{"id":71078,"date":"2025-11-26T12:36:36","date_gmt":"2025-11-26T11:36:36","guid":{"rendered":"https:\/\/swissgrc.com\/it\/finma-05-2025-resilience-by-design\/"},"modified":"2025-11-26T12:36:36","modified_gmt":"2025-11-26T11:36:36","slug":"finma-05-2025-resilience-by-design","status":"publish","type":"post","link":"https:\/\/swissgrc.com\/it\/finma-05-2025-resilience-by-design\/","title":{"rendered":"La comunicazione FINMA 05\/2025: un campanello d’allarme per la Resilience by Design"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/strong><\/p>\n

La FINMA sta inasprendo le proprie aspettative in materia di resilienza operativa. A partire dal 2026, gli istituti dovranno definire e attuare in modo dimostrabile le proprie funzioni critiche, le tolleranze di interruzione e le procedure di test.<\/strong><\/p>\n

Con la comunicazione di vigilanza 05\/2025<\/a>, la FINMA pone la resilienza operativa al centro della propria prassi di vigilanza.
Dal 1\u00b0 gennaio 2026, tutti gli istituti, indipendentemente dalle loro dimensioni o categoria di vigilanza, dovranno aver implementato misure concrete per garantire la propria capacit\u00e0 di resistere alle interruzioni.
L’analisi della FINMA condotta su 267 istituti evidenzia differenze significative nel livello di maturit\u00e0, con lacune rilevanti nella definizione delle funzioni critiche, delle tolleranze di interruzione e nell’integrazione dei framework esistenti.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Funzioni critiche: concentrazione anzich\u00e9 frammentazione<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Secondo la FINMA, il numero medio di funzioni critiche identificate \u00e8 3,5. Se gli istituti pi\u00f9 grandi ne definiscono un numero maggiore, alcuni superano un perimetro ragionevole arrivando fino a 36 funzioni critiche. La FINMA richiede chiarezza: una funzione critica non \u00e8 ogni processo, bens\u00ec un’attivit\u00e0 il cui mancato funzionamento ha effetti immediati sui clienti o sulla stabilit\u00e0 del mercato finanziario.
Molti istituti confondono processi (ad esempio back office, operativit\u00e0 IT) o risorse (ad esempio il sistema core banking) con le funzioni critiche. Ci\u00f2 che conta \u00e8 una prospettiva top-down che tenga conto della rilevanza strategica e delle dipendenze all’interno della catena di fornitura.<\/p>\n

Raccomandazione pratica:<\/strong>
Un inventario solido delle funzioni critiche costituisce la base per una visione olistica \u00abfront-to-back\u00bb, come richiesto dalla FINMA. Questo inventario dovrebbe mappare in modo trasparente funzioni, processi, risorse e interdipendenze.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/strong><\/p>\n

Tolleranze di interruzione: dai limiti tecnici al livello di tolleranza del consiglio di amministrazione<\/p>\n

<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La FINMA critica il fatto che molti istituti definiscano le proprie tolleranze di interruzione \u00aba ritroso\u00bb, partendo dalla capacit\u00e0 tecnica di ripristino (\u00abreverse engineering\u00bb) anzich\u00e9 dal livello di tolleranza stabilito dall’organo di gestione. Di conseguenza, la questione della resilienza viene considerata in modo troppo operativo anzich\u00e9 strategico.
La maggior parte degli istituti definisce tolleranze di interruzione comprese tra 24 e 72 ore. Valori troppo bassi indicano una confusione con le metriche di BCM (RTO\/RPO), mentre valori troppo elevati suggeriscono una definizione poco rigorosa delle funzioni.<\/p>\n

Raccomandazione pratica:<\/strong>
Un processo di governance ben strutturato, supportato da dati tracciabili, visualizzazioni e una logica decisionale chiara, aiuta ad ancorare le tolleranze di interruzione a un livello strategico. La combinazione di una metodologia chiara, di una documentazione strutturata e di strumenti adeguati crea trasparenza e rafforza il coinvolgimento della direzione.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/strong><\/p>\n

Test: dalla difesa informatica alla resilienza end-to-end<\/p>\n

<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Secondo la FINMA, l’85% degli istituti appartenenti alle categorie di vigilanza da 1 a 3 non ha ancora effettuato alcun test. Tra gli scenari pi\u00f9 frequentemente citati figurano il \u00abcyberattacco riuscito\u00bb o l’\u00abinterruzione della catena di fornitura\u00bb, mentre le minacce non legate al cyber rischio restano spesso non testate.<\/p>\n

Raccomandazione pratica:<\/strong>
Test regolari basati su scenari costituiscono la spina dorsale di un’organizzazione capace di apprendere. L’utilizzo di quadri di test strutturati e di piattaforme adeguate semplifica la pianificazione, l’esecuzione e la valutazione, garantendo che i risultati possano essere tradotti direttamente in misure di miglioramento: un passo fondamentale verso un progresso continuo.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/strong><\/p>\n

Quadro di resilienza operativa: \u00e8 il momento dell’integrazione<\/p>\n

<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Secondo la FINMA, solo il 12-15% degli istituti ha istituito un quadro integrato che coordina la gestione dei rischi, i rischi ICT e cyber, il BCM, la pianificazione delle emergenze e la gestione dei terzi. Di conseguenza, la maggior parte degli istituti non dispone ancora delle basi organizzative necessarie per un approccio coerente di \u00abresilience-by-design\u00bb.
Alla luce degli sviluppi normativi europei come il DORA e la direttiva NIS2 (UE) 2022\/2555<\/a>, questa integrazione risulta essenziale. Entrambi i quadri normativi richiedono una supervisione strettamente interconnessa dei rischi cyber, IT e operativi, segnando il passaggio da una logica a silos a una gestione end-to-end basata sul rischio.<\/p>\n

Raccomandazione pratica:<\/strong>
Gli istituti dovrebbero considerare il proprio quadro di resilienza operativa come uno strumento di governance trasversale. Ci\u00f2 include:
\u2022 definire indicatori adeguati (KPI\/KRI)
\u2022 integrare la gestione dei rischi, il BCM, l’ICT e la supervisione dei terzi
\u2022 monitorare in modo automatizzato le dipendenze e le interfacce<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/strong><\/p>\n

Dalla conformit\u00e0 alla resilienza strategica<\/p>\n

<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La resilienza operativa \u00e8 pi\u00f9 di un obbligo regolamentare: \u00e8 un fattore strategico di successo. <\/b>Non protegge soltanto dalle interruzioni, ma accresce anche la capacit\u00e0 di trasformare le crisi in opportunit\u00e0 di apprendimento e adattamento. Con l’attuazione obbligatoria dei requisiti della FINMA a partire dal 2026 e l’armonizzazione con gli standard europei, gli istituti dispongono di un’opportunit\u00e0 unica: la resilienza pu\u00f2 diventare un vero elemento distintivo.<\/p>\n

Raccomandazione pratica:<\/strong>
Una visione basata sui dati dei rischi e delle dipendenze consente una gestione attiva della resilienza. Cruscotti, indicatori e analisi costituiscono la base per decisioni fondate sui fatti, sia che vengano implementati tramite metodi interni sia che siano supportati da strumenti dedicati.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/strong><\/p>\n

Come la tecnologia pu\u00f2 aiutare senza far perdere il controllo<\/p>\n

<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Attuare i requisiti in materia di resilienza, funzioni critiche e definizione delle tolleranze \u00e8 complesso, soprattutto quando avviene tramite Excel e processi manuali. Molti istituti riconoscono che approcci supportati da strumenti<\/strong> creano trasparenza, automazione e tracciabilit\u00e0. Il GRC Toolbox di Swiss GRC consente agli istituti di registrare sistematicamente le funzioni critiche e le dipendenze, definire le tolleranze di interruzione, pianificare test e valutare i risultati in modo centralizzato, il tutto integrato in un quadro complessivo per la resilienza operativa.
L’attenzione non \u00e8 rivolta allo strumento in s\u00e9, bens\u00ec al valore aggiunto: una prospettiva end-to-end, una governance coerente e un contributo duraturo a una cultura di resilience-by-design.<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/strong><\/p>\n

Conclusione<\/p>\n

<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Comunicazione di vigilanza 05\/2025<\/a> segna una tappa fondamentale nel rafforzamento dell’infrastruttura del mercato finanziario svizzero. Per gli istituti, ci\u00f2 significa: consolidare le strutture, chiarire le responsabilit\u00e0 e affrontare la resilienza da una prospettiva strategica.
DORA, NIS2 e le best practice internazionali lo evidenziano chiaramente: la resilienza non \u00e8 un progetto, \u00e8 un principio guida.<\/strong> Gli istituti che oggi investono in un’attuazione integrata, basata sui dati e orientata alla governance non saranno, nel lungo periodo, solo conformi alla normativa, ma anche solidi dal punto di vista commerciale e pronti per il futuro.<\/p>\n

Swiss GRC supporta gli istituti nell’attuazione dei requisiti regolamentari in materia di resilienza operativa, dall’identificazione delle funzioni critiche fino alla gestione olistica. I nostri esperti coniugano competenze regolamentari e capacit\u00e0 di implementazione tecnologica per costruire una cultura di resilience-by-design in grado di generare un impatto concreto. Prenoti subito un appuntamento: swissgrc.com\/discoverycall<\/a>.<\/strong><\/em><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

La comunicazione FINMA 05\/2025 definisce l’orientamento strategico per rafforzare la resilienza operativa del settore finanziario svizzero. I requisiti aggiornati, in vigore dal 2026, ridefiniscono le modalit\u00e0 con cui gli istituti devono prepararsi alle interruzioni e garantire la continuit\u00e0 operativa. Chi agisce fin da ora non solo soddisfer\u00e0 le aspettative regolamentari, ma rafforzer\u00e0 anche la propria stabilit\u00e0 e resilienza nel lungo periodo.<\/p>\n","protected":false},"author":22,"featured_media":71079,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"_eb_attr":"","_swissgrc_real_author":"Gentian Ajeti","real_author_title":"Chief Customer & Commercial Officer (CCO)","real_author_bio":"Gentian Ajeti \u00e8 Chief Customer & Commercial Officer (CCO) e membro del consiglio direttivo di Swiss GRC. In questo ruolo \u00e8 responsabile della strategia globale dell'azienda in materia di clientela e vendite. Grazie alla sua pluriennale esperienza nell'implementazione di soluzioni GRC, guida un team di specialisti GRC che affianca i clienti dalla consulenza fino alla realizzazione con successo dei progetti.","real_author_photo":71065,"footnotes":"","_links_to":"","_links_to_target":""},"categories":[66],"tags":[],"class_list":["post-71078","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-regulation"],"acf":[],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t