Serie Generale n. 136 del 13-6-2023
DECRETI E DELIBERE DI ALTRE AUTORITA'
BANCA D'ITALIA
BANCA D'ITALIA
PROVVEDIMENTO 31 maggio 2023
Segnalazione in materia di esternalizzazione di funzioni aziendali per gli intermediari vigilati. (23A03337) (GU Serie Generale n.136 del 13-06-2023)

LA BANCA D'ITALIA

Visto il decreto legislativo del 1° settembre 1993, n. 385 (Testo
unico delle leggi in materia bancaria e creditizia, di seguito «TUB»)
e successive modifiche e integrazioni;
Visti, in particolare, gli articoli 51; 53, comma 1, lettera d);
66; 67, comma 1, lettera d); 108, commi 1 e 4; 109, comma 2;
114-quinquies.2, commi 1 e 2; 114-quaterdecies, commi 1 e 2, del TUB
in materia di vigilanza informativa e regolamentare nei confronti di
banche, gruppi bancari, intermediari finanziari iscritti all'albo di
cui all'art. 106 del TUB, gruppi finanziari, istituti di moneta
elettronica e istituti di pagamento;
Visto il decreto legislativo del 24 febbraio 1998, n. 58 (Testo
unico delle disposizioni in materia di intermediazione finanziaria,
di seguito «TUF») e successive modifiche e integrazioni;
Visti, in particolare, gli articoli 6, comma 1, lettera c-bis);
6-bis, comma 1; 47, comma 3; 4-sexies.1, comma 6, lettera c), del
TUF, in materia vigilanza informativa e regolamentare nei confronti
di soggetti abilitati alla prestazione dei servizi e delle attività
di investimento e alla gestione collettiva del risparmio, depositari
e fornitori di servizi di crowdfunding;
Considerati gli orientamenti dell'Autorità bancaria europea (EBA)
in materia di esternalizzazione (EBA/GL/2019/02) del 25 febbraio
2019, che specificano i compiti delle autorità competenti per la
vigilanza sui contratti di esternalizzazione;
Considerati gli orientamenti dell'Autorità europea degli strumenti
finanziari e dei mercati (ESMA) in materia di esternalizzazione a
fornitori di servizi cloud (ESMA50-164-4285) del 10 maggio 2021, che
specificano i compiti delle autorità competenti per vigilanza sui
contratti di esternalizzazione di servizi cloud;

E m a n a

le allegate disposizioni che introducono una segnalazione in
materia di esternalizzazione di funzioni aziendali per gli
intermediari vigilati.
Le presenti disposizioni entrano in vigore il giorno successivo a
quello di pubblicazione nella Gazzetta Ufficiale della Repubblica
italiana.

Roma, 31 maggio 2023

Il direttore generale: Signorini
Delibera n. 166/2023.

Allegato


Parte di provvedimento in formato grafico

VIGILANZA BANCARIA E FINANZIARIA

ISTRUZIONI PER LA SEGNALAZIONE
IN MATERIA DI ESTERNALIZZAZIONE DI FUNZIONI AZIENDALI
PER GLI INTERMEDIARI VIGILATI

2023


Indice

Premessa

Capitolo 1 - Istruzioni
Sezione I - Disposizioni di carattere generale
Sezione II - Istruzioni per la compilazione dei flussi
segnaletici
Capitolo 2 - Norme transitorie
Norme transitorie


Premessa
La segnalazione in materia di esternalizzazione di funzioni
aziendali ha come obiettivo la raccolta di informazioni sui contratti
di esternalizzazione degli intermediari vigilati, sui fornitori e
subfornitori di servizi, nonchè sulla tipologia di funzioni
esternalizzate.
La raccolta di questi dati è funzionale all'analisi e al
monitoraggio dei rischi derivanti dal ricorso a terze parti per lo
svolgimento di funzioni, servizi e attività proprie degli
intermediari vigilati, al fine di assicurare la stabilità degli
intermediari stessi e del sistema bancario e finanziario. Le
informazioni sono pertanto strumentali all'esercizio dell'attività
di vigilanza; inoltre, esse rilevano in particolare per
l'individuazione e la valutazione di eventuali situazioni di
concentrazione di fornitori di servizi, in linea con le previsioni
europee (1 ).
Formano oggetto di segnalazione, in particolare, il contratto di
esternalizzazione, le informazioni sugli intermediari vigilati
firmatari degli accordi e, ove diversi, sugli intermediari che
utilizzano i servizi prestati dai fornitori (c.d. utilizzatori), sui
fornitori di servizi ai quali lo svolgimento delle funzioni aziendali
è affidato e sugli eventuali subfornitori, ove presenti.
Al riguardo, agli intermediari è richiesto di fornire sempre -
salvo diversamente indicato nelle Istruzioni per la compilazione - le
seguenti informazioni:
- per tutti gli accordi di esternalizzazione, informazioni di
dettaglio in particolare su: alcune previsioni dei contratti (ad es.
durata, termini di rinnovo e di preavviso, costo); firmatari e
utilizzatori dei contratti; fornitori di servizi; tipologia e
caratteristiche della funzione esternalizzata (ad es. la categoria
dell'attività esternalizzata e la data in cui, se del caso, ne è
stata valutata l'essenzialità e l'importanza); per i servizi erogati
in modalità cloud computing, il modello di cloud utilizzato e il
provider cloud;
- per gli accordi di esternalizzazione di funzioni essenziali o
importanti (FEI) o di funzioni operative importanti (FOI), sono
richieste ulteriori informazioni tra l'altro sui seguenti aspetti: la
motivazione per la classificazione a FEI/FOI; la valutazione dei
rischi derivanti dall'esternalizzazione della FEI/FOI; l'organo
decisionale che ha deliberato l'esternalizzazione; le verifiche di
audit effettuate e pianificate; la valutazione del livello di
sostituibilità del fornitore di servizi; la subesternalizzazione e
gli eventuali subfornitori; il paese di erogazione dei servizi e
quello di memorizzazione dei dati.
Con le presenti istruzioni si forniscono indicazioni per la
compilazione della segnalazione. L'inoltro dei flussi informativi da
parte degli intermediari vigilati ha periodicità annuale. Nel
Capitolo 1 sono riportate le disposizioni generali relative alla
segnalazione (Sezione I) e le istruzioni per la compilazione delle
singole voci e sottovoci (Sezione II).
La struttura della segnalazione prevede l'invio di dati su sei
fenomeni principali: 1) Informazioni sul contratto; 2) Firmatario del
contratto; 3) Utilizzatore del contratto; 4) Categoria della funzione
esternalizzata; 5) Fornitore di servizi; 6) Funzione essenziale o
importante (FEI o FOI).
Tutte le informazioni richieste sono obbligatorie salvo
diversamente specificato.
Nell'economia della segnalazione assume particolare importanza il
codice Anagrafe Soggetti (codice AS), che andrà indicato per i
fornitori e gli eventuali subfornitori, nonchè per la capogruppo del
gruppo di appartenenza di questi soggetti, ove presente. La
disponibilità del codice AS consente di sfruttare le informazioni
anagrafiche già presenti nelle basi di dati tenute dalla Banca
d'Italia; ciò riduce il rischio di segnalazioni non corrette e
contribuisce a contenere gli oneri segnaletici per gli intermediari.
Qualora gli intermediari vigilati destinatari degli obblighi
segnaletici non dispongano del codice AS dei soggetti per i quali
esso è richiesto, gli intermediari sono tenuti ad attivarsi per
richiedere alla Banca d'Italia il censimento di questi soggetti
nell'Anagrafe Soggetti e la generazione del relativo codice (2 ).
Il quadro sinottico dei valori ammessi per gli attributi della
segnalazione (Allegato 1) e le informazioni sul codice Anagrafe
Soggetti (codice AS) nonchè le istruzioni per l'individuazione del
codice AS e per il censimento delle terze parti (Allegato 2) sono
pubblicati sul sito internet della Banca d'Italia nella pagina della
segnalazione in materia di esternalizzazione.

__________
(1 ) In particolare, gli Orientamenti dell'EBA in materia di
esternalizzazione (EBA/GL/2019/02) e gli Orientamenti dell'ESMA in
materia di esternalizzazione a fornitori di servizi cloud
(ESMA50-164-4285) attribuiscono infatti alle autorità di vigilanza
il compito, tra l'altro, di valutare il ricorso all'esternalizzazione
da parte degli intermediari vigilati con particolare riferimento ai
rischi di concentrazione derivanti da molteplici accordi di
esternalizzazione con uno stesso fornitore di servizi o con fornitori
di servizi strettamente connessi, a livello di singolo intermediario
e settoriale.
(2 ) Le Istruzioni per l'individuazione del codice AS e il
censimento delle terze parti sono fornite nell'Allegato 2 alla
presente segnalazione, pubblicato sul sito internet della Banca
d'Italia.


Capitolo 1

ISTRUZIONI PER LA COMPILAZIONE


Capitolo 1
ISTRUZIONI

SEZIONE I
DISPOSIZIONI DI CARATTERE GENERALE

1. Fonti normative
La materia è regolata, in particolare, dalle seguenti disposizioni
del D.lgs. 1° settembre 1993, n. 385 (TUB):
- art. 51, il quale prevede che le banche inviino alla Banca
d'Italia, con le modalità e i tempi da essa stabiliti, le
segnalazioni periodiche nonchè ogni dato e documento richiesti;
- art. 53, comma 1, lett. d), che attribuisce alla Banca d'Italia
il potere di emanare disposizioni di carattere generale in materia di
organizzazione amministrativa e contabile e controlli interni delle
banche;
- art. 66, che attribuisce alla Banca d'Italia, al fine di
esercitare la vigilanza su base consolidata, il potere di richiedere
alla capogruppo la trasmissione, anche periodica, di situazioni e
dati, nonchè ogni altra informazione utile;
- art. 67, comma 1, lett. d), il quale prevede che, al fine di
esercitare la vigilanza consolidata, la Banca d'Italia impartisca
alla capogruppo, con provvedimenti di carattere generale,
disposizioni concernenti il gruppo complessivamente considerato o i
suoi componenti aventi ad oggetto l'organizzazione amministrativa e
contabile e i controlli interni;
- art. 108, comma 1, che conferisce alla Banca d'Italia il potere
di emanare disposizioni di carattere generale aventi a oggetto, inter
alia, l'organizzazione amministrativa e contabile e i controlli
interni degli intermediari finanziari di cui all'articolo 106 TUB;
- art. 108, comma 4, il quale prevede che gli intermediari
finanziari di cui all'articolo 106 TUB inviino alla Banca d'Italia,
con le modalità e nei termini da essa stabiliti, le segnalazioni
periodiche e ogni altro dato e documento richiesto;
- art. 109, comma 2, che attribuisce alla Banca d'Italia il
potere di esercitare la vigilanza su base consolidata sui gruppi
finanziari e sulle relative capogruppo, inclusi i poteri di impartire
disposizioni generali concernenti il gruppo finanziario
complessivamente considerato o i suoi componenti, tra l'altro in
materia di organizzazione amministrativa e contabile e i controlli
interni;
- art. 114-quinquies.2, comma 1, il quale prevede che gli
istituti di moneta elettronica inviino alla Banca d'Italia, con le
modalità e nei termini da essa stabiliti, le segnalazioni periodiche
nonchè ogni altro dato e documento richiesto;
- art. 114-quinquies.2, comma 2, che attribuisce alla Banca
d'Italia il potere di emanare disposizioni di carattere generale
aventi a oggetto, tra l'altro, l'organizzazione amministrativa e
contabile e i controlli interni degli istituti di moneta elettronica;
- art. 114-quaterdecies, comma 1, il quale prevede che gli
istituti di pagamento inviino alla Banca d'Italia, con le modalità e
nei termini da essa stabiliti, le segnalazioni periodiche nonchè
ogni altro dato e documento richiesto;
- art. 114-quaterdecies, comma 2, che attribuisce alla Banca
d'Italia il potere di emanare disposizioni di carattere generale
aventi a oggetto, tra l'altro, l'organizzazione amministrativa e
contabile e i controlli interni degli istituti di pagamento;
dalle seguenti disposizioni del D.lgs. 24 febbraio 1998, n. 58
(TUF):
- art. 6, comma 1, lettera c-bis, che attribuisce poteri
regolamentari alla Banca d'Italia, sentita la Consob, con riferimento
agli obblighi dei soggetti abilitati alla prestazione dei servizi e
delle attività di investimento e alla gestione collettiva del
risparmio tra l'altro in materia di requisiti generali di
organizzazione, esternalizzazione di funzioni operative essenziali o
importanti o di servizi o di attività;
- art. 6-bis, comma 1, il quale prevede che la Banca d'Italia
possa chiedere ai soggetti abilitati alla prestazione dei servizi e
delle attività di investimento e alla gestione collettiva del
risparmio, nell'ambito delle competenze previste all'articolo 5 del
TUF, la comunicazione di dati e notizie e la trasmissione di atti e
documenti con le modalità e nei termini da essa stabiliti;
- art. 47, comma 3, che attribuisce poteri regolamentari alla
Banca d'Italia per l'assunzione dell'incarico di depositario;
- art. 4-sexies.1, comma 6, lettera c), che individua la Banca
d'Italia come autorità competente ad assicurare l'osservanza degli
obblighi imposti dal regolamento crowdfunding in materia di, inter
alias, organizzazione amministrativa e contabile, controlli interni,
esternalizzazione di funzioni operative, e comma 10, che attribuisce
alla Banca d'Italia, tra l'altro, i poteri di vigilanza informativa e
regolamentare previsti dal TUF in materia di disciplina degli
intermediari;
dell'articolo 7, comma 2, lettera b, del decreto legislativo 21
novembre 2007, n. 231, che attribuisce alla Banca d'Italia il potere,
tra l'altro, di richiedere l'invio di segnalazioni periodiche
rilevanti per finalità di prevenzione del riciclaggio e di
finanziamento del terrorismo.
Vengono inoltre in rilievo:
- gli "Orientamenti in materia di esternalizzazione"
dell'Autorità bancaria europea (EBA), (EBA/GL/2019/02) del 25
febbraio 2019;
- gli "Orientamenti in materia di esternalizzazione a fornitori
di servizi cloud" dell'Autorità europea degli strumenti finanziari e
dei mercati (ESMA), (ESMA50-164- 4285) del 10 maggio 2021.

2. Definizioni
Ai fini della presente segnalazione, si forniscono le seguenti
definizioni:
1. "Circolare n. 285/2013", la Circolare della Banca d'Italia n.
285 del 17 dicembre 2013 e successivi aggiornamenti;
2. "Circolare n. 288/2015", la Circolare della Banca d'Italia n.
288 del 3 aprile 2015 e successivi aggiornamenti;
3. "TUF", il decreto legislativo 24 febbraio 1998, n. 58, recante
il Testo unico delle disposizioni in materia di intermediazione
finanziaria, e successive modificazioni;
4. "Regolamento 5 dicembre 2019", il Regolamento della Banca
d'Italia del 5 dicembre 2019 di attuazione degli articoli 4-undecies
e 6, comma 1, lett. b) e c-bis), del TUF e successive modificazioni;
5. "Regolamento (UE) 231/2013", il Regolamento delegato (UE) n.
231/2013 della Commissione, del 19 dicembre 2012, che integra la
direttiva 2011/61/UE del Parlamento europeo e del Consiglio per
quanto riguarda deroghe, condizioni generali di esercizio,
depositari, leva finanziaria, trasparenza e sorveglianza;
6. "TUB", il decreto legislativo 1° settembre 1993, n. 385,
recante il Testo unico delle leggi in materia bancaria e creditizia,
e successive modificazioni;
7. "Disposizioni per IP e IMEL", le Disposizioni di vigilanza per
gli istituti di pagamento e gli istituti di moneta elettronica della
Banca d'Italia del 17 maggio 2016 e successive modificazioni;
8. "RGCR", il Regolamento sulla gestione collettiva del risparmio
della Banca d'Italia del del 19 gennaio 2015 e successive
modificazioni;
9. "Regolamento crowdfunding", il Regolamento (UE) 2020/1503 del
Parlamento europeo e del Consiglio, del 7 ottobre 2020, relativo ai
fornitori europei di servizi di crowdfunding per le imprese, e che
modifica il regolamento (UE) 2017/1129 e la direttiva (UE) 2019/1937;
10. "Orientamenti dell'EBA in materia di esternalizzazione", gli
Orientamenti in materia di esternalizzazione dell'Autorità bancaria
europea (EBA) del 25 febbraio 2019 (EBA/GL/2019/02);
11. "Orientamenti dell'ESMA in materia di esternalizzazione a
fornitori di servizi cloud", gli Orientamenti in materia di
esternalizzazione a fornitori di servizi cloud dell'Autorità europea
degli strumenti finanziari e dei mercati (ESMA) del 10 maggio 2021
(ESMA50-164-4285);
12. "esternalizzazione", l'accordo in qualsiasi forma tra un
intermediario vigilato e un fornitore di servizi in base al quale il
fornitore realizza un processo, un servizio o un'attività che
sarebbe altrimenti svolto dallo stesso intermediario (1 ). Ai fini
della presente segnalazione, rientra nell'esternalizzazione la delega
come definita all'articolo 31, paragrafo 1, del Regolamento 5
dicembre 2019;
13. "subesternalizzazione", la situazione in cui il fornitore di
servizi nell'ambito di un accordo di esternalizzazione trasferisce
ulteriormente una funzione esternalizzata a un altro fornitore di
servizi (2 ). Ai fini della presente segnalazione, rientra nella
subesternalizzazione la sub-delega di cui all'articolo 55 del
Regolamento 5 dicembre 2019;
14. "fornitore di servizi", un soggetto terzo che svolge o
realizza in tutto o in parte un processo, un servizio o un'attività
esternalizzata nell'ambito di un accordo di esternalizzazione (3 );
15. "funzione essenziale o importante" (FEI),
• la funzione essenziale o importante come definita: a) per le
banche e le SIM di classe 1, dalle disposizioni della Circolare
285/2015, Parte I, Titolo IV, Cap. 3, Sez. I, par. 3; b) per gli
intermediari che prestano servizi e attività di investimento,
dall'articolo 4, comma 1, del Regolamento 5 dicembre 2019; c) per gli
intermediari che prestano servizi di gestione collettiva del
risparmio, dall'articolo 31, comma 1, del Regolamento 5 dicembre
2019;
• la funzione operativa importante (FOI) come definita o
disciplinata: a) per gli istituti di pagamento e gli istituti di
moneta elettronica, dalle disposizioni di vigilanza per IP e IMEL,
Capitolo 6, Allegato B; b) per gli intermediari finanziari iscritti
all'albo previsto dall'art. 106 TUB, dalle disposizioni della
Circolare 288/2015, Titolo III, Cap. 1, Sez. I, par. 3, lett. h;
• per i fornitori di servizi crowdfunding, una funzione
operativa importante ossia la funzione operativa la cui anomalia
nell'esecuzione o la mancata esecuzione comprometterebbe gravemente
la capacità del fornitore di servizi di crowdfunding di conformarsi
alle condizioni e agli obblighi della sua autorizzazione oppure
comprometterebbe gravemente i suoi risultati finanziari o la
solidità o la continuità della sua attività;
16. "provider cloud", la terza parte, diversa dal fornitore di
servizi o dall'eventuale subfornitore di servizi, sul cui cloud è
ospitata l'applicazione del fornitore o dell'eventuale subfornitore
di servizi e di cui questi ultimi si avvalgono per l'erogazione
dell'attività esternalizzata basata su cloud;
17. "funzione esternalizzata basata su cloud", la funzione
esternalizzata che consiste nella fornitura di servizi di cloud
computing o che il fornitore o il subfornitore di servizi offrono
ricorrendo a servizi di cloud computing erogati da essi stessi o da
provider cloud, anche qualora questi ultimi non siano menzionati nel
contratto di esternalizzazione;
18. "servizi cloud": servizi IT di cloud computing, ossia erogati
tramite un modello che consente l'accesso in rete diffuso,
conveniente e su richiesta a un gruppo condiviso di risorse
informatiche configurabili (ad esempio reti, server, memorie,
applicazioni e servizi), che possono essere forniti e messi a
disposizione rapidamente con un minimo di attività gestionale o di
interazione con il fornitore del servizio (4 ). Si forniscono, di
seguito, le definizioni dei modelli di distribuzione di cloud
computing:
• Cloud pubblico (public cloud): servizi cloud erogati a un
vasto numero di clienti con funzionalità offerte in maniera aperta e
condivisa;
• Cloud privato (private cloud): servizi cloud disponibili per
l'utilizzo esclusivo da parte di un unico soggetto;
• Cloud di comunità (community cloud): servizi cloud
disponibili per l'utilizzo esclusivo da parte di una specifica
comunità di soggetti, compresa una pluralità di intermediari
finanziari e altre società appartenenti a un unico gruppo;
• Cloud ibrido (hybrid cloud): servizi IT erogati da una
combinazione di diverse infrastrutture che comprendono cloud privati
o pubblici e data center on-premise.

__________
(1 ) La definizione è in linea con quella prevista: a) per le
banche e le SIM di classe 1, nella Circolare 285/2015, Parte I,
Titolo IV, Cap. 3, Sez. I, par. 3; b) per gli intermediari finanziari
iscritti all'albo previsto dall'art. 106 TUB, nella Circolare
288/2015, Titolo III, Cap. 1, Sez. I, par. 3, lett. j; c) per gli
intermediari che prestano servizi e attività di investimento e di
gestione collettiva del risparmio, all'articolo 2, comma 1, numero 4,
del Regolamento 5 dicembre 2019.
(2 ) La definizione è in linea con quella prevista: a) per le
banche e le SIM di classe 1, nella Circolare 285/2015, Parte I,
Titolo IV, Cap. 3, Sez. I, par. 3; b) per gli intermediari finanziari
iscritti all'albo previsto dall'art. 106 TUB, nella Circolare
288/2015, Titolo III, Cap. 1, Sez. V, par. 1.
(3 ) La definizione è in linea con quella prevista, per le
banche e le SIM di classe 1, nella Circolare 285/2012015, Parte I,
Titolo IV, Cap. 3, Sez. I, par. 3.
(4 ) La definizione è in linea con quella prevista: a) per le
banche e le SIM di classe 1, nella Circolare 285/2015, Parte I,
Titolo IV, Cap. 3, Sez. I, par. 3; b) per gli intermediari che
prestano servizi e attività di investimento e di gestione collettiva
del risparmio, all'articolo 2, comma 1, numero 17, del Regolamento 5
dicembre 2019.

3. Destinatari della disciplina
Le presenti disposizioni si applicano:
- su base individuale, ai seguenti intermediari quando non
appartenenti a un gruppo bancario significativo (5 ) o meno
significativo iscritto all'albo previsto dall'art. 64 TUB, a un
gruppo finanziario iscritto nell'albo previsto dall'art. 106 TUB o a
un gruppo di imprese di investimento iscritto all'albo previsto
dall'art. 11 TUF:
a) banche italiane meno significative;
b) intermediari finanziari iscritti all'albo previsto dall'art.
106 TUB, incluse le società fiduciarie iscritte nella sezione
separata del medesimo albo;
c) istituti di pagamento;
d) istituti di moneta elettronica;
e) società di gestione del risparmio;
f) SICAV e SICAF che gestiscono direttamente i propri
patrimoni;
g) SIM di classe 2 e 3;
h) fornitori specializzati di servizi di crowdfunding, ossia i
fornitori di servizi di crowdfunding ai sensi dell'art. 2(1)(e) del
Regolamento (UE) 2020/1503 diversi da banche, SIM, IP, IMEL e
intermediari finanziari ex art. 106 del TUB;
i) succursali italiane di banche comunitarie e succursali di
imprese di investimento comunitarie autorizzate come depositari,
limitatamente alle esternalizzazioni di funzioni strumentali
all'attività di depositario (6 ) - ivi incluse le attività
operative e di controllo svolte dalla casa madre europea in favore
della succursale (7 ) - qualora non già segnalate nella rilevazione
BCE;
j) Patrimonio Bancoposta, anche in relazione ai contratti di
esternalizzazione stipulati da Poste Italiane S.p.A. per conto della
medesima e agli affidamenti disciplinati dalle Disposizioni di
Vigilanza di cui alla Circolare n. 285/2013 (Parte Quarta, Capitolo
1).
- su base consolidata:
i. alle capogruppo di gruppi bancari meno significativi
iscritti nell'albo previsto dall'art. 64 TUB;
ii. alle capogruppo di gruppi finanziari iscritti nell'albo
previsto dall'art. 106 TUB;
iii. alle imprese madri nell'UE di gruppi di imprese di
investimento iscritte all'albo previsto dall'art. 11 TUF.
Nel caso di applicazione delle presenti disposizioni su base
consolidata:
• la capogruppo o l'impresa madre nell'UE segnala alla Banca
d'Italia soltanto i contratti di esternalizzazione sottoscritti dalla
stessa e dai componenti italiani del gruppo, quando gli utilizzatori
sono la capogruppo stessa e/o intermediari italiani appartenenti al
gruppo (8 ). Nei casi di contratti stipulati da società strumentali
italiane, la segnalazione è dovuta solo con riferimento ai contratti
di esternalizzazione per i quali gli utilizzatori sono intermediari
italiani appartenenti al gruppo;
• la capogruppo o l'impresa madre nell'UE invia un unico flusso
segnaletico contenente le informazioni relative a sè stessa e quelle
relative ai componenti italiani del gruppo (9 );
• sono esclusi dall'obbligo segnaletico gli accordi di
esternalizzazione effettuati dagli operatori del microcredito inclusi
nel gruppo.

__________
(5 ) Le informazioni sulle esternalizzazioni degli intermediari
appartenenti a gruppi bancari significativi sono oggetto di apposita
rilevazione a cura della BCE. Per ridurre gli oneri in capo agli
intermediari, la presente proposta di segnalazione è complementare
alla rilevazione condotta dalla BCE; il quadro completo sul fenomeno
dell'outsourcing in Italia è dato dall'analisi, a cura della Banca
d'Italia, dei dati raccolti nella rilevazione BCE e nella presente
segnalazione.
(6 ) In linea con le disposizioni del RGCR, Tit. VIII, Cap. 1,
Sez. II, par. 1, punto 2 e nota 2, le funzioni di depositario sono
esercitate direttamente dalla succursale in Italia; si considerano
pertanto esternalizzate le attività operative e di controllo svolte
dalla casa madre europea in favore della succursale e strumentali
all'esercizio delle funzioni di depositario.
(7 ) Nel caso di succursali in Italia di banche comunitarie o di
imprese di investimento comunitarie che operano come depositari, le
informazioni possono essere fornite direttamente dai dirigenti
responsabili / legale rappresentante della succursale, ove non già
fornite dalla casa madre europea alla BCE nell'ambito della
rilevazione sull'outsourcing.
(8 ) Ai fini della segnalazione, si prendono in considerazione i
contratti di esternalizzazione sottoscritti dagli intermediari
italiani inclusi nell'ambito del perimetro di consolidamento
prudenziale.
(9 ) La capogruppo invia un'unica segnalazione distinguendo le
informazioni per ciascuna componente del gruppo attesa.

4. Frequenza, termini e modalità di invio
La segnalazione ha periodicità annuale con data di riferimento 31
dicembre. Gli intermediari sono tenuti a inviare i dati alla Banca
d'Italia entro il 30 aprile dell'anno successivo alla data di
riferimento.
Le informazioni sono trasmesse tramite la piattaforma INFOSTAT.

5. Valuta di segnalazione
Gli importi oggetto di segnalazione sono espressi in unità di
euro. I dati in euro sono arrotondati trascurando i decimali pari o
inferiori a 50 centesimi ed elevando all'unità superiore i decimali
maggiori di 50 centesimi.
Gli importi in valuta sono indicati nel loro controvalore in euro,
utilizzando i tassi di cambio di fine periodo comunicati a titolo
indicativo dalla Banca centrale europea per le valute da quest'ultima
considerate. Per le altre valute si applicano i tassi di cambio
comunicati periodicamente dalla Banca d'Italia attraverso circuiti
telematici (10 ).

__________
(10 ) Reuter, Telerate, ecc.

6. Individuazione e attribuzione del codice Anagrafe Soggetti (codice
AS)
Gli intermediari segnalano i fornitori, gli eventuali subfornitori
e, ove presenti, le entità capogruppo del fornitore e del
subfornitore, mediante l'utilizzo del codice Anagrafe Soggetti
(codice AS) (11 ). Nell'Allegato 2, pubblicato sul sito internet
della Banca d'Italia, sono indicate le modalità con cui gli enti
segnalanti possono individuare il codice AS dei fornitori di servizi,
degli eventuali subfornitori e, ove presenti, delle entità
capogruppo di fornitori e subfornitori; nel caso in cui questi
soggetti non siano già registrati nell'anagrafe, sono fornite
indicazioni per richiederne il censimento alla Banca d'Italia (12 ).

__________
(11 ) L'Anagrafe Soggetti è il registro di riferimento che gli
enti tenuti agli obblighi segnaletici a carattere nominativo
utilizzano per lo scambio informativo con la Banca d'Italia. Il
Codice AS è un codice univoco con il quale una persona fisica o
giuridica viene identificata negli archivi anagrafici di Banca
d'Italia.
(12 ) Cfr. Allegato 2, pubblicato sul sito internet della Banca
d'Italia. Le motivazioni alla base della richiesta del codice AS sono
illustrate nella Premessa.


SEZIONE II
ISTRUZIONI PER LA COMPILAZIONE DEI FLUSSI SEGNALETICI

1. INFORMAZIONI SUL CONTRATTO DI ESTERNALIZZAZIONE

I valori ammessi per gli attributi della segnalazione sono elencati
nell'Allegato 1 "Quadro sinottico dei valori ammessi per gli
attributi della segnalazione", pubblicato sul sito internet della
Banca d'Italia.

VOCE: 1000

00 INFORMAZIONI SUL CONTRATTO

Sono richieste le seguenti informazioni:

Codice contratto
Codice di riferimento del contratto di esternalizzazione,
assegnato in autonomia dal soggetto firmatario del contratto diverso
dal fornitore di servizi.

Data inizio
Data di inizio del contratto, intesa come la data di avvio
dell'esternalizzazione.

Data scadenza
Data di fine del contratto, intesa come la data di cessazione
dell'esternalizzazione.
Da valorizzare con il codice residuale se il contratto non ha una
scadenza definita.

Data prossimo rinnovo
Data prevista per l'eventuale rinnovo, indicata nel contratto o
pianificata tra le parti.
Da valorizzare con il codice residuale se il rinnovo non è
previsto.

Periodo preavviso per fornitore
Numero minimo di giorni di preavviso che l'intermediario è
tenuto a dare al fornitore di servizi quando intende porre fine al
contratto di esternalizzazione.
Da valorizzare con il codice residuale se non previsto.

Periodo preavviso per intermediario
Numero minimo di giorni di preavviso che il fornitore è tenuto a
dare all'intermediario quando intende porre fine al contratto di
esternalizzazione.
Da valorizzare con il codice residuale se non previsto.

Costo annuo
Costo annuo per la prestazione dei servizi esternalizzati,
depurato dall'IVA, di competenza dell'anno di riferimento. Qualora il
contratto sia stato attivato nel corso dell'anno di riferimento,
occorre segnalare l'importo stimato per l'intero anno (anche se la
prestazione effettiva ha riguardato soltanto una parte dell'anno).
Inoltre, nel caso in cui il contratto preveda anche lo
svolgimento di attività diverse dai servizi esternalizzati oggetto
della segnalazione, andrà indicato il costo annuo stimato riferibile
alle sole attività esternalizzate.

Esternalizzazione infragruppo
Indica se il fornitore appartiene allo stesso gruppo, nell'ambito
del perimetro di consolidamento prudenziale o contabile, o allo
stesso sistema di tutela istituzionale (IPS) dell'intermediario che
esternalizza le funzioni.
Nel caso in cui il fornitore di servizi infragruppo
subesternalizzi a sua volta tutte le attività a un subfornitore di
servizi esterno al gruppo o all'IPS, il contratto non va considerato
come infragruppo.
I valori ammessi sono "Si", "No".

Data ultima valutazione a FEI
La data più recente nella quale è stata effettuata la
valutazione della essenzialità o importanza della funzione
esternalizzata.

Valutazione conformità
Indica se il contratto di esternalizzazione è stato esaminato e
se è stata accertata la sua conformità a leggi, regolamenti,
disposizioni europee e nazionali, indicazioni dell'autorità di
vigilanza (ad es. da parte dell'ufficio legale o della funzione di
compliance del soggetto che esternalizza).
I valori ammessi sono "Si", "No".

Note
Campo di testo libero, riservato alle informazioni aggiuntive -
ulteriori e diverse da quelle già indicate in altri campi della
segnalazione - che il soggetto segnalante ritenga opportuno fornire
in relazione al contratto di esternalizzazione.
Da valorizzare con il codice residuale qualora non compilato.

2. INFORMAZIONI SUL FIRMATARIO DEL CONTRATTO

I valori ammessi per gli attributi della segnalazione sono elencati
nell'Allegato 1 "Quadro sinottico dei valori ammessi per gli
attributi della segnalazione", pubblicato sul sito internet della
Banca d'Italia.

VOCE: 1010

00 FIRMATARIO CONTRATTO

Soggetto, diverso dal fornitore di servizi, firmatario del
contratto di esternalizzazione. Il soggetto firmatario può
coincidere o essere diverso dal soggetto o dai soggetti che
esternalizzano le proprie funzioni nell'ambito del contratto (c.d.
utilizzatore/i) (1 ). Qualora il firmatario e l'utilizzatore del
contratto coincidano, il segnalante è tenuto comunque a compilare
entrambi i campi della segnalazione (2 ).
Per ciascun contratto deve essere segnalata almeno una occorrenza
della presente voce.
Sono richieste le seguenti informazioni:

Codice contratto
Codice di riferimento del contratto di esternalizzazione,
assegnato in autonomia dal soggetto firmatario, diverso dal fornitore
di servizi.

Firmatario
Codice AS del soggetto, diverso dal fornitore di servizi,
firmatario del contratto.

Codice LEI firmatario
Il codice LEI (3 ) del soggetto firmatario.
Da valorizzare con il codice residuale se il firmatario non
dispone di un codice LEI.

__________
(1 ) Ad esempio, il firmatario e l'utilizzatore del contratto
possono non coincidere nel caso in cui il contratto con il fornitore
sia sottoscritto dalla capogruppo di un gruppo bancario o finanziario
ma preveda l'erogazione dei servizi a favore unicamente delle altre
società del gruppo.
(2 ) In questo caso, il codice contratto, il codice AS e, ove
presente, il codice LEI del firmatario e dell'utilizzatore indicati
nella segnalazione coincideranno. Per le succursali depositarie di
banche o imprese di investimento europee autorizzate a prestare in
Italia servizi di depositario il codice AS della succursale è
diverso dal codice AS della casa madre.
(3 ) Il codice LEI (Legal Entity identifier) è un codice
alfanumerico di 20 caratteri basato sullo Standard ISO 17442,
sviluppato dall'Organizzazione Internazionale per la Normazione
(ISO). È un codice di identificazione univoca internazionale delle
persone giuridiche. La raccomandazione europea ESRB\2020\12 "on
identification of legal entities" raccomanda l'utilizzo del codice
nelle segnalazioni finanziarie per individuare l'entità giuridica
soggetta all'obbligo di segnalazione e qualsiasi altra entità
giuridica oggetto di segnalazione che abbia un codice LEI.

3. INFORMAZIONI SULL'UTILIZZATORE O SUGLI UTILIZZATORI DEL CONTRATTO

I valori ammessi per gli attributi della segnalazione sono elencati
nell'Allegato 1 "Quadro sinottico dei valori ammessi per gli
attributi della segnalazione", pubblicato sul sito internet della
Banca d'Italia.

VOCE: 1020

00 UTILIZZATORE CONTRATTO

Intermediario vigilato che utilizza i servizi forniti dal fornitore
di servizi nell'ambito del contratto di esternalizzazione.
L'utilizzatore può coincidere o essere diverso dal soggetto
firmatario del contratto (c.d. utilizzatore/i) (4 ). Qualora
l'utilizzatore e il firmatario del contratto coincidano, il
segnalante è tenuto comunque a compilare entrambi i campi della
segnalazione (5 ).
Per ciascun contratto deve essere segnalata almeno una occorrenza
della presente voce.
Sono richieste le seguenti informazioni:

Codice contratto
Codice di riferimento del contratto di esternalizzazione,
assegnato in autonomia dal soggetto firmatario diverso dal fornitore
di servizi.

Utilizzatore
Codice AS del soggetto che utilizza i servizi forniti dal
fornitore di servizi nell'ambito del contratto di esternalizzazione.

Codice LEI utilizzatore
Il codice LEI (6 ) del soggetto che utilizza i servizi forniti
dal fornitore di servizi nell'ambito del contratto di
esternalizzazione.

Da valorizzare con il codice residuale se il soggetto
utilizzatore (o i soggetti utilizzatori) non dispone (dispongono) di
un codice LEI.

__________
(4 ) Ad esempio, l'utilizzatore (gli utilizzatori) e il
firmatario del contratto possono non coincidere nel caso in cui il
contratto con il fornitore sia sottoscritto dalla capogruppo di un
gruppo bancario o finanziario ma preveda l'erogazione dei servizi a
favore unicamente delle altre società del gruppo.
(5 ) In questo caso, il codice contratto, il codice AS e, ove
presente, il codice LEI dell'utilizzatore e del firmatario indicati
nella segnalazione coincideranno. Per le succursali depositarie di
banche o imprese di investimento europee autorizzate a prestare in
Italia servizi di depositario il codice AS della succursale è
diverso dal codice AS della casa madre.
(6 ) Il codice LEI (Legal Entity identifier) è un codice
alfanumerico di 20 caratteri basato sullo Standard ISO 17442,
sviluppato dall'Organizzazione Internazionale per la Normazione
(ISO). È un codice di identificazione univoca internazionale delle
persone giuridiche. La raccomandazione europea ESRB\2020\12 "on
identification of legal entities" raccomanda l'utilizzo del codice
nelle segnalazioni finanziarie per individuare l'entità giuridica
soggetta all'obbligo di segnalazione e qualsiasi altra entità
giuridica oggetto di segnalazione che abbia un codice LEI.

4. INFORMAZIONI SULLA TIPOLOGIA DELL'ATTIVITÀ ESTERNALIZZATA

I valori ammessi per gli attributi della segnalazione sono
riportati nell'Allegato 1 "Quadro sinottico dei valori ammessi per
gli attributi della segnalazione", pubblicato sul sito internet della
Banca d'Italia (7 ).

VOCE: 1030

00 CATEGORIA FUNZIONE ESTERNALIZZATA

Per ciascun contratto deve essere segnalata almeno una occorrenza
della presente voce. È possibile segnalare una o più categorie.
Sono richieste le seguenti informazioni:

Codice contratto
Codice di riferimento del contratto di esternalizzazione,
assegnato in autonomia dal soggetto firmatario diverso dal fornitore
di servizi.

Categoria funzione esternalizzata
Codice identificativo della categoria alla quale è riconducibile
l'attività esternalizzata. È possibile segnalare una o più
categorie. L'elenco delle categorie di attività esternalizzate è
contenuto nell'Allegato 1, pubblicato sul sito internet della Banca
d'Italia.

Descrizione funzione esternalizzata
Breve descrizione della funzione esternalizzata.
Da indicare solo nel caso in cui la categoria dell'attività
esternalizzata si qualifica come "Altro" (ad esempio, "Servizi di
pagamento: Altro"); in tutti gli altri casi, inserire il codice
residuale.
Da valorizzare con il codice residuale qualora la categoria o le
categorie dell'attività esternalizzata segnalate siano diverse da
"Altro".

__________
(7 ) La categoria di funzioni esternalizzate "Attività AML/CFT:
Segnalazione di operazioni sospette (303)" fa riferimento alla
possibilità per gli intermediari di conferire al responsabile delle
segnalazioni di operazioni sospette della capogruppo o di altra
società del gruppo con sede in Italia la delega di cui all'art. 36
del d.lgs. 21 novembre 2007, n. 231.

5. INFORMAZIONI SUL FORNITORE

I valori ammessi per gli attributi della segnalazione sono elencati
nell'Allegato 1 "Quadro sinottico dei valori ammessi per gli
attributi della segnalazione", pubblicato sul sito internet della
Banca d'Italia.

VOCE: 1040 - FORNITORE

Per tutte le sottovoci è prevista la classificazione per:

Codice contratto
Codice di riferimento del contratto di esternalizzazione,
assegnato in autonomia dal soggetto firmatario diverso dal fornitore
di servizi.

Fornitore
Codice AS del fornitore di servizi.

04 INFORMAZIONI SUL FORNITORE

Per ciascun contratto deve essere segnalata almeno una occorrenza
della presente sottovoce. Sono richieste le seguenti informazioni:

Capogruppo fornitore
Codice AS della capogruppo del fornitore di servizi.
Da valorizzare con il codice residuale nel caso in cui il
fornitore non appartenga a un gruppo.

Codice LEI fornitore
Il codice LEI (8 ) del fornitore di servizi.
Da valorizzare con il codice residuale se il fornitore di servizi
non dispone di un codice LEI.

Denominazione autorità di vigilanza
Denominazione dell'autorità di vigilanza del fornitore di
servizi, ove presente.
Da valorizzare con il codice residuale se non pertinente.

Trattamento dati personali
Indica se il fornitore tratta dati personali nell'ambito di o per
la prestazione delle funzioni esternalizzate.
I valori ammessi sono "Si", "No".

Natura dati memorizzati nel cloud
Breve descrizione della natura dei dati memorizzati nel cloud.
Da valorizzare con il codice residuale se l'attività
esternalizzata non è basata sul cloud.

08 PAESE MEMORIZZAZIONE DATI

Paese dove il fornitore di servizi memorizza i dati relativi ai
servizi esternalizzati.
Nell'ambito di un singolo contratto, per ciascun fornitore deve
essere segnalata almeno una occorrenza della presente sottovoce.
È richiesta la seguente informazione:

Paese memorizzazione dati
Identificativo del paese.

12 PAESE EROGAZIONE SERVIZI

Paese dal quale il fornitore di servizi eroga i servizi
esternalizzati.
Nell'ambito di un singolo contratto, per ciascun fornitore deve
essere segnalata almeno una occorrenza della presente sottovoce.
È richiesta la seguente informazione:

Paese erogazione servizi
Identificativo del paese.

16 CLOUD SERVICE MODEL

Da non segnalare se la funzione esternalizzata non è basata sul
cloud. Se invece la funzione esternalizzata è basata sul cloud,
nell'ambito di un singolo contratto, per ciascun fornitore, deve
essere segnalata almeno una occorrenza della presente sottovoce.

Cloud service model
Identificativo del cloud service model dei servizi ICT a supporto
delle attività esternalizzate.
I servizi cloud si distinguono in tre modelli, a seconda di
quanta parte dello stack tecnologico è offerta e controllata dal
fornitore (ad es. la sola infrastruttura, i servizi di piattaforma
software di base, l'intero software, altri componenti o
combinazioni): "IaaS (Infrastructure as a Service)", "PaaS (Platform
as a Service)" e "Saas (Software as a Service)".
Da valorizzare con "Altro" se il cloud service model non ricade
in nessuno dei tre modelli elencati.

20 CLOUD DEPLOYMENT MODEL

Da non segnalare se la funzione esternalizzata non è basata sul
cloud (cfr. infra). Se invece la funzione esternalizzata è basata
sul cloud, nell'ambito di un singolo contratto, per ciascun
fornitore, deve essere segnalata almeno una occorrenza della presente
sottovoce.

Cloud deployment model
Identificativo del cloud deployment model dei servizi ICT a
supporto delle funzioni esternalizzate.
Il deployment model definisce l'accessibilità e la proprietà
dei servizi cloud, ovvero chi li controlla e dove sono collocati (ad
es. servizi cloud accessibili a tutti, esclusivi per singola
organizzazione o per un insieme di organizzazioni, misti) secondo le
seguenti classificazioni: "Public Cloud", "Private Cloud", "Hybrid
Cloud", "Community Cloud".
Da valorizzare con "Altro" se il cloud deployment model non
ricade in nessuno dei quattro modelli elencati.

24 PROVIDER CLOUD

Soggetto terzo che offre al fornitore o al subfornitore di servizi
i servizi cloud per le funzioni esternalizzate (9 ).
Da non segnalare se il fornitore non si avvale di servizi cloud
offerti da terze parti. Qualora il fornitore si avvalga di servizi
cloud offerti da terze parti, nell'ambito di un singolo contratto,
per ciascun fornitore, deve essere segnalata almeno una occorrenza
della presente sottovoce.

Provider Cloud
Codice AS del soggetto che fornisce i servizi cloud.

__________
(8 ) Il codice LEI (Legal Entity identifier) è un codice
alfanumerico di 20 caratteri basato sullo Standard ISO 17442,
sviluppato dall'Organizzazione Internazionale per la Normazione
(ISO). È un codice di identificazione univoca internazionale delle
persone giuridiche. La raccomandazione europea B2\ESRB\2020\12 "on
identification of legal entities" raccomanda l'utilizzo del codice
nelle segnalazioni finanziarie per individuare l'entità giuridica
soggetta all'obbligo di segnalazione e qualsiasi altra entità
giuridica oggetto di segnalazione che abbia un codice LEI.
(9 ) Ad esempio, il provider cloud andrà segnalato nel caso in
cui l'intermediario vigilato A esternalizzi al fornitore di servizi B
le segnalazioni di vigilanza e il fornitore di servizi B si avvalga
per l'erogazione di questa attività di un'applicazione che è
ospitata nel cloud di una terza parte C (ad es. Big Tech): in questo
caso, il provider cloud da indicare è la terza parte C.
Analogamente, anche nel caso in cui il fornitore B si avvalga di uno
o più subfornitori di servizi per lo svolgimento, in toto o in
parte, dell'attività esternalizzata e il subfornitore (o i
subfornitori) si avvalgano per l'erogazione di essa di
un'applicazione che è ospitata nel cloud di una terza parte X (o di
più terze parti X, Y, ecc.); anche in questo caso, il provider cloud
da indicare è la terza parte X (oppure, nel caso di più provider
cloud, le terze parti X, Y, ecc.). Si precisa che, nel caso in cui il
contratto di esternalizzazione riguardi una funzione non classificata
come essenziale o importante, l'intermediario segnalante non è
tenuto a segnalare i subfornitori di servizi; andrà invece indicato,
ove presente, l'eventuale provider cloud.

6. INFORMAZIONI SULLE FUNZIONI ESSENZIALI O IMPORTANTI

I valori ammessi per gli attributi della segnalazione sono elencati
nell'Allegato 1 "Quadro sinottico dei valori ammessi per gli
attributi della segnalazione", pubblicato sul sito internet della
Banca d'Italia.

VOCE: 1050 - FUNZIONE ESSENZIALE O IMPORTANTE (FEI)

Informazioni richieste per i soli contratti di esternalizzazione di
funzioni classificate come essenziali o importanti (FEI).
Per tutte le sottovoci è prevista la classificazione per:

Codice contratto
Codice di riferimento del contratto di esternalizzazione,
assegnato in autonomia dal soggetto firmatario, diverso dal fornitore
di servizi.

04 INFORMAZIONI SULLA FEI

Data ultima valutazione rischi
La data più recente in cui è stata effettuata la valutazione
dei rischi derivanti dall'esternalizzazione cui il contratto si
riferisce.

Esito valutazione rischi
Livello di rischio di esternalizzazione risultante dalla
valutazione più recente, secondo la scala "Rischio basso", "Rischio
medio", "Rischio alto".
Nell'individuazione del livello, i soggetti segnalanti tengono
conto, tra l'altro, dell'impatto dell'accordo di esternalizzazione in
termini di: rischi operativi, compresi rischi legali e reputazionali;
rischi di concentrazione; rischi derivanti dalla facoltà di
subesternalizzare e dall'utilizzo di complesse catene di
subfornitori; rischi connessi con il paese in cui ha sede il
fornitore o dove sono conservati i dati o da cui sono erogati i
servizi.

Organo decisionale
Organo decisionale che ha approvato il contratto di
esternalizzazione da individuare tra i seguenti: "Consiglio di
amministrazione", "Comitato esecutivo", "Amministratore Delegato /
Direttore Generale", "Responsabile di area", "Altro".

Normativa applicabile
Ordinamento giuridico che disciplina lo specifico contratto di
outsourcing.

Data ultima verifica audit
Data nella quale ha avuto luogo la verifica di audit più recente
sulle funzioni svolte dai fornitori di servizi. Ci si riferisce alle
verifiche di audit condotte da personale qualificato
dell'utilizzatore, da un team congiunto con altri utilizzatori dello
stesso fornitore di servizi o da terze parti incaricate
dall'utilizzatore (10 ). Non ci si riferisce, quindi, alle verifiche
condotte dall'internal audit del fornitore di servizi stesso o da
auditor o certificatori da esso incaricati, nè al monitoraggio
periodico o alla revisione della valutazione dei rischi derivanti
dall'esternalizzazione da parte dell'utilizzatore.
È possibile indicare la data della fine del trimestre o
dell'anno in cui è stata effettuata l'ultima verifica di audit. Da
valorizzare con il codice residuale se non è stata condotta alcuna
verifica di audit.

Data prossima verifica audit
Data in cui è pianificata la prossima verifica di audit sulle
funzioni svolte dal fornitore di servizi. Ci si riferisce alle
verifiche di audit condotte da personale qualificato
dell'utilizzatore, da un team congiunto con altri utilizzatori dello
stesso fornitore di servizi o da terze parti incaricate
dall'utilizzatore (11 ). Non ci si riferisce, quindi, alle verifiche
condotte dall'internal audit del fornitore di servizi stesso o da
auditor o certificatori da esso incaricati, nè al monitoraggio
periodico o alla revisione della valutazione dei rischi
dell'esternalizzazione da parte dell'utilizzatore.
È possibile segnalare la data della fine del trimestre o
dell'anno in cui è pianificata la prossima verifica di audit. Da
valorizzare con il codice residuale se non è stata pianificata
alcuna verifica di audit.

Sostituibilità fornitore
Livello di sostituibilità del fornitore di servizi, secondo la
scala "Facile", "Media", "Difficile".
Nell'individuazione del livello di sostituibilità, gli enti
segnalanti tengono conto, tra l'altro: dell'effettiva presenza sul
mercato di fornitori di servizi alternativi in grado di prestare il
medesimo servizio a parità di prestazioni, costi e condizioni, e in
considerazione dei tempi di migrazione dei dati e delle esigenze di
continuità operativa.

Reinternalizzazione
Livello di difficoltà in caso di eventuale reinternalizzazione
della funzione esternalizzata, secondo la scala "Facile", "Media",
"Difficile".

Impatto interruzione
Impatto di un'eventuale interruzione della funzione
esternalizzata, secondo la scala "Basso", "Medio", "Alto".
Gli enti segnalanti tengono conto del potenziale impatto
dell'interruzione almeno su: rispetto delle disposizioni e degli
obblighi normativi; livello di esposizione ai rischi; continuità
operativa; conto economico; solidità e sostenibilità finanziaria.

Funzione critica in termini di tempo
Indica se la funzione esternalizzata è ritenuta critica in
termini di tempo sulla base della valutazione dell'intermediario. La
nozione di "criticità in termini di tempo" va intesa in senso ampio
(12 ).
I valori ammessi sono "Si", "No".

Subesternalizzazione
Indica se il contratto consente il ricorso alla
subesternalizzazione (13 ).
I valori ammessi sono "Si", "No".

08 MOTIVAZIONE FEI

Motivazione della classificazione come essenziale o importante
della funzione esternalizzata.
Per i contratti di esternalizzazione di funzioni essenziali o
importanti deve essere segnalata almeno una occorrenza della presente
sottovoce.

Motivazione FEI
Motivazione che ha determinato la classificazione della funzione
come essenziale o importante; da individuare tra le seguenti:
"rispetto norme", "risultati finanziari", "solidità e continuità
dei servizi", "riserva di legge", "funzioni aziendali di controllo".

12 FORNITORE ALTERNATIVO

Fornitore di servizi alternativo individuato. Il fornitore di
servizi alternativo è il fornitore che potrebbe subentrare in
sostituzione del fornitore di servizi firmatario del contratto di
esternalizzazione.
Per i contratti di esternalizzazione di funzioni essenziali o
importanti, se esistono fornitori alternativi, possono essere
segnalate più occorrenze della presente sottovoce.
La sottovoce non deve essere valorizzata qualora non sia stato
individuato alcun fornitore alternativo.

Fornitore alternativo
Denominazione del fornitore alternativo di servizi.

VOCE: 1054 - FUNZIONE ESSENZIALE O IMPORTANTE (FEI) - SUBFORNITORE

Subfornitore o subfornitori di servizi, ove presenti, cui sono
affidate parti significative della funzione operativa essenziale o
importante esternalizzata; per tutte le sottovoci è prevista la
classificazione per:

Codice contratto
Codice di riferimento del contratto di esternalizzazione,
assegnato in autonomia dal soggetto firmatario diverso dal fornitore
di servizi.

Fornitore
Codice AS del fornitore di servizi di riferimento (ossia il
fornitore di servizi che ha subesternalizzato al subfornitore di
servizi, in tutto o in parte, le funzioni esternalizzate nell'ambito
del contratto di esternalizzazione).

Subfornitore
Codice AS del subfornitore di servizi.

04 INFORMAZIONI SUL SUBFORNITORE

Per i contratti di esternalizzazione di funzioni essenziali o
importanti, se esistono subfornitori di servizi, possono essere
segnalate più occorrenze della presente sottovoce.
Sono richieste le seguenti informazioni:

Capogruppo subfornitore
Codice AS della capogruppo del subfornitore di servizi.
Da valorizzare con il codice residuale nel caso in cui il
fornitore non appartenga a un gruppo.

Trattamento dati personali
Indica se il subfornitore di servizi tratta dati personali ai
fini dello svolgimento delle funzioni esternalizzate.
I valori ammessi sono "Si", "No".

08 PAESE MEMORIZZAZIONE DATI

Paese nel quale il subfornitore memorizza i dati.
Nell'ambito di un singolo contratto e con riferimento a un singolo
fornitore di riferimento, per ciascun subfornitore deve essere
segnalata almeno una occorrenza della presente sottovoce.

Paese memorizzazione dati
Identificativo del paese.

12 PAESE EROGAZIONE SERVIZI

Paese dal quale il subfornitore eroga i servizi.
Nell'ambito di un singolo contratto e con riferimento a un singolo
fornitore di servizi di riferimento per ciascun subfornitore di
servizi deve essere segnalata almeno una occorrenza della presente
sottovoce.

Paese erogazione servizi
Identificativo del paese.

__________
(10 ) Rientrano in tali ipotesi anche i casi di verifiche di
audit condotte da soggetti ai quali l'intermediario ha esternalizzato
compiti operativi della funzione di internal audit.
(11 ) Rientrano in tali ipotesi anche i casi di verifiche di
audit condotti da soggetti ai quali l'intermediario ha esternalizzato
compiti operativi della funzione di internal audit.
(12 ) A mero titolo esemplificativo e non esaustivo, si ritiene
che l'esternalizzazione del sistema informativo o delle segnalazioni
di vigilanza possano qualificarsi come "critiche in termini di tempo"
perchè entrambe supportano attività la cui interruzione avrebbe
impatti immediati sulle operazioni e sulla capacità
dell'intermediario di conformarsi agli obblighi normativi vigenti;
nel primo caso, la sostituzione del fornitore e/o la migrazione a un
altro sistema operativo possono richiedere procedure lunghe e
complesse, mentre nel secondo caso vi sono vincoli normativi, in
termini di tempo, per l'effettuazione delle segnalazioni il cui
rispetto rientra nella piena responsabilità dell'intermediario che
esternalizza.
(13 ) Nella valorizzazione del campo "Subesternalizzazione" deve
essere assicurata coerenza con il dato segnalato alla voce 1054
"Subfornitore": se il campo "Subesternalizzazione" è valorizzato
"no", ci si attende che la voce 1054 e relativi sottovoci e attributi
non siano compilati. Se il campo "Subesternalizzazione" è
valorizzato "si", la voce 1054 va compilata qualora il fornitore
abbia esercitato la facoltà di avvalersi di subfornitori, consentita
dal contratto di esternalizzazione; al contrario, l'assenza di
informazioni nella voce 1054 indica che tale facoltà non è stata
esercitata.


Capitolo 2

NORME TRANSITORIE


Capitolo 2
NORME TRANSITORIE

In deroga alle disposizioni del Capitolo 1, Sezione I, paragrafo 4,
in sede di prima applicazione delle presenti disposizioni
segnaletiche il termine per l'invio dei dati alla Banca d'Italia è
fissato entro il 31 dicembre 2023.
I dati inviati dagli intermediari in sede di prima applicazione
fanno riferimento ai contratti di esternalizzazione in essere alla
data del 31 dicembre 2022.