Lo sviluppo economico post pandemico e i recenti sconvolgimenti geopolitici hanno indotto molte imprese a rivedere i modelli di business per adattarli anche al crescente utilizzo di tecnologie innovative. In questo contesto di continua evoluzione, si evidenzia un forte investimento delle aziende verso i fornitori di servizi ICT a cui non di rado vengono esternalizzate intere aree o servizi aziendali (outsourcing).
All’interno del settore bancario italiano, si conferma una decisa trasformazione delle esigenze dei clienti, influenzate in modo radicale dall’avvento della digitalizzazione; pensiamo alla sottoscrizione di polizze digitali o agli istituti di credito che offrono la possibilità di aprire conti correnti e di gestire portafogli titoli completamente online.
Per sostenere questa trasformazione, gli intermediari finanziari italiani hanno destinato nel 2022 circa 5,3 miliardi di euro per gli investimenti in servizi IT, con quasi il 50% degli enti che ha dichiarato un aumento del budget ICT di oltre il 5% rispetto al 2021 (Fonte ABI Lab).
Outsourcing IT: forte investimento delle aziende verso i fornitori di servizi ICT
L’impiego di fornitori terzi di servizi ICT consente agli intermediari di focalizzarsi sulla gestione diretta delle componenti cliente-centriche; solitamente si affidano i processi standard e non distintivi a un partner tecnologico in grado di fornire soluzioni in linea con i trend innovativi e aderenti agli ultimi sviluppi normativi (si faccia riferimento agli Orientamenti in materia di esternalizzazione del 2019 pubblicati dall’EBA).
Sebbene l’esternalizzazione di funzioni critiche, come ad esempio quella IT, riduca gran parte dei rischi a carico dell’istituto, è altrettanto vero che l’affidamento a un fornitore poco competente o poco affidabile potrebbe condurre a conseguenze negative; queste renderebbero l’outsourcing della funzione meno vantaggioso rispetto all’internalizzazione delle attività. Risulta quindi fondamentale per tutte le aziende dotarsi di un processo di governance delle esternalizzazioni progettato su misura per la propria realtà operativa, così da evitare le forti dipendenze con le terze parti e per valutare efficacemente gli outsourcer analizzando i rischi (operativi, informatici e di concentrazione in primo luogo).
In quest’ottica s’inserisce il recente regolamento DORA (Digital Operational Resilience Act), un paradigma europeo per la gestione dei temi Cybersecurity e ICT nei financial services integrato con la gestione dei rischi e il presidio delle terze parti.
Outsourcing IT e regolamento DORA
Il regolamento DORA introduce una serie di misure finalizzate a rafforzare la capacità delle entità finanziarie di monitorare efficacemente i rischi informatici che possono insorgere a livello dei fornitori di servizi terzi. Alcune di queste misure sono a carico di tutti i fornitori di servizi ICT, quindi, a maggior ragione, trovano applicazione anche per tutte le tipologie di esternalizzazioni ICT.
DORA entra nel merito della governance delle esternalizzazioni, poiché fornisce strumenti utili all’efficientamento del processo. Prevede, ad esempio, l’introduzione di procedure di valutazione dei fornitori di servizi ICT, volti a verificare già in fase di qualifica l’esistenza di un set minimo di misure tecniche e organizzative di mitigazione dei rischi da parte dell’outsourcer; a questo si aggiunge l’eventuale esistenza di possibili rischi sistemici o di meccanismi di lock-in derivanti dalla concentrazione di forniture di servizi IT in capo allo stesso soggetto terzo.
La fase di qualifica del fornitore è cruciale per tutto il processo di gestione dell’outsourcing. Il fornitore che verrà selezionato dovrà soddisfare le esigenze commerciali dell’azienda e consentire di conseguire gli obiettivi di resilienza operativa digitale; questo è possibile anche attraverso l’adozione di exit strategy che permettano all’istituto di adottare meccanismi di transizione dei servizi IT minimizzando gli impatti sull’operatività aziendale.
Cosa prevede una buona strategia di outsourcing IT
Una volta selezionato il fornitore, una buona strategia di outsourcing dovrebbe prevedere la stesura di contratti che tutelino l’intermediario e che comprendano SLA con obiettivi oggettivi e misurabili, nonché efficaci meccanismi di monitoraggio durante l’erogazione del servizio. A tal proposito, DORA introduce un’ulteriore garanzia per il cliente finale grazie all’obbligo per i fornitori di partecipare come parte attiva ai Threat-Led Penetration Testing (TLPT), che le entità finanziarie sono tenuti a effettuare sulle FEI (esternalizzazioni di Funzioni Essenziali o Importanti) con cadenza almeno triennale.
La resilienza operativa è dunque un punto di arrivo regolamentare, ma rappresenta altresì un punto di partenza per la costruzione di modelli operativi più solidi ed efficaci. L’obiettivo è offrire adeguate tutele ai consumatori e costruire una più salda reputazione del settore finanziario.
Planetica fornisce supporto alle imprese durante l’intero processo di outsourcing delle funzioni aziendali. In particolare, fornisce una consulenza tailor made per l’ottimizzazione delle attività di governance delle esternalizzazioni e implementa una strategia efficace per la conformità normativa e la gestione del rischio.
La gestione della complessità, all’interno della gestione di progetti e programmi, richiede una combinazione di pianificazione, comunicazione, gestione del rischio e tecnologia efficaci. Dando la priorità a queste strategie, i team possono gestire meglio la complessità e migliorare le probabilità di successo del progetto.
