Il Regolamento DORA è entrato in vigore lo scorso 17 gennaio e in questo periodo fornitori ed entità finanziarie si stanno adoperando per adottare tutte le misure necessarie volte all’applicazione della nuova normativa.
Tra gli obiettivi del Digital Operational Resilience Act emerge la garanzia di un solido monitoraggio del rischio ICT di fornitori terzi nel settore finanziario. Per tale ragione, tra le attività che il DORA ascrive alle entità finanziarie per una migliore gestione dei fornitori di servizi ICT, rientrano sicuramente la compilazione, la manutenzione e l’aggiornamento del Registro delle informazioni (ROI).
Indice degli argomenti
Cos’è il ROI
Nel quadro per la gestione dei rischi informatici, il ROI è un documento mantenuto e aggiornato dalle entità finanziarie a livello di entità, su base sub-consolidata e consolidata, in relazione a tutti gli accordi contrattuali sull’uso dei servizi ICT forniti da terzi, distinguendo quelli che si riferiscono a servizi Ict a supporto di funzioni essenziali o importanti dagli altri.
Il ROI è uno strumento di grande importanza sia per le entità finanziarie che per le Autorità competenti e per le ESAs:
- per le entità finanziarie, facilita il monitoraggio del rischio associato alle terze parti, garantendo un controllo continuo di tutte le dipendenze nel settore ICT;
- per le Autorità Competenti, consente una vigilanza efficace sulle entità finanziarie;
- infine, per le ESAs, il ROI è utile ai fini della designazione dei fornitori terzi di servizi ICT critici che saranno soggetti a una supervisione a livello UE.
Come si compila il ROI
Il Regolamento delegato 2024/2956 definisce i requisiti generali per il mantenimento e l’aggiornamento del ROI, ed enuncia il formato e il contenuto dello stesso.
Tra i requisiti generali da tenere in considerazione in fase di compilazione del ROI, il Regolamento Delegato specifica che le entità finanziarie dovranno mantenere le informazioni relative agli accordi contrattuali già cessati per almeno cinque anni dopo la cessazione della fornitura del servizio Ict, nel rispetto dei principi di qualità dei dati, accuratezza, completezza, coerenza, integrità e validità.
Quanto al formato del ROI, il Regolamento delegato obbliga le entità finanziarie ad utilizzare il template di cui all’Allegato I, senza la possibilità di apportare alcuna modifica al template stesso, compilandone ogni campo.
Tra le informazioni da censire all’interno del ROI figurano, tra le altre, quelle relative:
- all’entità finanziaria che mantiene e aggiorna il ROI, nonché alle entità incluse nel perimetro di consolidamento e le branche dell’entità finanziaria;
- ai contratti sottoscritti con i fornitori terzi di servizi ICT;
- ai contratti infragruppo;
- ai fornitori di servizi ICT che sottoscrivono i contratti con l’entità finanziaria;
- ai fornitori diretti di servizi Ict di terzi e sui subappaltatori;
- alla funzione interna destinataria del servizio ICT;
- all’assesment dei fornitori ICT a supporto di funzioni essenziali o importanti.
Le principali difficoltà secondo le entità finanziarie
La mole e la qualità delle informazioni da censire nel ROI rappresentano una difficoltà a cui le entità finanziarie sono andate incontro nella fase di compilazione iniziale.
Infatti, se da un lato alcune delle informazioni richieste sono reperibili nei contratti stipulati con i fornitori terzi di servizi ICT, dall’altro lato, una parte importante delle informazioni non è di così agevole reperimento, dovendosi, in tali casi, coordinarsi internamente e/o con il fornitore stesso.
Le tempistiche e le modalità di trasmissione del ROI
Il ROI sarà trasmesso dalle entità finanziarie a Banca d’Italia: in particolare, le entità finanziarie dovranno presentare un pacchetto di rendicontazione in formato .zip.
Banca d’Italia, una volta ricevuto il ROI relativo a ogni singola entità finanziaria, sarà tenuta a trasmettere quest’ultimo alle ESA entro il 30 aprile.
