DE
EN
FR
العربية
Un’interruzione tecnologica è ormai un evento regolamentare. Un guasto di un fornitore terzo è ormai un fallimento di governance. La direzione regolamentare europea per il 2026 è chiara: la resilienza operativa non può più essere considerata un problema altrui.
Le Autorità europee di vigilanza (ESA) hanno inviato un messaggio chiaro con la loro agenda 2026: gli istituti finanziari stanno entrando in una nuova era di governance in cui la resilienza operativa digitale, la supervisione ICT, la gestione degli incidenti e la responsabilità dei vertici aziendali non sono più questioni marginali, ma priorità regolamentari centrali.
Questo cambiamento non consiste semplicemente nell’aggiunta di ulteriori normative. Riflette una trasformazione più ampia nel modo in cui le autorità di vigilanza considerano il rischio operativo all’interno di un ecosistema finanziario digitalmente interconnesso. Per le organizzazioni che gestiscono ancora la governance a compartimenti stagni, l’adeguamento sarà rilevante.
Da ambiti frammentati a una governance integrata
Per anni, le organizzazioni hanno trattato sicurezza informatica, rischio di terze parti, conformità, resilienza operativa e continuità operativa come discipline separate, gestite da team diversi, con sistemi disconnessi, strutture di reporting frammentate e modelli di supervisione a compartimenti stagni.
La trasformazione digitale ha modificato radicalmente la natura stessa del rischio. Un’interruzione tecnologica può trasformarsi da un giorno all’altro in un evento regolamentare. Il fallimento di un fornitore terzo può propagarsi a cascata su più funzioni aziendali. Un incidente informatico può degenerare rapidamente in un danno reputazionale e in instabilità finanziaria.
TSB Bank: un fallimento di governance, non solo un problema IT. Le autorità di vigilanza britanniche hanno inflitto a TSB una sanzione di 48,65 milioni di sterline in seguito a una migrazione IT fallita, sfociata in un vero e proprio collasso della resilienza operativa, con ripercussioni su clienti, continuità operativa e fiducia regolamentare. Il caso ha creato un precedente: gli incidenti tecnologici sono ormai giudicati come eventi di governance.
Fonte: Financial Conduct Authority (FCA)
Il DORA sta ridefinendo le aspettative in materia di governance
Al centro dell’agenda 2026 delle ESA vi è la continua operatività del Digital Operational Resilience Act (DORA). Le autorità di vigilanza non si concentrano più sulla preparazione teorica delle organizzazioni alla conformità al DORA: si stanno muovendo attivamente verso la supervisione, il controllo, l’analisi degli incidenti, i test di resilienza e l’applicazione delle norme.
| Area di governance | Aspettativa precedente | Aspettativa nell’era DORA |
|---|---|---|
| Rischio ICT | Autovalutazione interna | Supervisione regolamentare con controlli dimostrabili |
| Rischio di terze parti | Due diligence contrattuale | Monitoraggio continuo e visibilità regolamentare |
| Segnalazione degli incidenti | Registrazione interna | Segnalazione strutturata entro termini regolamentari rigorosi |
| Test di resilienza | Test periodici e isolati | Framework TLPT formali con coordinamento tra entità |
| Responsabilità | Responsabilità del reparto IT | Governance a livello dirigenziale e responsabilità personale |
Per molti versi, la DORA sta trasformando la governance da attività guidata dalla conformità in una disciplina operativa continua. Per una visione più ampia di come questo si colleghi alla pratica GRC quotidiana, si veda il nostro articolo When GRC Stopped Being Periodic and Became Everyday Work.
L’ascesa della governance continua
I modelli di governance tradizionali sono stati concepiti per contesti operativi che evolvevano più lentamente. Audit periodici, revisioni annuali dei rischi, controlli statici e strutture di reporting frammentate non sono più adeguati laddove le operazioni digitali evolvono in modo continuo. Il focus 2026 delle ESA riflette direttamente questa realtà: alle organizzazioni si richiede ormai di dimostrare sei capacità di governance interconnesse:
Visibilità a livello aziendale
Un quadro completo e aggiornato dei rischi operativi in tutta l’organizzazione
Monitoraggio dei terzi
Tracciamento continuo delle dipendenze da fornitori ICT esterni e vendor
Risposta agli incidenti
Capacità strutturate e testate, non semplici procedure documentate e riposte in un cassetto
Test di resilienza
Framework formali di TLPT con esiti documentati e coordinamento tra entità
Reporting normativo
Segnalazione accurata e tempestiva di incidenti e rischi alle autorità di vigilanza
Responsabilità della leadership
Accountability di governance dimostrabile a livello esecutivo e di consiglio di amministrazione
La governance non opera più silenziosamente in sottofondo come funzione di conformità. Sta diventando una capacità strategica di business, direttamente collegata alla fiducia operativa, alla fiducia dei clienti e alla resilienza di lungo periodo.
Perché un GRC integrato sta diventando essenziale
Con l’evoluzione delle aspettative normative, le organizzazioni si confrontano con una realtà difficile: una governance frammentata crea pericolosi punti ciechi. Sistemi disconnessi rendono difficile identificare i rischi emergenti, coordinare le risposte, gestire gli incidenti in modo efficiente o mantenere una visibilità a livello aziendale su conformità, resilienza operativa, cybersecurity e supervisione dei terzi.
Una piattaforma GRC integrata colma queste lacune unificando ciò che oggi è tipicamente disperso tra più team e strumenti:
- Gestione del rischio operativo
- Gestione della compliance
- Sicurezza delle informazioni (ISMS)
- Controlli interni
- Business continuity management
- Gestione dell’audit
- Gestione del rischio di terze parti
- Segnalazione e tracciamento degli incidenti
Invece di affidarsi a fogli di calcolo isolati e a un reporting frammentato, le organizzazioni ottengono una visibilità centralizzata, flussi di governance strutturati, documentazione pronta per l’audit e un monitoraggio continuo, su tutti gli ambiti critici di rischio e compliance simultaneamente.
La governance definirà la prossima generazione di istituti finanziari
L’orientamento normativo che emerge in tutta Europa riflette una trasformazione ben più ampia in atto a livello globale. Il futuro dei servizi finanziari non sarà definito solo dalla velocità di innovazione, dall’adozione dell’IA o dalle iniziative di trasformazione digitale.
Sarà sempre più definito dalla capacità delle organizzazioni di governare la complessità, collegando in un insieme coerente e continuo l’intelligence sui rischi, la supervisione operativa, la responsabilità verso terze parti e la responsabilità del management. Come approfondito nel nostro articolo quando il lavoro sulla sicurezza esiste ma la fiducia nella sicurezza no, è proprio nel divario tra impegno e garanzia che i framework di governance devono intervenire.
Se la sua organizzazione sta valutando il proprio livello di preparazione rispetto al DORA o alle più ampie aspettative delle ESA, il nostro team è a disposizione per una Discovery Call per esplorare come un approccio GRC integrato possa supportare la sua trasformazione della governance.
