alternative credibili, conseguenze del ritardo, incertezze irrisolte e scadenza per la decisione. Questo consente agli amministratori di esaminare la raccomandazione senza entrare in ogni dettaglio tecnico.

Chiarisci i poteri decisionali con una matrice

Per ogni questione importante, stabilisci chi prepara la proposta, chi la esamina criticamente, chi decide e chi verifica l’attuazione. Adatta l’esempio alla struttura giuridica dell’organizzazione, alle materie riservate ai diversi organi e ai regolamenti dei comitati. Qui «consiglio» indica l’organo di gestione competente: non significa che ogni decisione operativa debba attendere una riunione plenaria.

Le funzioni di gestione del rischio e conformità devono poter esaminare criticamente una proposta senza essere responsabili di ogni controllo operativo. L’audit interno deve mantenere l’indipendenza richiesta dal proprio ruolo. Non affidare allo stesso comitato sia l’attuazione di una correzione sia la verifica esclusiva della sua efficacia.

Metti alla prova la matrice con una decisione reale in arrivo. Se un contratto con un fornitore scade la prossima settimana, tutti sanno chi può approvarne il rinnovo, chi può imporre condizioni e chi accetta il rischio residuo? Chiarisci le risposte discordanti prima che un incidente o una scadenza commerciale facciano emergere il problema.

Trasforma la tolleranza al rischio in scelte sui servizi

Una dichiarazione che l’azienda ha una “bassa propensione al rischio cyber” non dice a un dirigente come scegliere tra progetti in concorrenza. Chiedi alla direzione di collegare la dichiarazione a servizi, impatti sui clienti, aspettative di controllo ed escalation. Mantieni esplicita la distinzione tra risultato desiderato e capacità effettivamente dimostrata.

Considera un’impresa di investimento immaginaria che valuta una nuova piattaforma per i rendiconti ai clienti. La direzione propone un obiettivo di ripristino basato sul materiale commerciale del fornitore. Il consiglio deve chiedere se l’obiettivo copre l’intero servizio: dati di origine, autenticazione, riconciliazione dei dati, accesso del personale e invio dei rendiconti ai clienti. Se è stata testata soltanto la piattaforma, documenta le dipendenze non verificate e la decisione su cui incidono.

Domande di verifica efficaci includono:

• Quali danni si verificano se il servizio non è disponibile o i suoi dati non sono affidabili?
• Quali ipotesi sono state verificate e quali restano stime?
• Cosa possiamo continuare in sicurezza mentre il servizio principale è degradato?
• Quale evento richiederebbe un'escalation o una decisione operativa diversa?
• Chi può accettare il rischio residuo, per quanto tempo e con quali condizioni?

Definisci limiti specifici per le eccezioni. Un’eccezione a tempo può identificare il servizio coinvolto, le motivazioni, le misure provvisorie, il responsabile, la scadenza e le condizioni per una revisione anticipata. Proroghe ripetute dovrebbero portare a un confronto sulla credibilità del piano originale. Un registro delle eccezioni è strumento decisionale solo se viene effettivamente utilizzato.

Verifica se il budget può garantire il risultato promesso

L’articolo 5, paragrafo 2, lettera g) riguarda l’adeguatezza delle risorse e il riesame periodico del budget. Un budget è più utile quando collega la spesa a un risultato che quando si limita a etichettarla come «DORA» o «cybersicurezza». Chiedi alla direzione di spiegare il rischio affrontato, le dipendenze necessarie per realizzare il progetto e le evidenze attese del miglioramento.

Confronta «Acquistare un nuovo prodotto di backup» con «Dimostrare che il servizio offerto ai clienti può essere ripristinato con dati riconciliati in un ambiente isolato». La seconda proposta permette di discutere di personale, tempi dei test, integrazione e verifica del risultato da parte delle funzioni aziendali. Il prodotto può essere necessario, ma acquistarlo non significa aver raggiunto il risultato.

Una proposta di investimento utile dovrebbe indicare:

1. Il servizio e l’esposizione che giustificano il lavoro.
2. Il risultato e come verrà verificato.
3. Costi una tantum e ricorrenti, inclusi il tempo del personale e il supporto del fornitore.
4. Dipendenze da altri progetti e da competenze difficili da reperire.
5. L'esposizione residua se la proposta viene ritardata o ridotta.
6. Chi confermerà che il beneficio previsto è stato ottenuto.

Includi esercitazioni decisionali e d’apprendimento nella pianificazione delle risorse. Un piano può fallire se il personale non sa come attivarlo, anche quando la tecnologia funziona. Allo stesso modo, la formazione non compensa l’assenza di un controllo tecnico. Tieni i bisogni connessi ma misurali separatamente.

Mantieni la responsabilità anche quando il servizio è affidato a un fornitore

L’esternalizzazione modifica il modello di erogazione; non elimina le responsabilità dell’entità. Per le entità soggette a tali requisiti normativi, l’articolo 3 del regolamento delegato 2024/1773 richiede una governance chiara degli accordi pertinenti e il riesame, almeno annuale, da parte dell’organo di gestione della politica sui servizi ICT a supporto di funzioni critiche o importanti. Per le esenzioni, consulta l’articolo 28, paragrafo 2, di DORA, comprese quelle per le microimprese. Questa frequenza di riesame riguarda una politica specifica: non è una frequenza universale per tutta la formazione del consiglio.

Per una dipendenza rilevante, chiedi una breve spiegazione focalizzata sul servizio. Cosa perderebbero i clienti se il fornitore venisse meno? Quali altri servizi si appoggiano alla stessa infrastruttura o subappaltatore? Come otterrà la tua organizzazione informazioni, manterrà il controllo e recupererà i dati? Cosa richiede in pratica l’uscita?

Considera una proposta ipotetica di rinnovo con uno sconto significativo in cambio di un impegno più lungo. La direzione ha il diritto contrattuale di esportare i dati, ma non ha mai verificato se sia possibile importarli in un’altra piattaforma funzionante. Il consiglio non deve progettare la migrazione. Deve chiedere se la possibilità di uscita sia credibile e se il rinnovo debba essere subordinato alla verifica dei dati, alla stima delle risorse necessarie per la transizione o alla riduzione di un altro rischio di concentrazione.

Distingui i documenti del fornitore dalle tue conclusioni. Una certificazione o una relazione di assurance può contribuire alle verifiche preliminari, ma controllane ambito, periodo di riferimento, esclusioni e pertinenza per il servizio. Documenta chi l’ha valutata e che cosa rimane irrisolto.

Le priorità di vigilanza della BCE per il 2026–2028 individuano nella resilienza operativa e nelle capacità ICT due priorità per le banche. Sottolineano inoltre che la sorveglianza sui fornitori critici integra la gestione del rischio di terze parti svolta dalle banche stesse. Sono priorità di vigilanza bancaria, non un’affermazione che tutte le entità finanziarie siano sottoposte allo stesso trattamento di vigilanza.

Definisci l’autorità per gestire la crisi prima che questa si verifichi

Stabilisci in anticipo come il consiglio riceve le informazioni importanti e quali azioni la direzione può intraprendere subito. Non aspettare un incidente per scoprire un disaccordo su chi può limitare un servizio, autorizzare spese urgenti o informare i clienti. Anche il team operativo ha bisogno di percorsi chiari per le segnalazioni alle autorità, secondo le procedure applicabili.

Richiedi aggiornamenti sintetici su quattro elementi: cosa è noto, cosa resta incerto, quali azioni sono in corso e quale decisione è richiesta. Evita di chiedere una tempistica di recupero sicura quando le prove non la supportano. Chiedi invece la prossima tappa di verifica e quando la direzione tornerà con informazioni migliori.

Una decisione di ripristino deve riguardare l’integrità del servizio oltre che la disponibilità. Un’applicazione raggiungibile può contenere dati mancanti, duplicati o incoerenti. Chiedi chi valida il risultato di business, quali riconciliazioni sono ancora aperte e quali restrizioni proteggono i clienti durante il ripristino parziale.

Valuta la governance tramite un esercizio. Simula la perdita del normale canale di riunione, l’indisponibilità di un dirigente e comunicazioni contrastanti dei fornitori. Osserva se i delegati autorizzati riescono ad agire e se si mantiene un registro decisionale. Questo è un esempio di esercitazione: non sostituisce i test tecnici e le altre disposizioni previste dal quadro normativo applicabile.

Successivamente, assegna ogni rilievo rilevante a un unico responsabile e specifica le evidenze necessarie per la chiusura. “Procedura aggiornata” può chiudere un problema di documentazione. Non chiude un’incapacità di ripristinare il servizio a meno che la capacità rilevante non sia stata dimostrata.

Conduci una riunione che produca decisioni e un resoconto utilizzabile

Un ordine del giorno compatto può essere più utile di una lunga presentazione tecnica. L’esempio seguente è una sessione di governance ricorrente suggerita; stabiliscine la frequenza in base ai rischi, agli obblighi applicabili e alla struttura del comitato.

1. Esamina i cambiamenti dall’ultima riunione: esposizione dei servizi, incidenti rilevanti e dipendenze.
2. Esamina la principale differenza tra capacità attesa e quella dimostrata.
3. Decidi su deroghe, risorse o priorità che superano i poteri delegati.
4. Chiedi spiegazioni sulle azioni in ritardo e sulle proroghe ripetute.
5. Conferma le evidenze da presentare al prossimo incontro e le eventuali esigenze formative.

I verbali devono documentare le domande critiche e le obiezioni importanti senza diventare trascrizioni parola per parola. Registra le informazioni considerate, le incertezze riconosciute, le alternative discusse, la decisione e le sue condizioni. Indica un responsabile e una data per riesaminare il tema. Non scrivere semplicemente che il consiglio «ha preso atto dell’aggiornamento sulla cybersicurezza» quando ha in realtà accettato un rischio dalle conseguenze rilevanti.

Esempio di decisione documentata: il consiglio ha esaminato i risultati del test di ripristino del servizio di rendicontazione ai clienti. L’applicazione è stata ripristinata, ma la riconciliazione dei dati non è stata completata nel tempo previsto. La direzione manterrà la verifica manuale temporanea, ne valuterà la capacità e presenterà i risultati di un nuovo test dell’intero processo. Il direttore operativo è responsabile dell’azione; la prossima data di riesame è registrata nel piano delle azioni.

Questo esempio si attiene volutamente ai fatti. Non dichiara l’organizzazione conforme e non sostiene che il problema sia risolto. Evidenzia la questione aperta e il passo successivo. Per scegliere le informazioni utili a una riunione di questo tipo, consulta la nostra guida al dashboard DORA per il consiglio.

Migliora il ciclo di governance nei prossimi 90 giorni

Utilizza questo piano di miglioramento insieme agli obblighi attuali; non è un permesso a rinviare un dovere già esistente. Parti dalla lacuna che comporta il rischio decisionale più immediato.

Valuta la qualità della chiusura. Seleziona tre azioni completate e chiediti se le evidenze a supporto rispondono al rilievo originario. Se un’azione ha prodotto solo un documento mentre il rischio persiste, riapri la discussione. Seleziona una eccezione accettata e verifica che la sua scadenza, le condizioni e il responsabile siano ancora significativi.

Infine, verifica che gli amministratori comprendano i materiali che devono esaminare criticamente. La nostra guida ai requisiti di formazione per il consiglio previsti da DORA spiega come strutturare l’apprendimento basato sui ruoli. Il corso « Formazione DORA in cybersicurezza per amministratori e dirigenti » offre un programma guidato dalle decisioni della durata di circa tre ore di studio assistito suddivise in otto moduli. Aggiungi i tuoi assetti di governance ed esercizi decisionali; il completamento del corso non costituisce accreditamento o valutazione di conformità.