EBA: Documento di consultazione per la corretta gestione del rischio derivante da terze parti per i servizi non ICT

Nel dettaglio l’EBA richiede che il Consiglio di Amministrazione mantenga sempre la piena responsabilità nella gestione dei rischi, anche quando si ricorre a fornitori esterni. A riguardo, è essenziale avere una politica interna che venga costantemente aggiornata per governare questi rapporti.

Prima di stipulare un accordo, va effettuata una due diligence accurata sul fornitore e va valutato se la funzione affidata sia “critica” o “importante”, cioè tale da poter compromettere l’operatività dell’ente in caso di malfunzionamenti, così da poter mettere in atto un controllo più stringente sul fornitore del servizio. Il contratto deve essere dettagliato: deve prevedere regole relative a eventuali subesternalizzazioni, accesso alle informazioni, possibilità di audit e modalità di uscita (exit strategy). In caso di funzioni critiche, le subesternalizzazioni richiedono condizioni particolari.

Una volta attivata la collaborazione, il fornitore deve essere monitorato in modo costante, con la possibilità per l’ente di esercitare controlli e ispezioni. Infine, le Autorità di vigilanza devono poter individuare situazioni di rischio sistemico, come la concentrazione eccessiva di fornitori utilizzati da più enti contemporaneamente.