DORA e servizi ICT di terze parti

Il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale (DORA), che si applicherà a decorrere dal 17 gennaio 2025, prevede un regime ad hoc per la gestione dei rapporti con terze parti, prescrivendo agli operatori finanziari di gestire adeguatamente i rischi derivanti dall’esternalizzazione di servizi ICT a fornitori terzi, soprattutto laddove siano a supporto di funzioni critiche o importanti.

Oltre alle prescrizioni del DORA, gli operatori dovranno rispettare gli standard tecnici di attuazione di cui al Regolamento delegato (UE) 2024/1773 pubblicato nella GU UE lo scorso 25 giugno, i modelli per i registri dei contratti con i fornitori di servizi ICT definiti dalle ESAs, oltre alle Linee guida sviluppate Autorità di vigilanza europee in materia di esternalizzazione.

Gli operatori dovranno quindi: (i) adottare una strategia complessiva sui rischi, nonché definire adeguati presidi di governance e controllo sugli accordi contrattuali; (ii) valutare le proprie esigenze operative e commerciali, alla base dell’esternalizzazione del servizio ICT, nonché i relativi fornitori; (iii) rispettare obblighi specifici nella redazione, tenuta e monitoraggio dei contratti avente ad oggetto servizi ICT.

In tale contesto il corso, diviso in due sessioni, andrà ad approfondire gli obblighi delineati dal framework DORA, soffermandosi sulle problematiche operative e sulle misure di messa a terra che gli operatori dovranno adottare entro gennaio 2025.

Tematiche oggetto di attenzione e discussione

1. Il framework normativo: il DORA e relativi standard tecnici
2. Le linee guida EBA, ESMA e BCE sull’esternalizzazione
3. La gestione del rischio ICT di terze parti
4. L’identificazione dei servizi ICT a supporto di funzioni essenziali o importanti
5. La definizione della strategia “olistica” di sistema per la gestione dei rischi ICT di terze parti
   • la politica sull’uso dei servizi ICT a sostegno di funzioni critiche o importanti
   • il caso dei gruppi di società
6. La governance del rischio ICT di terze parti
   • ruolo e responsabilità dell’organo di gestione
   • individuazione e responsabilità del ruolo o del membro dell’alta dirigenza responsabile del monitoraggio degli accordi contrattuali
   • esternalizzazione dei compiti di verifica della conformità
   • gli obblighi informativi alle autorità di vigilanza
7. La gestione della fase precontrattuale
   • analisi del rischio: valutazioni necessarie e controlli sui fornitori
   • identificazione e valutazione del rischio di concentrazione delle ICT
   • i controlli di due diligence sui fornitori di servizi a supporto di funzioni essenziali o importanti
   • il subappalto di servizi ICT a supporto di funzioni essenziali o importanti
   • analisi delle exit strategy
8. La redazione degli accordi contrattuali con i fornitori ICT
   • forma e contenuto minimo degli accordi per servizi ICT a supporto di funzioni essenziali o importanti
   • le criticità connesse ai diritti di audit/ispezione
   • le exit strategy clauses
   • le criticità connesse le clausole sulla risoluzione degli accordi contrattuali
9. Il monitoraggio degli accordi contrattuali e degli standard di prestazione del fornitore ICT a supporto di funzioni essenziali o importanti
10. Il registro degli accordi contrattuali
    • il contenuto e i modelli utilizzabili
    • l’identificazione della catena di fornitura dei servizi ICT
11. Piani di uscita e politica di continuità operativa per i fornitori ICT a supporto di funzioni essenziali o importanti: l’applicazione delle exit strategy

Sede
Il Seminario sarà svolto a distanza in modalità Zoom meeting. I docenti saranno collegati in videoconferenza e i partecipanti potranno interagire a voce in tempo reale per sottoporre eventuali quesiti.

Ulteriori informazioni
FORMAZIONE FINANZIATA
In qualità di ente di formazione in possesso della Certificazione Qualità UNI EN ISO 9001:2015, Bancaria Consulting s.r.l. è abilitato ad organizzare corsi finanziabili attraverso Fondi Paritetici Interprofessionali.

Per ogni ulteriore informazione scrivi a:
formazione@dirittobancario.it
o chiama il numero di telefono 0444 1233891

L’iscrizione si perfeziona mediante la procedura di acquisto online o con il ricevimento a mezzo fax o e-mail del “Modulo di iscrizione” e della ricevuta di pagamento anticipato. Il pagamento anticipato, da eseguirsi a mezzo bonifico bancario alla coordinate indicate nel programma. Dell’avvenuta iscrizione verrà data conferma scritta tramite e-mail inviata all’indirizzo indicato al momento dell’iscrizione.