Rischi IT nelle entità finanziarie : riflessioni sul regolamento DORA

The progressive digitalisation of the financial sector has significantly increased the exposure of businesses to cyber and ICT risks, posing threats not only to individual financial institutions but also to the stability of economic systems as a whole. In response to these challenges, the European Parliament and the Council of the European Union adopted the Digital Operational Resilience Act (DORA), which designates corporate governance as the core framework for the definition of mechanisms addressing both IT risk management and the operational resilience of financial services, thereby safeguarding systemic stability. This article pursues a dual objective. First, through a synchronic analysis, it examines the technological risk management model established by DORA, highlighting its distinctive features and comparing them with regulatory approaches adopted outside the European Union. Second, it explores the implications of the Regulation for corporate law, with particular attention to the new duties and competencies required of corporate directors and investigates the potential role of artificial intelligence as a support tool in the management of ICT risks.

La crescente dipendenza dalle tecnologie digitali, in particolare nel settore finanziario, ha esposto le imprese a significativi rischi cibernetici e TIC. Questi rischi minacciano non solo le singole entità finanziarie ma l’intera stabilità dei sistemi economici. In questo contesto, il Parlamento europeo e il Consiglio dell’Unione europea hanno adottato il Digital Operational Resilience Act (DORA) che elegge la governance societaria delle entità finanziarie quale sede per la definizione dei meccanismi sia di ge- stione dei rischi IT che di resilienza operativa dei servizi erogati e, di riflesso, del sistema finanziario. Lo scopo del presente articolo è duplice. Attraverso un’analisi sincronica, da un lato, illustrare il modello di gestione dei rischi tecnologici introdotto dal Regolamento DORA, anche rispetto ai modelli extra-UE, dall’altro comprendere l’influenza del regolamento sul diritto commerciale, specie con riferimento alle nuove competenze richieste agli amministratori e l’eventuale supporto dell’IA nella gestione dei rischi TIC.