CRR3, la gestione del rischio operativo passa dai controlli alla prevenzione

La consultazione EBA chiede a banche e intermediari presidi proporzionati, dati affidabili e responsabilità definite.

Nel quadro del regolamento (UE) n. 575/2013, modificato dal regolamento (UE) 2024/1623, il rischio operativo comprende vulnerabilità da governare nei processi quotidiani. Su questo terreno interviene la consultazione EBA/CP/2026/18, avviata dall'Autorità bancaria europea il 26 agosto 2026 e aperta fino al 31 dicembre: il progetto di norme tecniche di regolamentazione specifica il quadro richiesto dall'articolo 323 del CRR.

La proposta distingue tre componenti: assetti di governo, processo di gestione e sistema di valutazione del rischio operativo. Organo di gestione, alta direzione e funzione indipendente di controllo devono avere compiti riconoscibili. Politiche e procedure non possono limitarsi alla registrazione delle perdite già subite: devono consentire di cogliere incidenti potenziali, carenze nei controlli, esposizioni connesse alla tecnologia e dipendenze da terzi.

Per le banche, questo significa collegare tassonomie, dati, indicatori e analisi di scenario alle decisioni aziendali. I dati sugli eventi orientano le misure correttive. Reporting, convalida e revisione interna completano i presidi. La gestione del rischio diventa così un processo continuativo che combina osservazione dei fatti e valutazione delle esposizioni prospettiche.

Il progetto richiama il principio di proporzionalità. In particolare, distingue gli enti in relazione alla soglia di 750 milioni di euro dell'indicatore di attività, graduando la profondità dei dati e la frequenza di alcuni adempimenti. La proporzionalità non elimina la responsabilità di presidiare i rischi: ne calibra strumenti e intensità rispetto alla dimensione e alla complessità dell'ente.

Il rapporto con la disciplina della resilienza digitale e con il controllo delle terze parti richiede coerenza tra funzioni, senza sovrapporre meccanicamente obblighi diversi. La consultazione riguarda ancora una bozza, sulla quale gli interessati possono formulare osservazioni; gli standard non vanno presentati come definitivamente adottati.