Le Linee Guida di Ivass per l’Outsourcing delle Attività
La Gestione dell’Outsourcing nel Settore Assicurativo: Le Nuove Indicazioni di Ivass
Il fenomeno dell’esternalizzazione delle funzioni aziendali è in forte crescita nel settore assicurativo. Le compagnie affidano sempre più frequentemente a fornitori esterni funzioni anche strategiche e delicate. Questo processo, sebbene vantaggioso, comporta rischi che devono essere gestiti con attenzione. Per questo, l’Ivass ha pubblicato l’11 marzo scorso una lettera al mercato, chiarendo le proprie aspettative in materia di outsourcing.
Le Aspettative di Ivass sull’Outsourcing
Un Quadro Non Vincolante, ma Preciso
La lettera non introduce obblighi normativi, ma definisce una serie di aspettative generali per una gestione corretta dell’outsourcing, con particolare attenzione alle funzioni essenziali o importanti. L’obiettivo è evitare che le compagnie diventino una “empty shell”, ovvero entità svuotate di risorse e competenze interne.
Ruolo dell’Organo Amministrativo
L’organo amministrativo deve:
- Approvare la politica di outsourcing,
- Monitorarne l’efficacia nel tempo,
- Valutare costantemente i rischi e il livello di dipendenza dai fornitori.
Questa responsabilità consente alle imprese di mantenere il controllo strategico sulle attività esternalizzate.
La Gestione dei Rischi da Esternalizzazione
Analisi Preventiva e Lock-in
La gestione dei rischi è un tema centrale nella comunicazione dell’Ivass. Le imprese devono valutare:
- Rischi operativi, reputazionali e legali,
- Rischi di concentrazione,
- Rischi connessi ai servizi ICT.
Un’attenzione particolare è rivolta al rischio di lock-in, ovvero la dipendenza critica da un singolo fornitore.
Service Level Agreement e KPI
Ivass invita a formalizzare nei contratti di outsourcing:
- Service Level Agreements (SLA),
- Indicatori di performance (KPI) chiari e misurabili.
Questi strumenti garantiscono il rispetto degli standard qualitativi e permettono interventi tempestivi in caso di disservizi.
ICT: Compliance e Allineamento Regolamentare
Adempimenti Previsti dal Regolamento Dora
Il settore ICT è tra i più sensibili e in rapida espansione. Ivass richiede l’allineamento al regolamento Dora (in vigore dal 17 gennaio 2025), con particolare attenzione a:
- Una strategia di gestione dei rischi informatici,
- Una policy per i servizi ICT esternalizzati legati a funzioni critiche,
- Un esame costante delle dipendenze da terze parti.
Ivass ha predisposto una sezione dedicata al Dora con documentazione e riferimenti normativi.
Comunicazioni Obbligatorie
Ivass chiarisce che devono essere considerate attività essenziali — e quindi soggette a comunicazione preventiva — le seguenti:
- Progettazione di prodotti e tariffe,
- Gestione degli investimenti,
- Liquidazione dei sinistri, anche tramite call center,
- Gestione dei reclami,
- Supporto contabile continuativo,
- Il processo ORSA e i servizi ICT critici.
Resta comunque responsabilità della compagnia definire il perimetro delle attività in base alle proprie specificità.
Proporzionalità e Obblighi Informativi
Sviluppi Rilevanti e Nuovi Fornitori
Ivass fornisce anche indicazioni su come identificare gli sviluppi rilevanti nelle esternalizzazioni esistenti (es. cambio di fornitore o deterioramento del servizio). Questi devono essere comunicati tempestivamente all’autorità, anche se non in via preventiva.
Principio di Proporzionalità
Un principio fondamentale è quello della proporzionalità: ogni compagnia deve applicare le raccomandazioni di Ivass in base a:
- Dimensione aziendale,
- Modello operativo,
- Grado di complessità delle attività.
L’autonomia decisionale è ammessa, purché coerente con le aspettative dell’istituto.
La lettera dell’Ivass rappresenta un passo importante verso una gestione più consapevole e responsabile dell’outsourcing nel settore assicurativo. Le aspettative sono rivolte a:
- Compagnie assicurative e riassicurative con sede in Italia,
- Sedi secondarie italiane di imprese estere,
- Società controllanti italiane (Usci), comprese quelle appartenenti a sottogruppi vigilati.
In caso di inadempienza, Ivass potrà adottare misure correttive nell’ambito delle sue competenze. Le imprese sono quindi invitate a rafforzare il proprio presidio interno, evitando un’eccessiva dipendenza da fornitori esterni e garantendo sempre una governance efficace.