Strategie innovative per ottimizzare la governance IT e affrontare le sfide normative.
A partire da gennaio 2025, il Digital Operational Resilience Act (DORA) ha ridefinito il panorama della sicurezza digitale per il settore finanziario. Con l’obiettivo di rafforzare la resilienza operativa, questa normativa impone requisiti stringenti in tema di gestione dei rischi ICT, controllo dei fornitori e governance tecnologica. I Chief Information Officer (CIO) sono chiamati non solo a garantire la conformità, ma anche a trasformare le sfide normative in opportunità per innovare e migliorare l’efficienza operativa.
I Fondamenti di DORA: I Pilastri della Conformità
DORA si articola attorno a cinque pilastri essenziali:
- Gestione del rischio ICT: implementare processi per identificare e mitigare le minacce che possono impattare le funzioni critiche;
- Test e verifiche periodiche: effettuare assessment regolari, come penetration testing e network security assessment, per garantire l’efficacia delle misure di sicurezza;
- Gestione degli incidenti: istituire procedure per rilevare, segnalare e risolvere tempestivamente eventuali disservizi;
- Controllo del rischio di terze parti: valutare e monitorare costantemente la solidità dei fornitori ICT, aggiornando i contratti per includere clausole specifiche che tutelino la sicurezza;
- Condivisione delle informazioni: (opzionale) favorire lo scambio di dati su vulnerabilità e minacce tra le entità finanziarie.
Abbiamo scritto qui una guida dettagliata per capire e conoscere DORA.
Le Sfide Operative per i CIO
Il percorso verso la conformità a DORA pone sfide significative per i CIO, costretti a integrare nuove procedure in contesti organizzativi spesso complessi. In particolare, essi devono affrontare il difficile compito di rivedere e rinegoziare i contratti ICT, includendo clausole specifiche che garantiscano la cyber-resilienza lungo l’intera supply chain. Parallelamente, diventa fondamentale una mappatura accurata dei rischi: identificare le aree critiche e condurre una gap analysis per evidenziare le lacune nelle infrastrutture esistenti.
Nei casi delle realtà di dimensioni ridotte, dove l’outsourcing degli asset IT è una necessità consolidata, le difficoltà si accentuano ulteriormente, poiché garantire un controllo rigoroso sui fornitori terzi risulta particolarmente impegnativo. Questi aspetti richiedono un impegno costante e una stretta collaborazione tra il CIO, il team legale e le altre funzioni aziendali, per evolvere la governance IT in linea con i rigorosi standard imposti da DORA.
Opportunità e Innovazione: Trasformare la Sfida in Vantaggio
Nonostante il carico normativo, DORA offre numerosi spunti per innovare:
- Rafforzamento della resilienza operativa: le aziende sono spinte a implementare piani di business continuity e disaster recovery che, oltre a garantire la conformità, migliorano l’intera sicurezza informatica;
- Miglioramento della governance IT: l’obbligo di monitorare e gestire il rischio ICT stimola una revisione dei processi interni, favorendo una cultura aziendale più orientata alla prevenzione;
- Potere contrattuale: le nuove clausole contrattuali permettono alle entità finanziarie di negoziare condizioni più vantaggiose con i fornitori, aumentando il livello di controllo e riducendo i rischi complessivi.
Per un approfondimento sull’impatto di DORA sulla resilienza digitale nel settore finanziario, leggi l’articolo di Econopoly de Il Sole 24 Ore, che illustra come le nuove disposizioni normative stiano trasformando la gestione del rischio ICT e offrendo spunti pratici per innovare la governance IT nelle istituzioni finanziarie.
In conclusione, l’introduzione di DORA pone sfide significative ma apre anche nuove opportunità per il settore finanziario. I CIO hanno l’opportunità di trasformare questo percorso in un motore di innovazione e di rafforzamento della governance IT, migliorando al contempo la gestione dei rischi. Con un approccio proattivo e una visione strategica integrata, le entità finanziarie potranno tradurre la complessità normativa in un vantaggio competitivo, costruendo un futuro digitale resiliente e sicuro per il mercato.