L’entrata in vigore del regolamento UE sulla resilienza operativa digitale, cosiddetto DORA, introduce importanti novità nel settore finanziario volte a garantire la capacità degli operatori di continuare a offrire specifici risultati nonostante incidenti e violazioni all’infrastruttura ICT.
Dunque, il primo dei pilastri su cui il DORA poggia è quello relativo alla governance e organizzazione interna.
Cyber security nelle banche e nel fintech: è decisivo adottare prima possibile il DORA
Indice degli argomenti
La governance aziendale
Tra gli elementi chiave introdotti dal Regolamento DORA rientra, infatti, l’obbligo previsto all’art. 5 per le entità finanziarie di dotarsi di un quadro organizzativo e procedurale di governance interna tale da garantire la efficace e prudente gestione dei rischi informatici.
Le entità finanziare dovranno raggiungere un livello efficiente di resilienza operativa digitale proporzionato alle dimensioni e alle peculiarità aziendali.
L’organo deputato alla definizione, approvazione e applicazione delle disposizioni relative al quadro per la gestione dei rischi informatici è l’organo di gestione dell’entità finanziaria.
Il ruolo e i compiti dell’organo di gestione
In capo all’organo di gestione grava non solo una responsabilità “finale” nel quadro della gestione dei rischi informatici relativi alle tecnologie della informazione e comunicazione (TIC) ma, altresì, l’obbligo di adempiere ad una serie di compiti specificamente dettagliati al par. 2 dell’art. 5 del Regolamento in esame.
In particolare, l’organo di gestione è incaricato di:
- predisporre politiche per il mantenimento di standard elevati in relazione al trattamento dei dati;
- definire chiaramente i ruoli e le responsabilità per tutte le funzioni connesse alle TIC;
- definire meccanismi volti a garantire una tempestiva ed efficace comunicazione e cooperazione tra tutte le funzioni connesse alle TIC;
- definire una strategia di resilienza operativa che indichi sia la metodologia per gestione dei rischi informatici sia la determinazione del livello di tolleranza dell’entità finanziaria in relazione ai rischi;
- approvare e riesaminare i piani interni di audit e la politica di continuità operativa in materia di TIC;
- definire lo stanziamento delle risorse finanziare necessarie per le attività di formazione e sensibilizzazione riguardanti il personale nella materia della resilienza operativa digitale;
- istituire a livello aziendale un canale di comunicazione che gli consenta di:
- essere sempre debitamente informato in merito a tutti gli accordi conclusi con i fornitori terzi di servizi TIC e sulle relative eventuali modifiche e
- riesaminare periodicamente tutti i rischi identificati in relazione all’esternalizzazione di funzioni valutate come critiche o importanti ai sensi della normativa.
La funzione di controllo di gestione dei rischi ICT
Il Regolamento DORA, al par. 6 dell’art. 5, prevede poi in capo alle entità finanziare, diverse dalle microimprese[1], l’obbligo di attribuire la responsabilità della gestione e della sorveglianza dei rischi informatici a una funzione di controllo, di cui assicurano un livello appropriato d’indipendenza per evitare conflitti d’interessi.
Infine è molto importante precisare che, al pari di quanto già previsto a livello nazionale per alcune tipologie di attori nel settore finanziario, le entità finanziarie garantiscono un’opportuna separazione e indipendenza tra funzioni di gestione dei rischi informatici, funzioni di controllo e funzioni di audit interno, secondo il modello delle tre linee di difesa o secondo un modello interno di controllo e gestione del rischio.
Approccio operativo e formazione interna
Il quadro per la gestione dei rischi informatici dovrà essere documentato e riesaminato almeno una volta all’anno, o periodicamente in caso di microimprese, nonché in occasione di gravi incidenti TIC e in seguito a indicazioni o conclusioni delle autorità di vigilanza formulate a seguito di pertinenti test di resilienza operativa digitale o di processi di audit. Inoltre, il quadro dovrà essere costantemente migliorato sulla base degli insegnamenti tratti dall’attuazione e dal monitoraggio.
Per garantire un quadro organizzativo efficace, il Regolamento DORA prevede inoltre per gli operatori un programma di attività di sensibilizzazione e formazione obbligatoria sulla gestione dei rischi ICT, con un livello di complessità commisurata alla funzione svolta, includendo in tali attività anche i fornitori terzi di servizi ICT.
Cosa si dovrà fare in concreto in punto di formazione
Parte fondamentale del processo di compliance sarà quindi l’elaborazione, da parte degli operatori, di programmi di sensibilizzazione sulla sicurezza delle TIC nonché attività di formazione sulla resilienza operativa digitale che permetta di sviluppare e migliorare le competenze del personale delle entità finanziare e dei fornitori dei servizi ICT.
In osservanza di quanto previsto anche dall’art. 13, par. 6, del Regolamento, i programmi e le attività di formazione dovranno:
- rappresentare moduli obbligatori;
- riguardare tutti i dipendenti e gli alti dirigenti;
- presentare un livello commisurato alle rispettive funzioni;
- essere rivolti anche i fornitori di servizi TIC.
L’obbligo di estendere la formazione ai fornitori terzi di servizi TIC, come si avrà modo di vedere con maggiore dettaglio nei prossimi articoli in punto di gestione della dipendenza dalle terze parti, impatta e si interseca con gli aspetti relativi alla contrattualistica atteso che gli accordi contrattuali dovranno comprendere, tra le altre previsioni minime, anche le condizioni riguardanti la partecipazione dei fornitori terzi di servizi TIC ai programmi di sensibilizzazione sulla sicurezza delle TIC e alle attività di formazione sulla resilienza operativa digitale delle entità finanziarie (cfr. art. 30, par. 2, lett. i), del Regolamento).
Gli impatti sul mondo bancario
Nel settore bancario, con il 40° aggiornamento della Circolare 285/2013 con riferimento agli aspetti organizzativi e di governance del sistema informativo, il legislatore chiede alle banche di:
- attribuire all’organo di gestione specifici compiti in materia di gestione rischi ICT e Cyber andandone quindi a rafforzare ulteriormente le responsabilità che ne derivano;
- attribuire i compiti della funzione di controllo dei rischi ICT e di sicurezza a una funzione di secondo livello appositamente istituita oppure, in alternativa, assegnare tali compiti alle funzioni aziendali di controllo dei rischi e di compliance, a condizione che siano assicurati il corretto svolgimento dei compiti, l’efficacia dei controlli e le necessarie competenze tecniche.
Si ricorda che le banche dovranno recepire le modifiche introdotte entro il 30 giugno 2023.
NOTE
Per microimpresa si intende un’entità finanziaria, diversa da una sede di negoziazione, una controparte centrale, un repertorio di dati sulle negoziazioni o un depositario centrale di titoli, che occupa meno di 10 persone e realizza un fatturato annuo e/o un totale di bilancio annuo non superiore ai 2 milioni di euro. ↑
