Gestione dei rischi TIC: comprendere le Linee guida EBA/GL/2019/04 e il loro impatto sugli enti finanziari

Un quadro armonizzato per una gestione efficace dei rischi TIC

Le Linee guida EBA/GL/2019/04 mirano ad armonizzare le pratiche di gestione dei rischi TIC all’interno del mercato unico europeo. Si rivolgono agli enti finanziari, inclusi i PSP (ai sensi della DSP2) e gli enti di credito o le imprese di investimento definiti dal Regolamento (UE) n. 575/2013. Queste linee guida definiscono il rischio TIC come il rischio di perdita derivante da una violazione della riservatezza, un fallimento dell’integrità o della disponibilità dei sistemi e dei dati, o ancora da un’incapacità di adattare le tecnologie alle evoluzioni delle esigenze aziendali. Tale rischio include anche minacce esterne, come gli attacchi informatici, e vulnerabilità interne, come una sicurezza fisica inadeguata.

Il quadro proposto si basa su otto pilastri fondamentali: proporzionalità, governance, gestione dei rischi TIC, sicurezza delle informazioni, gestione delle operazioni TIC, gestione dei progetti e dei cambiamenti TIC, continuità operativa e, per i PSP, gestione delle relazioni con gli utenti dei servizi di pagamento. Questi pilastri, applicati secondo il principio di proporzionalità, tengono conto della dimensione, della complessità e dei rischi specifici di ciascun ente.

Proporzionalità e governance: un approccio su misura

Il principio di proporzionalità garantisce che i requisiti si adattino alla dimensione e alla complessità degli enti. Una piccola impresa di investimento non avrà gli stessi obblighi di una grande banca, ma tutte devono implementare una governance solida. Ciò include una strategia TIC chiara, piani d’azione per raggiungere gli obiettivi strategici e una ripartizione precisa delle responsabilità all’interno degli organi di gestione. Gli enti devono inoltre garantire l’efficacia delle misure di gestione dei rischi, anche nel contesto dell’esternalizzazione, definendo contratti e accordi di livello di servizio rigorosi.

Un quadro di gestione dei rischi TIC robusto

La gestione dei rischi TIC richiede un approccio strutturato. Gli enti devono mappare i loro attivi informativi, identificare e classificare i rischi in base alla loro criticità e implementare misure per ridurli a livelli accettabili. Una funzione di controllo indipendente, distinta dalle operazioni TIC, ha il compito di supervisionare questo quadro e di riferire direttamente all’organo di direzione. Parallelamente, l’audit interno esamina in modo obiettivo la conformità delle attività TIC alle politiche interne e ai requisiti normativi.

Sicurezza delle informazioni e operazioni TIC

La sicurezza delle informazioni è al centro delle linee guida. Gli enti devono adottare una politica di sicurezza che definisca i principi per proteggere la riservatezza, l’integrità e la disponibilità dei dati. Ciò include controlli di accesso logici, misure di sicurezza fisica per proteggere i locali e i centri dati, e programmi di sensibilizzazione per il personale. Parallelamente, la gestione delle operazioni TIC si basa su processi documentati, piani di backup e una vigilanza rigorosa del ciclo di vita degli attivi TIC.

Progetti, cambiamenti e continuità operativa

I progetti TIC devono essere supportati da una governance chiara, con processi per valutare, testare e approvare i cambiamenti prima della loro messa in produzione. La continuità operativa, invece, si basa su piani di intervento e di ripristino testati regolarmente, nonché su strategie di comunicazione di crisi efficaci. Queste misure mirano a minimizzare le interruzioni e a garantire la resilienza dei servizi.

Un’attenzione particolare per i PSP

Per i Prestatori di servizi di pagamento (PSP), le linee guida EBA includono requisiti specifici, come la possibilità per gli utenti di disattivare alcune funzionalità di pagamento, ricevere avvisi sulle transazioni e beneficiare di un’assistenza trasparente. Queste misure rafforzano la fiducia degli utenti nei servizi di pagamento.

L’integrazione nel diritto francese: il decreto del 25 febbraio 2021

In Francia, il decreto del 25 febbraio 2021 ha integrato le Linee guida EBA/GL/2019/04 nel Codice monetario e finanziario, attraverso il Titolo VI bis (articoli 270-1 a 270-5) del decreto del 3 novembre 2014. Queste disposizioni, applicabili dal 28 giugno 2021, rafforzano il controllo prudenziale delle imprese soggette da parte dell’ACPR. Esse impongono:

• Una strategia informatica allineata agli obiettivi aziendali, con risorse sufficienti per le operazioni, la sicurezza e la continuità.
• Una gestione strutturata del rischio informatico, che includa l’identificazione, la valutazione, la mitigazione e il monitoraggio dei rischi, in conformità ai livelli di controllo interno definiti dal decreto.
• Una politica di sicurezza del sistema informativo, approvata dai dirigenti e che includa misure fisiche e logiche, nonché un programma annuale di sensibilizzazione.
• Processi validati per la gestione delle operazioni informatiche, con un rilevamento e una gestione efficace degli incidenti.
• Un quadro per la conduzione dei progetti TIC, che garantisca un controllo rigoroso delle acquisizioni, degli sviluppi e dei cambiamenti informatici.

Questi requisiti sottolineano la crescente responsabilità dei dirigenti e degli organi di vigilanza nella gestione dei rischi informatici, segnando un’evoluzione significativa delle pratiche di governance.

Perché le linee guida EBA sono così importanti?

In un contesto di digitalizzazione accelerata e di crescenti minacce informatiche, le Linee guida EBA/GL/2019/04 offrono un quadro essenziale per rafforzare la resilienza degli enti finanziari. Esse consentono non solo di rispondere alle aspettative dei regolatori, ma anche di proteggere i dati dei clienti e di garantire la continuità dei servizi. In Francia, il decreto del 25 febbraio 2021 radica questi principi nel diritto nazionale, imponendo alle imprese soggette un approccio proattivo e strutturato.

Per gli enti, la sfida è duplice: conformarsi ai requisiti normativi e ottimizzare i propri processi interni. Ciò richiede investimenti in tecnologie, formazione del personale e una governance rafforzata. A lungo termine, questi sforzi si tradurranno in una maggiore resilienza ai rischi TIC e in una fiducia accresciuta da parte dei clienti e dei regolatori.

In conclusione, le Linee guida EBA/GL/2019/04, congiunte al decreto del 25 febbraio 2021, rappresentano una tappa decisiva nella modernizzazione della gestione dei rischi TIC. Esse spingono gli enti finanziari ad adottare un approccio strategico e integrato, essenziale per navigare in un ambiente digitale in continua evoluzione. Per i professionisti del settore, si tratta di un’opportunità per ripensare le proprie pratiche e rafforzare la propria posizione in un mercato sempre più esigente.