DORA Responsabilità del Consiglio: Dalla Politica alle Decisioni

Comprendere di chi è la responsabilità descritta da DORA

Il punto di partenza è l’entità legale regolamentata. Ambito ed esclusioni del DORA sono riportati in Articolo 2, mentre l’Articolo 3(30) collega il termine “organo di gestione” ai rispettivi assetti di governance settoriali e nazionali applicabili. Un semplice titolo lavorativo commerciale non determina tale associazione. Registra quale organo o quali organi ricoprono le funzioni pertinenti nella tua organizzazione.

Nell’ambito del quadro generale, Articolo 5(2) colloca il quadro di riferimento del rischio ICT presso l’organo di gestione, imponendo la responsabilità ultima per il rischio ICT dell’entità. Questo è compatibile con il lavoro svolto dagli specialisti. La questione pratica è se il consiglio sia in grado di dimostrare di aver stabilito aspettative, ricevuto informazioni adeguate, sollevato dubbi su eventuali lacune e seguito le decisioni rilevanti fino alla fine.

Questo articolo si concentra su quel quadro generale. Le entità rientranti nell’Articolo 16 seguono un regime semplificato anziché gli Articoli 5–15; le disposizioni di governance relative a tale regime vengono sviluppate in Articolo 28 del Regolamento Delegato 2024/1774. Confermare il regime applicabile prima di trasformare questa guida in un registro di obblighi interni.

Le strutture di gruppo richiedono la stessa chiarezza. Una società madre può fornire operazioni di sicurezza, approvvigionamento o competenze di policy. La controllata necessita comunque di una visione utilizzabile dei servizi da cui dipende, dei rischi che comporta e delle decisioni che il suo stesso organo di governo deve prendere. “Se ne occupa il gruppo” non spiega in maniera completa l’accountability.

Considera l'approvazione come l'inizio della supervisione.

L’articolo 5 riguarda le responsabilità incluse la strategia di resilienza e la tolleranza al rischio ICT, la gestione della continuità e dei piani di ripristino, la pianificazione degli audit, le risorse, la strategia sulle terze parti e i canali di segnalazione. Leggere l’assegnazione precisa in Articolo 5(2)(c)–(i). Di seguito riportiamo un modo pratico per organizzare il lavoro risultante, e non un’alternativa alla disposizione normativa.

Per ogni approvazione significativa, conserva un breve resoconto della decisione articolato in tre parti collegate: cosa ha autorizzato il consiglio, le ipotesi su cui si basava e le evidenze che si aspetta di ricevere successivamente. L’approvazione di una strategia dovrebbe portare a progressi rispetto alle priorità. L’approvazione di un piano di recupero dovrebbe condurre a capacità testate. L’approvazione di un budget dovrebbe tradursi in persone, servizi o controlli che affrontino effettivamente il rischio individuato.

Ad esempio, approvare un piano di rimedio di sei mesi senza chiedere chi svolgerà il lavoro crea un problema prevedibile. Se gli stessi due specialisti sono già impegnati in una migrazione essenziale, il piano può essere irrealizzabile. Chiedi le ipotesi sulla capacità prima di approvare e registra il compromesso. Una scadenza rivista realistica con un controllo temporaneo esplicito è più utile di una data ottimistica irraggiungibile.

Distingui gli elementi da decidere da quelli informativi. Tutti i documenti che richiedono una decisione dovrebbero indicare l’azione proposta, alternative credibili, conseguenze del ritardo, incertezze irrisolte e scadenza per la decisione. Questo consente agli amministratori di esaminare la raccomandazione senza entrare in ogni dettaglio tecnico.

Usa una matrice dei diritti decisionali per eliminare ambiguità

Concorda chi prepara, verifica, decide e controlla ciascun aspetto rilevante. Adatta questo esempio alla tua struttura organizzativa, riserve e regolamenti dei comitati. “Consiglio” qui indica l’organo di gestione rilevante; non implica che ogni decisione operativa debba attendere una riunione completa.

Le funzioni rischio e compliance dovrebbero poter contestare la proposta senza possedere ogni controllo operativo. L’audit interno deve mantenere l’indipendenza appropriata al proprio ruolo. Non fare che un comitato implementi una correzione e fornisca anche l’unica garanzia che abbia funzionato.

Metti alla prova la matrice con una decisione reale imminente. Se un contratto fornitore va rinnovato la prossima settimana, tutti sanno chi può approvarlo, chi può imporre condizioni e chi accetta l’eventuale rischio residuo? Risolvi risposte in conflitto prima che un incidente o una scadenza commerciale li evidenzi.

Trasforma la tolleranza al rischio in scelte sui servizi

Una dichiarazione che l’azienda ha una “bassa propensione al rischio cyber” non dice a un dirigente come scegliere tra progetti in concorrenza. Chiedi alla direzione di collegare la dichiarazione a servizi, impatti sui clienti, aspettative di controllo ed escalation. Mantieni esplicita la distinzione tra risultato desiderato e capacità effettivamente dimostrata.

Prendiamo il caso di una società di investimento immaginaria che valuta una nuova piattaforma di reporting per i clienti. La direzione propone un obiettivo di ripristino basato sul materiale di marketing del fornitore. Il consiglio dovrebbe chiedere se l’obiettivo copre l’intero servizio di reporting: dati di origine, autenticazione, riconciliazione, accesso dello staff e distribuzione ai clienti. Se sono stati testati solo la piattaforma, registra le dipendenze non verificate e la decisione da cui sono influenzate.

Domande di verifica efficaci includono:

• Quali danni si sviluppano se il servizio non è disponibile o i dati non sono affidabili?
• Quali assunzioni sono state dimostrate e quali restano stime?
• Cosa possiamo continuare in sicurezza mentre il servizio principale è degradato?
• Quale evento richiederebbe un'escalation o una decisione operativa diversa?
• Chi può accettare il rischio residuo, per quanto tempo e con quali condizioni?

Definisci limiti specifici per le eccezioni. Un’eccezione a tempo può identificare il servizio coinvolto, le motivazioni, le misure provvisorie, il responsabile, la scadenza e le condizioni per una revisione anticipata. Proroghe ripetute dovrebbero portare a un confronto sulla credibilità del piano originale. Un registro delle eccezioni è strumento decisionale solo se viene effettivamente utilizzato.

Verifica se il budget può garantire il risultato promesso

Articolo 5(2)(g) affronta le risorse adeguate e la revisione periodica del budget. In termini pratici, un budget è più informativo quando collega la spesa a un risultato, rispetto a quando si limita a etichettare le spese come "DORA" o "cybersecurity". Chiedi alla direzione di spiegare il rischio affrontato, la dipendenza nella realizzazione e le prove di miglioramento.

Confronta queste proposte: “Acquistare un nuovo prodotto di backup” e “Dimostrare che il servizio clienti può essere ripristinato con dati riconciliati usando un ambiente di recovery isolato.” La seconda proposta consente di porre domande su persone, tempi di test, integrazione e validazione business. Il prodotto può essere necessario, ma acquistarlo non equivale a ottenere il risultato.

Un valido investment paper dovrebbe mostrare:

1. Il servizio e l’esposizione che giustificano il lavoro.
2. Il risultato e come verrà verificato.
3. Costi una tantum e ricorrenti, inclusi il tempo del personale e il supporto del fornitore.
4. Dipendenze da altri progetti e competenze scarse.
5. L'esposizione residua se la proposta viene ritardata o ridotta.
6. La persona che confermerà che il beneficio è stato consegnato.

Includi esercitazioni decisionali e d’apprendimento nella pianificazione delle risorse. Un piano può fallire se il personale non sa come attivarlo, anche quando la tecnologia funziona. Allo stesso modo, la formazione non compensa l’assenza di un controllo tecnico. Tieni i bisogni connessi ma misurali separatamente.

Mantieni la proprietà se un fornitore eroga il servizio

L’esternalizzazione modifica il modello di erogazione; non elimina le responsabilità dell’entità. Per le entità soggette a tali requisiti normativi, Articolo 3 del Regolamento Delegato 2024/1773 richiede una governance chiara per gli accordi rilevanti e almeno una revisione annuale da parte dell’organo di gestione della policy per i servizi ICT a supporto di funzioni critiche o importanti. Verifica le esenzioni in Articolo 28(2) DORA, incluse le microimprese. Questa specifica frequenza di revisione delle policy non va confusa con una frequenza universale per tutta la formazione del consiglio.

Per una dipendenza rilevante, chiedi una breve spiegazione focalizzata sul servizio. Cosa perderebbero i clienti se il fornitore venisse meno? Quali altri servizi si appoggiano alla stessa infrastruttura o subappaltatore? Come otterrà la tua organizzazione informazioni, manterrà il controllo e recupererà i dati? Cosa richiede in pratica l’uscita?

Considera una proposta di rinnovo fittizia con un forte sconto per un impegno più lungo. La direzione ha il diritto contrattuale di esportare i dati ma non ha mai importato tale esportazione in un ambiente operativo alternativo. Il consiglio non deve progettare la migrazione. Deve chiedere se la possibilità di uscita sia credibile e se il rinnovo debba dipendere dalla verifica dei dati, dalla stima della capacità di transizione o dalla riduzione di un’altra concentrazione.

Distingui documenti fornitori dalle tue conclusioni. Una certificazione o un rapporto di assurance può supportare la due diligence, ma verifica l’ambito, il periodo di rendicontazione, le esclusioni e la rilevanza per il servizio. Registra chi ha valutato il documento e cosa resta da risolvere.

La Priorità di vigilanza 2026–28 identificare la resilienza operativa e le capacità TIC come priorità per il settore bancario e sottolineare che la supervisione dei fornitori critici integra la gestione del rischio di terze parti da parte delle banche. Queste sono priorità di vigilanza bancaria, non un’affermazione che ogni entità finanziaria riceva un trattamento di vigilanza identico.

Definisci l’autorità per gestire la crisi prima che questa si verifichi

Decidere in anticipo come il consiglio riceve le informazioni rilevanti e quali azioni il management può intraprendere immediatamente. Un incidente non dovrebbe far emergere un disaccordo su chi può limitare un servizio, autorizzare spese urgenti o dare aggiornamenti ai clienti. Il team operativo ha anche bisogno di chiare modalità per la segnalazione normativa secondo le procedure applicabili.

Richiedi aggiornamenti sintetici su quattro elementi: cosa è noto, cosa resta incerto, quali azioni sono in corso e quale decisione è richiesta. Evita di chiedere una tempistica di recupero sicura quando le prove non la supportano. Chiedi invece la prossima tappa di verifica e quando la direzione tornerà con informazioni migliori.

Una decisione di ripristino deve riguardare l’integrità del servizio oltre che la disponibilità. Un’applicazione raggiungibile può contenere dati mancanti, duplicati o incoerenti. Chiedi chi valida il risultato di business, quali riconciliazioni sono ancora aperte e quali restrizioni proteggono i clienti durante il ripristino parziale.

Valuta la governance tramite un esercizio. Simula la perdita del normale canale di riunione, l’indisponibilità di un dirigente e comunicazioni contrastanti dei fornitori. Osserva se i delegati autorizzati riescono ad agire e se si mantiene un registro decisionale. Questo è un esempio di esercitazione: non sostituisce i test tecnici e le altre disposizioni previste dal quadro normativo applicabile.

Successivamente, assegna ogni rilievo rilevante a un unico responsabile e specifica le evidenze necessarie per la chiusura. “Procedura aggiornata” può chiudere un problema di documentazione. Non chiude un’incapacità di ripristinare il servizio a meno che la capacità rilevante non sia stata dimostrata.

Conduci una riunione che produca decisioni e un resoconto utilizzabile

Un ordine del giorno compatto può essere più utile di una lunga presentazione tecnica. L’esempio seguente è una sessione di governance ricorrente suggerita; stabiliscine la frequenza in base ai rischi, agli obblighi applicabili e alla struttura del comitato.

1. Esamina i cambiamenti dall’ultima riunione: esposizione dei servizi, incidenti rilevanti e dipendenze.
2. Esamina la principale differenza tra capacità attesa e quella dimostrata.
3. Decidere eventuali eccezioni, risorse o priorità che superano l’autorità delegata.
4. Contesta azioni scadute e proroghe ricorrenti.
5. Conferma le prossime evidenze da presentare e ogni percorso di apprendimento richiesto.

I verbali dovrebbero spiegare le criticità rilevanti senza essere una trascrizione parola per parola. Registra le informazioni considerate, le incertezze riconosciute, le alternative discusse, la decisione e le sue condizioni. Includi un responsabile e una data di revisione. Evita una frase generica come "il consiglio ha preso atto dell’aggiornamento cyber" quando invece è stato accettato un rischio concreto.

Registrazione illustrativa di una decisione: il consiglio ha esaminato i risultati del test di ripristino per il servizio di reportistica ai clienti. L’applicazione è stata ripristinata, ma la riconciliazione aziendale non è stata completata entro la finestra pianificata. La direzione manterrà il controllo manuale provvisorio, ne verificherà la capacità e tornerà con un nuovo test end-to-end. L’executive delle operazioni è responsabile; la prossima data di revisione è annotata nel registro delle azioni.

Questo esempio è volutamente fattuale. Non etichetta l’organizzazione come conforme né afferma che il problema sia scomparso. Rende visibili la questione irrisolta e il prossimo passo. Per scegliere le informazioni di supporto a tale incontro, utilizza il nostro Guida alla dashboard di reportistica del consiglio DORA.

Migliora il ciclo di governance nei prossimi 90 giorni

Utilizza questo piano di miglioramento insieme agli obblighi attuali; non è un permesso a rinviare un dovere già esistente. Parti dalla lacuna che comporta il rischio decisionale più immediato.

Valuta la qualità della chiusura. Seleziona tre azioni completate e chiediti se le evidenze a supporto rispondono al rilievo originario. Se un’azione ha prodotto solo un documento mentre il rischio persiste, riapri la discussione. Seleziona una eccezione accettata e verifica che la sua scadenza, le condizioni e il responsabile siano ancora significativi.

Infine, assicurati che i consiglieri comprendano il materiale che dovranno mettere in discussione. Il nostro guida ai requisiti di formazione per il consiglio previsti da DORA spiega come strutturare l’apprendimento basato sui ruoli. Formazione Consiglio & Dirigenza DORA offre un programma guidato dalle decisioni della durata di circa tre ore di studio assistito suddivise in otto moduli. Aggiungi i tuoi assetti di governance ed esercizi decisionali; il completamento del corso non costituisce accreditamento o valutazione di conformità.