EBA ha pubblicato la versione definitiva delle Linee guida sulla gestione del rischio di terze parti per i servizi non-ICT (EBA/GL/2026/09), elaborate a seguito della consultazione pubblica avviata l’8 luglio 2025.
Il documento definisce il quadro regolamentare europeo di soft law in materia di dispositivi di governance interna e gestione del rischio per il ricorso a fornitori di servizi terzi (Third-Party Service Provider – TPSP) non rientranti nell’ambito dei servizi ICT.
L’intervento risponde all’esigenza di aggiornare la disciplina precedentemente contenuta negli Orientamenti EBA in materia di esternalizzazione (EBA/GL/2019/02), al fine di raccordare l’architettura di vigilanza prudenziale con l’avvenuta entrata in vigore del Regolamento (UE) 2022/2554 (DORA) e garantire la stabilità del sistema finanziario dell’Unione europea.
La ridefinizione del perimetro applicativo e il rapporto con il Regolamento DORA
EBA ricorda preliminarmente che con l’applicazione del DORA, la disciplina del rischio informatico e dei servizi tecnologici forniti da terzi è stata attratta in via esclusiva ed autonoma nella normativa di livello primario dell’Unione.
Di conseguenza, le nuove Linee guida EBA intervengono a disciplinare il perimetro residuo dei servizi non-ICT, sostituendo integralmente i precedenti Orientamenti EBA/GL/2019/02.
L’ambito dei soggetti destinatari delle Linee guida viene contestualmente ampliato per assicurare parità di condizioni concorrenziali (level playing field) nel mercato finanziario. Tra le principali categorie di enti tenuti al rispetto della disciplina si evidenziano:
- gli enti di credito e le imprese di investimento soggette alla CRD V e alla Direttiva (UE) 2019/2034
- gli istituti di pagamento e gli istituti di moneta elettronica di cui alla PSD 2 e alla Direttiva 2009/110/CE
- gli emittenti di token collegati ad attività (ART) introdotti dal MiCAR.
I principali elementi di novità rispetto agli Orientamenti del 2019
Rispetto al precedente framework EBA/GL/2019/02, la nuova disciplina introduce una sensibile evoluzione concettuale e operativa, passando dalla nozione tradizionale di esternalizzazione (outsourcing) a quella più ampia di accordo con terze parti (Third-Party Arrangement – TPA), e recependo così l’approccio olistico al rischio di terza parte (Third-Party Risk Management – TPRM), che integra presidi differenziati, in funzione della rilevanza delle funzioni supportate.
Tra i principali elementi di discontinuità si rilevano:
- il superamento del perimetro limitato all’outsourcing, con l’estensione delle valutazioni di rischio a tutti gli accordi contrattuali ricorrenti o continuativi (“on a recurrent or ongoing basis”) con terze parti che impattano sulle operatività aziendali
- l’armonizzazione delle definizioni operative con i parametri di DORA, con specifico riguardo alla qualificazione delle Funzioni Essenziali o Importanti (FEI / Critical or Important Functions – CIF)
- la strutturazione del Registro delle Informazioni sui rapporti contrattuali non-ICT in continuità e compatibilità con il modello di registro informatico previsto per i servizi ICT, consentendo alle entità finanziarie l’adozione di una mappatura unica ed integrata delle dipendenze operative
- il rafforzamento dei controlli sulla catena di sub-fornitura (subcontracting), imponendo la tracciabilità delle dipendenze e la sussistenza di diritti di accesso, ispezione e audit in capo all’entità finanziaria e alle Autorità competenti anche verso i sub-fornitori rilevanti: nella versione definitiva delle linee guida il perimetro degli obblighi di monitoraggio e registrazione della catena di subappalto è stato focalizzato in modo più selettivo sui sub-fornitori che sostengono effettivamente ed in modo diretto la prestazione del servizio non-ICT a supporto della funzione essenziale o importante (“subcontractors effectively underpinning the service”)
Rischio terze parti: governance aziendale e due diligence
Sotto il profilo degli assetti organizzativi, l’organo di gestione delle entità finanziarie mantiene la responsabilità finale inalienabile sulla gestione dei rischi ed è tenuto ad approvare e riesaminare periodicamente una strategia sul rischio di terze parti, che deve includere una politica di gestione del rischio di terze parti commisurata al Risk Appetite Framework (RAF) aziendale, integrabile o coordinabile con la politica dei servizi ICT.
Nella fase precontrattuale, inoltre, viene prescritto l’esperimento di una rigorosa due diligence proporzionata alla criticità del servizio, con particolare attenzione ai rischi di concentrazione, alle dipendenze geografiche relative a fornitori ubicati in Paesi terzi ed alla sostenibilità operativa dei piani di ripristino e delle exit strategy.
Sono infine previsti requisiti contrattuali più stringenti e analitici (tra cui i piani formali di ripristino, le exit strategies e i diritti di ispezione approfonditi) nonché obblighi di formalizzazione di strategie di uscita documentate solo ed esclusivamente per gli accordi a supporto di servizi non-ICT relativi a funzioni essenziali o importanti.
Il regime transitorio per l’applicazione delle linee guida sulla gestione del rischio terze parti
EBA ha introdotto un regime transitorio differenziato per il riesame, l’aggiornamento e la documentazione dei contratti esistenti con terze parti non-ICT:
- due anni dall’entrata in vigore delle linee guida per il completamento della revisione e della documentazione contrattuale degli accordi a supporto di Funzioni Essenziali o Importanti (FEI)
- per gli accordi aventi ad oggetto funzioni non critiche o non importanti, il riesame e l’adeguamento documentale potranno essere effettuati in occasione del primo rinnovo contrattuale, riducendo l’impatto operativo immediato per gli enti.
