Maturità Esternalizzazione · Regolamento COBAC outsourcing

Il regolamento COBAC sulla sub-fornitura pone un principio semplice e una serie di obblighi rigorosi. Un ente assoggettato può affidare a un terzo un’attività, anche essenziale o importante, ma ne conserva l’intera responsabilità nei confronti del supervisore e della propria clientela. In pratica, ciò presuppone una definizione interna di ciò che è essenziale, una notifica preventiva alla Commission bancaire per queste attività, un contratto scritto che copra i livelli di servizio, la riservatezza, l’accesso ai dati e l’accesso del supervisore, nonché un dispositivo di controllo del fornitore per tutta la durata del rapporto.

La difficoltà raramente riguarda il testo normativo, riguarda piuttosto la tenuta del dispositivo nel tempo. Molti enti scoprono di non disporre di un registro completo delle proprie esternalizzazioni: i contratti informatici firmati dalla direzione dei sistemi informativi, i trasportatori di fondi, la gestione degli sportelli automatici, i call center, le prestazioni rese dalla capogruppo non figurano nello stesso inventario. Chi decide che un’attività è essenziale? Il contratto prevede l’accesso della COBAC ai locali e ai dati del fornitore? Cosa succede se questo fornitore cessa il servizio la prossima settimana?

Due confusioni ricorrono spesso. La prima consiste nel trattare l’esternalizzazione infragruppo come una questione interna: una prestazione resa dalla sede di un gruppo regionale o da un centro servizi situato fuori zona CEMAC resta un’esternalizzazione, con questioni aggiuntive di localizzazione dei dati e di continuità. La seconda consiste nel confondere il monitoraggio commerciale del fornitore con il controllo prudenziale del prestatore: la revisione annuale del contratto da parte degli acquisti non sostituisce la valutazione del rischio operativo generato da questa esternalizzazione, né la sua integrazione nel dispositivo di controllo interno e nel piano di continuità operativa.

La diagnosi di maturità risponde a una domanda diversa rispetto all’audit di conformità. L’audit si conclude con uno scostamento o una conformità su un requisito dato. La diagnosi colloca la pratica su una scala progressiva: il registro esiste, è esaustivo, è riconciliato con la contabilità fornitori, è rivisto e utilizzato per le decisioni. Indica poi l’azione precisa che consente di passare al livello superiore, con un costo e una tempistica. La diagnosi prepara l’ispezione in loco e i confronti con il supervisore, non rilascia alcuna attestazione.

In Datamensio, il quadro di riferimento è pronto all’uso e resta vostro. Potete modificare gli ambiti, le domande e le formulazioni dei livelli: l’IA riformula secondo il metodo CMMI, e può costruire una versione adattata alla vostra politica di esternalizzazione, alla vostra carta di controllo interno o ai vostri modelli contrattuali a partire dai vostri stessi documenti.