Scenario: il registro DORA pronto per l'ispezione

Un gruppo bancario con una capogruppo e due banche controllate lavora con circa 230 fornitori di servizi tecnologici. Ci sono il sistema informativo principale, i servizi di pagamento, la posta elettronica, i data center di riserva, le app, decine di piccoli programmi comprati da singoli uffici. I contratti sono circa 420, con allegati, rinnovi e modifiche firmati in anni diversi.

Paolo è responsabile del rischio tecnologico e dei fornitori. Il regolamento europeo DORA gli chiede un registro delle informazioni su ogni accordo: che servizio copre, quali funzioni della banca sostiene, dove stanno i dati, chi sono i sub-fornitori, quando scade, come si esce. Il registro va tenuto aggiornato e trasmesso all'autorità quando lo chiede.

Oggi Paolo lo tiene in un grande foglio di calcolo. Ogni riga nasce leggendo un contratto a mano, spesso cercando l'allegato giusto in una cartella dell'ufficio acquisti. Quando un contratto viene rinnovato, nessuno avvisa il suo ufficio. Quando arriva una richiesta della vigilanza, due persone passano tre settimane a ricontrollare tutto.

Il problema non è solo il tempo. Il foglio di calcolo non dice da dove viene un dato. Se un ispettore chiede perché un servizio risulta trattato in Italia, Paolo deve ritrovare il contratto e la pagina. Se il collega che aveva compilato la riga ha cambiato ufficio, la ricerca ricomincia da capo.

In più, i contratti vecchi spesso non hanno le clausole minime che DORA richiede: diritto di accesso e di ispezione, obblighi di assistenza in caso di incidente, diritto di recesso, collaborazione nei test. Paolo sa che ci sono lacune, ma non sa dove. E non sa quali riguardano i fornitori più importanti per la banca.

L'assistente si collega in sola lettura agli archivi dei contratti di acquisti, ufficio legale e sistemi informativi.

1. Legge ogni contratto con i suoi allegati e le modifiche successive, in ordine di data.
2. Riempie i campi del registro: fornitore, servizio, funzione della banca sostenuta, luogo di trattamento dei dati, sub-fornitori dichiarati, durata, preavviso di recesso. Ogni campo porta con sé la pagina e il paragrafo da cui viene.
3. Confronta il contratto con l'elenco delle clausole minime e segnala quelle assenti o deboli, con il paragrafo più vicino trovato.
4. Tiene d'occhio le scadenze: rinnovi, preavvisi di disdetta, date dei test concordati.
5. Quando entra in archivio un contratto nuovo o una modifica, prepara la riga aggiornata e la mette in attesa di approvazione.
6. Confronta ogni mese i fornitori pagati dalla contabilità con quelli a registro, per trovare i servizi comprati senza passare dal suo ufficio.

Dove si ferma e chiede. Il sistema non decide se una funzione è critica o importante: propone, con il motivo, e decide Paolo con i responsabili dei processi. Se un contratto non dice dove stanno i dati, non lo deduce: lascia il campo vuoto e prepara la domanda da mandare al fornitore. Se due documenti si contraddicono, mostra entrambi.

Cosa resta alle persone. Paolo approva ogni riga prima che entri nel registro ufficiale. Decide lui, con i responsabili dei processi, quali funzioni sono critiche o importanti. L'ufficio legale rinegozia le clausole mancanti. La direzione decide sulle strategie di uscita. Il registro trasmesso all'autorità lo firma chi ne ha la responsabilità.

Lo stesso metodo vale per il censimento dei contratti di esternalizzazione non tecnologici e per il registro dei sistemi di intelligenza artificiale: vedete cosa possiamo rifare.

Paolo, il giorno in cui arriva dalla vigilanza una richiesta di aggiornamento del registro.

Il guadagno più grande non è la velocità. È sapere, per ogni riga del registro, da quale pagina viene e chi l'ha approvata.

• DORA, Regolamento (UE) 2022/2554 sulla resilienza operativa digitale, applicato dal 17 gennaio 2025: registro delle informazioni sugli accordi con i fornitori di servizi tecnologici, clausole contrattuali minime, strategia di uscita per le funzioni critiche o importanti, test di resilienza, segnalazione degli incidenti gravi.
• Norme tecniche collegate a DORA: fissano il contenuto e il formato del registro e il modo di trasmetterlo. Il sistema segue il modello in vigore; quando cambia, si aggiorna l'elenco dei campi.
• Orientamenti EBA sull'esternalizzazione: per gli accordi che non ricadono in DORA restano valide le regole su valutazione, controllo e uscita dal fornitore.
• Vigilanza di Banca d'Italia: è l'autorità a cui la banca trasmette il registro e che può chiederne l'aggiornamento.

Non è un parere legale: è la base per il confronto con il vostro ufficio legale e con la funzione di gestione dei rischi.

Nella demo Documenti fate una domanda su un contratto di prova e vedete la clausola evidenziata, con la pagina da cui viene. I contratti sono inventati. Aprite la demo