Linee guida EBA: prima le funzioni critiche

Il 18 settembre 2026 l’EBA ha pubblicato il rapporto finale sugli orientamenti EBA/GL/2026/09 relativi alla gestione del rischio derivante da terze parti per servizi non ICT. Essi abrogano gli orientamenti sull’esternalizzazione del 2019 e non si basano più sulla nozione di esternalizzazione, bensì su quella più ampia di accordo con terze parti, di cui l’esternalizzazione costituisce un sottoinsieme. Il perimetro coperto è quindi più ampio rispetto al passato. Allo stesso tempo, la versione finale gradua l’impegno richiesto: gli obblighi più stringenti si applicano agli accordi a supporto di funzioni critiche o importanti. Per gli istituti si pone quindi la domanda di quali accordi debbano essere riesaminati per primi in fase di attuazione.

Cosa è cambiato tra la bozza e la versione finale?

La versione finale gradua ciò che la bozza trattava in larga misura in modo uniforme: i requisiti rafforzati si applicano agli accordi con terze parti a supporto di funzioni critiche o importanti, mentre tutti gli altri sono disciplinati secondo un approccio basato sul rischio e proporzionato.

Il cambiamento terminologico di fondo resta. Un accordo con terze parti è qualsiasi accordo tra un ente finanziario e un fornitore di servizi esterno o infragruppo, in base al quale tale fornitore supporta una o più funzioni su base ricorrente o continuativa. Gli accordi di esternalizzazione ne costituiscono esplicitamente un sottoinsieme. Ciò porta nel perimetro servizi non ICT che in precedenza non erano classificati come esternalizzazione. Letti insieme, i due sviluppi restituiscono il quadro reale: il perimetro è più ampio, la profondità dei requisiti è graduata.

Durante la consultazione svoltasi dall’8 luglio 2025 all’8 ottobre 2025, le parti interessate hanno sollevato preoccupazioni riguardo a un’estensione eccessiva del perimetro. L’associazione di categoria AMAFI ha criticato il fatto che la bozza prevedesse per le terze parti con funzioni non critiche un regime praticamente identico a quello previsto per le funzioni critiche o importanti. Anche l’associazione FIA ha evidenziato che un perimetro definito in modo troppo ampio potrebbe complicare la valutazione delle funzioni critiche e importanti e compromettere la coerenza con il DORA.

A quali istituti e servizi si applicano gli orientamenti?

Gli orientamenti sono rivolti alle autorità competenti degli Stati membri e riguardano istituti, succursali di paesi terzi, determinate imprese di investimento, istituti di pagamento, istituti di moneta elettronica, emittenti di token collegati ad attività e determinati mutuanti soggetti alla direttiva sul credito ipotecario, laddove questi si avvalgano di fornitori terzi per servizi non ICT. Non sono destinatari gli intermediari del credito e i prestatori di servizi di informazione sui conti registrati unicamente per tale servizio.

Sono esclusi i servizi rientranti nel capo V del DORA, poiché per le terze parti ICT esiste già un regime separato. Al di là di ciò, gli orientamenti individuano un elenco esplicito di esclusioni: servizi che devono essere legalmente svolti da una terza parte, come la revisione legale dei conti, servizi finanziari regolamentati che devono essere legalmente svolti da un altro soggetto vigilato, servizi di informazione di mercato, transazioni tra istituti finanziari che agiscono come controparti, infrastrutture delle reti di pagamento, accordi di compensazione e regolamento, infrastrutture di messaggistica finanziaria globale vigilate, servizi di corrispondenza bancaria, nonché acquisti privi di impatto rilevante sull’esposizione al rischio o sulla resilienza operativa, quali stampa, pulizie, catering o pareri legali, così come l’acquisto di beni e utenze.

Gli orientamenti abrogano gli orientamenti EBA sull’esternalizzazione del 25 febbraio 2019 e creano un quadro uniforme a livello dell’UE, da attuarsi secondo il principio del «comply or explain». Per gli istituti la cui governance del rischio derivante da terze parti è già graduata in funzione della criticità, l’adeguamento risulterà probabilmente più contenuto rispetto a quello richiesto agli istituti che finora hanno gestito le terze parti prevalentemente attraverso i contratti.

Quali rapporti con terze parti devono essere riesaminati per primi?

La priorità riguarda gli accordi a supporto di funzioni critiche o importanti, ossia funzioni la cui interruzione comprometterebbe in modo rilevante la performance finanziaria di un ente finanziario, la solidità o la continuità dei suoi servizi e attività, oppure il rispetto continuativo delle condizioni della sua autorizzazione. La definizione è allineata all’articolo 3, paragrafo 22, del DORA.

Il percorso di valutazione prevede tre fasi: se il servizio è un servizio non ICT, se il fornitore supporta una funzione su base ricorrente o continuativa, e se tale funzione è critica o importante. Una conclusione del tipo «non si tratta di esternalizzazione» non pone quindi più fine al riesame. I compiti operativi delle funzioni di controllo interno devono essere considerati per default critici o importanti, salvo che la valutazione dimostri il contrario.

Per questi accordi, gli orientamenti richiedono una due diligence rafforzata, disposizioni contrattuali chiare, un riesame degli accordi di subappalto, un monitoraggio continuativo, una documentazione completa e una pianificazione dell’uscita nel caso in cui un fornitore debba essere sostituito. Questi requisiti dimostrano che rischio, controllo e contratto sono strettamente collegati e raramente si allineano da soli. Per gli accordi che esulano da questa categoria, la versione finale riduce l’onere operativo e di vigilanza, pur richiedendo una governance solida e basata sul rischio.

Quanto tempo resta per l’attuazione?

Una data esatta di applicazione non è ancora stata fissata. A partire da tale data, gli orientamenti si applicano a tutti gli accordi con terze parti conclusi, riesaminati o modificati, e gli accordi esistenti devono essere adeguati di conseguenza.

Il periodo di due anni, ampiamente citato, è più preciso di quanto sembri. Qualora il riesame e la documentazione degli accordi a supporto di funzioni critiche o importanti non siano stati completati entro due anni dalla data di applicazione, gli enti finanziari devono informarne l’autorità competente, comprese le misure previste per completare il riesame o un’eventuale strategia di uscita. Per gli accordi che non supportano una funzione critica o importante, il riesame e la documentazione possono avvenire semplicemente in occasione del rinnovo del contratto. Il periodo non rappresenta quindi una scadenza per tutto, bensì un punto di notifica per ciò che conta davvero. Gli istituti che già rilevano in modo strutturato i propri rischi derivanti da terze parti nell’ambito della resilienza operativa possono basarsi su questa base, poiché gli orientamenti sono esplicitamente concepiti per allinearsi al DORA.

Come dovrebbero procedere ora gli istituti?

Il primo passo consiste nel riesaminare il registro fornitori esistente, con l’obiettivo di contrassegnare ciascun accordo in base al fatto che supporti o meno una funzione critica o importante.

Il secondo passo riguarda il registro stesso. Gli orientamenti richiedono un registro aggiornato di tutti gli accordi con terze parti rientranti nel perimetro, distinguendo tra quelli a supporto di funzioni critiche o importanti e tutti gli altri. Esso dovrebbe essere, per quanto possibile, coerente con il registro delle informazioni previsto dall’articolo 28, paragrafo 3, del DORA; le discrepanze tra i due registri dovrebbero essere evitate, e l’EBA consente esplicitamente di unirli in un unico registro. Lo stesso vale per la politica relativa agli accordi contrattuali, che può essere fusa con la politica prevista dall’articolo 28, paragrafo 10, del DORA, e per il ruolo di monitoraggio, che può essere combinato con il ruolo previsto dall’articolo 5, paragrafo 3, del DORA. Gli istituti che hanno già attuato il DORA estendono quindi le strutture esistenti anziché costruire un secondo mondo di registri.

Per gli accordi a supporto di funzioni critiche o importanti, il registro richiede voci aggiuntive: la legge applicabile, le date dei più recenti audit, i subappaltatori rilevanti, inclusa la catena e l’ubicazione, la sostituibilità, una valutazione della reintegrazione con gli obiettivi di tempo e punto di ripristino, l’esistenza di un piano di uscita, i fornitori alternativi e il costo annuo stimato. Queste voci non possono essere raccolte all’ultimo momento. Iniziare per tempo lascia più margine per negoziare con i fornitori i cui contratti devono essere modificati. La responsabilità di questo primo riesame spetta tipicamente alla funzione che gestisce il registro fornitori.

FAQ

Domande frequenti

Quando sono stati pubblicati gli orientamenti EBA sul rischio derivante da terze parti non ICT?

L’EBA ha pubblicato il rapporto finale sugli orientamenti EBA/GL/2026/09 il 18 settembre 2026. Si tratta della versione definitiva che, rispetto alla bozza in consultazione dell’8 luglio 2025, concentra i requisiti rafforzati sugli accordi a supporto di funzioni critiche o importanti.

Cos’è un accordo con terze parti, e perché l’esternalizzazione ne è solo un sottoinsieme?

Un accordo con terze parti è qualsiasi accordo tra un ente finanziario e un fornitore di servizi esterno o infragruppo, in base al quale tale fornitore supporta una o più funzioni su base ricorrente o continuativa. L’esternalizzazione, in cui il fornitore svolge una funzione che l’ente svolgerebbe altrimenti da sé, è inclusa come sottoinsieme. Una conclusione del tipo «non si tratta di esternalizzazione» non esclude quindi più un accordo dal perimetro.

Cosa si intende per funzione critica o importante secondo gli orientamenti?

Una funzione critica o importante è una funzione la cui interruzione comprometterebbe in modo rilevante la performance finanziaria di un ente finanziario, la solidità o la continuità dei suoi servizi e attività, oppure il rispetto continuativo delle condizioni della sua autorizzazione. Per gli accordi con terze parti a supporto di tali funzioni, gli orientamenti richiedono una due diligence rafforzata, contratti chiari, monitoraggio, documentazione e pianificazione dell’uscita.

Il nuovo registro può essere unito al registro delle informazioni del DORA?

Sì. Il registro relativo agli accordi non ICT dovrebbe essere, per quanto possibile, coerente con il registro delle informazioni previsto dall’articolo 28, paragrafo 3, del DORA; le discrepanze dovrebbero essere evitate, e i due registri possono essere combinati in un unico registro. Allo stesso modo, la politica relativa agli accordi contrattuali può essere fusa con la politica prevista dall’articolo 28, paragrafo 10, del DORA.

I nuovi orientamenti sostituiscono i precedenti orientamenti EBA sull’esternalizzazione del 2019?

Sì, gli orientamenti abrogano gli orientamenti EBA sull’esternalizzazione del 25 febbraio 2019 e creano un quadro uniforme a livello dell’UE. L’attuazione segue il principio del «comply or explain» applicato dalle autorità competenti degli Stati membri.

Quali istituti sono interessati dagli orientamenti EBA?

Sono interessati gli istituti, le succursali di paesi terzi, determinate imprese di investimento, gli istituti di pagamento, gli istituti di moneta elettronica, gli emittenti di token collegati ad attività e determinati mutuanti soggetti alla direttiva sul credito ipotecario, purché si avvalgano di fornitori terzi per servizi non ICT. Non sono destinatari gli intermediari del credito e i prestatori di servizi di informazione sui conti registrati unicamente per tale servizio.

Quali servizi sono esclusi?

Sono esclusi i servizi rientranti nel capo V del DORA, insieme a un elenco esplicito: servizi che devono essere legalmente svolti da una terza parte, come la revisione legale dei conti, servizi finanziari regolamentati svolti da un altro soggetto vigilato, servizi di informazione di mercato, transazioni interbancarie, infrastrutture delle reti di pagamento, compensazione e regolamento, infrastrutture di messaggistica finanziaria globale vigilate, servizi di corrispondenza bancaria, acquisti privi di impatto rilevante sul rischio o sulla resilienza, e l’acquisto di beni e utenze.

Fonti

1. Final report on Guidelines on the sound management of third-party risk related to non-ICT services (EBA/GL/2026/09)European Banking Authority (EBA)
2. The EBA publishes its final Guidelines on the management of third-party riskEuropean Banking Authority (EBA)
3. Final report: EBA guidelines on the sound management of third-party risk regarding non-ICT servicesGlobal Regulation Tomorrow
4. EBA launches consultation on its draft guidelines on third-party risk managementEuropean Banking Authority (EBA)