# La comunicazione FINMA 05/2025: un campanello d'allarme per la Resilience by Design

> L'articolo di SwissGRC® spiega la comunicazione di vigilanza FINMA 05/2025 sulla resilienza operativa. Si rivolge agli istituti finanziari svizzeri e descrive funzioni critiche, tolleranze di interruzione, test e quadro integrato, con raccomandazioni pratiche.

- URL: https://swissgrc.com/it/finma-05-2025-resilience-by-design/
- Editore: SwissGRC®
- Pubblicato: 2025-11-26
- Ultimo aggiornamento: 2025-11-26

## Punti chiave

- Dal 1° gennaio 2026 tutti gli istituti, indipendentemente da dimensioni e categoria di vigilanza, devono aver implementato misure concrete di resilienza operativa secondo la comunicazione FINMA 05/2025.
- L'analisi della FINMA su 267 istituti mostra in media 3,5 funzioni critiche per istituto, con alcuni casi che arrivano fino a 36.
- La maggior parte degli istituti definisce tolleranze di interruzione tra 24 e 72 ore; la FINMA critica l'approccio a ritroso basato sulla capacità tecnica di ripristino.
- Secondo la FINMA, l'85% degli istituti delle categorie di vigilanza da 1 a 3 non ha ancora effettuato alcun test.
- Solo il 12-15% degli istituti dispone di un quadro integrato che coordina gestione dei rischi, rischi ICT e cyber, BCM, pianificazione delle emergenze e gestione dei terzi.
- Il GRC Toolbox di Swiss GRC consente di registrare funzioni critiche e dipendenze, definire tolleranze di interruzione, pianificare test e valutare i risultati in modo centralizzato.

**La FINMA sta inasprendo le proprie aspettative in materia di resilienza operativa. A partire dal 2026, gli istituti dovranno definire e attuare in modo dimostrabile le proprie funzioni critiche, le tolleranze di interruzione e le procedure di test.**

Con la [comunicazione di vigilanza 05/2025](https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/4dokumentation/finma-aufsichtsmitteilungen/20251110-finma-aufsichtsmitteilung-05-2025.pdf?hash=FD26ED4215AEADD03F8D50B0BCCF66F0&sc_lang=en&utm_source=chatgpt.com), la FINMA pone la resilienza operativa al centro della propria prassi di vigilanza.
Dal 1° gennaio 2026, tutti gli istituti, indipendentemente dalle loro dimensioni o categoria di vigilanza, dovranno aver implementato misure concrete per garantire la propria capacità di resistere alle interruzioni.
L’analisi della FINMA condotta su 267 istituti evidenzia differenze significative nel livello di maturità, con lacune rilevanti nella definizione delle funzioni critiche, delle tolleranze di interruzione e nell’integrazione dei framework esistenti.

Funzioni critiche: concentrazione anziché frammentazione

Secondo la FINMA, il numero medio di funzioni critiche identificate è 3,5. Se gli istituti più grandi ne definiscono un numero maggiore, alcuni superano un perimetro ragionevole arrivando fino a 36 funzioni critiche. La FINMA richiede chiarezza: una funzione critica non è ogni processo, bensì un’attività il cui mancato funzionamento ha effetti immediati sui clienti o sulla stabilità del mercato finanziario.
Molti istituti confondono processi (ad esempio back office, operatività IT) o risorse (ad esempio il sistema core banking) con le funzioni critiche. Ciò che conta è una prospettiva top-down che tenga conto della rilevanza strategica e delle dipendenze all’interno della catena di fornitura.

**Raccomandazione pratica:**
Un inventario solido delle funzioni critiche costituisce la base per una visione olistica «front-to-back», come richiesto dalla FINMA. Questo inventario dovrebbe mappare in modo trasparente funzioni, processi, risorse e interdipendenze.

Tolleranze di interruzione: dai limiti tecnici al livello di tolleranza del consiglio di amministrazione

La FINMA critica il fatto che molti istituti definiscano le proprie tolleranze di interruzione «a ritroso», partendo dalla capacità tecnica di ripristino («reverse engineering») anziché dal livello di tolleranza stabilito dall’organo di gestione. Di conseguenza, la questione della resilienza viene considerata in modo troppo operativo anziché strategico.
La maggior parte degli istituti definisce tolleranze di interruzione comprese tra 24 e 72 ore. Valori troppo bassi indicano una confusione con le metriche di BCM (RTO/RPO), mentre valori troppo elevati suggeriscono una definizione poco rigorosa delle funzioni.

**Raccomandazione pratica:**
Un processo di governance ben strutturato, supportato da dati tracciabili, visualizzazioni e una logica decisionale chiara, aiuta ad ancorare le tolleranze di interruzione a un livello strategico. La combinazione di una metodologia chiara, di una documentazione strutturata e di strumenti adeguati crea trasparenza e rafforza il coinvolgimento della direzione.

Test: dalla difesa informatica alla resilienza end-to-end

Secondo la FINMA, l’85% degli istituti appartenenti alle categorie di vigilanza da 1 a 3 non ha ancora effettuato alcun test. Tra gli scenari più frequentemente citati figurano il «cyberattacco riuscito» o l’«interruzione della catena di fornitura», mentre le minacce non legate al cyber rischio restano spesso non testate.

**Raccomandazione pratica:**
Test regolari basati su scenari costituiscono la spina dorsale di un’organizzazione capace di apprendere. L’utilizzo di quadri di test strutturati e di piattaforme adeguate semplifica la pianificazione, l’esecuzione e la valutazione, garantendo che i risultati possano essere tradotti direttamente in misure di miglioramento: un passo fondamentale verso un progresso continuo.

Quadro di resilienza operativa: è il momento dell’integrazione

Secondo la FINMA, solo il 12-15% degli istituti ha istituito un quadro integrato che coordina la gestione dei rischi, i rischi ICT e cyber, il BCM, la pianificazione delle emergenze e la gestione dei terzi. Di conseguenza, la maggior parte degli istituti non dispone ancora delle basi organizzative necessarie per un approccio coerente di «resilience-by-design».
Alla luce degli sviluppi normativi europei come il DORA e la [direttiva NIS2 (UE) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng?utm_source=chatgpt.com), questa integrazione risulta essenziale. Entrambi i quadri normativi richiedono una supervisione strettamente interconnessa dei rischi cyber, IT e operativi, segnando il passaggio da una logica a silos a una gestione end-to-end basata sul rischio.

**Raccomandazione pratica:**
Gli istituti dovrebbero considerare il proprio quadro di resilienza operativa come uno strumento di governance trasversale. Ciò include:
• definire indicatori adeguati (KPI/KRI)
• integrare la gestione dei rischi, il BCM, l’ICT e la supervisione dei terzi
• monitorare in modo automatizzato le dipendenze e le interfacce

Dalla conformità alla resilienza strategica

La resilienza operativa è più di un obbligo regolamentare: è un **fattore strategico di successo.** Non protegge soltanto dalle interruzioni, ma accresce anche la capacità di trasformare le crisi in opportunità di apprendimento e adattamento. Con l’attuazione obbligatoria dei requisiti della FINMA a partire dal 2026 e l’armonizzazione con gli standard europei, gli istituti dispongono di un’opportunità unica: la resilienza può diventare un vero elemento distintivo.

**Raccomandazione pratica:**
Una visione basata sui dati dei rischi e delle dipendenze consente una gestione attiva della resilienza. Cruscotti, indicatori e analisi costituiscono la base per decisioni fondate sui fatti, sia che vengano implementati tramite metodi interni sia che siano supportati da strumenti dedicati.

Come la tecnologia può aiutare senza far perdere il controllo

Attuare i requisiti in materia di resilienza, funzioni critiche e definizione delle tolleranze è complesso, soprattutto quando avviene tramite Excel e processi manuali. Molti istituti riconoscono che **approcci supportati da strumenti** creano trasparenza, automazione e tracciabilità. Il GRC Toolbox di Swiss GRC consente agli istituti di registrare sistematicamente le funzioni critiche e le dipendenze, definire le tolleranze di interruzione, pianificare test e valutare i risultati in modo centralizzato, il tutto integrato in un quadro complessivo per la resilienza operativa.
L’attenzione non è rivolta allo strumento in sé, bensì al valore aggiunto: **una prospettiva end-to-end, una governance coerente e un contributo duraturo a una cultura di resilience-by-design.**

Conclusione

[Comunicazione di vigilanza 05/2025](https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/4dokumentation/finma-aufsichtsmitteilungen/20251110-finma-aufsichtsmitteilung-05-2025.pdf?hash=FD26ED4215AEADD03F8D50B0BCCF66F0&sc_lang=en&utm_source=chatgpt.com) segna una tappa fondamentale nel rafforzamento dell’infrastruttura del mercato finanziario svizzero. Per gli istituti, ciò significa: consolidare le strutture, chiarire le responsabilità e affrontare la resilienza da una prospettiva strategica.
DORA, NIS2 e le best practice internazionali lo evidenziano chiaramente: **la resilienza non è un progetto, è un principio guida.** Gli istituti che oggi investono in un’attuazione integrata, basata sui dati e orientata alla governance non saranno, nel lungo periodo, solo conformi alla normativa, ma anche solidi dal punto di vista commerciale e pronti per il futuro.

*Swiss GRC supporta gli istituti nell’attuazione dei requisiti regolamentari in materia di resilienza operativa, dall’identificazione delle funzioni critiche fino alla gestione olistica. I nostri esperti coniugano competenze regolamentari e capacità di implementazione tecnologica per costruire una cultura di resilience-by-design in grado di generare un impatto concreto. **Prenoti subito un appuntamento: [swissgrc.com/discoverycall](https://swissgrc.com/discoverycall/).***

## Domande frequenti

### Cosa richiede la comunicazione FINMA 05/2025?

La FINMA pone la resilienza operativa al centro della vigilanza. Dal 1° gennaio 2026 tutti gli istituti devono aver implementato misure concrete per resistere alle interruzioni, tra cui funzioni critiche, tolleranze di interruzione e test.

### Che cos'è una funzione critica secondo la FINMA?

È un'attività il cui mancato funzionamento ha effetti immediati sui clienti o sulla stabilità del mercato finanziario. Non ogni processo o risorsa, come il sistema core banking, è una funzione critica.

### Come vanno definite le tolleranze di interruzione?

Devono partire dal livello di tolleranza stabilito dall'organo di gestione e non dalla capacità tecnica di ripristino. La FINMA critica il «reverse engineering» e segnala che valori troppo bassi indicano una confusione con le metriche BCM (RTO/RPO).

### Perché DORA e NIS2 sono rilevanti per la resilienza operativa?

Entrambi i quadri normativi richiedono una supervisione strettamente interconnessa dei rischi cyber, IT e operativi. Per questo l'integrazione in un quadro unico di resilienza risulta essenziale.

### Come supporta Swiss GRC l'attuazione dei requisiti di resilienza?

Swiss GRC supporta gli istituti dall'identificazione delle funzioni critiche fino alla gestione complessiva. Il GRC Toolbox riunisce funzioni critiche, dipendenze, tolleranze, test e valutazioni in un quadro centralizzato.