1. Premessa
In data 23 settembre 2020, Banca d'Italia ha pubblicato gli aggiornamenti alla Circolare n. 285 del 17 dicembre 2013, recante le "Disposizioni di Vigilanza per le banche" (la "Circolare"), la quale è stata modificata (1) al fine di dare attuazione agli Orientamenti in materia di esternalizzazione dell'European Banking Authority (l'"EBA") ("Guidelines on outsourcing arrangements" - EBA/GL/2019/02) (2).
Inoltre, limitate modifiche di carattere esplicativo sono state effettuate – specialmente nel Capitolo 3 ("Il sistema dei controlli interni") – per assicurare un pieno allineamento con gli Orientamenti sulla governance interna dell'EBA ("Guidelines on internal governance under Directive 2013/36/EU" - EBA/GL/2017/11), a cui le disposizioni della Circolare sono già conformi (3).
Ciò posto, si illustrano, senza pretesa di esaustività, le principali novità della Circolare.
2. Modifiche in materia di esternalizzazione
Come anticipato, la Circolare dà attuazione agli Orientamenti, che mirano a stabilire un quadro armonizzato per gli accordi di outsourcing alla luce del crescente ricorso all’esternalizzazione da parte degli intermediari e dei rischi che ne derivano.
In particolare, le nuove regole in materia di esternalizzazione introducono specifici obblighi per gli intermediari, tra cui, a titolo esemplificativo:
- la tenuta di un registro aggiornato delle attività esternalizzate;
- a valutazione del rischio di concentrazione relativo ai fornitori di servizi in tutte le fasi dell’esternalizzazione;
- l’inserimento nei contratti di outsourcing di clausole dettagliate su diritti di accesso e audit, sicurezza e integrità dei dati, strategie di uscita e continuità operativa.
Inoltre, in aggiunta all’obbligo di comunicazione preventiva all’Autorità di vigilanza prima di dare corso all’esternalizzazione di funzioni essenziali o importanti (già presente nella normativa nazionale), le modifiche introducono un obbligo di notifica anche quando un’attività già esternalizzata è riclassificata dall’intermediario come funzione essenziale o importante.
Con l’attuazione degli Orientamenti sono state superate, altresì, le restrizioni previste dalla previgente disciplina per l’esternalizzazione dei compiti operativi delle funzioni aziendali di controllo al di fuori del gruppo bancario, che ora è ammessa nel rispetto del principio di proporzionalità.
Per ciò che riguarda il Capitolo 4 ("Il sistema informativo"), viene specificato che le misure di attenuazione dei rischi del fornitore dei servizi devono essere conformi con il quadro di riferimento per la gestione del rischio di ICT ("Information and Communication Technology") e di sicurezza della banca. Il Capitolo 4 chiarisce inoltre il contenuto dell’informativa da rendere alla Banca d’Italia e alla Banca Centrale Europea e prevede che la relazione relativa ai controlli svolti sulle funzioni esternalizzate al di fuori del gruppo dia conto anche dei principali servizi ICT forniti da terze parti che non assumono la qualifica di esternalizzazione (4).
3. Entrata in vigore
Le citate modifiche entrano in vigore il giorno successivo alla pubblicazione sul sito web della Banca d’Italia.
Le nuove disposizioni della Circolare si applicano a tutti gli accordi di esternalizzazione conclusi, rinnovati o modificati a partire da tale data.
Le banche, entro la fine del 2021, completano il registro delle attività esternalizzate con la documentazione di tutti gli accordi di esternalizzazione esistenti (ad eccezione degli accordi di esternalizzazione a fornitori di servizi cloud, per i quali il registro è già applicabile) e adeguano i contratti già esistenti alle nuove norme. Qualora la revisione dei contratti di esternalizzazione di funzioni essenziali o importanti non sia conclusa entro il 31 dicembre 2021, le banche ne devono dare comunicazione alla banca Centrale Europea o alla Banca d’Italia, indicando la data entro la quale intendono adeguarsi al nuovo regime, le misure previste per completare l’adeguamento o l’eventuale strategia di uscita dal contratto di esternalizzazione.
Infine, si segnala che le banche possono esternalizzare funzioni essenziali o importanti afferenti ad attività bancarie o servizi di pagamento soggetti ad autorizzazione a fornitori di servizi di Paesi terzi in assenza di un accordo di cooperazione tra le autorità di vigilanza competenti fino al 31 dicembre 2021.
References:
(1) Le principali modifiche hanno riguardato il Capitolo 3 ("Il sistema dei controlli interni") e il Capitolo 4 ("Il sistema informativo") della Parte I, Titolo IV, della Circolare.
(2) Gli "Orientamenti".
(3) Questi interventi, che hanno carattere esplicativo e non introducono elementi di novità, sono volti principalmente a chiarire alcuni aspetti, quali: (i) il processo di approvazione di nuovi prodotti; (ii) le comunicazioni al personale; (iii) il parere preventivo del responsabile della funzione di controllo dei rischi e i sistemi interni di segnalazione delle violazioni (c.d. whistleblowing).
(4) Per esigenze di raccordo e di aggiornamento dei riferimenti interni, con l’attuazione degli Orientamenti sono stati inoltre effettuati interventi mirati ai seguenti capitoli della Circolare: autorizzazione all’attività bancaria (Parte Prima, Titolo I, Cap. 1, Allegato A, Parte II e Allegato B, Sezione A); continuità operativa (Parte Prima, Titolo IV, Cap. 5, par. 3); gruppo bancario cooperativo (Parte Terza, Cap. 6, Sez. II e Sez. III); investimenti in immobili (Parte Terza, Cap. 10, Sez. III); Bancoposta (Parte Quarta, Cap. 1, Sez. I e Sez. II).
Authors: Luca Lo Po' and Claudio Saba.
