1 Introduzione

Le priorità di vigilanza dell’MVU riflettono la strategia a medio termine della Vigilanza bancaria della BCE per i prossimi tre anni. Sono stabilite dal Consiglio di vigilanza e riesaminate con cadenza annuale, sulla base di una valutazione approfondita dei rischi e delle vulnerabilità principali degli enti vigilati. Le priorità tengono altresì conto dei risultati del processo di revisione e valutazione prudenziale (Supervisory Review and Evaluation Process, SREP)^[1] e dei progressi compiuti nell’attuazione di quelle individuate negli anni precedenti. Esse favoriscono una ripartizione efficiente delle risorse di vigilanza disponibili e possono essere adeguate in modo flessibile, in funzione di eventuali cambiamenti del panorama dei rischi.

Gli enti vigilati hanno affrontato bene gli shock macrofinanziari e geopolitici avversi degli ultimi anni. Fondamentali robusti, quali solide posizioni patrimoniali e riserve di liquidità o livelli inferiori di crediti deteriorati (non-performing loans, NPL), hanno aiutato le banche a fronteggiare le sfide poste dalla pandemia di coronavirus (COVID-19) e dalle connesse interruzioni lungo le catene di approvvigionamento, dalla guerra della Russia in Ucraina e dal conseguente shock legato all’offerta di beni energetici, nonché dai recenti dissesti di banche statunitensi e svizzere. La capacità del settore bancario di resistere a una grave recessione economica è stata confermata anche dai risultati della prova di stress condotta quest’anno a livello di UE^[2].

In prospettiva, il settore bancario europeo si trova dinanzi a una serie di sfide che richiedono maggiore attenzione sia da parte delle autorità di vigilanza sia da parte delle banche. Se da un lato il rapido innalzamento dei tassi di interesse ha finora favorito la redditività delle banche, dall’altro ci si attende che, a fronte di tassi di interesse più elevati, aumenteranno sia la volatilità di alcune fonti di finanziamento sia i costi della provvista bancaria nel medio periodo, proprio nel momento in cui occorrerà sostituire un considerevole ammontare di finanziamenti della banca centrale. Inoltre potrebbe tornare a peggiorare la qualità degli attivi bancari, se si concretizzassero rischi geopolitici o se un’inflazione elevata, associata all’inasprimento delle condizioni di finanziamento, mettesse a repentaglio la capacità di servizio del debito di famiglie e società non finanziarie. L’innalzamento dei premi al rischio potrebbe determinare un’ulteriore ridefinizione del prezzo delle attività finanziarie e nuovi episodi di elevata volatilità nei mercati finanziari. In tale contesto è essenziale che le banche curino e continuino a migliorare i sistemi di gestione del rischio di credito e i sistemi di gestione dell’attivo e del passivo (asset and liability management, ALM), assicurando per questi ultimi la copertura sia dei rischi di liquidità e di finanziamento sia del rischio di tasso di interesse sul portafoglio bancario (interest rate risk in the banking book, IRRBB).

Il dissesto di alcune banche statunitensi di medie dimensioni e l’acquisizione di una banca svizzera hanno evidenziato ancora una volta che le banche necessitano di una forte governance interna e di efficaci sistemi di controllo dei rischi a fronte di un panorama dei rischi in rapida evoluzione. I dissesti bancari hanno anche posto in risalto l’importanza di una risposta di vigilanza tempestiva ed efficace e, all’occorrenza, del passaggio a un livello di intervento superiore (escalation) ogniqualvolta le prassi delle banche appaiano inadeguate e l’azione correttiva si mostri lenta. In tale contesto la Vigilanza bancaria della BCE applicherà progressivamente i meccanismi e gli strumenti di escalation atti ad assicurare che le banche affrontino prontamente e con successo le carenze individuate in relazione alle priorità di vigilanza. Ciò vale in particolare per la governance, ambito in cui alcune banche non hanno affrontato adeguatamente importanti carenze malgrado un dialogo di lunga data con le autorità di vigilanza, ad esempio per quanto concerne il funzionamento e le capacità di indirizzo degli organi di amministrazione o le capacità di aggregazione e segnalazione dei dati sui rischi (risk data aggregation and reporting, RDAR). Le banche devono inoltre assicurare che le loro prassi siano pienamente in linea con la sana gestione dei rischi climatici e ambientali. Il termine ultimo per adempiere è la fine del 2024; tuttavia la Vigilanza bancaria della BCE ha anche fissato scadenze intermedie entro le quali le banche devono soddisfare determinati requisiti.

Poiché la trasformazione digitale è diventata una priorità per molte banche che intendono restare competitive, è essenziale che esse dispongano di salvaguardie adeguate per limitare i potenziali rischi derivanti dall’adozione di nuove tecnologie e pratiche commerciali. Le indagini di vigilanza hanno posto in luce che, laddove alcune banche hanno già compiuto buoni progressi nella trasformazione digitale, altre non hanno stanziato le risorse necessarie per conseguire i propri obiettivi. Inoltre, le crescenti minacce cibernetiche, alimentate dalle attuali tensioni geopolitiche, e l’intensificarsi della dipendenza da fornitori terzi di servizi pongono in rilievo la necessità di preservare resilienza e continuità dei servizi critici da parte delle banche anche in caso di gravi interruzioni dell’operatività. Pertanto, in parallelo alle attività di vigilanza avviate in relazione a queste priorità, nei prossimi mesi alle banche sarà anche chiesto di dimostrare la propria capacità di risposta e ripresa rispetto a tali eventi avversi.

Sebbene il panorama dei rischi abbia mostrato un’ulteriore evoluzione dallo scorso anno, le priorità di vigilanza e le attività a esse correlate stabilite nel 2022 restano nel complesso valide e atte ad affrontare le principali vulnerabilità del settore bancario. Malgrado la stabilità che richiede la pianificazione su un orizzonte triennale, si rendono necessari alcuni aggiustamenti puntuali per far fronte ai rischi menzionati.

Nel contesto delle priorità di vigilanza dell’MVU per il periodo 2024-2026, gli enti vigilati saranno chiamati primariamente a rafforzare la propria capacità di tenuta a fronte degli shock macrofinanziari e geopolitici nell’immediato (priorità 1), nonché ad accelerare gli interventi per porre efficacemente rimedio alle carenze nella governance e nella gestione dei rischi climatici e ambientali (priorità 2) e a compiere ulteriori progressi nella trasformazione digitale e nella realizzazione di solidi assetti di resilienza operativa (priorità 3). La figura 1 riporta sette vulnerabilità principali delle banche, riconducibili a tre priorità generali.

Figura 1

Priorità di vigilanza 2024-2026: affrontare le vulnerabilità individuate nelle banche

La finalità principale della pianificazione strategica della Vigilanza bancaria della BCE è sviluppare una solida strategia per i prossimi tre anni. Le priorità promuovono l’efficacia e la coerenza nell’ambito della pianificazione delle attività dei gruppi di vigilanza congiunti (GVC) e favoriscono una più efficiente ripartizione delle risorse, in linea con la definizione dei livelli di tolleranza al rischio corrispondenti. Aiutano inoltre le autorità nazionali di vigilanza a fissare in maniera proporzionale le rispettive priorità per la vigilanza sugli enti meno significativi. Una comunicazione trasparente delle priorità chiarisce le aspettative nei confronti delle banche, accresce l’impatto della vigilanza nel rafforzare ulteriormente la capacità di tenuta del settore bancario e contribuisce ad assicurare parità di condizioni.

Nelle sezioni seguenti si illustrano in maggiore dettaglio gli esiti dell’esercizio di identificazione e valutazione dei rischi condotto nel 2023 e si stabiliscono le priorità di vigilanza e i relativi programmi di lavoro per il 2024-2026. Ulteriori attività, ordinarie o straordinarie, condotte dai responsabili della vigilanza nell’ambito delle loro costanti interazioni con le banche integrano il lavoro sulle priorità.

2 Valutazione dei rischi e priorità di vigilanza per il periodo 2024-2026

2.1 Contesto in cui operano gli enti vigilati

Il settore bancario europeo ha dimostrato la sua elevata capacità di tenuta agli shock esterni quando, nel marzo di quest’anno, le tensioni emerse nei settori bancari di Stati Uniti e Svizzera hanno prodotto soltanto ricadute limitate e temporanee. Le banche europee hanno dato prova di forza in termini di capitale, liquidità e qualità degli attivi e hanno anche potuto attingere a fonti di finanziamento e bacini di clientela ben diversificati. La loro redditività, che da molti anni desta preoccupazione, ha recentemente segnato una vigorosa ripresa sulla scorta dell’innalzamento dei tassi di interesse, riportandosi su livelli che non si osservavano da oltre un decennio. La maggiore capacità di tenuta del settore bancario, conseguita anche attraverso il rafforzamento degli assetti di regolamentazione e vigilanza europei, potrebbe tuttavia essere messa nuovamente alla prova in futuro; non è quindi opportuno adagiarsi sui risultati raggiunti.

Le prospettive di crescita dell’area dell’euro continuano a essere circondate da elevata incertezza a fronte dell’inasprimento delle condizioni di finanziamento e delle maggiori tensioni geopolitiche, mentre i futuri andamenti dei prezzi dei beni energetici e alimentari sono soggetti a rischi al rialzo^[3]. Le pressioni inflazionistiche incidono ulteriormente su questo difficile contesto e ci si attende che nell’area persista una debole crescita nel breve periodo. Se da un lato perdura un debole andamento del settore manifatturiero, dall’altro si dovrebbe attenuare anche l’attività nei servizi, principale determinante della crescita economica ad oggi, poiché si stanno esaurendo gli effetti della riapertura dell’economia dopo la pandemia e l’azione di freno esercitata dalle condizioni di finanziamento più stringenti e dall’elevata incertezza dei consumatori rimane considerevole. I mercati del lavoro dell’area dell’euro hanno finora evidenziato una buona tenuta, ma la domanda di lavoro potrebbe decelerare se l’attività economica dovesse ristagnare più a lungo^[4]. Le condizioni di offerta del credito si sono significativamente irrigidite da dicembre 2022 e la dinamica del credito è rallentata con la crescente trasmissione del rapido inasprimento della politica monetaria all’economia reale^[5].

Nell’area dell’euro l’inflazione complessiva dovrebbe mantenere un percorso discendente a medio termine, mentre ci si attende che l’inflazione di fondo diminuisca in modo più graduale^[6]. Se si renderà necessario un ulteriore inasprimento della politica monetaria o se i tassi di interesse resteranno più a lungo su livelli più alti in uno scenario di inflazione persistentemente elevata, le prospettive di crescita economica potrebbero peggiorare, con un conseguente deterioramento della qualità degli attivi delle banche. Se da un lato i bilanci di famiglie e imprese appaiono nel complesso solidi dal punto di vista finanziario, dall’altro aumentano i timori riguardo alla capacità di servizio del debito dei prenditori, soprattutto in relazione ai prestiti immobiliari. Oltre all’erosione della qualità degli attivi bancari in caso di rallentamento dell’economia, in alcuni paesi fattori una tantum come il prelievo sulle banche rappresentano un ulteriore rischio al ribasso per gli utili del settore.

La combinazione di maggiori tensioni geopolitiche, tassi di interesse “più alti più a lungo” e un potenziale rallentamento dell’economia dell’area dell’euro potrebbe dare luogo a rinnovate perturbazioni nei mercati finanziari. Le turbolenze del settore bancario registrate negli Stati Uniti e in Svizzera agli inizi di marzo, che hanno innescato una forte avversione al rischio tra le banche statunitensi, si sono propagate solo in parte e in via temporanea al settore bancario europeo. Le ricadute sull’area dell’euro sono rimaste contenute e di breve durata, la volatilità dei mercati si è attenuata e i corsi azionari dell’area hanno recuperato poco dopo lo shock, soprattutto nel settore bancario, mentre i differenziali di rendimento sulle obbligazioni societarie si sono nuovamente ridotti. Un improvviso deterioramento delle prospettive economiche potrebbe tuttavia innescare nuovi episodi di accresciuta volatilità e brusche correzioni dei prezzi delle attività, dando luogo a un ulteriore inasprimento delle condizioni di finanziamento.

2.2 Priorità di vigilanza per il 2024-2026

Le priorità di vigilanza sono stabilite sulla scorta di una valutazione olistica dei rischi e delle vulnerabilità principali delle banche. Le tre priorità generali per il prossimo triennio si concentrano sia sui rischi a breve termine per il settore bancario (priorità 1) sia sull’esigenza di affrontare sfide più strutturali a medio termine (priorità 2 e 3). Ciascuna priorità è intesa a fronteggiare a una serie di vulnerabilità del settore bancario, denominate “vulnerabilità individuate come priorità”, per le quali sono stati fissati obiettivi strategici specifici e sono stati elaborati programmi di lavoro volti all’attenuazione dei rischi sottostanti. Le interdipendenze tra i rischi trovano riscontro nell’impostazione dei programmi di lavoro, tesi a rafforzare l’efficacia e l’efficienza dell’interazione delle autorità di vigilanza con le banche.

Priorità 1: rafforzare la capacità di tenuta agli shock macrofinanziari e geopolitici nell’immediato

L’incertezza che circonda il contesto macrofinanziario, unitamente alle persistenti tensioni geopolitiche e al rischio di rinnovati episodi di tensione finanziaria, continua a incidere sulle prospettive per il settore bancario europeo. Gli enti vigilati devono essere prudenti ed elaborare e seguire strategie imprenditoriali improntate alla resilienza, per tenere testa alla rapida evoluzione del contesto macrofinanziario e geopolitico. Alla luce di ciò, l’obiettivo primario della Vigilanza bancaria della BCE è assicurare che le banche sottoposte alla sua vigilanza diretta rafforzino la propria capacità di tenuta a fronte degli shock macrofinanziari e geopolitici nell’immediato. Se da un lato l’aumento dei tassi di interesse ha avuto finora un impatto positivo sulla redditività, dall’altro le banche devono prepararsi ad affrontare una maggiore volatilità delle fonti di finanziamento, costi di provvista più elevati, un potenziale calo della qualità degli attivi e un’ulteriore revisione dei prezzi nei mercati finanziari a breve e medio termine. Le banche devono quindi rafforzare i propri sistemi di gestione del rischio di credito e ALM.

Vulnerabilità individuata come priorità: carenze nei sistemi di gestione del rischio di credito e del rischio di controparte

Obiettivo strategico: le banche dovrebbero porre efficacemente rimedio alle carenze strutturali nei propri sistemi di gestione del rischio di credito, incluso il rischio di controparte, e affrontare in modo tempestivo eventuali scostamenti dai requisiti regolamentari e dalle aspettative di vigilanza. Le banche dovrebbero essere in grado di individuare e mitigare in tempi rapidi l’eventuale accumulo di rischi nei portafogli più sensibili al contesto macrofinanziario corrente.

Le imprese e le famiglie hanno finora dimostrato la propria capacità di tenuta al rallentamento economico grazie a profitti elevati, bassi tassi di disoccupazione e ampie riserve di risparmio. Sebbene l’incidenza aggregata e le consistenze dei crediti deteriorati degli enti vigilati siano ancora prossime ai minimi storici, all’orizzonte si profilano i primi segnali di deterioramento della qualità degli attivi. L’incidenza delle posizioni classificate nello stadio di rischio 2 è aumentata per i prestiti alle famiglie, in particolare nel segmento al consumo, poiché la contrazione del reddito reale unitamente all’innalzamento dei tassi di interesse grava in misura crescente sulla capacità di servizio del debito delle famiglie. Parimenti, i fallimenti societari e i tassi di default hanno iniziato a risalire dai bassi livelli osservati durante la pandemia.

Nell’area dell’euro si è registrata un’inversione del ciclo del settore degli immobili residenziali, con un rallentamento dei mutui ipotecari e un calo dei prezzi delle abitazioni nella maggior parte dei paesi dell’area. Il mercato degli immobili non residenziali si trova ancora in una fase ciclica negativa, a fronte di valutazioni e volumi di operazioni in brusco calo. Le vulnerabilità strutturali e la diminuzione della domanda, in particolare per gli attivi di qualità inferiore nei sottosettori degli immobili a uso ufficio e degli spazi per la vendita al dettaglio, amplificano l’inasprimento delle condizioni finanziarie e l’incertezza del contesto di mercato. Le esposizioni delle banche appaiono particolarmente vulnerabili in paesi caratterizzati da una sopravvalutazione pregressa e con una quota significativa di prestiti a tasso variabile e prestiti non-amortising (ad esempio bullet), che possono presentare un rischio di rifinanziamento più elevato.

La combinazione di maggiori costi di finanziamento a seguito dell’inasprimento delle condizioni finanziarie e notevole volatilità dei mercati finanziari amplifica i rischi per le istituzioni finanziarie non bancarie con indici di indebitamento elevati, in particolare quelle con ingenti posizioni in derivati. L’esposizione verso tali istituzioni potrebbe comportare un aumento del rischio di controparte per alcune banche, evidenziando la necessità di solide prassi di gestione dei rischi.

Da diversi anni i responsabili della vigilanza lavorano per porre rimedio alle carenze strutturali nei sistemi di gestione del rischio di credito delle banche^[7]. Malgrado alcuni progressi compiuti dalle banche in questo ambito, messi in luce dalle attività di vigilanza, emerge anche una serie di carenze persistenti, che vanno, ad esempio, dalla limitata capacità di anticipare i rischi emergenti (anche di tipo climatico e ambientale) e di tenerne adeguatamente conto negli accantonamenti per il rischio di credito, a lacune nella preparazione a fronteggiare l’eventualità di un forte aumento dei debitori in difficoltà e rischi di rifinanziamento, a indicazioni di sopravvalutazione delle garanzie nei portafogli degli immobili non residenziali. I risultati di tali verifiche sono confluiti negli esiti dello SREP 2023; inoltre, alle banche sono state comunicate misure prudenziali specifiche e le autorità di vigilanza seguono da vicino l’attuazione delle azioni correttive pianificate.

Per quanto riguarda la gestione del rischio di controparte, l’indagine mirata condotta nel 2022 e le successive ispezioni in loco hanno evidenziato carenze rilevanti nell’adeguata verifica della clientela (customer due diligence) da parte delle banche, nella definizione della propensione al rischio, nei processi di gestione dei default e nei sistemi per lo svolgimento delle prove di stress. Sebbene gli enti vigilati abbiano compiuto progressi nell’affrontare le questioni individuate, ci si attendono ulteriori sforzi in vista di un rigoroso allineamento con il rapporto sulle buone prassi relative alla governance e alla gestione del rischio di controparte pubblicato nell’ottobre 2023.

Quanto al futuro, proseguiranno in ampia misura le attività di vigilanza del programma di lavoro dello scorso anno intese a conseguire l’obiettivo strategico relativo alla gestione del rischio di credito e controparte. È tuttavia necessario un riorientamento per tenere conto dell’evoluzione del contesto economico e dei progressi compiuti finora. Le restanti lacune individuate nell’esercizio di “comunicazione agli AD” del 2020 continueranno a essere sottoposte a verifiche di follow-up nell’ambito delle indagini sulle misure di concessione (forbearance), sulle inadempienze probabili e sulle prassi di accantonamento. Per quanto riguarda queste ultime, l’indagine mirata incentrata sull’IFRS 9 e sulle integrazioni ai modelli (overlay) sarà ripetuta per monitorare i progressi compiuti dalle banche e le azioni correttive intraprese in risposta ai rilievi emersi in passato. Inoltre si effettueranno indagini mirate e, se del caso, ispezioni in loco e analisi dei modelli interni per i portafogli più sensibili, ad esempio del settore immobiliare (residenziale e non residenziale) e di quello delle piccole e medie imprese. Per quanto riguarda il rischio di controparte, i GVC continueranno a seguire da vicino le esposizioni delle banche e a esaminare l’adeguatezza delle loro prassi di gestione dei rischi, svolgendo un’attività mirata di follow-up sui progressi compiuti nel porre rimedio alle carenze individuate nel 2022.

Principali attività nell’ambito del programma di lavoro sulle priorità di vigilanza

• Indagini mirate incentrate sulla tenuta dei portafogli più sensibili alla situazione macrofinanziaria corrente ed esposti al rischio di rifinanziamento, inclusa un’attività di follow-up ai rilievi emersi da quelle svolte in precedenza sui prestiti per l’acquisto di immobili residenziali e non residenziali e l’avvio di una nuova indagine mirata sui debitori vulnerabili del settore delle PMI.
• Attività di follow-up all’indagine mirata sull’IFRS 9, per monitorare i progressi compiuti per quanto riguarda la capacità dei modelli delle banche basati sulle perdite attese su crediti di rilevare i rischi emergenti, con particolare attenzione alle integrazioni (overlay).
• Proseguimento degli approfondimenti sulle politiche concernenti le misure di concessione e le inadempienze probabili.
• Proseguimento delle ispezioni in loco, con particolare attenzione alla valutazione collettiva della ripartizione per stadi di rischio e della determinazione degli accantonamenti ai sensi dell’IFRS 9 per PMI, portafogli al dettaglio e immobili non residenziali, incluse le valutazioni delle garanzie reali.
• Proseguimento delle analisi dei modelli interni e attività di follow-up da parte dei GVC per valutare le modifiche ai modelli basati sui rating interni in relazione ai nuovi requisiti regolamentari e le azioni correttive intraprese in risposta ai rilievi emersi dall’analisi mirata dei modelli interni.
• Attività di follow-up all’indagine mirata sulla gestione del rischio di controparte condotta nel 2022.
• Ispezioni mirate su aspetti specifici della gestione del rischio di controparte.

Vulnerabilità individuata come priorità: carenze nei sistemi di gestione delle attività e delle passività

Obiettivo strategico: le banche dovrebbero assicurare governance e strategie ALM solide e prudenti, che riflettano una forte supervisione da parte degli organi di amministrazione e un’adeguata rilevazione dei rischi connessi alla politica monetaria corrente e alla rapida evoluzione del contesto economico. In particolare, dovrebbero elaborare piani di finanziamento robusti e credibili intesi alla diversificazione delle strutture di finanziamento, nonché piani di emergenza efficaci per essere in grado di resistere a shock di liquidità a breve termine. Le banche dovrebbero inoltre assicurare un’adeguata gestione delle posizioni soggette al rischio di tasso di interesse, sulla base di ipotesi prudenti riguardo al comportamento della clientela, e formulare strategie di attenuazione corrispondenti commisurate ai loro profili di rischio.

Il contesto dei tassi di interesse in cui operano le banche è radicalmente mutato negli ultimi due anni. Se da un lato i tassi di interesse più elevati sostengono in linea di massima la redditività degli enti vigilati, dall’altro potrebbero anche comportare maggiori costi di finanziamento e porre problemi per quanto riguarda la liquidità delle banche e, più in generale, la governance, le strategie e i sistemi ALM.

La volatilità dei mercati finanziari e le correzioni dei prezzi nei mercati dei titoli a reddito fisso alla luce dell’attuale dinamica dei tassi di interesse hanno accresciuto il rischio che si accumulino perdite non realizzate nei portafogli a costo ammortizzato delle banche. Sebbene gli effetti possano essere gravi, come dimostrano le turbolenze che hanno colpito alcune banche di medie dimensioni statunitensi in marzo, la combinazione di fattori che hanno condotto a quel particolare episodio non è stata finora osservata per le banche sottoposte alla vigilanza bancaria europea. Di fatto, come emerge dai dati^[8] pubblicati a luglio 2023, l’importo complessivo di tali perdite non realizzate è stato relativamente contenuto, pari a 73 miliardi di euro a febbraio 2023, rispetto ai 620 miliardi di dollari per le banche statunitensi a fine 2022^[9]. I responsabili della vigilanza esaminano la valutazione e la gestione dei rischi di tasso di interesse e di differenziale creditizio da parte delle banche fin dalla seconda metà del 2021, quando sono emersi i primi segnali di pressioni inflazionistiche. Nel 2022 la Vigilanza bancaria della BCE ha incluso tali rischi tra le priorità di vigilanza e ha svolto un’indagine mirata specificamente per valutare in modo proattivo il grado di preparazione delle banche a fronteggiare potenziali aumenti dei tassi. I rilievi emersi in quel momento indicavano la necessità per le banche di riesaminare con maggiore frequenza la calibrazione dei modelli ALM per rispondere ai cambiamenti nel comportamento della clientela connessi al nuovo regime dei tassi di interesse e alle debolezze di alcune strategie di copertura.

Sul piano della liquidità e del finanziamento, ad oggi gli enti vigilati hanno dato prova, nel complesso, di una forte capacità di tenuta ai cambiamenti del contesto finanziario. Sebbene la contrazione delle riserve di banca centrale e la debole dinamica monetaria abbiano determinato un calo delle riserve di liquidità delle banche, i loro indici di copertura della liquidità e i coefficienti netti di finanziamento stabile rimangono, in media, ben al di sopra del minimo regolamentare. Inoltre, gli enti vigilati non mostrano concentrazioni dei finanziamenti simili a quelle di alcune banche di medie dimensioni statunitensi in dissesto nei precedenti mesi di quest’anno, in quanto le loro principali fonti di finanziamento provengono soprattutto dai depositi. Perlopiù derivano dalla clientela al dettaglio, coperta per la maggior parte dall’assicurazione dei depositi. Per assicurare la graduale cessazione dei programmi di operazioni mirate di rifinanziamento a più lungo termine (OMRLT) e valutare la preparazione delle banche a ciò, nel 2023 è stata condotta un’indagine mirata incentrata sulle strategie di uscita delle banche dalle OMRLT. In questo contesto, ad alcune banche è stato chiesto di diversificare ulteriormente le proprie fonti di finanziamento. È inoltre in corso un’indagine mirata per la valutazione dell’affidabilità e solidità dei piani di finanziamento delle banche, i cui esiti confluiranno nei risultati dello SREP 2024.

In prospettiva, la Vigilanza bancaria della BCE continuerà a rimarcare con forza la necessità per le banche di possedere solidi dispositivi ALM. Mediante attività mirate si esamineranno governance e strategie ALM delle banche e si valuterà l’adeguatezza delle ipotesi alla base di alcuni dei loro modelli comportamentali. Le autorità di vigilanza valuteranno inoltre la tenuta delle banche a fronte di shock di liquidità a breve termine e la credibilità e solidità dei loro piani di emergenza di liquidità. Infine, porteranno avanti l’impegno avviato negli anni precedenti svolgendo ulteriori indagini sulle modalità con cui le banche gestiscono l’IRRBB, nonché sulla solidità e affidabilità dei loro piani di finanziamento.

Principali attività nell’ambito del programma di lavoro sulle priorità di vigilanza

• Indagini mirate sulla solidità e affidabilità dei piani di finanziamento, della pianificazione di emergenza e dell’adeguatezza delle capacità di ottimizzazione delle garanzie, nonché della governance, delle strategie e della gestione ALM.
• Ispezioni mirate per valutare la solidità e l’adeguatezza dei piani di risanamento e di finanziamento.
• Attività di follow‑up ai rilievi emersi dall’indagine mirata sui rischi di tasso di interesse e di differenziale creditizio, estendendo tale indagine anche a un più ampio perimetro di enti.
• Campagna ispettiva sull’IRRBB, con particolare attenzione alla posizione e alla strategia ALM, ai modelli comportamentali IRRBB e alla strategia di copertura.

Priorità 2: accelerare gli interventi per porre efficacemente rimedio alle carenze nella governance e nella gestione dei rischi climatici e ambientali

I risultati dello SREP 2023 continuano a rivelare progressi insufficienti da parte di alcune banche nel far fronte alle carenze sul piano della governance. Queste evidenze si riscontrano in particolare negli ambiti relativi al funzionamento e all’indirizzo strategico degli organi di amministrazione delle banche, ma anche per quanto riguarda le capacità di aggregazione e segnalazione dei dati di rischio. Inoltre, i dissesti di alcune banche statunitensi e svizzere all’inizio di quest’anno hanno nuovamente messo in luce l’importanza di una solida governance e di rigorosi controlli dei rischi. Tale considerazione vale anche nel contesto di un costante aumento dei rischi climatici e ambientali, il cui impatto negativo si avverte già a livello mondiale. Le banche saranno chiamate a intensificare gli sforzi e a integrare adeguatamente le dimensioni di rischio rilevanti nelle strategie aziendali e nei sistemi di gestione dei rischi per conseguire la piena conformità alle corrispondenti aspettative di vigilanza entro la fine del 2024. Ai fini di questo obiettivo, la Vigilanza bancaria della BCE è pronta a utilizzare gli strumenti a sua disposizione (tra cui, ove necessario, maggiorazioni di capitale, misure esecutive e sanzioni, verifiche dei requisiti di idoneità) per incentivare le banche a porre efficacemente rimedio alle lacune individuate, soprattutto laddove sussistano misure chiare e scadenze concrete per il soddisfacimento delle aspettative di vigilanza.

Vulnerabilità individuata come priorità: Carenze nel funzionamento e nella capacità di indirizzo degli organi di amministrazione

Obiettivo strategico: le banche dovrebbero affrontare con efficacia le carenze rilevanti in merito al funzionamento, alla capacità di supervisione e alla composizione degli organi di amministrazione, elaborando e attuando tempestivamente solidi piani correttivi conformi alle aspettative di vigilanza.

Meccanismi di governance interna solidi e linee di indirizzo strategico efficaci rivestono un ruolo fondamentale per assicurare la tenuta e la sostenibilità dei modelli imprenditoriali delle banche. Le attuali prospettive macrofinanziarie incerte e il mutamento in atto del contesto dei tassi di interesse dopo anni di condizioni di finanziamento accomodanti impongono alle banche di applicare un indirizzo strategico efficace e di adeguare le proprie prassi al fine di valutare, controllare e gestire opportunamente i rischi connessi. Le turbolenze di marzo nei settori bancari statunitense e svizzero hanno messo in luce il ruolo cruciale degli organi di amministrazione e della dirigenza, che hanno la responsabilità ultima di assicurare adeguati dispositivi di governance interna ed efficaci processi di gestione dei rischi, e hanno inoltre evidenziato le conseguenze potenzialmente disastrose per una banca nel caso in cui tali dispositivi e processi fossero carenti. Un’efficace azione di indirizzo strategico è indispensabile oltretutto per adeguare i modelli imprenditoriali delle banche all’evolvere delle tendenze, ad esempio verso digitalizzazione e l’accelerazione della transizione verde.

Far fronte alle carenze degli organi di amministrazione delle banche è da diversi anni una delle principali priorità della Vigilanza bancaria della BCE e, sebbene vi siano stati miglioramenti in alcuni ambiti, sono necessari ulteriori progressi per quanto concerne la loro composizione, la loro idoneità complessiva e il loro ruolo di sorveglianza. A seguito dell’impegno diretto di vigilanza nel 2022, le banche hanno migliorato le proprie politiche in materia di diversità, che ora includono i criteri di istruzione, esperienza, provenienza geografica ed età, oltre a quello di genere. Attualmente, quasi tutti gli enti vigilati hanno adottato obiettivi di genere al fine di eliminare gli squilibri nei propri organi di amministrazione. Tuttavia, i progressi compiuti nel conseguimento di tali obiettivi sono ancora insufficienti^[10]. Le banche devono inoltre migliorare ulteriormente l’idoneità complessiva degli organi di amministrazione, nonché la loro capacità dialettica. Quest’ultimo aspetto è legato a debolezze nella loro stessa composizione (ad esempio, numero insufficiente di amministratori formalmente indipendenti e mancanza di conoscenze in ambiti specifici come l’informatica) e nel loro stesso funzionamento (ad esempio, tempo insufficiente riservato al dibattito e criticità nei processi di nomina dei componenti). Anche il ruolo di sorveglianza dei comitati endoconsiliari deve essere migliorato maggiormente, come rivela l’indagine mirata degli organi di amministrazione del 2023^[11].

La Vigilanza bancaria della BCE continuerà a interagire con le banche per far fronte a queste annose carenze attraverso indagini mirate e ispezioni in loco. Inoltre, saranno aggiornate e pubblicate le aspettative di vigilanza in materia di governance e gestione dei rischi.

Principali attività nell’ambito del programma di lavoro sulle priorità di vigilanza

• Indagine mirata sull’efficacia degli organi di amministrazione delle banche e ispezioni mirate.
• Aggiornamento e pubblicazione delle aspettative di vigilanza e delle migliori prassi in materia di governance e cultura del rischio delle banche^[12].

Vulnerabilità individuata come priorità: Carenze nell’aggregazione e nella segnalazione dei dati di rischio

Obiettivo strategico: le banche dovrebbero affrontare con efficacia le carenze di lunga data e dotarsi di sistemi adeguati ed efficienti per l’aggregazione e la segnalazione dei dati di rischio, al fine di promuovere un’azione di indirizzo efficiente da parte dell’organo di amministrazione e di rispondere alle aspettative di vigilanza, anche in periodi di crisi.

La tempestività e l’accuratezza dell’aggregazione e della segnalazione dei dati di rischio sono essenziali per la solidità del processo decisionale e l’efficacia dell’indirizzo strategico delle banche, soprattutto nel contesto attuale, nonché ai fini delle segnalazioni finanziarie, prudenziali e sui rischi. Gli esiti degli esercizi di vigilanza svolti finora, compresi lo SREP 2023 e la campagna di ispezioni in corso, indicano progressi insufficienti nel colmare le lacune in relazione alle aspettative di vigilanza e ai principi per un’efficace aggregazione e segnalazione dei dati di rischio del Comitato di Basilea per la vigilanza bancaria. Le principali carenze riguardano un’insufficiente attenzione e supervisione da parte degli organi di amministrazione, debolezze nell’architettura dei dati e ambienti informatici frammentati e disomogenei, scarsa capacità di aggregazione e assetti di governance inefficaci. Una decisa attribuzione delle priorità da parte degli organi di amministrazione è fondamentale, poiché per eliminare le carenze nell’aggregazione e nella segnalazione dei dati di rischio sono spesso necessarie risorse significative.

Come già comunicato nelle priorità dello scorso anno, la Vigilanza bancaria della BCE sta intensificando gli sforzi per assicurare che gli enti vigilati compiano notevoli progressi nel porre rimedio alle annose carenze individuate nell’aggregazione e nella segnalazione dei dati di rischio. A partire dal 2024 sarà applicato progressivamente un meccanismo di escalation strutturato, che potrebbe comprendere misure esecutive e sanzioni^[13]. Il documento Guide on effective risk data aggregation and risk reporting ribadisce e specifica ulteriormente le aspettative di vigilanza. Tra luglio e ottobre 2023 si è svolta una consultazione pubblica^[14] sulla guida, che sarà prevedibilmente pubblicata nel 2024. I responsabili della vigilanza condurranno altresì indagini mirate e ispezioni in loco e interagiranno con le banche laddove siano individuate lacune persistenti. Inoltre, il questionario “Rapporto gestionale sulla governance e qualità dei dati”^[15], introdotto come esercizio pilota agli inizi del 2023, sarà riproposto alle banche con cadenza annuale. Il questionario mira ad assicurare che gli organi di amministrazione delle banche si assumano in misura adeguata la responsabilità di rendere conto delle segnalazioni interne, finanziarie e prudenziali.

Principali attività nell’ambito del programma di lavoro sulle priorità di vigilanza

• Affinamento delle aspettative di vigilanza relative all’attuazione dei principi per l’aggregazione e la segnalazione dei dati di rischio e alla pubblicazione del documento “Guide on effective risk data aggregation and risk reporting”.
• Indagini mirate sulle prassi di aggregazione e segnalazione dei dati di rischio.
• Campagna di ispezioni in loco sull’aggregazione e sulla segnalazione dei dati di rischio (proseguimento dal 2023).
• Redazione del “Rapporto gestionale sulla governance e qualità dei dati”, questionario annuale inteso ad assicurare che gli organi di amministrazione delle banche si assumano in misura adeguata la responsabilità di rendere conto delle segnalazioni interne, finanziarie e prudenziali.

Vulnerabilità individuata come priorità: Esposizioni rilevanti ai fattori di rischio, fisico e di transizione, del cambiamento climatico

Obiettivo strategico: le banche dovrebbero integrare in modo adeguato i rischi climatici e ambientali nella strategia aziendale e nei sistemi di governance e di gestione dei rischi, al fine di mitigarli e renderli noti, conformando le proprie prassi ai requisiti regolamentari vigenti e alle aspettative di vigilanza.

Le emissioni globali di gas a effetto serra hanno continuato ad aumentare^[16], aggravando il riscaldamento globale prospettato e, di conseguenza, intensificando i rischi molteplici e concomitanti, come hanno ripetutamente dimostrato le ondate di calore record, gli incendi e le inondazioni in Europa e in altre regioni del mondo. Le politiche in atto non riescono a conseguire gli obiettivi per il riscaldamento globale fissati nell’Accordo di Parigi del 2015^[17]. Ci si attende che i ritardi negli interventi per il clima causino un ulteriore inasprimento dei rischi fisici e di transizione e, potenzialmente, delle relative perdite per le banche, accrescendo il rischio di maggiori danni, dipendenza da infrastrutture ad alte emissioni, attività non recuperabili e incremento dei costi^[18]. È probabile che le tensioni geopolitiche, nonché gli investimenti iniziali sempre più elevati e i cambiamenti dirompenti necessari per attuare misure di mitigazione e adeguamento, alimentino ulteriormente i rischi di transizione in un contesto di condizioni di finanziamento più restrittive.

Mentre per alcune banche lo SREP 2023 ha rivelato alcuni miglioramenti nella definizione della strategia relativa ai rischi climatici e ambientali, per altre ha messo in luce l’urgente necessità di colmare le lacune. Le misure qualitative dello SREP si sono incentrate principalmente sulle debolezze delle banche nella pianificazione strategica e operativa e nella conoscenza, da parte degli organi di amministrazione, delle tematiche ambientali, sociali e di governance. I rischi climatici e ambientali hanno inciso sui livelli dei requisiti di secondo pilastro per un numero crescente di banche rispetto all’esercizio SREP dello scorso anno^[19].

Al fine di affrontare efficacemente le carenze riscontrate nella prova di stress^[20] e nell’indagine tematica^[21] sul rischio climatico condotte dalla BCE nel 2022, la Vigilanza bancaria della BCE ha fissato scadenze per ciascun ente creditizio in vista di allineare pienamente entro la fine del 2024 le proprie prassi alle aspettative di vigilanza definite nella Guida sui rischi climatici e ambientali della BCE pubblicata nel 2020. A marzo 2023 è stata raggiunta una delle tappe intermedie di questo processo; entro questo termine le banche avrebbero dovuto classificare adeguatamente i rischi climatici e ambientali e condurre una valutazione completa del relativo impatto sulle proprie attività. Alcune banche hanno continuato a mostrare gravi debolezze in questo ambito e pertanto, nel quadro delle interazioni di vigilanza, sono stati adottati provvedimenti operativi, requisiti qualitativi SREP e decisioni ad hoc del Consiglio di vigilanza. Ci si attende che entro la fine del 2023 le banche incorporino i rischi climatici e ambientali nella governance, nella strategia e nella gestione dei rischi e, infine, entro la fine del 2024 soddisfino tutte le altre aspettative di vigilanza delineate nel 2020, tra cui la completa integrazione di tali rischi nel processo interno di valutazione dell’adeguatezza patrimoniale (Internal Capital Adequacy Assessment Process, ICAAP) e nelle prove di stress. In prospettiva, per far sì che le banche si attengano a tali aspettative, la Vigilanza bancaria della BCE continuerà a ricorrere a tutti i suoi strumenti, ivi compresi ove necessario gli strumenti di escalation, quali le penalità di mora o le maggiorazioni di capitale a livello di singola banca^[22].

Inoltre, l’adeguatezza delle prassi di informativa delle banche continuerà a essere oggetto di analisi e valutazioni. Sebbene le banche abbiano segnato alcuni passi avanti in questo ambito, come rivela l’esito della terza valutazione dei progressi compiuti dalle banche europee nell’informativa sui rischi climatici e ambientali, la qualità delle informazioni divulgate rimane scarsa. Fra le altre tematiche di interesse per i prossimi anni si annoverano la gestione dei rischi di reputazione e di contenzioso in materia climatica e ambientale derivanti dalla pubblicazione degli obiettivi di transizione e/o degli impegni per l’azzeramento delle emissioni nette. Inoltre, proseguiranno i lavori preparatori per l’elaborazione di un quadro di riferimento per l’analisi della pianificazione della transizione e del grado di preparazione delle banche all’assolvimento dei mandati ambientali, sociali e di governance previsti dalla sesta direttiva sui requisiti patrimoniali (CRD VI). Infine, i rischi climatici continueranno a essere valutati nell’ambito di alcune ispezioni in loco dedicate a rischi specifici, mentre le missioni individuali mirate sui rischi climatici e ambientali inizieranno prevedibilmente nel 2024.

Principali attività nell’ambito del programma di lavoro sulle priorità di vigilanza

• Attività mirata di follow-up alle carenze individuate nel contesto della prova di stress sul rischio climatico e dell’indagine tematica 2022, finalizzate alla piena conformità con le aspettative di vigilanza pertinenti entro la fine del 2024.
• Esame della conformità delle banche agli obblighi di segnalazione e informativa di terzo pilastro definiti nelle norme tecniche di attuazione in materia di rischio climatico, esame dell’allineamento fra tali segnalazioni e informative, nonché analisi comparata delle prassi delle banche in relazione alle aspettative di vigilanza.
• Approfondimenti sulla capacità delle banche di far fronte ai rischi di reputazione e di contenzioso legati agli impegni assunti in materia climatica e ambientale.
• Ispezioni mirate su aspetti climatici, su base individuale o nell’ambito di analisi sui singoli rischi (ad esempio rischio di credito, rischio operativo, rischio di modello imprenditoriale).

Priorità 3: ulteriori progressi nella trasformazione digitale e nella realizzazione di solidi assetti di resilienza operativa

Sebbene gran parte degli enti vigilati stia compiendo progressi nella digitalizzazione di operazioni e servizi per fronteggiare le crescenti sfide della concorrenza, essi devono anche rafforzare e adeguare, ove necessario, i propri assetti di resilienza operativa per attenuare i rischi potenziali. Il conseguimento della resilienza operativa dovrebbe contribuire alla sostenibilità dei modelli imprenditoriali delle banche nel medio periodo e consentire loro, tra l’altro, di cogliere i benefici delle tecnologie innovative. Tuttavia, alcune banche sono lontane dal raggiungimento dei loro obiettivi in questo ambito. Inoltre, gli enti vigilati devono affrontare le vulnerabilità derivanti dalla crescente dipendenza operativa da fornitori terzi e migliorare la gestione del rischio di sicurezza informatica/cibernetica. Questo aspetto riveste particolare importanza alla luce delle sempre più numerose minacce cibernetiche riconducibili all’attuale contesto geopolitico.

Vulnerabilità individuata come priorità: Carenze nelle strategie di trasformazione digitale

Obiettivo strategico: le banche dovrebbero elaborare e attuare solidi piani di trasformazione digitale mediante meccanismi adeguati (ad esempio strategia aziendale e gestione dei rischi) al fine di rafforzare la sostenibilità dei propri modelli imprenditoriali e attenuare i rischi connessi all’uso di tecnologie innovative.

Gli enti vigilati hanno recentemente registrato una redditività senza precedenti, dovuta in gran parte all’aumento dei margini di interesse netti. Tuttavia, permangono debolezze strutturali nei loro modelli imprenditoriali. I rapporti costi/ricavi delle banche restano persistentemente elevati e vischiosi e l’attuazione di misure di contenimento dei costi potrebbe rivelarsi difficile a fronte delle attuali forti pressioni inflazionistiche. A tale riguardo, gli enti vigilati dovrebbero essere in grado di gestire l’aumento previsto dei costi operativi senza mettere a repentaglio gli imprescindibili investimenti nella trasformazione digitale. Secondo le attese, la digitalizzazione dovrebbe consolidare la posizione concorrenziale e la capacità di tenuta delle banche alla concorrenza esterna al settore bancario.

Nel 2023 la Vigilanza bancaria della BCE ha condotto una valutazione orizzontale e un’analisi comparata sulla base della raccolta di dati a livello di MVU in merito alla trasformazione digitale e all’utilizzo della tecnologia finanziaria (fintech). L’esito di tale analisi è stato condiviso con le banche e ha contribuito a definire una serie di rischi connessi alla trasformazione digitale, tra cui i rischi strategici e di esecuzione, il rischio cibernetico, il rischio di dipendenza da terzi, i rischi di riciclaggio di denaro e di frode. Le ispezioni mirate, che hanno integrato la valutazione orizzontale, hanno sollevato preoccupazioni circa l’efficacia dell’indirizzo strategico e dell’esecuzione, ponendo in risalto anche l’importanza della riqualificazione professionale del personale e degli organi di amministrazione. Sono emerse, tra l’altro, carenze nella pianificazione finanziaria e del bilancio, date le difficoltà delle banche a monitorare l’impatto finanziario delle loro iniziative di trasformazione digitale. L’esito di tali attività ha informato la valutazione prudenziale dei modelli imprenditoriali delle banche nel ciclo SREP 2023. In prospettiva, la Vigilanza bancaria della BCE continuerà a concentrarsi sulla trasformazione digitale, coniugando indagini mirate a ispezioni dedicate. Inoltre, pubblicherà le proprie aspettative di vigilanza sulla trasformazione digitale delle banche^[23]. Le aspettative riviste contribuiranno a rafforzare la metodologia di valutazione prudenziale.

Principali attività nell’ambito del programma di lavoro sulle priorità di vigilanza

• Indagini mirate sull’impatto della trasformazione digitale delle banche sul modello imprenditoriale e sulla strategia aziendale, sulla governance e sulla individuazione/gestione dei rischi, integrate dall’attività di follow-up dei GVC laddove emergano carenze rilevanti.
• Ispezioni mirate sulla trasformazione digitale, che combinano la dimensione del modello imprenditoriale all’aspetto informatico delle strategie di trasformazione digitale delle banche.
• Pubblicazione delle aspettative di vigilanza e condivisione delle migliori prassi sulle strategie di trasformazione digitale.

Vulnerabilità individuata come priorità: Carenze negli assetti di resilienza operativa, ossia rischi di esternalizzazione dei servizi informatici e di sicurezza informatica/cibernetica

Obiettivo strategico: le banche dovrebbero disporre di solidi meccanismi di gestione del rischio di esternalizzazione, nonché di sistemi di sicurezza informatica e di resilienza cibernetica per far fronte in maniera proattiva a qualsiasi rischio non attenuato che possa determinare interruzioni rilevanti di attività o servizi critici, assicurando al tempo stesso il rispetto dei requisiti regolamentari e delle aspettative di vigilanza pertinenti.

Il rischio cibernetico e la sicurezza dei dati continuano a rappresentare importanti fattori di rischio operativo per le banche. Il numero di incidenti cibernetici segnalati dagli enti vigilati alla Vigilanza bancaria della BCE è aumentato nella prima metà del 2023, di riflesso alla significativa esposizione del settore bancario alle minacce cibernetiche in evoluzione, riconducibile tra l’altro alla guerra della Russia in Ucraina e all’acuirsi delle tensioni geopolitiche. Gli attacchi distruttivi sono diventati una delle componenti principali delle operazioni delle entità statali, di cui anche le istituzioni finanziarie sono un probabile obiettivo, dato il loro ruolo per le infrastrutture critiche^[24]. Gli attacchi ransomware in particolare continuano ad aumentare, diventando più sofisticati, e le banche sono sempre più colpite dalle tecniche di estorsione in evoluzione.

Le debolezze negli accordi di esternalizzazione dei servizi informatici rappresentano un’altra vulnerabilità principale, data la crescente dipendenza delle banche da fornitori terzi. L’allungamento e la maggiore complessità delle catene di approvvigionamento impongono alle banche di comprendere e controllare meglio i rapporti con i fornitori nonché le dipendenze da (e interdipendenze con) questi ultimi per affrontare in modo proattivo i potenziali rischi di concentrazione. Una sana gestione delle attività e dei fornitori è quindi essenziale affinché le banche riescano a soddisfare le esigenze della clientela e a migliorare la propria efficienza in un contesto sempre più competitivo, assicurando nel contempo un’adeguata gestione dei rischi derivanti dagli accordi di esternalizzazione e dall’adozione di soluzioni cloud. L’esito dello SREP 2023 ha ulteriormente confermato la rilevanza delle carenze delle banche nella gestione dell’esternalizzazione dei servizi informatici e dei rischi di sicurezza informatica/cibernetica; di fatto il rischio operativo continua a essere l’elemento che ha ottenuto i peggiori punteggi SREP^[25].

In tale contesto, la Vigilanza bancaria della BCE ha introdotto una raccolta annuale di dati sui registri delle attività di esternalizzazione degli enti vigilati. Dalle analisi condotte finora sono emerse varie vulnerabilità, tra cui l’elevata dipendenza da alcuni fornitori esterni non europei e un numero significativo di contratti di esternalizzazione. Un’adeguata gestione del rischio di dipendenza da terzi, ivi compresa l’esternalizzazione via cloud, rimane una delle priorità di vigilanza e sarà oggetto di ulteriori valutazioni nell’ambito delle attività ordinarie.

Oltre alla valutazione orizzontale degli accordi di esternalizzazione delle banche e all’analisi del rischio di concentrazione, la Vigilanza bancaria della BCE continuerà a condurre indagini mirate sugli accordi di esternalizzazione e sulla resilienza cibernetica, per acquisire maggiori informazioni sulla natura e sull’entità dei rischi, nonché sulle relative misure di attenuazione adottate dalle banche. Le indagini mirate saranno inoltre integrate da ispezioni volte a individuare e valutare le carenze a livello di singola banca. Tenuto conto del moltiplicarsi degli attacchi cibernetici e dell’importanza del tema nell’attuale contesto geopolitico, la Vigilanza bancaria della BCE condurrà il prossimo anno anche una prova di stress tematica sulla resilienza cibernetica, per valutare la capacità di risposta e ripresa delle banche in caso di attacco cibernetico riuscito^[26].

Principali attività nell’ambito del programma di lavoro sulle priorità di vigilanza

• Raccolta di dati e analisi orizzontale dei registri delle attività di esternalizzazione al fine di individuare le interconnessioni tra enti vigilati e fornitori terzi e le potenziali concentrazioni dei rischi in relazione a determinati fornitori.
• Indagini mirate sugli accordi di esternalizzazione e della resilienza cibernetica.
• Ispezioni mirate sulla gestione dell’esternalizzazione e della sicurezza cibernetica.
• Prova di stress sulla resilienza cibernetica sistemica nel 2024 incentrata sulla capacità di risposta e ripresa delle banche in seguito a un incidente di sicurezza cibernetica e sulla loro capacità di limitarne l’impatto e ripristinare tempestivamente i servizi.