Soggetti interessati, perimetro applicativo e scadenze del Regolamento (UE) 2022/2554

Il Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio del 14 dicembre 2022, noto come Digital Operational Resilience Act (DORA), sembrerebbe destinato a ridefinire in profondità l’approccio alla gestione del rischio informatico nel settore finanziario europeo. Entrato in vigore il 16 gennaio 2023 e divenuto applicabile a decorrere dal 17 gennaio 2025 ai sensi del suo articolo 64, il Regolamento introduce un quadro normativo unitario e direttamente applicabile in tutti gli Stati membri dell’Unione, superando la frammentazione delle discipline nazionali preesistenti.

La portata applicativa di DORA appare, tuttavia, tutt’altro che circoscritta: il legislatore europeo ha inteso estendere il perimetro soggettivo a un novero ampio e articolato di entità, comprendente non soltanto gli intermediari finanziari tradizionali, ma anche — e in modo rilevante — i fornitori terzi di servizi ICT che operano a loro supporto. L’analisi che segue si propone di esaminare, in chiave critica e operativa, i soggetti potenzialmente tenuti all’osservanza del Regolamento e le principali scadenze di adempimento.

1. Il perimetro soggettivo: a chi potrebbe applicarsi DORA?

L’articolo 2 del Regolamento individua un catalogo eterogeneo di soggetti destinatari, elencando in modo analitico — dalla lettera a) alla lettera t) — le categorie di entità collettivamente definite «entità finanziarie». La tecnica legislativa adottata privilegia l’elencazione puntuale, anziché il ricorso a clausole generali, con l’effetto di rendere talvolta non immediata la verifica dell’applicabilità a fattispecie concrete.

1.1 Entità finanziarie in senso stretto

Il nucleo principale dei destinatari è costituito dai soggetti che tradizionalmente operano nel settore dei servizi finanziari. Vi rientrano, a mero titolo di esempio, le seguenti categorie espressamente elencate dall’articolo 2, paragrafo 1:

• gli enti creditizi (lettera a));
• gli istituti di pagamento, compresi quelli esentati a norma della direttiva (UE) 2015/2366, e i prestatori di servizi di informazione sui conti (lettere b) e c));
• gli istituti di moneta elettronica (lettera d)) e le imprese di investimento (lettera e));
• i fornitori di servizi per le cripto-attività autorizzati ai sensi del Regolamento MiCA (lettera f)) e gli emittenti di token collegati ad attività;
• i depositari centrali di titoli (lettera g)), le controparti centrali (lettera h)) e le sedi di negoziazione (lettera i));
• i repertori di dati sulle negoziazioni (lettera j)), i fornitori di servizi di comunicazione dati (lettera k)) e le agenzie di rating del credito (lettera p));
• le imprese di assicurazione e di riassicurazione (lettera m)), gli intermediari assicurativi (lettera o)) e gli enti pensionistici aziendali o professionali (lettera n));
• i gestori di fondi di investimento alternativi e le società di gestione UCITS (lettere l) e l-bis)), nonché i fornitori di servizi di crowdfunding (lettera q)) e gli amministratori di indici di riferimento (lettera r)).

Si tratta, con ogni evidenza, di un perimetro assai più ampio rispetto a quello delle sole banche e assicurazioni tradizionali. L’inclusione esplicita dei fornitori di servizi per le cripto-attività e dei gestori di piattaforme di crowdfunding segnala la volontà del legislatore di abbracciare l’intero ecosistema della finanza digitale, anche nelle sue espressioni più recenti.

1.2 I fornitori terzi di servizi ICT: obblighi contrattuali e sorveglianza diretta

Un profilo di particolare rilevanza pratica riguarda i fornitori terzi di servizi tecnologici (cd. «fornitori terzi di servizi TIC» nella terminologia del Regolamento). È opportuno, tuttavia, distinguere due livelli di coinvolgimento normativamente distinti.

In via generale, i fornitori ICT non sono destinatari diretti degli obblighi sostanziali di DORA (gestione del rischio, notifica degli incidenti, test di resilienza): questi gravano sulle entità finanziarie. Ai sensi dell’articolo 1, paragrafo 1, lettera b), e dell’articolo 30, i fornitori ICT sono invece tenuti al rispetto di specifiche clausole contrattuali che le entità finanziarie sono obbligate a inserire nei propri accordi di esternalizzazione. Tali clausole comprendono, tra l’altro, il diritto di audit, la definizione dei livelli di servizio, le strategie di uscita (exit strategy) e le disposizioni in materia di continuità operativa.

Un regime distinto e più incisivo si applica ai fornitori designati come «fornitori terzi critici di servizi TIC» ai sensi dell’articolo 31 del Regolamento. Questi soggetti — selezionati dalle Autorità di vigilanza europee (EBA, ESMA ed EIOPA, collettivamente denominate «ESAs») sulla base di criteri di sistemicità — diventano direttamente assoggettabili a un quadro di sorveglianza che potrebbe includere richieste di informazioni, ispezioni e raccomandazioni. Per ciascun fornitore critico designato, le ESAs individuano un’autorità di sorveglianza capofila (Lead Overseer), coadiuvata da un gruppo di esame congiunto (Joint Examination Team — JET), la cui composizione è disciplinata da apposito RTS adottato nel luglio 2024.

La designazione come fornitore critico non dipende dalla sede legale del soggetto: anche entità stabilite al di fuori dell’Unione Europea potrebbero essere incluse nel perimetro, qualora forniscano servizi a entità finanziarie europee su scala rilevante.

Nota operativa

I fornitori di servizi cloud (IaaS, PaaS, SaaS), i provider di connettività e i gestori di data center che intrattengono rapporti contrattuali con entità finanziarie soggette a DORA sono indirettamente impattati dal Regolamento sul piano contrattuale già dal 17 gennaio 2025. Sarebbe prudente avviare una ricognizione delle clausole contrattuali esistenti e valutarne la conformità agli standard tecnici di regolamentazione (RTS) adottati, con particolare riferimento al Regolamento delegato (UE) 2024/1774 in materia di gestione dei rischi ICT di terzi.

1.3 Il regime semplificato e le esenzioni parziali

Il Regolamento prevede un regime semplificato per talune categorie di soggetti di minori dimensioni. L’articolo 16 introduce, per le entità finanziarie diverse dalle microimprese — ma rientranti in specifiche categorie elencate, tra cui le imprese di investimento piccole e non interconnesse, gli istituti di pagamento esentati, gli istituti di moneta elettronica esentati e i piccoli enti pensionistici aziendali — un quadro semplificato di gestione del rischio ICT, meno articolato rispetto a quello ordinario degli articoli da 5 a 15.

La «microimpresa» è definita all’articolo 3, punto 60, del Regolamento come l’entità finanziaria, diversa da una sede di negoziazione, una controparte centrale, un repertorio di dati sulle negoziazioni o un depositario centrale di titoli, che occupa meno di dieci persone e realizza un fatturato annuo e/o un totale di bilancio non superiore a due milioni di euro. Va tuttavia precisato che anche le microimprese restano soggette alle disposizioni in materia di contratti con fornitori ICT terzi: la semplificazione riguarda il framework interno di gestione del rischio, non il perimetro applicativo nel suo complesso.

2. Le scadenze: tra adempimenti già decorsi e sviluppi in corso

Il calendario di adempimento di DORA si articola su più livelli. Le scadenze principali relative all’applicazione del Regolamento e all’adozione degli atti di secondo livello sono ormai superate; il processo di designazione e sorveglianza dei fornitori critici è invece entrato nella sua fase operativa nel corso del 2025 e proietta i suoi effetti più rilevanti sul 2026.

2.1 La data di applicazione: 17 gennaio 2025

Il Regolamento DORA è divenuto applicabile in tutti gli Stati membri a decorrere dal 17 gennaio 2025, ai sensi dell’articolo 64. Le entità soggette erano tenute a dimostrare la conformità ai requisiti fondamentali entro tale data, ivi inclusi:

• l’adozione di un framework di gestione del rischio ICT conforme al Capo II del Regolamento (articoli 5-16);
• la predisposizione di procedure di classificazione e notifica degli incidenti ICT gravi, secondo quanto previsto dal Capo III (in particolare articoli 17 e 19);
• l’implementazione di un programma di test di resilienza operativa digitale ai sensi del Capo IV (articoli 24-27), con frequenza e metodologie differenziate in base alla categoria e alla dimensione dell’entità;
• la revisione e l’adeguamento dei contratti con i fornitori ICT terzi agli standard previsti dall’articolo 30 e dai relativi atti delegati.

Nota operativa

Le autorità di vigilanza nazionali — in Italia, la Banca d’Italia e la CONSOB per i rispettivi ambiti di competenza — hanno adottato un approccio di supervisione inizialmente orientato all’analisi dei gap e alla verifica dei piani di adeguamento, come emerge dalla Comunicazione della Banca d’Italia del 30 dicembre 2024. Il 2026 segna tuttavia il passaggio a una fase di supervisione più incisiva: i programmi di lavoro dell’EBA e le priorità di vigilanza della BCE per il 2026-2028 indicano azioni mirate sulle entità finanziarie, con particolare attenzione alla gestione del rischio ICT, che nei cicli SREP del 2025 è risultata tra le aree con i punteggi medi più critici.

2.2 Gli atti di secondo livello: due set di RTS e ITS

Il Regolamento demanda alle ESAs — EBA, ESMA ed EIOPA congiuntamente — l’elaborazione di norme tecniche di regolamentazione (RTS) e di attuazione (ITS) su specifiche materie. Il Regolamento ha previsto due scadenze distinte per la presentazione di tali atti alla Commissione europea.

Il primo set di bozze finali è stato pubblicato dalle ESAs il 17 gennaio 2024 e comprende, tra l’altro, l’RTS sul quadro di gestione del rischio ICT e sul quadro semplificato, l’RTS sui criteri di classificazione degli incidenti ICT e l’ITS per il registro delle informazioni sui contratti con fornitori terzi. Il secondo set è stato pubblicato dalle ESAs il 17 luglio 2024 e riguarda, in particolare, l’RTS sui test di penetrazione basati su minacce (TLPT), l’RTS e ITS sulla segnalazione degli incidenti rilevanti, l’RTS sulla composizione del Joint Examination Team (JET) e l’RTS sulle condizioni per lo svolgimento delle attività di sorveglianza. La Commissione europea ha successivamente adottato i corrispondenti regolamenti delegati, alcuni dei quali — come il Regolamento delegato (UE) 2024/1774 sulla gestione dei rischi ICT di terzi — sono direttamente applicabili dal 17 gennaio 2025.

Taluni ulteriori mandati regolamentari risulterebbero ancora in corso di finalizzazione da parte delle ESAs o in attesa di adozione definitiva da parte della Commissione: un aspetto che potrebbe richiedere un monitoraggio continuativo da parte dei soggetti interessati.

2.3 La designazione dei fornitori terzi critici: primo ciclo completato, sorveglianza avviata

Il processo di designazione dei fornitori terzi critici si è concluso nel novembre 2025. Le ESAs hanno pubblicato il 18 novembre 2025 la prima lista ufficiale dei fornitori terzi critici di servizi TIC (CTPP) designati ai sensi dell’articolo 31 del Regolamento, a conclusione di un iter avviato con la raccolta dei Registri delle Informazioni entro il 30 aprile 2025 e proseguito con la valutazione di criticità, la notifica ai fornitori potenzialmente critici e un periodo di sei settimane per la presentazione di osservazioni. Complessivamente, diciannove fornitori hanno ricevuto la designazione e sono ora assoggettati alla sorveglianza diretta delle ESAs.

Per ciascun fornitore designato è stato individuato un Lead Overseer tra le tre ESAs, coadiuvato da un Joint Examination Team (JET). La sorveglianza si articola attorno a un processo di valutazione del rischio — denominato Oversight Risk Assessment Process (ORAP) — che si rinnova su base annuale, integrato da un piano di sorveglianza individuale e da un piano strategico pluriennale aggiornato ogni anno.

Nota operativa

Le entità finanziarie che si avvalgono dei servizi di uno o più fornitori inclusi nella lista dei CTPP designati potrebbero essere tenute a rivedere i propri contratti alla luce delle nuove implicazioni operative, ad aggiornare il registro dei rischi e a verificare l’adeguatezza delle exit strategy previste dall’articolo 28, paragrafo 8, del Regolamento. Il 2026 segna l’avvio delle prime ispezioni sostanziali da parte delle ESAs, con raccomandazioni potenzialmente vincolanti attese a carico di taluni dei fornitori designati.

2.4 Il 2026: primo anno di sorveglianza effettiva

Il 2026 rappresenta, secondo gli orientamenti prevalenti degli analisti e delle stesse autorità, il primo vero banco di prova dell’impianto DORA. Con la fase di designazione conclusa e la sorveglianza avviata, l’attenzione si sposta sull’effettiva operatività dei framework adottati dalle entità finanziarie e sulla solidità delle misure di resilienza implementate.

Sul fronte della sorveglianza dei CTPP, le ESAs sono attese a condurre le prime ispezioni sostanziali e a sviluppare raccomandazioni vincolanti per i fornitori critici. È inoltre prevista una rivalutazione annuale della criticità dei fornitori sulla base dei nuovi dati dei Registri delle Informazioni: la lista dei CTPP designati potrebbe pertanto subire variazioni — per aggiunta o sottrazione — nei cicli successivi. I fornitori non inclusi nel primo elenco ma che dovessero acquisire rilevanza sistemica nel corso del 2025-2026 potrebbero essere designati critici nei cicli di valutazione successivi; simmetricamente, fornitori già designati che abbiano ridotto significativamente la propria esposizione verso entità finanziarie europee potrebbero in linea di principio uscire dall’elenco.

Sul fronte delle entità finanziarie, i programmi di lavoro dell’EBA e le priorità di vigilanza della BCE per il triennio 2026-2028 segnalano un’intensificazione dell’attività ispettiva, con particolare attenzione alla gestione del rischio ICT — area che nei cicli di valutazione SREP del 2025 ha registrato i punteggi medi più critici — e all’implementazione operativa dei test TLPT per i soggetti tenuti a effettuarli.

3. Considerazioni conclusive

Il quadro normativo disegnato da DORA ha raggiunto, con il completamento del primo ciclo di designazione dei fornitori critici nel novembre 2025, una maturità operativa significativa. Il perimetro soggettivo e le scadenze fondamentali sono ormai definiti; il 2026 segna l’avvio di una fase di supervisione più incisiva, in cui la conformità dovrà essere dimostrata non più soltanto sul piano documentale ma attraverso l’effettiva operatività dei framework adottati.

Vale la pena ricordare che il Regolamento si pone come lex specialis rispetto alla direttiva (UE) 2022/2555 (NIS2) per le entità del settore finanziario: le questioni di coordinamento tra i due strumenti — pur disciplinate in via generale dall’articolo 1, paragrafo 2, di DORA — potrebbero richiedere approfondimenti interpretativi in sede applicativa, tanto più in un contesto in cui taluni dei CTPP designati sono soggetti anche alla vigilanza NIS2 da parte delle autorità nazionali competenti.

Alla luce di quanto precede, un’analisi di conformità strutturata — che verifichi l’effettiva operatività del framework di gestione del rischio ICT, valuti l’adeguatezza dei contratti con i fornitori designati come critici e tenga conto dell’evoluzione attesa della sorveglianza nel biennio 2026-2027 — appare lo strumento più efficace per presidiare i rischi di non conformità in un contesto regolatorio entrato ormai nella sua fase matura. La consulenza legale specializzata sembra, in tale prospettiva, un elemento non trascurabile di un approccio consapevole e prudente alla gestione del rischio regolatorio.

Avv. Domenico Balestra

Soggetti destinatari, soglie di applicazione e scadenze: un quadro orientativo in un contesto normativo ancora in evoluzione.

La Direttiva (UE) 2022/2555 — comunemente nota come NIS2 — appare destinata a ridisegnare in misura significativa il perimetro degli obblighi di cybersecurity per un ampio numero di organizzazioni operanti nell’Unione europea. Recepita in Italia con il D.Lgs. 138/2024, la disciplina solleva questioni applicative che, allo stato attuale, sembrano ancora in parte aperte.

Un perimetro soggettivo più ampio del previsto?

Rispetto alla precedente Direttiva NIS, il legislatore europeo ha optato per un’estensione considerevole del novero dei destinatari. La NIS2 distingue tra soggetti “essenziali” e soggetti “importanti”, operando una classificazione che potrebbe rivelarsi meno intuitiva di quanto appaia in prima lettura.

Rientrerebbero nella categoria dei soggetti essenziali — a mero titolo di esempio — gli operatori attivi nei settori dell’energia, dei trasporti, delle infrastrutture digitali, del settore bancario e delle infrastrutture dei mercati finanziari, della sanità e delle acque. I soggetti importanti comprenderebbero, tra gli altri, i servizi postali e di corriere, la gestione dei rifiuti, la produzione e distribuzione di alcune categorie di prodotti, nonché i fornitori di servizi digitali.

Il criterio dimensionale costituirebbe, in linea generale, il principale filtro di applicazione: la Direttiva si rivolgerebbe tendenzialmente alle medie e grandi imprese, individuate sulla base di soglie di fatturato e di organico. Tuttavia, l’art. 2 del D.Lgs. 138/2024 prevede talune eccezioni che potrebbero estendere gli obblighi anche a realtà di dimensioni inferiori, qualora ritenute critiche per la fornitura di determinati servizi. La valutazione caso per caso appare pertanto ineludibile.

Nota operativa — La qualificazione come soggetto essenziale o importante non discenderebbe automaticamente dal settore di attività, ma potrebbe dipendere da ulteriori elementi, tra cui il ruolo effettivo nella catena di fornitura e la rilevanza sistemica dell’organizzazione. Un’analisi preventiva appare opportuna prima di assumere di non rientrare nell’ambito applicativo.

Gli adempimenti: essenziali e importanti a confronto?

La distinzione tra le due categorie non rileva soltanto ai fini classificatori, ma potrebbe produrre conseguenze concrete sul piano degli obblighi sostanziali e del regime sanzionatorio applicabile. La Determinazione ACN n. 379907/2025 — in vigore dal 15 gennaio 2026, che abroga e sostituisce la precedente n. 164179/2025 — ha definito con maggiore precisione le misure di sicurezza di base, differenziandole tra le due categorie: i soggetti essenziali sarebbero tenuti ad adottare un insieme più ampio di misure rispetto ai soggetti importanti, secondo quanto stabilito rispettivamente negli Allegati 2 e 1 della medesima Determinazione.

Va precisato che il contenuto specifico di ciascun adempimento potrebbe essere ulteriormente definito dalle linee guida attuative dell’ACN, ancora in corso di emanazione. Le misure elencate devono pertanto essere intese come un quadro di riferimento orientativo, suscettibile di precisazioni e/o possibili modifiche in sede applicativa.

Nota operativa — La differenza tra le due categorie non riguarderebbe soltanto l’intensità degli obblighi, ma anche il regime di vigilanza: i soggetti essenziali sembrerebbero esposti a controlli proattivi da parte dell’ACN, mentre per i soggetti importanti la vigilanza si attiverebbe prevalentemente a seguito di incidenti o segnalazioni. I riferimenti tecnici sono gli Allegati 1 e 2 della Determinazione ACN n. 379907/2025, suscettibile di ulteriori aggiornamenti.

Il registro e la questione delle scadenze: un quadro orientativo?

L’Agenzia per la Cybersicurezza Nazionale (ACN) è stata designata quale autorità competente ai fini dell’attuazione della disciplina in Italia. Tra i principali adempimenti previsti figura l’obbligo di registrazione sulla piattaforma ACN: la prima finestra di iscrizione si sarebbe chiusa il 28 febbraio 2025, con le comunicazioni ufficiali di inserimento nell’elenco avviate dall’ACN a partire dal 12 aprile 2025. Da quella data decorrerebbero i termini individuali per ciascun soggetto.

Le scadenze operative — calcolate dalla ricezione della comunicazione di inserimento — si articolerebbero come segue: entro 9 mesi (orientativamente gennaio 2026) diverrebbero operative le notifiche obbligatorie degli incidenti significativi; entro 18 mesi (orientativamente ottobre 2026) dovrebbero essere adottate le misure tecniche e organizzative di base previste dalla Determinazione ACN n. 379907/2025.

Va osservato che il quadro delle scadenze operative appare ancora suscettibile di precisazioni, in quanto l’ACN sta progressivamente emanando linee guida settoriali aggiuntive. In determinate circostanze, le tempistiche effettive potrebbero risultare differenti a seconda della data in cui ciascun soggetto ha ricevuto la comunicazione di inserimento nell’elenco.

Nota operativa — Le scadenze non sarebbero uniformi per tutti i soggetti, ma decorrerebbero individualmente dalla ricezione della comunicazione ACN. Per i soggetti inseriti nell’elenco per la prima volta nel 2026, i termini applicabili potrebbero risultare diversi. Appare opportuno verificare la propria posizione specifica sulla piattaforma ACN.

Le implicazioni organizzative: una sfida di governance?

Al di là degli adempimenti formali, la NIS2 sembra orientata a produrre effetti strutturali sull’assetto interno delle organizzazioni. Non è infrequente che la gestione della cybersecurity e quella della compliance operino, nelle realtà aziendali, su binari distinti, con metodologie che riflettono le specificità di ciascuna funzione. La Direttiva potrebbe rendere necessaria, in taluni contesti, una maggiore integrazione tra tali ambiti.

La responsabilità degli organi di amministrazione in relazione all’approvazione e supervisione delle misure di sicurezza sembrerebbe destinata ad assumere un rilievo crescente nell’interpretazione delle autorità competenti — con possibili ricadute anche sul piano della responsabilità personale degli amministratori.

Il perimetro applicativo della NIS2 e le sue implicazioni operative restano, allo stato attuale, oggetto di un’elaborazione normativa e interpretativa non ancora consolidata. Un approccio prudente — che valuti con anticipo l’eventuale soggezione alla disciplina e pianifichi gli adeguamenti necessari — appare preferibile all’attesa di un quadro definitivo che potrebbe non giungere in tempi brevi.

Avv. Domenico Balestra

Due sistemi normativi distinti, un obiettivo apparentemente comune: la gestione del rischio di illecito nell’impresa.

Un’integrazione che, in alcuni contesti, potrebbe rivelarsi opportuna?

Per lungo tempo trattati come ambiti distinti, la normativa antiriciclaggio e la disciplina della responsabilità amministrativa degli enti ex D.Lgs. 231/2001 sembrano rivelare, ad un’analisi più attenta, alcune strutture di fondo comuni. Entrambi i sistemi appaiono orientati a presidiare la legalità dell’impresa; entrambi sembrano richiedere non un mero adempimento formale, bensì una cultura organizzativa genuinamente orientata alla prevenzione.

Com’è noto, il D.Lgs. 231/2001 ha introdotto nel sistema italiano un regime di responsabilità “da reato” in capo agli enti collettivi, subordinando l’esonero dalla sanzione all’adozione di Modelli Organizzativi ritenuti idonei e alla vigilanza di un Organismo di Controllo dotato di adeguata indipendenza.

Da parte sua, la normativa antiriciclaggio — oggi disciplinata principalmente dal D.Lgs. 231/2007 e progressivamente modellata dalle direttive europee (IV, V e VI AMLD) — prevede invece obblighi di adeguata verifica, profilazione del rischio, segnalazione delle operazioni sospette e aggiornamento periodico del personale.

La distanza tra i due regimi, in alcune pratiche aziendali, potrebbe tuttavia rivelarsi più apparente che reale. Un elemento di possibile raccordo è rappresentato dal cosiddetto risk-based approach: entrambi i sistemi sembrerebbero richiedere all’impresa di mappare le proprie esposizioni specifiche, di allocare presidi tendenzialmente proporzionati alla loro severità, e di documentare — in modo verificabile — il processo valutativo seguito. Un’organizzazione che già gestisce il rischio 231 potrebbe, forse, disporre dell’architettura concettuale — e in taluni casi delle stesse procedure operative — potenzialmente utile anche per soddisfare gli obblighi AML.

Un presidio del rischio frammentato in vasi non comunicanti tra loro potrebbe, in certi scenari, presentare delle problematiche; la convergenza AML-231 appare, prima di tutto, una sfida di governance.

I QUATTRO ASSI DI POSSIBILE CONVERGENZA

1) Mappatura del rischio

Il rischio riciclaggio e il rischio reato ex 231 potrebbero, in determinati contesti, insistere sulle stesse controparti, gli stessi mercati, le stesse vulnerabilità organizzative.

Entrambi i framework normativi sembrano orientati verso un approccio basato sul rischio — non una checklist statica, bensì un processo dinamico di identificazione, valutazione e trattamento delle esposizioni specifiche dell’ente. La risk assessment AML e quella 231 condividerebbero, almeno in linea di principio, una logica affine: individuare le aree sensibili, ponderarne la probabilità e l’impatto potenziale, definire presidi tendenzialmente proporzionati.

Non è infrequente che le due valutazioni vengano gestite nell’ambito di funzioni distinte, con metodologie che riflettono le specificità di ciascun regime normativo. Ne potrebbe derivare, a mero titolo di esempio, una situazione in cui un cliente classificato a basso rischio AML risulti esposto, in determinate circostanze, a profili di rischio rilevanti sotto il profilo 231 — o viceversa.

NOTA OPERATIVA    L’adozione di una matrice di rischio integrata — condivisa tra Legal, Compliance Officer e AML Officer — potrebbe consentire di ridurre le ridondanze e di offrire all’OdV 231 e alle autorità di vigilanza una rappresentazione più coerente del profilo di rischio dell’ente. La fattibilità e l’opportunità di tale soluzione vanno valutate in considerazione delle specificità organizzative di ciascuna realtà.

2) Flussi informativi e segnalazione

L’obbligo di segnalare alla UIF e il dovere di informare l’OdV sembrano convergere, almeno in parte, verso un requisito comune: che l’informazione anomala emerga e venga gestita in modo tempestivo.

Il D.Lgs. 231/2007 prevede obblighi di segnalazione delle operazioni sospette alla Unità di Informazione Finanziaria. Il Modello Organizzativo 231, per essere ritenuto efficacemente attuato, sembrerebbe dover prevedere flussi informativi strutturati verso l’Organismo di Vigilanza sulle anomalie rilevate nei processi sensibili. In taluni casi, i due binari potrebbero trasportare informazioni analoghe o sovrapponibili.

Il D.Lgs. 24/2023 sul whistleblowing ha introdotto un canale interno obbligatorio per la segnalazione di illeciti — disposizione trasversale che appare potenzialmente applicabile tanto alle violazioni 231 quanto a determinate fattispecie in materia di antiriciclaggio. Un sistema di segnalazione correttamente strutturato potrebbe, in linea di principio, servire entrambe le finalità, pur nel rispetto delle specificità procedurali previste da ciascun regime.

NOTA OPERATIVA    La progettazione del canale interno andrebbe valutata tenendo conto dei diversi destinatari istituzionali (UIF vs OdV), dei termini previsti dalla legge, delle garanzie di riservatezza e dei protocolli di escalation. Un sistema non adeguatamente coordinato potrebbe addirittura, in taluni casi, esporre gli esponenti aziendali a profili di responsabilità personale.

3) Formazione e cultura organizzativa

L’efficacia di qualsiasi presidio appare condizionata dalla comprensione che ne hanno coloro che sono chiamati ad applicarlo. La formazione potrebbe rappresentare il meccanismo attraverso cui la norma si traduce, almeno tendenzialmente, in comportamento.

La normativa AML prevede obblighi di formazione periodica e documentata del personale esposto, con contenuti calibrati sul ruolo e sul profilo di rischio. Il Modello 231, per essere ritenuto efficacemente attuato da parte della giurisprudenza, dovrebbe dimostrare che i protocolli siano stati adeguatamente comunicati e compresi — e non meramente pubblicati. Si tratta di requisiti che, almeno in linea di principio, sembrano accomunati dalla medesima ratio preventiva.

A mero titolo di esempio, potrebbe verificarsi che la formazione AML e quella 231 vengano erogate nell’ambito di percorsi distinti, con il rischio che il personale riceva messaggi non sempre del tutto coerenti tra loro. Un piano formativo integrato potrebbe, in taluni contesti, produrre una cultura organizzativa più omogenea e un’accountability individuale più solida — elementi che alcuni orientamenti giurisprudenziali tendono a valorizzare nella valutazione dell’efficacia esimente del Modello, pur senza che tale valutazione segua criteri uniformi e predeterminati.

NOTA OPERATIVA    Alcuni orientamenti giurisprudenziali sembrano valorizzare la concretezza della formazione erogata: test di comprensione, registri di presenza, aggiornamenti periodici. Indicatori analoghi appaiono rilevanti anche in sede ispettiva AML, sebbene vada sempre tenuto a mente che i criteri di valutazione possano variare a seconda dell’Autorità competente e del contesto specifico.

4) Tenuta probatoria e difesa istituzionale

La documentazione dei presidi adottati potrebbe assumere rilevanza significativa in caso di indagine, contribuendo — insieme ad altri elementi — a dimostrare l’esistenza e la concreta attuazione delle misure preventive.

In caso di coinvolgimento dell’ente in un procedimento per reati presupposto 231, l’Autorità procedente potrebbe richiedere di esaminare il Modello Organizzativo, le delibere dell’OdV, i verbali di audit, i piani di formazione e i flussi di segnalazione. Analogamente, nel corso di un’ispezione AML, le Autorità competenti potrebbero richiedere la documentazione relativa all’adeguata verifica, i fascicoli clienti e le evidenze delle segnalazioni effettuate.

A mero titolo esemplificativo, una gestione documentale frammentata potrebbe rendere più difficoltosa la dimostrazione dell’effettiva attuazione dei presidi — indipendentemente dalla loro reale esistenza. Un sistema di archiviazione strutturato secondo una logica di processo, con adeguata tracciabilità delle approvazioni, potrebbe pertanto rappresentare un elemento utile nella prospettiva difensiva, pur non costituendo di per sé una garanzia di esito favorevole.

NOTA OPERATIVA    La normativa AML prevede termini di conservazione documentale (fino a dieci anni per i fascicoli di adeguata verifica) che potrebbero risultare più estesi rispetto a quelli ordinariamente adottati nell’ambito dei MOG 231. Un’armonizzazione delle politiche di conservazione sembrerebbe poter apparire opportuna, in particolare per gli enti potenzialmente esposti a contenziosi con ampio perimetro temporale.

Avv. Domenico Balestra

Con l’entrata in piena operatività dell’AI Act europeo, il panorama della conformità si arricchisce di un nuovo istituto: la Fundamental Rights Impact Assessment. Per i soggetti già avvezzi alla DPIA del GDPR, il déjà vu è immediato — e non è casuale.

La Data Protection Impact Assessment (DPIA), disciplinata dall’art. 35 GDPR, impone una valutazione sistematica del rischio quando un trattamento è suscettibile di generare un rischio elevato per i diritti e le libertà delle persone fisiche. La Fundamental Rights Impact Assessment (FRIA), introdotta dall’art. 27 dell’AI Act per i deployer di sistemi AI ad alto rischio in contesti pubblici o di interesse pubblico, estende questa logica all’intero spettro dei diritti fondamentali garantiti dalla Carta di Nizza — dal diritto al lavoro alla non discriminazione, dalla libertà di espressione all’accesso alla giustizia.

• Valutazione ex ante del rischio: sia la DPIA che la FRIA impongono un’analisi preventiva, da condurre prima dell’avvio del trattamento o del deployment del sistema. L’obiettivo è anticipare le conseguenze negative anziché rilevarle a posteriori, spostando la logica di compliance dalla reazione alla prevenzione;
• Principio di accountability: entrambi gli strumenti incarnano la responsabilizzazione attiva del soggetto obbligato: non basta conformarsi, occorre dimostrare di averlo fatto. Il titolare del trattamento (sotto il GDPR) e il deployer (sotto l’AI Act) sono chiamati a costruire e conservare evidenza documentale delle scelte effettuate e delle ragioni che le sorreggono;
• Documentazione strutturata: tutte le due valutazioni richiedono una forma scritta e articolata, che segua uno schema logico riproducibile: descrizione del contesto, identificazione dei rischi, misure adottate, esito della valutazione. Questa struttura non è mero formalismo: è lo strumento che rende il ragionamento verificabile da parte delle autorità di controllo;
• Misure proporzionate di mitigazione: In nessuno dei due regimi la mera identificazione del rischio è sufficiente: occorre adottare misure — tecniche, organizzative o procedurali — adeguate alla natura e all’entità del rischio rilevato. Il principio di proporzionalità governa entrambi i percorsi, scoraggiando tanto l’inerzia quanto l’eccesso di restrizione;
• Aggiornamento periodico: Né la DPIA né la FRIA sono adempimenti esauribili in un unico momento. Entrambe le normative presuppongono una revisione continua, da attivare al mutare delle condizioni di trattamento o del contesto applicativo del sistema AI. La compliance non è uno stato acquisito, ma un processo dinamico che segue l’evoluzione tecnologica e organizzativa.

Entrambi gli strumenti condividono una medesima architettura concettuale: identificare i rischi prima che si materializzino, documentarne la valutazione, adottare misure proporzionate e garantire tracciabilità. D’altra parte, ciò non dovrebbe stupire, laddove si pensi che la FRIA è, in larga misura, figlia intellettuale della DPIA, elaborata mutuandone la struttura logica e adattandola alle specificità dei sistemi automatizzati decisionali.

Nei sistemi AI che trattano dati personali — scenario ormai tutt’altro che eccezionale — le due valutazioni si sovrappongono parzialmente. La profilazione algoritmica di soggetti vulnerabili, ad esempio, è simultaneamente un trattamento ad alto rischio ai sensi GDPR e un sistema AI ad alto rischio ai sensi AI Act.

Il Regolamento AI Act non esclude esplicitamente la possibilità di redigere un documento unificato. La Commissione europea ha anzi auspicato, nei considerando, forme di coordinamento tra i due regimi per evitare oneri duplicati. In sede applicativa, diverse autorità di controllo hanno già suggerito approcci integrati.

Un documento congiunto DPIA/FRIA potrebbe, per ipotesi, essere tecnicamente praticabile se strutturato per blocchi modulari: ad esempio, una sezione comune (contesto del sistema, categorie di interessati, finalità del trattamento) e sezioni specializzate che rispondono agli specifici requisiti normativi di ciascuno strumento. L’integrità formale di entrambe le valutazioni deve tuttavia essere preservata: la fusione non può tradursi in semplificazione, ma in coordinamento.

Permane, invero, una tensione strutturale: la DPIA guarda alla persona come titolare di dati, laddove la FRIA la guarda come titolare di diritti.

Il potenziale rischio del documento unico potrebbe quindi essere quello di appiattire questa distinzione, perdendo la profondità analitica che ciascuno strumento garantisce nella propria autonomia.

Avv. Domenico Balestra

Andiamo oggi ad analizzare uno dei due tipi più diffusi di polizze linked, e cioè le index-linked.

Come già si può intuire dal nome, in questo tipo di polizze la prestazione dell’assicuratore è collegata all’andamento di un indice finanziario specificato in polizza, che può essere un indice standard  (ad esempio FTSE MIB, S&P500) oppure misurato ad hoc su un paniere di titoli, o ancora un saggio di interesse.

Pertanto, alla scadenza, il beneficiario riceverà l’importo dei premi convenuti, maggiorato dell’eventuale incremento dell’indice prescelto (o di una frazione del medesimo), con la conseguenza che in caso di mancato rendimento sarà il beneficiario medesimo ad accollarsi il relativo rischio (al netto di eventuali minimi garantiti).

Qual è quindi il ruolo dell’assicuratore in questo meccanismo, posto che in astratto, se la polizza fosse collegata all’andamento degli stessi titoli acquistati a copertura, l’assicurazione non correrebbe rischio alcuno, limitandosi di fatto ad acquistare titoli per conto del cliente?

Premesso che tale possibilità è stata definitivamente negata con Regolamento ISVAP 32/2009, il compito più semplice per l’assicuratore sarà quindi quello di investire i premi (ovviamente al netto di imposte e margine) in strumenti finanziari il cui rendimento sia il più possibile replicativo dell’indice finanziario collegato alla polizza; in questo modo, l’andamento dei due indici sarà, verosimilmente, uniforme, e l’assicurazione non correrà il rischio di dover pagare una maggiorazione non realmente percepita.

Ovviamente, investitori più bravi o propensi al rischio potrebbero invece cercare strumenti finanziari in grado di assicurare loro una resa maggiore rispetto all’indice collegato alla polizza, lucrando sulla differenza di rendimento; rimane il fatto che, in caso di rendimento negativo, i pagamenti al beneficiario rimangono comunque da effettuarsi sulla base dell’indice linked, con relativo rischio a carico dell’assicurazione.

Analizzeremo prossimamente l‘altro tipo di polizza linked (unit-linked).

Avv. Domenico Balestra