Governance del rischio di terze parti: dal registro fornitori al governo del rischio

La gestione del rischio di terze parti richiede oggi molto più di un elenco fornitori ben tenuto. Le autorità di vigilanza nell’UE e in Svizzera esigono registri strutturati, una valutazione del rischio aggiornata costantemente e un reporting regolare all’organo di gestione. La prima designazione in assoluto di fornitori terzi ICT critici, nel novembre 2025, dimostra che i rischi sistemici vengono ormai derivati proprio da questi dati di registro. Per le funzioni GRC, ciò segna il passaggio dalla semplice registrazione al governo attivo del rischio, sostenuto da metriche, responsabilità definite e percorsi di escalation.

Cosa richiedono le autorità di vigilanza oltre alla tenuta del registro?

Ai sensi dell’articolo 28, paragrafo 3, del regolamento DORA, i soggetti finanziari devono tenere un registro di tutti gli accordi contrattuali con i fornitori terzi ICT e trasmetterlo all’autorità competente. Oltre al registro, il DORA richiede una strategia per il rischio ICT di terze parti, valutazioni di due diligence prima dell’utilizzo di servizi ICT e requisiti chiari sul contenuto dei contratti e sulle strategie di uscita. L’Autorità bancaria europea (EBA) obbliga inoltre gli istituti, nei suoi orientamenti sull’esternalizzazione pubblicati nel 2019, a informare regolarmente l’organo di gestione sui rischi individuati e a mantenere costantemente aggiornata la valutazione del rischio. Questi requisiti presuppongono una struttura che va oltre un semplice elenco di nomi: i campi dati su criticità, durata contrattuale, sostituibilità e concentrazione devono essere mantenuti e valutati.

Cosa mostra la designazione dei fornitori terzi ICT critici nel novembre 2025?

Il 18 novembre 2025, le autorità europee di vigilanza EBA, EIOPA ed ESMA hanno designato per la prima volta 19 fornitori terzi ICT critici ai sensi del DORA, individuando rischi di concentrazione sistemici a partire dai dati dei registri comunicati. Secondo l’Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA), la designazione ha seguito un processo articolato in più fasi: raccolta dei dati dai registri delle entità finanziarie, una valutazione della criticità basata sull’importanza sistemica, sul ruolo svolto in funzioni critiche e sulla sostituibilità, nonché un diritto di audizione per i fornitori interessati. Per le entità finanziarie, ciò significa che i propri dati di registro non servono più soltanto alla sorveglianza interna, ma alimentano direttamente un’analisi del rischio a livello di vigilanza. Le sovrapposizioni normative tra gli orientamenti EBA, il DORA e la MaRisk rendono questo requisito ancora più stringente.

Quali carenze individua la FINMA nella gestione dei fornitori di servizi?

Nella comunicazione di vigilanza 03/2024, la FINMA ha individuato carenze significative nella gestione dei fornitori di servizi, tra cui inventari mancanti, controlli incompleti e un’integrazione insufficiente nel sistema di controllo interno. La comunicazione si basa sull’articolo 29 capoverso 2 della legge sulla vigilanza dei mercati finanziari, che disciplina l’obbligo di segnalazione degli attacchi informatici ed è in linea di principio rilevante anche per i gestori patrimoniali di piccole e medie dimensioni. La FINMA ha inoltre rilevato che gli attacchi informatici ai fornitori di servizi di istituti vigilati hanno avuto successo con una frequenza superiore alla media; la quota di tali attacchi riusciti è salita negli anni successivi da circa il 25 a oltre il 50 percento. La circolare 2018/3 sull’esternalizzazione presso banche e assicurazioni aveva già allineato la prassi di vigilanza a un approccio basato sui principi, lasciando maggiormente alla responsabilità propria degli istituti la valutazione della rilevanza degli accordi di esternalizzazione. Una perdita di 89 milioni di euro presso un fornitore di servizi ICT illustra quanto rapidamente le lacune nei controlli possano diventare rilevanti dal punto di vista finanziario.

Quale struttura richiede una governance efficace del rischio di terze parti?

Una governance efficace combina un registro strutturato con una valutazione del rischio costantemente aggiornata e una rendicontazione regolare all’organo di gestione. Secondo il FINMA Risk Monitor 2024, un terzo degli attacchi informatici agli istituti finanziari segnalati alla FINMA avviene indirettamente tramite terze parti, il che sottolinea l’importanza di un’osservazione continua piuttosto che puntuale. Una struttura di governance deve definire chi valuta la criticità, la concentrazione e il rischio contrattuale, con quale cadenza questa valutazione viene aggiornata e quali soglie attivano l’escalation verso la direzione generale. Il principio secondo cui la gestione del rischio è al servizio del raggiungimento degli obiettivi, e non un fine in sé, si applica direttamente alla governance del rischio di terze parti.

Qual è il primo passo per passare dall’elenco al pilotaggio?

Il primo passo consiste nell’estendere il registro fornitori esistente con campi relativi a criticità e concentrazione, consentendo una valutazione ricorrente anziché un esercizio di rilevazione puntuale. I responsabili della gestione del rischio di terze parti dovrebbero stabilire, prima del prossimo aggiornamento del registro, quali metriche vengono comunicate regolarmente al top management, ad esempio la quota di fornitori critici, i rilievi di audit aperti o i contratti privi di una strategia di uscita documentata. È altrettanto importante chiarire chi, all’interno dell’organizzazione, è responsabile dell’aggiornamento della valutazione del rischio e con quale cadenza ciò avviene. Una governance che risponde a queste domande non soddisfa automaticamente ogni requisito regolamentare, ma crea le basi su cui tale conformità diventa innanzitutto possibile.

FAQ

Domande frequenti

Cosa distingue un registro fornitori da una governance efficace del rischio di terze parti?

Un registro fornitori si limita a registrare nomi e contratti. Una governance efficace amplia questo registro con campi dati relativi a criticità, sostituibilità e concentrazione, li collega a una valutazione del rischio costantemente aggiornata e garantisce un reporting regolare all’organo di gestione, come richiesto dal DORA e dagli orientamenti EBA.

Cosa richiede l’articolo 28, paragrafo 3, del DORA per il registro dei fornitori terzi ICT?

L’articolo 28, paragrafo 3, del DORA obbliga le entità finanziarie a mantenere un registro di tutti gli accordi contrattuali con fornitori terzi ICT e a comunicarlo all’autorità di vigilanza competente. Oltre a ciò, il DORA richiede una strategia per il rischio di terze parti ICT, valutazioni di due diligence prima della conclusione del contratto e requisiti chiari sul contenuto contrattuale e sulle strategie di uscita.

Quanti fornitori terzi ICT critici sono stati designati ai sensi del DORA nel novembre 2025?

Il 18 novembre 2025, le autorità europee di vigilanza EBA, EIOPA ed ESMA hanno designato per la prima volta 19 fornitori terzi ICT critici ai sensi del DORA. La designazione si è basata sui dati dei registri delle entità finanziarie, dai quali è stata derivata una valutazione della criticità basata su rilevanza sistemica, ruolo nelle funzioni critiche e sostituibilità.

Quali carenze ha individuato la FINMA nella gestione dei fornitori di servizi?

Nella comunicazione di vigilanza 03/2024, la FINMA ha individuato inventari mancanti, controlli incompleti e un’integrazione insufficiente della gestione dei fornitori di servizi nel sistema di controllo interno. Ha inoltre rilevato che la quota di attacchi informatici riusciti contro fornitori di servizi di istituti vigilati è passata da circa il 25 a oltre il 50 per cento.

Quale quota degli attacchi informatici segnalati contro istituti finanziari avviene tramite terze parti?

Secondo il FINMA Risk Monitor 2024, un terzo degli attacchi informatici agli istituti finanziari segnalati alla FINMA avviene indirettamente tramite terze parti. Questo dato sottolinea perché sia necessario un monitoraggio continuo, e non puntuale, del rischio legato alle terze parti.

Fonti

1. DORA – Managing of ICT third-party riskAustrian Financial Market Authority (FMA)
2. Designation of critical ICT third-party providersEuropean Banking Authority
3. Designation of critical ICT third-party providersEuropean Insurance and Occupational Pensions Authority (EIOPA)
4. FINMA publishes outsourcing circularFINMA
5. Guidelines on outsourcing arrangements EBA/GL/2019/02European Banking Authority
6. Article on the FINMA Risk Monitor 2024Handelszeitung Insurance