# TPRM e nuove regole: EBA, DORA e MaRisk a confronto > SwissGRC fasst die Deggendorf Note 2025/06 zu den neuen TPRM-Regeln von EBA, DORA und MaRisk für Finanzinstitute zusammen. Der Beitrag erklärt, warum Excel nicht mehr genügt und wie ein dediziertes System Register, Risikoklassifizierung und Reporting unterstützt. - URL: https://swissgrc.com/it/tprm-nuove-regole-eba-dora-marisk/ - Editore: SwissGRC® - Pubblicato: 2025-07-14 - Ultimo aggiornamento: 2025-07-14 ## Punti chiave - DORA riguarda i fornitori terzi ICT e la loro resilienza, mentre la linea guida EBA si concentra sui fornitori terzi non ICT, in particolare quando forniscono funzioni critiche o importanti. - La Deggendorf Note 2025/06 del Prof. Dr. Andreas Igl si basa sul documento di consultazione pubblicato dall'EBA nel luglio 2025. - Secondo la Deggendorf Note, la distinzione tra servizi ICT e non ICT diventa il primo punto decisionale in ogni valutazione del rischio legato a terze parti. - La valutazione del rischio si basa sulla funzione supportata dal fornitore e non sul contratto; la criticità dipende dall'importanza per il modello di business. - Il regolamento DORA (UE 2022/2554) prevede tra l'altro un registro centrale dei fornitori ICT (art. 28) e l'obbligo di segnalare gli incidenti alle autorità di vigilanza (art. 19). - La MaRisk AT 9 tedesca sarà probabilmente rivista in linea con gli sviluppi europei. **Il panorama normativo per il Third-Party Risk Management (TPRM) sta attraversando una trasformazione fondamentale. Con la nuova linea guida EBA, il regolamento DORA e la revisione attesa della MaRisk, gli istituti finanziari sono chiamati a riallineare strategicamente le proprie pratiche di outsourcing e di governance del rischio. La Deggendorf Note 2025/06 offre un’analisi approfondita di questo cambiamento e non lascia dubbi: i fogli Excel e le soluzioni a compartimenti stagni non sono più sufficienti.** Alla base della [Deggendorf Note 2025/06 del Prof. Dr. Andreas Igl](https://th-deg.de/Fakult%C3%A4ten/ai/bdo-stiftungsprofessur/deggendorfer-notiz/Deggendorfer%20Notiz%202025-06%20-%20Auswirkungen%20der%20EBA-Guidelines%20zum%20Third-Party%20Risk%20Management.pdf) vi è il [documento di consultazione pubblicato dall’Autorità bancaria europea (EBA) nel luglio 2025](https://www.eba.europa.eu/sites/default/files/2025-07/33a0ee15-9601-4c2b-828e-1b09201a6e9f/CP%20on%20Draft%20Guidelines%20on%20sound%20management%20of%20third%20party%20risk.pdf). Questo documento è il primo a delineare in modo chiaro i requisiti normativi complessivi per la gestione dei rischi derivanti da rapporti con terze parti non ICT, e completa direttamente il [regolamento DORA (UE 2022/2554)](https://swissgrc.com/dora), entrato in vigore nel gennaio 2025. In combinazione con il quadro esistente della MaRisk AT 9 in Germania, ciò genera implicazioni sostanziali per la governance delle terze parti e dell’outsourcing nel settore finanziario. Un modello normativo a tre pilastri: linea guida EBA, DORA e MaRisk Con la pubblicazione della nuova linea guida EBA sulla gestione dei rischi legati alle terze parti (non ICT) e con il regolamento DORA ormai pienamente applicabile, esiste per la prima volta un quadro europeo chiaramente strutturato per il TPRM. - DORA riguarda i fornitori terzi ICT e la loro resilienza. - La linea guida EBA si concentra sui fornitori terzi non ICT, in particolare quando forniscono funzioni critiche o importanti. - La MaRisk AT 9 tedesca, a lungo utilizzata come standard nazionale, sarà probabilmente rivista in linea con questi sviluppi europei. **Un elemento chiave della Deggendorf Note:** gestire l’outsourcing solo da una prospettiva operativa o amministrativa non è più sufficiente. In futuro, la criticità funzionale assumerà un ruolo centrale, indipendentemente dal coinvolgimento ICT o dalle formalità contrattuali. La prima decisione strategica: ICT o non ICT? Secondo la Deggendorf Note, la distinzione tra servizi ICT e non ICT diventerà ora il primo punto decisionale in qualsiasi valutazione del rischio legato a terze parti. Questa classificazione determina: - quale quadro normativo si applica (DORA rispetto alla linea guida EBA), - come le terze parti devono essere valutate e documentate, - e quali obblighi di monitoraggio, governance e reporting ne derivano. Questa distinzione richiede strutture di governance solide, in grado di consentire una classificazione basata sul rischio a livello dell’intera organizzazione. La responsabilità ricade sempre più a **livello esecutivo**, poiché identificare le funzioni critiche è ormai diventato un compito strategico. Dall’outsourcing al rischio basato sulla funzione: il TPRM diventa strategico È in atto un cambiamento di paradigma: il concetto giuridico di esternalizzazione non è più centrale, l’attenzione si sposta ora sulla funzione supportata dal fornitore terzo. Questo cambiamento ha un impatto significativo sul modo in cui il rischio viene valutato e gestito: - La valutazione si basa sulla funzione, non sul contratto. - La criticità è definita dall’importanza per il modello di business, non solo dalla sensibilità temporale o dal volume. - Il principio di proporzionalità consente un’implementazione mirata, basata sul tipo di istituzione e sull’esposizione al rischio. **Conclusione della Deggendorf Note:** La visione operativa tradizionale deve lasciare spazio a un modello di governance strategico e orientato al rischio per la gestione del rischio da terze parti. Excel non basta più: servono controlli e reporting più solidi La Deggendorf Note critica apertamente il fatto che molte istituzioni continuino a gestire le relazioni con terze parti tramite fogli Excel e documentazione frammentata. Questo approccio non è più sufficiente a soddisfare le nuove aspettative regolamentari, che comprendono: Ai sensi del DORA: - Un registro centrale dei fornitori ICT (art. 28), - Test di resilienza e audit dei fornitori ICT, - Obbligo di segnalazione degli incidenti alle autorità di vigilanza (art. 19). Ai sensi delle linee guida EBA (non ICT): - Requisiti contrattuali completi, inclusi KPI e diritti di audit, - Enfasi sulla valutazione del rischio basata sulla funzione, - Aspettative di governance che coprono l’intera catena di fornitura di terze parti. Il messaggio è chiaro: **le istituzioni sono fortemente incoraggiate a professionalizzare e digitalizzare i propri processi di gestione del rischio da terze parti.** Dalla regolamentazione all’attuazione: la tecnologia come fattore abilitante Sebbene la Deggendorf Note mantenga un tono neutro dal punto di vista tecnologico, la sua analisi implica una linea d’azione chiara: La governance del rischio da terze parti deve evolvere verso sistemi strutturati e supportati da strumenti dedicati. Solo con tali sistemi le istituzioni possono garantire trasparenza, verificabilità, tracciabilità e scalabilità. Swiss GRC offre una soluzione modulare per il TPRM che: - Fornisce un registro centralizzato e integrato delle informazioni sui fornitori terzi, - Supporta la classificazione basata sul rischio e i flussi di governance, - Consente una documentazione coerente e un reporting automatizzato. Scopra di più sulla soluzione TPRM di Swiss GRC: [**Gestisca il rischio da terze parti in modo sicuro e affidabile**](https://swissgrc.com/it/tprm-software) Una priorità di governance: il TPRM come disciplina fondamentale La Deggendorf Note 2025/06 dimostra chiaramente che la gestione delle relazioni con terze parti sta diventando una competenza di governance fondamentale nel settore finanziario. Le aspettative normative derivanti da DORA, dalla nuova linea guida EBA e dalle prossime revisioni della MaRisk impongono alle organizzazioni di ripensare completamente le proprie strategie di esternalizzazione, in modo strategico, sistematico e basato sul rischio. Chi agisce fin da ora non solo rafforzerà la propria resilienza normativa, ma garantirà anche la propria sostenibilità digitale e organizzativa nel lungo periodo. ## Domande frequenti ### Qual è la differenza tra DORA e linea guida EBA nel TPRM? DORA riguarda i fornitori terzi ICT e la loro resilienza. La linea guida EBA riguarda i fornitori terzi non ICT, soprattutto quando supportano funzioni critiche o importanti. ### Perché i fogli Excel non bastano più per il third-party risk management? La Deggendorf Note critica la gestione delle relazioni con terze parti tramite Excel e documentazione frammentata, perché non soddisfa più le nuove aspettative regolamentari. Servono sistemi strutturati e supportati da strumenti dedicati che garantiscano trasparenza, verificabilità, tracciabilità e scalabilità. ### Cosa significa rischio basato sulla funzione? Il concetto giuridico di esternalizzazione non è più centrale. Conta la funzione supportata dal fornitore terzo, e la criticità è definita dall'importanza per il modello di business, non solo da sensibilità temporale o volume. ### Che cosa offre SwissGRC per il TPRM? SwissGRC offre una soluzione modulare per il TPRM con un registro centralizzato e integrato dei fornitori terzi. Supporta la classificazione basata sul rischio e i flussi di governance e consente documentazione coerente e reporting automatizzato.