Linee Guida IVASS sull’Esternalizzazione: Aspettative e Principi
Il 13 novembre scorso, l’IVASS ha pubblicato una lettera al mercato delineando 9 aspettative sull’esternalizzazione. L’obiettivo principale è garantire un’applicazione uniforme e corretta del quadro normativo europeo e nazionale. Sebbene queste aspettative non siano vincolanti, forniscono indicazioni per promuovere la conformità e una gestione efficace dei rischi legati all’esternalizzazione.
L’Obiettivo delle Aspettative
L’IVASS richiama l’attenzione delle imprese sull’importanza di:
- Valutare rischi e opportunità nell’esternalizzazione di attività o funzioni cruciali.
- Identificare correttamente le attività essenziali o importanti, soggette a comunicazione preventiva ai sensi dell’art. 67 del Regolamento.
Coinvolgimento del Settore
Le imprese hanno tempo fino al 14 dicembre 2024 per inviare osservazioni, commenti e proposte. Al termine della consultazione pubblica, IVASS renderà note le risoluzioni e i contributi ricevuti.
Le 9 Aspettative dell’IVASS
1. Governance e Gestione dei Rischi
L’IVASS enfatizza il ruolo dell’organo amministrativo nei processi decisionali sull’esternalizzazione. Le imprese devono:
- Integrare l’esternalizzazione nelle strategie aziendali, approvate dall’organo amministrativo.
- Valutare i rischi associati all’esternalizzazione, come:
- Rischio operativo
- Rischio di concentrazione
- Sub-esternalizzazione
- Rischi legali e reputazionali
- Rischi informatici e di lock-in (dipendenza eccessiva dal fornitore)
L’analisi del rischio deve influire sulle misure di continuità operative, come piani di emergenza o di reinventarizzazione.
2. Monitoraggio e Relazioni
Durante l’operatività, l’organo amministrativo deve ricevere relazioni sui risultati degli accordi, con evidenza di eventuali criticità.
3. Controllo delle Funzioni o Attività Esternalizzate
Un uso diffuso dell’esternalizzazione può ridurre la capacità di controllo interno e influire sui rapporti con gli assicurati. Per mitigare questi rischi:
- Controlli periodici devono replicare l’analisi dei rischi iniziali per verificare eventuali variazioni.
- Livelli di Servizio (SLA) nei contratti devono definire standard qualitativi, KPI e penali per mancata conformità.
- I contratti devono:
- Monitorare il rispetto degli SLA e KPI.
- Analizzare le cause di eventuali criticità.
- Prevedere modifiche contrattuali adeguate all’evoluzione dei servizi.
L’IVASS sottolinea l’importanza di evitare catene complesse di subfornitori che possano compromettere il controllo delle attività esternalizzate.
4. Esternalizzazioni ICT
Con il Regolamento DORA, applicabile dal 17 gennaio 2025, l’IVASS chiede alle imprese di:
- Allineare i modelli di gestione e controllo alle nuove normative.
- Adottare una strategia dedicata ai rischi informatici, comprensiva di:
- Analisi costante delle dipendenze ICT.
- Una policy chiara per l’uso di servizi ICT a supporto delle funzioni critiche.
5. Comunicazioni Preventive per Attività Essenzial
Le attività o funzioni considerate essenziali o importanti richiedono comunicazione preventiva, inclusi:
- Progettazione di prodotti assicurativi e tariffe.
- Gestione degli investimenti.
- Liquidazione dei sinistri (inclusi call center).
- Gestione dei reclami.
- Servizi ICT e processi ORSA.
6. Comunicazioni su Modifiche agli Accordi
L’IVASS ha definito chiare aspettative per le comunicazioni in caso di modifiche agli accordi di esternalizzazione:
- Nuovi fornitori: comunicazione preventiva obbligatoria.
- Sub-esternalizzazioni: non richiedono comunicazione preventiva, purché nei termini contrattuali.
- Estensioni contrattuali: modifiche significative, come l’affidamento di nuove fasi gestionali, devono essere comunicate.
L’approccio dell’IVASS mira a favorire una gestione responsabile e consapevole dell’esternalizzazione. Le imprese sono chiamate a:
- Integrare l’esternalizzazione nelle strategie aziendali.
- Garantire controlli rigorosi e continuità operativa.
- Adottare misure preventive per i rischi ICT in vista delle nuove normative.
La lettera al mercato rappresenta un passo cruciale per promuovere maggiore trasparenza e uniformità nel settore assicurativo.
