6.4. Valutazione del rischio operativo

Nel valutare il quadro di gestione del rischio operativo, le autorità competenti dovrebbero valutare, tra le altre cose, la conformità dell’ente agli atti giuridici pubblicati separatamente sul sito web dell’ABE di cui al paragrafo 12.

Le autorità competenti dovrebbero valutare il rischio operativo in tutte le linee di business e operazioni dell’ente, tenendo conto delle risultanze della valutazione dei sistemi di governance e dei controlli interni dell’ente, di cui al titolo 5. Nell’effettuare tale valutazione, le autorità competenti dovrebbero stabilire in che modo il rischio operativo può materializzarsi, tenendo conto anche dell’insieme di dati sulle perdite dell’ente e dei potenziali impatti derivanti da altri rischi correlati (ad esempio il rischio operativo legato al credito di confine e il rischio operativo legato al mercato).

Le autorità competenti dovrebbero valutare la rilevanza del rischio operativo derivante dai fornitori terzi di servizi, compresa la concentrazione (a livello di entità e, se del caso, a livello di gruppo) di uno o più servizi prestati da un unico fornitore terzo di servizi (direttamente o indirettamente attraverso catene di subappalto) o da un numero limitato di fornitori terzi che supportano le funzioni critiche o importanti dell’ente, e se ciò possa incidere sulla resilienza operativa, sulle prestazioni e sulla gestione del rischio dell’ente. Nell’effettuare tale valutazione, le autorità competenti dovrebbero tenere conto della misura in cui altri enti fanno affidamento sugli stessi fornitori terzi di servizi, laddove tali informazioni siano a loro disposizione.

Nel valutare il rischio operativo, le autorità competenti dovrebbero valutare il rischio ICT, a norma del DORA, e il suo potenziale impatto sulle funzioni essenziali o importanti dell’ente, compreso qualsiasi potenziale impatto finanziario, reputazionale, normativo e strategico per l’ente.

Le autorità competenti dovrebbero valutare se l’ente disponga di un metodo adeguato in materia di resilienza operativa che le consenta di resistere, adattarsi e riprendersi da eventuali interruzioni una volta che si verifichino, e se tale metodo sia stato adeguatamente e coerentemente allineato al quadro di gestione dei rischi esistente, ai piani di continuità operativa e alla gestione dei soggetti terzi.

Nel valutare il rischio operativo, le autorità competenti dovrebbero verificare, se del caso, se le politiche e le procedure dell’ente identifichino, valutino e gestiscano in modo adeguato i rischi operativi derivanti dalle cripto-attività e dalla tecnologia su cui queste si basano.

Le autorità competenti dovrebbero valutare il rischio reputazionale congiuntamente al rischio operativo, poiché esso è intrinsecamente legato agli eventi di rischio operativo. Tuttavia l’esito della valutazione del rischio reputazionale non dovrebbe riflettersi nel punteggio del rischio operativo ma, se pertinente, dovrebbe essere preso in considerazione nell’ambito della BMA e/o della valutazione del rischio di liquidità, in quanto i suoi principali effetti possono minare la fiducia nell’ente di investitori, risparmiatori o partecipanti al mercato interbancario.

Le autorità competenti dovrebbero valutare l’impatto dei rischi ESG sui rischi operativi e reputazionali intrinseci, nonché l’adeguatezza dei controlli relativi ai rischi operativi e reputazionali connessi ai rischi ESG, dando priorità ai rischi ambientali fisici e di transizione. In particolare le autorità competenti dovrebbero tenere conto dei rischi ambientali e dei rischi di greenwashing nel valutare i rischi giuridici e reputazionali.

6.4.2. Valutazione del rischio operativo intrinseco

Le autorità competenti dovrebbero acquisire una comprensione approfondita delle esposizioni al rischio operativo intrinseco dell’ente e valutare la rilevanza dell’impatto prudenziale di tale rischio per l’ente, nonché l’impatto sulla sua capacità di svolgere funzioni critiche o importanti in caso di interruzioni.

A sostegno di tale valutazione, le autorità competenti dovrebbero prendere in considerazione il requisito in materia di fondi propri per il rischio operativo rispetto al requisito in materia di fondi propri totali e, se del caso, il capitale interno assegnato per il rischio operativo dall’ente rispetto al capitale interno complessivo. Inoltre le autorità competenti dovrebbero sfruttare le conoscenze acquisite dalla valutazione di altri elementi dello SREP (in particolare dal titolo 4 e dal titolo 5), dal confronto della posizione dell’ente con i pari, da tutte le altre attività di vigilanza, compreso l’input delle autorità di vigilanza in materia di AML/CFT e delle autorità di vigilanza del mercato, e da altre fonti di informazioni pertinenti.

Le autorità competenti dovrebbero prendere in considerazione, come minimo, i principali fattori di rischio operativo e i potenziali scenari perturbatori e, ove pertinente, analizzarli per linea di business, entità giuridica, area geografica e categoria di evento (in base alla disponibilità dei dati), nonché confrontare la posizione dell’ente con quella dei suoi pari. Tali fattori dovrebbero comprendere almeno la strategia principale dell’ente in materia di rischio operativo e la propensione al rischio operativo, il contesto aziendale (compresa la presenza geografica, le operazioni ICT e i canali di distribuzione), i recenti eventi aziendali significativi (quali fusioni, acquisizioni, cessioni e ristrutturazioni), i sistemi ICT e altri aspetti correlati alle ICT di cui alla sezione 6.4.2.3, le modifiche ai processi, gli accordi con terzi, le questioni relative alla conformità normativa, gli obiettivi aziendali e i sistemi di incentivazione, nonché altri fattori chiave che determinano il rischio operativo.

Natura e significatività delle esposizioni al rischio operativo

Le autorità competenti dovrebbero stabilire la natura delle esposizioni al rischio operativo analizzando le esposizioni verso le principali fonti e i principali fattori (driver) di rischio operativo per formulare un giudizio prospettico sul rischio operativo potenziale. Per tale analisi, le autorità competenti:

• a. possono prendere in considerazione il modello operativo, le linee di business, i prodotti, i processi e le aree geografiche pertinenti dell’ente, la valutazione delle dipendenze e delle esposizioni al rischio operativo rispetto ai principali fattori di rischio (ad esempio, processi, persone, sistemi e fattori esterni) e le interazioni tra tali fattori, avvalendosi dell’autovalutazione del rischio dell’ente, dell’analisi tra pari e delle banche dati pubbliche e/o consortili, se disponibili e pertinenti;
• b. dovrebbero prendere in considerazione sia la frequenza sia la gravità degli eventi cui l’ente è esposto e distinguere le esposizioni che causano perdite ad alto impatto e quelle ad alta frequenza. Sulla base di questa distinzione, le autorità competenti dovrebbero valutare l’andamento delle perdite dovute a rischio operativo e la loro concentrazione; e
• c. dovrebbero sfruttare le analisi degli scenari e prendere in considerazione le operazioni aziendali pianificate e le analisi del rischio operativo potenziale effettuate dall’ente, se disponibili, tenendo conto di eventuali misure correttive e azioni di mitigazione già attuate ed efficaci.

A seguito dell’individuazione e dell’analisi delle principali fonti e dei fattori determinanti del rischio operativo, le autorità competenti dovrebbero concentrarsi su quelli che potrebbero avere l’impatto potenziale più rilevante per l’ente.

Una fonte primaria di informazioni che le autorità competenti dovrebbero prendere in considerazione è la serie di dati relativi alle perdite e agli eventi dell’ente, in quanto può fornire indicazioni preziose sull’evoluzione del profilo di rischio operativo dell’ente. Le autorità competenti dovrebbero valutare periodicamente la completezza, l’esattezza e la qualità dei dati sulle perdite. Un’altra fonte di informazioni dovrebbe essere costituita dai registri dell’ente relativi a tutti gli incidenti connessi alle ICT e alle minacce informatiche significative (ai sensi dell’articolo 17, paragrafo 2, del DORA) e alle fonti di rischio ICT individuate (ai sensi dell’articolo 8, paragrafo 2, del DORA). Valutazione delle sottocategorie del rischio operativo

Le autorità competenti dovrebbero concentrare la valutazione delle sottocategorie del rischio operativo su quelle considerate rilevanti per l’ente. Le autorità competenti dovrebbero inoltre applicare il giudizio dei loro esperti per individuare sottocategorie significative sulla base di tutte le fonti di informazioni interne ed esterne disponibili. Nell’effettuare la valutazione, le autorità competenti dovrebbero sempre prestare attenzione ai seguenti aspetti del rischio operativo (³² ):

• a. rischio giuridico;
• b. rischio di modello;
• c. rischio ICT;

6.4.2.1. Rischio giuridico

Nel valutare la rilevanza e la significatività delle esposizioni dell’ente al rischio giuridico, le autorità competenti dovrebbero considerare quanto segue:

• a. vendita fraudolenta di prodotti o servizi;
• b. conflitti di interesse nella conduzione delle operazioni;
• c. manipolazione dei tassi di interesse di riferimento, dei tassi di cambio o di altri strumenti finanziari o indici;
• d. barriere poste alla possibilità di passare da un prodotto finanziario all’altro durante il suo ciclo di vita e/o di passare ad altri fornitori di servizi finanziari;
• e. rinnovi automatici di prodotti o penalizzazioni in caso di dismissione e/o
• f. trattamento dei reclami dei clienti;
• g. violazione di norme e regolamenti nazionali e internazionali (norme fiscali, frode interna o furto interno, norme antiriciclaggio, norme antiterrorismo e sanzioni economiche);
• h. rischi di contenzioso legati ai fattori ESG, in particolare quelli relativi all’ambiente e al greenwashing .

Le autorità competenti dovrebbero valutare se l’ente possa incorrere in costi, ammende, sanzioni o danni punitivi a seguito di procedimenti giudiziari, nonché il numero e il contenuto dei reclami. I risultati della valutazione prevista dal titolo 4 dovrebbero essere sfruttati, insieme all’analisi approfondita delle politiche di incentivazione, anche per ottenere una visione d’insieme delle cause alla base di potenziali comportamenti scorretti. In tale contesto le autorità competenti dovrebbero anche valutare se l’ente disponga di sistemi e processi adeguati ed efficaci per attuare e rispettare misure restrittive (ad esempio sanzioni), compresa la valutazione della conformità dell’ente agli orientamenti dell’ABE in materia di politiche, procedure e controlli interni (³³ ).

(³² ) Si rimanda all’allegato III per una ripartizione non esaustiva delle sottocategorie del rischio operativo. (³³ ) Orientamenti in materia di politiche, procedure e controlli interni atti a garantire l’attuazione di misure restrittive dell’Unione e nazionali (ABE/GL/2024/14).

Tuttavia, l’autorità competente dovrebbe applicare un approccio forward-looking , considerando anche il possibile impatto degli sviluppi normativi e l’attività delle autorità competenti in materia di tutela dei consumatori e la fornitura di servizi finanziari in generale.

6.4.2.2. Il rischio di modello

Nell’ambito del rischio operativo, le autorità competenti dovrebbero valutare il rischio di modello, con particolare riguardo ai modelli interni non regolamentari (ad es. modelli di IA, prezzi dei prodotti, definizione e monitoraggio dei limiti di rischio, modelli ICAAP/ILAAP, opzioni di risanamento).

Per la valutazione del rischio di modello, le autorità competenti dovrebbero prendere in considerazione:

• a. in che misura e per quali scopi l’ente utilizza modelli per prendere decisioni e la significatività di tali decisioni. Le autorità competenti dovrebbero determinare le attività per le quali l’ente si avvale in maniera significativa di modelli e valutare il potenziale impatto del rischio di modello mediante, tra l’altro, analisi di sensibilità e di scenario o prove di stress; e
• b. l’adeguatezza dei meccanismi di controllo (in termini di metodi, frequenza, monitoraggio, ecc.), compreso il processo di approvazione dei modelli, le revisioni periodiche effettuate e il livello di consapevolezza dell’ente in merito alle carenze dei modelli o agli sviluppi di mercato e operativi.

Qualora i modelli siano utilizzati a fini decisionali (ad esempio la fissazione del prezzo di un prodotto, i modelli di IA, la valutazione degli strumenti finanziari, la profilazione dei clienti), le autorità competenti dovrebbero valutare se vi sia un solido processo interno di convalida e/o un processo di revisione dei modelli per individuare e attenuare il rischio di modello (diverso dai modelli regolamentari).

Nell’effettuare la valutazione del rischio di modello, le autorità competenti dovrebbero tenere conto della valutazione di altri rischi che impattano sul capitale e i rischi che impattano sulla liquidità e sul funding , in particolare per quanto riguarda l’adeguatezza delle metodologie utilizzate per la misurazione del rischio, il pricing e la valutazione delle attività e/o passività. Gli esiti di tale valutazione dovrebbero contribuire alle risultanze sul rischio operativo.

6.4.2.3. Rischio ICT - Valutazione del rischio ICT intrinseco

Identificazione dei rischi ICT rilevanti

In linea con il DORA, le autorità competenti dovrebbero esaminare l’identificazione, la classificazione e la documentazione dell’ente di tutte le funzioni commerciali supportate dalle ICT, i ruoli e le responsabilità, i patrimoni informativi (³⁴ ) e le risorse ICT (³⁵ ) a supporto delle

(³⁴ ) Articolo 3, paragrafo 6, del regolamento (UE) 2022/2554. (³⁵ ) Articolo 3, paragrafo 7, del regolamento (UE) 2022/2554. suddette funzioni, nonché i ruoli e le dipendenze rispettivi in materia di rischi ICT. Tale esame dovrebbe aiutare le autorità competenti a sviluppare una conoscenza approfondita dell’esposizione ai rischi ICT intrinseci (profilo di rischio ICT) dell’ente, a individuare il relativo rischio ICT intrinseco rilevante e a formulare un parere sul suo impatto prudenziale. A tal fine le autorità competenti dovrebbero prendere in considerazione almeno quanto segue, ove pertinente e applicabile:

• a. relazione sul riesame del quadro per la gestione dei rischi ICT (ai sensi dell’articolo 6, paragrafo 5, del DORA);
• b. fonti di rischio ICT, in particolare l’esposizione al rischio da e verso altre entità finanziarie, individuate dall’ente ai sensi dell’articolo 8, paragrafo 2, del DORA;
• c. i gravi incidenti connessi alle ICT segnalati (ai sensi dell’articolo 19, paragrafo 1, del regolamento DORA), compresa l’evoluzione dei costi e delle perdite annuali aggregati causati da gravi incidenti connessi alle ICT (ai sensi dell’articolo 11, paragrafo 10, del DORA);
• d. i risultati dei test previsti dal programma di test di resilienza operativa digitale (ai sensi dell’articolo 24 del DORA), compresa la sintesi dei risultati dei test di penetrazione guidati dalla minaccia ( threat-led penetration testing — TLPT), e i relativi piani correttivi (ai sensi dell’articolo 26, paragrafo 6, del DORA);
• e. registro delle informazioni (di cui all’articolo 28, paragrafo 3, del DORA), compreso il grado di concentrazione di fornitori terzi di servizi ICT, compresi i fornitori infragruppo di ICT, per tipo di servizi ICT e/o sistemi ICT;
• f. raccomandazioni e pareri delle autorità di sorveglianza capofila (ai sensi dell’articolo 40, paragrafo 3, e dell’articolo 42, paragrafo 7, del DORA) e relative risposte, relazioni e informazioni da fornitori terzi critici di servizi ICT (ai sensi dell’articolo 35, paragrafo 1, lettera c), dell’articolo 42, paragrafo 1, e dell’articolo 48, paragrafo 2, del DORA);
• g. il livello di complessità dei sistemi ICT e i risultati della valutazione del rischio specifica per tutti i sistemi ICT legacy (ai sensi dell’articolo 8, paragrafo 7, del DORA);
• h. la valutazione del rischio in caso di modifiche di rilievo (ai sensi dell’articolo 8, paragrafo 3, del DORA);
• i. livello di adozione e integrazione di soluzioni ICT innovative;
• j. le località, segnatamente le regioni o i paesi, dei centri di elaborazione dati e delle aree designate come sensibili, anche nel caso in cui i servizi ICT contrattuali siano forniti da fornitori terzi di servizi ICT, anche per quanto riguarda il luogo di elaborazione e conservazione dei dati;
• k. eventuali carenze o lacune rilevanti individuate ai sensi del titolo 5;
• l. le autovalutazioni dei rischi e dei controlli ICT (se incluse nelle informazioni ICAAP);
• m. informazioni sulla gestione dei rischi ICT trasmesse all’organo di amministrazione dell’ente;
• n. risultanze degli audit interni ed esterni relativi alle ICT;
• o. contesto delle minacce esterne, comprese le informazioni relative alle minacce e alle vulnerabilità. Revisione dei sistemi ICT e dei servizi ICT

Le autorità competenti dovrebbero esaminare la documentazione, la metodologia e i processi pertinenti dell’ente e formulare un parere in merito all’adeguatezza dell’identificazione, da parte dell’ente, dei sistemi e dei servizi ICT che supportano funzioni essenziali o importanti. A tal fine, le autorità competenti dovrebbero prendere in considerazione:

• a. i sistemi ICT che supportano funzioni essenziali o importanti, nonché i patrimoni informativi critici e le risorse ICT individuati dall’ente (ai sensi dell’articolo 8 del DORA);
• b. processi essenziali che dipendono da fornitori terzi di servizi ICT, comprese le interconnessioni con detti fornitori che offrono servizi a supporto di funzioni essenziali o importanti, identificati dall’ente (ai sensi dell’articolo 8, paragrafo 5, del DORA).

Identificazione e mappatura dei rischi ICT rilevanti che interessano i sistemi e i servizi ICT a supporto di funzioni essenziali o importanti

Le autorità competenti dovrebbero quindi classificare il rischio ICT rilevante individuato nelle categorie di rischio ICT definite nell’allegato III. Gli enti sono tenuti a mantenere le proprie categorie anziché utilizzare quelle indicate nell’allegato.

6.4.3. Valutazione del quadro di gestione e di controllo del rischio operativo

Le autorità competenti dovrebbero valutare il quadro e le misure adottate dall’ente per la gestione e il controllo del rischio operativo, tenendo conto dei risultati dell’analisi del quadro generale di gestione dei rischi e di controllo interno di cui al titolo 5, poiché ciò influirà sulle esposizioni al rischio operativo dell’ente. Per quanto riguarda il rischio di ML/TF, l’autorità competente dovrebbe tenere conto della valutazione fornita dall’autorità di vigilanza in materia di AML/CFT.

Strategia in materia di rischio operativo e propensione al rischio operativo

Le autorità competenti dovrebbero valutare se l’ente si avvalga di una sana strategia riguardante il rischio operativo e di un livello di propensione al rischio operativo, chiaramente formulati e documentati, approvati dall’organo di amministrazione, che delinei la natura, la tipologia e i livelli del rischio operativo che l’ente è disposto ad assumere. Ai fini di tale valutazione, oltre ad altri fattori, le autorità competenti dovrebbero tenere conto del ruolo dell’organo di amministrazione nella definizione, approvazione, attuazione e revisione della strategia e della propensione al rischio operativo (comprese la propensione al rischio ICT e la strategia di resilienza operativa digitale), nonché della copertura sufficiente e dell’adeguatezza della strategia rispetto alla natura e alla rilevanza del profilo di rischio operativo dell’ente.

Quadro organizzativo e di controllo interno

Le autorità competenti dovrebbero valutare la conformità dell’ente all’articolo 323 del regolamento (UE) n. 575/2013. Nell’ambito di tale valutazione, le autorità competenti dovrebbero valutare la solidità e l’efficacia del quadro organizzativo e dei meccanismi di governance , al fine di consentire una gestione, una misurazione e un controllo efficaci del rischio operativo, con risorse umane e tecniche sufficienti per svolgere i compiti richiesti. Le autorità competenti dovrebbero verificare se siano state definite chiare linee di responsabilità per l’identificazione, la valutazione, la mitigazione, il monitoraggio e la segnalazione del rischio operativo, nonché il rispetto del modello delle tre linee di difesa.

Le autorità competenti dovrebbero valutare se l’ente disponga di un solido quadro di controllo e di adeguate misure di salvaguardia per mitigare il proprio rischio operativo, comprese politiche e procedure appropriate che coprano anche il rischio residuo, e se tali misure siano coerenti con la propensione al rischio operativo e la strategia di gestione del rischio operativo dell’ente e coprano tutte le operazioni e i processi fondamentali. Ciò comprende, tra l’altro, la valutazione volta a verificare se tali politiche e procedure siano chiaramente formalizzate, comunicate e applicate in modo coerente in tutto l’ente.

Le autorità competenti dovrebbero inoltre valutare la funzionalità della funzione di audit interno in termini di adeguatezza, portata e frequenza degli audit interni sul quadro di gestione del rischio operativo.

Continuità operativa, risposta e ripristino

Le autorità competenti dovrebbero valutare la conformità dell’ente i) agli orientamenti dell’ABE sulla governance interna in relazione alla gestione complessiva della continuità operativa e ii) al DORA in relazione alla politica di continuità operativa delle ICT e dei piani di risposta e ripristino relativi alle ICT. A tal proposito, le autorità competenti dovrebbero verificare se la politica di continuità operativa delle ICT e i piani di risposta e ripristino relativi alle ICT costituiscano parte integrante della politica generale di continuità operativa dell’ente e del relativo piano di risposta e ripristino.

Le autorità competenti dovrebbero valutare se l’ente abbia istituito un sistema efficace di gestione della continuità operativa, con piani di continuità operativa, di risposta e di ripristino collaudati che coprano almeno le sue funzioni essenziali o importanti, comprese quelle affidate a fornitori terzi, e se tali piani prendano in considerazione una serie di scenari gravi ma plausibili ai quali l’ente potrebbe essere esposto. Le autorità competenti dovrebbero inoltre valutare se la politica di continuità operativa dell’ente consenta di adottare misure di risposta e di ripristino adeguate a qualsiasi tipo di incidente.

Le autorità competenti dovrebbero verificare se la gestione della continuità operativa dell’ente comprenda:

• a. analisi dell’impatto sulle attività aziendali ( Business Impact Analysis — BIA):
• b. strategie di risanamento adeguate che integrano dipendenze interne ed esterne essenziali, nonché ben definite priorità di risanamento e livelli di resilienza;
• c. piani completi e flessibili per far fronte a scenari di interruzioni plausibili dell’operatività, stabiliti sulla base della BIA e in coordinamento con le parti interessate interne ed esterne;
• d. piani che stabiliscono strategie di emergenza e procedure di risposta e di ripristino;
• e. prove efficaci ( effective testing ) della progettazione e dell’efficienza operativa dei piani;
• f. programmi di sensibilizzazione e formazione sulla BCM;
• g. piani di comunicazione per informare la dirigenza e tutte le parti interessate pertinenti, nonché la documentazione relativa alla gestione delle crisi, le misure e una funzione di gestione delle crisi, se del caso (ai sensi dell’articolo 11, paragrafo 7, del DORA).

Le autorità competenti dovrebbero valutare se i piani di continuità operativa, di risposta e di ripristino dell’ente:

• a. definiscano ruoli e responsabilità, fornendo orientamenti chiari in merito a eventuali successioni, e delineino il processo decisionale interno, unitamente alla definizione dei fattori di attivazione;
• b. siano riesaminati per garantire che le strategie di emergenza rimangano coerenti con le operazioni, i rischi e le minacce attuali, i livelli di resilienza, nonché gli obiettivi e le priorità di ripristino;
• c. definiscano le priorità delle azioni di continuità operativa utilizzando un approccio basato sul rischio;
• d. siano sottoposti a test periodici per garantire il rispetto degli obiettivi e delle tempistiche di ripristino; e
• e. comprendano, il test dei servizi forniti da fornitori terzi di servizi, ove applicabile;

Le autorità competenti dovrebbero altresì valutare se i risultati dei test siano documentati e comunicati all’organo di amministrazione.

Valutazione del quadro di gestione dei rischi ICT

Le autorità competenti dovrebbero valutare la conformità dell’ente al DORA e agli orientamenti dell’ABE sulla governance interna in relazione alla governance interna e all’organizzazione della gestione dei rischi ICT. Le autorità competenti dovrebbero valutare se l’organo di amministrazione dell’ente sia ritenuto complessivamente responsabile della gestione del rischio ICT e se definisca, approvi e sorvegli in modo adeguato l’attuazione di tutte le misure relative alle ICT. Le autorità competenti dovrebbero valutare se i membri dell’organo di amministrazione dispongano di conoscenze e competenze sufficienti per comprendere e valutare i rischi ICT e il loro impatto sulle operazioni dell’ente.

Le autorità competenti dovrebbero valutare in che modo i ruoli e le responsabilità relativi a tutte le funzioni legate alle ICT, nonché i meccanismi di governance definiti, siano integrati nel quadro di controllo interno e di governance dell’ente ai fini della gestione del rischio ICT. A tal fine, le autorità competenti dovrebbero valutare se l’ente abbia effettivamente assegnato la responsabilità della gestione e della sorveglianza dei rischi ICT a una funzione di controllo indipendente con accesso diretto e in grado di riferire direttamente all’organo di amministrazione nella sua funzione di sorveglianza, e valutare se l’ente dimostri:

• a. comunicazione chiara, attribuzione e integrazione dei ruoli e delle responsabilità in tutte le funzioni relative alle ICT, comprese le funzioni aziendali e i processi supportati dalle ICT;
• b. dotazione di risorse finanziarie adeguate e sufficienti per soddisfare la resilienza operativa digitale in termini di tutti i tipi di risorse, compresi i programmi di sensibilizzazione pertinenti, la formazione e le competenze in materia di ICT per tutto il personale (ai sensi dell’articolo 5, paragrafo 2, lettera g), del DORA);
• c. un seguito e una risposta adeguati da parte dell’organo di amministrazione alle risultanze critiche degli audit sull’ICT e alle risultanze segnalate a norma dell’articolo 13, paragrafo 5, del DORA.

Le autorità competenti dovrebbero acquisire una conoscenza approfondita del quadro di gestione dei rischi ICT dell’ente e valutare se quest’ultimo disponga di strategie, politiche, procedure, protocolli e strumenti ICT sufficienti e adeguati, compresi i livelli di tolleranza, per affrontare in modo efficace, efficiente ed esaustivo i rischi ICT rilevanti, in linea con il DORA. A tal fine, le autorità competenti dovrebbero prendere in considerazione, ove applicabile:

• a. l’adeguatezza e l’efficacia delle politiche (³⁶ ), dei processi e delle procedure di gestione dei rischi ICT dell’ente, che comprendono, tra l’altro, la gestione dei servizi ICT forniti da terzi,

(³⁶ ) In conformità del DORA, tali politiche dovrebbero includere almeno la politica sulla sicurezza delle informazioni, le politiche di backup, la politica di gestione delle risorse ICT, la politica in materia di crittografia e cifratura, la politica di gestione delle chiavi crittografiche, la politica di gestione dei progetti ICT, la politica relativa all’acquisizione, allo sviluppo e alla manutenzione dei sistemi ICT, la politica sulle risorse umane, la politica sulla sicurezza fisica e ambientale, la politica di gestione degli incidenti relativi alle ICT e la politica sull’uso dei servizi ICT a supporto di funzioni essenziali o importanti forniti da fornitori terzi di servizi ICT. l’individuazione e la risposta agli incidenti relativi alle ICT, la gestione delle valutazioni dei rischi ICT, la cifratura e la crittografia, la sicurezza delle operazioni ICT, la sicurezza della rete, il controllo degli accessi, nonché la verifica che tali elementi siano stati approvati dall’organo di amministrazione e comunicati a tutte le parti interessate (ai sensi dell’articolo 14 del DORA);

• b. l’adeguatezza del livello di tolleranza per i rischi ICT dell’ente e la tolleranza d’impatto per le interruzioni ICT (ai sensi dell’articolo 6, paragrafo 8, lettera b), DORA);
• c. l’adeguatezza e l’attuazione della strategia di resilienza operativa digitale dell’ente, compreso il suo allineamento con la strategia aziendale;
• d. la coerenza della strategia relativa ai rischi ICT di terze parti, compresa, ove disponibile, la strategia basata su una varietà di fornitori in materia di ICT, con la strategia aziendale complessiva e il quadro di gestione dei rischi ICT;
• e. rischio residuo derivante dai rischi individuati dall’ente in relazione agli accordi contrattuali relativi all’utilizzo dei servizi ICT a supporto di funzioni essenziali o importanti;
• f. il rischio residuo derivante dai rischi individuati dell’ente in relazione ai progetti ICT che incidono su funzioni essenziali o importanti, segnalati all’organo di amministrazione, nonché in relazione all’acquisizione, allo sviluppo e alla manutenzione dei sistemi ICT e alle modifiche apportate agli stessi;
• g. validità e completezza del programma di test di resilienza operativa digitale;
• h. l’andamento e l’entità dei principali incidenti e risultanze relativi alle ICT segnalati all’organo di amministrazione a norma dell’articolo 17, paragrafo 3, lettera e), e dell’articolo 13, paragrafo 5, del DORA;
• i. controlli sui rischi ICT, specifici per i rischi ICT rilevanti identificati;
• j. segnalazione tempestiva degli aspetti di gestione dei rischi ICT all’organo di amministrazione e all’alta dirigenza;
• k. copertura dell’audit interno e relative risultanze.

Nel valutare la gestione dei rischi ICT, le autorità competenti dovrebbero prestare particolare attenzione alla gestione dei rischi ICT di terzi, compreso il livello di concentrazione dell’ente nei confronti dei fornitori terzi di servizi ICT. A tal fine, le autorità competenti dovrebbero garantire una stretta cooperazione con le autorità di sorveglianza capofila dei fornitori terzi critici di servizi ICT (CTPP), in conformità degli orientamenti congiunti delle autorità europee di vigilanza (³⁷ ), nel caso in cui l’ente oggetto di valutazione riceva servizi ICT da un CTPP. Le autorità competenti dovrebbero inoltre valutare l’efficacia del ruolo specifico istituito dall’ente, o del membro designato dell’alta dirigenza, in materia di monitoraggio degli accordi con terzi nel settore delle ICT.

(³⁷ ) Orientamenti congiunti delle autorità europee di vigilanza sulla cooperazione in materia di sorveglianza e sullo scambio di informazioni tra le autorità europee di vigilanza e le autorità competenti ai sensi del regolamento (UE) 2022/2554 (JC/2024/36).

Le autorità competenti dovrebbero valutare se la funzione di audit interno sia efficace e possieda conoscenze, capacità e competenze sufficienti per sottoporre ad audit il quadro di gestione dei rischi ICT dell’ente, verificando se:

• a. il quadro di gestione dei rischi ICT sia sottoposto ad audit con il livello di qualità, dettaglio e frequenza richiesto e in modo commisurato al profilo di rischio ICT dell’ente;
• b. il piano di audit preveda audit sui rischi ICT rilevanti individuati dall’ente, comprese revisioni indipendenti dei piani di risposta e di ripristino relativi alle ICT;
• c. le risultanze critiche degli audit sull’ICT siano verificate tempestivamente e rettificate, compresa la segnalazione all’organo di amministrazione;
• d. le risultanze degli audit sull’ICT, incluse le azioni concordate, siano formalmente monitorate e le relazioni relative ai progressi siano periodicamente riesaminate dall’alta dirigenza e/o dal comitato per il controllo interno.

6.4.4. Valutazione del rischio reputazionale

Le autorità competenti dovrebbero valutare il rischio reputazionale a cui è esposto l’ente, avvalendosi delle conoscenze acquisite dai titoli da 4 a 6.2. Tale valutazione dovrebbe altresì riguardare l’assetto generale relativo al rischio reputazionale, garantendo la possibilità per l’ente di gestire efficacemente qualsiasi evento che possa nuocere alla reputazione. Ai fini di tale valutazione, le autorità competenti dovrebbero evitare il doppio conteggio di aspetti già presi in considerazione nell’ambito della valutazione del rischio giuridico (sezione 6.4.2.1).

Nel valutare la pertinenza del rischio reputazionale, le autorità competenti dovrebbero tenere conto delle dimensioni dell’ente, nonché della natura, dell’ampiezza e della complessità dei suoi servizi, delle sue attività e delle sue operazioni (ad esempio, strumenti di capitale quotati

• o debiti o partecipazione ai mercati interbancari).

Le autorità competenti dovrebbero prendere in considerazione i fattori interni ed esterni o gli eventi che potrebbero dar luogo a problemi reputazionali, esclusi gli eventi che danno luogo a procedimenti giudiziari. Per gli enti appartenenti alle categorie 1 e 2, le autorità competenti dovrebbero prendere in considerazione, nella propria valutazione, tutti i seguenti indicatori:

• a. copertura negativa su media e media sociali, nonché iniziative delle associazioni dei consumatori che potrebbero compromettere la percezione pubblica e la reputazione dell’ente;
• b. il numero dei reclami dei clienti, le modifiche apportate a tali reclami o la perdita improvvisa di clienti o investitori;
• c. eventi negativi che interessano i pari dell’ente quando questi vengono associati dal pubblico all’intero settore finanziario o gruppo di enti;
• d. la reputazione delle persone coinvolte nella gestione dell’ente o con una partecipazione qualificata nell’ente;
• e. coinvolgimento o attività in settori o giurisdizioni altamente esposti a rischi di ML/TF, oppure con soggetti associati a un elevato rischio di ML/TF;
• f. coinvolgimento o operatività in settori o giurisdizioni e/o con controparti fortemente esposte a questioni rilevanti o controversie pubbliche relative a fattori ESG, inclusi, a titolo esemplificativo ma non esaustivo, i fattori ambientali;
• g. l’impatto sulla reputazione degli incidenti relativi alle ICT, come registrati dall’ente in conformità del regolamento delegato (UE) 2024/1772 della Commissione (³⁸ );
• h. altri indicatori di «mercato», se disponibili (ad esempio, declassamenti o variazioni del prezzo delle azioni durante l’anno).

Le autorità competenti dovrebbero valutare la significatività dell’esposizione al rischio reputazionale dell’ente e la sua interconnessione con gli altri rischi, avvalendosi delle relative valutazioni del rischio (comprese quelle di altre autorità di vigilanza) al fine di individuare eventuali effetti secondari in entrambe le direzioni.

Nel contesto dell’analisi del rischio operativo, le autorità competenti dovrebbero considerare la pertinenza e la significatività delle esposizioni dell’ente al rischio di ML/TF dal punto di vista prudenziale e nell’ambito del rischio operativo. A questo proposito, le autorità competenti dovrebbero avvalersi dell’input pertinente offerto dalle autorità di vigilanza in materia di AML/CFT per integrare le loro risultanze della vigilanza in corso e valutare se diano luogo a preoccupazioni prudenziali relative al rischio di ML/TF.

Le autorità competenti dovrebbero tenere presente che ogni ente può essere esposto a questo rischio, indipendentemente dalle sue dimensioni e dalla sua solidità finanziaria. Pertanto, dovrebbe essere prestata sufficiente attenzione anche agli enti che sono considerati finanziariamente solidi e godono di una buona reputazione, poiché potrebbero costituire un obiettivo specifico per scopi di ML/TF. Si dovrebbe inoltre prestare attenzione agli enti che sono particolarmente abili nell’attirare nuovi clienti / espandere la propria quota di mercato, soprattutto se non si avvalgono di canali di distribuzione tradizionali, poiché ciò potrebbe essere dovuto alla debolezza dei controlli di adeguata verifica dei clienti in fase di acquisizione.

Le autorità competenti dovrebbero condividere informazioni pertinenti sui problemi individuati relativi al rischio operativo che possono dar luogo a rischi di ML/TF, rischi di mancata applicazione e di evasione delle sanzioni finanziarie mirate, nonché problematiche quali ad esempio lacune nel sistema ICT dell’ente o nel sistema dei controlli interni con autorità di vigilanza in materia di AML/CFT.

Le autorità competenti dovrebbero valutare se l’ente abbia messo in atto misure, strategie, processi e meccanismi adeguati ai fini della gestione del rischio reputazionale. In particolare, le autorità competenti dovrebbero tenere in considerazione se:

(³⁸ ) Regolamento delegato (UE) 2024/1772 della Commissione, del 13 marzo 2024, che integra il regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio per quanto riguarda le norme tecniche di regolamentazione che specificano i criteri per la classificazione degli incidenti connessi alle TIC e delle minacce informatiche, stabiliscono le soglie di rilevanza e specificano i dettagli delle segnalazioni di gravi incidenti, C/2024/1519 (GU L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

• a. l’ente ha formalizzato le politiche e i processi in atto per l’individuazione, la gestione e il monitoraggio di tale rischio, compreso un solido codice di condotta, e se tali politiche e processi sono proporzionati alle sue dimensioni e alla sua pertinenza nel sistema;
• b. l’ente affronta tale rischio in modo precauzionale, tra l’altro introducendo metriche e strumenti di monitoraggio adeguati, inserendo nei piani di emergenza le potenziali criticità relative alla reputazione, organizzando sessioni di formazione e sensibilizzazione in materia e mettendo a frutto le esperienze acquisite;
• c. l’ente effettua prove di stress o analisi degli scenari per valutare gli effetti secondari dei rischi reputazionali (ad es. costi di funding e liquidità, operazioni di cartolarizzazione, accesso al servizio bancario corrispondente);
• d. l’ente si adopera per tutelare il proprio marchio attraverso strumenti di monitoraggio dei media e dei media sociali, protocolli per contrastare la disinformazione e la pubblicità negativa, nonché campagne di comunicazione tempestive;
• e. l’ente considera l’impatto potenziale dei suoi piani strategici e operativi e, più in generale, del suo comportamento sulla propria reputazione.

6.4.5. Resilienza operativa

Le autorità competenti dovrebbero formarsi una visione olistica della capacità dell’ente di svolgere funzioni essenziali o importanti in caso di interruzioni delle operazioni (livello di resilienza operativa), un risultato che deriva da una gestione efficace del rischio operativo, tenendo conto delle dimensioni dell’ente, del suo modello di business e del suo profilo di rischio complessivo. A tal fine, le autorità competenti dovrebbero avvalersi delle valutazioni già effettuate in materia di gestione del rischio operativo, continuità operativa, capacità di gestione del cambiamento, servizi di terzi e ICT su cui l’ente fa affidamento, al fine di valutare in modo olistico se tali elementi, nel loro insieme, contribuiscano a rafforzare la resilienza operativa dell’ente. Le autorità competenti dovrebbero inoltre valutare se l’ente attui in modo coerente e coordinato il proprio quadro di gestione dei rischi, i piani di continuità operativa, la gestione dei soggetti terzi (già valutata nel contesto del DORA e degli orientamenti dell’ABE emanati ai sensi dell’articolo 74, paragrafo 3, della direttiva 2013/36/UE in materia di dispositivi, processi e meccanismi di governance interna) e i quadri di risanamento e risoluzione. Inoltre le autorità competenti dovrebbero valutare se l’ente abbia individuato in modo adeguato le interconnessioni e le interdipendenze interne ed esterne necessarie per lo svolgimento delle sue funzioni essenziali o importanti.

Le autorità competenti dovrebbero valutare l’attenzione prestata dall’organo di amministrazione e dall’alta dirigenza alla capacità dell’ente di reagire alle interruzioni delle operazioni e di riprendersi da esse, partendo dal presupposto che tali interruzioni si verificheranno. A tale scopo, le autorità competenti dovrebbero considerare se:

• a. l’organo di amministrazione svolga un ruolo attivo nel definire un’ampia comprensione del metodo della resilienza operativa in tutto l’ente e nel monitorare l’efficacia del metodo della resilienza operativa dell’ente;
• b. siano fornite relazioni tempestive sulla resilienza operativa dell’ente, a sostegno della funzione di vigilanza dell’organo di amministrazione, in particolare quando le carenze significative individuate potrebbero compromettere lo svolgimento delle funzioni essenziali
• o importanti dell’ente.

6.4.6. Sintesi delle risultanze, del punteggio e delle misure di vigilanza

A seguito della valutazione di cui sopra, le autorità competenti dovrebbero formulare un giudizio sul rischio operativo dell’ente. Detto giudizio dovrebbe riflettersi in una sintesi delle risultanze, accompagnata da un punteggio di rischio assegnato sulla scorta delle considerazioni di cui alla tabella 10. Qualora, in base alla rilevanza di alcune sottocategorie di rischio, l’autorità competente decida di valutare e attribuire un punteggio alle singole sottocategorie, le indicazioni fornite in questa tabella dovrebbero essere applicate, per quanto possibile, per analogia.

Tabella 10. Considerazioni di vigilanza per l’assegnazione di un punteggio per il rischio operativo

La tabella seguente presenta un elenco non esaustivo delle misure di vigilanza che le autorità competenti possono adottare in caso di carenze individuate nel quadro di gestione del rischio operativo e nella resilienza operativa dell’ente (tenendo conto della stretta interconnessione tra resilienza operativa e gestione del rischio operativo). Le autorità competenti dovrebbero decidere in merito al tipo di misura in base alla sua efficacia nel porre rimedio alla specifica carenza individuata. Le autorità competenti possono applicare misure di vigilanza aggiuntive (comprese misure quantitative ai sensi dell’articolo 104, paragrafo 1, lettera a), della direttiva 2013/36/UE) o una loro combinazione con quelle elencate nella tabella seguente, se queste sono ritenute più adeguate per far fronte alle carenze individuate. In caso di violazioni del DORA, le autorità competenti dovrebbero prendere in considerazione le misure correttive e di riparazione applicabili previste dall’articolo 50 del DORA.

Tabella 11. Elenco indicativo e non esaustivo delle misure di vigilanza derivanti dalla valutazione del rischio operativo e della resilienza operativa Potenziali misure di vigilanza che le autorità competenti possono adottare ai sensi dell’articolo 104, paragrafo 1, lettere b), d), e), f), j), l), m) e n) della direttiva 2013/36/UE e dell’articolo 50 del regolamento (UE) 2022/2554 – Le autorità competenti possono imporre all’ente di: A. coinvolgere in modo più attivo l’organo di amministrazione o i suoi comitati nelle decisioni in materia di gestione del rischio operativo; B. migliorare i sistemi di misurazione del rischio operativo; C. rafforzare i controlli sui processi operativi, tra cui l’individuazione, il monitoraggio, la risposta e il ripristino; D. migliorare il quadro di governance operativa; E. migliorare la segnalazione del rischio operativo all’organo di amministrazione e all’alta dirigenza; F. elaborare e attuare piani d’azione correttivi per far fronte alle carenze; G. limitare taluni accordi con soggetti terzi, in particolare per quanto riguarda funzioni essenziali o importanti; H. migliorare le prove di stress e l’analisi degli scenari del rischio operativo; I. attuare misure operative più rigorose; J. potenziare i piani di continuità operativa, di risposta e di ripristino; K. migliorare la gestione del rischio operativo correlato ai rischi ESG, in particolare ai rischi ambientali, eventualmente sulla base di una o più delle azioni sopra elencate.