Negli ultimi due anni il sistema di vigilanza sulla sicurezza informatica del settore bancario italiano ha subito una trasformazione profonda. L’entrata in vigore del regolamento europeo DORA (Digital Operational Resilience Act) ha segnato un cambio di paradigma nella gestione del rischio ICT, introducendo obblighi molto più stringenti in materia di governance tecnologica, resilienza operativa, gestione degli incidenti e controllo dei fornitori di servizi digitali. Al tempo stesso, la Banca Centrale Europea e la Banca d’Italia hanno intensificato le attività di supervisione, chiedendo agli istituti di credito piani specifici per contrastare minacce informatiche sempre più sofisticate, comprese quelle alimentate dall’intelligenza artificiale.

Sulla carta, il sistema appare oggi decisamente più robusto rispetto al passato. Le banche devono comunicare gli incidenti informatici più gravi, misurare periodicamente l’impatto economico degli eventi cyber e dimostrare di possedere procedure adeguate per garantire continuità operativa e resilienza delle infrastrutture. Un’evoluzione importante, destinata ad aumentare la trasparenza nei confronti delle autorità di vigilanza e a ridurre il rischio sistemico nel settore finanziario. Esiste però un elemento che continua a sfuggire a questa architettura regolatoria ed è il rapporto diretto tra il cliente e la banca quando si verifica una frode.

Il punto critico riguarda la totale separazione tra la vigilanza prudenziale e la tutela del singolo correntista, due percorsi che procedono parallelamente senza incontrarsi quasi mai. Da una parte esiste il controllo della BCE e della Banca d’Italia basato su dati aggregati, statistiche sugli incidenti, audit tecnologici e valutazioni sulla maturità dei sistemi di sicurezza. Queste informazioni confluiscono nei processi di supervisione riservati tra autorità e banca e servono a misurare la solidità dell’istituto sotto il profilo della resilienza digitale.

Dall’altra parte c’è il cliente che subisce una frode con carta di pagamento o sul proprio conto corrente. In questo caso, il percorso è completamente diverso e si basa su un iter simile: reclamo alla banca, eventuale ricorso all’Arbitro Bancario Finanziario (ABF) e, come ultima possibilità, un’azione davanti al giudice civile. Le due dimensioni rimangono sostanzialmente isolate.

Il risultato è una significativa asimmetria informativa. Se un cliente individua anomalie nei sistemi di autenticazione o procedure di sicurezza che sembrano non aver funzionato correttamente, queste informazioni restano circoscritte al singolo contenzioso. Anche quando dovessero emergere problemi ricorrenti, non esiste un meccanismo strutturato che trasformi tali elementi in indicatori utili per la vigilanza prudenziale sulle infrastrutture informatiche della banca.

Il regolamento DORA, pur rafforzando notevolmente i poteri delle autorità di controllo, non modifica questo aspetto. I dati raccolti dagli organismi di vigilanza rimangono infatti riservati e alimentano esclusivamente il dialogo tra supervisore e intermediario finanziario. Né il mercato né i consumatori possono accedere a queste informazioni, con la conseguenza che ci si basa quasi esclusivamente su quanto le stesse banche decidono di rendere pubblico attraverso i propri documenti finanziari.

banca-italia

In pratica, il regolamento migliora la capacità delle autorità di individuare eventuali criticità sistemiche, ma non offre nuovi strumenti per comprendere se una frode subita da un cliente rappresenti un episodio isolato, oppure il sintomo di una debolezza più ampia nei sistemi di sicurezza dell’istituto.

Anche il principale strumento di tutela del consumatore presenta limiti evidenti. Le decisioni dell’Arbitro Bancario Finanziario (ABF), infatti, non sono giuridicamente vincolanti. Se una banca decide di non conformarsi al pronunciamento dell’ABF, la conseguenza consiste essenzialmente nella pubblicazione del mancato adempimento sui siti istituzionali, con un impatto prevalentemente reputazionale.

Sebbene la maggior parte degli intermediari scelga di rispettare le decisioni dell’Arbitro, i dati mostrano che alcuni grandi gruppi bancari continuano a registrare un numero significativo di inadempimenti. In numerosi casi la motivazione è sempre il disaccordo con l’interpretazione dell’ABF sulle prove tecniche relative ai sistemi di autenticazione e ai log informatici. Questa separazione potrebbe assumere un’importanza ancora maggiore con l’arrivo dell’euro digitale. Il progetto promosso dalla Banca Centrale Europea prevede infatti che la nuova moneta digitale venga distribuita attraverso gli stessi prestatori di servizi di pagamento che oggi gestiscono conti correnti e carte.

In altre parole, mentre la moneta sarà emessa dalla BCE, l’esperienza concreta dell’utente continuerà a dipendere dalle banche e dagli altri operatori finanziari. Autenticazione, gestione degli accessi, prevenzione delle frodi e assistenza ai clienti rimarranno insomma affidate agli stessi soggetti che oggi amministrano i sistemi di pagamento elettronico tradizionali.

Se il modello di gestione delle contestazioni dovesse rimanere invariato, esiste il rischio che le criticità già osservate nei pagamenti digitali si trasferiscano anche sull’euro digitale. Un cittadino che dovesse incontrare difficoltà nel vedersi riconosciuto un rimborso potrebbe percepire come poco credibile la promessa di affidabilità associata alla nuova valuta elettronica della BCE. Il nodo centrale, quindi, riguarda anche la possibilità di trasformare l’esperienza dei singoli clienti in un indicatore utile per migliorare l’intero sistema di vigilanza. Oggi questo collegamento semplicemente non esiste, proprio perché le informazioni raccolte attraverso migliaia di ricorsi individuali non alimentano in maniera strutturata le attività di supervisione delle autorità.

Colmare questa distanza potrebbe rappresentare il passo successivo nell’evoluzione della resilienza digitale del settore finanziario. Non sarebbe necessariamente indispensabile introdurre nuove norme, ma potrebbe essere sufficiente creare un canale che permetta di aggregare in forma anonima le anomalie tecniche emerse nei procedimenti dell’ABF, trasformandole in indicatori di rischio da mettere a disposizione di BCE e Banca d’Italia. Solo in questo modo la sicurezza percepita dal cliente e quella monitorata dalle autorità smetterebbero di essere due realtà parallele, contribuendo a rafforzare la fiducia nei pagamenti digitali e, in prospettiva, anche nel futuro euro digitale.