Puoi esternalizzare quasi tutto; la responsabilità, mai. Progettiamo e rivediamo gli accordi di outsourcing del tuo ente regolamentato —compreso il capitolo TIC ai sensi di DORA— perché affidarti a dei fornitori non ti lasci senza risposte davanti all’autorità di vigilanza.
Vuoi esternalizzare (o l’hai già fatto senza le carte in regola)?
Raccontaci quali funzioni hai affidato a terzi e ti diciamo quali contratti, registri e comunicazioni mancano.
Dall’inventario dei fornitori al piano di uscita: sei servizi perché ogni delega abbia dietro un contratto, un controllo e delle evidenze.
Applicabile da gennaio 2025: adeguiamo i tuoi contratti tecnologici alle clausole obbligatorie dell’art. 30, costruiamo il registro delle informazioni e mettiamo ordine nella gestione del rischio di terze parti TIC.
La delega fatta bene di una funzione di controllo: mandato scritto, accesso pieno alle informazioni, reporting diretto all’organo di amministrazione e prove continue che il controllo funziona.
Il responsabile della protezione dei dati come funzione esternalizzata: indipendenza, risorse e coordinamento con il resto dei fornitori.
Inseriamo fornitori e deleghe nella tua mappa dei rischi, con indicatori, gestione degli incidenti e revisione periodica.
Ciò che esternalizzi deve risultare nel programma di attività e sostenere la valutazione della CNMV sulla sufficienza delle risorse.
Revisione indipendente dei tuoi accordi critici: contratto firmato, esecuzione reale e piani di uscita messi alla prova.
Quattro enti, quattro dipendenze diverse da terzi. Tutte legittime; nessuna difendibile senza contratto, visibilità e un piano B.
«Siamo in tre: amministrazione, tecnologia e parte della compliance sono all’esterno. Volevamo essere sicuri che questa struttura si possa ancora difendere come dotata di risorse sufficienti.»
«Tutta la nostra operatività gira su un unico fornitore cloud. Con DORA abbiamo scoperto che il contratto non prevedeva né audit, né localizzazione dei dati, né una strategia di uscita.»
«Il nostro fornitore tecnologico a sua volta subappalta ad altri due. Ci siamo resi conto di non sapere chi toccasse davvero i nostri dati né da quale Paese.»
«Ogni area ingaggiava fornitori per conto suo. Il primo passo è stato costruire un inventario unico e classificare cosa fosse davvero critico o importante.»
Esternalizzare è legale, diffuso e spesso la scelta migliore. Ciò che l’autorità di vigilanza non perdona è la delega senza un contratto serio, senza visibilità e senza via d’uscita.
Delegare e disinteressarsi: la funzione viaggia, la responsabilità no. Se il fornitore sbaglia, il fascicolo è tuo. L’autorità di vigilanza esige un controllo effettivo e un monitoraggio continuo, non un contratto firmato e dimenticato in un cassetto.
Contratti privi di clausole: senza diritti di accesso, informazione e audit —anche per l’autorità di vigilanza—, senza livelli di servizio e senza piano di uscita, l’accordo è indifendibile. Con i fornitori TIC, inoltre, DORA impone un contenuto contrattuale obbligatorio (art. 30).
La catena invisibile: il tuo fornitore subappalta, il subappaltatore subappalta a sua volta e nessuno nel tuo ente sa più dove venga trattato cosa. Senza visibilità sulla catena non c’è un controllo da difendere.
| Categoria | Cosa comprende | Cosa richiede la normativa |
|---|---|---|
| Delegabile a condizioni | Funzioni critiche o importanti: tecnologia, back office, amministrazione e funzioni di controllo nei termini ammessi | Contratto scritto, controllo effettivo e monitoraggio continuo, diritti di accesso e audit, piano di uscita e comunicazione all’autorità di vigilanza ove previsto |
| Non delegabile | La responsabilità dell’ente e del suo organo di amministrazione, e la direzione effettiva dell’attività | L’esternalizzazione non può svuotare l’ente di sostanza né trasferire a un terzo i suoi obblighi verso i clienti e l’autorità di vigilanza |
| Fornitori TIC ai sensi di DORA | Servizi tecnologici che sostengono funzioni essenziali o importanti: cloud, software, dati, comunicazioni | Da gennaio 2025: registro delle informazioni sui fornitori, clausole contrattuali obbligatorie dell’art. 30 e gestione del rischio di terze parti |
Inventariamo i tuoi accordi con terzi, classifichiamo ciò che è critico, rinegoziamo i contratti che zoppicano, costruiamo il registro delle informazioni DORA e lasciamo testati i piani di uscita. Perché delegare resti un vantaggio e non un fianco scoperto.
In termini generali, quella il cui malfunzionamento o la cui carenza comprometterebbe seriamente il rispetto continuativo delle condizioni dell’autorizzazione, i risultati finanziari o la solidità e la continuità dei servizi dell’ente.
L’etichetta conta perché attiva il regime rafforzato: contratto con contenuto minimo, controllo intensificato, comunicazione all’autorità di vigilanza a seconda dei casi e piano di uscita. Classificare bene —con criteri scritti— è il primo controllo del sistema.
In linea generale sì, soprattutto negli enti di dimensioni minori, dove la proporzionalità lo giustifica. Le condizioni: un mandato scritto con ambito chiaro, accesso pieno del prestatore alle informazioni, reporting diretto all’organo di amministrazione e vigilanza dell’ente sul servizio.
Ciò che non si trasferisce mai è la responsabilità: la compliance resta tua. È così che la strutturiamo nel nostro servizio di compliance officer esterno, e in modo analogo con il DPO esterno.
I blocchi imprescindibili:
Se il servizio è TIC e sostiene funzioni essenziali o importanti, DORA aggiunge clausole obbligatorie specifiche (art. 30).
Le esternalizzazioni di funzioni critiche o importanti devono essere portate a conoscenza dell’autorità di vigilanza nei termini della normativa applicabile al tuo tipo di ente. In una nuova autorizzazione, inoltre, la ripartizione tra risorse interne ed esternalizzate fa parte del programma di attività.
La regola pratica: se la delega cambia la tua struttura di risorse, l’autorità di vigilanza si aspetta di saperlo prima di scoprirlo in un’ispezione. E il registro DORA rende visibile d’ufficio buona parte della tua mappa TIC.
È il classico punto cieco. Il tuo contratto deve regolare se il fornitore può subappaltare, a quali condizioni e con quale obbligo di informarti, e trasferire ai subappaltatori rilevanti i tuoi diritti di accesso e audit.
Per i servizi TIC, il registro delle informazioni ai sensi di DORA obbliga a riportare anche le catene di subappalto rilevanti: se oggi non sai chi c’è dietro il tuo fornitore, quel registro non puoi compilarlo con il dovuto rigore.
Il Regolamento (UE) 2022/2554 (DORA), applicabile da gennaio 2025, rende la resilienza operativa digitale un obbligo trasversale del settore finanziario: gestione del rischio TIC, incidenti, test e —ciò che incide di più sull’outsourcing— un regime specifico per il rischio di terze parti TIC.
Le sue due colonne portanti: il registro delle informazioni di tutti gli accordi con i fornitori TIC e le clausole contrattuali obbligatorie dell’art. 30. Lo approfondiamo nei servizi DORA.
Un inventario strutturato di tutti i tuoi accordi con fornitori di servizi TIC, che identifica quali funzioni sostiene ciascuno, la sua criticità e le catene di subappalto rilevanti. Deve essere mantenuto aggiornato e a disposizione dell’autorità di vigilanza.
Costruito bene, è più di un obbligo: è la fotografia della tua reale dipendenza tecnologica, la base per dare priorità alla rinegoziazione dei contratti e ai piani di uscita. Costruito male, è la prima incoerenza che noterà chi lo esamina.
Una strategia realistica per riportare la funzione all’interno dell’ente o migrarla a un altro fornitore se quello attuale non funziona, è inadempiente o scompare: scenari, responsabili, tempi, dati da recuperare e costi stimati. Per le funzioni critiche non è facoltativo.
Lo standard dell’autorità di vigilanza sale ogni anno: dall’avere un documento al saper dimostrare che il piano è eseguibile —dipendenze individuate, alternative sondate e, per quanto possibile, elementi testati—. Una dipendenza irreversibile da un solo fornitore è, di per sé, un rischio da spiegare.
Tre fasi e dieci passi per passare dall’outsourcing improvvisato a un programma governato: sapere cosa hai, contrattarlo bene e controllarlo per tutta la sua durata.
Riuniamo tutti gli accordi con terzi in un unico repository —compresi quelli ereditati e quelli di gruppo— e classifichiamo cosa è funzione critica o importante e quale servizio TIC rientra in DORA. Senza mappa non c’è programma.
Due diligence sul fornitore, negoziazione delle clausole richieste dalla normativa —accesso, audit, subappalto, uscita, art. 30 DORA quando serve— e comunicazioni all’autorità di vigilanza che risultino dovute. Il contratto è la tua principale evidenza.
Indicatori di servizio, gestione degli incidenti, diritti di audit esercitati davvero, registro delle informazioni aggiornato e piani di uscita rivisti. Il programma si difende con ciò che fai ogni trimestre, non con ciò che hai firmato una volta.
Se cerchi di delegare funzioni concrete con tutte le garanzie, guarda compliance officer esterno, DPO esterno e l’adeguamento completo a DORA.
I 10 controlli di condotta che la CNMV si aspetta di vedere in funzione in una EAF o in una ESI, con l’evidenza tipica di ciascuno. Ideale come autodiagnosi trimestrale con il tuo team.
Niente spam. La tua email viene usata solo per inviarti questa checklist e, di tanto in tanto, aggiornamenti normativi rilevanti.
La checklist si sta scaricando in questo momento. Se il download non parte automaticamente, clicca qui.
Dopo averlo letto, ti serve aiuto per mettere in pratica alcuni dei passaggi? Scrivici direttamente:
È il vocabolario che usano la normativa, le autorità di vigilanza e —sempre più— i tuoi stessi fornitori quando negoziano. Conviene arrivare a quel tavolo sapendolo.
Funzione il cui malfunzionamento comprometterebbe seriamente l’autorizzazione, i risultati o la continuità dei servizi dell’ente.
Accordo con cui un terzo svolge un processo, un servizio o un’attività che l’ente altrimenti eseguirebbe da sé.
L’ente e il suo organo di amministrazione rispondono nei confronti dei clienti e dell’autorità di vigilanza esattamente come se la funzione fosse interna.
Strategia per riportare all’interno o migrare la funzione se il fornitore viene meno o l’accordo termina: scenari, tempi, dati e alternative.
I terzi ai quali il tuo fornitore a sua volta delega. Senza visibilità e senza trasferimento dei diritti, il controllo evapora.
Il regolamento sulla resilienza operativa digitale del settore finanziario, applicabile da gennaio 2025. Riordina il rischio di terze parti TIC.
Inventario strutturato di tutti gli accordi TIC, con funzioni sostenute, criticità e catene di subappalto.
Chi presta servizi digitali e di dati in modo continuativo: cloud, software, comunicazioni, elaborazione.
Facoltà dell’ente, dei suoi revisori e dell’autorità di vigilanza di accedere, ispezionare e sottoporre ad audit il fornitore e il suo servizio.
Criteri scritti per individuare le funzioni critiche o importanti e i servizi TIC essenziali, applicati in modo coerente.
Politica di esternalizzazione, inventario classificato e analisi di criticità per ogni accordo.
Valutazione preventiva del fornitore, proporzionata alla criticità: solidità finanziaria, capacità, sicurezza, concentrazione.
Report di due diligence, questionari compilati e approvazione al livello adeguato.
Contenuto minimo completo: livelli di servizio, accesso e audit, dati, subappalto, continuità e uscita; art. 30 DORA per i servizi TIC.
Contratti firmati con le clausole richieste e matrice di verifica dei contenuti.
Controllo effettivo durante tutta la vita dell’accordo: indicatori, incidenti, revisioni e audit effettuati.
Cruscotti dei fornitori, verbali di monitoraggio e relazioni di audit sul prestatore.
Piani di uscita realistici per le funzioni critiche e gestione attiva del rischio di concentrazione e dipendenza.
Piani di uscita documentati e rivisti, alternative individuate e test effettuati.
Cinque frasi che sentiamo spesso nella prima diagnosi. Ognuna è un potenziale rilievo; insieme, un fascicolo.
Delegare funzioni riordina il controllo interno, l’antiriciclaggio e persino l’inquadramento delle tue risorse nell’autorizzazione. Queste pagine completano il quadro per decidere cosa portare fuori e come governarlo.
La consulenza legale ricorrente come servizio esterno: cosa copre, come si struttura e cosa guadagna un ente di piccole dimensioni.
Dove si collocano le funzioni esternalizzate nel tuo modello di controllo, perché delegare non rompa l’architettura.
Il versante dell’antiriciclaggio: cosa può appoggiarsi a soggetti esterni e cosa richiede una presenza interna.
Le strutture più leggere del settore sono anche le più dipendenti dai fornitori: ecco come si conciliano.
Per funzioni concrete, guarda il compliance officer esterno e il DPO esterno; per il fronte tecnologico, l’adeguamento a DORA; e se la mappa delle risorse incide sulla tua licenza, l’autorizzazione come impresa di investimento (ESI).
Descrivici la tua mappa dei fornitori —tecnologia, back office, compliance, cloud— e rivediamo con te quali accordi sono funzioni critiche, cosa richiede ciascuno e dove sta il tuo rischio.
Gli enti regolamentati —imprese di investimento (ESI), società di gestione, istituti di pagamento ed enti creditizi— costruiscono oggi la loro operatività su terzi: tecnologia, back office, amministrazione, funzioni di controllo. La normativa non lo vieta; lo condiziona. Il quadro della MiFID II, il Regolamento delegato (UE) 2017/565 e, in Spagna, la Legge 6/2023 e il RD 813/2023 fissano le regole del gioco per le funzioni critiche o importanti, e il Regolamento (UE) 2022/2554 (DORA) aggiunge da gennaio 2025 un regime specifico per i fornitori TIC. Il principio che ordina tutto il resto: il compito si delega, la responsabilità mai.
Una funzione è critica o importante quando il suo malfunzionamento comprometterebbe seriamente il rispetto continuativo delle condizioni dell’autorizzazione, i risultati finanziari o la solidità e la continuità dei servizi. La qualificazione non è retorica: attiva il regime rafforzato —contratto con contenuto minimo, controllo intensificato, comunicazione all’autorità di vigilanza ove previsto e piano di uscita— e spiega perché il primo controllo di ogni programma di outsourcing è una classificazione con criteri scritti. In un ente in fase di autorizzazione, inoltre, la ripartizione tra risorse interne ed esternalizzate deve quadrare con il programma di attività: una struttura svuotata di sostanza non supera la valutazione sulla sufficienza delle risorse.
Quattro condizioni sorreggono qualsiasi delega seria. Contratto scritto con livelli di servizio, diritti di accesso, informazione e audit —per l’ente, i suoi revisori e l’autorità di vigilanza—, regime dei dati, subappalto regolato, continuità e uscita. Controllo effettivo: indicatori, monitoraggio, incidenti e audit esercitati, perché l’autorità di vigilanza valuta ciò che fai durante la vita dell’accordo, non solo ciò che hai firmato. Responsabilità intatta: l’ente e il suo organo di amministrazione rispondono come se la funzione fosse interna, il che richiede una reale capacità di vigilare sul fornitore. E un piano di uscita per ciò che è critico: scenari di reintegro o sostituzione con responsabili, tempi e alternative individuate.
Il rischio cresce a valle: il tuo fornitore delega a un altro, questo a un terzo, e l’ente perde la mappa di chi tratta cosa e da dove. Un contratto ben costruito regola se si può subappaltare, a quali condizioni e con quale dovere di informazione, e trasferisce i diritti di accesso e audit ai subappaltatori rilevanti. In parallelo, le esternalizzazioni di funzioni critiche o importanti si comunicano all’autorità di vigilanza nei termini della normativa di ciascun tipo di ente; la regola pratica che applichiamo con i clienti è semplice: se la delega altera la tua struttura di risorse, meglio che l’autorità di vigilanza lo sappia da te che da un’ispezione.
Da gennaio 2025, DORA sovrappone al regime generale un capitolo tecnologico completo: gestione del rischio di terze parti TIC, registro delle informazioni con tutti gli accordi con i fornitori TIC —funzioni sostenute, criticità e catene di subappalto— e clausole contrattuali obbligatorie (art. 30) per i contratti che sostengono funzioni essenziali o importanti. Per molti enti, l’esercizio DORA ha portato alla luce la realtà della loro dipendenza tecnologica: contratti cloud senza audit, catene opache e uscite impossibili. Il nostro team combina la revisione contrattuale con la costruzione del registro e il suo inserimento nella mappa dei rischi: lo trovi nei servizi DORA, con il supporto della funzione di controllo e rischi e dell’internal audit.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .