1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 “Guida per l'attività di vigilanza” (la “Circolare”) la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri che orientano l'azione di supervisione cartolare per l'intero perimetro dei soggetti vigilati direttamente: banche LSI, SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento.

Questa Pill riguarda le SGR ‘mobiliari’, ossia i gestori diversi da quelli specializzati in OICR immobiliari: nella profilatura della Circolare (Tavola 1b) sono distinte le categorie “SGR – Gestione di OICR aperti” (con il sotto-livello Gestione di OICVM e Gestione di FIA aperti) e “SGR – Gestione di OICR di private equity/debt”, accanto alla categoria immobiliare. Pur con specificità di prodotto, queste SGR condividono l'impianto SREP comune a tutte le SGR [1].

Il recepimento della Direttiva (UE) 2024/927 (AIFMD II) – che modifica AIFMD e UCITS in materia, tra l'altro, di gestione del rischio di liquidità, strumenti di gestione della liquidità (LMT), delega e reporting di vigilanza – è particolarmente rilevante per i gestori di OICVM e FIA mobiliari, che gestiscono portafogli di strumenti finanziari potenzialmente più liquidi e soggetti a rischi di mercato.

Lo SREP si articola in un ciclo di valutazione periodico e in un'eventuale fase di correzione/follow-up; si conclude con un giudizio (da 1 – migliore – a 4 – peggiore) sulle aree di rischio e sui profili trasversali, base della successiva azione di vigilanza.

Proporzionalità
Le SGR, in quanto intermediari non bancari, non possono ricevere la classe 1 “Molto Alta”. La classe di priorità (Alta, Media, Bassa) deriva dalla combinazione di impatto (operatività e dimensione, es. masse gestite) e rischiosità (ultimo punteggio SREP), secondo la Tavola 4. Il ciclo è di norma annuale; i singoli profili possono essere aggiornati ogni due anni (priorità Media) o tre anni (priorità Bassa) [2].

La griglia valutativa SREP
Le SGR, non essendo soggette alla regolamentazione prudenziale “su tre pilastri” delle banche, sono valutate principalmente sui profili trasversali e sui rischi operativi:

Per le SGR la dimensione e la natura dei fondi gestiti (masse, liquidità degli attivi, leva, profilo di rischio dei portafogli) entra trasversalmente in tutti i profili: business, redditività e rischi operativi.

2. Sistemi di governo e di controllo

La governance è il profilo che valuta i rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo. L'analisi copre il governo societario, l'organizzazione, il Risk Appetite Framework, le politiche di remunerazione (e la loro effettiva applicazione) e le funzioni di controllo (internal audit, risk management, compliance, antiriciclaggio).

Le criticità ricorrenti trovano puntuale riscontro nel Final Report ESMA dell'11 maggio 2026 sulla Common Supervisory Action (CSA) 2025 condotta sulle funzioni di compliance e internal audit di GEFIA e società di gestione UCITS, cui la Banca d'Italia ha partecipato attivamente. ESMA ha rilevato: indipendenza insufficiente delle funzioni di compliance e internal audit; risorse inadeguate (in alcuni casi meno di 1 FTE dedicato); reporting al CdA carente per frequenza, completezza e follow-up; risk assessment di compliance non strutturato; eccessiva dipendenza da funzioni di gruppo che non colgono i rischi specifici del gestore locale [3]. La Banca d'Italia ha annunciato follow-up individuali e un report nazionale nel corso del 2026.

3. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1) e la sostenibilità del modello di business (Fase 2).

• Fase 1 (quantitativa): per le SGR l'analisi è sequenziale: dal risultato di gestione (lordo e netto) al vaglio di un indicatore di efficienza.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti, anche in presenza di andamenti sfavorevoli. Per le SGR rilevano in modo specifico le caratteristiche della strategia di offerta e l'andamento delle quote di mercato (la Circolare richiama espressamente le SGR per l'analisi quantitativa della Fase 2).

Per i gestori di OICVM e FIA mobiliari l'analisi tiene conto del posizionamento competitivo, della concentrazione su determinate asset class e strategie e della raccolta netta; per i gestori di private equity/debt rilevano la pipeline di investimento, la valorizzazione degli attivi illiquidi e l'orizzonte dei fondi.

4. Rischi operativi, ICT e DORA

I rischi operativi (anche reputazionali e di non conformità, con riguardo ai presidi AML/CFT) sono centrali per i gestori. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario; tra le aree di business che tipicamente generano rischi operativi la Circolare richiama espressamente l'asset management.

Rischi informatici e DORA.
Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, incluse le SGR, a valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP [4] [5]. Il perimetro DORA include: ICT Risk Management Framework, notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate).

Gestione del rischio di liquidità dei fondi (AIFMD II).
Per i gestori di OICVM e FIA aperti assume specifico rilievo il presidio del rischio di liquidità di portafoglio e l'adozione degli strumenti di gestione della liquidità (LMT) richiesti da AIFMD II, oltre alla coerenza tra profilo di liquidabilità degli attivi e politiche di rimborso.

5. Adeguatezza patrimoniale

Per le SGR, non soggette alla regolamentazione prudenziale su “tre pilastri”, l'adeguatezza patrimoniale è valutata in coerenza con i requisiti propri dei gestori, tenendo conto del capitale complessivo rispetto ai rischi rilevanti assunti e alle strategie perseguite, anche in chiave prospettica.

6. ESG e nuove richieste informative per il 2026

La Banca d'Italia ha comunicato per il 2026 iniziative di vigilanza trasversale che interessano i gestori:

• Survey ESG: per un campione di circa 50 GEFIA e gestori di OICVM è condotta una survey sull'allineamento alle aspettative dell'Autorità in materia di sostenibilità. Tra le buone prassi: task force multidisciplinari, aggiornamento delle policy di governance e controllo per integrare i rischi ESG, stress test di scenario climatico, database interni.
• CSA ESMA su risk management (2026): è attesa una Common Supervisory Action dell'ESMA sulle funzioni di risk management dei GEFIA, su un campione in corso di definizione. È ragionevole anticipare una self-assessment interna su struttura, indipendenza e risorse della funzione [6].

7. Guida operativa

Il procedimento SREP si alimenta in continuo con le segnalazioni di vigilanza, le relazioni sui fondi e sulle funzioni di controllo, i business plan e gli esiti dell'autovalutazione ICT già trasmessa. In questa prospettiva, le priorità interne sono:

7.1 Governance e funzioni di controllo

• Verificare l'indipendenza effettiva di compliance, internal audit e risk management dalle funzioni operative; dotarle di risorse adeguate (il Final Report ESMA segnala come criticità i casi con meno di 1 FTE).
• Strutturare il reporting al CdA e documentare formalmente il risk assessment di compliance, aggiornato almeno annualmente e non basato solo sulle metodologie di gruppo (che spesso sottostimano i rischi locali).
• Aggiornare i piani strategici e verificare l'effettiva applicazione delle politiche di remunerazione.

7.2 Modello di business e rischio di liquidità dei fondi

• Aggiornare l'analisi strategica e il business plan; predisporre il monitoraggio delle quote di mercato e della raccolta.
• Mappare il presidio del rischio di liquidità dei fondi aperti e l'adeguamento agli strumenti LMT richiesti da AIFMD II.

7.3 Rischi ICT e DORA

• Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 (già in possesso dell'Autorità) e documentare i rimedi.
• Tenere aggiornato il registro dei contratti con fornitori ICT e testare la notifica degli incidenti gravi via INFOSTAT; pianificare i TLPT per le entità identificate.

7.4 ESG

• Verificare lo stato di avanzamento del piano ESG in vista della survey 2026 e integrare gli obiettivi di finanza sostenibile nelle politiche di remunerazione (citato come buona prassi).

8. Documenti di riferimento

I documenti che ogni SGR ‘mobiliare’ dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Note

[1] Banca d'Italia, Circolare n. 269 del 7 maggio 2008, 17° aggiornamento (Modulo SREP, L1, Cap. 1 – Qualificazione degli intermediari, Tavola 1b: SGR – Gestione di OICR aperti, OICVM, FIA aperti, private equity/debt).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[2] Circolare 269, Modulo SREP, L1 – Proporzionalità e classi di priorità per gli intermediari non bancari (Tavola 4).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[3] ESMA, Final Report on the Common Supervisory Action on Compliance and Internal Audit Functions, 11 maggio 2026.
https://www.esma.europa.eu/sites/default/files/2026-05/ESMA34-1436284137-2305_Final_Report_on_the_Common_Supervisory_Action_on_Compliance_and_Internal_Audit_Functions.pdf

[4] Banca d'Italia, Comunicazione al mercato in materia di sicurezza ICT, 23 dicembre 2024.
https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2024.12.23-com-ict/index.html

[5] Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025.
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554

[6] ESMA, Launch of CSA on Compliance and Internal Audit Functions, 14 febbraio 2025.
https://www.esma.europa.eu/press-news/esma-news/esma-launches-common-supervisory-action-ncas-compliance-and-internal-audit