La risposta breve
La supervisione dei rischi da terze parti secondo DORA inizia con la conoscenza di quali servizi ICT supportano l’ente finanziario e come il loro mancato funzionamento ne influirebbe le operazioni. Il consiglio dovrebbe aspettarsi un registro completo, una valutazione difendibile delle funzioni critiche o importanti, indicazioni chiare sulle lacune contrattuali, analisi delle concentrazioni e credibili opzioni di uscita. Un fornitore designato come critico dalle Autorità di Vigilanza Europee è un concetto diverso da un servizio che supporta funzioni critiche del tuo ente. Né l’esternalizzazione né la supervisione del fornitore trasferiscono la responsabilità dell’ente finanziario. I modelli pratici qui sotto aiutano gli amministratori a trasformare questa responsabilità in decisioni e conseguenti azioni.
1. Iniziare dal servizio che l’azienda deve continuare a fornire
Un report di procurement normalmente parte da fornitori, spesa annua e date di rinnovo. Una discussione DORA utile per il consiglio di amministrazione inizia invece da un obiettivo cliente: pagare un sinistro, eseguire un pagamento, mantenere uno storico d'investimento o offrire accesso a un account. Poi si lavora a ritroso attraverso i sistemi, servizi esterni e persone necessari a raggiungere quell’obiettivo.
Questo trasforma la domanda da “Abbiamo valutato il nostro fornitore cloud?” a “Cosa accade a questo servizio se la piattaforma di identità, la regione di hosting o il fornitore di supporto non sono disponibili?”. La seconda domanda evidenzia dipendenze che una scheda valutazione fornitori potrebbe non mostrare. Un servizio di autenticazione economico può bloccare più attività rispetto a un grande contratto software.
Il punto di partenza normativo è che l’utilizzo di servizi ICT non trasferisce gli obblighi della società finanziaria al fornitore. DORA colloca il rischio ICT di terze parti nel perimetro di risk management dell’ente. Si veda Articolo 28 del Regolamento (UE) 2022/2554. L’interpretazione e i metodi operativi in questa guida sono proposte pratiche; non costituiscono un’esposizione esaustiva di ogni requisito applicabile a tutti i tipi di entità.
Per un documento destinato al consiglio, chiedi allo sponsor esecutivo di identificare il servizio aziendale coinvolto, il responsabile interno, l’interruzione tollerabile, l’esposizione attuale e la decisione richiesta. Mantieni il dettaglio tecnico nel materiale di supporto. I direttori necessitano di dettagli sufficienti a mettere in discussione un’assunzione, senza diventare loro stessi il team incident o negoziare ogni clausola contrattuale.
2. Non confondere una funzione critica con un provider critico designato
Due valutazioni rispondono a domande differenti. Il tuo ente determina quali funzioni sono critiche o importanti secondo il quadro DORA. Le Autorità di Vigilanza Europee designano i fornitori critici di servizi ICT di terze parti per il quadro di supervisione dell’Unione. ESMA spiega che questa supervisione integra le responsabilità proprie degli enti finanziari; non le sostituisce. Vedi Spiegazione della vigilanza DORA da parte di ESMA.
| Domanda | Servizio a supporto di una funzione critica o importante | Fornitore terzo critico ICT designato |
|---|---|---|
| Cosa viene preso in considerazione? | L’importanza di una funzione per la società finanziaria e dei servizi ICT che la supportano. | Il rilievo del fornitore nell'ambito del quadro generale di supervisione del settore finanziario. |
| Cosa dovrebbe chiedere il consiglio di amministrazione? | Perché questa funzione è classificata in questo modo e quali sarebbero le conseguenze di un guasto? | Quali informazioni rilevanti di supervisione cambiano la nostra valutazione di questa dipendenza? |
| Cosa non dimostra? | Che il fornitore sia stato designato come critico dalle autorità. | Che ogni servizio acquistato dal fornitore supporti una funzione critica, o che il cliente sia conforme. |
Applica questa distinzione a un fornitore specializzato di piccole dimensioni. Potrebbe supportare l’unico accesso a un servizio finanziario importante senza comparire nell’elenco dei fornitori designati. Allo stesso modo, acquistare un servizio minore da un grosso fornitore designato non elimina la necessità di valutare l’uso effettivo. Conserva queste due classificazioni separatamente, evitando che un campo impreciso “critico: sì/no” influenzi tutte le decisioni successive.
3. Rendi il registro completo, connesso e spiegabile
Il registro non è limitato ai contratti che supportano funzioni critiche o importanti. L'articolo 28(3) copre tutti gli accordi contrattuali per servizi ICT forniti da terze parti ICT, distinguendo al contempo gli accordi relativi a tali funzioni. Regolamento di esecuzione (UE) 2024/2956 fornisce i modelli standard, compresi elementi di valutazione e informazioni sulla catena di approvvigionamento rilevanti per funzioni critiche o importanti.
Un controllo pratico di completezza inizia confrontando il registro con i documenti di procurement, i pagamenti ricorrenti, l'inventario delle applicazioni e le conoscenze dei responsabili dei servizi. Le differenze sono spunti d'indagine, non automaticamente prove di una violazione: una fattura può rappresentare un servizio non ICT, o più fatture possono riferirsi a un solo accordo. Documenta la conclusione invece di scartare silenziosamente la discrepanza.
Chiedere a una persona esterna al team di manutenzione anagrafiche di seguire una dipendenza dall’inizio alla fine. Riescono a identificare l’entità contraente, l’utente effettivo del servizio, il fornitore, la funzione supportata, il responsabile e il contratto attuale? Sono in grado di distinguere un accordo esterno dalla relativa intesa interna al gruppo? Se i collegamenti non sono chiari, esportare un file tecnicamente valido non ha risolto il problema gestionale.
- Assegna un responsabile nominato per domande aperte su classificazione e proprietà.
- Registra la data e la motivazione di una modifica, in particolare dopo acquisizioni o migrazioni di servizi.
- Riconcilia le modifiche quando viene approvato un nuovo servizio, non solo prima della scadenza di presentazione.
- Mostra ai dirigenti i gap di copertura e la loro anzianità, invece di presentare solo il numero totale di fornitori.
Il consiglio non deve approvare ogni riga del foglio. Deve avere fiducia che ci sia un responsabile della completezza, che l’incertezza sia visibile e che le dipendenze importanti ricevano la cura adeguata.
4. Trasforma la policy di terze parti in filtri decisionali
Una policy diventa utile quando modifica una decisione prima che l'organizzazione ne diventi dipendente. Per le entità soggette ai pertinenti requisiti di policy, Regolamento delegato (UE) 2024/1773 affronta l’intero ciclo di vita degli accordi a supporto di funzioni critiche o importanti. Richiede una revisione annuale della policy da parte dell’organo di gestione e un aggiornamento se necessario. Applicabilità e proporzionalità devono essere verificate in base alla categoria regolamentare dell’ente.
Le seguenti fasi sono un modello operativo suggerito. Prima della scelta, il business owner descrive il servizio e le conseguenze di un fallimento. Prima della firma, risk, security, legal e procurement identificano insieme le problematiche irrisolte. Prima dell’avvio in produzione, le operations mostrano che esistono monitoraggio, supporto e piani di ripristino. Al rinnovo o a modifiche rilevanti, l’owner rivaluta la validità degli assunti iniziali.
A ogni verifica, separa tre affermazioni: prova ottenuta, giudizio espresso, eccezione accettata. Il report di assurance di un fornitore è una prova. La conclusione che copra adeguatamente il tuo uso del servizio è un giudizio. Procedere nonostante un gap irrisolto è un’eccezione che richiede una decisione autorizzata, condizioni ed una data di scadenza.
Non lasciare che ogni problema diventi “accettato dall’azienda”. Individua chi ha l’autorità di accettare quale rischio secondo la governance dell’organizzazione. Escalare le dipendenze con conseguenze che superano tale autorità. Il contributo più prezioso del consiglio potrebbe essere finanziare una capacità di ripristino mancante o respingere un lancio affrettato le cui ipotesi di resilienza restano non testate.
5. Metti in discussione la concentrazione oltre il grafico della spesa fornitori
La concentrazione riguarda il rischio di fallimento correlato oltre che la dipendenza commerciale. Due contratti con nomi aziendali diversi possono appoggiarsi sulla stessa piattaforma di hosting, fornitore di connettività, servizio di identità o subappaltatore specializzato. Due regioni cloud possono comunque condividere il piano di amministrazione. Queste sono questioni architetturali che un grafico a torta degli acquisti non può risolvere.
Articolo 29 DORA tratta l’analisi del rischio di concentrazione ICT. Per una discussione efficace nel consiglio, chiedi di presentare pochi casi plausibili di dipendenza che falliscono e mostra quali servizi aziendali falliscono insieme. Rendi visibili le ipotesi: presenza dello staff, accesso alle chiavi, connettività, coerenza dei dati e capacità della soluzione proposta.
| Schematizzazione delle dipendenze | Domanda di verifica | Prove utili |
|---|---|---|
| Diverse applicazioni su un’unica piattaforma | Quali servizi essenziali si fermano insieme? | Una mappa delle dipendenze collegata a uno scenario di interruzione. |
| Fornitori diversi che utilizzano lo stesso subappaltatore | La nostra apparente diversificazione è reale? | Dati della service chain confermati e valutazione di impatto completata. |
| Piattaforma alternativa con poca capacità residua | Può gestire il carico richiesto in caso di una crisi di mercato generalizzata? | Un test di capacità misurata con limitazioni documentate. |
| Recovery dipendente dallo stesso servizio di identità | I responder possono accedere all’ambiente di recupero? | Un test controllato degli accessi di emergenza e dei permessi di recovery. |
Fornitori multipli possono anche aumentare la complessità, i costi operativi e i rischi di coordinamento. L’obiettivo pratico non è un divieto totale di concentrazione né la duplicazione ovunque delle infrastrutture. Si tratta di una scelta informata rispetto a una specifica esposizione, supportata da opzioni concrete e un responsabile chiaro. Registra perché la mitigazione selezionata è proporzionata e quale evento ne avrebbe scatenato la revisione.
6. Verifica le prove contrattuali rispetto al servizio realmente utilizzato
Un’etichetta “appendice DORA firmata” è troppo generica per una supervisione efficace. Articolo 30 stabilisce requisiti contrattuali, con disposizioni aggiuntive per i servizi ICT di supporto a funzioni critiche o importanti. I consulenti legali dovrebbero associare i requisiti applicabili alla reale struttura contrattuale. Il confronto sottostante è uno strumento pratico di verifica, non una clausola contrattuale sostitutiva.
| Area da porre in discussione | Un’affermazione di garanzia debole da parte del consiglio | Una richiesta di evidenza più utile. |
|---|---|---|
| Ambito del servizio | “Il provider è coperto.” | Individua i servizi, le entità legali, le sedi precise ed eventuali condizioni di subappalto rilevanti coperte dall’accordo. |
| Assistenza per incidenti | “Il supporto è disponibile.” | Mostra come viene richiesta assistenza durante un grave incidente e come viene gestito il relativo costo nel contratto. |
| Prestazioni | “L’SLA è standard.” | Spiega se le sue misure e i percorsi di escalation rivelano un fallimento che incide sul nostro servizio aziendale. |
| Assicurazione e accesso | “Il fornitore è certificato.” | Identifica i diritti di audit e accesso applicabili, le prove ottenute e i limiti materiali di ambito o tempistica. |
| Terminazione e transizione | “Possiamo annullare.” | Mostra il percorso praticabile per la continuità del servizio, i dati accessibili e una transizione gestita. |
Leggi i report di assurance considerando i loro limiti. Quale periodo coprono? Quale configurazione di servizio è stata valutata? Sono date per scontate responsabilità del cliente? Il report esclude un componente da cui dipende il tuo piano di ripristino? Un certificato attuale può essere utile pur lasciando senza risposta una precisa questione operativa.
Mantieni un registro conciso delle lacune collegando ogni problematica a una conseguenza aziendale, una misura compensativa, un responsabile e una data di scadenza. Porta al consiglio di amministrazione le esposizioni irrisolte e le decisioni fuori dalla delega. Evita di nascondere una lacuna significativa sotto un’alta percentuale di clausole marcate come complete: una singola capacità mancante può essere più importante di molti elementi a basso impatto chiusi.
7. Verifica se il piano di uscita è realmente attuabile
Un diritto contrattuale di recesso e la capacità operativa di lasciare sono risorse distinte. Le disposizioni DORA sull’uscita per servizi critici o importanti sono riportate in Articolo 28(8). In pratica, il consiglio dovrebbe mettere in discussione le ipotesi sottostanti al piano: destinazione, dati, persone, tempo, risorse e continuità del servizio.
Distingui una migrazione pianificata da un’interruzione d’emergenza. Un programma di migrazione di sei mesi può essere realistico a livello commerciale ma inutile come risposta immediata a un’interruzione di servizio. Il piano di ripristino può permettere la continuità del servizio mentre il piano di uscita affronta la dipendenza a lungo termine. Chiedi alla direzione di spiegare la relazione invece di presentare uno dei due documenti come soluzione universale.
- Scegli un servizio rappresentativo e definisci il trigger di uscita.
- Esporta un campione controllato dei dati richiesti con le adeguate protezioni.
- Verifica che la destinazione possa leggere e riconciliare i dati, non solo archiviare un file.
- Verifica diritti di accesso, licenze, competenze specialistiche e supporto alla transizione previsto da contratto.
- Misura il tempo e identifica lavoro manuale, dipendenze mancanti e ipotesi non verificate.
- Update the cost, sequence, accountable owner and next test date.
Questa è una sequenza di test suggerita, non un requisito di migrazione in produzione non controllata. Scegli test sicuri adatti al servizio e documenta i relativi limiti. Se è stato testato solo un campione ridotto, dichiararlo. Se non è pronta un’alternativa, segnalare apertamente tale limitazione e mostrare la decisione di rischio provvisoria. Lo stato “verde” non deve mai significare solo che esiste un documento.
8. Usa un board pack sintetico con decisioni allegate
Un pacchetto di supervisione efficace può essere strutturato attorno a cinque domande: cosa è cambiato, cosa potrebbe fallire contemporaneamente, quale livello di garanzia si è indebolito, quali opzioni restano e quale decisione è necessaria? Questa è una struttura di reportistica suggerita. La frequenza dovrebbe riflettere i rischi e le disposizioni di governance dell'organizzazione, piuttosto che un calendario DORA trimestrale universalmente inventato.
Includi il ristretto numero di dipendenze con le maggiori conseguenze per il business, modifiche recenti che le riguardano, azioni rilevanti in ritardo e la prossima decisione su contratto o migrazione. Spiega le tendenze. Un aumento del numero di fornitori può riflettere una migliore copertura inventariale piuttosto che un’esposizione cresciuta. Meno azioni aperte possono riflettere una vera rimedizione o una modifica nel conteggio.
- Collega ogni rischio rilevante a un servizio aziendale supportato e a un dirigente responsabile.
- Distingui capacità di recovery testata da un obiettivo o una promessa del fornitore.
- Mostra le eccezioni contrattuali, le lacune d’assicurazione non risolte e la loro anzianità.
- Identifica variazioni di concentrazione e assunzioni che richiedono nuove prove.
- Indica la decisione richiesta, le alternative valutate e le conseguenze di una rinvio.
Usa il Guida alla dashboard di reportistica del consiglio DORA per collegare queste misure a una supervisione più ampia del rischio ICT. Per un esercizio pratico, prendi una dipendenza ad alto impatto nella esercitazione di tabletop per la risposta agli incidenti del consiglio di amministrazione. Il consiglio dovrebbe riconoscere gli stessi nomi di servizio, responsabili del rischio e ipotesi di ripristino in tutte e tre le discussioni.
9. Prepara la prossima discussione su una dipendenza reale
Non iniziare chiedendo a ogni team di riprogettare ogni report. Seleziona un servizio importante e richiedi una catena di evidenze coerente: valutazione funzionale, registrazione, contratto, revisione di assurance, test di recupero e piano di uscita. Chiedi ai diversi responsabili di esaminarla insieme. Identifier discordanti, assunzioni obsolete e azioni senza proprietario si riveleranno rapidamente.
Trasforma i risultati in un breve piano di miglioramento. Risolvi prima le questioni di proprietà e inventario. Poi intervieni sulle decisioni sensibili al tempo legate a rinnovo, migrazione o esposizione. Infine, ottimizza il processo di supervisione ricorrente affinché le stesse lacune non ricompaiano. Assegna a ciascuna azione un deliverable verificabile, non solo un’istruzione tipo “migliorare la governance”.
Anche gli amministratori necessitano di una comprensione condivisa del loro ruolo. Il guida ai requisiti di formazione per il consiglio previsti da DORA illustra come collegare l’apprendimento alle responsabilità di governance. BlueTeam Academy’s Formazione Consiglio & Dirigenza DORA offre un programma guidato dalle decisioni per i team di leadership di entità finanziarie rientranti nell’ambito di applicazione del DORA. Il programma non è una valutazione della conformità dell’organizzazione. Associa l’apprendimento alle evidenze specifiche dei tuoi servizi, alle decisioni e ai follow-up.
Domande che i leader pongono
Il registro DORA include solo fornitori critici?
No. L’articolo 28(3) copre tutti gli accordi contrattuali per i servizi ICT forniti da terze parti ICT. Devono essere distinti gli accordi che supportano funzioni critiche o importanti, e i modelli di registro richiedono dettagli aggiuntivi pertinenti. La designazione come fornitore critico è una valutazione separata.
Usare un fornitore critico designato rende la nostra azienda conforme?
No. La vigilanza europea su un fornitore designato non sostituisce le responsabilità della singola entità finanziaria. L’organizzazione deve comunque comprendere la propria dipendenza dal servizio, gli accordi contrattuali, i controlli e le opzioni di ripristino specifici.
Ogni consiglio deve approvare ogni contratto con fornitori?
Questa guida non afferma un requisito universale di approvazione individuale del consiglio per ogni contratto. Utilizzare i requisiti legali applicabili e i propri assetti di governance per definire l’autorità delegata, l’escalation e le decisioni riservate all’organo di gestione.
È sufficiente un piano di uscita documentato?
Un documento da solo offre garanzie limitate. Contesta se i dati possano essere usati altrove, se destinazione e competenze siano disponibili, se l’assistenza alla transizione sia effettiva e la tempistica risponda alle esigenze del servizio. I test dovrebbero essere sicuri, proporzionati e espliciti su quanto non hanno dimostrato.
Fonti e letture di approfondimento
Legislazione primaria e materiale di vigilanza. Gli esempi pratici e i modelli in questa guida sono suggerimenti, non moduli regolamentari prescritti.
- Regolamento (UE) 2022/2554: articoli 28–30
- Regolamento delegato (UE) 2024/1773: policy contrattuali con terze parti
- Regolamento di esecuzione (UE) 2024/2956: registro dei modelli di informazione
- ESMA: vigilanza DORA e fornitori critici designati
Questa guida è di tipo educativo. Confermare l’ambito, il quadro applicabile e i requisiti di vigilanza della propria entità con il proprio team legale e di compliance.
