Il primo pilastro del Regolamento DORA riguarda la governance e organizzazione interna e pone l'accento su un elemento fondamentale: nessun framework di resilienza digitale può funzionare efficacemente senza una governance chiara, ruoli ben definiti e processi decisionali strutturati.
Se il DORA potesse avere una priorità assoluta, questa sarebbe proprio la governance. Perché? Perché tutte le altre componenti – gestione dei rischi, incident response, test di resilienza – dipendono direttamente dalla qualità della governance che le sottende.
Il Regolamento prescrive che ogni intermediario finanziario deve implementare una governance ICT che include:
Ogni funzione coinvolta nella gestione del rischio ICT deve avere responsabilità esplicite, documentate e comunicate. Non può esserci ambiguità su chi fa cosa. Questo include:
L’assenza di chiarezza organizzativa è uno dei principali fattori di non conformità rilevati dalle Autorità.
La governance non è solo una questione di organigramma. Richiede processi formali per:
Ogni decisione rilevante deve essere tracciabile, motivata e coerente con il framework di controllo interno.
Il DORA richiede:
La governance deve essere attiva, non semplicemente dichiarata.
Molte organizzazioni scopriranno che, sebbene dispongano di una struttura IT e di sicurezza, questa non è sempre integrata in una governance formale riconosciuta dalle autorità. Le sfide comuni includono:
| Separazione fra IT e Risk Management | In molti intermediari, la funzione IT lavora in silos rispetto alla gestione del rischio. Il DORA richiede integrazione. |
| Mancanza di coinvolgimento del board | i rischi ICT devono essere presenti nelle agende del consiglio di amministrazione e del comitato per i rischi. |
| Documentazione insufficiente | Procedure verbali o informali non soddisfano i requisiti normativi. |
| Competenze non sempre presenti | Trovare figure con expertise ICT e competenze di governance è una sfida di mercato. |
DORA richiede un salto di qualità: dalla gestione tecnica alla governance regolamentata del rischio ICT.
Un percorso efficace di adeguamento al Pilastro 1 dovrebbe includere:
Augeos affianca gli intermediari finanziari ex art. 106 TUB nella progettazione e implementazione di modelli di governance ICT pienamente conformi al Regolamento DORA e coerenti con le aspettative di vigilanza.
La governance è il fondamento, ma da sola non basta. Nel prossimo articolo esploreremo il secondo pilastro: la gestione del rischio ICT, che definisce come identificare, valutare e mitigare i rischi tecnologici all'interno di un framework strutturato