Ultima revisione: luglio 2026
La governance dei contratti bancari nell’era DORA
Dal 17 gennaio 2025, il regolamento europeo sulla resilienza operativa digitale — DORA, regolamento (UE) 2022/2554 — rende ogni contratto con fornitori TIC di un’entità finanziaria un oggetto regolamentato: censito in un registro, adeguato con clausole obbligatorie, monitorato per rinnovi, uscite e subappalti. La maggior parte delle banche gestisce quest’obbligo con cartelle condivise e un foglio di calcolo.
La maggior parte delle banche non ha un problema di contratti. Ha un problema di visibilità — e DORA ha appena reso la visibilità un requisito regolamentare.
In 30 secondi
- DORA impone alle entità finanziarie di mantenere — e trasmettere ogni anno — un registro di informazioni che copra ogni accordo contrattuale con fornitori terzi di servizi TIC.
- L’articolo 30 prescrive clausole contrattuali obbligatorie, con un livello più severo per i contratti che supportano funzioni essenziali o importanti, incluse strategie di uscita e diritti di audit.
- Le autorità di vigilanza identificano sistematicamente le disposizioni sui terzi (articoli 28–30) come l’area con le maggiori lacune di conformità — registri incompleti, classificazioni di criticità mancanti, clausole non conformi.
- bizSupply dà alle banche il fondamento contrattuale da cui tutto questo dipende: trovare ogni contratto con i fornitori, estrarne i termini e controllare i rinnovi.
Cosa richiede DORA ai vostri contratti con i fornitori?
Il capitolo di DORA sul rischio informatico derivante da terzi (articoli 28–30) rende la governance contrattuale una questione di vigilanza. In pratica, una banca deve:
- Mantenere un registro di informazioni (articolo 28, paragrafo 3): un inventario strutturato di tutti gli accordi contrattuali con fornitori terzi di servizi TIC, a livello di entità e, ove applicabile, consolidato — distinguendo gli accordi che supportano funzioni essenziali o importanti (funzioni la cui interruzione comprometterebbe in modo sostanziale i risultati finanziari della banca, o la solidità e la continuità dei suoi servizi).
- Trasmetterlo ogni anno all’autorità competente, nei modelli standard delle AEV e in formato leggibile da macchina.
- Valutare prima di firmare (articolo 29): due diligence e valutazione del rischio di concentrazione TIC prima di concludere accordi.
- Adeguare i contratti stessi (articolo 30): un insieme di base di disposizioni obbligatorie in ogni contratto di servizi TIC — descrizioni dei servizi, ubicazioni del trattamento dei dati, protezione dei dati, accesso/recupero/restituzione dei dati alla risoluzione, termini di preavviso, assistenza in caso di incidente, diritti di risoluzione — più un livello rafforzato per le funzioni essenziali o importanti: obiettivi di prestazione quantitativi e qualitativi precisi, diritti illimitati di audit e ispezione, partecipazione ai test di penetrazione guidati dalle minacce (TLPT) e strategie di uscita con un periodo di transizione adeguato, perché la banca possa cambiare fornitore o internalizzare i servizi senza interruzioni (articolo 28, paragrafo 8).
- Controllare il subappalto: sapere quando i vostri fornitori subappaltano funzioni e mantenere la visibilità contrattuale lungo quella catena.
Testo integrale: regolamento (UE) 2022/2554 su EUR-Lex. Orientamenti di settore: l’hub DORA dell’ABE e i materiali delle AEV sul registro di informazioni.
Il registro di informazioni è ormai una routine annuale — non un progetto una tantum
Il primo ciclo di trasmissione si è svolto nel 2025. D’ora in poi si ripete ogni anno: i registri riflettono lo stato dei vostri accordi contrattuali al 31 dicembre, le autorità nazionali li raccolgono nel primo trimestre e li inoltrano alle AEV — nel 2026 le scadenze nazionali sono cadute tra metà febbraio e fine marzo, prima del consolidamento delle AEV a fine marzo, nel formato xBRL-CSV prescritto.
La vera domanda quindi non è «possiamo costruire il registro una volta?» — è «possiamo mantenere un inventario dei contratti completo e aggiornato come routine operativa?» Un registro vale quanto la visibilità contrattuale che lo alimenta. Se i vecchi contratti non possono essere ricondotti alla loro origine, se i rinnovi vivono nel foglio di calcolo di una sola persona, se ogni reparto tiene gli accordi nella propria cartella condivisa — ogni ciclo annuale diventa un progetto di archeologia.
Perché è più difficile per le banche piccole e medie?
DORA si applica con proporzionalità (articolo 4): la profondità del vostro quadro di gestione dei rischi TIC può riflettere dimensioni e profilo di rischio, e specifici tipi di entità più piccole rientrano nel quadro semplificato dell’articolo 16. Ciò che la proporzionalità non fa è rimuovere gli obblighi contrattuali sui terzi — il registro, le clausole dell’articolo 30 e le strategie di uscita restano applicabili.
Questo mette gli istituti più piccoli in una morsa:
- Troppo regolamentati per i fogli di calcolo. Un inventario Excel e cartelle di rete per reparto non possono dimostrare a un’autorità di vigilanza una copertura contrattuale completa e aggiornata.
- Troppo piccoli per il GRC enterprise. Le piattaforme costruite per questo — le suite GRC enterprise — hanno prezzi e dimensioni pensati per istituti con team dedicati al rischio dei terzi. Una banca con qualche centinaio di dipendenti riceve lo stesso obbligo con una frazione del budget per gli strumenti.
- La conoscenza è concentrata. Negli istituti più piccoli, la storia dei contratti vive spesso presso una manciata di persone di lunga data. Il registro DORA la richiede in forma strutturata e segnalabile.
I numeri
L’8,6% del valore contrattuale annuo si disperde per una cattiva governance dei contratti — rinnovi mancati, clausole non applicate, sconti non esercitati (WorldCC / Deloitte, 2023). Per una banca, DORA trasforma quel costo silenzioso in un rilievo esplicito di vigilanza.
DORA si applica a circa 20 categorie di entità finanziarie — banche, istituti di pagamento e di moneta elettronica, imprese di investimento, assicuratori e altro — dal 17 gennaio 2025 (regolamento (UE) 2022/2554).
I registri di informazioni si trasmettono ogni anno, con riferimento ai dati al 31 dicembre, nel formato xBRL-CSV delle AEV.
Le autorità di vigilanza europee identificano sistematicamente gli articoli 28–30 — registro e disposizioni contrattuali — come l’area con le maggiori lacune di conformità tra le entità finanziarie.
Dove si colloca bizSupply — e dove no?
bizSupply non è una piattaforma GRC e non pretende di rendervi conformi a DORA. Risolve lo strato sottostante, quello da cui dipende ogni obbligo contrattuale di DORA: sapere quali contratti avete, cosa contengono e quando cambiano.
| Cosa DORA richiede a voi | Cosa fa bizSupply oggi |
|---|---|
| Un inventario completo dei contratti con i fornitori | Individua i contratti in caselle di posta, archivi, inoltro e caricamento manuale — inclusi quelli che nessuno ricordava — in un unico inventario centralizzato |
| I termini che alimentano il vostro registro e la governance | Estrae i metadati: parti, prezzi, date di rinnovo, termini di preavviso, clausole penali, condizioni di pagamento |
| Contratti rinnovati o adeguati in tempo, non scoperti già scaduti | Controllo dei rinnovi: avvisi e trigger su date di rinnovo e finestre di preavviso, al posto del foglio di calcolo |
| Leva negoziale quando i contratti passano all’adeguamento | Benchmarking: confronta i vostri costi contrattuali perché la rinegoziazione e la revisione contrattuale imposta da DORA partano dai dati |
Cosa bizSupply non è:
- Non uno strumento GRC o di segnalazione regolamentare — non genera né trasmette il vostro registro xBRL-CSV. Mantiene l’inventario dei contratti e i metadati da cui attinge il vostro team registro.
- Non una certificazione di conformità, e non consulenza legale. I vostri obblighi DORA restano vostri; bizSupply fornisce la base probatoria sul lato contratti.
- Non è bizAPIs. bizAPIs è il prodotto Infosistema di API per infrastruttura di conformità (KYC, dati di registri). bizSupply è visibilità dei contratti con i fornitori. Stesso gruppo — prodotti diversi, compiti diversi.
- Non un’implementazione CLM. Nessun progetto di sei mesi: la scoperta dei contratti lavora su ciò che le vostre caselle di posta e i vostri archivi già contengono. Se vi servono sei mesi di implementazione per capire i vostri contratti, avete già perso.
Iniziate dal fondamento contrattuale
Se il vostro istituto si trova da qualche parte tra «il revisore ha chiesto il nostro registro dei contratti» e «non possiamo giustificare una suite GRC enterprise», il punto di partenza è il fondamento da cui dipende ogni obbligo contrattuale di DORA: inventario completo, termini estratti, controllo dei rinnovi. È ciò che bizSupply fa oggi.
In valutazione per la roadmap
Niente di tutto questo è costruito oggi. Le conversazioni con le entità finanziarie continuano a far emergere gli stessi bisogni specifici di DORA, e li stiamo valutando per la roadmap — l’interesse degli istituti ne determina direttamente la priorità:
- Etichettatura dei fornitori TIC e viste di criticità allineate alle categorie del registro di informazioni
- Tracciamento degli addendum DORA e dell’adeguamento — quali contratti hanno l’addendum, quali vanno rivisti
- Riconciliazione contratti-fatture
- Supporto alla valutazione del rischio dei terzi TIC
Se uno di questi punti cambierebbe il modo in cui il vostro istituto gestisce la governance dei contratti DORA, ditecelo — è esattamente quel segnale che sposta un tema dalla valutazione allo sviluppo.
Gli elementi in valutazione non sono impegni. Stato: luglio 2026.
Domande frequenti
Cosa richiede DORA alle banche riguardo ai contratti con fornitori TIC?
Tre cose: mantenere un registro di informazioni che copra ogni accordo contrattuale con fornitori terzi di servizi TIC (articolo 28, paragrafo 3), trasmetterlo ogni anno all’autorità competente e assicurare che i contratti stessi contengano le disposizioni obbligatorie di DORA (articolo 30) — con requisiti più severi, incluse le strategie di uscita e i diritti di audit, quando il servizio supporta una funzione essenziale o importante.
Che cos’è il registro di informazioni DORA?
Un inventario strutturato e leggibile da macchina di tutti gli accordi contrattuali di un’entità finanziaria con fornitori terzi di servizi TIC, mantenuto a livello di entità (e, ove applicabile, consolidato), distinguendo gli accordi che supportano funzioni essenziali o importanti. Segue i modelli delle AEV ed è trasmesso ogni anno in formato xBRL-CSV, con riferimento ai dati al 31 dicembre.
Quando va presentato il registro di informazioni?
Ogni anno. Le autorità nazionali competenti (per le banche in Italia: la Banca d’Italia) fissano finestre di raccolta nel primo trimestre (nel 2026, tipicamente da metà febbraio a fine marzo, a seconda del paese), poi inoltrano i registri alle AEV entro fine marzo. Verificate la scadenza esatta presso la vostra autorità nazionale.
Quali clausole contrattuali richiede l’articolo 30 di DORA?
Una base per tutti i contratti di servizi TIC: descrizioni complete dei servizi, ubicazioni del trattamento dei dati, disposizioni sulla protezione dei dati, accesso/recupero/restituzione dei dati in caso di risoluzione o insolvenza, livelli di servizio, assistenza in caso di incidente, cooperazione con le autorità e diritti di risoluzione con preavviso minimo. Per le funzioni essenziali o importanti, in aggiunta: obiettivi di prestazione quantitativi e qualitativi precisi, notifica ampliata degli incidenti, diritti illimitati di audit, accesso e ispezione, partecipazione ai test di penetrazione guidati dalle minacce (TLPT) e strategie di uscita con un periodo di transizione adeguato.
DORA si applica alle piccole banche?
Sì. La proporzionalità (articolo 4) modula la profondità del quadro di gestione dei rischi TIC, e l’articolo 16 concede ad alcuni tipi di entità più piccole un quadro semplificato — ma le disposizioni sui terzi, incluso il registro di informazioni e le clausole contrattuali dell’articolo 30, si applicano indipendentemente dalle dimensioni.
Vale anche oltre le banche?
Sì. DORA copre circa venti categorie di entità finanziarie — istituti di pagamento e di moneta elettronica, imprese di investimento, gestori di fondi, assicuratori e altro — e gli obblighi qui descritti sul registro di informazioni e sull’articolo 30 si applicano a loro allo stesso modo. Tutto ciò che è in questa pagina è trasferibile.
bizSupply è uno strumento di conformità DORA o un GRC?
No. bizSupply è un prodotto di visibilità contrattuale: individua i contratti con i fornitori nelle vostre caselle di posta e nei vostri archivi, ne estrae i termini commerciali e controlla i rinnovi. È il fondamento contrattuale da cui dipende la governance DORA — ma la produzione del registro, la trasmissione e la responsabilità di conformità restano alla vostra funzione compliance e ai suoi strumenti di segnalazione.
bizSupply genera la trasmissione del registro in xBRL-CSV?
No. bizSupply mantiene l’inventario dei contratti e i metadati da cui il vostro registro viene costruito; non produce né deposita segnalazioni regolamentari.
bizSupply ha funzionalità specifiche per DORA, come il tracciamento degli addendum o la classificazione dei fornitori TIC?
Non oggi. Queste funzionalità sono in valutazione per la roadmap, e l’interesse delle entità finanziarie ne determina la priorità. Ciò che bizSupply offre oggi sono l’inventario dei contratti, l’estrazione dei metadati e il controllo dei rinnovi su cui quelle capacità si baserebbero.
In cosa bizSupply è diverso da bizAPIs?
Entrambi sono prodotti Infosistema. bizAPIs fornisce API di infrastruttura di conformità (KYC, dati di registri ufficiali) per costruire flussi di verifica. bizSupply è un prodotto di visibilità dei contratti con i fornitori per i team finance e di gestione dei terzi. Risolvono problemi diversi e non condividono dati.
Questa pagina è un’informazione generale sul regolamento (UE) 2022/2554 (DORA) e sulle capacità di bizSupply, rivista l’ultima volta alla data indicata sopra. Non costituisce consulenza legale o regolamentare. Gli obblighi ai sensi di DORA restano in capo a ciascuna entità finanziaria; consultate la vostra funzione compliance e i vostri consulenti legali. bizSupply è un prodotto di Infosistema (gruppo Joyn).