Daniel Bermejo · Co-fondatore e Technology Lead, Trusty · Fondatore seriale, ex PwC, IBM e Roche · Ex Managing Director, Startup Invest
Il vero cambiamento strutturale del DORA riguarda la gestione del rischio di terze parti. Esso si spinge deliberatamente oltre l’entità regolamentata, raggiungendo i fornitori di software, i provider di servizi cloud, le piattaforme SaaS e i fornitori di servizi gestiti da cui dipendono le istituzioni finanziarie. Il DORA non regolamenta direttamente questi fornitori ICT. Al contrario, obbliga le entità finanziarie a trasferire loro i propri requisiti tramite contratto e a gestire, documentare e dimostrare attivamente tale relazione.
Cosa richiede il DORA per i fornitori ICT di terze parti?
Due articoli rendono concreta la gestione del rischio di terze parti del DORA:
L’articolo 13(6) richiede alle entità finanziarie di sviluppare programmi di sensibilizzazione sulla sicurezza ICT e formazione sulla resilienza operativa digitale come moduli obbligatori per tutti i dipendenti e l’alta dirigenza. Ove opportuno, devono includere in tali programmi di formazione anche i loro fornitori terzi di servizi ICT.
L’articolo 30(2)(i) chiude il cerchio: ogni contratto per servizi ICT deve stabilire le condizioni per la partecipazione dei fornitori terzi di servizi ICT ai programmi di sensibilizzazione sulla sicurezza ICT e alla formazione sulla resilienza operativa digitale dell’entità finanziaria. Non si tratta di una clausola opzionale riservata ai fornitori critici. Fa parte dei requisiti contrattuali di base che si applicano a tutti i contratti di servizi ICT.
In altre parole, il Suo obbligo di formazione sulla resilienza si estende ora a tutta la Sua catena di fornitura e i Suoi contratti devono specificare come.
La domanda successiva ovvia, per entrambe le parti del contratto, è come rendere effettivamente operativa la gestione del rischio di terze parti DORA. Inviare via email policy in formato PDF a un elenco di fornitori sperando per il meglio non produce la traccia di audit che un’autorità di vigilanza si aspetta. Questo è precisamente il problema che Trusty è stato creato per risolvere.
In che modo le entità finanziarie possono dimostrare la formazione delle terze parti ai sensi del DORA?
La piattaforma di conformità di Trusty è stata progettata attorno a un’idea semplice: le policy e la formazione valgono qualcosa solo se può provare chi le ha ricevute, chi le ha lette, chi le ha completate e quando.
Ai sensi del DORA, tale prova deve ora coprire le parti esterne. Ecco come le entità finanziarie utilizzano Trusty per la gestione del rischio di terze parti DORA nella pratica:
- Distribuisca le policy oltre la Sua forza lavoro. Le Sue policy di gestione del rischio ICT, segnalazione degli incidenti, uso accettabile, sicurezza delle informazioni e continuità operativa possono essere assegnate non solo al personale interno ma ai contatti designati presso ciascun fornitore ICT. Ogni fornitore vede esattamente il set di policy pertinente al proprio servizio, niente di più e niente di meno.
- Assegna la formazione sulla resilienza al personale del fornitore. L’articolo 13(6) afferma che la formazione deve avere un livello di complessità commisurato all’ambito delle loro funzioni. Trusty Le consente di assegnare i moduli di formazione corretti, come la sensibilizzazione sulla sicurezza ICT, l’escalation degli incidenti e le basi della resilienza operativa, ai ruoli giusti dei fornitori, con scadenze e promemoria automatici.
- Tracci l’accettazione e il completamento, automaticamente. Le conferme di lettura e accettazione, i tassi di completamento della formazione e gli elementi scaduti vengono si registri per fornitore e per individuo. Quando la Sua autorità di vigilanza o la Sua funzione di audit interno che prepara la revisione del Registro delle Informazioni Le chiede come rispetti l’articolo 30(2)(i), esporti le prove invece di doverle assemblare.
- Rimanga al passo con gli aggiornamenti delle policy. Il DORA è un quadro normativo vivo, con norme tecniche di regolamentazione ancora in fase di perfezionamento. Quando aggiorni una policy, la ridistribuzione e la nuova accettazione in tutta la Sua base di fornitori è un unico flusso di lavoro, non una campagna email trimestrale.
- Segmenta per criticità. I fornitori che supportano funzioni critiche o importanti devono affrontare il regime rafforzato dell’articolo 30(3). In Trusty, può suddividere la Sua popolazione di fornitori in livelli e applicare set di policy più approfonditi e percorsi di formazione più impegnativi al livello critico, rispecchiando la logica di proporzionalità che le autorità di vigilanza si aspettano di vedere.
Il risultato: i Suoi obblighi di formazione e policy verso terzi smettono di essere una formalità contrattuale che nessuno può dimostrare e diventano un processo gestito e verificabile, costruito per la gestione del rischio di terze parti DORA su larga scala.
Cosa dovrebbero fare i fornitori ICT e le fintech per prepararsi al DORA?
Se vendi software o servizi ICT a istituzioni finanziarie dell’UE, il DORA La raggiunge attraverso i Suoi clienti, che Le piaccia o no. Ogni rinnovo e ogni nuovo accordo include ora le clausole dell’articolo 30: impegni di sicurezza, cooperazione in caso di incidenti, diritti di audit e partecipazione ai programmi di formazione e sensibilizzazione del cliente.
I fornitori rispondono a questo in uno di due modi. Alcuni lasciano che ogni banca cliente imponga il proprio mosaico di policy e richieste di formazione, finendo per destreggiarsi tra dieci diversi regimi di conformità di dieci clienti diversi. Quelli più intelligenti ribaltano la dinamica: si presentano alla negoziazione già attrezzati, con il proprio quadro di policy documentato e personale formato, e negoziano da una posizione di forza, come già fanno i fornitori maturi quando indicano i propri programmi di sicurezza invece di aderire a quelli di ogni cliente.
Cos'è il Trusty FinTech Booster?
Il Trusty FinTech Booster è un pacchetto pronto all’uso che consente a un fornitore ICT che serve il settore finanziario di dotarsi immediatamente della base di conformità che i suoi clienti regolamentati richiederanno:
- Un set di policy già pronte che copre gli ambiti che le entità finanziarie esaminano nella due diligence: sicurezza delle informazioni, protezione dei dati e privacy, continuità operativa, gestione di terze parti e subappaltatori, conservazione dei registri, codice di condotta, anti-corruzione e whistleblowing. Redatto professionalmente, mantenuto e aggiornato con l’evolversi della normativa.
- Una libreria di formazione che il Suo personale può completare dal primo giorno, inclusa la sensibilizzazione sulla cybersicurezza e sul phishing, la protezione dei dati (GDPR), il codice di condotta e le basi della conformità, e la sensibilizzazione sulle frodi, con tracciamento del completamento e certificati che può consegnare al team di gestione del rischio fornitori di qualsiasi cliente.
- Un canale di whistleblowing che soddisfa la Direttiva UE sul Whistleblowing. Questo è sempre più un elemento standard nei questionari di due diligence delle banche e un forte segnale di fiducia di per sé.
- Un unico sistema di registrazione. Quando l’ufficio acquisti o il team di rischio di terze parti di un cliente chiede di vedere le Sue policy e i registri della formazione, la risposta è un’esportazione, non una corsa contro il tempo.
Per una fintech impegnata in un proprio processo di licenza, come un istituto di pagamento, un istituto di moneta elettronica o un fornitore di servizi di cripto-attività ai sensi del MiCA, la stessa base alimenta direttamente il fascicolo di autorizzazione. La preparazione al DORA è ora valutata come parte di tali domande, quindi il Booster svolge una doppia funzione: soddisfa i Suoi clienti bancari e la Sua autorità di vigilanza.
Due parti, un'unica piattaforma per la gestione del rischio di terze parti DORA
Il DORA ha creato una relazione di conformità tra le entità finanziarie e i loro fornitori ICT, e Trusty serve entrambe le parti:
Entità finanziaria (banca, assicurazione, impresa di investimento) | Fornitore ICT (SaaS, cloud, MSP, fintech) | |
|---|---|---|
Obbligo | Estendere le policy e la formazione sulla resilienza ai fornitori (Art. 13(6), 30(2)(i)) e fornirne prova | Soddisfare le richieste di compliance contrattuale di ogni cliente regolamentato |
Con Trusty | Distribuire, assegnare, tracciare ed esportare prove su tutta la base fornitori | FinTech Booster Pack: set di policy istantaneo, personale formato, canale di whistleblowing, registri pronti per l'audit |
Risultato | Prove di livello ispettivo, senza ricerche estenuanti tra fogli di calcolo | Due diligence più rapida, posizione negoziale più forte, cicli di vendita più brevi |
Quando entrambe le parti lavorano da una piattaforma strutturata per la gestione del rischio di terze parti DORA, la conversazione sull’articolo 30 smette di essere un attrito e diventa una formalità da spuntare, sia per il team di rischio fornitori della banca che per il team di vendita del provider.
Cosa succede se aspetti per la gestione del rischio di terze parti DORA?
Il DORA non è più in un periodo di grazia. I Registri delle Informazioni sono stati presentati alle autorità di vigilanza, i primi fornitori terzi critici sono stati designati per la supervisione europea diretta e i risultati del DORA ora alimentano i processi di revisione prudenziale, con conseguenze reali per i requisiti patrimoniali e, per i fornitori, per i rinnovi contrattuali.
Le entità finanziarie che non possono dimostrare la partecipazione dei fornitori alla formazione hanno una lacuna documentata. I fornitori ICT che si presentano alla due diligence a mani vuote perdono contratti a favore di concorrenti che non lo fanno.
Entrambi i problemi sono risolvibili in giorni, non in mesi.
Entità finanziarie: ci contatti per estendere la distribuzione delle policy e della formazione Trusty alla Sua base di fornitori ICT.
Fornitori ICT e fintech: ottenga il FinTech Booster e presentati alla Sua prossima negoziazione bancaria già in regola.
Trusty AG è una società svizzera di software per la compliance con sede a Hunenberg, Zugo. La nostra piattaforma copre la gestione delle policy, la formazione sulla conformità, il whistleblowing, lo screening AML/sanzioni e gli strumenti ESG, per le entità regolamentate e i partner su cui fanno affidamento. Ci contatti su trusty.report.
Questo articolo fornisce informazioni generali sui requisiti normativi e non costituisce consulenza legale.
Domande frequenti
L'Articolo 13(6) richiede alle entità finanziarie di attuare programmi di sensibilizzazione sulla sicurezza ICT e formazione sulla resilienza operativa digitale per tutti i dipendenti e l'alta dirigenza e, ove opportuno, di includervi i propri fornitori terzi di servizi ICT. L'Articolo 30(2)(i) richiede che ogni contratto di servizi ICT stabilisca le condizioni per la partecipazione del fornitore a tali programmi.
No. Il DORA obbliga le entità finanziarie a trasferire i propri requisiti ai fornitori ICT tramite contratto e a gestire, documentare e dimostrare tale relazione. I fornitori soddisfano il DORA attraverso le clausole dell'Articolo 30 dei loro clienti a ogni rinnovo e nuovo accordo.
No. La clausola dell'Articolo 30(2)(i) fa parte dei requisiti contrattuali di base che si applicano a tutti i contratti di servizi ICT. I fornitori che supportano funzioni critiche o importanti devono inoltre rispettare il regime rafforzato dell'Articolo 30(3).
Un quadro di policy documentato, personale formato con registri di completamento e un canale di whistleblowing, in modo da rispondere alla due diligence del cliente con un'esportazione anziché dover adottare il regime separato di ogni singola banca. Per le fintech in fase di autorizzazione, la preparazione al DORA viene valutata come parte della domanda.
COMPLIANCE, PRONTA ALL'USO
FinTech Booster Pack: 16 policy di compliance pronte al lancio e 8 moduli di formazione che coprono AML/KYC, policy e whistleblowing, rapidi da implementare.