Registro delle informazioni secondo DORA: cos’è e come crearlo correttamente?

Il conto alla rovescia è iniziato: il Digital Operational Resilience Act (DORA) entrerà in vigore il 17 gennaio 2025 e il settore finanziario si sta preparando intensamente alle nuove disposizioni. DORA è attualmente il tema dominante del settore, come dimostrato dalla grande partecipazione alla conferenza BaFin « IT supervision in the financial sector: What does DORA mean in practice? » del 26 settembre 2024. Migliaia di partecipanti hanno appreso quali sono le ultime tappe verso l’attuazione. Uno strumento centrale per l’applicazione pratica di DORA è il registro delle informazioni. In questo articolo scoprirà di cosa si tratta, come predisporlo e perché adottare l’approccio corretto sia fondamentale per rispettare i requisiti in modo efficiente e nei tempi previsti.

Cos’è il registro delle informazioni di DORA?

Il registro delle informazioni previsto da DORA è una banca dati centrale standardizzata che censisce tutti gli accordi contrattuali di una società finanziaria con fornitori terzi di servizi ICT. Contiene informazioni dettagliate sui servizi ICT utilizzati, sui fornitori e sulle funzioni operative e aziendali supportate. Il registro consente un monitoraggio sistematico delle dipendenze e dei rischi derivanti dal ricorso a fornitori terzi ICT e serve a mettere queste informazioni a disposizione delle autorità di vigilanza competenti. Comprende tutti i servizi ICT; tuttavia, le funzioni particolarmente critiche o importanti devono essere documentate in modo più dettagliato.

Principali vantaggi:

• Per le società finanziarie: il registro delle informazioni aiuta le aziende a censire e monitorare in modo sistematico tutte le dipendenze contrattuali legate ai servizi ICT. Ciò facilita la gestione del rischio, aumenta la trasparenza riguardo ai fornitori terzi ICT critici e consente una migliore preparazione a eventuali incidenti legati alle ICT.
• Per l’intero settore finanziario: il registro delle informazioni permette alle autorità di vigilanza di monitorare in modo completo le dipendenze degli istituti finanziari dai fornitori terzi ICT e di individuare i fornitori critici. Ciò garantisce che i rischi sistemici vengano riconosciuti tempestivamente e che vengano adottate misure coordinate per preservare la resilienza digitale dell’intero settore finanziario.

Come predisporre un registro delle informazioni conforme a DORA?

La creazione di un registro delle informazioni conforme a DORA prevede quattro fasi principali:

1. Individuazione delle funzioni critiche e importanti: innanzitutto, determinare quali funzioni operative e aziendali sono essenziali per il mantenimento dell’operatività e per il rispetto dei requisiti regolamentari.
2. Documentazione dei fornitori terzi ICT: individuare tutti i fornitori che erogano servizi ICT e documentare i dettagli contrattuali e le dipendenze.
3. Documentazione dei servizi ICT: censire tutti i servizi ICT e collegarli alle funzioni critiche o importanti individuate.
4. Consolidamento delle informazioni: inserire le informazioni raccolte nei modelli standard previsti da DORA, al fine di garantire una rendicontazione uniforme.

Perché Excel non è sufficiente

Molte aziende si affidano inizialmente a Excel per gestire il registro delle informazioni, poiché sembra essere una soluzione rapida ed economica. Tuttavia, la pratica dimostra che Excel raggiunge rapidamente i propri limiti per la gestione a lungo termine di un registro così complesso e dinamico:

• Scalabilità limitata: con l’aumentare della complessità aziendale, mantenere un registro delle informazioni in Excel diventa poco chiaro e difficile da gestire (PwC, 2023).
• Rischi di sicurezza: DORA richiede rigorose misure di sicurezza per proteggere i dati sensibili. Tuttavia, Excel offre solo funzioni di sicurezza rudimentali (EBA, 2023).
• Assenza di versionamento e coerenza: in Excel è difficile tracciare le modifiche e garantire la coerenza, soprattutto quando più persone vi lavorano contemporaneamente (BaFin, 2024b).
• Elevato sforzo manuale e propensione all’errore: unire e consolidare i dati provenienti da fonti diverse richiede molto tempo ed è soggetto a errori umani.

I vantaggi della nostra soluzione basata su strumenti dedicati

Per rispettare i requisiti di DORA e gestire il registro delle informazioni in modo efficiente, le aziende dovrebbero affidarsi a una soluzione supportata da uno strumento dedicato. Questo offre i seguenti vantaggi:

• Automazione: ridurre l’inserimento manuale dei dati e minimizzare gli errori grazie a processi automatizzati.
• Gestione centralizzata dei dati: invece di lavorare su diversi file Excel, tutte le parti coinvolte possono accedere al registro delle informazioni aggiornato tramite una piattaforma centrale.
• Maggiore sicurezza: le soluzioni basate su strumenti dedicati come GRC Toolbox offrono funzionalità di sicurezza avanzate per garantire la protezione dei dati sensibili in conformità a DORA (European Commission, 2023)

Conclusione

Il registro delle informazioni è una componente essenziale dei requisiti di DORA e sarà il punto focale per la resilienza digitale dei fornitori di servizi finanziari. Alla luce della prossima entrata in vigore di DORA e della crescente rilevanza di questo tema, è fondamentale che le aziende intraprendano ora i passi corretti. Chi investe tempestivamente in una soluzione strutturata ed efficiente sarà ben preparato non solo a soddisfare i nuovi requisiti regolamentari, ma anche a trarre beneficio a lungo termine dalle conoscenze acquisite.

Desidera saperne di più su come strutturare il proprio registro delle informazioni in modo efficiente e conforme a DORA? Non esiti a contattarci per maggiori informazioni sulle soluzioni di Swiss GRC. Può anche prenotare direttamente una Discovery Call per scoprire come possiamo supportare la sua azienda: swissgrc.com/discoverycall.