Approvvigionamento nel settore bancario e dei servizi finanziari: rischio dei fornitori e governance di terze parti

1. Introduzione

Il settore dei servizi finanziari ha subito una profonda trasformazione strutturale negli ultimi due decenni. Le istituzioni che un tempo sviluppavano e mantenevano internamente la maggior parte delle proprie capacità operative, ora si affidano abitualmente a fornitori terzi per cloud computing, elaborazione dei pagamenti, verifica know-your-customer (KYC), cybersicurezza, sistemi bancari core e una vasta gamma di servizi accessori. La pandemia di COVID-19 ha accelerato questa traiettoria, forzando una rapida adozione di canali digitali e infrastrutture di lavoro da remoto, spesso tramite fornitori terzi [1].

Questa dipendenza crea vantaggi strategici: accesso a competenze specializzate, scalabilità ed efficienza dei costi. Tuttavia, introduce anche livelli di rischio operativo, legale, reputazionale e sistemico per i quali le autorità di regolamentazione di tutte le giurisdizioni nutrono una crescente preoccupazione. Incidenti di alto profilo — dal fallimento tecnologico di Knight Capital nel 2012 alla violazione della catena di fornitura MOVEit del 2023 che ha colpito dozzine di istituzioni finanziarie — hanno sottolineato il potenziale degli eventi legati a terze parti di trasformarsi in interruzioni sistemiche [2].

In questo contesto, l'approvvigionamento nel settore bancario e dei servizi finanziari è stato ripensato. La tradizionale funzione d'acquisto — incaricata di ottenere beni e servizi al minor costo — viene soppiantata da un più ampio mandato di governance dei fornitori che comprende conformità normativa, valutazione del rischio, supervisione della sicurezza delle informazioni e pianificazione della resilienza operativa. Questo articolo esplora le dimensioni chiave di tale evoluzione, esaminando l'architettura normativa che modella la governance di terze parti e i framework operativi che le istituzioni devono implementare per conformarsi.

2. Il panorama normativo

2.1 Il Digital Operational Resilience Act (DORA)

Adottato dall'Unione Europea nel gennaio 2023 e applicabile da gennaio 2025, il DORA (Regolamento (UE) 2022/2554) rappresenta il più completo intervento normativo nella gestione del rischio ICT dei servizi finanziari ad oggi. La sua ambizione è armonizzare le regole tra gli stati membri dell'UE su come le entità finanziarie — incluse banche, assicuratori, imprese di investimento e fornitori di servizi di cripto-attività — gestiscono la resilienza operativa digitale dei loro sistemi ICT, con particolare attenzione al rischio ICT di terze parti [3].

Ai sensi del DORA, le entità finanziarie devono mantenere un registro di tutti i fornitori di servizi ICT terzi e classificarli in base alla criticità. I fornitori terzi critici (CTPP) sono soggetti a un nuovo framework di supervisione amministrato dalle autorità di vigilanza europee (ESA), inclusa l'Autorità Bancaria Europea (EBA), che possono condurre ispezioni e audit diretti su tali fornitori. Ciò rappresenta un cambiamento fondamentale: le autorità di regolamentazione non si accontentano più di ritenere responsabile solo l'istituzione finanziaria; ora esercitano poteri di supervisione diretta sui fornitori stessi [4].

Per le funzioni di approvvigionamento, il DORA impone requisiti contrattuali obbligatori. I contratti scritti con i fornitori ICT terzi devono includere disposizioni su livelli di servizio, diritti di audit, posizione e portabilità dei dati, obblighi di segnalazione degli incidenti, diritti di risoluzione e strategie di uscita. In modo critico, il DORA richiede che le entità finanziarie assicurino che i rischi di concentrazione derivanti dai loro portafogli di fornitori ICT siano identificati e gestiti, e che testino la loro capacità di uscire da accordi critici senza interrompere le operazioni [5].

2.2 Guida OCC sulle relazioni con terze parti

Negli Stati Uniti, l'Office of the Comptroller of the Currency ha stabilito da tempo le aspettative per la gestione delle relazioni con terze parti da parte delle banche. La guida interagenzia del 2023 emessa congiuntamente dall'OCC, dalla Federal Reserve e dalla FDIC consolida la guida precedente in un framework unificato applicabile a tutte le relazioni con terze parti, non solo a quelle 'critiche' [6]. La guida identifica tre fasi del ciclo di vita della relazione — pianificazione, monitoraggio continuo e risoluzione — e specifica che le istituzioni devono condurre una due diligence basata sul rischio, proporzionata al livello di rischio posto da ciascuna relazione.

Il framework dell'OCC pone una responsabilità esplicita sui consigli di amministrazione e sull'alta direzione. L'attività di approvvigionamento viene elevata da funzione operativa a questione di governance: i consigli sono tenuti ad approvare le politiche per la gestione delle relazioni con terze parti, esaminare i rapporti periodici sugli accordi significativi e garantire che siano dedicate risorse adeguate alla supervisione. Questa impostazione di governance allinea le decisioni di approvvigionamento con l'appetito al rischio e gli obiettivi strategici dell'istituzione, invece di trattare la selezione dei fornitori come un puro esercizio commerciale [7].

2.3 FCA SYSC 8 e il regime di esternalizzazione del Regno Unito

Nel Regno Unito, il manuale Senior Management Arrangements, Systems and Controls della Financial Conduct Authority — specificamente il Capitolo 8 (SYSC 8) — disciplina l'esternalizzazione da parte delle imprese autorizzate. Il SYSC 8 richiede che le imprese non esternalizzino attività in modo da compromettere materialmente la qualità dei controlli interni o la capacità della FCA o della PRA di supervisionare l'impresa. Le regole impongono doveri di mantenere la supervisione sulle funzioni esternalizzate, garantire che il fornitore soddisfi standard equivalenti e preservare la continuità del servizio [8].

A seguito della pubblicazione delle Linee guida dell'EBA sugli accordi di esternalizzazione (EBA/GL/2019/02) e il loro recepimento nella pratica normativa del Regno Unito post-Brexit, le istituzioni finanziarie del Regno Unito devono ora condurre estese valutazioni pre-esternalizzazione, mantenere un registro delle esternalizzazioni, includere specifiche disposizioni contrattuali e notificare alle autorità di regolamentazione gli accordi di esternalizzazione materiali. La Supervisory Statement SS2/21 della Prudential Regulation Authority (PRA) sull'esternalizzazione e la gestione del rischio di terze parti elabora ulteriormente le aspettative per le imprese regolamentate dalla PRA, inclusi i requisiti per i controlli di sub-esternalizzazione e gli accordi di continuità operativa [9].

3. Framework di gestione del rischio di terze parti

3.1 Il ciclo di vita del rischio dei fornitori

Una efficace TPRM nei servizi finanziari è strutturata attorno a un modello di ciclo di vita del fornitore che comprende cinque fasi: (i) identificazione e classificazione del fornitore; (ii) due diligence e valutazione pre-contrattuale; (iii) negoziazione ed esecuzione del contratto; (iv) monitoraggio continuo e gestione delle prestazioni; e (v) offboarding e gestione dell'uscita. Ogni fase comporta esposizioni al rischio distinte che i team di approvvigionamento devono gestire in collaborazione con le linee legali, di conformità, di sicurezza delle informazioni e aziendali [10].

Nella fase di identificazione e classificazione, le istituzioni segmentano i fornitori in base al rischio intrinseco che pongono, tipicamente attraverso dimensioni che includono la sensibilità dei dati, la criticità per le operazioni, l'esposizione normativa, la salute finanziaria e il rischio giurisdizionale. I modelli di rischio a livelli — come quelli raccomandati dallo Shared Assessments Program o dal Financial Services Information Sharing and Analysis Center (FS-ISAC) — consentono di allocare le risorse di due diligence in modo proporzionale, con il controllo più intensivo applicato ai fornitori di livello uno, mission-critical [11].

3.2 Due diligence e valutazione della sicurezza delle informazioni

La due diligence pre-contrattuale nei servizi finanziari va ben oltre l'analisi finanziaria e le verifiche di riferimento. Le valutazioni della sicurezza delle informazioni sono diventate una componente centrale, guidate dal riconoscimento che le violazioni dei dati provenienti da sistemi di terze parti rappresentano uno dei vettori di minaccia più significativi che il settore deve affrontare. Le istituzioni richiedono abitualmente ai fornitori di completare questionari standardizzati — come quelli sviluppati dall'iniziativa Standardised Information Gathering (SIG) — che coprono i controlli su domini tra cui gestione degli accessi, crittografia, risposta agli incidenti e continuità operativa [12].

Gli audit e le certificazioni di terze parti, inclusi i report SOC 2 Type II, la certificazione ISO/IEC 27001 e le attestazioni specifiche per il cloud (come CSA STAR), forniscono un'assicurazione strutturata che i controlli del fornitore soddisfino standard definiti. Tuttavia, le autorità di regolamentazione e i professionisti riconoscono sempre più che le valutazioni puntuali sono insufficienti: gli strumenti di monitoraggio continuo — che tracciano la postura di sicurezza del fornitore, gli eventi di cronaca e la salute finanziaria in tempo reale — stanno diventando uno standard industriale e sono obbligatori o fortemente incoraggiati nell'ambito di framework come il DORA [13].

3.3 Protezioni contrattuali e SLA

Il contratto stesso funge da strumento primario di governance del rischio dei fornitori. I contratti di approvvigionamento dei servizi finanziari si sono evoluti sostanzialmente in risposta ai requisiti normativi, incorporando disposizioni su: elaborazione e sub-elaborazione dei dati (allineate al GDPR e regimi equivalenti); diritti di audit e ispezione; tempistiche di notifica degli incidenti (tipicamente 24-72 ore per incidenti materiali); standard di continuità operativa e disaster recovery; diritti di risoluzione attivati da insolvenza, cambio di controllo o obiezione normativa; e obblighi di restituzione e cancellazione dei dati al termine del contratto [14].

I Service Level Agreement (SLA) nei settori regolamentati devono bilanciare la praticità commerciale con la difendibilità normativa. Le autorità di regolamentazione si aspettano che gli SLA riflettano soglie di prestazione genuinamente materiali — non target ambiziosi — e che i rimedi per inadempimento siano proporzionati all'impatto della sottoperformance sull'istituzione e sui suoi clienti. La FCA del Regno Unito ha criticato esplicitamente la pratica di incorporare SLA così generici da non fornire alcuna protezione significativa [15].

4. Rischio di concentrazione dei fornitori

Uno dei rischi strutturalmente più significativi nell'approvvigionamento dei servizi finanziari è la concentrazione dei fornitori: il grado in cui le istituzioni — individualmente e collettivamente — dipendono da un numero ristretto di fornitori per funzioni critiche. L'infrastruttura cloud offre l'illustrazione più netta. Un'analisi del 2023 della Bank of England ha rilevato che la maggior parte delle istituzioni regolamentate dal Regno Unito si affidava a uno dei tre fornitori di cloud hyperscale — Amazon Web Services, Microsoft Azure o Google Cloud Platform — per elementi materiali delle loro operazioni [16].

Questa concentrazione non è solo un problema della singola impresa; è sistemico. Un'interruzione o un incidente di sicurezza che colpisce un fornitore dominante potrebbe simultaneamente compromettere le operazioni di molteplici istituzioni sistemicamente importanti, innescando effetti di contagio attraverso sistemi di pagamento, mercati dei capitali e depositi. Le autorità di regolamentazione hanno risposto con un maggiore controllo: il DORA richiede esplicitamente alle entità finanziarie di mappare e valutare il rischio di concentrazione ICT, sia a livello di entità che, attraverso il coordinamento dell'ESA, a livello settoriale. L'EBA ha pubblicato rapporti regolari sulla concentrazione cloud nel settore bancario dell'UE, segnalando il rischio come una priorità di vigilanza [17].

Dal punto di vista della strategia di approvvigionamento, gestire il rischio di concentrazione richiede architetture multi-vendor deliberate, standard di portabilità e requisiti di interoperabilità incorporati nei contratti fin dall'inizio. Le strategie di uscita — inclusa la capacità di migrare carichi di lavoro o dati a un fornitore alternativo entro un arco di tempo definito — devono essere testate, non solo documentate. I team di approvvigionamento devono lavorare a stretto contatto con le funzioni tecnologiche e di architettura aziendale per garantire che le decisioni commerciali non creino inavvertitamente un lock-in che mina la resilienza operativa [18].

5. Il ruolo in evoluzione dell'approvvigionamento

La convergenza delle richieste normative, del rischio informatico e dei requisiti di resilienza operativa sta fondamentalmente rimodellando la funzione di approvvigionamento nei servizi finanziari. Il CPO e il suo team non possono più operare come intermediari transazionali focalizzati principalmente sul risparmio sui costi e sulla conformità contrattuale. Devono invece fungere da orchestratori attenti al rischio, capaci di coordinarsi tra stakeholder legali, di conformità, tecnologici e aziendali per fornire relazioni con i fornitori che siano commercialmente solide, operativamente resilienti e dimostrabilmente conformi alle aspettative normative [19].

Ciò richiede investimenti in capacità relativamente nuove per l'approvvigionamento: piattaforme tecnologiche TPRM (come Coupa, Ariba integrato con moduli di rischio, o strumenti specialistici come ProcessUnity e OneTrust), punteggio di rischio basato sui dati e personale addetto all'approvvigionamento con sufficiente conoscenza della sicurezza delle informazioni e dei framework normativi per condurre conversazioni significative con i fornitori. Il Chartered Institute of Procurement and Supply (CIPS) ha riconosciuto questo cambiamento, sviluppando una guida sul rischio della catena di fornitura nei servizi finanziari che incorpora sia dimensioni commerciali che normative [20].

Anche le strutture di governance devono adattarsi. Molte istituzioni hanno istituito comitati dedicati al rischio di terze parti o integrato la TPRM nei loro framework di gestione del rischio aziendale secondo il modello delle Tre Linee di Difesa — con l'approvvigionamento che occupa la prima linea, la conformità e la gestione del rischio la seconda, e l'audit interno la terza. Il reporting regolare ai consigli di amministrazione e ai comitati di rischio senior sul profilo di rischio di terze parti dell'istituzione — inclusi concentrazione, prestazioni e rischi emergenti dall'interno dell'ecosistema dei fornitori — è sempre più considerato dalle autorità di regolamentazione come una aspettativa di governance di base [21].

6. Conclusione

L'approvvigionamento nel settore bancario e dei servizi finanziari è entrato in una nuova era, definita non dal solo perseguimento di risparmi sui costi, ma dall'imperativo di gestire il rischio di terze parti all'interno di un panorama normativo denso e in evoluzione. DORA, la guida interagenzia OCC, FCA SYSC 8 e framework equivalenti in altre giurisdizioni hanno collettivamente elevato la governance di terze parti da una preoccupazione di back-office a una responsabilità a livello di consiglio di amministrazione.

Le sfide sono sostanziali. Le istituzioni finanziarie devono gestire simultaneamente le prestazioni commerciali di centinaia o migliaia di relazioni con i fornitori, mantenere valutazioni del rischio aggiornate in un ambiente di minaccia in rapido mutamento, incorporare complessi requisiti normativi nei contratti e nei processi di due diligence, e affrontare vulnerabilità strutturali come il rischio di concentrazione dei fornitori. Nessuno di questi obiettivi può essere raggiunto dai team di approvvigionamento che lavorano in isolamento.

Ciò che è richiesto è un modello di governance integrata di terze parti — in cui le funzioni di approvvigionamento, rischio, conformità, legale e tecnologia operano come un'unità coerente, supportata da appropriate strutture tecnologiche e di supervisione. Le istituzioni che investono in questo modello saranno meglio posizionate non solo per soddisfare le aspettative normative, ma per realizzare il potenziale strategico delle loro relazioni con i fornitori, rendendo la governance di terze parti una fonte di resilienza competitiva piuttosto che un semplice onere di conformità.