Cosa deve contenere la relazione secondo il testo IVASS
La relazione deve trattare distintamente ciascuna delle aree indicate dall'Istituto:
- governance;
- igiene informatica;
- gestione delle risorse informatiche e della superficie d'esposizione;
- gestione delle vulnerabilità e degli aggiornamenti (patch);
- monitoraggio e misure di difesa;
- attività di test.
Per ognuna di esse, il documento deve rappresentare quattro elementi:
- il livello attuale di esposizione al rischio;
- l'adeguatezza dei presidi già in essere rispetto ai nuovi rischi AI;
- le principali carenze riscontrate;
- le priorità di intervento che ne derivano.
Descrivere la situazione e gli strumenti presenti in azienda non soddisfa i requisiti dettati dalla comunicazione, la relazione deve dimostrare che il CdA l'ha valutata criticamente e oggettivamente. Per l'area dell'igiene informatica, per esempio, non è sufficiente scrivere che esiste un sistema di gestione granulare degli accessi: va specificato quali sistemi copre, i test effettuati di recente e gli ambiti da ottimizzare e sviluppare. Lo stesso vale per l'inventario delle risorse informatiche, che deve indicare non solo quali asset sono censiti, ma anche l’esposizione diretta su internet o su infrastrutture cloud senza adeguata classificazione.
La relazione deve essere accompagnata da un piano di lavoro, proporzionato al profilo di rischio, alla complessità dei servizi e all'operatività dell'impresa: una piccola compagnia specializzata non deve replicare il piano di una holding, ma deve comunque coprire tutte le aree con interventi mirati e verificabili.
Chi firma la relazione IVASS? Il ruolo del CdA e del Collegio Sindacale
La relazione richiesta da IVASS nasce da una seduta congiunta tra Consiglio di Amministrazione e Collegio Sindacale, l'organo che vigila sul rispetto delle norme e dei principi di corretta amministrazione. In quella stessa seduta il CdA esamina formalmente la comunicazione IVASS e avvia i lavori di predisposizione della relazione: non è un passaggio delegabile a un ufficio IT, perché la responsabilità finale resta dell'organo amministrativo. Un messaggio chiaro da parte di IVASS: la responsabilità dei rischi e dei presidi IT deve rimanere in mano all’esecutivo.
Il CdA deve anche indicare all'Istituto un punto di responsabilità aziendale dedicato, per esempio la funzione di controllo dei rischi ICT di secondo livello. Questa funzione fa da ponte fra il Consiglio e le strutture operative che possiedono i dati tecnici: il dipartimento IT interno, eventuali fornitori esterni e la funzione di sicurezza informatica. Raccoglie le evidenze e le criticità rendendole comprensibili agli amministratori e segnala dove mancano informazioni.
Un elemento centrale riguarda le competenze: IVASS si aspetta che nell'organo amministrativo siano presenti componenti con adeguate conoscenze tecnologiche e Intelligenza Artificiale, e che l'impresa stanzi un budget per la loro formazione continua. Comprendere la differenza tra una vulnerabilità critica e una a basso impatto garantisce l’approvazione da parte di IVASS di un piano di lavoro solido e in linea con il profilo di rischio aziendale.
Se la relazione viene respinta, cosa succede?
Se IVASS riscontra carenze o profili di non conformità rispetto a Solvency II (il quadro europeo di regole prudenziali per le assicurazioni) o alle norme italiane su governance e rischi, non respinge semplicemente l'atto: chiede chiarimenti o la riscrittura di alcune sezioni, con un termine perentorio per l'invio della nuova versione. Il CdA va riconvocato con urgenza per approvare le integrazioni e inviare il documento corretto.
Le conseguenze dipendono dalla violazione e dalle valutazioni dell’IVASS. Per errori formali, è sufficiente inviare la versione corretta nei termini. Per omissioni gravi o violazioni delle regole di governance, IVASS può avviare un procedimento sanzionatorio, con sanzioni pecuniarie a carico della società e dei singoli consiglieri, o imporre misure correttive straordinarie, fino a un aumento di capitale o a un capital add-on, cioè una maggiorazione del capitale minimo richiesto.
Un richiamo formale pesa anche sulla reputazione: peggiora il giudizio di vigilanza e può rallentare l'approvazione del bilancio o di operazioni straordinarie. Conviene quindi concludere la relazione con anticipo, evitando i giorni precedenti al 31 dicembre 2026, e farsi affiancare da un partner qualificato che aiuti a individuare le lacune prima della presentazione del documento definitivo.
Come strutturare il piano di lavoro: azioni, tempi e investimenti
Il piano di lavoro che accompagna la relazione deve rispondere a quattro domande per ciascuna delle aree:
- Quali azioni si intende realizzare?
- In quali tempi?
- Con quali investimenti?
- Con quale modalità di verifica dell'avanzamento?
Una tabella strutturata per aree di intervento, aiuta sia la redazione, sia la lettura da parte di IVASS. Le azioni devono essere specifiche e misurabili. "Migliorare la gestione delle vulnerabilità" non basta: meglio "adottare uno strumento di scansione continua delle vulnerabilità su tutti i sistemi esposti a internet entro il secondo trimestre 2027, con priorità sulle criticità Critical e High". I tempi vanno scaglionati per priorità, non tutti nello stesso trimestre, perché un piano che concentra ogni intervento nei primi mesi del 2027 segnala scarsa pianificazione.
Gli investimenti includono i costi di tecnologia (licenze, strumenti di monitoraggio, servizi gestiti) e delle attività di formazione, compresa quella richiesta per gli amministratori.
Infine, il piano deve prevedere la modalità di verifica periodica dello stato di avanzamento, per esempio un aggiornamento trimestrale al CdA con indicatori quantitativi: numero di vulnerabilità critiche chiuse, percentuale di asset censiti nell'inventario, esiti dei test di resilienza operativa digitale. Senza questi indicatori, il piano resta una dichiarazione di intenti.
Il supporto del partner tecnologico in 3 fasi
Molte imprese assicurative, soprattutto quelle di dimensioni medio-piccole, non dispongono internamente di tutte le competenze necessarie per condurre la gap analysis richiesta dalla relazione IVASS, cioè l'analisi che confronta lo stato attuale dei presidi con quanto richiesto. Un partner IT esterno specializzato in cybersicurezza può accompagnare l'impresa in tre fasi distinte.
- Nella prima fase aiuta a fotografare lo stato attuale: effettua un assessment delle aree, individua gli asset esposti, verifica la copertura degli strumenti di monitoraggio e di gestione degli accessi già in uso.
- Nella seconda fase supporta la stesura del piano di lavoro, traducendo le carenze tecniche in azioni con tempi e costi realistici e aiuta a scegliere le soluzioni più adeguate al profilo di rischio dell'impresa, dagli strumenti di identity management ai servizi di monitoraggio gestito.
- Nella terza fase, una volta approvato il piano, può occuparsi dell'implementazione e del reporting periodico che il CdA deve presentare per dimostrare l'avanzamento.
Un partner esterno non sostituisce la responsabilità del Consiglio di Amministrazione, che resta titolare della relazione e del piano, ma gli fornisce le evidenze tecniche necessarie per assumere decisioni consapevoli.
Con la scadenza del 31 dicembre 2026 sempre più vicina, avviare un percorso strutturato per tempo è fondamentale per affrontare la richiesta IVASS non come un semplice adempimento, ma come un’occasione per rafforzare la sicurezza informatica e la resilienza operativa digitale. Presentare una relazione solida con un piano di lavoro lungimirante è il primo passo per migliorare la capacità di prevenire, rilevare e gestire gli incidenti della propria realtà assicurativa. Reti può affiancare la tua impresa in questo percorso: richiedi un assessment gratuito delle sei aree richieste da IVASS per valutare lo stato della tua impresa e individuare i prossimi step in vista della scadenza del 31 dicembre.
