Banca d’Italia ha avviato una consultazione sulla proposta di una nuova modalità di rilevazione in materia di outsourcing di funzioni aziendali.
In particolare, la consultazione riguarda le modalità per la compilazione e lo schema di segnalazione relativi ad una nuova rilevazione in materia di outsourcing.
La segnalazione ha come scopo primario quello di raccogliere informazioni sugli accordi di esternalizzazione (outsourcing) dei soggetti vigilati, nonché informazioni necessarie per poter valutare il livello di concentrazione dei principali fornitori di servizi, e la diffusione del fenomeno della subesternalizzazione.
Tali informazioni si rendono necessarie per l’adeguato esercizio della vigilanza sugli intermediari bancari e finanziari e per presidiare i rischi derivanti dal ricorso all’outsourcing per tali soggetti e per facilitare l’incremento della qualità dei servizi offerti agli intermediari.
Tali informazioni permettono inoltre di individuare situazioni di concentrazione dei fornitori di servizi e determinare l’impatto di una possibile interruzione della catena di approvvigionamenti.
La rilevazione si applica a tutti gli intermediari vigilati dalla Banca d’Italia.
Risultano al di fuori dell’ambito di applicazione le banche e i gruppi bancari significativi, che sono sottoposti ad analoga rilevazione da parte della BCE.
I motivi che hanno definito la necessità di sviluppare di nuove modalità di segnalazione di vigilanza sugli accordi di outsourcing sono evidenziati più nel dettaglio nella premessa al documento di consultazione.
In particolare, le informazioni richieste dalle nuove modalità di rilevazione sono:
- informazioni sul contratto (data inizio/scadenza/rinnovo;
- eventuale periodo di preavviso per il fornitore e per l’intermediario; costo annuo stimato;
- esternalizzazione infra-gruppo;
- data ultima valutazione a FEI, valutazione della conformità alle norme applicabili);
- firmatario del contratto (codice AS, codice LEI);
- utilizzatore del contratto (codice AS, codice LEI);
- categoria funzione esternalizzata ed eventuale descrizione;
- informazioni sul fornitore di servizi (ad esempio codice AS, codice della capogruppo; codice LEI; denominazione autorità di vigilanza competente; trattamento di dati personali; natura dati memorizzati nel cloud);
- se l’attività è basata sul cloud computing, il tipo di modello cloud utilizzato (IaaS, PaaS o Saas) e il modello di accessibilità e proprietà del cloud (ibrido, privato, pubblico, di comunità);
- dati sul fornitore di servizi cloud (qualora il fornitore di servizi si avvalga di servizi cloud generali erogati da parti terze che non ricadano nella qualifica di esternalizzazione e/o che non riguardino lo specifico contratto di outsourcing oggetto di segnalazione)
Informazioni aggiuntive per i contratti di outsourcing di funzioni essenziali o importanti:
- informazioni sull’ultima valutazione dei rischi (data e risultati);
- organo decisionale che ha approvato il contratto (es. Consiglio di amministrazione, Amministratore delegato/Direttore generale, Responsabile di area, altro);
- normativa applicabile;
- informazioni sull’ultima verifica di audit (data);
- livello di sostituibilità del fornitore (facile/medio/difficile);
- possibilità di reinternalizzare l’attività (facile/media/difficile);
- impatto dell’interruzione dell’attività esternalizzata (basso, medio, alto);
- funzione critica in termini di tempo;
- possibilità di subesternalizzazione;
- motivazione FEI;
- individuazione del fornitore/i alternativo/i (se presente/i);
- informazioni su eventuali subfornitori (se presenti; incluso il paese di memorizzazione dei dati e quello di erogazione dei servizi).
La consultazione avrà termine il 26 settembre 2022.
