on an ordinary Tuesday morning. Its client platform slows down, transactions begin to queue, and the software supplier cannot give a recovery time. IT knows the system. Finance knows the supplier on the invoices. Legal holds the contract. Compliance must decide whether the disruption requires a DORA report.
The AFM’s DORA update of 6 August 2026 gives this scene real weight. The share of information registers accepted by the European Banking Authority rose from 40% in 2025 to 94% in 2026. Firms have improved their submissions and their command of the required format.
The AFM also foundincomplete policies and procedures. Incident reports remain below its expectations. The Dutch licence holder remains responsible when it relies on group-level policies. Together, those findings mark the end of DORA’s document phase. The harder test is whether a business can act from its
The register must match the business
Il DORA impone agli enti finanziari di mantenere un registro informativo dei contratti con i fornitori terzi di servizi ICT. A seconda della struttura, il registro va tenuto a livello di singola entità, di sub-consolidato o di consolidato. I controlli qualitativi di DNB del 2026 riguardano le strutture di gruppo e i dati sui fornitori. Gli istituti devono correggere gli errori individuati attraverso un nuovo invio.
That makes the register more than a regulatory spreadsheet. It should show management which supplier provides a service, which activity depends on it, and who owns the relationship. It should connect with contracts, the supplier ledger, payment records and the firm’s list of critical functions.
Anche le differenze apparentemente minime contano. La finanza può pagare la controllata olandese di un fornitore, mentre il contratto indica la capogruppo. L’IT può utilizzare il nome commerciale di un prodotto, mentre la compliance registra la denominazione legale del fornitore. Un subfornitore può cambiare senza che gli acquisti ne siano informati.
In una settimana normale, queste lacune possono restare silenziosamente distribuite tra sistemi diversi. Durante un’interruzione, ritardano invece le risposte alle domande più elementari. Chi deve chiamare il fornitore? Quali clienti sono interessati? Quale servizio si è effettivamente fermato?
Group policies do not make local decisions
Le politiche condivise di gruppo possono far risparmiare tempo e garantire uniformità. Possono però anche creare una distanza rassicurante tra il linguaggio della policy e il lavoro quotidiano dell’entità olandese. L’AFM attribuisce la responsabilità al titolare della licenza soggetto al DORA. Spetta all’entità dimostrare che i documenti di gruppo soddisfano i requisiti della propria organizzazione.
Non basta cambiare il nome del gruppo sulla prima pagina. L’entità locale deve sapere quali sistemi utilizza, quali fornitori li supportano e chi può classificare un incidente. Serve anche una procedura di escalation che funzioni nell’orario lavorativo olandese, con persone che conoscano la licenza, la clientela e la posizione dell’impresa rispetto agli obblighi di segnalazione.
L’indagine DNB del 2025 su assicuratori e fondi pensione mostra perché il tema è rilevante. Quasi il 95% degli intervistati aveva aggiornato le proprie politiche di esternalizzazione. Solo il 34% ha dichiarato che tutti i contratti ICT a supporto di funzioni critiche o importanti erano stati allineati al DORA.
Questi dati riguardano settori specifici e riflettono la situazione al momento dell’indagine. Lo schema, tuttavia, è noto. Le politiche spesso avanzano più rapidamente dei contratti e delle prassi operative. Il consiglio di amministrazione dovrebbe vedere chiaramente questa differenza, invece di ricevere un generico cruscotto con la percentuale di attività completate.
Incident reporting starts before the form
La preoccupazione dell’AFM per la qualità delle segnalazioni di incidenti rimanda alla realtà operativa che sta dietro al rapporto. Il personale deve rilevare un evento, classificarlo, raccogliere i fatti e raggiungere la persona autorizzata a decidere. Deve farlo mentre i clienti chiamano, i tecnici indagano e il fornitore cerca ancora di capire che cosa sia accaduto.
DNB precisa che gli incidenti gravi connessi all’ICT devono essere segnalati ai sensi del DORA. Dalla metà di aprile 2026 valida le segnalazioni sulla base dei requisiti tecnici previsti per la relativa fase di reporting. La segnalazione, dunque, non è l’ultimo adempimento della compliance. È un processo che inizia mentre l’interruzione è ancora in corso.
Torniamo a quel martedì mattina. Se il management deve prima scoprire chi è il titolare del contratto, quali clienti dipendono dalla piattaforma e se il servizio supporta una funzione critica, si perde tempo prezioso. Il problema non è un modulo ancora incompleto. È che l’impresa deve ricostruire se stessa proprio quando avrebbe bisogno di una mappa affidabile.
Per una piccola impresa regolamentata, un guasto tecnologico raggiunge rapidamente la gestione commerciale. Le transazioni possono fermarsi. Le comunicazioni con i clienti possono rallentare. Riconciliazioni, attività amministrative e fatturazione possono subire ritardi. L’impresa può aver bisogno, con poco preavviso, di specialisti esterni. Un contratto vago o un accordo di uscita poco chiaro possono ridurre il margine di trattativa con il fornitore.
A board view of unfinished work
Il compito pratico è affiancare il registro DORA all’anagrafica dei fornitori, ai contratti aggiornati e all’elenco dei servizi aziendali importanti. Il management può così verificare se nomi, servizi, responsabili e dipendenze coincidono. Una simulazione basata su un’interruzione realistica mostrerà rapidamente dove il processo dipende dalla memoria delle persone anziché da un percorso decisionale definito.
Consigli di amministrazione e amministratori delegati hanno bisogno di una visione semplice del lavoro ancora da chiudere. Rientrano in questa categoria i contratti in corso di modifica, le lacune nelle politiche locali, le correzioni dei dati, le escalation mai testate e i rischi accettati consapevolmente dal management. La domanda utile non è quanta attività sia stata completata. È quale dipendenza ancora irrisolta potrebbe bloccare il servizio ai clienti o prosciugare la liquidità.
Per gli intermediari assicurativi, l’ambito di applicazione del DORA può diventare anche una questione di registri e struttura del gruppo. Le indicazioni dell’AFM utilizzano soglie riferite a numero di dipendenti, fatturato e totale di bilancio. Le entità finanziarie rilevanti appartenenti a un gruppo vengono aggregate ai fini della valutazione. Una corretta decisione sull’ambito dipende quindi da una mappa affidabile del gruppo e da dati coerenti tra paghe, contabilità e registri societari.
Responsibility should be easy to locate
Il DORA è ormai parte della gestione ordinaria dei fornitori, dei contratti, dei sistemi e degli incidenti. Il tasso di accettazione del 94% dimostra che il settore ha imparato molto sulla trasmissione del registro. Il prossimo indicatore di maturità si trova dentro l’impresa, nel momento in cui le persone devono riconoscere un’interruzione e sapere che cosa fare dopo.
Quando la piattaforma si fermerà, quel martedì mattina, nessuno sarà rassicurato da una cartella di policy impeccabile. Contano la capacità di identificare il servizio, raggiungere il responsabile, comprendere il contratto e prendere una decisione tempestiva.
Una buona compliance non elimina le interruzioni. Impedisce che la confusione diventi il secondo incidente dell’impresa.
Vuole discutere cosa significa questo per la sua azienda?
I dati, le fonti e l’analisi alla base di questo articolo sono stati elaborati da Paolo Maria Pavan. L’AI non è stata usata per individuare le fonti, costruire la base fattuale o formulare il giudizio analitico qui contenuto. L’AI è stata usata solo come supporto alla redazione. Il testo italiano definitivo è stato rivisto, modificato e approvato personalmente da Paolo Maria Pavan prima della pubblicazione.
Riferimenti
- DORA-update 7
- Autoriteit Financiële Markten - Information register as a live outsourcing and concentration-risk record
- De Nederlandsche Bank - Data-quality checks and resubmission pressure
- De Nederlandsche Bank - Incident reporting is becoming a tested reporting capability
- De Nederlandsche Bank - Board accountability and unfinished contract remediation
- Autoriteit Financiële Markten - Scope for insurance intermediaries and group calculations
- De Nederlandsche Bank - Third-party ICT concentration and the supervisory purpose of DORA
