Guida alla continuità operativa bancaria

Un pagamento non eseguito, un canale digitale indisponibile o l’impossibilità di accedere a dati affidabili possono produrre effetti immediati su clienti, liquidità, reputazione e vigilanza. Una guida alla continuità operativa bancaria deve quindi partire da un dato concreto: nel settore finanziario la continuità non coincide con il ripristino dell’IT. È la capacità dell’istituto di mantenere entro soglie accettabili i servizi bancari critici, anche quando persone, sedi, tecnologie, fornitori o informazioni vengono compromessi.

La questione è diventata ancora più rilevante con l’applicazione del Regolamento DORA. L’attenzione regolamentare non riguarda soltanto l’esistenza di piani documentati, ma la capacità dimostrabile di governare il rischio ICT, gestire incidenti, testare la resilienza operativa digitale e controllare le dipendenze da terze parti. Per banche, intermediari finanziari e operatori dei pagamenti, il programma di continuità deve pertanto tradurre requisiti normativi e aspettative di vigilanza in capacità esecutive verificabili.

Continuità operativa bancaria: il perimetro corretto

Ridurre la continuità operativa al disaster recovery tecnologico è un errore frequente. Il disaster recovery è essenziale, ma presidia principalmente il recupero di infrastrutture, applicazioni e dati. La business continuity opera su un perimetro più ampio: processi, persone, sedi, catene decisionali, comunicazioni, fornitori, obblighi contrattuali e relazioni con le autorità.

In ambito bancario, i servizi critici non sono definiti dalla sola rilevanza interna di un’applicazione. Occorre valutarne l’impatto verso clienti e mercato. Rientrano normalmente nel perimetro i pagamenti e gli incassi, l’accesso ai conti, l’operatività di tesoreria, i canali digitali, la gestione delle carte, i sistemi antiriciclaggio, la reportistica regolamentare, i processi di credito e la gestione delle comunicazioni in caso di crisi. L’elenco, tuttavia, varia in funzione del modello operativo, della materialità dei servizi esternalizzati e del ruolo dell’intermediario nell’ecosistema finanziario.

La domanda utile non è soltanto “quale sistema deve ripartire per primo?”, bensì “quale servizio deve rimanere fruibile, per chi e con quale livello minimo di prestazione?”. Questo passaggio impone di collegare l’analisi tecnica alle conseguenze operative, finanziarie, legali e reputazionali.

Dalla governance agli obiettivi di recupero

Un programma efficace richiede una governance che attribuisca responsabilità chiare. Il consiglio di amministrazione e l’alta direzione definiscono propensione al rischio, priorità e livello di supervisione. Le funzioni di business individuano le attività essenziali e le modalità alternative di erogazione. IT, sicurezza informatica, risk management, compliance, operations, risorse umane, legal e comunicazione contribuiscono alla progettazione e all’esecuzione.

Il punto critico è evitare che il piano resti confinato presso una singola funzione. Se un incidente cyber blocca i canali di autenticazione, ad esempio, la risposta coinvolge tecnologia, antifrode, assistenza clienti, comunicazione esterna, gestione fornitori e, in determinate circostanze, interlocuzioni con le autorità. La continuità operativa bancaria è quindi una disciplina di coordinamento decisionale, non una raccolta di procedure isolate.

La Business Impact Analysis deve identificare servizi prioritari, attività necessarie alla loro erogazione, dipendenze e conseguenze dell’interruzione nel tempo. Da qui derivano parametri coerenti: il Maximum Tolerable Period of Disruption, il Recovery Time Objective e il Recovery Point Objective. Non è sufficiente assegnare un RTO teorico a ogni applicazione. L’obiettivo di recupero deve essere compatibile con la tolleranza all’interruzione del servizio e con le effettive capacità di ripristino di infrastrutture, dati, personale e fornitori.

Un RTO di due ore, per esempio, è privo di valore se la procedura richiede l’intervento manuale di un terzo non reperibile, se le credenziali di emergenza non sono disponibili o se l’ambiente alternativo non contiene dati sufficientemente aggiornati. La qualità del programma emerge dalla coerenza tra requisito, architettura, processo e prova sul campo.

Gli scenari da progettare, non solo da elencare

La pianificazione per scenari deve andare oltre l’ipotesi del guasto al data center. Le interruzioni rilevanti possono derivare da ransomware, indisponibilità del cloud, compromissione di un provider di telecomunicazioni, errore di rilascio, perdita di connettività, frode interna, indisponibilità di una sede, eventi meteorologici estremi o assenza simultanea di figure chiave.

Ogni scenario non richiede necessariamente un piano autonomo. È più efficace costruire strategie basate sulle conseguenze: perdita di sito, perdita di tecnologia, indisponibilità delle persone, indisponibilità di dati affidabili, blocco di un fornitore critico. Tale approccio riduce la proliferazione documentale e rende le istruzioni più utilizzabili durante una crisi reale.

Particolare attenzione merita l’incidente cyber. In questo caso, ripristinare rapidamente può essere più pericoloso che attendere: un ambiente recuperato senza adeguata verifica può reintrodurre l’elemento malevolo o compromettere evidenze necessarie alle indagini. La priorità diventa bilanciare continuità del servizio, contenimento, integrità dei dati, obblighi di notifica e decisioni forensi. Non esiste una sequenza universale: dipende dalla natura dell’attacco, dal grado di compromissione e dalla criticità dei servizi coinvolti.

Terze parti e concentrazione del rischio

La trasformazione digitale ha aumentato la dipendenza da fornitori di servizi ICT, cloud provider, circuiti di pagamento, outsourcer e partner specializzati. Una banca può disporre di piani interni maturi e restare comunque esposta all’indisponibilità di un singolo fornitore critico.

Il controllo non si esaurisce con la due diligence iniziale o con le clausole contrattuali. Occorre mantenere una mappa aggiornata delle dipendenze, comprendere le catene di subfornitura rilevanti, valutare i punti di concentrazione e verificare che gli accordi definiscano livelli di servizio, obblighi informativi, diritti di audit, supporto al test e condizioni di uscita. La sostituibilità di un provider, inoltre, va misurata con realismo: migrare un servizio essenziale in piena crisi raramente è un’opzione immediata.

Per i servizi più rilevanti, è necessario stabilire strategie alternative credibili. Possono includere ridondanza tecnica, capacità manuali temporanee, accordi con fornitori alternativi o priorità contrattuali di ripristino. La scelta comporta costi e complessità. Non ogni dipendenza richiede una duplicazione completa, ma ogni dipendenza critica deve avere una risposta proporzionata alla sua materialità.

Testare la continuità operativa bancaria come capacità decisionale

Un piano che non è stato testato è un’ipotesi. I test devono verificare non solo che un sistema si riavvii, ma che l’organizzazione prenda decisioni tempestive, scambi informazioni affidabili e mantenga il servizio al livello concordato.

Le esercitazioni da tavolo sono utili per validare ruoli, escalation e criteri decisionali. Le simulazioni operative consentono di verificare l’esecuzione delle procedure da parte delle unità coinvolte. I test tecnici, inclusi failover, restore e recupero in ambienti segregati, producono evidenze sul reale comportamento delle piattaforme. Le prove integrate con fornitori critici sono spesso le più complesse, ma anche le più rappresentative del rischio effettivo.

Un programma di test maturo non persegue la perfezione formale. Cerca le deviazioni tra quanto è previsto e quanto accade: recapiti non aggiornati, autorizzazioni mancanti, dipendenze ignote, tempi di recupero superiori alle attese, istruzioni ambigue, report non disponibili o procedure manuali non sostenibili per più di poche ore.

Al termine di ogni esercitazione, gli esiti dovrebbero tradursi in azioni correttive con proprietario, priorità, scadenza e verifica di chiusura. Le evidenze più utili da conservare includono:

• scenario, obiettivi e criteri di successo della prova;
• partecipanti, decisioni assunte e tempistiche rilevate;
• risultati tecnici e operativi rispetto alle soglie definite;
• anomalie, azioni correttive e stato di avanzamento;
• approvazioni del management e riesame della governance.

Questa tracciabilità è fondamentale sia per il miglioramento interno sia per dimostrare alle funzioni di controllo e agli organi di vigilanza che la resilienza è gestita come capacità continuativa.

Persone, comunicazione e gestione della crisi

Nelle prime ore di un’interruzione, il fattore limitante raramente è il documento. Sono la disponibilità di informazioni affidabili, la chiarezza della catena decisionale e la capacità di comunicare senza aggravare l’evento. Il crisis management deve definire chi dichiara la crisi, chi guida il comitato, chi autorizza comunicazioni verso clienti e controparti e come vengono mantenuti i flussi informativi con le autorità competenti.

La comunicazione deve essere tempestiva, accurata e proporzionata. Promettere tempi di ripristino non verificati può amplificare il danno reputazionale; attendere troppo può alimentare incertezza e comportamenti non controllati della clientela. Servono messaggi predisposti, ma soprattutto un processo per aggiornarli con dati validati.

La preparazione delle persone richiede formazione per ruoli, affiancata da esercitazioni periodiche. Un responsabile di processo deve conoscere le priorità operative e le procedure di continuità applicabili. Un membro del crisis team deve saper valutare informazioni incomplete e documentare decisioni. Il personale di front line deve riconoscere le istruzioni da comunicare ai clienti. La competenza individuale rende il piano eseguibile quando la pressione aumenta.

La continuità operativa non si dimostra con un manuale archiviato, ma con la capacità di preservare decisioni, dati e servizi quando le condizioni ordinarie vengono meno. Per un istituto finanziario, investire in questa capacità significa trasformare un obbligo di controllo in una condizione concreta di fiducia.

This post is also available in: