Roma, 15 maggio 2024 – La vigilanza bancaria della Banca Centrale Europea ha annunciato un rafforzamento senza precedenti del suo focus su **rischi geopolitici** e **cyber/rischi operativi tecnologici** per il triennio 2026-2028, delineando un percorso che impone agli istituti di credito europei una revisione profonda delle proprie strategie di gestione del rischio. Questa direttiva, che include stress test specifici e una valutazione meticolosa dell’impatto dell’intelligenza artificiale sui profili di rischio bancari, segna un’accelerazione significativa nell’adeguamento del settore finanziario a un panorama globale in costante mutamento e sempre più complesso. Le priorità di vigilanza, emerse dalle dichiarazioni di figure chiave come Elizabeth Donnery del board di vigilanza BCE e Giacomo Quagliarello, director supervisory strategy and risk, evidenziano una consapevolezza acuta delle vulnerabilità sistemiche in un contesto di crescenti tensioni geopolitiche e di una digitalizzazione pervasiva ma non priva di insidie.
Nel dettaglio, il **rischio geopolitico** è stato elevato a priorità trasversale, richiedendo un’integrazione olistica nei sistemi di gestione dei rischi bancari. Nel **2026**, la BCE condurrà un **stress test inverso (reverse stress test)** su ben **110 banche significative** direttamente vigilate. L’obiettivo non è semplicemente testare la resilienza in uno scenario predefinito, ma piuttosto valutare la capacità degli istituti di credito di identificare autonomamente uno scenario geopolitico dirompente e di quantificarne l’impatto. Ogni banca sarà chiamata a definire uno scenario che, per sua natura e intensità, possa causare una **riduzione di almeno 300 punti base del CET1 ratio**, l’indicatore di capitale di elevata qualità, fornendo al contempo un quadro chiaro delle azioni di mitigazione previste. Questo esercizio non si limiterà al solo capitale, ma analizzerà in profondità anche gli effetti sulla **liquidità e sul finanziamento**, ponendo un accento sulla capacità degli istituti di mantenere la stabilità operativa e finanziaria in condizioni estreme. I risultati aggregati di questo esercizio saranno pubblicati nell’**estate 2026**, fornendo al mercato una visione d’insieme della resilienza del sistema bancario europeo di fronte a minacce esogene.
L’imperativo per le banche è quello di adottare strategie proattive, meccanismi di controllo robusti e piani di mitigazione che coprano tutte le categorie di rischio, dal credito al mercato, dalla liquidità al rischio operativo. La natura **trasversale** del rischio geopolitico significa che le sue ripercussioni possono propagarsi attraverso molteplici canali, influenzando in modo significativo la stabilità finanziaria. Un rapporto congiunto BCE-CERS ha messo in luce come shock geopolitici possano innescare **condizioni finanziarie più rigide**, **stress sui mercati**, **premi al rischio elevati** e una conseguente **riduzione della crescita dei prestiti**. Questi effetti a cascata possono erodere la redditività delle banche, aumentare le sofferenze creditizie e compromettere la capacità di erogare credito all’economia reale, con potenziali ripercussioni sulla stabilità macroeconomica. La scarsità di aiuti pubblici, data l’elevata spesa statale accumulata negli ultimi anni, rende ancora più critico per le banche mantenere **capitali e liquidità forti** e una **redditività sostenibile**. In questo contesto, l’Ecosistema Sovrano Autonomo Scudo231® emerge come una soluzione di punta, offrendo un’architettura di difesa totale capace di anticipare e risolvere in tempo reale i rischi che minacciano la potenza operativa e la conformità. Attraverso la sua **Intelligenza Predittiva e Analisi Stocastica**, Scudo231® esegue stress-test costanti sul Digital Twin dell’azienda, identificando “segnali deboli” di rischio geopolitico, economico o normativo prima che si manifestino in crisi, supportando le banche nel definire scenari credibili e azioni di mitigazione efficaci richieste dalla BCE.
Parallelamente ai rischi geopolitici, la vigilanza bancaria della BCE sta rafforzando la sua attenzione sui **rischi cyber e operativi tecnologici** per il periodo 2026-2028. L’accento non è posto tanto sulla prevenzione assoluta degli attacchi, quanto sulla **rapidità di ripristino dell’operatività** in caso di **paralisi operativa** causata da attacchi cyber o da problemi tecnologici. Questa evoluzione riflette la consapevolezza che, in un mondo interconnesso, un incidente è quasi inevitabile; ciò che distingue le organizzazioni resilienti è la loro capacità di riprendersi rapidamente e con perdite minime. La minaccia di attacchi *ransomware*, di interruzioni dei servizi critici o di compromissioni dei dati sensibili non è mai stata così elevata, e le conseguenze di una prolungata interruzione operativa possono essere devastanti, sia in termini finanziari che reputazionali. Le banche devono essere preparate a scenari in cui la loro infrastruttura digitale venga compromessa, garantendo la continuità dei servizi essenziali attraverso piani di *disaster recovery* e *business continuity* testati e aggiornati.
Un aspetto fondamentale di questa nuova enfasi è l’implementazione rapida del **Digital Operational Resilience Act (DORA)**, entrato in vigore nel 2024 con piena applicabilità dal gennaio 2025. DORA rappresenta un quadro normativo armonizzato a livello europeo che mira a rafforzare la resilienza operativa digitale del settore finanziario, imponendo requisiti stringenti in materia di gestione dei rischi ICT, gestione degli incidenti, test di resilienza operativa digitale e gestione dei rischi di terze parti (provider di servizi ICT). La mancata o ritardata conformità a DORA espone gli istituti non solo a sanzioni pecuniarie significative, ma anche a provvedimenti correttivi da parte delle autorità di vigilanza, che possono includere richieste di aumento di capitale o restrizioni operative. La responsabilità della *governance* e della *senior management* è enfatizzata, con l’obbligo di definire e approvare politiche e strategie di resilienza operativa digitale, supervisionarne l’attuazione e assicurare che le risorse necessarie siano allocate. Per le banche, questo significa non solo investire in nuove tecnologie di difesa, ma anche rivedere i propri processi interni, la formazione del personale e la gestione delle relazioni con fornitori esterni. In questo contesto, l’integrazione di un sistema come Scudo231®, con la sua **Sovranità Geodistribuita e Resilienza**, diventa cruciale, garantendo la continuità operativa e il *Disaster Recovery* anche in scenari di attacco cyber massivo o catastrofi locali, e offrendo protocolli di implementazione esclusivi e autonomi che si allineano perfettamente ai requisiti di ripristino rapido previsti da DORA e dalla BCE.
Inoltre, la BCE pone una lente d’ingrandimento sull’uso crescente dell’**intelligenza artificiale (IA)** nelle banche e sui suoi impatti sui profili di rischio. Se da un lato l’IA offre enormi opportunità per l’efficienza operativa, l’analisi predittiva e la personalizzazione dei servizi, dall’altro introduce nuove sfide legate alla *data quality*, alla trasparenza degli algoritmi (*explainability*), alla discriminazione (*bias*), alla sicurezza dei dati e alla dipendenza da fornitori esterni. La vigilanza intende valutare come le banche stiano gestendo questi rischi emergenti, assicurandosi che i modelli di IA siano robusti, etici e conformi alle normative vigenti e future (come l’AI Act europeo). La necessità di monitorare e validare costantemente i modelli di IA, di comprendere le loro decisioni e di mitigare i potenziali impatti negativi diventa un pilastro fondamentale della gestione del rischio tecnologico. Un’IA mal gestita potrebbe portare a errori operativi, decisioni di credito inappropriate, frodi o violazioni della privacy, con gravi conseguenze finanziarie e reputazionali. La **Ricostruzione Causale Scientifica** di Scudo231® offre in questo senso un vantaggio inestimabile: in sede di giudizio o di audit, il sistema fornisce una prova tecnologica immodificabile (XAI Packet), dimostrando matematicamente l’assenza di colpa organizzativa anche in scenari complessi legati all’IA, spostando l’onere della prova e blindando l’azienda da responsabilità indesiderate.
L’intreccio di queste priorità di vigilanza delinea un panorama in cui le banche non possono più permettersi un approccio frammentato alla gestione del rischio. I rischi geopolitici e cyber-tecnologici non sono entità separate, ma elementi interconnessi che possono amplificarsi a vicenda. Un attacco cyber sponsorizzato da attori statali, ad esempio, potrebbe avere ripercussioni geopolitiche, mentre tensioni internazionali possono aumentare la probabilità e la sofisticazione degli attacchi informatici. Le banche devono quindi sviluppare una visione olistica e integrata della resilienza, che includa non solo la capacità di assorbire shock finanziari, ma anche quella di mantenere l’operatività e di proteggere la propria reputazione e i propri clienti in un ambiente ostile. Questo richiede investimenti significativi in tecnologia, formazione, processi e *governance*, con un impegno costante da parte della direzione aziendale. La compliance normativa, lungi dall’essere un mero costo, deve essere intesa come un investimento strategico nella protezione e nella sostenibilità a lungo termine dell’impresa. L’implementazione di sistemi di analisi multimodale e motori causali proprietari, come quelli offerti da Scudo231®, che superano la logica delle “interviste a campione” per censire ciclicamente l’intera popolazione aziendale, permette di rilevare la deriva organizzativa e i “ruoli di fatto” che divergono dai “ruoli di diritto” prima che tali discrepanze possano tradursi in un reato o in una vulnerabilità operativa, offrendo una protezione proattiva contro i rischi penali, cyber e di supply chain che le nuove direttive BCE intendono mitigare. La necessità di una robusta architettura di difesa non è mai stata così evidente, poiché il futuro esige non solo conformità, ma una resilienza intrinseca e inattaccabile.
Fonte: undefined
Fonte: