DE
EN
FR
العربية
Il panorama regolamentare per il Third-Party Risk Management (TPRM) sta attraversando una trasformazione fondamentale. Con la nuova linea guida EBA, il regolamento DORA e la revisione attesa della MaRisk, gli istituti finanziari sono tenuti a riallineare strategicamente le proprie pratiche di governance dell’esternalizzazione e del rischio. La Deggendorf Note 2025/06 fornisce un’analisi approfondita di questo cambiamento e non lascia dubbi: i fogli Excel e le soluzioni isolate non sono più sufficienti.
Il fondamento della Deggendorf Note 2025/06 del Prof. Dr. Andreas Igl è il documento di consultazione pubblicato dall’Autorità bancaria europea (EBA) nel luglio 2025. Questo documento è il primo a delineare in modo chiaro i requisiti regolamentari complessivi per la gestione dei rischi derivanti da accordi con terze parti non ICT, e completa direttamente il regolamento DORA (UE 2022/2554), entrato in vigore nel gennaio 2025. In combinazione con il quadro esistente della MaRisk AT 9 in Germania, ciò comporta implicazioni sostanziali per la governance delle terze parti e dell’esternalizzazione nel settore finanziario.
Un modello regolamentare a tre pilastri: linea guida EBA, DORA e MaRisk
Con la pubblicazione della nuova linea guida EBA sulla gestione dei rischi di terze parti (non ICT) e con il regolamento DORA ormai pienamente applicabile, per la prima volta esiste un quadro europeo chiaramente strutturato per il TPRM.
-
DORA riguarda i fornitori terzi ICT e la loro resilienza.
-
La linea guida EBA si concentra sui fornitori terzi non ICT, in particolare quando forniscono funzioni critiche o importanti.
-
La MaRisk AT 9 tedesca, a lungo utilizzata come standard nazionale, sarà probabilmente rivista in linea con questi sviluppi europei.
Elemento chiave della Deggendorf Note: gestire l’esternalizzazione solo da una prospettiva operativa o amministrativa non è più sufficiente. D’ora in poi, la criticità funzionale sarà centrale, indipendentemente dal coinvolgimento ICT o dalle formalità contrattuali.
La prima decisione strategica: ICT o non ICT?
Secondo la Deggendorf Note, la distinzione tra servizi ICT e non ICT diventerà ora il punto di partenza in ogni valutazione del rischio di terze parti. Questa classificazione determina:
-
quale quadro regolamentare si applica (DORA rispetto a linea guida EBA),
-
come le terze parti devono essere valutate e documentate,
-
e quali obblighi di monitoraggio, governance e reporting ne derivano.
Questa distinzione richiede strutture di governance solide che consentano una classificazione basata sul rischio nell’intera organizzazione. La responsabilità ricade sempre più a livello esecutivo, poiché identificare le funzioni critiche è ormai diventato un compito strategico.
Dall’esternalizzazione al rischio basato sulla funzione: il TPRM diventa strategico
Si sta verificando un cambio di paradigma: il concetto giuridico di esternalizzazione non è più al centro; l’attenzione si sposta ora sulla funzione supportata dalla terza parte. Questo cambiamento ha un impatto significativo sul modo in cui il rischio viene valutato e gestito:
-
La valutazione è basata sulla funzione, non sul contratto.
-
La criticità è definita dall’importanza per il modello di business, non solo dalla sensibilità temporale o dal volume.
-
Il principio di proporzionalità consente un’implementazione su misura, in base al tipo di istituto e all’esposizione al rischio.
Conclusione della Deggendorf Note:
la tradizionale visione operativa deve lasciare spazio a un modello di governance strategico e orientato al rischio per la gestione del rischio di terze parti.
Excel non basta più: servono maggiore controllo e reporting
La Deggendorf Note critica apertamente il fatto che molti istituti continuino a gestire le relazioni con terze parti utilizzando fogli Excel e documentazione frammentata. Questo approccio non è più sufficiente per soddisfare le nuove aspettative regolamentari, che includono:
Ai sensi di DORA:
-
Un registro centrale delle terze parti ICT (art. 28),
-
Test di resilienza e audit dei fornitori ICT,
-
Obbligo di segnalazione degli incidenti alle autorità di vigilanza (art. 19).
Ai sensi della linea guida EBA (non ICT):
-
Requisiti contrattuali completi, inclusi KPI e diritti di audit,
-
Enfasi sulla valutazione del rischio basata sulla funzione,
-
Aspettative di governance che coprono l’intera catena di fornitura di terze parti.
Il messaggio è chiaro: gli istituti sono fortemente incoraggiati a professionalizzare e digitalizzare i propri processi di gestione del rischio di terze parti.
Dalla regolamentazione all’attuazione: la tecnologia come fattore abilitante
Sebbene la Deggendorf Note mantenga un tono neutrale rispetto alla tecnologia, la sua analisi implica un percorso chiaro:
la governance del rischio di terze parti deve evolvere verso sistemi strutturati e supportati da strumenti dedicati. Solo con tali sistemi gli istituti possono garantire trasparenza, verificabilità, tracciabilità e scalabilità.
Swiss GRC offre una soluzione modulare per il TPRM che:
-
Fornisce un registro integrato e centralizzato delle informazioni sulle terze parti,
-
Supporta la classificazione basata sul rischio e i flussi di governance,
-
Consente una documentazione coerente e un reporting automatizzato.
Scopra di più sulla soluzione TPRM di Swiss GRC: gestire il rischio di terze parti in modo sicuro e affidabile
Una priorità di governance: il TPRM come disciplina fondamentale
La Deggendorf Note 2025/06 dimostra chiaramente che la gestione delle relazioni con terze parti sta diventando una competenza fondamentale di governance nel settore finanziario.
Le aspettative regolamentari derivanti da DORA, dalla nuova linea guida EBA e dalle future revisioni della MaRisk richiedono alle organizzazioni di ripensare completamente le proprie strategie di esternalizzazione, in modo strategico, sistematico e basato sul rischio.
Chi agisce ora non solo rafforzerà la propria resilienza regolamentare, ma garantirà anche la propria sostenibilità digitale e organizzativa nel lungo termine.
