1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 "Guida per l'attività di vigilanza" (la "Circolare") la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri che orientano l'azione di supervisione cartolare. Tali contenuti riguardano l'intero perimetro dei soggetti vigilati direttamente dalla Banca d'Italia: banche e gruppi bancari less significant, SIM e gruppi di SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento. Non si tratta quindi di novità riservate a una sola categoria.

Per le SIM e i gruppi di SIM la disciplina prudenziale di riferimento è il framework IFD/IFR – Direttiva (UE) 2019/2034 e Regolamento (UE) 2019/2033 – che ha introdotto una tassonomia dei rischi e un processo di autovalutazione (ICARAP) propri delle imprese di investimento. Lo SREP è condotto in coerenza con le Joint EBA-ESMA Guidelines sullo SREP (EBA/GL/2022/09 – ESMA35-42-1470).

Lo SREP è finalizzato ad accertare che gli intermediari si dotino di presidi patrimoniali e organizzativi appropriati rispetto ai rischi assunti. Si articola in un ciclo di valutazione periodico e in un'eventuale fase di correzione/follow-up, e si conclude con un giudizio sulle aree di rischio e sui profili trasversali che confluisce nel punteggio complessivo, base della successiva azione di vigilanza.

Proporzionalità. Le SIM, in quanto intermediari non bancari (INB), non possono ricevere la classe di priorità 1 "Molto Alta". La classe di priorità (Alta, Media, Bassa) deriva dalla combinazione di impatto (criteri specifici basati su operatività e dimensione) e rischiosità (ultimo punteggio complessivo SREP disponibile), secondo la Tavola 4 della Circolare. Il ciclo di valutazione è di norma annuale; per proporzionalità i singoli profili possono essere aggiornati ogni due anni (priorità Media) o ogni tre anni (priorità Bassa).

2. La griglia valutativa SREP

Lo SREP si conclude con l'attribuzione di un giudizio da 1 (migliore) a 4 (peggiore). Per le SIM le aree di rischio includono la specifica tassonomia IFD/IFR dei rischi al capitale:

Per le SIM, i Gruppi di SIM e le succursali di imprese di investimento di paesi terzi la valutazione dei "rischi al capitale" sostituisce il tradizionale schema bancario: Risk-to-Client (RtC), Risk-to-Firm (RtF), Risk-to-Market (RtM) e Other Risks. Per le imprese di classe 3 (piccole e non interconnesse) lo schema si applica esclusivamente per la parte relativa agli Other Risks.

3. Sistemi di governo e di controllo

La governance è il profilo trasversale che valuta i rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo. L'analisi copre:

• il governo societario (assetti proprietari, organi di supervisione strategica, gestione e controllo) e l'organizzazione aziendale;
• il risk management framework e il Risk Appetite Framework (RAF);
• le politiche di remunerazione e la loro effettiva applicazione;
• le funzioni di controllo: internal audit, risk management, compliance e antiriciclaggio.

Le criticità ricorrenti sulle funzioni di controllo trovano riscontro nel Final Report ESMA dell'11 maggio 2026 sulla CSA 2025 (compliance e internal audit), cui la Banca d'Italia ha partecipato: indipendenza insufficiente, risorse inadeguate, reporting al CdA carente, risk assessment non strutturato, eccessiva dipendenza da funzioni di gruppo. Per le imprese di investimento la struttura dei controlli deve essere proporzionata alla complessità dei servizi prestati (negoziazione, esecuzione ordini, collocamento, gestione di portafogli, consulenza).

4. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1) e la sostenibilità del modello di business (Fase 2).

• Fase 1 (quantitativa): per le SIM, come per gli altri intermediari non bancari, l'analisi è sequenziale: parte dalla valutazione del risultato di gestione (lordo e netto) e si conclude con il vaglio di un indicatore di efficienza.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti sulle variabili organizzative, anche in presenza di andamenti sfavorevoli; rilevano la strategia di offerta e l'andamento delle quote di mercato, con attenzione all'ingresso in nuovi mercati e all'offerta di nuovi prodotti/servizi di investimento.

5. Rischi al capitale (IFD/IFR), liquidità e mercato

Il framework IFD/IFR ha introdotto per le imprese di investimento una tassonomia dei rischi al capitale distinta da quella bancaria:

• Risk-to-Client (RtC): rischi che l'attività dell'impresa può generare per i clienti (es. fondi e strumenti detenuti, gestione, esecuzione ordini).
• Risk-to-Firm (RtF): rischi per l'impresa stessa connessi alla propria operatività.
• Risk-to-Market (RtM): rischi che l'impresa può generare per il mercato e la controparte.
• Other Risks: categoria residuale; per le imprese di classe 3 (piccole e non interconnesse) è l'unico profilo di rischio al capitale analizzato.

Lo scopo è valutare l'esposizione a tali rischi e la capacità di governarli, gestirli e controllarli. Per le SIM l'analisi del rischio di mercato si basa sul rapporto tra requisiti per il rischio di mercato e fondi propri; il rischio di liquidità valuta la capacità di fronteggiare gli impegni di pagamento e l'equilibrio fonti-impieghi.

6. Rischi operativi, ICT e DORA

L'analisi valuta l'esposizione ai rischi operativi e ICT (anche esternalizzati) e la capacità di governarli. Concorrono i rischi reputazionali e di non conformità, con riguardo ai presidi AML/CFT. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario. Tra le aree di business che tipicamente generano rischi operativi rilevano i servizi di investimento.

Rischi informatici e DORA. Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, incluse le SIM, a valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP. Il perimetro DORA include: ICT Risk Management Framework, notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate).

7. Adeguatezza patrimoniale e P2R/P2G

Il grado di patrimonializzazione è valutato in due fasi: la copertura dei coefficienti imposti con la decisione sul capitale (OCR ratio e Target ratio) e il giudizio sull'adeguatezza del capitale complessivo rispetto a tutti i rischi rilevanti, a partire dall'autovalutazione ICARAP (che per le imprese di investimento integra ICAAP e ILAAP secondo IFD/IFR).

All'esito del ciclo, ove prevista, la decisione sul capitale fissa requisiti patrimoniali aggiuntivi vincolanti (P2R) ed eventuali target di capitale (P2G). Per le SIM i P2R e i target sono espressi in percentuale rispetto ai requisiti patrimoniali di Primo Pilastro (a differenza delle banche, dove sono riferiti agli RWA). I target di capitale sono di norma disposti in relazione a rischi che possono manifestarsi in condizioni di stress, emersi nell'ICARAP o dall'applicazione di proxy di vigilanza.

8. ESG e iniziative di vigilanza trasversale 2026

Le iniziative di vigilanza trasversale interessano anche le SIM:

• Integrazione dei fattori ESG: l'Autorità valuta l'integrazione dei rischi di sostenibilità nella governance, nel RAF e nelle politiche aziendali, anche per i servizi di investimento (es. preferenze di sostenibilità della clientela).
• CSA ESMA su risk management (2026): è attesa una Common Supervisory Action dell'ESMA sulle funzioni di risk management; perimetro e metodologia sono in via di finalizzazione. È ragionevole anticipare una self-assessment interna su struttura, indipendenza e risorse della funzione.

9. Guida operativa

Il procedimento SREP si alimenta in continuo con le segnalazioni di vigilanza, l'ICARAP, le relazioni delle funzioni di controllo e gli esiti dell'autovalutazione ICT già trasmessa. Azioni interne prioritarie per area:

9.1 Governance e funzioni di controllo
Verificare l'indipendenza effettiva di compliance, internal audit e risk management dalle funzioni operative (linee di riporto, accesso alle informazioni, conflitti nella remunerazione).
Dimensionare le risorse delle funzioni di controllo al profilo di rischio reale; il Final Report ESMA segnala come criticità i casi con meno di 1 FTE dedicato.
Strutturare il reporting al CdA e documentare formalmente il risk assessment di compliance, aggiornato almeno annualmente e non limitato a quello di gruppo.

9.2 Rischi al capitale e adeguatezza patrimoniale
Verificare la corretta classificazione IFD/IFR (in particolare la qualifica di impresa di classe 3 "piccola e non interconnessa") e la mappatura di RtC/RtF/RtM/Other Risks.
Allineare l'ICARAP alle attese: documentare la quantificazione dei rischi e la coerenza con il RAF; predisporre proiezioni anche in scenari di stress.
Monitorare i coefficienti patrimoniali rispetto ai requisiti di Primo Pilastro e agli eventuali P2R/P2G.

9.3 Rischi ICT e DORA
Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 (già in possesso dell'Autorità) e documentare i rimedi.
Tenere aggiornato il registro dei contratti con fornitori ICT e testare la notifica degli incidenti gravi via INFOSTAT; pianificare i TLPT per le entità identificate.

10. Documenti di riferimento

I documenti che ogni SIM dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti: