L’intelligenza artificiale sta modificando rapidamente la natura e soprattutto la velocità dei rischi a cui sono le banche esposte. Le Autorità di Vigilanza stanno traducendo questo cambiamento in aspettative molto concrete.
Il 7 luglio, ad esempio, la BCE ha indirizzato alle banche europee sottoposte a supervisione diretta una lettera dedicata alle minacce informatiche abilitate dall’AI. Dieci giorni dopo, Banca d’Italia e IVASS hanno richiamato l’attenzione degli operatori italiani sulla necessità di rafforzare la resilienza operativa digitale alla luce dell’evoluzione dei modelli avanzati di intelligenza artificiale.
Indice degli argomenti
Resilienza digitale e AI nelle attese della Vigilanza
La sequenza delle due iniziative è significativa. Il messaggio della Vigilanza europea e nazionale è convergente. In questo caso, l’attenzione è rivolta, più che ai rischi intrinseci all’adozione dell’AI da parte degli Intermediari, al suo possibile utilizzo malevolo per individuare e sfruttare più rapidamente le vulnerabilità dei sistemi informatici.
I modelli AI di ultima generazione possono infatti comprimere significativamente il tempo che intercorre tra l’individuazione di una vulnerabilità e il suo possibile sfruttamento, aumentando velocità e scala delle minacce e riducendo il tempo a disposizione per reagire. Da qui l’attenzione delle Autorità, tra gli altri aspetti, alla protezione degli asset maggiormente esposti e alla capacità di identificare e risolvere tempestivamente le vulnerabilità.
Questa dinamica si inserisce in un contesto di rischio già profondamente cambiato. Una recente survey globale condotta da Accenture su 775 risk professionals in 17 Paesi, con una significativa rappresentanza del settore finanziario, evidenzia come quattro intervistati su cinque ritengano che rischi complessi e interconnessi stiano emergendo più rapidamente che mai. Il 66% li considera inoltre più difficili da identificare e gestire rispetto al passato.
Se si riduce il tempo a disposizione per reagire e aumenta l’interconnessione tra i rischi, deve evolvere anche il modo in cui le organizzazioni li identificano, li valutano e decidono come intervenire.
Dalla Vigilanza alle azioni per la resilienza digitale
Per i soggetti vigilati, il primo passo è comprendere la propria esposizione reale.
Significa partire dagli asset e dai servizi più critici, dalla loro esposizione verso l’esterno e dalle dipendenze da fornitori e tecnologie; valutare vulnerabilità e capacità di aggiornamento; verificare l’efficacia dei meccanismi di accesso, segmentazione, monitoraggio e rilevazione; mettere alla prova le capacità di risposta agli incidenti, recovery e gestione delle crisi.
Le sei aree indicate da Banca d’Italia e IVASS
Banca d’Italia e IVASS individuano sei aree di attenzione: governance, igiene informatica, gestione delle risorse ICT e della superficie di esposizione, gestione delle vulnerabilità e degli aggiornamenti, monitoraggio e rilevazione, attività di test.
La sfida, però, non è completare sei assessment indipendenti. Occorre mettere insieme le evidenze e chiedersi dove si concentri realmente il rischio: quali debolezze, combinate con la criticità di determinati asset, servizi e dipendenze, possono generare gli scenari di maggiore impatto per l’organizzazione?
Priorità, piano di lavoro e scadenza del 2026
Da questa lettura devono discendere priorità precise. I gap identificati vanno tradotti in azioni di rimedio, responsabilità, tempi e investimenti, distinguendo ciò che richiede un intervento immediato dalle trasformazioni più strutturali.
Per gli intermediari interessati dalla Comunicazione, questo percorso deve confluire entro il 31 dicembre 2026 in una relazione sull’esposizione al rischio e sull’adeguatezza dei controlli, accompagnata da un piano di lavoro. Ma il punto più interessante è che il piano deve arrivare agli organi aziendali e prevedere le modalità con cui il Consiglio di Amministrazione ne monitorerà l’avanzamento. È difficile, quindi, leggere questa richiesta come un mero adempimento tecnico.
La resilienza digitale oltre i silos organizzativi
Molti degli interventi necessari hanno naturalmente una forte componente tecnologica. Ma le decisioni che ne derivano attraversano l’intera organizzazione.
Quali asset devono avere priorità? Quale livello di esposizione residua siamo disposti ad accettare? Quanto rapidamente dobbiamo intervenire? Quali dipendenze da terze parti possono diventare una fonte di rischio materiale? E, soprattutto, dove dobbiamo indirizzare per primi risorse e investimenti?
Rispondere richiede una forte sinergia tra Risk Management, Security, IT, Compliance, Procurement, Data & AI e funzioni di business.
Una vista comune tra tecnologia, business e Risk Management
Nessuna di queste funzioni, da sola, dispone infatti di tutti gli elementi necessari. Le strutture tecnologiche conoscono asset, architetture, vulnerabilità e misure di protezione. Il business conosce la criticità dei servizi e gli impatti di una loro indisponibilità. Procurement e le strutture di Third Party Risk presidiano una parte crescente delle dipendenze esterne. Il Risk Management può contribuire a ricomporre queste informazioni in una vista comune, trasformando le evidenze tecniche in scenari di rischio e supportando management e organi aziendali nella definizione delle priorità.
È forse questo uno degli aspetti più rilevanti delle nuove aspettative di Vigilanza: la resilienza digitale non può essere governata per silos.
Risk Appetite e governo della resilienza digitale
Il richiamo delle Autorità al Risk Appetite Framework rende ancora più evidente questo cambio di prospettiva.
La domanda non è più soltanto se siano presenti controlli adeguati. Occorre comprendere quale esposizione residua l’organizzazione stia assumendo, se sia coerente con il proprio appetito al rischio e se investimenti e risorse siano indirizzati verso le aree in cui una debolezza può produrre gli impatti più significativi.
Questo presuppone la capacità di mettere in relazione informazioni che nelle organizzazioni spesso seguono ancora percorsi differenti: asset e servizi critici, vulnerabilità, incidenti, dipendenze da terze parti, scenari di business interruption, controlli, indicatori di rischio e piani di investimento.
In questa prospettiva, anche il RAF deve evolvere. Non solo un sistema di soglie da monitorare periodicamente, ma uno strumento capace di aiutare il management a comprendere dove il profilo di rischio sta cambiando e quando è necessario intervenire.
Il CdA nel governo della resilienza digitale
Il coinvolgimento diretto degli organi aziendali è un altro segnale importante.
Dalle vulnerabilità agli scenari per il Consiglio
Il Consiglio non deve naturalmente conoscere il dettaglio di ogni vulnerabilità. Deve però poter comprendere quali scenari possono compromettere servizi critici, quali esposizioni risultano più rilevanti, se le risorse allocate sono coerenti con il rischio assunto e se la velocità degli interventi è adeguata a quella con cui evolve la minaccia.
La qualità dell’informazione portata al CdA diventa quindi determinante. Dashboard esclusivamente tecniche o lunghe liste di vulnerabilità rischiano di non essere sufficienti. Serve una rappresentazione capace di collegare le debolezze rilevate agli scenari di rischio e ai potenziali impatti sui servizi e sul business, rendendo più chiare le priorità di intervento e le decisioni richieste.
È proprio questa capacità di tradurre evidenze tecniche in informazioni utili alle decisioni che consente di portare la resilienza digitale pienamente all’interno dei meccanismi di governo del rischio.
Resilienza digitale oltre la scadenza del 31 dicembre
La scadenza indicata dalle Autorità rappresenta certamente un appuntamento importante. Il rischio, tuttavia, sarebbe affrontarla come un ulteriore esercizio documentale a valle di DORA: effettuare un assessment, identificare i gap, predisporre un piano e considerare concluso il percorso.
Una capacità permanente contro minacce più rapide
L’opportunità è più ampia. La risposta alla Vigilanza può diventare il punto di partenza per costruire una capacità permanente di collegare evidenze tecnologiche, scenari di rischio e decisioni manageriali. Un modello nel quale le diverse funzioni contribuiscano con le proprie competenze, ma all’interno di una lettura comune dell’esposizione e delle priorità.
L’AI rende questa evoluzione ancora più urgente. Se aumenta la velocità con cui una debolezza può trasformarsi in una minaccia concreta, non può restare invariata la velocità con cui l’organizzazione la intercetta, ne comprende la rilevanza e decide come intervenire.
La vera sfida posta dalle Autorità va quindi oltre il prossimo adempimento: costruire una capacità realmente trasversale, in cui competenze di Risk Management, tecnologiche e di business concorrano ad anticipare il rischio e a tradurlo tempestivamente in decisioni.
Se l’AI accelera le minacce, deve cambiare passo anche il modo in cui gli Intermediari finanziari governano il rischio.
Partecipa alla community