Il contratto dice “hosting”. Il team operativo usa invece cloud, monitoraggio, backup, supporto, due subfornitori e una procedura di uscita mai provata. Quando il rinnovo arriva, legale, procurement e tecnologia discutono clausole diverse perché ciascuno vede soltanto una parte del servizio. DORA, applicabile dal 17 gennaio 2025, rende quella distanza un problema di resilienza: l’entità finanziaria deve conoscere gli accordi TIC, distinguere le funzioni critiche o importanti e governare rischio, incidenti, subfornitura e uscita. Il primo acquisto utile è la riconciliazione di un contratto, un servizio operativo e una riga del registro delle informazioni. Questa lettura mostra come trasformarla in una decisione prima del rinnovo e in un controllo ricorrente del fornitore, senza trasferire al fornitore la responsabilità dell’entità né promettere conformità, approvazione contrattuale o continuità assoluta.
Quale accordo deve entrare nel registro delle informazioni DORA?
Il registro DORA comprende gli accordi contrattuali per l’uso di servizi TIC forniti da terze parti, documentati secondo i modelli applicabili. Deve distinguere quelli che sostengono funzioni critiche o importanti, ma non può limitarsi ai soli contratti che procurement chiama “tecnologici”.
La ricerca parte da contabilità fornitori, contratti, ordini, inventari applicativi e interviste ai proprietari di funzione. Licenze, supporto, data feed, telecomunicazioni e servizi infragruppo possono richiedere attenzione in base al servizio reale. Ogni accordo riceve un riferimento univoco e viene collegato alle entità e alle funzioni pertinenti.
- Contratto, allegati e livelli di servizio
- Funzione finanziaria e processo supportato
- Servizi TIC, dati e localizzazioni
- Fornitori diretti e subfornitori
- Incidenti, test, uscita ed evidenze
Perché funzione critica e fornitore critico non sono la stessa cosa?
La funzione critica o importante appartiene all’attività dell’entità finanziaria; un fornitore TIC critico è invece una designazione europea soggetta al quadro di sorveglianza DORA. Un fornitore non diventa “critico DORA” perché è strategico per un cliente, ma il servizio che offre può comunque sostenere una funzione critica o importante.
Questa distinzione cambia il messaggio commerciale. Il fornitore prepara evidenze utili ai clienti senza presentarsi come autorità di classificazione. L’entità mantiene la propria valutazione di funzione, rischio e proporzionalità.
- id6a76376b11a53f0001fa3447
- chartTypebar
- isModelledDatatrue
- rawtype: classification-matrix title: Separare funzione, servizio e fornitore axes: horizontal: Impatto del servizio sulla funzione vertical: Sostituibilità e concentrazione quadrants: - Standard e sostituibile - Importante ma sostituibile - Dipendenza elevata da verificare - Funzione critica o importante con forte dipendenza note: Matrice di lavoro; non attribuisce lo status europeo di fornitore critico.
- axes
- quadrantsStandard e sostituibile · Importante ma sostituibile · Dipendenza elevata da verificare · Funzione critica o importante con forte dipendenza
Che cosa deve consegnare la prima riconciliazione acquistabile?
La riconciliazione deve consegnare la mappa contratto-servizio-funzione, la riga del registro compilabile, le clausole mancanti o incoerenti, i subfornitori conosciuti, le prove operative, i punti di escalation e una decisione per il rinnovo. Il perimetro è un accordo, non l’intero portafoglio TIC.
Il cliente fornisce contratto e allegati, riga esistente del registro, proprietario della funzione, architettura essenziale e ultimi incidenti o test. La consegna distingue ciò che si può correggere nel dato, ciò che richiede negoziazione e ciò che deve essere valutato da legale, compliance o autorità.
Quali campi del registro rivelano più spesso una lacuna operativa?
I campi più discriminanti collegano entità, accordo, servizio TIC, funzione supportata, paesi di trattamento, identificativi del fornitore, subfornitura e valutazione di criticità. La difficoltà non è riempire una cella: è provare che lo stesso servizio è descritto in modo coerente nei sistemi e nei contratti.
La normalizzazione evita duplicati e descrizioni generiche. Non sostituisce la valutazione del rischio: crea una base sulla quale la valutazione può essere difesa.
| Campo | Domanda da risolvere | Evidenza |
|---|---|---|
| Riferimento accordo | Qual è il contratto completo? | Contratto e allegati |
| Servizio TIC | Che cosa viene davvero erogato? | Catalogo e architettura |
| Funzione supportata | Quale risultato dipende dal servizio? | Mappa di processo |
| Catena di fornitura | Chi esegue le parti materiali? | Elenco subfornitori |
| Localizzazione | Dove sono servizio e dati? | Inventario aggiornato |
Quali clausole devono produrre una prova oltre al testo legale?
Descrizione del servizio, livelli, sicurezza dei dati, assistenza durante incidenti, audit, cooperazione con le autorità, continuità, recupero, restituzione dei dati, risoluzione e uscita devono riflettersi in capacità verificabili. Una clausola è fragile quando nessuno sa indicare il processo, il referente o l’ultima prova che la rende eseguibile.
La revisione non riscrive automaticamente il contratto. Segnala la distanza, assegna il proprietario e prepara una posizione negoziale basata sul servizio.
- Tempo di ripristino → risultato dell’ultimo test
- Assistenza incidente → reperibilità e procedura
- Audit → accesso, limiti e prove disponibili
- Restituzione dati → formato e prova di estrazione
- Uscita → piano, dipendenze e responsabilità
Come si governa la subfornitura di una funzione critica o importante?
La subfornitura richiede di sapere quali parti materiali sono delegate, a chi, dove e con quale possibilità di controllo o cambiamento. Per i servizi che sostengono funzioni critiche o importanti, la valutazione deve considerare catene lunghe, paesi terzi, concentrazione, continuità e capacità dell’entità di rispettare DORA.
Il regolamento delegato del 2025 ha dettagliato gli elementi da valutare. Un diagramma semplice separa fornitore diretto, subfornitore materiale e servizio marginale. Se la catena non è visibile, il primo risultato può essere una richiesta documentale graduata, non un giudizio immediato.
Perché gli incidenti del 2025 cambiano la conversazione con i fornitori?
Le evidenze di vigilanza pubblicate dalla Banca d’Italia nel 2026 mostrano il coinvolgimento rilevante di fornitori esterni negli incidenti TIC segnalati nel 2025. Questo non rende ogni fornitore insicuro; rende necessario provare escalation, qualità delle informazioni e coordinamento prima dell’evento.
Un esercizio congiunto verifica chi notifica chi, quali dati arrivano e come vengono aggiornati. La prova non promette che l’incidente non avverrà; riduce il tempo perso a ricostruire ruoli durante la crisi.
- Rilevazione del fornitore o dell’entità
- Qualificazione e informazione minima
- Escalation operativa e regolamentare
- Aggiornamenti e ripristino
- Evidenze, cause e azioni correttive
Quale servizio ricorrente segue il rinnovo?
Il servizio ricorrente mantiene allineati contratto, registro e realtà operativa: controlla modifiche, nuovi subfornitori, localizzazioni, incidenti, test, concentrazione e piani di uscita. Ogni ciclo termina con eccezioni accettate, azioni attribuite o una decisione di rinegoziare e sostituire.
Il ritmo può seguire rinnovi e cambi materiali invece di una periodicità uniforme. Per i fornitori più rilevanti, un assurance pack evita questionari ricostruiti da zero per ogni cliente e conserva le evidenze con validità e proprietario.
Quali eventi rendono il bisogno DORA immediatamente qualificabile?
Un rinnovo imminente, una nuova esternalizzazione, una fusione, un incidente, un registro incoerente, un subfornitore non dichiarato o una richiesta dell’autorità creano un momento di decisione. “Opera nella finanza” è soltanto un segmento; l’evento stabilisce urgenza, interlocutore e prima consegna.
Il messaggio di prospezione propone una verifica, non presume un’inadempienza. Un fornitore TIC può essere buyer per costruire un assurance pack; un’entità finanziaria può acquistare la riconciliazione. Le due offerte condividono dati ma non responsabilità né promesse.
Quando l’offerta DORA è pronta per essere promossa?
L’offerta è pronta quando delimita accordo, buyer, funzione, dati richiesti, competenze, consegna, prezzo, capacità ed escalation legale. Resta in HOLD se confonde fornitore ed entità finanziaria, vende uno status di conformità o non sa trasformare una clausola in una prova operativa.
H3 deve verificare la distinzione delle responsabilità, le fonti aggiornate e una missione comparabile. Nessun import CMS o traduzione precede questa decisione umana.
GetFishNet può sviluppare una strategia simile per il vostro servizio?
GetFishNet può individuare la decisione più acquistabile del vostro servizio, cercare i conti nel momento giusto e orchestrare canali diversi fino a ottenere conversazioni qualificate. Il test di eleggibilità gratuito verifica pain point, proposta, capacità e possibili sinergie prima di costruire la campagna.
Non trasferiamo un playbook DORA a qualsiasi mercato. La strategia nasce dall’evento, dalla prova e dalla consegna che il vostro partner può realmente sostenere.
Autorità considerate
Il dossier privato conserva il regolamento DORA, i modelli del registro, le regole sulla subfornitura, le comunicazioni e le analisi di vigilanza della Banca d’Italia e le fonti delle autorità europee di vigilanza. Le URL non sono pubblicate nell’articolo.
Tutte le analisi di mercato.
Questa finestra è richiusa. La vostra no.
Il rapporto identifica quella aperta per la vostra pratica, la quantifica e dice se merita di essere colta.