Pubblicati i Regolamenti UE 2026/1167 e 2026/1166
Nuove regole europee per il rischio operativo bancario.
Nella Gazzetta ufficiale dell’Unione europea del 3 settembre 2026 sono stati pubblicati due provvedimenti destinati a incidere sulla misurazione, classificazione e rappresentazione prudenziale del rischio operativo degli enti creditizi.
Si tratta del Regolamento delegato (UE) 2026/1167, che integra il Regolamento (UE) n. 575/2013 – CRR definendo gli standard tecnici relativi ai requisiti per il rischio operativo, e del Regolamento di esecuzione (UE) 2026/1166, che stabilisce il collegamento tra le componenti del Business Indicator e le corrispondenti voci della reportistica prudenziale FINREP.
I due provvedimenti devono essere letti congiuntamente: il primo definisce le regole sostanziali per il calcolo del Business Indicator, la classificazione delle perdite operative e la gestione del loss data set; il secondo traduce tali componenti nei riferimenti della segnalazione finanziaria utilizzata dagli intermediari.
Il Business Indicator al centro del nuovo quadro sul rischio operativo
Il Business Indicator rappresenta una proxy basata sui dati di bilancio attraverso la quale viene misurata la dimensione dell’attività dell’ente ai fini del rischio operativo.
Il Regolamento delegato 2026/1167 specifica nel dettaglio quali elementi debbano essere inclusi nelle diverse componenti dell’indicatore e quali, invece, debbano essere esclusi.
La disciplina interessa quindi direttamente dati provenienti dai bilanci e dai sistemi contabili degli intermediari e interviene su componenti quali interessi, leasing, dividendi, commissioni, attività di negoziazione, banking book e altre componenti operative.
L’obiettivo è rafforzare l’uniformità nell’applicazione del quadro prudenziale, riducendo differenze interpretative e assicurando una maggiore coerenza tra misurazione del rischio operativo, dati finanziari e requisiti patrimoniali.
Fusioni, acquisizioni e cessioni: come cambia il Business Indicator
Una parte significativa della disciplina riguarda le operazioni di fusione, acquisizione e cessione.
Il regolamento stabilisce le modalità attraverso le quali devono essere adeguati i valori del Business Indicator quando cambiano dimensione o perimetro dell’ente.
In caso di acquisizione o fusione, le istituzioni devono in linea generale utilizzare i dati finanziari storici sottoposti a revisione relativi alle entità o attività acquisite.
Quando tali informazioni non siano disponibili o sufficientemente accurate, vengono previste metodologie alternative che consentono di stimare il contributo della componente acquisita al Business Indicator.
Anche le cessioni sono oggetto di specifica disciplina. L’esclusione dal Business Indicator degli importi riferibili ad attività dismesse richiede infatti una valutazione del profilo di rischio operativo residuo, tenendo conto anche di eventuali obblighi di indennizzo o responsabilità che possano permanere dopo la cessione.
Il regolamento collega quindi direttamente le operazioni straordinarie non soltanto alla dimensione economica dell’intermediario, ma anche alla persistenza del rischio operativo.
Perdite operative: una nuova tassonomia più articolata
Uno degli elementi più rilevanti del Regolamento 2026/1167 riguarda la classificazione delle perdite da rischio operativo.
Gli enti devono attribuire ciascun evento di perdita a una categoria di livello 1 e a una categoria maggiormente dettagliata di livello 2.
A ciascun evento devono inoltre essere attribuiti tutti gli attributi applicabili.
Il sistema mira a rendere i dati sulle perdite maggiormente omogenei e confrontabili, consentendo al tempo stesso alle autorità di vigilanza di comprendere con maggiore precisione la natura degli eventi che determinano un impatto economico sull’intermediario.
La disciplina precisa inoltre che le perdite integralmente recuperate entro cinque giorni lavorativi non devono essere incluse nel loss data set, mentre in caso di recupero parziale deve essere registrata la quota non recuperata entro tale periodo.
Sono espressamente considerate anche le perdite riconducibili a procedimenti giudiziari e accordi transattivi, compresi gli accordi conclusi fuori dal giudizio.
ICT e cyber risk entrano nella tassonomia delle perdite
Particolarmente significativa è l’attenzione dedicata al rischio ICT.
Il regolamento distingue tra ICT risk non collegato a eventi cyber e perdite derivanti da cyber-attacchi.
La classificazione dialoga direttamente con il Regolamento DORA, utilizzato anche come riferimento normativo per la definizione degli eventi cyber.
Un evento di perdita può quindi essere classificato non soltanto sulla base della causa operativa principale, ma anche attraverso attributi che ne rendono evidente la componente tecnologica.
Il tema assume particolare rilievo per le funzioni Risk Management, ICT Risk, Compliance e Internal Audit, chiamate sempre più spesso a lavorare su una rappresentazione integrata del rischio operativo e digitale.
Third-party risk e outsourcing: il collegamento con DORA
La nuova tassonomia contiene anche uno specifico attributo dedicato al third-party risk.
Rientrano in questa categoria le perdite connesse all’utilizzo di servizi forniti da soggetti terzi o dai loro subfornitori, comprese le attività oggetto di outsourcing.
Il regolamento richiama espressamente le criticità che possono derivare da una gestione inadeguata delle relazioni con i fornitori, dalla due diligence iniziale, dal monitoraggio nel continuo e dalla definizione di accordi contrattuali e service level agreement non adeguati.
Quando una perdita è collegata a un fornitore terzo di servizi ICT, all’evento possono essere attribuiti contemporaneamente sia l’attributo relativo all’ICT risk sia quello relativo al third-party risk.
Il collegamento con DORA è evidente.
La gestione del rischio derivante dai fornitori ICT non viene quindi considerata come un ambito separato dal rischio operativo complessivo, ma entra direttamente nella tassonomia prudenziale attraverso la quale vengono rappresentati gli eventi di perdita.
Business continuity tra gli attributi del rischio operativo
Anche la business continuity assume una rilevanza specifica.
La tassonomia considera le perdite collegate a carenze nei sistemi di continuità operativa, nei processi di event management e nei presidi di ripristino.
Il regolamento richiama, anche in questo caso, le disposizioni DORA in materia di ICT business continuity, response e recovery.
La convergenza tra discipline prudenziali e resilienza digitale diventa quindi sempre più evidente: la capacità dell’intermediario di assicurare continuità ai processi critici non è soltanto un requisito organizzativo, ma entra nella rappresentazione stessa del rischio operativo.
ESG risk e greenwashing entrano nel perimetro delle perdite operative
Tra gli aspetti forse più innovativi emerge anche il collegamento con i rischi ESG.
Il Regolamento 2026/1167 include infatti tra gli attributi delle perdite operative quelle riconducibili a rischi ambientali, fisici e di transizione, oltre ai rischi sociali e di governance.
Ma compare anche uno specifico riferimento al greenwashing risk.
Rientrano in tale ambito le perdite derivanti da dichiarazioni, comunicazioni, azioni o rappresentazioni sulla sostenibilità che non riflettano in maniera chiara e corretta il reale profilo di sostenibilità di un soggetto, prodotto finanziario o servizio.
Il greenwashing viene quindi ricondotto anche alla dimensione del rischio operativo, confermando la crescente integrazione tra sostenibilità, compliance, reputazione e presidio prudenziale.
Per le banche si tratta di un passaggio particolarmente significativo: le dichiarazioni ESG non rappresentano soltanto un tema di comunicazione o trasparenza, ma possono generare rischi economici che devono essere rilevati e classificati.
La soglia dei 750 milioni di euro
Il regolamento dedica inoltre particolare attenzione agli enti con Business Indicator pari o superiore a 750 milioni di euro.
Per tali intermediari il quadro CRR prevede, oltre al calcolo della componente basata sul Business Indicator, la raccolta dei dati relativi alle perdite operative e il calcolo della perdita operativa annuale.
La nuova disciplina introduce alcune ipotesi nelle quali tale calcolo può essere considerato eccessivamente oneroso, ad esempio quando la soglia dei 750 milioni venga superata temporaneamente o a seguito di operazioni di fusione o acquisizione.
Sono previste condizioni e limiti temporali specifici, soprattutto quando il Business Indicator rimane compreso tra 750 milioni e un miliardo di euro.
La finalità è contemperare l’esigenza di una misurazione accurata del rischio con un criterio di proporzionalità nell’applicazione degli obblighi.
Il Regolamento 2026/1166 e il collegamento con FINREP
Il secondo provvedimento pubblicato il 3 settembre, il Regolamento di esecuzione (UE) 2026/1166, completa il nuovo quadro sul piano della reportistica.
Il regolamento individua infatti le corrispondenze tra le singole voci utilizzate per il calcolo del Business Indicator e le celle dei modelli FINREP previsti dal Regolamento di esecuzione (UE) 2024/3117.
Sono interessati, tra gli altri, dati relativi a interessi, dividendi, commissioni, altre componenti operative, trading book e banking book.
Nella maggior parte dei casi esiste una corrispondenza diretta tra le componenti del Business Indicator e le celle FINREP; quando tale corrispondenza non è perfetta, le banche devono procedere agli opportuni adeguamenti affinché i valori utilizzati rispettino le definizioni previste dal Regolamento 2026/1167.
Si rafforza così la connessione tra reporting finanziario e framework prudenziale del rischio operativo.
Dati, controlli e funzioni aziendali coinvolte
L’impatto dei due nuovi regolamenti non riguarda quindi esclusivamente le funzioni specialistiche che si occupano di capitale regolamentare.
La corretta applicazione del nuovo quadro richiede un dialogo sempre più stretto tra Risk Management, Finance, Regulatory Reporting, Compliance, Internal Audit, ICT, Legal e funzioni che presidiano l’outsourcing e la gestione dei fornitori.
La qualità della classificazione degli eventi, la disponibilità dei dati storici, la riconciliazione con la reportistica finanziaria e l’identificazione degli attributi richiedono infatti processi aziendali coordinati.
La disciplina evidenzia inoltre quanto il rischio operativo sia ormai trasversale: cyber risk, fornitori terzi, continuità operativa, contenzioso, ESG e greenwashing sono ricondotti all’interno di un quadro comune di misurazione e supervisione.
Entrata in vigore
Entrambi i regolamenti prevedono l’entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
La pubblicazione del 3 settembre 2026 segna quindi un ulteriore passaggio nell’attuazione del nuovo quadro prudenziale europeo sul rischio operativo.
Per gli intermediari diventa centrale verificare la coerenza tra dati finanziari, tassonomie degli eventi di perdita, processi di reporting, presidi ICT, gestione dei fornitori e sistemi di controllo interno.
Il nuovo quadro conferma una direzione ormai consolidata della regolamentazione bancaria europea: il rischio operativo non può più essere osservato come una categoria isolata, ma deve essere letto attraverso l’integrazione tra capitale, dati, tecnologia, governance e compliance.
I nostri eventi formativi dedicati
L’evoluzione della disciplina sul rischio operativo bancario richiede un aggiornamento continuo delle competenze e un confronto sempre più stretto tra Risk Management, Compliance, Internal Audit, ICT, Regulatory Reporting e funzioni di controllo.
Paradigma dedica specifici percorsi formativi alle principali novità in materia di DORA, rischio operativo, resilienza digitale, outsourcing, ICT risk, governance e controlli interni, con l’obiettivo di supportare imprese e professionisti nell’interpretazione e nell’applicazione concreta del nuovo quadro regolamentare.
Scopri i prossimi eventi formativi e individua gli approfondimenti più coerenti con le esigenze della tua organizzazione.
Non puoi seguire la diretta streaming?
Iscrivendoti ai nostri eventi puoi assicurarti l’accesso alle registrazioni, fruire dei contenuti senza vincoli di orario e formulare ai docenti, anche in differita, quesiti e richieste di approfondimento.
