Ultima revisione: agosto 2026
La governance dei contratti delle entità finanziarie nell’era DORA
La maggior parte delle entità finanziarie gestisce questo obbligo con cartelle condivise e un foglio di calcolo.
Dieci domande, circa due minuti, senza e-mail.
A che punto è la vostra entità sul lato contrattuale?
L’avete già fatto una volta. È al secondo ciclo che si decide.
La prima trasmissione è stata un progetto. Tutto ciò che viene dopo è routine, e la differenza tra le due sta in una cosa sola: il quadro dei contratti è rimasto aggiornato nel frattempo, oppure è stato ricostruito a memoria e dalle cartelle condivise?
Il prossimo registro si riferisce ai vostri accordi contrattuali al 31 dicembre, cioè tra 18 settimane. Tutto ciò che a quella data deve essere in ordine si decide prima di dicembre, non a febbraio.
I numeri
L’8,6% del valore contrattuale annuo si disperde per una cattiva governance dei contratti — rinnovi mancati, clausole non applicate, sconti non esercitati (WorldCC / Deloitte, 2023). Per una banca, DORA trasforma quel costo silenzioso in un rilievo esplicito di vigilanza.
DORA si applica a circa 20 categorie di entità finanziarie — banche, istituti di pagamento e di moneta elettronica, imprese di investimento, assicuratori e altro — dal 17 gennaio 2025 (regolamento (UE) 2022/2554).
I registri di informazioni si trasmettono ogni anno, con riferimento ai dati al 31 dicembre, nel formato xBRL-CSV delle AEV.
Le autorità di vigilanza europee identificano sistematicamente gli articoli 28–30 — registro e disposizioni contrattuali — come l’area con le maggiori lacune di conformità tra le entità finanziarie.
Perché è più difficile per le entità finanziarie di minori dimensioni?
DORA si applica con proporzionalità (articolo 4): la profondità del vostro quadro di gestione dei rischi TIC può riflettere dimensioni e profilo di rischio, e specifici tipi di entità più piccole rientrano nel quadro semplificato dell’articolo 16. Ciò che la proporzionalità non fa è rimuovere gli obblighi contrattuali sui terzi — il registro, le clausole dell’articolo 30 e le strategie di uscita restano applicabili.
Questo mette gli istituti più piccoli in una morsa:
- Troppo regolamentati per i fogli di calcolo. Un inventario Excel e cartelle di rete per reparto non possono dimostrare a un’autorità di vigilanza una copertura contrattuale completa e aggiornata.
- Troppo piccoli per il GRC enterprise. Le piattaforme costruite per questo — le suite GRC enterprise — hanno prezzi e dimensioni pensati per istituti con team dedicati al rischio dei terzi. Una entità con qualche centinaio di dipendenti riceve lo stesso obbligo con una frazione del budget per gli strumenti.
- La conoscenza è concentrata. Negli istituti più piccoli, la storia dei contratti vive spesso presso una manciata di persone di lunga data. Il registro DORA la richiede in forma strutturata e segnalabile.
Il kit DORA sulla governance dei contratti
Checklist, mappe dei campi del registro e un calendario del ciclo annuale per il lato contrattuale degli articoli da 28 a 30: la checklist delle clausole dell’articolo 30 in entrambi i livelli, quali campi del registro provengono dal contratto e quali no, un calendario da compilare con la scadenza della vostra autorità e la lettera interna per raccogliere i contratti dalle funzioni.
Oppure scrivete a press@bizsupply.ai con «DORA Kit» nell’oggetto e ve lo inviamo.
Dove si colloca bizSupply — e dove no?
bizSupply non è una piattaforma GRC e non pretende di rendervi conformi a DORA. Risolve lo strato sottostante, quello da cui dipende ogni obbligo contrattuale di DORA: sapere quali contratti avete, cosa contengono e quando cambiano.
| Cosa DORA richiede a voi | Cosa fa bizSupply oggi |
|---|---|
| Un inventario completo dei contratti con i fornitori | Individua i contratti in caselle di posta, archivi, inoltro e caricamento manuale — inclusi quelli che nessuno ricordava — in un unico inventario centralizzato |
| I termini che alimentano il vostro registro e la governance | Estrae i metadati: parti, prezzi, date di rinnovo, termini di preavviso, clausole penali, condizioni di pagamento |
| Contratti rinnovati o adeguati in tempo, non scoperti già scaduti | Controllo dei rinnovi: avvisi e trigger su date di rinnovo e finestre di preavviso, al posto del foglio di calcolo |
| Leva negoziale quando i contratti passano all’adeguamento | Benchmarking: confronta i vostri costi contrattuali perché la rinegoziazione e la revisione contrattuale imposta da DORA partano dai dati |
Cosa bizSupply non è:
- Non uno strumento GRC o di segnalazione regolamentare — non genera né trasmette il vostro registro xBRL-CSV. Mantiene l’inventario dei contratti e i metadati da cui attinge il vostro team registro.
- Non una certificazione di conformità, e non consulenza legale. I vostri obblighi DORA restano vostri; bizSupply fornisce la base probatoria sul lato contratti.
- Non è bizAPIs. bizAPIs è il prodotto Infosistema di API per infrastruttura di conformità (KYC, dati di registri). bizSupply è visibilità dei contratti con i fornitori. Stesso gruppo — prodotti diversi, compiti diversi.
- Non un’implementazione CLM. Nessun progetto di sei mesi: la scoperta dei contratti lavora su ciò che le vostre caselle di posta e i vostri archivi già contengono. Se vi servono sei mesi di implementazione per capire i vostri contratti, avete già perso.
Se il vostro istituto si trova da qualche parte tra «il revisore ha chiesto il nostro registro dei contratti» e «non possiamo giustificare una suite GRC enterprise», il punto di partenza è il fondamento da cui dipende ogni obbligo contrattuale di DORA: inventario completo, termini estratti, controllo dei rinnovi. È ciò che bizSupply fa oggi.
In valutazione per la roadmap
Niente di tutto questo è costruito oggi. Le conversazioni con le entità finanziarie continuano a far emergere gli stessi bisogni specifici di DORA, e li stiamo valutando per la roadmap — l’interesse degli istituti ne determina direttamente la priorità:
- Etichettatura dei fornitori TIC e viste di criticità allineate alle categorie del registro di informazioni
- Tracciamento degli addendum DORA e dell’adeguamento — quali contratti hanno l’addendum, quali vanno rivisti
- Riconciliazione contratti-fatture
- Supporto alla valutazione del rischio dei terzi TIC
Se uno di questi punti cambierebbe il modo in cui il vostro istituto gestisce la governance dei contratti DORA, ditecelo — è esattamente quel segnale che sposta un tema dalla valutazione allo sviluppo.
Gli elementi in valutazione non sono impegni. Stato: agosto 2026.
Mostra i riferimenti normativiChe cosa DORA richiede ai vostri contratti con i fornitori, il ciclo annuale del registro e tutte le quindici clausole dell’articolo 30, clausola per clausola.
In 30 secondi
- DORA impone alle entità finanziarie di mantenere — e trasmettere ogni anno — un registro di informazioni che copra ogni accordo contrattuale con fornitori terzi di servizi TIC.
- L’articolo 30 prescrive clausole contrattuali obbligatorie, con un livello più severo per i contratti che supportano funzioni essenziali o importanti, incluse strategie di uscita e diritti di audit.
- Le autorità di vigilanza identificano sistematicamente le disposizioni sui terzi (articoli 28–30) come l’area con le maggiori lacune di conformità — registri incompleti, classificazioni di criticità mancanti, clausole non conformi.
- bizSupply dà alle banche il fondamento contrattuale da cui tutto questo dipende: trovare ogni contratto con i fornitori, estrarne i termini e controllare i rinnovi.
Dal 17 gennaio 2025, il regolamento europeo sulla resilienza operativa digitale — DORA, regolamento (UE) 2022/2554 — rende ogni contratto con fornitori TIC di un’entità finanziaria un oggetto regolamentato: censito in un registro, adeguato con clausole obbligatorie, monitorato per rinnovi, uscite e subappalti. La maggior parte delle banche gestisce quest’obbligo con cartelle condivise e un foglio di calcolo.
La maggior parte delle banche non ha un problema di contratti. Ha un problema di visibilità — e DORA ha appena reso la visibilità un requisito regolamentare.
Cosa richiede DORA ai vostri contratti con i fornitori?
Il capitolo di DORA sul rischio informatico derivante da terzi (articoli 28–30) rende la governance contrattuale una questione di vigilanza. In pratica, una banca deve:
- Mantenere un registro di informazioni (articolo 28, paragrafo 3): un inventario strutturato di tutti gli accordi contrattuali con fornitori terzi di servizi TIC, a livello di entità e, ove applicabile, consolidato — distinguendo gli accordi che supportano funzioni essenziali o importanti (funzioni la cui interruzione comprometterebbe in modo sostanziale i risultati finanziari della banca, o la solidità e la continuità dei suoi servizi).
- Trasmetterlo ogni anno all’autorità competente, nei modelli standard delle AEV e in formato leggibile da macchina.
- Valutare prima di firmare (articolo 29): due diligence e valutazione del rischio di concentrazione TIC prima di concludere accordi.
- Adeguare i contratti stessi (articolo 30): un insieme di base di disposizioni obbligatorie in ogni contratto di servizi TIC — descrizioni dei servizi, ubicazioni del trattamento dei dati, protezione dei dati, accesso/recupero/restituzione dei dati alla risoluzione, termini di preavviso, assistenza in caso di incidente, diritti di risoluzione — più un livello rafforzato per le funzioni essenziali o importanti: obiettivi di prestazione quantitativi e qualitativi precisi, diritti incondizionati di audit e ispezione, partecipazione ai test di penetrazione guidati dalle minacce (TLPT) e strategie di uscita con un periodo di transizione adeguato, perché la banca possa cambiare fornitore o internalizzare i servizi senza interruzioni (articolo 28, paragrafo 8).
- Controllare il subappalto: sapere quando i vostri fornitori subappaltano funzioni e mantenere la visibilità contrattuale lungo quella catena.
Testo integrale: regolamento (UE) 2022/2554 su EUR-Lex. Orientamenti di settore: l’hub DORA dell’ABE e i materiali delle AEV sul registro di informazioni.
Il registro di informazioni è ormai una routine annuale — non un progetto una tantum
Il primo ciclo di trasmissione si è svolto nel 2025. D’ora in poi si ripete ogni anno: i registri riflettono lo stato dei vostri accordi contrattuali al 31 dicembre, le autorità nazionali li raccolgono nel primo trimestre e li inoltrano alle AEV — nel 2026 le scadenze nazionali sono cadute tra metà febbraio e fine marzo, prima del consolidamento delle AEV a fine marzo, nel formato xBRL-CSV prescritto.
La vera domanda quindi non è «possiamo costruire il registro una volta?» — è «possiamo mantenere un inventario dei contratti completo e aggiornato come routine operativa?» Un registro vale quanto la visibilità contrattuale che lo alimenta. Se i vecchi contratti non possono essere ricondotti alla loro origine, se i rinnovi vivono nel foglio di calcolo di una sola persona, se ogni reparto tiene gli accordi nella propria cartella condivisa — ogni ciclo annuale diventa un progetto di archeologia.
Che cosa richiede davvero l’articolo 30, clausola per clausola
L’articolo 30 paragrafo 2 fissa un livello di base per ogni contratto di servizi TIC. L’articolo 30 paragrafo 3 aggiunge un secondo livello quando il servizio sostiene una funzione essenziale o importante. Entrambi i livelli valgono per lo stesso contratto: un accordo di livello rafforzato le porta quindi tutte e quindici.
| Rif. | Che cosa il contratto deve contenere (sintesi) |
|---|---|
| 30(2)(a) | Descrizione delle funzioni e dei servizi e delle condizioni alle quali è ammesso il subappalto |
| 30(2)(b) | Luoghi e regioni in cui i dati sono trattati e conservati, con preavviso in caso di modifiche |
| 30(2)(c) | Disposizioni sulla protezione dei dati riguardo a disponibilità, autenticità, integrità e riservatezza |
| 30(2)(d) | Accesso, recupero e restituzione dei dati in caso di insolvenza del fornitore o di risoluzione del contratto |
| 30(2)(e) | Descrizioni dei livelli di servizio, mantenute aggiornate |
| 30(2)(f) | Assistenza in caso di incidenti, senza costi aggiuntivi o a costi predeterminati |
| 30(2)(g) | Cooperazione con le vostre autorità competenti e autorità di risoluzione |
| 30(2)(h) | Diritti di risoluzione, con termini minimi di preavviso |
| 30(2)(i) | Condizioni per la partecipazione a programmi di formazione su consapevolezza in materia di sicurezza e resilienza operativa digitale |
| Rif. | Che cosa il contratto deve contenere (sintesi) |
|---|---|
| 30(3)(a) | Descrizioni complete dei livelli di servizio, con obiettivi di prestazione quantitativi e qualitativi precisi |
| 30(3)(b) | Obblighi di preavviso e segnalazione per sviluppi rilevanti che incidono sul servizio |
| 30(3)(c) | Piani di continuità operativa e misure di sicurezza TIC attuate |
| 30(3)(d) | Partecipazione e piena cooperazione ai vostri test di penetrazione basati su minacce |
| 30(3)(e) | Monitoraggio continuo, compresi diritti incondizionati di accesso, ispezione e audit |
| 30(3)(f) | Strategie di uscita, in particolare la definizione di un adeguato periodo di transizione obbligatorio |
Sintesi, non citazioni. Il testo vincolante è quello del regolamento (UE) 2022/2554, articolo 30.
Domande frequenti
Cosa richiede DORA alle banche riguardo ai contratti con fornitori TIC?
Tre cose: mantenere un registro di informazioni che copra ogni accordo contrattuale con fornitori terzi di servizi TIC (articolo 28, paragrafo 3), trasmetterlo ogni anno all’autorità competente e assicurare che i contratti stessi contengano le disposizioni obbligatorie di DORA (articolo 30) — con requisiti più severi, incluse le strategie di uscita e i diritti di audit, quando il servizio supporta una funzione essenziale o importante.
Che cos’è il registro di informazioni DORA?
Un inventario strutturato e leggibile da macchina di tutti gli accordi contrattuali di un’entità finanziaria con fornitori terzi di servizi TIC, mantenuto a livello di entità (e, ove applicabile, consolidato), distinguendo gli accordi che supportano funzioni essenziali o importanti. Segue i modelli delle AEV ed è trasmesso ogni anno in formato xBRL-CSV, con riferimento ai dati al 31 dicembre.
Quando va presentato il registro di informazioni?
Ogni anno. Le autorità nazionali competenti (per le banche in Italia: la Banca d’Italia) fissano finestre di raccolta nel primo trimestre (nel 2026, tipicamente da metà febbraio a fine marzo, a seconda del paese), poi inoltrano i registri alle AEV entro fine marzo. Verificate la scadenza esatta presso la vostra autorità nazionale.
Quali clausole contrattuali richiede l’articolo 30 di DORA?
Una base per tutti i contratti di servizi TIC: descrizioni complete dei servizi, ubicazioni del trattamento dei dati, disposizioni sulla protezione dei dati, accesso/recupero/restituzione dei dati in caso di risoluzione o insolvenza, livelli di servizio, assistenza in caso di incidente, cooperazione con le autorità e diritti di risoluzione con preavviso minimo. Per le funzioni essenziali o importanti, in aggiunta: obiettivi di prestazione quantitativi e qualitativi precisi, notifica ampliata degli incidenti, diritti incondizionati di audit, accesso e ispezione, partecipazione ai test di penetrazione guidati dalle minacce (TLPT) e strategie di uscita con un periodo di transizione adeguato.
DORA si applica alle piccole banche?
Sì. La proporzionalità (articolo 4) modula la profondità del quadro di gestione dei rischi TIC, e l’articolo 16 concede ad alcuni tipi di entità più piccole un quadro semplificato — ma le disposizioni sui terzi, incluso il registro di informazioni e le clausole contrattuali dell’articolo 30, si applicano indipendentemente dalle dimensioni.
Vale anche oltre le banche?
Sì. DORA copre circa venti categorie di entità finanziarie — istituti di pagamento e di moneta elettronica, imprese di investimento, gestori di fondi, assicuratori e altro — e gli obblighi qui descritti sul registro di informazioni e sull’articolo 30 si applicano a loro allo stesso modo. Tutto ciò che è in questa pagina è trasferibile.
bizSupply è uno strumento di conformità DORA o un GRC?
No. bizSupply è un prodotto di visibilità contrattuale: individua i contratti con i fornitori nelle vostre caselle di posta e nei vostri archivi, ne estrae i termini commerciali e controlla i rinnovi. È il fondamento contrattuale da cui dipende la governance DORA — ma la produzione del registro, la trasmissione e la responsabilità di conformità restano alla vostra funzione compliance e ai suoi strumenti di segnalazione.
bizSupply genera la trasmissione del registro in xBRL-CSV?
No. bizSupply mantiene l’inventario dei contratti e i metadati da cui il vostro registro viene costruito; non produce né deposita segnalazioni regolamentari.
bizSupply ha funzionalità specifiche per DORA, come il tracciamento degli addendum o la classificazione dei fornitori TIC?
Non oggi. Queste funzionalità sono in valutazione per la roadmap, e l’interesse delle entità finanziarie ne determina la priorità. Ciò che bizSupply offre oggi sono l’inventario dei contratti, l’estrazione dei metadati e il controllo dei rinnovi su cui quelle capacità si baserebbero.
In cosa bizSupply è diverso da bizAPIs?
Entrambi sono prodotti Infosistema. bizAPIs fornisce API di infrastruttura di conformità (KYC, dati di registri ufficiali) per costruire flussi di verifica. bizSupply è un prodotto di visibilità dei contratti con i fornitori per i team finance e di gestione dei terzi. Risolvono problemi diversi e non condividono dati.
Questa pagina è un’informazione generale sul regolamento (UE) 2022/2554 (DORA) e sulle capacità di bizSupply, rivista l’ultima volta alla data indicata sopra. Non costituisce consulenza legale o regolamentare. Gli obblighi ai sensi di DORA restano in capo a ciascuna entità finanziaria; consultate la vostra funzione compliance e i vostri consulenti legali. bizSupply è un prodotto di Infosistema (gruppo Joyn).