La comunicazione FINMA 05/2025: un campanello d’allarme per la Resilience by Design

La FINMA sta inasprendo le proprie aspettative in materia di resilienza operativa. A partire dal 2026, gli istituti dovranno definire e attuare in modo dimostrabile le proprie funzioni critiche, le tolleranze di interruzione e le procedure di test.

Con la comunicazione di vigilanza 05/2025, la FINMA pone la resilienza operativa al centro della propria prassi di vigilanza.
Dal 1° gennaio 2026, tutti gli istituti, indipendentemente dalle loro dimensioni o categoria di vigilanza, dovranno aver attuato misure concrete per garantire la propria capacità di resistere alle interruzioni.
L’analisi della FINMA su 267 istituti evidenzia differenze significative nel livello di maturità, con lacune rilevanti nella definizione delle funzioni critiche, delle tolleranze di interruzione e nell’integrazione dei quadri esistenti.

Funzioni critiche: concentrazione anziché frammentazione

Secondo la FINMA, il numero medio di funzioni critiche identificate è di 3,5. Se gli istituti più grandi ne definiscono un numero maggiore, alcuni superano un perimetro ragionevole, arrivando fino a 36 funzioni critiche. La FINMA chiede chiarezza: una funzione critica non corrisponde a ogni processo, bensì a un’attività la cui interruzione ha effetti immediati sui clienti o sulla stabilità del mercato finanziario.
Molti istituti confondono processi (ad esempio, back office, gestione IT) o risorse (ad esempio, il sistema core banking) con le funzioni critiche. Ciò che conta è una prospettiva top-down che tenga conto della rilevanza strategica e delle dipendenze lungo la catena di fornitura.

Raccomandazione pratica:
Un inventario solido delle funzioni critiche costituisce la base per una prospettiva olistica «front-to-back», come richiesto dalla FINMA. Questo inventario dovrebbe mappare in modo trasparente funzioni, processi, risorse e interdipendenze.

Tolleranze di interruzione: dai limiti tecnici al livello di tolleranza del consiglio di amministrazione

La FINMA critica il fatto che molti istituti definiscano le proprie tolleranze di interruzione «al contrario», partendo dalla capacità tecnica di ripristino («reverse engineering») anziché dal livello di tolleranza stabilito dall’organo di gestione. Di conseguenza, la questione della resilienza viene considerata in modo troppo operativo anziché strategico.
La maggior parte degli istituti definisce tolleranze di interruzione comprese tra 24 e 72 ore. Valori troppo bassi indicano una confusione con le metriche di BCM (RTO/RPO), mentre valori troppo alti suggeriscono una definizione poco critica delle funzioni.

Raccomandazione pratica:
Un processo di governance ben strutturato, supportato da dati tracciabili, visualizzazioni e una logica decisionale chiara, aiuta ad ancorare le tolleranze di interruzione a un livello strategico. La combinazione di una metodologia chiara, di una documentazione strutturata e di strumenti adeguati crea trasparenza e rafforza il coinvolgimento della direzione.

Test: dalla difesa informatica alla resilienza end-to-end

Secondo la FINMA, l’85% degli istituti nelle categorie di vigilanza da 1 a 3 non ha ancora effettuato alcun test. Tra gli scenari più citati figurano il «cyberattacco riuscito» o l’«interruzione della catena di fornitura», mentre le minacce non legate al cyber restano spesso non testate.

Raccomandazione pratica:
Test regolari e basati su scenari costituiscono la spina dorsale di un’organizzazione capace di apprendere. L’utilizzo di quadri di test strutturati e di piattaforme adeguate semplifica la pianificazione, l’esecuzione e la valutazione, garantendo che i risultati possano tradursi direttamente in misure di miglioramento, un passaggio cruciale verso un progresso continuo.

Quadro di resilienza operativa: è tempo di integrazione

Secondo la FINMA, solo il 12-15% degli istituti ha stabilito un quadro integrato che coordina la gestione dei rischi, i rischi ICT e cyber, la BCM, la pianificazione d’emergenza e la gestione dei fornitori terzi. Di conseguenza, la maggior parte degli istituti manca ancora delle basi organizzative per un approccio coerente di «resilience-by-design».
Alla luce degli sviluppi europei come il DORA e la direttiva NIS2 (UE) 2022/2555, questa integrazione è essenziale. Entrambi i quadri normativi richiedono una supervisione strettamente interconnessa dei rischi cyber, IT e operativi, segnando un passaggio dalla logica dei silos a una gestione end-to-end basata sul rischio.

Raccomandazione pratica:
Gli istituti dovrebbero considerare il proprio quadro di resilienza operativa come uno strumento di governance trasversale. Ciò include:
• Definire indicatori adeguati (KPI/KRI)
• Integrare la gestione dei rischi, la BCM, l’ICT e la supervisione dei fornitori terzi
• Monitorare in modo automatizzato le dipendenze e le interfacce

Dalla conformità alla resilienza strategica

La resilienza operativa è più di un obbligo regolamentare: è un fattore strategico di successo. Non protegge soltanto dalle interruzioni, ma accresce anche la capacità di trasformare le crisi in opportunità di apprendimento e adattamento. Con l’attuazione obbligatoria dei requisiti della FINMA a partire dal 2026 e l’armonizzazione con gli standard europei, gli istituti dispongono di un’opportunità unica: la resilienza può diventare un vero fattore di differenziazione.

Raccomandazione pratica:
Una visione basata sui dati dei rischi e delle dipendenze consente una gestione attiva della resilienza. Cruscotti, indicatori e analisi costituiscono la base per decisioni fondate sui fatti, sia che vengano implementati con metodi interni sia che siano supportati da strumenti dedicati.

Come la tecnologia può aiutare senza far perdere il controllo

L’attuazione dei requisiti in materia di resilienza, funzioni critiche e definizione delle tolleranze è complessa, soprattutto se gestita tramite Excel e processi manuali. Molti istituti riconoscono che gli approcci supportati da strumenti dedicati creano trasparenza, automazione e tracciabilità. GRC Toolbox di Swiss GRC consente agli istituti di registrare sistematicamente le funzioni critiche e le relative dipendenze, definire le tolleranze di interruzione, pianificare i test e valutare centralmente i risultati, il tutto integrato in un framework generale per la resilienza operativa.
L’attenzione non è rivolta allo strumento in sé, bensì al valore aggiunto che genera: una prospettiva end-to-end, una governance coerente e un contributo duraturo a una cultura di resilienza by design.

Conclusione

La comunicazione di vigilanza 05/2025 segna una tappa fondamentale nel rafforzamento dell’infrastruttura del mercato finanziario svizzero. Per gli istituti, questo significa: consolidare le strutture, chiarire le responsabilità e affrontare la resilienza da una prospettiva strategica.
DORA, NIS2 e le migliori prassi internazionali lo dimostrano chiaramente: la resilienza non è un progetto, bensì un principio guida. Gli istituti che oggi investono in un’attuazione integrata, basata sui dati e orientata alla governance saranno, nel lungo periodo, non solo conformi alla normativa, ma anche solidi dal punto di vista commerciale e pronti per il futuro.

Swiss GRC supporta gli istituti nell’attuazione dei requisiti normativi in materia di resilienza operativa, dall’identificazione delle funzioni critiche fino alla gestione olistica. I nostri esperti coniugano competenze regolamentari e capacità di implementazione tecnologica per costruire una cultura di resilienza by design che generi un impatto concreto. Fissi un appuntamento ora: swissgrc.com/discoverycall.