DORA, il rischio dei fornitori ICT si governa tra regole e contratti

 

Banche e intermediari finanziari dipendono sempre più da fornitori esterni di servizi tecnologici, quali cloud computing, core banking, sistemi di pagamento, e gran parte del rischio operativo si è spostato fuori dal perimetro aziendale. Un disservizio o un attacco informatico che colpisce il fornitore ricade inevitabilmente sugli enti.

Nel 2025 le autorità europee hanno contato 3.383 incidenti gravi, oltre il 60% nel settore creditizio. Il 29% nasce da un malfunzionamento di un fornitore terzo e circa un terzo ha impatto transfrontaliero. Nei gruppi che condividono la stessa infrastruttura, un solo disservizio può generare decine di incidenti. L'intelligenza artificiale, inoltre, rende sempre più rapido individuare e sfruttare le vulnerabilità delle infrastrutture condivise.

La regolamentazione di settore, in primis il Regolamento DORA in vigore dal gennaio 2025, ribadisce che il ricorso a fornitori esterni non solleva l'istituzione finanziaria dalle proprie responsabilità legali nei confronti delle autorità di vigilanza e verso la clientela.

Per fronteggiare adeguatamente il rischio di terze parti, governance efficace e tutele contrattuali adeguate costituiscono presidi imprescindibili.

Sul primo aspetto, la governance, il consiglio di amministrazione ha la responsabilità finale della gestione del rischio informatico, in quanto approva la politica sui fornitori ed è aggiornato sugli accordi. Servono quindi competenze adeguate all'interno dell'organo, formazione periodica, flussi informativi regolari sui fornitori critici e un responsabile che monitori i contratti, in raccordo con le funzioni di controllo. Non si tratta di previsioni meramente programmatiche in quanto sono previste sanzioni fino a cinque milioni di euro per gli esponenti aziendali e, nei casi più gravi, l'interdizione dalle cariche.

Sul secondo fronte, quello dei rapporti contrattuali con le terze parti, i grandi provider propongono condizioni generali e "addendum DORA" predisposti unilateralmente, che richiamano la norma ma svuotano le tutele. Oggi però esistono regole precise su ciò che il contratto deve contenere, la cui conformità va verificata clausola per clausola.

Tra i molteplici aspetti che il contratto di outsourcing deve disciplinare, il subappalto, le verifiche presso il fornitore e l'exit costituiscono aspetti fondamentali, spesso trascurati o definiti con scarso potere negoziale, che l'ente vigilato è chiamato a contrattualizzare in maniera adeguata al fine di poter governare concretamente il rischio di terze parti.

Prima di firmare il contratto, è necessario verificare la capacità del provider di individuare tutti i possibili subappaltatori. Il fornitore resta responsabile del loro operato e informa l'ente delle modifiche contrattuali sostanziali; se il fornitore le impone comunque, nonostante l'opposizione, l'ente può recedere.

Quanto poi ai diritti di audit, accesso e ispezione degli enti, questi non devono essere impediti o limitati da altri accordi. La clausola deve coprire tutta la catena di subappalto, con preavvisi contenuti e costi fissati in anticipo. Oltre alle certificazioni di terze parti, una soluzione efficiente per riequilibrare i rapporti di forza è rappresentata dagli audit congiunti, condivisi tra più banche clienti dello stesso provider.

L'ente deve, infine, poter terminare l'accordo senza interrompere l'operatività né pregiudicare i clienti. Servono, infatti, un periodo di transizione adeguato, attivabile a prescindere dalla causa di cessazione, la restituzione dei dati in formati aperti con cancellazione certificata e costi definiti in anticipo e l'assistenza del fornitore uscente. Se la transizione pattuita è più breve del tempo di migrazione, il piano di uscita si rivela inefficace.

Governance e tutele contrattuali sono quindi due anelli di un'unica catena: un organo privo delle competenze necessarie difficilmente potrà opporsi consapevolmente a una modifica del subappalto, e un piano di uscita mai testato rischia di fallire quando serve. Per gli intermediari con minore forza negoziale, audit congiunti e clausole standard delle autorità pubbliche possono costituire un rilevante fattore di riequilibrio.