IA e resilienza operativa digitale: le nuove regole per banche e assicurazioni

L'evoluzione dell'Intelligenza Artificiale sta modificando rapidamente il panorama delle minacce informatiche. Strumenti sempre più avanzati consentono oggi di individuare vulnerabilità, automatizzare le attività di attacco e ridurre in modo significativo il tempo necessario per sfruttare le debolezze presenti nei sistemi informativi.

Per banche, intermediari finanziari e imprese assicurative questo significa dover affrontare un contesto di rischio profondamente diverso rispetto al passato, caratterizzato da una crescente velocità di evoluzione delle minacce e da una maggiore complessità degli scenari cyber. È proprio alla luce di questi cambiamenti che Banca d'Italia, IVASS e la Vigilanza bancaria europea hanno richiamato l'attenzione degli operatori sulla necessità di rafforzare la resilienza operativa digitale e di rivalutare l'efficacia dei presidi già in essere.

Il quadro normativo: il DORA è sufficiente?

Le recenti comunicazioni delle Autorità non introducono un nuovo framework normativo e confermano la piena validità degli obblighi già previsti dal Digital Operational Resilience Act (DORA). Il messaggio sottostante, tuttavia, è chiaro: la conformità formale rappresenta un punto di partenza, non un punto di arrivo.

Le organizzazioni sono chiamate a comprendere se i propri modelli di governo, controllo e gestione dei rischi siano realmente adeguati rispetto alle minacce abilitate dall'Intelligenza Artificiale e al nuovo contesto tecnologico. Governance, gestione dei fornitori ICT, monitoraggio delle vulnerabilità, protezione degli asset critici, capacità di rilevazione e risposta e attività di testing assumono oggi un'importanza ancora maggiore.

Cosa viene richiesto a banche e assicurazioni

Le Autorità chiedono alle organizzazioni vigilate di effettuare una valutazione strutturata del proprio livello di esposizione ai rischi ICT, cyber e connessi all'Intelligenza Artificiale, oltre che dell'adeguatezza dei presidi adottati.

L'esito di tale percorso dovrà confluire in una Relazione che descriva il livello di rischio attuale, le principali aree di miglioramento e le relative priorità di intervento. Alla Relazione dovrà essere allegato un Piano di lavoro contenente le azioni da realizzare, gli investimenti necessari, le tempistiche previste e le modalità attraverso cui il Consiglio di Amministrazione monitorerà l'avanzamento delle iniziative.

La documentazione dovrà essere trasmessa all'Autorità competente entro il 31 dicembre 2026.

Un approccio specifico per banche e assicurazioni

Sebbene l'iniziativa nasca da una richiesta delle Autorità, molte organizzazioni stanno cogliendo questa occasione per effettuare una valutazione complessiva della propria postura di resilienza operativa digitale. L'esercizio consente infatti di ottenere una visione integrata dei rischi digitali, di identificare in modo strutturato le aree prioritarie di intervento, di allineare investimenti tecnologici e obiettivi di business e di rafforzare il coinvolgimento degli organi aziendali sui temi cyber e digitali.

In un contesto in cui i rischi evolvono rapidamente, la capacità di anticipare le vulnerabilità e pianificare gli interventi diventa un elemento distintivo per la protezione del valore aziendale e della continuità operativa.

Sebbene il messaggio delle Autorità sia sostanzialmente allineato per i due comparti, banche e imprese assicurative si confrontano con interlocutori di vigilanza distinti e con proprie specificità organizzative.

Come possiamo aiutarvi

Forvis Mazars supporta banche, intermediari finanziari e imprese assicurative nell'intero percorso richiesto dalle Autorità, combinando competenze specialistiche in materia di resilienza operativa digitale, cybersecurity, ICT risk management, governance e compliance regolamentare.

I nostri team affiancano le organizzazioni nella valutazione del livello di esposizione ai rischi ICT, cyber e AI, nell'analisi dell'adeguatezza dei presidi esistenti e nell'identificazione dei gap e delle priorità di intervento. Il supporto prosegue nella predisposizione della Relazione richiesta dall'Autorità e nella definizione del Piano di rafforzamento operativo, fino ad accompagnare il coinvolgimento degli organi aziendali e delle funzioni di controllo lungo l'intero percorso.

L'obiettivo è trasformare una scadenza regolamentare in un percorso concreto di rafforzamento della resilienza operativa digitale, creando le basi per affrontare con maggiore consapevolezza le sfide poste dall'evoluzione tecnologica e dall'Intelligenza Artificiale.

Qual è il livello di adeguatezza della tua organizzazione rispetto alle nuove aspettative delle Autorità?

Contattaci e scopri di più