# Quando il software GRC diventa un punto di osservazione privilegiato > SwissGRC® spiega come il passaggio dai test di controllo periodici al monitoraggio continuo con software GRC inasprisca gli obblighi di governance di banche e altre istituzioni. L'articolo tratta FINMA, EBA, Three Lines Model e reporting. - URL: https://swissgrc.com/it/software-grc-monitoraggio-continuo-governance/ - Editore: SwissGRC® - Pubblicato: 2026-09-23 - Ultimo aggiornamento: 2026-09-23 ## Punti chiave - La Circolare FINMA 2023/1 sui rischi operativi e la resilienza è stata adottata il 13 dicembre 2022 ed è entrata in vigore il 1° gennaio 2024. - Né la Circolare FINMA 2023/1 né gli Orientamenti EBA sul rischio informatico prescrivono il monitoraggio continuo come metodo obbligatorio, ma inaspriscono i requisiti su inventari e governance. - Nel 2024 la FINMA ha effettuato 111 ispezioni in loco presso banche, 55 presso assicuratori e 20 nella gestione patrimoniale, secondo finews.ch. - Il risk control riferisce al consiglio di amministrazione almeno una volta all'anno e alla direzione generale almeno due volte all'anno, indipendentemente dal metodo di test. - Gli Orientamenti EBA si applicano dal 30 giugno 2020 e richiedono la separazione organizzativa della funzione di controllo dai processi operativi ICT. - Il regolamento DORA è entrato in vigore il 16 gennaio 2023 e si applica direttamente a quasi tutte le entità finanziarie dal 17 gennaio 2025. Gartner colloca il mercato del software GRC in una nuova fase di crescita per il 2025, spinta dall’IA e dall’evoluzione dei rischi cyber. Dietro questo movimento di mercato si nasconde uno spostamento più silenzioso ma più significativo: dal controllo puntuale periodico all’osservazione continua dei rischi e dei controlli. Questo cambiamento non è principalmente una questione tecnica, ma di governance. Chi monitora in modo continuo deve anche poter assegnare responsabilità, rendicontare e decidere in modo continuo. In breve Il passaggio dai test di controllo periodici al monitoraggio continuo inasprisce soprattutto gli obblighi di governance: le istituzioni devono mantenere inventari dei rischi completi, chiarire le responsabilità nelle tre linee di difesa e rendere più concrete le linee di reporting verso la direzione generale e il consiglio di amministrazione. Le autorità di vigilanza come la FINMA non prescrivono una tecnologia di monitoraggio specifica, ma richiedono evidenze tracciabili e aggiornate, indipendentemente dalla frequenza dei test dei controlli. 111ispezioni Ispezioni in loco della FINMA presso banche nel 2024 finews.ch, 8 aprile 2025 2anni Periodo tra l’entrata in vigore del DORA e la sua applicabilità diretta KPMG / Orbiq ## Cosa richiedono in concreto i testi di vigilanza? Né la Circolare FINMA 2023/1 né gli Orientamenti EBA sul rischio informatico prescrivono il monitoraggio continuo come metodo obbligatorio, ma entrambi inaspriscono i requisiti relativi agli inventari e alla governance. La Circolare FINMA 2023/1 sui rischi operativi e la resilienza, interamente rivista, è stata adottata il 13 dicembre 2022 ed è entrata in vigore il 1° gennaio 2024, come riportato da Lexology il 19 gennaio 2023. È basata su principi, neutrale dal punto di vista tecnologico e richiede un inventario coerente e a livello di intero istituto dei rischi operativi. Entro due anni dall’entrata in vigore della circolare, secondo InfoGuard, gli istituti devono garantire la resilienza operativa e soddisfare gli ulteriori requisiti della circolare. Questa scadenza riguarda la sostanza delle evidenze, non la frequenza dei test che le sottendono. ## I test periodici restano comunque in vigore? Sì, gli strumenti puntuali come le ispezioni in loco restano uno strumento di vigilanza centrale, mentre alcuni obblighi sono monitorati in parallelo in modo continuo. La FINMA ha effettuato 111 ispezioni in loco presso banche, 55 presso assicuratori e 20 nella gestione patrimoniale nel 2024, come riportato da finews.ch l’8 aprile 2025. Al contempo, la FINMA descrive la [vigilanza continua sulle norme antiriciclaggio](https://www.finma.ch/en/finma/activities/supervision/) come un compito permanente. Per le funzioni di risk e compliance, questo crea due linee di evidenza parallele: dati costantemente aggiornati per la parte continua della vigilanza e documentazione pronta per l’audit in occasione delle ispezioni puntuali. Entrambe le linee necessitano degli stessi dati di base, ma di una preparazione diversa. Emergono due linee di evidenza parallele: dati continui per i compiti permanenti, documentazione pronta per l’audit per le ispezioni in loco. ## Cosa cambia il Three Lines Model nella collaborazione? L’IIA ha rinominato il proprio modello nel 2020, dando maggiore rilievo alla collaborazione e alla responsabilizzazione rispetto alla pura difesa, senza specificare in modo concreto la ripartizione delle risorse tra le linee. Il 20 luglio 2020, l’IIA ha pubblicato l’importante aggiornamento del Three Lines Model, eliminando deliberatamente il termine defense per segnalare che la sua finalità va oltre le pure misure di protezione, come rilevato da Diligent il 19 dicembre 2025. Un’analisi dell’Università di San Gallo rileva che il modello ha introdotto, per la prima volta, una definizione esplicita del [concetto di assurance](https://alexandria.unisg.ch/bitstreams/7b10168e-1994-485c-a94d-19ee8650feca/download), precedentemente assente dagli standard IIA. Né l’IIA né i testi di vigilanza qui citati specificano in dettaglio come ciò incida sui profili professionali o sulle risorse nella prima, seconda e terza linea. ## Che effetto ha questo sull’indipendenza della seconda linea? Gli Orientamenti EBA richiedono esplicitamente la separazione della funzione di controllo dai processi operativi ICT, indipendentemente da quanto strettamente il monitoraggio sia integrato dal punto di vista tecnico. Gli Orientamenti EBA sulla gestione del rischio ICT e di sicurezza si applicano dal 30 giugno 2020 e, secondo Proper Banking, per la prima volta si rivolgono direttamente agli istituti di credito e agli istituti di pagamento. Essi richiedono indipendenza e obiettività della funzione di controllo attraverso un’adeguata separazione organizzativa. Una base di dati condivisa per il monitoraggio non implica quindi automaticamente una responsabilità condivisa. I requisiti di governance per le funzioni critiche continuano a richiedere responsabilità separate, anche laddove i dati sottostanti siano gli stessi. ## Cosa significa questo per le linee di reporting verso la direzione generale e il consiglio? Secondo gli otto principi della Circolare FINMA, il risk control riferisce al consiglio di amministrazione almeno una volta all’anno e alla direzione generale almeno due volte all’anno, indipendentemente dal metodo di test sottostante. Secondo KPMG, il consiglio di amministrazione deve approvare le funzioni critiche della banca e le relative tolleranze di interruzione almeno una volta all’anno, come riassunto da Redguard il 24 maggio 2024. Anche a livello europeo il quadro normativo si inasprisce: il regolamento DORA è entrato in vigore il 16 gennaio 2023 e si applica direttamente a quasi tutte le entità finanziarie dal 17 gennaio 2025, come rilevano KPMG e Orbiq. Queste scadenze di reporting non cambiano automaticamente man mano che i punti dati diventano più frequenti. Chi monitora in modo continuo dovrebbe comunque verificare se i controlli esistenti sul rischio ICT forniscano le informazioni corrette per il prossimo ciclo di reporting. Un primo passo concreto: la funzione risk o compliance riconcilia l’inventario dei controlli esistente con i cicli di reporting verso il consiglio e la direzione generale prima della prossima data di reporting regolare, e documenta per scritto eventuali lacune. Correlato ### Inventario dei controlli ed evidenze in un unico posto La soluzione Internal Control System riunisce l’inventario dei controlli e le evidenze dei test. Supporta sia i cicli di test periodici sia le evidenze aggiornate in modo continuo. [Internal Controls](https://swissgrc.com/it/internal-control-software-ics/) Per la pratica ## Punti chiave - La Circolare FINMA 2023/1 non impone il monitoraggio continuo, ma richiede inventari dei rischi più precisi e responsabilità di governance chiare. - Gli strumenti periodici come le ispezioni in loco restano in vigore secondo la prassi FINMA 2024, anche mentre altri obblighi sono monitorati in modo continuo. - Il Three Lines Model del 2020 sposta l’attenzione sulla collaborazione e la responsabilizzazione, senza assegnare in modo concreto ruoli o risorse. - Gli Orientamenti EBA continuano a richiedere la separazione organizzativa della funzione di controllo dai processi operativi ICT, indipendentemente dalla tecnologia di monitoraggio utilizzata. - Un primo passo consiste nel riconciliare l’inventario dei controlli esistente con i cicli di reporting verso il consiglio e la direzione generale. FAQ ## Domande frequenti La FINMA prescrive una tecnologia di monitoraggio specifica? No. Sia la Circolare FINMA 2023/1 sia gli Orientamenti EBA sul rischio ICT sono formulati in modo neutrale dal punto di vista tecnologico. Richiedono evidenze tracciabili e aggiornate su rischi e controlli, ma non prescrivono un metodo di monitoraggio o una frequenza di test particolari. Gli istituti possono combinare approcci periodici e continui purché siano soddisfatti i requisiti di governance. Quante ispezioni in loco ha effettuato la FINMA nel 2024? Secondo finews.ch, la FINMA ha effettuato 111 ispezioni in loco presso banche, 55 presso assicuratori e 20 nella gestione patrimoniale nel 2024. Questi dati mostrano che gli strumenti di vigilanza puntuali restano uno strumento centrale nonostante l’aumento del monitoraggio continuo e non sono sostituiti dalla raccolta continua di dati. Cosa ha effettivamente cambiato il Three Lines Model nel 2020? Il 20 luglio 2020, l’IIA ha rinominato il proprio modello ed eliminato il termine defense per dare maggiore rilievo alla collaborazione e alla responsabilizzazione. Per la prima volta è stato definito esplicitamente il concetto di assurance. Il modo in cui ciò incida concretamente sui profili professionali o sulle risorse nelle tre linee resta non specificato. Con quale frequenza il risk control deve riferire alla direzione generale secondo le regole FINMA? Secondo gli otto principi della Circolare FINMA 2023/1, il risk control riferisce al consiglio di amministrazione almeno una volta all’anno e alla direzione generale almeno due volte all’anno. Queste scadenze si applicano indipendentemente dal fatto che i dati sottostanti siano raccolti periodicamente o in modo continuo. Qual è un primo passo sensato nel passaggio al monitoraggio continuo? La funzione risk o compliance dovrebbe riconciliare l’inventario dei controlli esistente con i cicli di reporting verso il consiglio e la direzione generale prima della prossima data di reporting regolare. Eventuali lacune individuate dovrebbero essere documentate per scritto in modo che la base di dati per entrambe le linee di evidenza resti coerente. Fonti 1. [Effective supervision creates a stable financial system](https://www.finma.ch/en/finma/activities/supervision/)FINMA 2. [The Three Lines Model and the Concept of Assurance](https://alexandria.unisg.ch/bitstreams/7b10168e-1994-485c-a94d-19ee8650feca/download)Università di San Gallo, Expert Focus ## Domande frequenti ### La FINMA prescrive una tecnologia di monitoraggio specifica? No. La Circolare FINMA 2023/1 è basata su principi e neutrale dal punto di vista tecnologico. Richiede evidenze tracciabili e aggiornate, ma non impone un metodo di monitoraggio né una frequenza di test. ### Quante ispezioni in loco ha effettuato la FINMA nel 2024? Secondo finews.ch, la FINMA ha effettuato 111 ispezioni in loco presso banche, 55 presso assicuratori e 20 nella gestione patrimoniale. Gli strumenti puntuali restano quindi centrali accanto al monitoraggio continuo. ### Cosa ha cambiato il Three Lines Model dell'IIA nel 2020? Il 20 luglio 2020 l'IIA ha pubblicato l'aggiornamento e ha eliminato il termine defense, dando più rilievo a collaborazione e responsabilizzazione. Il modello ha anche introdotto una definizione esplicita del concetto di assurance. ### Con quale frequenza il risk control deve riferire a consiglio e direzione generale? Secondo gli otto principi della Circolare FINMA, il risk control riferisce al consiglio di amministrazione almeno una volta all'anno e alla direzione generale almeno due volte all'anno. Queste scadenze non cambiano automaticamente con dati più frequenti. ### Qual è un primo passo concreto verso il monitoraggio continuo? La funzione risk o compliance riconcilia l'inventario dei controlli esistente con i cicli di reporting verso consiglio e direzione generale prima della prossima data di reporting regolare. Documenta per scritto le eventuali lacune.