EAU: la nuova norma sull’OpRisk sposta la GRC dal controllo alla resilienza

Il 14 settembre 2026 è entrato in vigore il regolamento sul rischio operativo e sulla resilienza operativa della Banca centrale degli Emirati Arabi Uniti, come riporta Gulf News. Il regolamento n. C 1/2026 era stato emanato già nel febbraio 2026 e sostituisce il quadro del 2018. Si applica a tutte le istituzioni finanziarie autorizzate con personalità giuridica propria, non solo alle banche. Al centro vi è un cambio di parametro di riferimento: non conta più l’evitare le perdite operative, ma la capacità dimostrabile di mantenere l’operatività, adattarsi, ripristinarsi e imparare dagli incidenti. Per le funzioni GRC vale la pena analizzare che cosa richiede, sul piano strutturale, questo cambiamento di ruolo.

Cosa sostituisce esattamente il nuovo regolamento?

Il regolamento sulla gestione del rischio operativo della Banca centrale degli EAU, noto come regolamento n. C 1/2026, sostituisce integralmente la circolare n. 163/2018 sulla gestione del rischio operativo e i relativi standard.

Il regolamento si applica a tutte le istituzioni finanziarie autorizzate con personalità giuridica propria, e non è quindi limitato alle banche. La Banca centrale può imporre requisiti aggiuntivi laddove necessario ed emanare ulteriori standard o linee guida. Il quadro normativo resta quindi aperto a future integrazioni piuttosto che essere definitivo al momento della sua entrata in vigore.

La sua tempistica si inserisce in un quadro più ampio. Il regolamento era stato emanato già nel febbraio 2026 come uno dei regolamenti attuativi della nuova legge sulla Banca centrale, il decreto legge federale n. 6 del 2025, entrato in vigore il 16 settembre 2025, come illustra lo studio legale Hadef & Partners. L’articolo 184 di tale legge ha concesso alle istituzioni un anno per conformarsi alle sue disposizioni, il che ha determinato la scadenza del 15 settembre 2026. Il nuovo regolamento sul rischio operativo entra quindi in vigore esattamente un giorno prima di tale scadenza. Chi ha trattato la scadenza come una mera data di diritto societario e delle licenze potrebbe aver sottovalutato l’aspetto operativo.

Perché la resilienza operativa diventa il nuovo parametro di riferimento?

Il quadro normativo sposta l’attenzione dalla tradizionale prevenzione delle perdite operative verso la costruzione di istituzioni capaci di mantenere l’operatività, adattarsi, ripristinarsi e imparare dagli incidenti.

La leva concreta per questo obiettivo sono le tolleranze all’interruzione. Le istituzioni devono identificare le operazioni critiche la cui interruzione potrebbe causare un danno significativo ai clienti, all’istituzione stessa o al sistema finanziario, e definire per ciascuna di esse una tolleranza chiaramente delimitata: la durata massima accettabile di un’interruzione e il livello di impatto ancora sostenibile. A seconda dell’attività, tali operazioni comprendono trasferimenti e pagamenti, accesso ai conti ed elaborazione degli stipendi, e il funzionamento di tutti i tipi di carte. Le evidenze richieste si spostano quindi dall’esistenza di un piano di ripristino alla capacità effettiva di fornire o ripristinare il servizio entro i tempi e le tolleranze predefiniti.

Rispetto al quadro del 2018, tra gli elementi nuovi figurano la resilienza operativa, l’identificazione delle operazioni critiche, la mappatura delle dipendenze, la cybersicurezza, la gestione del rischio di terze parti, i test di stress e di penetrazione, la segnalazione degli incidenti entro quattro ore, la gestione del cambiamento, la tutela dei clienti, la governance dei dati e la comunicazione pubblica.

L’obbligo di segnalazione è articolato su più fasi piuttosto che limitato a un’unica scadenza. Se un evento ha, o rischia di avere, un impatto significativo sulla continuità e sulla sicurezza delle operazioni critiche, l’istituzione deve notificare la Banca centrale entro quattro ore e identificare le operazioni interessate. Entro 24 ore segue un breve rapporto sulla natura dell’incidente, sulle misure adottate, sul suo potenziale impatto e sui tempi previsti per il ripristino dell’operatività normale. Al ripristino dell’operatività normale, la Banca centrale deve essere nuovamente informata. Per gli incidenti di gravità elevata secondo i propri criteri di classificazione, si applica un’ulteriore notifica entro 72 ore. Quali operazioni siano considerate critiche e come vengano prioritizzate è una questione che anche le linee guida EBA sulle funzioni critiche pongono per le istituzioni europee.

Cosa significa questo per le tre linee di difesa?

Il regolamento riafferma il modello delle tre linee di difesa, richiede una funzione di rischio operativo indipendente guidata dal Chief Risk Officer, ed estende esplicitamente la responsabilità fino all’alta direzione e al consiglio di amministrazione.

Le linee di business, come prima linea, garantiscono l’identificazione, la valutazione e il controllo continui dei rischi nell’operatività quotidiana. La gestione del rischio e la compliance, come seconda linea, forniscono una supervisione relativamente indipendente e mettono in discussione, laddove necessario, le decisioni della prima linea. L’audit interno, come terza linea, fornisce un’assicurazione indipendente sull’efficacia del quadro. La funzione di rischio operativo indipendente deve disporre di risorse adeguate e deve sviluppare una propria valutazione dei rischi rilevanti, valutare l’efficacia dei controlli interni, esaminare il profilo di rischio operativo, identificare le minacce e le vulnerabilità che riguardano le operazioni critiche, e fornire formazione e sensibilizzazione al rischio.

La ripartizione dei ruoli al vertice è esplicita: il consiglio di amministrazione approva strategie, politiche e propensione al rischio, mentre l’alta direzione le attua e garantisce sistemi, risorse e personale qualificato adeguati. Questa struttura non è nuova, ma affronta ora una prova più severa: non conta l’esistenza delle tre linee, ma se queste siano in grado di fornire una visione condivisa della situazione entro quattro ore nel caso di un evento reale. Come cambi in generale l’interazione tra le tre linee è descritto nel nuovo Three Lines Model delle linee guida dell’IIA.

Quali conseguenze si applicano in caso di violazioni?

Si tratta di obblighi regolamentari vincolanti, non di linee guida volontarie. Le violazioni possono comportare misure di supervisione e sanzioni amministrative o pecuniarie, che possono arrivare fino all’amministrazione esterna temporanea dell’istituzione.

Il catalogo delle misure comprende anche la rimozione, la sostituzione o la limitazione dei poteri dell’alta direzione o dei membri del consiglio di amministrazione, sanzioni pecuniarie e il divieto di operare nel settore finanziario degli EAU. Questa ampiezza dimostra che il supervisore si rivolge non solo all’istituzione, ma anche alle persone responsabili al vertice. Per la funzione GRC, ciò significa che le evidenze devono essere documentate non solo per il dipartimento di compliance, ma per la responsabilità personale dell’alta direzione.

Cosa significa questo, sul piano strutturale, per una funzione GRC?

Una funzione GRC deve poter dimostrare di conoscere le proprie operazioni critiche, di averne mappato le dipendenze, e di testare il ripristino piuttosto che limitarsi a documentare i rischi.

I test sono prescritti in termini concreti. Le istituzioni devono condurre periodicamente test di stress sul rischio operativo, comprese valutazioni dell’ambiente di controllo, e test di penetrazione. Per le funzioni critiche, i test periodici devono comprendere un test di penetrazione svolto da una parte esterna indipendente, con i risultati presentati al consiglio di amministrazione. I piani di continuità operativa e di disaster recovery non devono solo essere mantenuti, ma esercitati in scenari severi ma plausibili.

Le istituzioni finanziarie devono inoltre implementare un quadro per il rischio ICT e cyber che comprenda l’identificazione e la valutazione dei rischi, le misure di mitigazione, la risposta agli incidenti e il ripristino, la gestione del cambiamento, i servizi dati e tecnologici e la gestione delle patch. La gestione degli incidenti deve coprire l’intero ciclo di vita dell’incidente, dal rilevamento, dalla classificazione e dal contenimento fino al ripristino del servizio, all’analisi delle cause profonde e alle misure per prevenire il ripetersi dell’incidente. La frode interna ed esterna diventa parte esplicita del quadro del rischio operativo, e quindi qualcosa da identificare, valutare, monitorare, segnalare e mitigare piuttosto che essere lasciata unicamente alla sicurezza o alla compliance.

Anche il legame con la tutela dei clienti è nuovo. Laddove i cambiamenti operativi lascino ai clienti informazioni materialmente inesatte, come conferme di pagamento, addebiti e accrediti o saldi di conto, le istituzioni devono spiegare chiaramente in che modo i conti e le transazioni sono stati interessati. Le istituzioni sono responsabili per le perdite subite dai clienti a seguito di errori istituzionali, in linea con i regolamenti sulla tutela dei consumatori della Banca centrale. Laddove terze parti facciano parte di operazioni critiche, la gestione del rischio di terze parti richiede una governance che vada oltre un semplice registro dei fornitori, come descritto anche nell’articolo sulla governance del rischio di terze parti.

Come ci si può preparare concretamente a questo cambiamento di ruolo?

Un primo passo verificabile consiste nel far validare al comitato rischi, nella sua prossima seduta ordinaria, il registro delle operazioni critiche e nel decidere una tolleranza all’interruzione per ciascuna operazione, ovvero una durata massima di interruzione e un livello di impatto sostenibile.

Su questa base, vale la pena costruire una mappa delle dipendenze che riunisca sistemi, dati, personale e fornitori terzi per ciascuna operazione critica, insieme a un test dei piani di continuità operativa che misuri il tempo di ripristino effettivo rispetto alla tolleranza concordata, e non solo la documentazione. Vale altrettanto la pena percorrere una volta l’intera catena di escalation, dall’incidente rilevato fino alla notifica entro quattro ore e al rapporto di sintesi entro 24 ore. Le istituzioni al di fuori degli EAU farebbero bene ad applicare già ora lo stesso parametro di riferimento, anche senza un obbligo di segnalazione immediato verso un supervisore locale. Chi testa la capacità di ripristino solo quando un supervisore lo richiede lo fa troppo tardi.

FAQ

Domande frequenti

Da quando è in vigore il nuovo regolamento sulla gestione del rischio operativo della Banca centrale degli EAU?

Il regolamento n. C 1/2026 è stato emanato nel febbraio 2026 ed è entrato in vigore il 14 settembre 2026. Sostituisce integralmente il precedente quadro del 2018 e da allora si applica direttamente a tutte le istituzioni finanziarie autorizzate nel paese.

A quali istituzioni si applica il regolamento n. C 1/2026?

Il regolamento n. C 1/2026 si applica a tutte le istituzioni finanziarie autorizzate con personalità giuridica propria negli Emirati Arabi Uniti, non solo alle banche. La Banca centrale può inoltre imporre in qualsiasi momento requisiti aggiuntivi o emanare ulteriori standard e linee guida, il che mantiene il quadro aperto a future integrazioni.

Cos’è una tolleranza all’interruzione e per cosa deve essere definita?

Per ogni operazione critica, le istituzioni devono definire una tolleranza all’interruzione chiaramente delimitata, costituita dalla durata massima accettabile di un’interruzione e dal livello di impatto ancora sostenibile. Le evidenze richieste si spostano quindi dall’esistenza di un piano di ripristino alla capacità effettiva di fornire o ripristinare il servizio entro i tempi e le tolleranze predefiniti.

Quanto tempo hanno le istituzioni per segnalare un incidente operativo critico?

La notifica iniziale alla Banca centrale deve avvenire entro quattro ore, identificando le operazioni critiche interessate. Entro 24 ore segue un breve rapporto sulla natura dell’incidente, sulle misure adottate, sul suo potenziale impatto e sui tempi previsti per il ripristino dell’operatività normale; anche il ritorno all’operatività normale deve essere segnalato. Per gli incidenti di gravità elevata secondo i propri criteri di classificazione, si applica un’ulteriore scadenza di 72 ore.

Quali test richiede concretamente il regolamento?

Richiede test di stress periodici sul rischio operativo, comprese valutazioni dell’ambiente di controllo, così come test di penetrazione. Per le funzioni critiche, i test periodici devono comprendere un test di penetrazione svolto da una parte esterna indipendente, con i risultati presentati al consiglio di amministrazione. I piani di continuità operativa e di disaster recovery devono essere esercitati in scenari severi ma plausibili.

Cosa cambia rispetto al precedente quadro del 2018?

Tra gli elementi nuovi figurano la resilienza operativa, l’identificazione delle operazioni critiche, la mappatura delle dipendenze, la cybersicurezza, la gestione del rischio di terze parti, i test di stress e di penetrazione, la segnalazione degli incidenti entro quattro ore, la gestione del cambiamento, la tutela dei clienti, la governance dei dati e la comunicazione pubblica. Questi temi passano da integrazioni volontarie a componenti obbligatori che le istituzioni devono attuare in modo dimostrabile.

Le istituzioni al di fuori degli EAU devono anch’esse tenere conto del nuovo regolamento?

Il regolamento non crea un obbligo di segnalazione immediato verso un supervisore al di fuori degli EAU. È comunque consigliabile applicare già ora lo stesso parametro di riferimento della capacità dimostrabile di ripristino, poiché testarla solo quando un supervisore lo richiede arriva troppo tardi, invece di agire in modo proattivo.

Fonti

1. UAE overhauls bank risk rules: 4-hour reporting, cyber tests and tougher penaltiesGulf News
2. New UAE Central Bank rules target outages, fraud and cyberattacksGulf News
3. UAE Central Bank targets banking apps and card disruption with tougher risk rulesArabian Business
4. UAE Central Bank Law: 2026 Developments and the September 2026 Reconciliation DeadlineHadef & Partners
5. Operational Risk Regulation C 163/2018Central Bank of the UAE, Rulebook
6. UAE Overhauls Bank Risk Rules With Four-Hour Reporting, Cyber Tests and Tougher PenaltiesDubai Standard