Maturità Esternalizzazione · Direttiva della BCEAO sull’esternalizzazione
Le vostre prestazioni esternalizzate, collocate sulla direttiva BCEAO e tradotte in piano d’azione.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità Esternalizzazione · Direttiva della BCEAO sull’esternalizzazione
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Directive de la BCEAO relative à l’externalisation des activités des établissements de crédit et des compagnies financières de l’UMOA avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma un riscontro in una traiettoria.
Il diritto di audit previsto dal contratto viene effettivamente esercitato sulle prestazioni essenziali?
- N1
Nessuna clausola di audit sistematica nei contratti. Il monitoraggio si basa sugli scambi commerciali con il prestatore.
- N2
La clausola figura nei contratti recenti, ma non è mai stata attuata. I report del prestatore vengono ricevuti senza una revisione formalizzata.
- N3
Le prestazioni essenziali sono oggetto di una revisione annuale documentata, cartacea o in loco, con un resoconto diffuso alle funzioni di controllo.
- N4
Il programma di audit dei prestatori è pianificato in base alla criticità, i riscontri danno luogo ad azioni correttive monitorate fino alla chiusura e riportate all’organo esecutivo.
- N5
Il programma viene rivisto in base agli incidenti, alle evoluzioni del prestatore e agli insegnamenti delle missioni precedenti, con un monitoraggio documentato delle revisioni.
Azione per passare da N2 a N3
Selezionare le prestazioni qualificate come essenziali, pianificare per ciascuna una revisione annuale almeno cartacea, e inserire la restituzione dei riscontri all’ordine del giorno del comitato rischi del trimestre successivo.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu BCEAO.
Di cosa parla questo quadro di riferimento
La direttiva della BCEAO sull’esternalizzazione fissa le condizioni in base alle quali un ente creditizio, un istituto di pagamento o una compagnia finanziaria dell’UMOA può affidare a un terzo un’attività che altrimenti eserciterebbe direttamente. Si basa su un principio semplice: l’esternalizzazione trasferisce l’esecuzione, mai la responsabilità. L’ente resta responsabile davanti alla Commission Bancaire de l’UMOA della qualità del servizio, del controllo dei rischi associati e della protezione dei dati della propria clientela. Il testo distingue le attività essenziali o importanti, soggette a un regime rafforzato, dalle altre prestazioni.
In pratica, il dispositivo si governa con difficoltà. La prima difficoltà è l’inventario: quanti prestatori intervengono realmente, compresi quelli contrattualizzati direttamente da una direzione di business senza passare dagli acquisti? La seconda è la qualificazione: chi decide che un’attività è essenziale, in base a quali criteri, e con quale frequenza questa classificazione viene rivista? La terza è il controllo nel tempo. Le clausole di audit figurano nel contratto, ma sono mai state esercitate? Gli indicatori di livello di servizio sono monitorati, o consultati solo dopo un incidente?
Due evoluzioni spostano il tema. L’informatica in cloud, in primo luogo: l’hosting di dati bancari presso un fornitore internazionale pone la questione della localizzazione, della reversibilità e dell’accesso effettivo del supervisore. La subfornitura a cascata, in secondo luogo: il prestatore principale si appoggia a sua volta a terzi, spesso al di fuori del campo contrattuale iniziale. Torna infine regolarmente una confusione, quella tra esternalizzazione e semplice acquisto di fornitura. La distinzione non dipende dall’importo del contratto ma dalla natura dell’attività affidata e dal suo carattere essenziale.
L’audit di conformità si conclude con un riscontro binario: la clausola figura nel contratto, oppure no. La diagnosi di maturità pone un’altra domanda. A quale livello di controllo si colloca il dispositivo, prestatore per prestatore e ambito per ambito, e quale azione precisa fa passare al livello superiore. Un registro esaustivo ma mai aggiornato e un registro parziale ma rivisto ogni trimestre non si equivalgono, mentre l’audit può trattarli allo stesso modo.
In Datamensio, il quadro di riferimento è pronto all’uso e resta vostro. Voi modificate gli ambiti, le domande e la formulazione dei livelli. L’IA affina questi livelli secondo il metodo CMMI, oppure costruisce una declinazione adatta alla vostra organizzazione a partire dalla vostra politica di esternalizzazione e dai vostri contratti tipo. I gruppi bancari implementano lo stesso quadro di riferimento su più filiali e confrontano i risultati tra business unit.
Norma di riferimento: Directive de la BCEAO relative à l’externalisation des activités des établissements de crédit et des compagnies financières de l’UMOA
Gli ambiti valutati
Politica e governance dell’esternalizzazione
Esistenza di una politica approvata dall’organo deliberante, ruoli e responsabilità, soglie decisionali, articolazione con la strategia e il dispositivo di gestione dei rischi.
Censimento e qualificazione delle attività
Registro delle prestazioni esternalizzate, criteri di qualificazione delle attività essenziali o importanti, trattamento delle prestazioni infragruppo, frequenza di aggiornamento.
Analisi preliminare e selezione del prestatore
Studio di opportunità e rischi prima della decisione, diligenze sulla capacità finanziaria e tecnica, verifica delle autorizzazioni, criteri di selezione tracciati.
Contrattualizzazione
Clausole di livello di servizio, diritto di audit dell’ente e accesso del supervisore, riservatezza e protezione dei dati, subfornitura a cascata, condizioni di risoluzione.
Informazione e relazioni con il supervisore
Notifica preventiva o dichiarazione delle esternalizzazioni essenziali, contenuto del fascicolo trasmesso, tracciabilità degli scambi con la Commission Bancaire de l’UMOA.
Controllo permanente e monitoraggio della prestazione
Indicatori di performance monitorati, comitati di pilotaggio, esercizio effettivo del diritto di audit, trattamento degli incidenti e delle inadempienze, reporting all’organo esecutivo.
Rischi legati ai sistemi informativi e ai dati
Localizzazione e hosting dei dati, sicurezza e accessi, informatica in cloud, integrazione del prestatore alle esigenze di sicurezza dell’ente.
Continuità operativa e reversibilità
Piano di continuità del prestatore e sua articolazione con quello dell’ente, test congiunti, strategia di uscita, piano di reversibilità e condizioni di restituzione dei dati.
Concentrazione e dipendenza
Identificazione dei prestatori critici comuni, misurazione della dipendenza, soluzioni alternative individuate, monitoraggio della concentrazione a livello di gruppo.
Revisione periodica e miglioramento
Revisione annuale del dispositivo, riqualificazione delle attività, riscontri dopo incidenti, inserimento nel piano di audit interno.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
La diagnosi vale come conformità alla direttiva BCEAO?
No. Datamensio misura la maturità del vostro dispositivo e prepara gli scambi con la Commission Bancaire de l’UMOA. Non rilascia alcuna attestazione. La diagnosi individua gli scostamenti e la traiettoria, il controllo sul posto resta di competenza del supervisore.
Qual è la differenza tra questa diagnosi e un audit di conformità?
L’audit verifica la presenza di un requisito e si conclude con uno scostamento o una conformità. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione che fa passare al livello successivo. I due si completano: la diagnosi prepara, l’audit convalida.
Quanto tempo richiede la valutazione?
La versione breve si compila in un’unica sessione. La versione completa coinvolge più contributori, rischi, conformità, sistemi informativi e acquisti, e si estende generalmente da una a due settimane. La maggior parte del tempo serve a raccogliere i contratti e le evidenze di controllo.
È possibile adattare il quadro di riferimento al nostro ente?
Sì. Modificate le domande, i livelli e gli ambiti, oppure partite dalla vostra politica di esternalizzazione. L’IA affina le formulazioni dei livelli secondo il metodo CMMI e costruisce una declinazione a partire dai vostri documenti. Il quadro di riferimento vi appartiene.
Le prestazioni infragruppo rientrano nel perimetro?
Sì. Una funzione di supporto condivisa a livello di una compagnia finanziaria o di una capogruppo resta un’attività affidata a un terzo giuridico distinto. Il quadro di riferimento comprende domande dedicate alla loro qualificazione e alla loro formalizzazione contrattuale.
Come trattare i contratti di informatica in cloud?
L’ambito dedicato ai sistemi informativi copre la localizzazione dei dati, l’accesso del supervisore, la subfornitura a cascata e la reversibilità. Questi punti si incrociano con la direttiva BCEAO sulla gestione dei rischi legati ai sistemi informativi.
È possibile confrontare più filiali del gruppo?
Sì. Lo stesso quadro di riferimento viene implementato su più business unit, con un punteggio per ambito e un benchmark tra entità nonché rispetto alle campagne precedenti. L’IA raggruppa gli scostamenti in una roadmap trasversale, senza duplicare le azioni comuni.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento al di fuori dell’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.