1 Introduzione

Le priorità di vigilanza per il periodo 2026-2028 riflettono la strategia a medio termine della Vigilanza bancaria della BCE per i prossimi tre anni. Il Consiglio di vigilanza della BCE stabilisce tali priorità sulla base di una valutazione approfondita dei rischi e delle vulnerabilità principali per i soggetti vigilati. Le priorità sono riesaminate con cadenza annuale per tenere conto dei cambiamenti intervenuti nel panorama dei rischi nonché dei risultati di vari esercizi di vigilanza, in particolare il processo di revisione e valutazione prudenziale (Supervisory Review and Evaluation Process, SREP)^[1]. In tale ambito si valutano inoltre i progressi compiuti dalle banche rispetto alle priorità e ai requisiti regolamentari degli anni precedenti. Questo tipo di riesame annuale favorisce l’adozione di una strategia prospettica e basata sui rischi che promuove una ripartizione efficiente delle risorse, rende l’azione di vigilanza più trasparente e prevedibile per le banche, assicurando al tempo stesso sufficiente flessibilità nell’adeguare le priorità ove necessario.

Il sistema bancario europeo presenta un profilo di rischio solido e fondamentali robusti; è pertanto in condizione di affrontare l’elevata incertezza dell’attuale contesto geopolitico e macrofinanziario e di sostenere efficacemente l’economia europea. Nell’ultimo anno il settore ha continuato a registrare solide posizioni patrimoniali e di liquidità nonché bassi livelli di crediti deteriorati, con una redditività finora in grado di tenere alla riduzione dei tassi di interesse. La solidità dei fondamentali, frutto in parte del rafforzamento dell’assetto prudenziale e di vigilanza dopo la crisi finanziaria mondiale, ha consentito al settore di resistere alle difficoltà economiche causate dall’acuirsi delle tensioni commerciali e dei conflitti a livello mondiale nonché ai successivi periodi di elevata volatilità nei mercati finanziari. Inoltre, la capacità di tenuta del settore bancario ha beneficiato negli ultimi anni di misure pubbliche volte a sostenere l’economia reale e ad attenuare l’impatto degli shock avversi. La buona capacità di tenuta complessiva del settore bancario a fronte di uno scenario avverso indotto dalle tensioni geopolitiche emerge anche dall’esercizio di stress a livello di UE condotto quest’anno.

Ciò detto, le banche devono essere pronte a gestire le sfide future. Le incertezze a livello mondiale sono aumentate in misura eccezionale, creando un contesto di accresciuta fragilità, in cui rischi una volta considerati remoti divengono più probabili. Le tensioni geopolitiche e l’evoluzione delle politiche commerciali, le crisi climatica e naturale, i cambiamenti demografici e gli effetti dirompenti della tecnologia stanno esacerbando le vulnerabilità strutturali, facendo aumentare senza precedenti la probabilità che si verifichino eventi estremi poco probabili. L’incertezza è elevata. Tale combinazione di fattori accresce il rischio di gravi e improvvise perturbazioni, con conseguenze di vasta portata per economie, mercati finanziari e banche. Resta pertanto valido l’invito rivolto negli ultimi anni alle banche a mantenere un atteggiamento vigile e a non abbassare il livello di guardia.

Alla luce di queste difficili prospettive, le priorità di vigilanza per il periodo 2026-2028 riflettono la necessità per le banche di mantenere la propria capacità di tenuta a fronte dei rischi geopolitici e delle incertezze macrofinanziarie (priorità 1), assicurando al tempo stesso la solidità della resilienza operativa e delle capacità nell’ambito delle tecnologie dell’informazione e della comunicazione (TIC) (priorità 2).

Figura 1

Priorità di vigilanza 2026-2028: affrontare le vulnerabilità individuate nelle banche

Ciascuna priorità di vigilanza riguarda una serie specifica di vulnerabilità del settore bancario per la quale sono stati definiti obiettivi strategici specifici e programmi di lavoro mirati. La figura 1 elenca cinque obiettivi volti ad affrontare le principali vulnerabilità delle banche e delinea un piano di medio-lungo termine incentrato sulle strategie, sulla governance e sulla gestione dei rischi in ambito digitale, con particolare riferimento all’intelligenza artificiale (IA). Queste due priorità riflettono l’impegno della Vigilanza bancaria della BCE a promuovere la solidità, la capacità di tenuta e la sostenibilità di un settore bancario europeo in grado di gestire un panorama dei rischi sempre più complesso.

Le priorità di vigilanza mirano ad affrontare le vulnerabilità più rilevanti e diffuse cui sono esposte le banche e a contribuire al più ampio lavoro della Vigilanza bancaria della BCE. Parallelamente, la Vigilanza bancaria della BCE continua a svolgere la propria regolare attività di controllo per individuare altre aree di rischio rilevanti al fine di sostenere ulteriormente la capacità di tenuta del settore bancario europeo a fronte dei rischi specifici dei singoli enti. L’attività di verifica dell’attuazione delle priorità precedenti rimarrà al centro dell’attenzione, unitamente al continuo confronto con le banche.

Le priorità di vigilanza promuovono l’efficacia e la coerenza dell’attività di pianificazione dei gruppi di vigilanza congiunti (GVC) e favoriscono l’efficiente ripartizione delle risorse, in linea con i livelli di tolleranza al rischio predefiniti^[2]. Aiutano inoltre le autorità nazionali di vigilanza a fissare in maniera proporzionale le rispettive priorità per la vigilanza sugli enti meno significativi. La comunicazione trasparente di tali priorità svolge un ruolo essenziale nella chiara interpretazione delle aspettative da parte delle banche, nel rafforzare l’impatto dell’azione di vigilanza a favore di una maggiore capacità di tenuta del settore bancario europeo e nell’assicurare condizioni di parità di trattamento dei vari enti.

Le sezioni seguenti offrono una panoramica della valutazione dei rischi per il 2025 insieme a una descrizione dettagliata delle priorità di vigilanza e dei programmi di lavoro per il periodo 2026-2028.

2 Valutazione dei rischi e priorità di vigilanza per il periodo 2026-2028

2.1 Contesto macroeconomico e operativo dei soggetti vigilati

Nell’ultimo anno il contesto macroeconomico è stato caratterizzato da un inasprimento delle tensioni commerciali a livello mondiale e da rischi geopolitici di più ampia portata, che hanno determinato un mutamento delle politiche commerciali e una maggiore incertezza complessiva. L’annuncio agli inizi di aprile 2025 di nuovi dazi statunitensi all’importazione ha innescato una forte ondata di vendite sui mercati obbligazionari, intensificando i timori di una recessione mondiale. L’incertezza sul piano delle politiche, in particolare sul fronte del commercio internazionale, è salita a livelli senza precedenti, determinando una significativa volatilità nei mercati finanziari^[3]. Gli annunci successivi – di una sospensione temporanea degli aumenti dei dazi, prima, e di un accordo che ha evitato una guerra commerciale tra Stati Uniti e UE, dopo – hanno generato la ripresa dei mercati azionari. Sebbene le perdite iniziali siano state riassorbite, i mercati azionari restano volatili e vulnerabili a un’ulteriore revisione dei prezzi a seguito delle elevate valutazioni e della concentrazione dei rischi^[4].

Nonostante le oscillazioni dell’attività economica, le condizioni restano favorevoli al rafforzamento della crescita del PIL in termini reali dell’area dell’euro nell’orizzonte temporale di proiezione e l’inflazione dovrebbe stabilizzarsi intorno all’obiettivo del 2% a medio termine^[5]. L’attività economica superiore alle attese nel primo trimestre del 2025, in parte trainata dall’anticipazione delle esportazioni in previsione di dazi più elevati, dovrebbe cedere il passo a una crescita più debole nella seconda metà dell’anno. Tuttavia, la crescita del PIL in termini reali dell’area dell’euro dovrebbe aumentare nel medio periodo, sorretta dal miglioramento del reddito disponibile reale, dal calo dell’incertezza, dal rafforzamento della domanda esterna e dallo stimolo di bilancio nei settori della difesa e delle infrastrutture. Gli indicatori delle indagini congiunturali suggeriscono inoltre una modesta espansione sia nel comparto manifatturiero sia in quello dei servizi, segnalando una dinamica di fondo positiva nell’economia L’inflazione complessiva dovrebbe rimanere intorno all’obiettivo del 2% a medio termine, mentre l’inflazione di fondo dovrebbe scendere per effetto della diminuzione delle pressioni dal lato del costo del lavoro e del rafforzamento dell’euro.

Pur essendo lievemente diminuita nella seconda metà dell’anno, l’incertezza resta ancora elevata rispetto ai valori storici, ponendo rischi per le prospettive economiche^[6]. I rischi per la crescita economica sono divenuti più equilibrati poiché gli accordi commerciali hanno ridotto l’incertezza^[7]. Nondimeno, un nuovo inasprimento delle tensioni commerciali a livello mondiale potrebbe gravare sulla crescita delle esportazioni e frenare gli investimenti e i consumi. Le attuali tensioni geopolitiche restano un’importante fonte di rischio per le prospettive macroeconomiche. Un potenziale deterioramento del clima di fiducia nei mercati finanziari potrebbe determinare condizioni di finanziamento più stringenti, maggiore avversione al rischio e un indebolimento della crescita. Inoltre, la combinazione di crescita più debole del previsto, fabbisogno di spesa in difesa più elevato e sfide strutturali – quali bassa produttività, invecchiamento della popolazione, cambiamento climatico e digitalizzazione – potrebbe compromettere la sostenibilità del debito sovrano, in particolare nei paesi fortemente indebitati^[8].

Finora i mercati finanziari e il settore bancario europeo hanno mostrato una forte forte capacità di tenuta agli shock esterni, talvolta anche grazie a una serie di misure pubbliche di sostegno, tra cui politiche monetarie e di bilancio. L’abbondante liquidità all’interno del sistema finanziario ha svolto un ruolo cruciale nel contenere il numero delle posizioni liquidate durante l’ondata di vendite sui mercati obbligazionari ad aprile. Le turbolenze connesse ai dazi e il conseguente brusco aumento della volatilità macroeconomica, seppur rilevanti, si sono rivelati di breve durata. I mercati azionari hanno segnato una rapida ripresa dopo l’annuncio della sospensione temporanea degli aumenti dei dazi, con i prezzi degli attivi bancari europei sorretti da solidi fondamentali. In seguito agli shock derivanti dalle politiche commerciali, la probabilità di ulteriori tensioni geopolitiche e macrofinanziarie rimane elevata, con il rischio maggiore di un’improvvisa rideterminazione dei prezzi di mercato che potrebbe avere implicazioni avverse per la stabilità finanziaria nell’area dell’euro e nell’economia mondiale. Tale rischio potrebbe a sua volta essere esacerbato dalla crescente interconnessione tra banche e istituzioni finanziarie non bancarie^[9].

Inoltre, l’elevato fabbisogno di spesa pubblica, associato a un margine di bilancio limitato, potrebbe destare preoccupazioni circa la sostenibilità del debito sovrano in alcuni paesi, determinando un aumento dei costi di finanziamento e ricadute su banche e imprese^[10]. In prospettiva, ciò potrebbe anche limitare il margine di manovra disponibile per assorbire gli shock nell’economia reale.

2.2 Priorità 1: rafforzare la capacità di tenuta delle banche a fronte dei rischi geopolitici e delle incertezze macrofinanziarie

L’attuale contesto macrofinanziario e geopolitico conferma la necessità di una forte capacità di tenuta finanziaria nel settore bancario europeo e richiede maggiore attenzione sotto il profilo della vigilanza in determinati settori. In particolare, le banche dovrebbero assicurare una prudente assunzione dei rischi e criteri solidi di concessione del credito per evitare l’accumulo di nuovi crediti deteriorati. Inoltre, l’autorità di vigilanza presterà particolare attenzione al modo in cui le banche attueranno i nuovi metodi standardizzati più sensibili al rischio, definiti a supporto del calcolo dei requisiti patrimoniali secondo quanto previsto dal pacchetto CRR III/CRD VI. Tali nuovi sistemi per il calcolo dei requisiti patrimoniali dovrebbero migliorare la corrispondenza fra i requisiti e i rischi effettivi delle banche; il loro impatto sul calcolo delle attività ponderate per il rischio dovrebbe aumentare nel corso del tempo con l’introduzione graduale del nuovo output floor. Infine, alla luce della crescente frequenza delle catastrofi climatiche e dei lenti progressi verso gli obiettivi di azzeramento delle emissioni nette nel quadro dell’accordo di Parigi, è necessario che le banche potenzino ulteriormente la gestione dei rischi climatici e naturali.

In quanto determinante fondamentale dell’incertezza macroeconomica, i rischi geopolitici restano al centro delle priorità di vigilanza della BCE. In quest’ottica, la prova di stress tematica 2026 valuterà gli scenari di rischio geopolitico per i singoli enti e la possibilità di un loro impatto significativo sulla solvibilità delle banche^[11]. Contribuirà inoltre a verificare come gli scenari di rischio geopolitico considerati dalle banche possano avere un impatto sulle loro condizioni di finanziamento e di liquidità. Data la loro natura trasversale, i rischi geopolitici saranno oggetto sia delle attività di vigilanza prioritarie sia di quelle ordinarie. Nell’ambito di queste ultime, l’autorità di vigilanza valuterà la capacità delle banche di resistere agli shock geopolitici ed esaminerà le dichiarazioni interne relative all’adeguatezza patrimoniale e della liquidità, i processi di pianificazione della liquidità e del finanziamento, i piani di risanamento e i quadri di riferimento interni per le prove di stress.

2.2.1 Vulnerabilità individuata come priorità: assicurare una prudente assunzione dei rischi e criteri solidi di concessione del credito

Obiettivo strategico: per promuovere una prudente assunzione dei rischi, i soggetti vigilati dovrebbero adottare e mantenere solidi criteri di concessione del credito e politiche di prezzo basate sul rischio, adeguandosi nel contempo ai cambiamenti del contesto macrofinanziario e alle loro circostanze specifiche.

La qualità degli attivi dei soggetti vigilati è rimasta nel complesso stabile nell’ultimo anno, sostenuta dalla capacità di tenuta delle famiglie e delle imprese a fronte dell’aumento dei tassi di interesse. Se da un lato i volumi dei crediti deteriorati sono aumentati lievemente nell’ultimo anno, soprattutto nei segmenti dei consumatori e delle piccole e medie imprese, dall’altro l’incidenza dei crediti deteriorati della maggior parte dei soggetti vigilati è migliorata. Le prospettive economiche dell’area dell’euro restano sostanzialmente favorevoli, con tassi di interesse più bassi e livelli di debito più equilibrati che dovrebbero allentare le pressioni sul servizio del debito. Anche i mercati degli immobili residenziali dovrebbero continuare a evidenziare una buona tenuta, grazie alle favorevoli condizioni del mercato del lavoro; segnali di stabilizzazione provengono anche dal segmento degli immobili non residenziali, sebbene il settore degli uffici subprime rimanga debole in un contesto di persistente diminuzione della domanda^[12]. Allo stesso tempo permangono significativi rischi al ribasso, in particolare a seguito delle tensioni commerciali tra Stati Uniti e UE e dei rischi geopolitici di più ampia portata, fattori che potrebbero interessare settori con elevati volumi di esportazioni verso gli Stati Uniti, quali i comparti automobilistico, chimico o farmaceutico, causando un possibile deterioramento della qualità degli attivi. In risposta a queste incertezze a livello mondiale, alcune banche hanno iniziato a effettuare maggiori accantonamenti, ma nel complesso il costo aggregato del rischio e i livelli di accantonamento sono rimasti stabili. Dato il possibile peggioramento delle condizioni macroeconomiche per effetto dell’acuirsi delle tensioni geopolitiche e delle dispute commerciali mondiali, è fondamentale assicurare che le banche applichino solidi criteri di concessione ai nuovi prestiti^[13].

Dalle valutazioni di vigilanza emerge che, nonostante i progressi compiuti, alcune banche presentano ancora carenze nel sistema di gestione del rischio di credito e nel quadro di riferimento dell’IFRS 9 per i portafogli più vulnerabili. Le analisi cartolari e in loco hanno rivelato miglioramenti nel cogliere i rischi in evoluzione^[14], come i rischi climatici e naturali, ma restano problematiche persistenti quali le integrazioni arbitrarie ai modelli (overlay) e un’inadeguata rilevazione dei rischi^[15]. L’autorità di vigilanza ha individuato debolezze nei quadri di riferimento per gli accantonamenti e dell’IFRS 9 in esito allo SREP 2025 e continuerà a dare seguito alle restanti carenze nell’ambito della regolare attività di vigilanza. Ha inoltre continuato a tenere sotto stretta osservazione la gestione dei debitori più vulnerabili da parte delle banche. Un’analisi mirata del portafoglio delle piccole e medie imprese ha evidenziato carenze rilevanti in relazione alla governance (compreso l’utilizzo di dati obsoleti per effettuare valutazioni), ai sistemi di allerta precoce (spesso basati esclusivamente sui rating) e al grado di preparazione a fronte delle difficoltà finanziarie dei prenditori. Le ispezioni in loco sul rischio di credito relative alle piccole e medie imprese, nonché ad altri portafogli vulnerabili come gli immobili non residenziali, hanno continuato a evidenziare problematiche relative agli accantonamenti, ai processi di gestione del rischio di credito (compresa la valutazione delle garanzie), alla governance e alla qualità dei dati.

In prospettiva, l’autorità di vigilanza considererà come priorità per le banche la prudente assunzione di rischi e la solidità dei criteri di concessione del credito, al fine di evitare l’emergere di crediti deteriorati in futuro. Sarà condotta un’analisi tematica, basata sull’esercizio 2019^[16], per valutare come le banche attenuino le perdite potenziali mediante i propri quadri di riferimento per l’erogazione dei prestiti. Seguiranno iniziative mirate, tra cui misure correttive e ispezioni sul rischio di credito riguardanti i criteri di sottoscrizione. Nei casi in cui l’analisi tematica individui problematiche relative alla determinazione dei tassi sui prestiti o alla gestione dei costi, saranno condotte ulteriori verifiche volte ad accertare che le prassi creditizie siano in linea con obiettivi di redditività sostenibili.

2.2.1.1 Principali attività nell’ambito del programma di lavoro definito per queste priorità di vigilanza

• Analisi tematica sui criteri di concessione del credito, incentrata sui nuovi prestiti, volta a valutare come le banche intendono attenuare le potenziali perdite future su crediti
• Analisi mirata della determinazione dei tassi sui prestiti, quale seguito all’analisi tematica, tesa a valutare le prassi e i criteri adottati dalle banche per la determinazione dei tassi sui prestiti
• Ispezioni mirate sul rischio di credito, compresi i quadri di riferimento per l’erogazione dei prestiti e la concessione del credito da parte delle banche

2.2.2 Vulnerabilità individuata come priorità: assicurare una capitalizzazione adeguata e un’attuazione coerente del CRR III

Obiettivo strategico: per preservare una capitalizzazione adeguata, i soggetti vigilati devono applicare in modo coerente e accurato il nuovo metodo standardizzato per il calcolo dei requisiti patrimoniali minimi in conformità del CRR III.

Lo schema di regolamentazione finale di Basilea 3, elaborato in risposta alla crisi finanziaria mondiale, è inteso a rendere le banche più preparate ad assorbire gli shock economici, preservando al contempo la loro capacità di finanziare l’attività economica e di sostenere la crescita. Nell’UE lo schema è stato attuato attraverso il pacchetto CRR III/CRD VI, entrato in vigore il 1° gennaio 2025. Il pacchetto legislativo rafforza i requisiti europei di vigilanza bancaria e di governance e introduce modifiche fondamentali al calcolo delle attività ponderate per il rischio delle banche per tutte le categorie di rischio prudenziali.

È pertanto d’importanza cruciale che le banche attuino con coerenza e accuratezza il nuovo metodo standardizzato, affinché i requisiti patrimoniali siano maggiormente in linea con i rischi effettivi ai quali sono esposte. Benché le verifiche prudenziali condotte in passato siano state in certa misura limitate, le analisi e le ispezioni mirate dei GVC sull’applicazione del metodo standardizzato da parte delle banche hanno in genere evidenziato carenze rilevanti dovute a errori nella classificazione delle esposizioni, nell’assegnazione delle ponderazioni per il rischio e nella valutazione delle garanzie oppure debolezze nel controllo dei rischi da parte delle funzioni preposte.

In prospettiva sarà necessario un più attento esame prudenziale per tenere conto del ruolo crescente che il metodo standardizzato svolgerà nella determinazione della solvibilità delle banche, anche attraverso il calcolo del nuovo output floor. Per il rischio di credito i responsabili della vigilanza valuteranno l’applicazione del metodo standardizzato da parte delle banche alla luce delle modifiche rilevanti introdotte dal CRR III. I responsabili della vigilanza combineranno ispezioni mirate con analisi mirate per valutare l’adeguatezza del quadro patrimoniale delle banche. Le misure correttive in risposta ai rilievi formulati saranno oggetto di regolare follow-up da parte dei GVC. Per il rischio operativo il CRR III introduce un nuovo approccio non basato su modelli applicabile per tutte le banche, che sostituisce l’approccio precedente. Come per il rischio di credito, i responsabili della vigilanza effettueranno un’analisi iniziale per individuare potenziali valori anomali, sulla base delle attività ponderate per il rischio segnalate dalle banche e di altre valutazioni qualitative. Successivamente svolgeranno un’analisi mirata per le banche che presentano un rischio più elevato di errori di calcolo. Per il rischio di mercato, dato il rinvio della data di prima applicazione della revisione complessiva del portafoglio di negoziazione (Fundamental Review of the Trading Book), le analisi mirate pertinenti saranno condotte solo su richiesta dei GVC, in funzione dell’esito del dialogo continuo con le banche su questo tema.

2.2.2.1 Principali attività nell’ambito del programma di lavoro definito per queste priorità di vigilanza

• Rischio di credito: analisi mirate e ispezioni mirate, incentrate sul calcolo delle attività ponderate per il rischio secondo il metodo standardizzato
• Rischio operativo: analisi mirate sul calcolo della componente dell’indicatore di attività finalizzate ad agevolare il calcolo dei corrispondenti requisiti patrimoniali

2.2.3 Vulnerabilità individuata come priorità: assicurare una gestione prudente dei rischi climatici e naturali

Obiettivo strategico: le banche dovrebbero valutare e gestire efficacemente i rischi a breve, medio e lungo termine derivanti dalle crisi climatica e naturale, nonché porre rimedio alle persistenti carenze dei rispettivi sistemi di gestione dei relativi rischi.

A fronte di temperature globali superiori a 1,5°C rispetto alla media preindustriale e al più rapido riscaldamento registrato in Europa al confronto con gli altri continenti^[17], i fenomeni climatici e naturali gravi stanno diventando più frequenti e costosi. Calamità come le inondazioni e gli incendi osservati di recente in tutta Europa dimostrano il crescente tributo in termini umani ed economici imposto dalle crisi climatica e naturale^[18]. Allo stesso tempo, l’elevata e crescente carenza della protezione assicurativa, essendo coperto solo il 25% circa delle perdite connesse a calamità naturali, comporta ulteriori rischi per la crescita del PIL e potenzialmente per le esposizioni nei bilanci bancari^[19]. Inoltre, i lenti progressi delle economie mondiali verso il conseguimento degli obiettivi di azzeramento delle emissioni nette nell’ambito dell’accordo di Parigi fa aumentare il rischio di transizione^[20]. Uno scenario di transizione disordinato di tipo “run on brown”^[21] associato a una recessione potrebbe comportare perdite significative per le banche europee riconducibili ai rischi di credito e di mercato^[22].

Gli enti significativi hanno compiuto solidi progressi e sono in condizioni di soddisfare i requisiti prudenziali di pianificazione della transizione. Le banche europee hanno compiuto progressi significativi nel far fronte ai rischi derivanti dalle crisi climatica e naturale. Mentre nel 2019 meno di un quarto delle banche dell’area dell’euro si era confrontato con tali rischi, attualmente esse dispongono di un numero crescente di prassi avanzate per individuare, monitorare e, soprattutto, gestire i rischi climatici e naturali. Nel 2022 quasi l’80% delle banche applicava solo prassi elementari di gestione dei rischi o assolutamente nessuna. Considerati i modesti livelli di preparazione di allora, a seguito dell’analisi tematica sui rischi climatici e ambientali e della prova di stress sul rischio climatico del 2022, la Vigilanza bancaria della BCE ha incoraggiato le banche ad accelerare i progressi, fissando chiare scadenze intermedie per il 2023 e scadenze finali per il termine del 2024 affinché queste allineassero le loro prassi alle aspettative di vigilanza tenendo conto delle loro specificità. Un dato positivo è che il numero di banche sprovviste degli elementi fondamentali è diminuito nettamente negli ultimi anni^[23]. Inoltre, i progressi conseguiti dalle banche nella gestione dei rischi climatici e naturali consentono loro di rafforzare le capacità interne di far fronte efficacemente ad altri rischi, come quelli geopolitici. L’analisi dei rischi legati alle catene di approvvigionamento e dei rischi di concentrazione – ad esempio comprendere la presenza geografica, le dipendenze e le vulnerabilità dei clienti – nonché la programmazione degli scenari e il quadro di riferimento delle prove di stress – ad esempio definire e verificare scenari plausibili ma incerti – sono solo alcune delle aree che hanno beneficiato negli ultimi anni del miglioramento della gestione dei rischi climatici e naturali presso le banche e possono essere applicati per monitorare e valutare l’impatto di altri fattori di rischio trasversali, come i rischi geopolitici.

Detto ciò, uno sforzo costante rimane d’importanza cruciale. L’evoluzione del panorama dei rischi indica già che i rischi climatici e naturali hanno una tendenza al rialzo^[24] e che, a differenza dei fattori di rischio ciclici, il rischio climatico costituisce uno shock permanente in un’unica direzione, con gravi effetti a lungo termine sui prezzi delle abitazioni e sui valori di altre attività^[25]. Questa tendenza si riflette anche negli ultimi progressi nell’ambito delle valutazioni di rilevanza delle banche, rivelando che il 90% delle banche interpellate ritiene di avere esposizioni rilevanti ai rischi climatici e naturali, in aumento rispetto al 50% circa del 2021. Inoltre, la modellizzazione e la quantificazione dei rischi climatici e naturali sono ancora in fase iniziale e sono soggette a sottostime significative, ad esempio per quanto riguarda i modelli del rischio fisico^[26]. La Vigilanza bancaria della BCE osserva inoltre la presenza di criticità, fra cui i rischi fisici climatici e naturali, e l’accumularsi di debolezze specifiche a livello di singola banca, soprattutto in termini di completezza delle prassi. I responsabili della vigilanza daranno quindi seguito a tali carenze nell’ambito dell’attività ordinaria di vigilanza.

In prospettiva, i responsabili della vigilanza continueranno a monitorare i progressi e gli interventi di rimedio alle carenze delle banche, incentrando nel contempo gli esercizi di vigilanza mirati sui requisiti prudenziali di pianificazione della transizione e sulle sfide persistenti per la conformità delle banche alle aspettative di vigilanza e ai requisiti normativi per la gestione dei rischi climatici e naturali. In linea con la CRD VI, alle banche sarà richiesto di elaborare piani di transizione prudenziali che saranno esaminati dai responsabili della vigilanza in linea con gli Orientamenti dell’Autorità bancaria europea sulla gestione dei rischi ambientali, sociali e di governance (rischi ESG). La Vigilanza bancaria della BCE adotterà un approccio graduale e mirato, concentrandosi sui nuovi elementi degli orientamenti dell’ABE, in primo luogo attraverso un dialogo informale con le banche al quale seguirà un’analisi tematica. I responsabili della vigilanza continueranno inoltre a monitorare il rispetto degli obblighi di informativa di terzo pilastro in materia ambientale, sociale e di governance da parte delle banche e a condurre un’analisi mirata dell’informativa sui rischi fisici. La Vigilanza bancaria della BCE svolgerà ulteriori analisi della capacità delle banche di affrontare le sfide continue, comprese quelle relative al rischio fisico. Inoltre, le ispezioni mirate verteranno anche sulla gestione dei rischi climatici e naturali da parte delle banche, sia su base individuale, con particolare enfasi sui rischi climatici e naturali, sia nell’ambito di ispezioni su rischi specifici, come quelle sul rischio di credito. Infine, la Vigilanza bancaria della BCE intende aggiornare a tempo debito il proprio compendio delle buone prassi relative ai rischi climatici e naturali.

Principali attività nell’ambito del programma di lavoro definito per queste priorità di vigilanza

• Attività mirate di follow-up e monitoraggio degli interventi di rimedio alle carenze rimanenti presso le banche emerse dall’analisi tematica e dalla prova di stress sul rischio climatico del 2022
• Analisi tematica della pianificazione della transizione effettuata dalle banche in linea con il pacchetto CRD VI
• Valutazione orizzontale della conformità delle banche agli obblighi di informativa di terzo pilastro in materia ambientale, sociale e di governance
• Verifica approfondita della capacità delle banche di affrontare le criticità presenti, fra cui il rischio fisico
• Ispezioni mirate sulla gestione dei rischi climatici e naturali, su base individuale o nell’ambito di analisi programmate per altre aree di rischio

2.3 Priorità 2: rafforzare la resilienza operativa delle banche e promuovere solide capacità nell’ambito delle TIC

Sistemi robusti e resilienti per la gestione del rischio operativo e solide capacità nell’ambito delle TIC sono cruciali per attenuare i rischi emergenti ed evitare interruzioni di operazioni e servizi essenziali. Con l’entrata in vigore del regolamento sulla resilienza operativa digitale (Digital Operational Resilience Act, DORA) all’inizio del 2025, le banche devono assicurarsi di attuare in modo coerente e tempestivo gli obblighi pertinenti, in particolare quelli afferenti la gestione dei rischi informatici derivanti da terzi e della risposta agli incidenti. Resta inoltre essenziale affrontare le carenze rilevanti individuate nell’ambito delle precedenti analisi prudenziali sulla cibersicurezza, sulla gestione dei rischi derivanti da terzi e sull’aggregazione e segnalazione dei dati sui rischi. In aggiunta, nel quadro di una strategia di medio-lungo termine e di una crescente digitalizzazione delle operazioni bancarie, la Vigilanza bancaria della BCE intensificherà gradualmente gli sforzi per dialogare con le banche sul modo in cui utilizzano le nuove tecnologie, in particolare l’IA, al fine di sfruttare i potenziali benefici, pur restando consapevoli dei rischi associati. Ciò contribuirà allo sviluppo di un futuro approccio di vigilanza.

2.3.1 Vulnerabilità individuata come priorità: attuare sistemi solidi e resilienti per la gestione del rischio operativo

Obiettivo strategico: per rafforzare la capacità di prevenire, contrastare e risolvere le interruzioni di operazioni e servizi essenziali, le banche dovrebbero sviluppare e mantenere sistemi di gestione del rischio operativo solidi e resilienti. Dovrebbero continuare ad adoperarsi per colmare in tempi rapidi e in maniera efficace le carenze già individuate nell’ambito della cibersicurezza e della gestione dei rischi derivanti da terzi e per conformarsi pienamente al DORA.

La rapida evoluzione del panorama delle minacce cibernetiche, amplificata dai rischi geopolitici, continua a mettere alla prova la cibersicurezza delle banche e la capacità di gestione dei rischi derivanti da terzi. Gli incidenti cibernetici significativi segnalati sono raddoppiati negli ultimi anni^[27]. Gli attacchi ransomware sono diventati più sofisticati e le attività promosse dagli Stati pongono costanti minacce, fra le quali le minacce ibride come la manipolazione delle informazioni, che richiedono un’attenzione continua^[28]. Sebbene le banche abbiano dimostrato capacità di tenuta a fronte di questi attacchi, nonché di altri incidenti di natura operativa, e siano state in grado di evitare gravi perturbazioni, episodi recenti come i blackout verificatisi in Europa sottolineano quanto sia importante che esse sviluppino misure di attenuazione e adottino piani di emergenza efficaci per i rischi cui sono esposte le loro infrastrutture critiche, tenendo conto di tutti i sistemi informatici critici e di un gran numero di scenari plausibili^[29]. I progressi nello sviluppo delle applicazioni di IA possono anche mettere a dura prova la cibersicurezza delle banche, in quanto qualsiasi sottovalutazione dei relativi rischi per la sicurezza prima della loro installazione potrebbe introdurre vulnerabilità critiche nei sistemi TIC^[30]. Inoltre, le segnalazioni periodiche di vigilanza mettono in luce la forte dipendenza delle banche da pochi fornitori terzi di servizi, molti dei quali hanno sede al di fuori dell’UE^[31]. Ciò accresce la complessità degli accordi di esternalizzazione delle banche e le espone a maggiori vulnerabilità, soprattutto in considerazione delle tensioni geopolitiche.

I risultati aggregati dello SREP 2025 e le informazioni ricavate dalle attività di vigilanza confermano la necessità di rafforzare le prassi di gestione del rischio informatico delle banche. Il rischio operativo e il rischio informatico continuano a registrare i peggiori punteggi medi nello SREP. Le analisi prudenziali hanno messo in luce debolezze ricorrenti nelle strategie di cibersicurezza, carenze nella gestione degli incidenti cibernetici e lacune nel sistema di gestione dei rischi derivanti da terzi^[32]. La Vigilanza bancaria della BCE ha recentemente ultimato la Guida sull’esternalizzazione di servizi cloud a fornitori di servizi cloud, intesa a far fronte al crescente ricorso delle banche a soluzioni basate su cloud. La guida delinea le aspettative di vigilanza riguardo all’attuazione degli obblighi previsti dal DORA. Illustra esempi di buone prassi per una gestione efficace dei rischi di esternalizzazione in cloud, mirando nel contempo ad assicurare parità di condizioni tra tutti i soggetti vigilati.

In prospettiva, la Vigilanza bancaria della BCE promuoverà un’attuazione solida e coerente degli obblighi relativi al DORA. La conformità con il DORA sarà valutata nell’ambito di un’ampia gamma di attività. A seguito delle precedenti analisi prudenziali sulla sicurezza informatica/resilienza cibernetica e sulla gestione dei rischi di esternalizzazione dei servizi informatici, saranno intraprese attività mirate di follow-up per le banche che presentano carenze rilevanti in questi ambiti al fine di promuoverne azioni correttive efficaci e tempestive. A tal fine, saranno condotte due campagne ispettive incentrate sulla cibersicurezza e sulla gestione dei rischi derivanti da terzi per le banche più vulnerabili, individuate dai GVC. Nell’ambito del nuovo mandato di vigilanza in conformità del DORA, saranno svolti anche test di penetrazione basati sulle minacce per promuovere il miglioramento delle strategie di resilienza cibernetica delle banche. Sulla scorta della guida sull’esternalizzazione dei servizi cloud che è stata pubblicata, i responsabili della vigilanza condurranno anche una verifica approfondita per valutare il grado di preparazione di determinate banche a possibili interruzioni dei servizi causate da un importante fornitore di servizi cloud. Infine, poiché la principale causa di fondo dei periodi di inattività non programmati presso le banche risiede spesso nelle modifiche ai sistemi TIC, la Vigilanza bancaria della BCE condurrà un’analisi mirata sulla gestione delle modifiche alle TIC, al fine di individuare le lacune nei sistemi di controllo di base e di migliorare tale capacità di gestione presso le banche.

La sorveglianza sui fornitori terzi critici in base al quadro di riferimento previsto dal DORA sarà avviata nel gennaio 2026. La Vigilanza bancaria della BCE sostiene fermamente questo nuovo quadro di sorveglianza, che contribuirà a rafforzare la resilienza operativa digitale in tutto il settore finanziario dell’UE. La sorveglianza degli enti creditizi sui fornitori terzi critici è intesa a integrare, ma non a sostituire, una sana gestione dei rischi derivanti da terzi.

2.3.1.1 Principali attività nell’ambito del programma di lavoro definito per queste priorità di vigilanza

• Attività mirate di follow-up delle strategie correttive per le banche che presentano carenze rilevanti nella sicurezza/ciberresilienza delle TIC e nell’esternalizzazione delle TIC
• Due campagne ispettive sulla gestione della cibersicurezza e dei rischi derivanti da terzi, in linea con i nuovi obblighi previsti dal DORA
• Test di penetrazione basati sulle minacce finalizzati a individuare le vulnerabilità delle banche e migliorarne la resilienza della cibersicurezza
• Analisi mirata della gestione delle modifiche alle TIC
• Verifica approfondita della dipendenza delle banche da fornitori di servizi cloud intesa a valutarne la preparazione a possibili interruzioni dei servizi

2.3.2 Vulnerabilità individuata come priorità: rimediare alle carenze nelle capacità di segnalazione dei rischi e nei relativi sistemi informativi

Obiettivo strategico: per sostenere una solida gestione dei rischi e un processo decisionale efficace, le banche dovrebbero intensificare gli sforzi al fine di rimediare in modo tempestivo ed efficace alle debolezze rilevanti individuate nei loro quadri di riferimento per l’aggregazione e la segnalazione dei dati sui rischi e allinearli alle aspettative di vigilanza definite nella guida della BCE in materia.

L’incertezza del contesto geopolitico e la rapida digitalizzazione delle operazioni e dei servizi bancari pongono in risalto l’esigenza di disporre di sistemi informativi interni resilienti e di robuste capacità di aggregazione e segnalazione dei dati sui rischi. Informazioni tempestive e accurate sui rischi sono essenziali per un’azione di indirizzo efficiente, un celere processo di definizione della strategia aziendale e una gestione efficace delle crisi. Inoltre, un solido quadro di riferimento per l’aggregazione e la segnalazione dei dati sui rischi consente alle banche di sfruttare strumenti di digitalizzazione e tecnologie come l’IA e l’analisi avanzata^[33].

Tuttavia, i progressi compiuti dai soggetti vigilati nell’affrontare le carenze strutturali nei quadri di riferimento per l’aggregazione e la segnalazione dei dati sui rischi restano lenti e le attività di vigilanza dell’ultimo anno mettono in luce la necessità di continuare a intensificare gli interventi correttivi per colmare le lacune rispetto alle aspettative di vigilanza. Gli esiti dello SREP 2025 indicano persistenti carenze nei quadri di riferimento per l’aggregazione e la segnalazione dei dati sui rischi delle banche, senza alcun miglioramento del punteggio medio per questa voce rispetto allo scorso anno. La campagna di ispezioni 2022-2024 e le analisi mirate del 2024 su tali quadri di riferimento rivelano debolezze presso le banche per quanto riguarda: a) i quadri di riferimento per la gestione dei dati, inclusa la completezza o l’adeguatezza del coinvolgimento degli organi di amministrazione, b) l’infrastruttura di dati e l’architettura informatica, c) l’accuratezza e l’integrità dei dati. Le analisi mirate del 2024 hanno inoltre evidenziato lacune rispetto ai principi CBVB 239 (Comitato di Basilea per la vigilanza bancaria) e alle aspettative di vigilanza pertinenti, come indicato nella guida della BCE sull’efficace aggregazione e segnalazione dei dati sui rischi (ECB Guide on effective risk data aggregation and risk reporting).

Saranno intensificati gli sforzi di vigilanza per assicurare che le banche migliorino i propri quadri di riferimento e le proprie capacità di aggregazione e segnalazione dei dati sui rischi e soddisfino le aspettative di vigilanza in materia. Nel dicembre 2024 il Consiglio di vigilanza della BCE ha approvato una strategia a livello di sistema, che si applica a tutti i soggetti vigilati, al fine di monitorare la loro conformità alle aspettative di vigilanza nonché, se del caso, per dare seguito alle rispettive strategie correttive. Inizialmente tale strategia era incentrata sulla responsabilità di rendere conto del proprio operato da parte degli organi di amministrazione in materia di supervisione e attuazione del quadro di riferimento per l’aggregazione e la segnalazione dei dati sui rischi; tuttavia in seguito è stata gradualmente estesa ad altre aspettative di vigilanza, come la gestione della qualità dei dati e l’architettura informatica/dei dati. Un processo correttivo e di escalation chiaramente definito guiderà l’azione dei responsabili della vigilanza, che ricorreranno, se necessario, agli strumenti di vigilanza disponibili. Saranno effettuate ispezioni mirate per ottenere informazioni aggiuntive sui progressi compiuti dalle banche nel colmare le lacune in relazione ai rilievi più complessi e di gravità elevata.

2.3.2.1 Principali attività nell’ambito del programma di lavoro definito per queste priorità di vigilanza

• Strategia a livello di sistema e relative verifiche prudenziali per monitorare il rispetto delle aspettative di vigilanza da parte delle banche riguardo ai quadri di riferimento per l’aggregazione e la segnalazione dei dati sui rischi, nonché efficace azione correttiva in risposta alla maggior parte dei rilievi rilevanti
• Ispezioni mirate sui quadri di riferimento per l’aggregazione e la segnalazione dei dati sui rischi presso le banche che richiedono un’ulteriore valutazione, nonché ispezioni mirate su rilievi gravi emersi in precedenza

2.3.3 Strategia per le priorità a medio-lungo termine incentrata sulle strategie, sulla governance e sulla gestione dei rischi delle banche in materia digitale e, in particolare, di IA

Obiettivo strategico: nel mettere a frutto le nuove tecnologie, e in particolare l’IA, per promuovere l’efficienza e l’innovazione, le banche si doteranno di strategie che riflettano efficacemente le opportunità e i rischi derivanti dalle relative applicazioni e istituiranno solidi dispositivi di governance e sistemi di controllo dei rischi per la gestione dei rischi sottostanti.

I soggetti vigilati dovrebbero come priorità impegnarsi nella digitalizzazione, per rafforzare la propria competitività e gestire efficacemente i rischi derivanti dalle nuove tecnologie. I rapidi cambiamenti tecnologici, in particolare nel settore dell’IA, stanno riconfigurando il settore bancario; gli enti devono quindi agire in modo strategico per coglierne il valore nel lungo periodo e adeguare i propri modelli di business. Sia fattori dal lato dell’offerta, tra cui una disponibilità più ampia e a buon mercato di risorse tecniche quali lo sviluppo di modelli e l’archiviazione nel cloud, sia fattori dal lato della domanda, inclusi gli incrementi di efficienza e la maggiore concorrenza che ci si attende, stanno comportando un più vasto ricorso all’IA presso le banche, spesso a partire dalle capacità di modellizzazione presenti internamente. Sebbene l’IA abbia il potenziale per migliorare la gestione dei rischi e l’elaborazione delle informazioni, nonché per accrescere l’efficienza attraverso l’automazione, i rischi associati possono risultare più evidenti dato il più ampio utilizzo delle corrispondenti applicazioni. A tale riguardo, gli strumenti di IA generativa rappresentano un significativo balzo tecnologico, con un impatto potenzialmente elevato sulle banche. Malgrado la costante evoluzione della tecnologia, l’attenzione della vigilanza resterà neutrale sotto il profilo tecnologico e si concentrerà sui casi e sui rischi d’uso. Il crescente utilizzo degli strumenti di IA da parte dei soggetti sottoposti o meno alla regolamentazione prudenziale richiede pertanto un approccio strutturato e olistico che integri la strategia, la governance e la gestione dei rischi connessi all’IA. I responsabili della vigilanza devono, a loro volta, mettere a punto i rispettivi quadri di riferimento nel perimetro della loro attività per valutare più efficacemente le strategie delle banche in materia di IA, promuovere l’adozione delle migliori prassi di settore e assicurare la presenza delle opportune salvaguardie. Questa priorità mira a contribuire all’adozione di una posizione di vigilanza strategica per quanto riguarda sia le opportunità sia i rischi inerenti alle applicazioni basate sull’IA e a creare le premesse per potenziali adeguamenti degli strumenti di vigilanza. In questo modo, la Vigilanza bancaria della BCE può aiutare le banche ad affrontare in modo proattivo i rischi emergenti, creando al tempo stesso un efficace collegamento tra il consueto orientamento a breve-medio termine delle priorità di vigilanza e una prospettiva strategica di più lungo periodo.

Negli ultimi anni la Vigilanza bancaria della BCE ha individuato alcuni punti chiave per indirizzare la trasformazione digitale delle banche in modo sostenibile, ben governato e consapevole del rischio. Il rapporto pubblicato lo scorso anno dalla Vigilanza bancaria della BCE sui principali criteri di valutazione e sulle buone prassi nel campo della digitalizzazione ha posto in luce un aumento significativo del tasso di adozione dell’IA nei servizi bancari. Le analisi mirate e le ispezioni in loco condotte nel periodo 2024-2025 hanno confermato tale evoluzione. I casi d’uso dell’IA investono un ampio spettro di attività; tuttavia, in passato l’esame prudenziale ha evidenziato l’importanza di un più vasto impiego dell’IA per il credit scoring e l’individuazione delle frodi, nonché il potenziale ancora in nuce ma altamente dirompente dell’IA generativa^[34]. Nel 2025 la Vigilanza bancaria della BCE ha intensificato il monitoraggio dell’utilizzo dell’IA e dell’IA generativa raccogliendo dati presso le banche. I responsabili della vigilanza hanno inoltre continuato a interagire con le banche per una migliore comprensione di casi d’uso specifici e la valutazione del loro impatto e della loro rilevanza in una prospettiva di rischio microprudenziale.

In futuro, la Vigilanza bancaria della BCE continuerà a monitorare l’utilizzo dell’IA in generale, adottando nel contempo un approccio più mirato alle applicazioni di IA generativa presso le banche. L’attenzione verso l’IA generativa mira a estendere il perimetro delle verifiche in corso alle applicazioni di IA delle banche con implicazioni prudenziali. Ciò dovrebbe sfociare in una più vasta valutazione della significatività prudenziale degli sviluppi attuali e futuri delle banche in questo ambito e nell’adozione di una posizione di vigilanza riguardo alla rilevanza di tali applicazioni di IA e ai rischi intrinseci, creando le premesse per futuri riesami. Contestualmente, la Vigilanza bancaria della BCE partecipa anche al dibattito riguardo all’attuazione del regolamento dell’UE sull’intelligenza artificiale e intende collaborare con le autorità nazionali di vigilanza sui mercati e con l’Autorità bancaria europea.

Oltre all’attenzione per l’IA, la Vigilanza bancaria della BCE continuerà a svolgere le proprie attività di scansione dell’orizzonte per restare sempre un passo avanti. Poiché il settore bancario opera in un contesto in rapida trasformazione, sospinta sia dall’innovazione tecnologica sia dall’emergere di soggetti non bancari, ciò consente di individuare e comprendere le tendenze strutturali e i fattori di rischio che plasmeranno verosimilmente il futuro delle banche a medio-lungo termine. Inoltre tali attività promuovono la graduale integrazione dei risultati di fondo nei quadri di riferimento e della strategia di vigilanza. In questo contesto, la rapida espansione delle stablecoin e l’aumento della gamma di utilizzi e della complessità di fondo, ma anche delle implicazioni per le banche (inclusa l’offerta di servizi finanziari agli emittenti di stablecoin) possono comportare rischi rilevanti, se non adeguatamente compresi e gestiti. I responsabili della vigilanza monitoreranno quindi gli sviluppi anche a tale riguardo e interagiranno con le banche in modo mirato, per assicurare che anche in questo caso si applichi una solida gestione dei rischi.

2.3.3.1 Principali attività nell’ambito del programma di lavoro definito per queste priorità di vigilanza

• Seminari trasversali mirati sulle applicazioni di IA generativa con la partecipazione di un numero selezionato di banche, per consentire alla vigilanza di comprendere meglio l’utilizzo che ne viene fatto
• Collaborazione con le autorità di vigilanza sui mercati competenti per il regolamento sull’intelligenza artificiale e con l’Autorità bancaria europea