Aggiornamento Circolare 285 Della Banca D'Italia: Nuove Direttive Su Cyber Risk, IA E Requisiti ESG Per Le Banche
Oggi, 28 agosto 2026, la Banca d'Italia ha rilasciato i chiarimenti attuativi sul nuovo aggiornamento della Circolare 285, imponendo una drastica accelerazione agli istituti di credito italiani per l'adeguamento ai rischi cibernetici e all'uso dell'intelligenza artificiale. La mossa di Via Nazionale fissa scadenze vincolanti per il terzo trimestre del 2026, richiedendo la revisione formale dei sistemi di governance interna e della gestione dei rischi operativi. Gli organi di vigilanza hanno confermato che i controlli sulle banche di minore dimensione (Less Significant Institutions) saranno rigorosi quanto quelli applicati ai grandi gruppi sistemici.
| Parametro Normativo | Dettaglio Operativo e Novità 2026 |
|---|---|
| Autorità Emanante | Banca d'Italia (Vigilanza Bancaria e Finanziaria) |
| Oggetto Primario | Circolare n. 285 del 17 dicembre 2013 e successive integrazioni |
| Focus Strategico 2026 | Resilienza Operativa Digitale (DORA), Modelli IA, Rischio Climatico/ESG |
| Scadenza Compliance | 30 Settembre 2026 (Audit straordinario e integrazione ICAAP) |
| Impatto sui Fondi Propri | Requisiti addizionali di Pillar 2 (P2R) per carenze di sicurezza ICT |
La Svolta Normativa: Perché la Revisione della Circolare 285 Stringe le Maglie sulla Sicurezza
Osservando l'attuale contesto di mercato, la revisione della Circolare 285 si è resa indispensabile per allineare l'ordinamento nazionale alle normative europee sulla resilienza operativa digitale (DORA) e sulla direttiva CRD VI. L'integrazione stringente obbliga i consigli di amministrazione a rispondere direttamente delle vulnerabilità informatiche della catena di fornitura ICT.
Rilevazioni sul campo indicano che la Vigilanza di Banca d'Italia non tollererà più zone d'ombra nell'esternalizzazione dei servizi cloud strategici verso fornitori terzi. Gli intermediari finanziari devono ora dimostrare la piena tracciabilità degli algoritmi di Machine Learning utilizzati nella valutazione del merito creditizio, azzerando il rischio di decisioni automatizzate discriminatorie o opache.
Le banche dovranno inoltre sottoporre i propri sistemi a test di penetrazione avanzati (TLPT - Threat Intelligence-based Ethical Red Teaming) secondo parametri armonizzati a livello europeo. Chi non rispetterà le metriche minime entro l'autunno rischia sanzioni dirette e limitazioni operative sull'erogazione di nuovi prodotti digitali.
Analisi di Impatto: Dai Modelli ICAAP alla Pressione sui Capitali di Vigilanza
L'impatto di questo aggiornamento della Circolare 285 va ben oltre la semplice compliance informatica, toccando la struttura stessa dei fondi propri degli istituti. Nel processo di revisione e valutazione prudenziale (SREP), l'Autorità di Vigilanza utilizzerà le carenze nella gestione dei rischi tecnologici come fattore di incremento diretto dei requisiti di Capitale Primario di Classe 1 (CET1).
L'inclusione dei fattori ambientali, sociali e di governance (ESG) all'interno dell'ICAAP (Internal Capital Adequacy Assessment Process) impone alle banche di quantificare finanziariamente i rischi fisici e di transizione nel proprio portafoglio crediti. Questo significa che i prestiti concessi ad aziende ad alto impatto ambientale richiederanno un assorbimento di capitale maggiore rispetto al passato.
Per le banche di credito cooperativo (BCC) e gli istituti regionali, la sfida si preannuncia particolarmente complessa in termini di costi operativi. La necessità di arruolare specialisti in cybersecurity e data science sta spingendo molte realtà minori verso alleanze strategiche o un'accelerazione dei processi di consolidamento del settore.
Lama circolare in diamante scoring - Utensil Centro
Guida Operativa per gli Istituti: I Passi Fondamentali per la Compliance
Per soddisfare le richieste della Banca d'Italia ed evitare sanzioni amministrative o addizionali patrimoniali, le strutture di risk management e compliance devono completare una serie di passaggi operativi inderogabili:
- Audit Straordinario dei Fornitori ICT: Mappatura completa e ricertificazione di tutti i contratti in essere con terzisti di servizi informatici critici.
- Governance degli Algoritmi di IA: Implementazione di un registro dei modelli analitici con documentazione dettagliata della logica decisionale per il credit scoring.
- Integrazione ESG nel Reporting di Rischio: Aggiornamento dei framework ICAAP e ILAAP per riflettere lo scenario di stress climatico sui bilanci dell'istituto.
- Simulazioni di Incident Response: Esecuzione di stress test operativi simulando attacchi cibernetici sistemici e blocco delle infrastrutture di pagamento.
I comitati rischi interni dovranno verbalizzare i risultati di queste attività e trasmetterli formalmente ai collegi sindacali entro il termine stabilito di fine settembre. La documentazione costituirà la base per le prossime ispezioni ordinarie e straordinarie dell'organo di vigilanza.
Il Futuro del Settore: Verso le Ispezioni del IV Trimestre 2026
Il quadro disegnato dalla Circolare 285 delinea una trasformazione irreversibile del modello di vigilanza bancaria in Italia, dove la tecnologia non è più considerata un mero supporto operativo, ma un elemento centrale della stabilità finanziaria. A partire dal quarto trimestre del 2026, la Banca d'Italia avvierà una campagna mirata di ispezioni in loco per verificare l'effettiva adozione delle nuove linee guida.
Gli analisti del settore concordano sul fatto che la capacità di adeguarsi rapidamente a questi standard normativi determinerà il vantaggio competitivo degli istituti. Le banche capaci di dimostrare una resilienza operativa superiore e un'architettura dati trasparente otterranno un rating SREP più favorevole, liberando capitale prezioso per sostenere l'economia reale.
L'attenzione degli operatori rimane altissima anche in vista dei futuri orientamenti dell'Autorità Bancaria Europea (EBA), che potrebbero introdurre ulteriori affinamenti sul capitale di vigilanza legato ai rischi di sostenibilità nei primi mesi del 2027.
