1. Premessa

A seguito del recepimento della Direttiva (UE) 2024/927 (AIFMD II), che ha modificato la Direttiva 2011/61/UE (AIFMD) e la Direttiva 2009/65/CE (UCITS) con riguardo, tra l'altro, alla gestione del rischio di liquidità e alla vigilanza da parte dei GEFIA, la Banca d'Italia ha aggiornato con il 17° aggiornamento del 10 marzo 2026 la Circolare n. 269/2008 "Guida per l'attività di vigilanza" (la "Circolare"). Tale aggiornamento ristruttura l'intera Guida su base modulare e introduce, tra l'altro, una classificazione delle SGR immobiliari come categoria omogenea distinta nell'ambito del processo SREP.

In questo contesto, la Banca d'Italia ha incontrato Assoimmobiliare l'11 maggio 2026 per illustrare i profili cui verrà dedicata maggiore attenzione nell'ambito del procedimento SREP sui gestori di fondi Real Estate: governance, modelli di business e rischi operativi.

Lo SREP (Supervisory Review and Evaluation Process) è finalizzato ad accertare che gli intermediari si dotino di presidi di natura patrimoniale e organizzativa appropriati rispetto ai rischi assunti, assicurando il complessivo equilibrio gestionale. La valutazione si sostanzia nell'attribuzione di un giudizio sulle aree di rischio e sui profili trasversali che confluiscono nel punteggio complessivo dell'intermediario, sulla cui base viene poi eseguita la successiva attività di vigilanza (richieste informative, interventi preventivi e/o correttivi e, in casi estremi, misure straordinarie).

Rilevante, per le SGR immobiliari, è il principio di proporzionalità: la Banca d'Italia classifica gli intermediari in categorie omogenee e attribuisce loro una classe di priorità in funzione di rischiosità e impatto. Le responsabilità di vigilanza sono ripartite tra Amministrazione Centrale e Filiali (decentramento).

2. La griglia valutativa SREP

Lo SREP si conclude con l'attribuzione di un giudizio da 1 (migliore) a 4 (peggiore) su ciascuna delle seguenti aree, che confluiscono nel giudizio complessivo:

Area di rischio / Profilo trasversale	Giudizio
Modello di business e redditività	1–4
Adeguatezza patrimoniale	1–4
Rischio operativo	1–4
Sistemi di governo e controllo	1–4
Giudizio complessivo	1–4

Per le SGR immobiliari la dimensione fondo entra trasversalmente a tutti i livelli: profili di business, redditività, rischi operativi. Un NAV negativo, una leva elevata o immobili di bassa qualità incidono direttamente sul giudizio del gestore.

3. SREP su gestori di FIA immobiliari — Governance

La governance è la prima delle tre aree di attenzione individuate dall'Autorità. Quattro sono gli indicatori principali su cui si basa la valutazione:

• Incisività del Collegio sindacale e struttura dei controlli adeguata alle specificità del business e del profilo di rischio aziendale. Criticità ricorrenti: scarsa proattività nel dialogo con le funzioni di controllo, dimensione contenuta delle funzioni di controllo — anche quando esternalizzate —, scarsa profondità di analisi e copertura parziale.
• Incisività dell'azione di supervisione sulla strategia da parte del CdA. Criticità ricorrenti: presidio insufficiente sulle dinamiche operative dei fondi, scarsa dialettica in merito alle diverse fasi del processo di investimento, piani strategici non aggiornati.
• Effettiva applicazione delle politiche di remunerazione. Particolare attenzione deve essere posta alla definizione dei criteri di individuazione del personale più rilevante, degli obiettivi (quantitativi e qualitativi) e dei meccanismi di misurazione della performance.
• Verifica dei requisiti degli esponenti aziendali. Casi rilevati: ritardi nelle comunicazioni all'Autorità e carenze nella verbalizzazione analitica delle verifiche effettuate.

Queste criticità trovano puntuale riscontro nel Final Report ESMA dell'11 maggio 2026 sulla Common Supervisory Action (CSA) condotta nel 2025 sulle funzioni di compliance e internal audit di GEFIA e società di gestione UCITS. Il Report — a cui Banca d'Italia ha partecipato attivamente — ha evidenziato in modo sistematico le stesse vulnerabilità. In particolare, ESMA ha rilevato:

• indipendenza insufficiente delle funzioni di compliance e internal audit dalle funzioni operative;
• risorse inadeguate (in alcuni casi meno di 1 FTE dedicato alla compliance);
• reporting al CdA e al senior management carente per frequenza, completezza e follow-up;
• risk assessment di compliance non strutturato o scarsamente documentato;
• eccessiva dipendenza da funzioni di gruppo che non colgono i rischi specifici del gestore locale.

Banca d'Italia ha annunciato follow-up individuali con i gestori sui temi emersi dalla CSA e la pubblicazione di un report nazionale nel corso del 2026.

4. SREP su gestori di FIA immobiliari — Modello di business

La Banca d'Italia registra una significativa coerenza nei modelli di business degli operatori. Il comparto è cresciuto a un CAGR dell'8% negli ultimi dieci anni, con un aumento dei gestori "significativi" prevalentemente indipendenti. Gli investimenti restano concentrati nel commercial real estate (circa il 90%) e nel Nord Italia (circa il 70%). Permane una quota non marginale di gestori in perdita, con prospettata uscita dal mercato o consolidamento.

L'analisi del modello di business si articola in due fasi:

• Fase qualitativa: modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti sulle variabili organizzative, anche in presenza di andamenti sfavorevoli.
• Fase quantitativa: andamento delle quote di mercato, in funzione delle dimensioni e della complessità del gestore.

Indicatore di attenzione prioritario: la leva finanziaria dei fondi. In media è su livelli stabili e contenuti, ma l'Autorità monitora con attenzione i fondi con utilizzo eccessivo della leva, rendimento negativo, bassa qualità degli immobili e del debito, NAV negativo (fondi "non performing").

Elemento emergente: l'importante quota di investitori esteri extra-UE, concentrati su fondi che investono su Milano, forma oggetto di analisi. Così come i potenziali impatti derivanti da eventi esogeni (urbanistica milanese, peggioramento del contesto macroeconomico), che costituiscono oggetto di interlocuzione bilaterale con i singoli gestori.

5. SREP su gestori di FIA immobiliari — Rischi operativi e ICT

Per quanto riguarda i rischi, la Banca d'Italia individua due categorie di attenzione: una relativa ai gestori e una relativa ai fondi.

5.1 Rischi a livello di gestore

Rischi informatici e DORA. Con la Comunicazione al mercato del 23 dicembre 2024, la Banca d'Italia ha richiamato tutti gli intermediari vigilati — incluse le SGR — alla necessità di valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. In particolare, è stata richiesta l'autovalutazione del framework di ICT risk management da trasmettere entro il 30 aprile 2025. Tale autovalutazione è già in possesso dell'Autorità e sarà utilizzata come base valutativa nello SREP.

Il perimetro DORA per le SGR include:

• implementazione di un framework di gestione del rischio ICT (ICT Risk Management Framework);
• classificazione e gestione degli incidenti ICT gravi con notifica attraverso INFOSTAT;
• mantenimento del registro dei contratti con fornitori ICT terzi;
• test periodici di resilienza operativa digitale (TLPT per le entità identificate).

Impatti da eventi esogeni. I potenziali impatti derivanti da eventi macroeconomici avversi e da specifiche dinamiche urbanistiche/regolamentari locali formano oggetto di analisi bilaterale tra Autorità e singoli gestori.

5.2 Rischi a livello di fondo

• Fondi non performing: monitoraggio rafforzato per i gestori coinvolti. I parametri di attenzione sono: rendimento negativo, utilizzo eccessivo della leva, bassa qualità degli immobili e del debito, NAV negativo.
• Valutazione degli immobili: le divergenze tra Paesi UE nelle metodologie di valutazione (come rilevato dalla BCE) sono oggetto di analisi. L'Autorità monitora la coerenza e la correttezza dei processi valutativi interni.

6. ESG e nuove richieste informative per il 2026

La Banca d'Italia ha comunicato per il 2026 due nuove iniziative di vigilanza trasversale:

• Survey ESG: per un campione di circa 50 GEFIA e gestori di OICVM, verrà condotta una survey sull'allineamento alle aspettative dell'Autorità in materia di sostenibilità. Oltre l'80% delle SGR del campione già monitorato sta rispettando i tempi di esecuzione dei piani ESG; le buone prassi emerse includono la costituzione di task force multidisciplinari, l'aggiornamento delle policy di governance e controllo per integrare i rischi ESG, l'introduzione di stress test di scenario climatico e la creazione di database interni con dati APE e ISPRA.
• CSA ESMA su funzioni di risk management: la Banca d'Italia ha annunciato, per il 2026, una Common Supervisory Action dell'ESMA sulle funzioni di risk management dei GEFIA, su un campione di SGR in corso di definizione. Il perimetro e la metodologia sono in via di finalizzazione. La precedente CSA 2025 su compliance e internal audit ha già concluso i lavori e ha prodotto il Final Report dell'11 maggio 2026, che costituisce ora un documento di riferimento obbligatorio per qualsiasi autovalutazione interna.

7. Guida operativa

Il procedimento SREP non inizia con l'avvio formale dell'interlocuzione di vigilanza. Inizia adesso, con le richieste informative ordinarie (segnalazioni di vigilanza, relazioni fondi, relazioni funzioni di controllo, business plan) e con gli esiti dell'autovalutazione ICT già trasmessa. Una SGR che si trovi impreparata al momento dell'avvio formale dello SREP ha già perso il momento più utile per intervenire.

Di seguito una guida per area con i documenti da esaminare e le azioni interne prioritarie.

7.1 Governance e funzioni di controllo

Il Final Report ESMA del maggio 2026 è la bussola più aggiornata disponibile sul mercato. Banca d'Italia lo ha co-prodotto e lo utilizzerà come parametro di valutazione. Prima di un'ispezione, ogni SGR immobiliare dovrebbe:

• Verificare l'indipendenza effettiva di compliance e internal audit dalle funzioni operative (non solo formale, ma sostanziale: linee di riporto, accesso alle informazioni, assenza di conflitti di interessi nella remunerazione).
• Dotare le funzioni di controllo di risorse adeguate: il Final Report ESMA segnala casi con meno di 1 FTE dedicato come criticità sistemica. Valutare se l'attuale staffing — anche in outsourcing — è dimensionato rispetto al profilo di rischio reale della SGR e dei fondi gestiti.
• Strutturare il reporting al CdA: almeno semestrale (meglio trimestrale), con un ordine del giorno fisso che includa i report delle funzioni di controllo, con evidenza di anomalie, follow-up e azioni correttive con scadenza.
• Documentare il risk assessment di compliance: deve essere un documento formale, aggiornato almeno annualmente, che copra business areas, tipologie di prodotto/servizio, canali distributivi e categorie di investitori. Non basta usare quello del gruppo di appartenenza: il Final Report ESMA avverte che le metodologie di gruppo spesso sottostimano i rischi locali.
• Verificare la documentazione del Collegio sindacale: verbali analitici delle verifiche effettuate sulle funzioni di controllo, evidenza di dialogo proattivo con compliance e internal audit.
• Aggiornare i piani strategici del CdA: la Banca d'Italia rileva come elemento negativo la presenza di piani strategici non aggiornati o la scarsa dialettica del CdA nelle diverse fasi del processo di investimento.
• Verificare le politiche di remunerazione: non solo la policy, ma l'applicazione concreta. Criteri di individuazione del personale più rilevante, obiettivi quantitativi e qualitativi, meccanismi di misurazione della performance: tutto deve essere documentato e verificabile.
• Controllare le comunicazioni sugli esponenti: nessun ritardo nelle comunicazioni all'Autorità; verbalizzazione analitica di tutte le verifiche sui requisiti.

7.2 Modello di business

• Aggiornare l'analisi strategica: la Banca d'Italia valuta la capacità del CdA di tradurre gli obiettivi in interventi organizzativi coerenti e di correggere rotta in presenza di andamenti sfavorevoli. Il documento chiave è il business plan trasmesso in sede di survey: deve essere aggiornato e realistico.
• Monitorare la leva finanziaria dei fondi: dotarsi di un cruscotto periodico che tracci l'evoluzione della leva per ciascun fondo gestito rispetto ai benchmark di mercato e alle soglie di attenzione interna.
• Mappare i fondi non performing: identificare proattivamente i fondi con rendimento negativo, NAV negativo o leva elevata e predisporre un'analisi scritta delle misure in corso o previste. L'Autorità potrebbe richiedere questa analisi in sede di interlocuzione bilaterale.
• Strutturare l'analisi degli investitori esteri: per i fondi con significativa presenza extra-UE, predisporre documentazione sul profilo degli investitori e sulle politiche di gestione del rischio connesse.

7.3 Rischi ICT e DORA

• Verificare i risultati dell'autovalutazione ICT trasmessa ad aprile 2025: questo documento è già in possesso della Banca d'Italia. Identificare eventuali gap non ancora colmati e documentare le azioni correttive avviate.
• Aggiornare il registro dei contratti con fornitori ICT: obbligo DORA direttamente applicabile. Deve essere completo, aggiornato e pronto per essere trasmesso su richiesta.
• Verificare le procedure di segnalazione degli incidenti ICT gravi: dal 17 gennaio 2025 la notifica avviene attraverso INFOSTAT. Assicurarsi che il processo interno sia testato e operativo.
• Pianificare i test di resilienza: per le entità identificate, i Threat-Led Penetration Test (TLPT) sono obbligatori con cadenza almeno triennale.

7.4 ESG

Verificare lo stato di avanzamento del piano ESG: la survey del 2026 riguarderà un campione di circa 50 GEFIA. Le buone prassi già riconosciute dall'Autorità includono: task force multidisciplinare, aggiornamento della policy di governance per coprire i rischi ESG sui nuovi prodotti, stress test di scenario climatico, database interno APE/ISPRA.

Integrare gli obiettivi di finanza sostenibile nelle politiche di remunerazione: la Banca d'Italia lo cita espressamente come buona prassi.

Prepararsi alla CSA ESMA su risk management: anche se il perimetro è in via di definizione, è ragionevole aspettarsi che la CSA valuti la struttura, l'indipendenza e le risorse della funzione di risk management. Anticipare una self-assessment interna.

8. Documenti di riferimento

I documenti che ogni SGR immobiliare deve avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Area	Azione interna	Documento di riferimento
SREP / Metodologia	Leggere integralmente il modulo SREP e il capitolo Asset Management	Circolare 269/2008 — 17° aggiornamento (10.03.2026)
Governance / Controlli	Autovalutare compliance e internal audit con le checklist del Final Report	ESMA — Final Report CSA Compliance & Internal Audit (11.05.2026)
Rischi ICT	Verificare gap rispetto all'autovalutazione ICT e aggiornare piano di rimedi	Comunicazione Banca d'Italia — Sicurezza ICT (23.12.2024)
Rischi ICT / DORA	Verificare compliance DORA: registro fornitori, notifiche incidenti, TLPT	Regolamento (UE) 2022/2554 — DORA
AIFMD II	Mappare le novità su LMT, delega, reporting Annex IV rispetto alla struttura operativa	Direttiva (UE) 2024/927 — AIFMD II
ESG	Verificare stato piano ESG e prepararsi alla survey 2026	Banca d'Italia — indice vigilanza ESG
Risk management	Anticipare self-assessment interna in vista della CSA ESMA 2026	ESMA — Launch CSA Compliance & Internal Audit (14.02.2025)

1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 “Guida per l'attività di vigilanza” (la “Circolare”) la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri dell'azione di supervisione cartolare per l'intero perimetro dei soggetti vigilati direttamente: banche LSI, SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento.

Per gli istituti di moneta elettronica (IMEL) e gli istituti di pagamento (IP) lo SREP è condotto secondo gli schemi propri degli intermediari non bancari. Come le SGR, IMEL e IP non sono soggetti alla regolamentazione prudenziale “su tre pilastri” prevista per banche, SIM e intermediari finanziari: l'analisi si concentra sui profili trasversali, sui rischi operativi/ICT e sui presidi a tutela dei fondi della clientela [1]. Nella profilatura (Tavola 1b) rientrano Money Transfer, altri servizi di pagamento e l'emissione di moneta elettronica.

Lo SREP si articola in un ciclo di valutazione periodico e in un'eventuale fase di correzione/follow-up; si conclude con un giudizio (da 1 a 4) sulle aree di rischio e sui profili trasversali, base della successiva azione di vigilanza.

Proporzionalità. IMEL e IP, in quanto intermediari non bancari, non possono ricevere la classe 1 “Molto Alta”. La classe di priorità (Alta, Media, Bassa) deriva dalla combinazione di impatto (operatività e dimensione, es. volumi di pagamento e moneta elettronica emessa) e rischiosità (ultimo punteggio SREP), secondo la Tavola 4. Il ciclo è di norma annuale; i profili possono essere aggiornati ogni due anni (priorità Media) o tre anni (priorità Bassa) [2].

La griglia valutativa SREP
Per IMEL e IP i rischi operativi, ICT e di non conformità sono centrali, accanto ai profili trasversali:

Area di rischio / Profilo trasversale	Giudizio
Modello di business e redditività	1–4
Sistemi di governo e controllo	1–4
Rischi operativi e ICT	1–4
Adeguatezza patrimoniale	1–4
Giudizio complessivo	1–4

Per IMEL e IP assume specifico rilievo, in via trasversale, la tutela dei fondi della clientela (segregazione e modalità di salvaguardia) e la continuità operativa dei servizi di pagamento.

2. Sistemi di governo e di controllo

La governance valuta i rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo: governo societario, organizzazione, Risk Appetite Framework, politiche di remunerazione (e loro effettiva applicazione) e funzioni di controllo (internal audit, risk management, compliance, antiriciclaggio).

Le criticità ricorrenti sulle funzioni di controllo – indipendenza insufficiente, risorse inadeguate, reporting al CdA carente, risk assessment non strutturato, eccessiva dipendenza da funzioni di gruppo – trovano riscontro nel Final Report ESMA dell'11 maggio 2026 sulla CSA 2025: pur riferito ai gestori, fornisce una checklist trasferibile a qualsiasi funzione di controllo, applicabile a IMEL e IP in chiave di proporzionalità [3]. Per questi intermediari assumono particolare rilievo i presidi AML/CFT e la sicurezza dei servizi di pagamento.

3. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1) e la sostenibilità del modello di business (Fase 2).

• Fase 1 (quantitativa): analisi sequenziale dal risultato di gestione (lordo e netto) al vaglio di un indicatore di efficienza.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti, anche in presenza di andamenti sfavorevoli; rilevano la strategia di offerta, l'andamento dei volumi e delle quote di mercato e la sostenibilità di modelli di business spesso caratterizzati da forte componente tecnologica e da dipendenza da partner/fornitori.

4. Rischi operativi, ICT e DORA

Per IMEL e IP i rischi operativi e ICT sono il profilo di rischio più rilevante. L'analisi valuta l'esposizione ai rischi operativi (anche reputazionali e di non conformità, con riguardo ai presidi AML/CFT) e ai rischi connessi alla gestione dei sistemi informativi, anche esternalizzati, e la capacità di governarli. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario; tra le aree di business che tipicamente generano rischi operativi la Circolare richiama i servizi di pagamento.

Rischi informatici e DORA. Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, inclusi IMEL e IP, a valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP [4] [5]. Il perimetro DORA include: ICT Risk Management Framework, notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate). Per i prestatori di servizi di pagamento rilevano inoltre i presidi di sicurezza richiesti dalla disciplina sui servizi di pagamento (autenticazione forte, gestione degli incidenti).

5. Adeguatezza patrimoniale e tutela dei fondi della clientela

Non essendo soggetti alla regolamentazione prudenziale su “tre pilastri”, IMEL e IP sono valutati secondo i requisiti patrimoniali loro propri (calcolati, a seconda dei casi, sulla base dei costi fissi, dei volumi di pagamento o della moneta elettronica in circolazione), tenendo conto dell'adeguatezza del capitale complessivo rispetto ai rischi assunti. È oggetto di specifica attenzione la corretta salvaguardia/segregazione dei fondi della clientela.

6. ESG e iniziative di vigilanza trasversale 2026

Le iniziative di vigilanza trasversale interessano anche IMEL e IP, in chiave proporzionale:

• Integrazione dei fattori ESG: valutazione dell'integrazione dei rischi di sostenibilità nella governance e nelle politiche aziendali.
• Buone prassi: aggiornamento delle policy di governance e controllo per integrare i rischi ESG.

7. Guida operativa

Il procedimento SREP si alimenta in continuo con le segnalazioni di vigilanza, le relazioni delle funzioni di controllo e gli esiti dell'autovalutazione ICT già effettuata.

Azioni interne prioritarie:

7.1 Governance, AML e tutela dei fondi

• Verificare l'indipendenza effettiva delle funzioni di controllo e dotarle di risorse adeguate; rafforzare i presidi AML/CFT.
• Verificare i presidi di salvaguardia/segregazione dei fondi della clientela e la relativa documentazione.

7.2 Rischi operativi, ICT e DORA

• Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 (già in possesso dell'Autorità) e documentare i rimedi.
• Tenere aggiornato il registro dei contratti con fornitori ICT, testare la notifica degli incidenti gravi via INFOSTAT e pianificare i TLPT per le entità identificate.
• Verificare i presidi di sicurezza dei servizi di pagamento (autenticazione forte, continuità operativa) e la gestione dei fornitori critici.

7.3 Modello di business e capitale

• Aggiornare l'analisi strategica e monitorare volumi e quote di mercato; verificare la copertura dei requisiti patrimoniali rispetto ai rischi assunti.

8. Documenti di riferimento

I documenti che ogni IMEL e Istituto di pagamento dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Area	Azione interna	Documento di riferimento
SREP / Metodologia	Leggere il Modulo SREP (L1) e gli schemi di analisi per gli intermediari non bancari	Circolare 269/2008, 17° aggiornamento
Governance / Controlli	Leggere il Modulo SREP (L1) e gli schemi di analisi per gli intermediari non bancari	ESMA, Final Report CSA Compliance & Internal Audit (11.05.2026)
Rischi ICT	Verificare i gap rispetto all'autovalutazione ICT e aggiornare il piano di rimedi	Comunicazione Banca d'Italia, Sicurezza ICT (23.12.2024)
Rischi ICT / DORA	Verificare compliance DORA: registro fornitori, notifiche incidenti, TLPT	Regolamento (UE) 2022/2554 (DORA)
Servizi di pagamento	Mappare i presidi di sicurezza, autenticazione forte e tutela dei fondi	Direttiva (UE) 2015/2366 (PSD2)

Note

[1] Banca d'Italia, Circolare n. 269 del 7 maggio 2008, 17° aggiornamento (Modulo SREP, L1, Cap. 1 – Ambito di applicazione; gli IMEL e gli Istituti di pagamento non sono soggetti a regolamentazione prudenziale “su tre pilastri”).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[2] Circolare 269, Modulo SREP, L1 – Proporzionalità e classi di priorità per gli intermediari non bancari (Tavola 4).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[3] ESMA, Final Report on the Common Supervisory Action on Compliance and Internal Audit Functions, 11 maggio 2026.
https://www.esma.europa.eu/sites/default/files/2026-05/ESMA34-1436284137-2305_Final_Report_on_the_Common_Supervisory_Action_on_Compliance_and_Internal_Audit_Functions.pdf

[4] Banca d'Italia, Comunicazione al mercato in materia di sicurezza ICT, 23 dicembre 2024.
https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2024.12.23-com-ict/index.html

[5] Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025.
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554

1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 “Guida per l'attività di vigilanza” (la “Circolare”) la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri che orientano l'azione di supervisione cartolare. Tali contenuti non riguardano una singola categoria di intermediari, ma l'intero perimetro dei soggetti vigilati direttamente dalla Banca d'Italia: banche e gruppi bancari less significant (LSI), SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento.

Per le banche LSI – che restano sottoposte alla vigilanza diretta della Banca d'Italia, mentre le banche significative (SI) sono vigilate dalla BCE tramite i Joint Supervisory Team – lo SREP rappresenta il fulcro del processo di vigilanza prudenziale. La Guida disciplina lo SREP per tutte le tipologie di intermediari diversi dalle SI [1].

Lo SREP (Supervisory Review and Evaluation Process) è finalizzato ad accertare che gli intermediari si dotino di presidi di natura patrimoniale e organizzativa appropriati rispetto ai rischi assunti, assicurando il complessivo equilibrio gestionale. Il processo è condotto in linea con le Linee Guida EBA sullo SREP (EBA/GL/2022/03) e si articola in due fasi: un “ciclo di valutazione” periodico e un'eventuale fase di “correzione/follow-up”. L'esito è un giudizio sulle aree di rischio e sui profili trasversali che confluisce nel punteggio complessivo, sulla cui base è definita la successiva azione di vigilanza (richieste informative, interventi correttivi, decisione sul capitale, misure di intervento precoce).

Rilevante è il principio di proporzionalità: le banche LSI sono ripartite, in coerenza con la metodologia SSM e il CRR, in tre categorie – High Impact (dimensioni e business model), Small-non-complex institution (ridotta dimensione, complessità e rischiosità) e Altri intermediari (incluse le banche High Risk). A ciascuna categoria corrisponde una classe di priorità che gradua intensità, frequenza e ampiezza dell'azione di vigilanza. Le LSI individuate come High Impact sono valutate con le metodologie SSM (LSI SREP Methodology); gli schemi della 269 servono per approfondimenti ed eventuali modifiche dei punteggi [2].

La griglia valutativa SREP e le classi di priorità
Lo SREP si conclude con l'attribuzione di un giudizio da 1 (migliore) a 4 (peggiore) su ciascuna area di rischio e profilo trasversale, che confluisce nel giudizio complessivo:

Area di rischio / Profilo trasversale	Giudizio
Modello di business e redditività	1–4
Sistemi di governo e controllo	1–4
Rischio di credito e di controparte	1–4
Rischi di mercato	1–4
Rischio di tasso d'interesse e CSRBB	1–4
Rischi operativi e ICT	1–4
Adeguatezza patrimoniale	1–4
Rischio di liquidità	1–4
Giudizio complessivo	1–4

La classe di priorità delle banche LSI segue la Tavola 3 della Circolare: 1. Molto Alta – eventuali LSI individuate come O-SII; 2. Alta – High Impact LSI; 3. Media – Altri intermediari LSI (incluse le High Risk); 4. Bassa – Small-non-complex LSI. Il processo di attribuzione delle High Impact è annuale, quello delle High Risk trimestrale.

2. Sistemi di governo e di controllo

La governance è il primo profilo trasversale e ha per oggetto la valutazione dei rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo. L'analisi copre:

• il sistema di governo societario: assetti proprietari, modello di amministrazione e controllo (organi di supervisione strategica, gestione e controllo);
• l'organizzazione aziendale: macrostruttura, sistemi di programmazione e controllo direzionale (inclusa, ove rilevante, la pianificazione del risanamento), sistemi informatici e tecnologici;
• il risk management framework, in particolare il Risk Appetite Framework (RAF);
• le politiche di remunerazione adottate e la loro effettiva applicazione;
• il sistema di risk data aggregation e di rendicontazione dei rischi e la diffusione della cultura del rischio;
• le funzioni di controllo: internal audit, risk management, conformità (compliance) e antiriciclaggio (AML).

Il giudizio si fonda su una valutazione sintetica e ponderata del livello di rischio complessivo. Le criticità ricorrenti rilevate dall'Autorità in materia di funzioni di controllo trovano riscontro nel Final Report ESMA dell'11 maggio 2026 sulla Common Supervisory Action (CSA) 2025 su compliance e internal audit, cui la Banca d'Italia ha partecipato: indipendenza insufficiente delle funzioni di controllo, risorse inadeguate, reporting al CdA carente, risk assessment non strutturato, eccessiva dipendenza da funzioni di gruppo [3].

3. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1 – viability) e la sostenibilità del modello di business (Fase 2 – sustainability).

• Fase 1 (quantitativa): per le banche la capacità di reddito è analizzata tramite quattro indicatori che misurano la redditività complessiva, la capacità di generare ricavi caratteristici, il grado di efficienza e il costo del rischio di credito.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti sulle variabili organizzative, anche in presenza di andamenti sfavorevoli; per le banche medio-grandi rilevano le caratteristiche della strategia di offerta e l'andamento delle quote di mercato, con attenzione all'ingresso in nuovi mercati o all'offerta di nuovi prodotti.

Il punteggio di profilo integra la valutazione della redditività (Fase 1) con quella del modello di business (Fase 2). La Fase 2 tiene conto anche dei presidi a fini AML/CFT.

4. Aree di rischio tecniche: credito, mercato, tasso, liquidità

4.1 Rischio di credito e di controparte
L'analisi misura la qualità del credito, il livello di copertura e la concentrazione del portafoglio prestiti, oltre ai presidi organizzativi. Per le banche la qualità creditizia e il coverage sono esaminati sia sulla componente non-performing (stock, tasso di generazione e coverage degli NPL) sia su quella performing (stock e coverage dei crediti in stage 2). La concentrazione è guidata dai criteri delle “grandi esposizioni”, con analisi per affidato e per settore di attività economica.

4.2 Rischi di mercato
Per le banche i rischi da negoziazione si misurano ponderando equamente tre indicatori complementari; la fase di approfondimento quantitativo ha per oggetto l'operatività in titoli e derivati e le prove di stress.

4.3 Rischio di tasso d'interesse (IRRBB) e CSRBB
L'apprezzamento dell'IRRBB si basa su indicatori dell'esposizione nella duplice prospettiva del valore economico e del margine di interesse, secondo gli shock regolamentari, confrontati con un sistema di soglie che tiene conto dei limiti regolamentari (Supervisory Outlier Test, SOT). Il rischio derivante da variazioni dei differenziali creditizi (CSRBB), se materiale, è incluso nella valutazione.

4.4 Rischio di liquidità
Si valuta la capacità di fronteggiare gli impegni di pagamento nel breve/medio termine e l'equilibrio fonti-impieghi nel medio/lungo periodo: concentrazione delle fonti, qualità delle attività prontamente liquidabili, incidenza del finanziamento unsecured, presidi AML/CFT.

5. Rischi operativi, ICT e DORA

L'analisi valuta l'esposizione ai rischi operativi e ai rischi connessi alla gestione dei sistemi informativi (ICT), anche esternalizzati, oltre alla capacità di governarli. Concorrono alla valutazione i rischi reputazionali e il rischio di non conformità, con particolare riguardo ai presidi AML/CFT. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario.

Rischi informatici e DORA. Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, incluse le banche, alla necessità di valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP [4] [5].
Il perimetro DORA include: ICT Risk Management Framework, classificazione e notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate).

6. Adeguatezza patrimoniale, P2R/P2G e leva
Il grado di patrimonializzazione è valutato in due fasi: la copertura dei coefficienti imposti con la decisione sul capitale (OCR ratio comprensivo delle riserve e Target ratio) e il giudizio sull'adeguatezza del capitale complessivo rispetto a tutti i rischi rilevanti, anche prospettici, a partire dall'autovalutazione ICAAP/ILAAP.

All'esito del ciclo viene assunta, ove prevista, la decisione sul capitale: requisiti patrimoniali aggiuntivi vincolanti (P2R), espressi in percentuale sugli RWA di Primo Pilastro, ed eventuali target di capitale (P2G). I P2R sono disposti per coprire rischi non coperti dal Primo Pilastro emersi nell'ICAAP, rilevanti carenze nei sistemi di governo e gestione dei rischi, prolungato disallineamento dai target, carenze nei sistemi interni di misurazione. In presenza di rischio di leva finanziaria eccessiva può essere richiesto capitale addizionale anche rispetto alle metriche di Leverage Ratio.

7. ESG e iniziative di vigilanza trasversale 2026

La pubblicazione dei criteri SREP si accompagna a iniziative di vigilanza trasversale che interessano tutti gli intermediari, banche LSI incluse:

• Integrazione dei fattori ESG: l'Autorità valuta l'integrazione dei rischi climatici e ambientali nella governance, nel RAF, nel risk management e nelle politiche di remunerazione, in coerenza con le aspettative di vigilanza in materia di sostenibilità.
• Esercizi e stress test di scenario climatico: l'inclusione dei rischi ESG negli stress test e nei processi interni è ormai parametro di valutazione.

8. Guida operativa

Il procedimento SREP si alimenta in continuo con le segnalazioni di vigilanza, l'ICAAP/ILAAP, le relazioni delle funzioni di controllo e gli esiti dell'autovalutazione ICT già trasmessa. Di seguito le azioni interne prioritarie per area.

8.1 Governance e funzioni di controllo

• Verificare l'indipendenza effettiva (non solo formale) di compliance, internal audit e risk management: linee di riporto, accesso alle informazioni, assenza di conflitti nella remunerazione.
• Dotare le funzioni di controllo di risorse adeguate al profilo di rischio reale; il Final Report ESMA segnala come criticità sistemica i casi con meno di 1 FTE dedicato.
• Strutturare il reporting al CdA (almeno semestrale, meglio trimestrale) con ordine del giorno fisso, evidenza di anomalie, follow-up e azioni correttive con scadenza.
• Documentare formalmente il risk assessment di compliance, aggiornato almeno annualmente; non basta quello del gruppo, che spesso sottostima i rischi locali.
• Aggiornare i piani strategici e verificare l'effettiva applicazione delle politiche di remunerazione (criteri di individuazione del personale più rilevante, obiettivi, misurazione della performance).

2 Rischi tecnici e adeguatezza patrimoniale

• Allineare ICAAP/ILAAP alle attese: documentare la quantificazione dei rischi di Secondo Pilastro e la coerenza con il RAF e con i risultati degli stress test.
• Predisporre un cruscotto sulla qualità del credito (NPL e stage 2), sulla concentrazione (grandi esposizioni) e sull'IRRBB rispetto alle soglie SOT.
• Monitorare i coefficienti OCR e Target e il Leverage Ratio, anticipando l'impatto di scenari avversi.

8.3 Rischi ICT e DORA

• Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 (già in possesso dell'Autorità) e documentare le azioni correttive.
• Tenere aggiornato il registro dei contratti con fornitori ICT e testare le procedure di notifica degli incidenti gravi via INFOSTAT.
• Pianificare i test di resilienza (TLPT) per le entità identificate.

9. Documenti di riferimento

I documenti che ogni banca LSI dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Area	Azione interna	Documento di riferimento
SREP / Metodologia	Leggere il Modulo SREP (L1) e gli schemi di analisi per le banche	Circolare 269/2008, 17° aggiornamento
SREP / EBA	Allineare il processo alle linee guida EBA sullo SREP	EBA Guidelines on SREP (EBA/GL/2022/03)
Governance / Controlli	Autovalutare compliance e internal audit con le checklist del Final Report	ESMA, Final Report CSA Compliance & Internal Audit (11.05.2026)
Rischi ICT	Verificare i gap rispetto all'autovalutazione ICT e aggiornare il piano di rimedi	Comunicazione Banca d'Italia, Sicurezza ICT (23.12.2024)
Rischi ICT / DORA	Verificare compliance DORA: registro fornitori, notifiche incidenti, TLPT	Regolamento (UE) 2022/2554 (DORA)
Capitale	Verificare ICAAP/ILAAP e la coerenza con P2R/P2G	CRR / CRD (quadro prudenziale bancario)

Note

[1] Banca d'Italia, Circolare n. 269 del 7 maggio 2008, Guida per l'attività di vigilanza, 17° aggiornamento (Modulo SREP, L1, Cap. 1 – Ambito di applicazione).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[2] Circolare 269, Modulo SREP, L1 – Qualificazione degli intermediari, proporzionalità e classi di priorità (Tavola 3).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[3] ESMA, Final Report on the Common Supervisory Action on Compliance and Internal Audit Functions, 11 maggio 2026.
https://www.esma.europa.eu/sites/default/files/2026-05/ESMA34-1436284137-2305_Final_Report_on_the_Common_Supervisory_Action_on_Compliance_and_Internal_Audit_Functions.pdf

[4] Banca d'Italia, Comunicazione al mercato in materia di sicurezza ICT, 23 dicembre 2024.
https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2024.12.23-com-ict/index.html

[5] Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025.
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554

1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 “Guida per l'attività di vigilanza” (la “Circolare”) la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri che orientano l'azione di supervisione cartolare per l'intero perimetro dei soggetti vigilati direttamente: banche LSI, SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento.

Questa Pill riguarda le SGR ‘mobiliari’, ossia i gestori diversi da quelli specializzati in OICR immobiliari: nella profilatura della Circolare (Tavola 1b) sono distinte le categorie “SGR – Gestione di OICR aperti” (con il sotto-livello Gestione di OICVM e Gestione di FIA aperti) e “SGR – Gestione di OICR di private equity/debt”, accanto alla categoria immobiliare. Pur con specificità di prodotto, queste SGR condividono l'impianto SREP comune a tutte le SGR [1].

Il recepimento della Direttiva (UE) 2024/927 (AIFMD II) – che modifica AIFMD e UCITS in materia, tra l'altro, di gestione del rischio di liquidità, strumenti di gestione della liquidità (LMT), delega e reporting di vigilanza – è particolarmente rilevante per i gestori di OICVM e FIA mobiliari, che gestiscono portafogli di strumenti finanziari potenzialmente più liquidi e soggetti a rischi di mercato.

Lo SREP si articola in un ciclo di valutazione periodico e in un'eventuale fase di correzione/follow-up; si conclude con un giudizio (da 1 – migliore – a 4 – peggiore) sulle aree di rischio e sui profili trasversali, base della successiva azione di vigilanza.

Proporzionalità
Le SGR, in quanto intermediari non bancari, non possono ricevere la classe 1 “Molto Alta”. La classe di priorità (Alta, Media, Bassa) deriva dalla combinazione di impatto (operatività e dimensione, es. masse gestite) e rischiosità (ultimo punteggio SREP), secondo la Tavola 4. Il ciclo è di norma annuale; i singoli profili possono essere aggiornati ogni due anni (priorità Media) o tre anni (priorità Bassa) [2].

La griglia valutativa SREP
Le SGR, non essendo soggette alla regolamentazione prudenziale “su tre pilastri” delle banche, sono valutate principalmente sui profili trasversali e sui rischi operativi:

Area di rischio / Profilo trasversale	Giudizio
Modello di business e redditività	1–4
Adeguatezza patrimoniale	1–4
Rischio operativo (e ICT)	1–4
Sistemi di governo e controllo	1–4
Giudizio complessivo	1–4

Per le SGR la dimensione e la natura dei fondi gestiti (masse, liquidità degli attivi, leva, profilo di rischio dei portafogli) entra trasversalmente in tutti i profili: business, redditività e rischi operativi.

2. Sistemi di governo e di controllo

La governance è il profilo che valuta i rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo. L'analisi copre il governo societario, l'organizzazione, il Risk Appetite Framework, le politiche di remunerazione (e la loro effettiva applicazione) e le funzioni di controllo (internal audit, risk management, compliance, antiriciclaggio).

Le criticità ricorrenti trovano puntuale riscontro nel Final Report ESMA dell'11 maggio 2026 sulla Common Supervisory Action (CSA) 2025 condotta sulle funzioni di compliance e internal audit di GEFIA e società di gestione UCITS, cui la Banca d'Italia ha partecipato attivamente. ESMA ha rilevato: indipendenza insufficiente delle funzioni di compliance e internal audit; risorse inadeguate (in alcuni casi meno di 1 FTE dedicato); reporting al CdA carente per frequenza, completezza e follow-up; risk assessment di compliance non strutturato; eccessiva dipendenza da funzioni di gruppo che non colgono i rischi specifici del gestore locale [3]. La Banca d'Italia ha annunciato follow-up individuali e un report nazionale nel corso del 2026.

3. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1) e la sostenibilità del modello di business (Fase 2).

• Fase 1 (quantitativa): per le SGR l'analisi è sequenziale: dal risultato di gestione (lordo e netto) al vaglio di un indicatore di efficienza.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti, anche in presenza di andamenti sfavorevoli. Per le SGR rilevano in modo specifico le caratteristiche della strategia di offerta e l'andamento delle quote di mercato (la Circolare richiama espressamente le SGR per l'analisi quantitativa della Fase 2).

Per i gestori di OICVM e FIA mobiliari l'analisi tiene conto del posizionamento competitivo, della concentrazione su determinate asset class e strategie e della raccolta netta; per i gestori di private equity/debt rilevano la pipeline di investimento, la valorizzazione degli attivi illiquidi e l'orizzonte dei fondi.

4. Rischi operativi, ICT e DORA

I rischi operativi (anche reputazionali e di non conformità, con riguardo ai presidi AML/CFT) sono centrali per i gestori. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario; tra le aree di business che tipicamente generano rischi operativi la Circolare richiama espressamente l'asset management.

Rischi informatici e DORA.
Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, incluse le SGR, a valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP [4] [5]. Il perimetro DORA include: ICT Risk Management Framework, notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate).

Gestione del rischio di liquidità dei fondi (AIFMD II).
Per i gestori di OICVM e FIA aperti assume specifico rilievo il presidio del rischio di liquidità di portafoglio e l'adozione degli strumenti di gestione della liquidità (LMT) richiesti da AIFMD II, oltre alla coerenza tra profilo di liquidabilità degli attivi e politiche di rimborso.

5. Adeguatezza patrimoniale

Per le SGR, non soggette alla regolamentazione prudenziale su “tre pilastri”, l'adeguatezza patrimoniale è valutata in coerenza con i requisiti propri dei gestori, tenendo conto del capitale complessivo rispetto ai rischi rilevanti assunti e alle strategie perseguite, anche in chiave prospettica.

6. ESG e nuove richieste informative per il 2026

La Banca d'Italia ha comunicato per il 2026 iniziative di vigilanza trasversale che interessano i gestori:

• Survey ESG: per un campione di circa 50 GEFIA e gestori di OICVM è condotta una survey sull'allineamento alle aspettative dell'Autorità in materia di sostenibilità. Tra le buone prassi: task force multidisciplinari, aggiornamento delle policy di governance e controllo per integrare i rischi ESG, stress test di scenario climatico, database interni.
• CSA ESMA su risk management (2026): è attesa una Common Supervisory Action dell'ESMA sulle funzioni di risk management dei GEFIA, su un campione in corso di definizione. È ragionevole anticipare una self-assessment interna su struttura, indipendenza e risorse della funzione [6].

7. Guida operativa

Il procedimento SREP si alimenta in continuo con le segnalazioni di vigilanza, le relazioni sui fondi e sulle funzioni di controllo, i business plan e gli esiti dell'autovalutazione ICT già trasmessa. In questa prospettiva, le priorità interne sono:

7.1 Governance e funzioni di controllo

• Verificare l'indipendenza effettiva di compliance, internal audit e risk management dalle funzioni operative; dotarle di risorse adeguate (il Final Report ESMA segnala come criticità i casi con meno di 1 FTE).
• Strutturare il reporting al CdA e documentare formalmente il risk assessment di compliance, aggiornato almeno annualmente e non basato solo sulle metodologie di gruppo (che spesso sottostimano i rischi locali).
• Aggiornare i piani strategici e verificare l'effettiva applicazione delle politiche di remunerazione.

7.2 Modello di business e rischio di liquidità dei fondi

• Aggiornare l'analisi strategica e il business plan; predisporre il monitoraggio delle quote di mercato e della raccolta.
• Mappare il presidio del rischio di liquidità dei fondi aperti e l'adeguamento agli strumenti LMT richiesti da AIFMD II.

7.3 Rischi ICT e DORA

• Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 (già in possesso dell'Autorità) e documentare i rimedi.
• Tenere aggiornato il registro dei contratti con fornitori ICT e testare la notifica degli incidenti gravi via INFOSTAT; pianificare i TLPT per le entità identificate.

7.4 ESG

• Verificare lo stato di avanzamento del piano ESG in vista della survey 2026 e integrare gli obiettivi di finanza sostenibile nelle politiche di remunerazione (citato come buona prassi).

8. Documenti di riferimento

I documenti che ogni SGR ‘mobiliare’ dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Area	Azione interna	Documento di riferimento
SREP / Metodologia	Leggere il Modulo SREP (L1) e il capitolo Asset Management	Circolare 269/2008, 17° aggiornamento
Governance / Controlli	Autovalutare compliance e internal audit con le checklist del Final Report	ESMA, Final Report CSA Compliance & Internal Audit (11.05.2026)
Rischi ICT	Verificare i gap rispetto all'autovalutazione ICT e aggiornare il piano di rimedi	Comunicazione Banca d'Italia, Sicurezza ICT (23.12.2024)
Rischi ICT / DORA	Verificare compliance DORA: registro fornitori, notifiche incidenti, TLPT	Regolamento (UE) 2022/2554 (DORA)
AIFMD II	Mappare le novità su LMT, gestione liquidità, delega e reporting rispetto alla struttura operativa	Direttiva (UE) 2024/927 (AIFMD II)
ESG	Verificare lo stato del piano ESG e prepararsi alla survey 2026	Banca d'Italia, indice vigilanza sostenibilità
Risk management	Anticipare la self-assessment in vista della CSA ESMA 2026	ESMA, Launch CSA Compliance & Internal Audit (14.02.2025)

Note

[1] Banca d'Italia, Circolare n. 269 del 7 maggio 2008, 17° aggiornamento (Modulo SREP, L1, Cap. 1 – Qualificazione degli intermediari, Tavola 1b: SGR – Gestione di OICR aperti, OICVM, FIA aperti, private equity/debt).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[2] Circolare 269, Modulo SREP, L1 – Proporzionalità e classi di priorità per gli intermediari non bancari (Tavola 4).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[3] ESMA, Final Report on the Common Supervisory Action on Compliance and Internal Audit Functions, 11 maggio 2026.
https://www.esma.europa.eu/sites/default/files/2026-05/ESMA34-1436284137-2305_Final_Report_on_the_Common_Supervisory_Action_on_Compliance_and_Internal_Audit_Functions.pdf

[4] Banca d'Italia, Comunicazione al mercato in materia di sicurezza ICT, 23 dicembre 2024.
https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2024.12.23-com-ict/index.html

[5] Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025.
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554

[6] ESMA, Launch of CSA on Compliance and Internal Audit Functions, 14 febbraio 2025.
https://www.esma.europa.eu/press-news/esma-news/esma-launches-common-supervisory-action-ncas-compliance-and-internal-audit

1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 "Guida per l'attività di vigilanza" (la "Circolare") la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri che orientano l'azione di supervisione cartolare. Tali contenuti riguardano l'intero perimetro dei soggetti vigilati direttamente dalla Banca d'Italia: banche e gruppi bancari less significant, SIM e gruppi di SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento. Non si tratta quindi di novità riservate a una sola categoria.

Per le SIM e i gruppi di SIM la disciplina prudenziale di riferimento è il framework IFD/IFR – Direttiva (UE) 2019/2034 e Regolamento (UE) 2019/2033 – che ha introdotto una tassonomia dei rischi e un processo di autovalutazione (ICARAP) propri delle imprese di investimento. Lo SREP è condotto in coerenza con le Joint EBA-ESMA Guidelines sullo SREP (EBA/GL/2022/09 – ESMA35-42-1470).

Lo SREP è finalizzato ad accertare che gli intermediari si dotino di presidi patrimoniali e organizzativi appropriati rispetto ai rischi assunti. Si articola in un ciclo di valutazione periodico e in un'eventuale fase di correzione/follow-up, e si conclude con un giudizio sulle aree di rischio e sui profili trasversali che confluisce nel punteggio complessivo, base della successiva azione di vigilanza.

Proporzionalità. Le SIM, in quanto intermediari non bancari (INB), non possono ricevere la classe di priorità 1 "Molto Alta". La classe di priorità (Alta, Media, Bassa) deriva dalla combinazione di impatto (criteri specifici basati su operatività e dimensione) e rischiosità (ultimo punteggio complessivo SREP disponibile), secondo la Tavola 4 della Circolare. Il ciclo di valutazione è di norma annuale; per proporzionalità i singoli profili possono essere aggiornati ogni due anni (priorità Media) o ogni tre anni (priorità Bassa).

2. La griglia valutativa SREP

Lo SREP si conclude con l'attribuzione di un giudizio da 1 (migliore) a 4 (peggiore). Per le SIM le aree di rischio includono la specifica tassonomia IFD/IFR dei rischi al capitale:

Area di rischio / Profilo trasversale	Giudizio
Modello di business e redditività	1–4
Sistemi di governo e di controllo	1–4
Rischi al capitale (RtC, RtF, RtM, Other Risks)	1–4
Rischi operativi e ICT	1–4
Adeguatezza patrimoniale	1–4
Rischio di liquidità	1–4
Giudizio complessivo	1–4

Per le SIM, i Gruppi di SIM e le succursali di imprese di investimento di paesi terzi la valutazione dei "rischi al capitale" sostituisce il tradizionale schema bancario: Risk-to-Client (RtC), Risk-to-Firm (RtF), Risk-to-Market (RtM) e Other Risks. Per le imprese di classe 3 (piccole e non interconnesse) lo schema si applica esclusivamente per la parte relativa agli Other Risks.

3. Sistemi di governo e di controllo

La governance è il profilo trasversale che valuta i rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo. L'analisi copre:

• il governo societario (assetti proprietari, organi di supervisione strategica, gestione e controllo) e l'organizzazione aziendale;
• il risk management framework e il Risk Appetite Framework (RAF);
• le politiche di remunerazione e la loro effettiva applicazione;
• le funzioni di controllo: internal audit, risk management, compliance e antiriciclaggio.

Le criticità ricorrenti sulle funzioni di controllo trovano riscontro nel Final Report ESMA dell'11 maggio 2026 sulla CSA 2025 (compliance e internal audit), cui la Banca d'Italia ha partecipato: indipendenza insufficiente, risorse inadeguate, reporting al CdA carente, risk assessment non strutturato, eccessiva dipendenza da funzioni di gruppo. Per le imprese di investimento la struttura dei controlli deve essere proporzionata alla complessità dei servizi prestati (negoziazione, esecuzione ordini, collocamento, gestione di portafogli, consulenza).

4. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1) e la sostenibilità del modello di business (Fase 2).

• Fase 1 (quantitativa): per le SIM, come per gli altri intermediari non bancari, l'analisi è sequenziale: parte dalla valutazione del risultato di gestione (lordo e netto) e si conclude con il vaglio di un indicatore di efficienza.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti sulle variabili organizzative, anche in presenza di andamenti sfavorevoli; rilevano la strategia di offerta e l'andamento delle quote di mercato, con attenzione all'ingresso in nuovi mercati e all'offerta di nuovi prodotti/servizi di investimento.

5. Rischi al capitale (IFD/IFR), liquidità e mercato

Il framework IFD/IFR ha introdotto per le imprese di investimento una tassonomia dei rischi al capitale distinta da quella bancaria:

• Risk-to-Client (RtC): rischi che l'attività dell'impresa può generare per i clienti (es. fondi e strumenti detenuti, gestione, esecuzione ordini).
• Risk-to-Firm (RtF): rischi per l'impresa stessa connessi alla propria operatività.
• Risk-to-Market (RtM): rischi che l'impresa può generare per il mercato e la controparte.
• Other Risks: categoria residuale; per le imprese di classe 3 (piccole e non interconnesse) è l'unico profilo di rischio al capitale analizzato.

Lo scopo è valutare l'esposizione a tali rischi e la capacità di governarli, gestirli e controllarli. Per le SIM l'analisi del rischio di mercato si basa sul rapporto tra requisiti per il rischio di mercato e fondi propri; il rischio di liquidità valuta la capacità di fronteggiare gli impegni di pagamento e l'equilibrio fonti-impieghi.

6. Rischi operativi, ICT e DORA

L'analisi valuta l'esposizione ai rischi operativi e ICT (anche esternalizzati) e la capacità di governarli. Concorrono i rischi reputazionali e di non conformità, con riguardo ai presidi AML/CFT. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario. Tra le aree di business che tipicamente generano rischi operativi rilevano i servizi di investimento.

Rischi informatici e DORA. Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, incluse le SIM, a valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP. Il perimetro DORA include: ICT Risk Management Framework, notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate).

7. Adeguatezza patrimoniale e P2R/P2G

Il grado di patrimonializzazione è valutato in due fasi: la copertura dei coefficienti imposti con la decisione sul capitale (OCR ratio e Target ratio) e il giudizio sull'adeguatezza del capitale complessivo rispetto a tutti i rischi rilevanti, a partire dall'autovalutazione ICARAP (che per le imprese di investimento integra ICAAP e ILAAP secondo IFD/IFR).

All'esito del ciclo, ove prevista, la decisione sul capitale fissa requisiti patrimoniali aggiuntivi vincolanti (P2R) ed eventuali target di capitale (P2G). Per le SIM i P2R e i target sono espressi in percentuale rispetto ai requisiti patrimoniali di Primo Pilastro (a differenza delle banche, dove sono riferiti agli RWA). I target di capitale sono di norma disposti in relazione a rischi che possono manifestarsi in condizioni di stress, emersi nell'ICARAP o dall'applicazione di proxy di vigilanza.

8. ESG e iniziative di vigilanza trasversale 2026

Le iniziative di vigilanza trasversale interessano anche le SIM:

• Integrazione dei fattori ESG: l'Autorità valuta l'integrazione dei rischi di sostenibilità nella governance, nel RAF e nelle politiche aziendali, anche per i servizi di investimento (es. preferenze di sostenibilità della clientela).
• CSA ESMA su risk management (2026): è attesa una Common Supervisory Action dell'ESMA sulle funzioni di risk management; perimetro e metodologia sono in via di finalizzazione. È ragionevole anticipare una self-assessment interna su struttura, indipendenza e risorse della funzione.

9. Guida operativa

Il procedimento SREP si alimenta in continuo con le segnalazioni di vigilanza, l'ICARAP, le relazioni delle funzioni di controllo e gli esiti dell'autovalutazione ICT già trasmessa. Azioni interne prioritarie per area:

9.1 Governance e funzioni di controllo
Verificare l'indipendenza effettiva di compliance, internal audit e risk management dalle funzioni operative (linee di riporto, accesso alle informazioni, conflitti nella remunerazione).
Dimensionare le risorse delle funzioni di controllo al profilo di rischio reale; il Final Report ESMA segnala come criticità i casi con meno di 1 FTE dedicato.
Strutturare il reporting al CdA e documentare formalmente il risk assessment di compliance, aggiornato almeno annualmente e non limitato a quello di gruppo.

9.2 Rischi al capitale e adeguatezza patrimoniale
Verificare la corretta classificazione IFD/IFR (in particolare la qualifica di impresa di classe 3 "piccola e non interconnessa") e la mappatura di RtC/RtF/RtM/Other Risks.
Allineare l'ICARAP alle attese: documentare la quantificazione dei rischi e la coerenza con il RAF; predisporre proiezioni anche in scenari di stress.
Monitorare i coefficienti patrimoniali rispetto ai requisiti di Primo Pilastro e agli eventuali P2R/P2G.

9.3 Rischi ICT e DORA
Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 (già in possesso dell'Autorità) e documentare i rimedi.
Tenere aggiornato il registro dei contratti con fornitori ICT e testare la notifica degli incidenti gravi via INFOSTAT; pianificare i TLPT per le entità identificate.

10. Documenti di riferimento

I documenti che ogni SIM dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Area	Azione interna	Documento di riferimento
SREP / Metodologia	Leggere il Modulo SREP (L1) e gli schemi di analisi, incluso il Cap. sui rischi al capitale SIM	Circolare 269/2008, 17° aggiornamento
SREP / EBA-ESMA	Allineare il processo alle linee guida congiunte sullo SREP per le imprese di investimento	Joint EBA-ESMA Guidelines SREP (EBA/GL/2022/09)
Capitale / IFD-IFR	Mappare i requisiti prudenziali e la tassonomia dei rischi al capitale	Regolamento (UE) 2019/2033 (IFR)
Governance / Controlli	Autovalutare compliance e internal audit con le checklist del Final Report	ESMA, Final Report CSA Compliance & Internal Audit (11.05.2026)
Rischi ICT	Verificare i gap rispetto all'autovalutazione ICT e aggiornare il piano di rimedi	Comunicazione Banca d'Italia, Sicurezza ICT (23.12.2024)
Rischi ICT / DORA	Verificare compliance DORA: registro fornitori, notifiche incidenti, TLPT	Regolamento (UE) 2022/2554 (DORA)
Risk management	Anticipare la self-assessment in vista della CSA ESMA 2026	ESMA, Launch CSA Compliance & Internal Audit (14.02.2025)

1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 “Guida per l'attività di vigilanza” (la “Circolare”) la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri dell'azione di supervisione cartolare per l'intero perimetro dei soggetti vigilati direttamente: banche LSI, SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento.

Per gli intermediari finanziari iscritti all'albo unico ex art. 106 TUB (“Intermediari Finanziari” o “IF”) lo SREP è condotto in coerenza con le linee guida EBA e con le disposizioni di vigilanza loro applicabili. Nella profilatura della Circolare (Tavola 1b) gli IF includono attività creditizia delle finanziarie (leasing, factoring, credito ai consumatori e prestiti personali, cessione del quinto, altri finanziamenti), rilascio di garanzie, attività di servicing e gestione di bad finance, oltre a confidi, operatori di microcredito, prestito su pegno e fiduciarie statiche [1].

Lo SREP si articola in un ciclo di valutazione periodico e in un'eventuale fase di correzione/follow-up; si conclude con un giudizio (da 1 a 4) sulle aree di rischio e sui profili trasversali, base della successiva azione di vigilanza.

Proporzionalità. Gli IF, in quanto intermediari non bancari, non possono ricevere la classe 1 “Molto Alta”. La classe di priorità (Alta, Media, Bassa) deriva dalla combinazione di impatto (operatività e dimensione) e rischiosità (ultimo punteggio SREP), secondo la Tavola 4. Il ciclo è di norma annuale; i singoli profili possono essere aggiornati ogni due anni (priorità Media) o tre anni (priorità Bassa) [2].

La griglia valutativa SREP
Per gli IF, attivi prevalentemente nel credito, l'analisi del rischio di credito assume rilievo centrale, accanto ai profili trasversali e ai rischi operativi:

Area di rischio / Profilo trasversale	Giudizio
Modello di business e redditività	1–4
Sistemi di governo e controllo	1–4
Rischio di credito e di controparte	1–4
Rischio di tasso d'interesse	1–4
Rischi operativi e ICT	1–4
Adeguatezza patrimoniale	1–4
Rischio di liquidità	1–4
Giudizio complessivo	1–4

2. Sistemi di governo e di controllo

La governance valuta i rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo: governo societario, organizzazione, Risk Appetite Framework, politiche di remunerazione (e loro effettiva applicazione), risk data aggregation e funzioni di controllo (internal audit, risk management, compliance, antiriciclaggio).

Le criticità ricorrenti sulle funzioni di controllo – indipendenza insufficiente, risorse inadeguate, reporting al CdA carente, risk assessment non strutturato, eccessiva dipendenza da funzioni di gruppo – trovano riscontro nel Final Report ESMA dell'11 maggio 2026 sulla CSA 2025 (compliance e internal audit); pur riferito ai gestori, il Report offre una checklist utile per qualsiasi funzione di controllo, applicabile anche agli IF in chiave di proporzionalità [3]. Per gli IF assumono particolare rilievo i presidi AML/CFT, tenuto conto della prossimità alla clientela retail (credito ai consumatori, cessione del quinto).

3. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1) e la sostenibilità del modello di business (Fase 2).

• Fase 1 (quantitativa): per gli IF, come per gli altri intermediari non bancari, l'analisi è sequenziale: dal risultato di gestione (lordo e netto) al vaglio di un indicatore di efficienza.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti, anche in presenza di andamenti sfavorevoli; rilevano le caratteristiche della strategia di offerta e l'andamento delle quote di mercato nei comparti di specializzazione (leasing, factoring, credito al consumo, garanzie, servicing).

4. Rischio di credito, tasso e liquidità

4.1 Rischio di credito e di controparte
È il profilo più rilevante per la generalità degli IF. Per gli intermediari non bancari la qualità creditizia si basa su indicatori che misurano lo stock e il tasso di generazione dei crediti deteriorati, nonché l'impatto delle relative perdite. L'analisi della concentrazione è guidata dalla diversificazione del portafoglio prestiti per affidato e per settore di attività economica. Per gli IF specializzati in servicing e gestione di bad finance rilevano la qualità e l'efficacia dei processi di recupero.

4.2 Rischio di tasso d'interesse
Per gli intermediari non bancari l'apprezzamento si basa sul calcolo della variazione del valore economico del portafoglio bancario indotta dalle oscillazioni dei tassi in uno scenario di base e in uno di stress, tenendo conto dell'indicatore di rischiosità previsto dalle disposizioni di vigilanza.

4.3 Rischio di liquidità
Si valuta la capacità di fronteggiare gli impegni di pagamento e l'equilibrio fonti-impieghi nel medio/lungo periodo, con attenzione alla concentrazione delle fonti di finanziamento e all'incidenza del finanziamento unsecured – profilo critico per gli IF, spesso dipendenti dal funding bancario o di gruppo.

5. Rischi operativi, ICT e DORA

L'analisi valuta l'esposizione ai rischi operativi e ICT (anche esternalizzati) e la capacità di governarli, insieme ai rischi reputazionali e di non conformità. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario.

Rischi informatici e DORA.
Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, inclusi gli IF, a valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP [4] [5]. Il perimetro DORA include: ICT Risk Management Framework, notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate).

6. Adeguatezza patrimoniale e P2R/P2G

Il grado di patrimonializzazione è valutato in due fasi: la copertura dei coefficienti imposti con la decisione sul capitale (OCR/Target ratio) e il giudizio sull'adeguatezza del capitale complessivo rispetto a tutti i rischi rilevanti, a partire dall'autovalutazione interna ove prevista.

Una specificità degli IF: laddove sia previsto l'esame dell'ICAAP, i requisiti patrimoniali aggiuntivi possono essere considerati, a discrezione della struttura di vigilanza, vincolanti (P2R) ovvero come target di capitale (P2G). Inoltre, in presenza di una situazione tecnica soddisfacente e di un'adeguata dotazione di capitale rispetto alle esigenze ex SREP in condizioni ordinarie e di stress, la struttura di vigilanza ha facoltà di non richiedere capitale aggiuntivo a seguito dell'esame dell'ICAAP.

7. ESG e iniziative di vigilanza trasversale 2026

Le iniziative di vigilanza trasversale interessano anche gli IF:

• Integrazione dei fattori ESG: valutazione dell'integrazione dei rischi di sostenibilità nella governance, nel RAF e nelle politiche di credito (es. rischi climatici sui portafogli leasing e immobiliari sottostanti).
• Buone prassi: task force multidisciplinari, aggiornamento delle policy di governance e controllo per integrare i rischi ESG, stress test di scenario climatico.

8. Guida operativa

La preparazione al percorso SREP si alimenta in continuo con le segnalazioni di vigilanza, le relazioni delle funzioni di controllo e gli esiti dell'autovalutazione ICT già trasmessa. Azioni interne prioritarie:

8.1 Governance e funzioni di controllo

• Verificare l'indipendenza effettiva di compliance, internal audit e risk management e dotarle di risorse adeguate al profilo di rischio reale.
• Strutturare il reporting al CdA e documentare formalmente il risk assessment di compliance; rafforzare i presidi AML/CFT, in particolare nel credito retail.

8.2 Rischio di credito e adeguatezza patrimoniale

• Predisporre un cruscotto sulla qualità del credito (stock e tasso di generazione dei deteriorati, impatto delle perdite) e sulla concentrazione per affidato e settore.
• Allineare l'ICAAP (ove previsto) alle attese e documentare la coerenza con il RAF, anticipando l'impatto di scenari avversi su capitale e funding.

8.3 Rischi ICT e DORA

• Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 e documentare i rimedi.
• Tenere aggiornato il registro dei contratti con fornitori ICT e testare la notifica degli incidenti gravi via INFOSTAT; pianificare i TLPT per le entità identificate.

9. Documenti di riferimento

I documenti che ogni intermediario finanziario dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Area	Azione interna	Documento di riferimento
SREP / Metodologia	Leggere il Modulo SREP (L1) e gli schemi di analisi per gli intermediari non bancari	Circolare 269/2008, 17° aggiornamento
Disciplina IF	Mappare le disposizioni di vigilanza applicabili agli intermediari ex art. 106 TUB	Circolare 288/2015 (disposizioni di vigilanza per gli intermediari finanziari)
Governance / Controlli	Autovalutare le funzioni di controllo con le checklist del Final Report	ESMA, Final Report CSA Compliance & Internal Audit (11.05.2026)
Rischi ICT	Verificare i gap rispetto all'autovalutazione ICT e aggiornare il piano di rimedi	Comunicazione Banca d'Italia, Sicurezza ICT (23.12.2024)
Rischi ICT / DORA	Verificare compliance DORA: registro fornitori, notifiche incidenti, TLPT	Regolamento (UE) 2022/2554 (DORA)

Note

[1] Banca d'Italia, Circolare n. 269 del 7 maggio 2008, 17° aggiornamento (Modulo SREP, L1, Cap. 1 – Ambito di applicazione e Tavola 1b, attività prevalenti degli intermediari non bancari).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[2] Circolare 269, Modulo SREP, L1 – Proporzionalità e classi di priorità per gli intermediari non bancari (Tavola 4).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[3] ESMA, Final Report on the Common Supervisory Action on Compliance and Internal Audit Functions, 11 maggio 2026.
https://www.esma.europa.eu/sites/default/files/2026-05/ESMA34-1436284137-2305_Final_Report_on_the_Common_Supervisory_Action_on_Compliance_and_Internal_Audit_Functions.pdf

[4] Banca d'Italia, Comunicazione al mercato in materia di sicurezza ICT, 23 dicembre 2024.
https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2024.12.23-com-ict/index.html

[5]Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025.
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554

1. Premessa

Con comunicazione dell'8 giugno 2026 (la “Comunicazione”), la UIF ha richiamato l'attenzione dei soggetti obbligati sulla crescente rilevanza, ai fini antiriciclaggio, delle operatività connesse con truffe, frodi agevolate dalla tecnologia, money muling e altri reati informatici.

Il documento si inserisce in un contesto di forte crescita delle SOS riconducibili a tali fenomeni e segnala l'esigenza di rafforzare in modo sostanziale i presìdi di individuazione, valutazione e segnalazione delle anomalie.

Il messaggio della UIF è chiaro: questi fenomeni non devono essere letti come meri eventi antifrode o di sicurezza informatica, ma come contesti potenzialmente rilevanti anche ai fini della collaborazione attiva AML.

Per gli intermediari ciò implica una maggiore integrazione tra funzioni AML, antifrode, sicurezza informatica, canali digitali e strutture operative, nonché una più attenta valorizzazione nelle SOS di elementi tecnici, operativi e soggettivi.

2. Profili di maggiore attenzione

La Comunicazione richiama, anzitutto,

• le truffe e le frodi agevolate dalla tecnologia, rispetto alle quali la UIF valorizza non solo i classici schemi di phishing, impersonation scam, BEC, romance scam, fake charity scam o investment scam,
• gli indicatori di anomalia che emergono in fase di onboarding e operatività: incoerenza dei dati forniti, frequenti variazioni di recapiti e dispositivi, accessi da IP condivisi, uso anomalo di VPN/proxy, incongruenze geografiche, manipolazioni dei device fingerprint, discordanza tra beneficiario indicato e intestatario effettivo del rapporto, ricorrenza di storni, recall e flussi ravvicinati verso conti anche esteri o verso cripto-attività.

Un secondo focus riguarda il money muling, ossia il transito di fondi illeciti tramite rapporti o strumenti di pagamento messi a disposizione da soggetti consapevoli o inconsapevoli. La UIF richiama, in particolare, conti, carte o wallet di recente apertura intestati a soggetti inesperti o vulnerabili, dati di contatto condivisi tra più soggetti, flussi in accredito e addebito ravvicinati e frazionati, causali generiche o incoerenti, operatività con l'estero, richieste di recall difficilmente soddisfatte e scarsa collaborazione dell'intestatario; viene precisato che il mero azzeramento del saldo non è, da solo, sufficiente a fondare il sospetto.

La UIF dedica, inoltre, uno specifico rilievo al cybercrime e, più in generale, ai reati informatici come possibili contesti di riciclaggio, richiamando fenomeni quali malware, ransomware, APT, attacchi man-in-the-middle, D-DOS, utilizzo di identità fittizie o sintetiche, deepfake, strumenti di anonimizzazione, wallet auto-ospitati, VASP no-KYC, mixer, bridge e virtual IBAN. Il tratto comune è la crescente difficoltà di tracciamento dei flussi e la necessità, per i destinatari, di utilizzare in chiave AML anche informazioni normalmente presidiate in prima battuta dalle funzioni antifrode o cyber.

3. Cosa cambia sul piano operativo

L'aspetto più importante della Comunicazione non è l'elenco delle casistiche, ma il livello di aspettativa che la UIF esprime verso i destinatari. In particolare, l'Unità richiede di evitare automatismi segnaletici e approcci meramente difensivi e invita a selezionare i casi realmente meritevoli di SOS sulla base della complessità del contesto,dell'importo e della frequenza delle operazioni, della possibile esistenza di reti criminali più ampie, della presenza di denunce o input investigativi e del concreto valore aggiunto che la segnalazione può offrire.

La UIF insiste, poi, su due profili centrali. Il primo è la tempestività: la SOS deve essere effettuata il prima possibile e, ove possibile, prima dell'esecuzione dell'operazione, per consentire interventi rapidi a tutela delle vittime e delle indagini; analoga tempestività è richiesta nelle risposte agli approfondimenti della UIF. Il secondo è la qualità del contenuto segnaletico: occorre valorizzare correttamente i dati strutturati, descrivere in modo chiaro i flussi e i collegamenti tra soggetti, includere gli elementi tecnici rilevanti
(quali IP, device, VPN, fingerprint, geolocalizzazione) ed evitare testi standardizzati e ripetitivi.

La Comunicazione richiama, inoltre, l'importanza della condivisione delle informazioni tra più destinatari coinvolti nella medesima operatività, nel rispetto dell'articolo 39 del d.lgs. 231/2007. Per gli intermediari questo si traduce, in concreto, nell'esigenza di verificare se i flussi informativitra AML, antifrode, sicurezza informatica, operations, rete commerciale e canali digitali siano oggi effettivamente idonei a intercettare queste casistiche in modo tempestivo e completo.

4. Nuovi fenomeni UIF

Per agevolare la classificazione delle segnalazioni, la UIF introduce tre nuovi codici fenomenologici da valorizzare nelle SOS.

Fenomeno	Ambito	Indicazione operativa
I01	Truffe e frodi agevolate dalla tecnologia	Da utilizzare in presenza di sospetto di condotte fraudolente connesse a riciclaggio.
I04	Money muling	Da utilizzare nei casi di reclutamento di soggetti che trasferiscono denaro ottenuto illegalmente, anche in assenza dei presupposti per I01 oppure in abbinamento ad esso.
I05	Cybercrime	Da utilizzare per sospetti di reati informatici non rientranti in I01 e caratterizzati da abuso o alterazione di sistemi e strumenti digitali finalizzati a vantaggi economici illeciti.

Contestualmente, la UIF precisa che, dalla pubblicazione della Comunicazione, non trova più applicazione lo schema rappresentativo dei comportamenti anomali del 5 febbraio 2010 in materia di frodi informatiche e non sarà più disponibile il codice I02 - Frodi informatiche.

5. Prime azioni suggerite

Alla luce della Comunicazione, appare opportuno valutare con priorità:

1. l'aggiornamento di procedure, manuali SOS, tassonomie interne e sistemi di classificazione per recepire i nuovi fenomeni I01, I04 e I05 e dismettere il previgente I02;
2. il rafforzamento dei flussi informativi tra AML, antifrode e funzioni cyber, in modo da consentire una lettura integrata delle anomalie;
3. la verifica della capacità delle strutture competenti di predisporre SOS tempestive, selettive e non standardizzate, con adeguata valorizzazione degli elementi tecnici e del contesto;
4. la diffusione interna della Comunicazione e l'aggiornamento formativo del personale e dei collaboratori coinvolti nella rilevazione e valutazione delle operazioni anomale, come espressamente richiesto dalla UIF;
5. la revisione delle regole di monitoraggio e degli alert su pagamenti istantanei, virtual IBAN, cripto-attività, rapporti di recente apertura, incongruenze tra ordinante e beneficiario, anomalie di geolocalizzazione e utilizzo anomalo di device, IP, VPN o proxy.

In definitiva, la Comunicazione dell'8 giugno 2026 conferma che il presidio AML sugli illeciti digitali non può più essere trattato come un ambito accessorio o separato rispetto ai controlli antifrode e cyber e l'assetto dei presìdi deve essere effettivamente in grado di intercettarli, qualificarli correttamente e integrarli nel processo di collaborazione attiva.

1. Premessa

Lo scorso 27 marzo 2026 è stato pubblicato in Gazzetta Ufficiale il D.lgs. 13 marzo 2026 n.39 (di seguito il “Decreto”) avente ad oggetto il recepimento della direttiva (UE) 2024/927 (di seguito anche la “Direttiva”) del Parlamento europeo e del Consiglio, del 13 marzo 2024, che modifica le direttive 2011/61/UE e 2009/65/CE per quanto riguarda gli accordi di delega, la gestione del rischio di liquidità, le segnalazioni a fini di vigilanza, la fornitura dei servizi di custodia e di depositario e la concessione di prestiti da parte di fondi di investimento alternativi.

L’art. 1 del decreto in oggetto contiene le disposizioni di recepimento nell’ordinamento nazionale (precisamente all’interno del TUF) della Direttiva (UE) 2024/927, ad eccezione delle misure di cui agli art. 1, par. 12, e art. 2, par. 7, relative agli obblighi di reporting verso le autorità da parte dei fondi alternativi e dei fondi comuni UCITS, che si applicheranno dal 16 aprile 2027.

2. Destinatari

1. SGR;
2. SICAV;
3. SICAF.

3. Data di applicazione

Il Decreto legislativo 13 marzo 2026 n.39 è entrato in vigore in data 28 marzo 2026. Tuttavia, le disposizioni si applicano a decorrere dal 16 aprile 2026.

Inoltre, si precisa che Banca d’Italia e Consob, entro il 16 ottobre 2026, sono tenute a adottare le disposizioni attuative delle disposizioni del TUF, come modificate dal presente decreto.

4. Obiettivi ed aspetti principali
Gli obiettivi principali che si è posta la Direttiva in materia di aggiornamento della disciplina riguardano:

• l’armonizzazione delle disposizioni da applicare nei confronti dei gestori di FIA che concedono prestiti;
• la definizione degli accordi di delega da parte dei GEFIA e dei gestori OICVM;
• l’individuazione di un quadro esaustivo e chiaro di gestione degli strumenti e del rischio di liquidità;
• il rafforzamento degli obblighi in materia di segnalazioni di vigilanza in capo ai destinatari nei confronti delle Autorità;
• garantire un trattamento equo ai soggetti che forniscono servizi di custodia al fine di facilitare l’accesso transfrontaliero ai servizi di depositario.

5. Nuove definizioni ed impatti operativi

Si riportano di seguito i principali impatti in termini di definizioni e operatività in capo ai destinatari della normativa in oggetto:

5.1. Nuova definizione di “FIA di credito” o “FIA concedente prestiti”

Per FIA di credito o FIA concedente prestiti si intende un FIA che presenta alternativamente uno dei seguenti requisiti: i) possiede una strategia di investimento che consiste principalmente nell’investire in crediti; ii) detiene in portafoglio crediti aventi un valore nozionale che rappresenta almeno il 50% del suo valore patrimoniale netto.

Allo stesso tempo viene ampliata la definizione di investimento in credito, che comprende unicamente, nel recepimento italiano della AIFMD II, la concessione di finanziamenti sotto qualsiasi forma, includendo l’acquisto di crediti, svolta in maniera diretta da parte del FIA o in maniera indiretta tramite le SPV a condizione che il GEFIA o il FIA partecipino alla strutturazione del prestito.

Per FIA che investe anche in credito si intende il FIA, diverso dal FIA di credito, che investe in almeno un credito.

Inoltre, i FIA UE di credito che intendono investire in crediti in Italia non sono più sottoposti ad un procedimento autorizzativo da parte di Banca d’Italia ma il GEFIA deve unicamente informare Banca d’Italia nel momento in cui avvia l’operatività.

È vietata la costituzione di un FIA la cui strategia di investimento consista in tutto o anche solo in parte nell’investire in crediti con la sola finalità di cederli o trasferirli a terzi (c.d. strategia originate-to-distribute). Nel caso in cui una parte dei crediti in cui tali FIA investono venga ceduta o trasferita a soggetti terzi, il FIA conserva nel proprio portafoglio una quota pari al 5% del valore nozionale dei crediti ceduti o trasferiti (c.d. risk retention).

Inoltre, la norma vieta ai FIA di credito o FIA concedenti prestiti di concedere finanziamenti al GEFIA, ai soggetti da esso o dal depositario delegati, al relativo personale e, in generale, ai soggetti a essi correlati, nonché ai soggetti del gruppo del GEFIA (salvo alcune eccezioni), al fine di prevenire conflitti di interesse e garantire l’indipendenza delle decisioni di investimento.

5.2. Forma del FIA
I FIA che originano prestiti devono assumere una forma chiusa, in quanto la concessione del credito è un’operazione non compatibile con il meccanismo continuo di rimborso di quote e azioni (cfr. considerando 21) della Direttiva AIFMD II.

Allo stesso tempo, come indicato nel Decreto di recepimento, la forma del FIA può essere aperta, a condizione che il gestore del fondo dimostri alla Banca d’Italia che il sistema di gestione del rischio di liquidità del FIA di credito risulta compatibile con la strategia di investimento e con la politica di rimborso del FIA. Se non vengono soddisfatte tali condizioni, Banca d’Italia (sentita la Consob) può vietare l’istituzione del FIA.

5.3. Depositario

È possibile per i depositari autorizzati ai sensi del TUF svolgere l’incarico di depositario per i FIA UE senza essere stabiliti nello Stato membro di origine del FIA, se previsto dalle disposizioni normative dello Stato membro e al ricorrere di determinate condizioni.

Il depositario non può essere controparte dei crediti del fondo né un soggetto coinvolto nelle operazioni, al fine di evitare possibili conflitti di interesse.

6. Estensione delle attività esercitabili dalla SGR

Le SGR possono, in aggiunta al perimetro di attività già previsto dall’ artt. 33 del TUF:

• amministrare indici di riferimento, ad eccezione di quelli utilizzati dagli OICR gestiti;
• svolgere attività di gestione di crediti nei confronti dei FIA gestiti e la prestazione del servizio di gestione di crediti in sofferenza;
• svolgere attività di concessione di finanziamenti per conto dei FIA gestiti;
• effettuare servizi per le società veicolo di cartolarizzazione;
• prestare a terze parti qualsiasi altra funzione o attività già svolta dalla SGR in relazione a un OICR da essa gestito o in relazione ai servizi che essa fornisce, a condizione che i potenziali conflitti di interesse siano adeguatamente gestiti.

7. Prossimi passi

Alla luce di quanto rappresentato nei paragrafi precedenti, SGR, SICAF e SICAV dovrebbero, a titolo
esemplificativo e non esaustivo:

• revisionare nel complesso l’impianto normativo (per esempio policy/procedura valutazione degli asset, policy/procedura di investimento);
• aggiornare la policy sui conflitti di interesse/mappatura al fine di accertare la conformità delle disposizioni in relazione all’aggiornamento della disciplina relativa alla delega e al depositario;
• aggiornare i regolamenti dei fondi in relazione alle nuove disposizioni già applicabili;
• comunicare alle Autorità competenti ogni modifica sostanziale delle condizioni per il rilascio dell’autorizzazione, oltre che qualsiasi cambiamento significativo relativo alle informazioni fornite in allegato alla domanda di autorizzazione, prima che sia attuata tale modifica.

Inoltre, è necessario precisare che il Decreto ha attuato i principi previsti dalla Direttiva AIFMD II. In particolare, taluni profili di natura tecnica e applicativa risultano demandati all’adozione di disposizioni attuative da parte di Banca d’Italia e Consob. Segnatamente:

• i limiti di leva finanziaria, differenziati in relazione alla tipologia del fondo (fino al 175% per i FIA aperti e fino al 300% per i FIA chiusi) come previsto dalla Direttiva AIFMD II, il cui valore è da calcolarsi secondo il metodo degli impegni, in rapporto al valore del patrimonio netto del FIA;
• l’estensione della disciplina della delega a tutte le funzioni, sia minime, come la gestione del portafoglio o del rischio, sia supplementari, come l’amministrazione o la commercializzazione, oltre che tutti i servizi ausiliari, tra cui la gestione dei benchmark e la gestione dei crediti (per i GEFIA), precisando che la distribuzione delle quote o azioni degli OICR tramite distributori esterni non è considerata una delega di funzioni del gestore, se la distribuzione avviene tramite intermediari autorizzati secondo la normativa finanziaria o assicurativa;
• stabilire i requisiti in materia di gestione della liquidità, inclusi gli strumenti di gestione della liquidità e i requisiti in materia di gestione dei rischi derivanti dall'attività di concessione di finanziamenti, sotto qualsiasi forma, incluso l'acquisto di crediti.

Premessa

Preliminarmente si ricorda che alla fine del 2024 è stato pubblicato il pacchetto normativo Listing act (comprendente un regolamento e due direttive) [1], con il quale sono state apportate rilevanti modifiche con riguardo, tra l’altro, alla disciplina in materia di prospetti e di abusi di mercato. La riforma europea è volta a favorire il processo di costruzione della Capital Markets Union, muovendo dalla esigenza di sviluppare le potenzialità dei mercati dei capitali in ambito europeo e di incentivare l’afflusso di risorse finanziarie soprattutto per le PMI.

Ancora si ricorda che, in data 5 marzo 2024, è stata pubblicata la Legge n. 21, recante interventi a sostegno della competitività dei capitali e delega al Governo per la riforma organica delle disposizioni in materia di mercati dei capitali recate dal testo unico di cui al decreto legislativo 24 febbraio 1998 n. 58 (“TUF”) e delle disposizioni in materia di società di capitali contenute nel codice civile (di seguito anche “Legge Capitali”).

Al fine di recepire tali novità, in data 16 marzo 2026,Consob ha avviato la consultazione per le proposte di modifica dei regolamenti in materia di emittenti, mercati e operazioni con parti correlate; ad esito della citata consultazione, l’Autorità ha pubblicato la Delibera n. 23979 del 14 maggio 2026 con la quale sono state apportate modifiche ai citati regolamenti, aventi ad oggetto:

1. l’esercizio della facoltà, concessa all’autorità competente dall’art. 19, par. 9, del regolamento (UE) 596/2014 (“MAR”), come modificato dal Listing Act, di modificare la soglia rilevante per la notifica delle operazioni effettuate da persone che esercitano funzioni di amministrazione, di controllo o di direzione di un emittente (internal dealing);
2. il coordinamento delle disposizioni regolamentari della Consob alle modifiche apportate al TUF dalla Legge Capitali;
3. interventi di semplificazione in materia di offerte al pubblico di titoli.

La presente Pill ha finalità meramente ricognitive e informative e non intende fornire un’analisi esaustiva di dettaglio degli impatti derivanti né sostituire le valutazioni che ciascun destinatario è tenuto a svolgere. La Pill si propone, invece, di illustrare in forma sintetica le principali novità introdotte, al fine di supportare e proporre una prima valutazione delle aree eventualmente interessate da interventi di adeguamento.

1. Destinatari

• emittenti di strumenti finanziari quotati o diffusi presso il pubblico;
• operatori dei mercati finanziari;
• soggetti coinvolti in:
  • offerte pubbliche,
  • prospetti informativi,
  • operazioni con parti correlate,
  • internal dealing,
  • attività disciplinate dal Regolamento Mercati e dal Regolamento Emittenti.

2. Data di applicazione

La Delibera n. 23979 del 14 maggio 2026 entra in vigore decorsi quindici giorni dalla data di pubblicazione nella Gazzetta Ufficiale.

La modifica relativa all’eliminazione dell’obbligo per gli emittenti di depositare presso la Consob i prospetti ed i supplementi di titoli equity e non equity a seguito della loro approvazione (di cui all’articolo 1, comma 1, lettera B, punto I, a), n. 2) si applica a decorrere dal 15 giugno 2026.

3. Obiettivi ed aspetti principali

3.1 Le modifiche del Listing act in materia di internal dealing

Il Listing Act interviene in modo rilevante sulla disciplina in materia di prospetti e di abusi di mercato, introducendo misure volte a ridurre oneri regolamentari non essenziali e ad accrescere la proporzionalità degli obblighi informativi.

Tra gli ambiti maggiormente interessati dalle modifiche europee assume particolare rilievo la disciplina dell’internal dealing [2].

I nuovi paragrafi 8 e 9 dell’articolo 19 MAR, come novellati dal Listing Act, ridefiniscono la soglia di rilevanza per la notifica delle operazioni effettuate dalle persone che esercitano funzioni di amministrazione, di controllo o di direzione, nonché dalle persone a esse strettamente legate.

In particolare, viene stabilita una soglia di default, pari a 20.000 euro, calcolata su base annuale mediante il cumulo delle operazioni effettuate nel corso dell’anno civile, senza possibilità di compensazione.

La medesima disposizione attribuisce, tuttavia, all’Autorità competente la facoltà di modificare tale soglia, incrementandola fino a 50.000 euro ovvero riducendola fino a 10.000 euro [3], sulla base di una valutazione delle condizioni del mercato di riferimento e previa comunicazione all’ESMA, corredata dalle relative motivazioni. Tale potere è riconosciuto direttamente dalla normativa europea e, nell’ordinamento nazionale, è esercitabile da Consob, quale autorità competente designata ai sensi dell’art. 187-octies, comma 1, del TUF.

La Delibera n. 23979 ha previsto il ricorso a tale facoltà, inserendosi nel solco delle iniziative che Consob ha promosso negli ultimi anni per favorire l’accesso al mercato dei capitali italiano. In particolare, l’obiettivo dichiarato dall’Autorità è quello di conseguire una maggiore proporzionalità degli obblighi di trasparenza in materia di internal dealing, riducendo oneri amministrativi che non appaiono giustificati da specifiche caratteristiche del mercato nazionale, senza incidere negativamente sulla tutela dell’integrità del mercato e sulla qualità dell’informazione a disposizione degli investitori.

Alla luce di tali elementi, l’Autorità ha deciso di esercitare l’opzione prevista dall’articolo 19, paragrafo 9, del MAR, mediante la modifica dell’articolo 152-quinquies.1 del Regolamento Emittenti, innalzando la soglia di rilevanza delle operazioni di internal dealing a 50.000 euro [4].

3.2 Coordinamento con la Legge capitali

Tale legge, com’è noto, ha introdotto rilevanti modifiche al TUF, tra cui, in particolare:

• abrogazione della disciplina sugli emittenti diffusi,
• revisione delle disposizioni in materia di ripristino del flottante e di condizioni per la quotazione di determinate categorie di società, nonché
• soppressione di taluni obblighi di comunicazione in capo agli azionisti rilevanti.

Gli interventi sono finalizzati a garantire l’allineamento sistematico della normativa secondaria della Consob al nuovo quadro normativo, attraverso l’eliminazione o l’adeguamento delle disposizioni regolamentari attuative di norme abrogate o modificate dal legislatore.

L’intervento regolamentare oggetto di analisi ha quindi previsto:

1. l’abrogazione dell’art. 15 “Condizioni per la quotazione di azioni di società controllanti società costituite e regolate dalla legge di Stati non appartenenti all’Unione europea” del Regolamento Mercati;
2. b) l’abrogazione dell’art. 17 “Condizioni per la quotazione di azioni di società il cui patrimoni è costituito esclusivamente da partecipazioni” del Regolamento Mercati;
3. l’abrogazione dell’art. 18 “Disposizioni finali” del Regolamento Mercati;
4. l’eliminazione della disciplina degli emittenti diffusi e dei richiami a questa contenuti nel Regolamento Emittenti (art. 2-bis; artt. 108/112 e 144-duodecies) e nel Regolamento sulle operazioni con parti correlate (art. 2, 7, 10 e 13, di seguito anche “Regolamento OPC”);
5. l’eliminazione del dovere del gestore del mercato di segnalare “alla Consob le società per le quali (...) può essere adottata una soglia superiore al 90 per cento, tenuto conto della necessità di assicurare un regolare andamento delle negoziazioni”, trattandosi di una norma funzionale alla previgente disciplina di cui all’art. 112 del TUF;
6. l’eliminazione degli artt. 152-sexies/152-octies del Regolamento Emittenti, attuativi della previgente disciplina primaria sull’internal dealing degli azionisti rilevanti.

3.3 Altri interventi di semplificazione in materia di offerte al pubblico

Un ulteriore ambito è quello che riguarda la disciplina dei prospetti e delle offerte al pubblico di titoli.

Anche in questo caso, le modifiche sono ispirate a esigenze di semplificazione e di maggiore coerenza con la normativa europea di riferimento.

Si tratta, in particolare, delle modifiche concernenti le seguenti disposizioni:

1. art. 9, comma 1 del Regolamento Emittenti, relativo al deposito del prospetto e del supplemento a seguito dell’approvazione. È stato eliminato l’obbligo per gli emittenti di depositare presso la Consob i prospetti ed i supplementi di titoli equity e non equity a seguito della loro approvazione: ciò al fine di realizzare un maggiore allineamento alla disciplina europea (che appunto non contempla l’obbligo di deposito), in modo coerente con le prassi seguite dalle altre NCA, in modo da ridurre gli oneri a carico degli emittenti.
   Per quanto riguarda l’entrata in vigore della modifica regolamentare, si è ritenuto opportuno anticipare il termine al 15 giugno 2026.
   Contestualmente a tale data prenderà avvio il nuovo sistema informatico prospetti. Rimane ferma la data del 10 luglio 2026 per quanto riguarda i flussi informativi e i metadati ai fini della disciplina ESAP.
   L’Autorità ha precisato che non è possibile allo stato eliminare l’obbligo di deposito per i prospetti degli OICR di tipo chiuso in quanto tali prospetti utilizzano un sistema informatico diverso (i.e. DEPROF); quest’ultimo costituisce un sistema unico per l’acquisizione dei prospetti degli OICR di tipo chiuso e risulta la base per l’adempimento, inter alia, degli obblighi di notifica all’ESMA;
2. art. 12 e all’art. 34-ter del Regolamento Emittenti, al fine di chiarire il regime linguistico applicabile ai documenti di esenzione, anche tenuto conto delle modifiche apportate all’art. 1 del Regolamento Prospetto dal Listing Act.
   Si ricorda che l’art. 34-ter del Regolamento Emittenti prevede che i documenti di esenzione da pubblicare per l’offerta di titoli in occasione di un’acquisizione mediante offerta pubblica di scambio [art. 1, par. 4, lett. f), del Regolamento Prospetto] o da assegnare in occasione di una fusione o scissione [art. 1, paragrafo 4, lett. g), del Regolamento Prospetto], possono essere redatti secondo il regime linguistico previsto dall’art. 12 per il prospetto (che consente l’utilizzo della lingua inglese). Analoga disciplina si applica nelle ipotesi di ammissione alle negoziazioni nelle ipotesi menzionate [art. 1, par. 5, lett. e) ed f) del Regolamento Prospetto], secondo quanto previsto dall’art. 57 del Regolamento Emittenti.
   Con le modifiche in oggetto si è deciso di estendere il regime linguistico di cui sopra anche a tutti gli altri casi in cui la normativa europea richiede la pubblicazione di un documento di esenzione, per le offerte pubbliche o per l’ammissione alle negoziazioni di titoli, al fine di garantire, appunto, l’uniformità della disciplina in materia.
   È stato invece mantenuto l’obbligo di tradurre la nota di sintesi nei casi indicati nell’art. 12 del Regolamento Emittenti;
3. art. 13, comma 3 del Regolamento Emittenti relativo agli obblighi informativi post offerta.
   In particolare, è stato abrogato il citato articolo che prevedeva, nel caso di offerte finalizzate all’ammissione di azioni in un mercato regolamentato, l’obbligo per il responsabile del collocamento di trasmettere alla Consob talune informazioni sull’offerta, quali (i) le verifiche sulla regolarità delle operazioni di collocamento e dell’eventuale riparto e (ii) i dati concernenti il numero delle accettazioni e dei soggetti richiedenti per ogni singolo collocatore.
   Resta ferma la facoltà per la Consob, qualora ritenga di dover acquisire le informazioni ora richieste dal comma 3 dell’art. 13, di esercitare i poteri previsti dall’art. 32 del Regolamento Prospetto e, quindi, di “esigere che (...) gli intermediari finanziari incaricati dell’offerta pubblica di strumenti finanziari o della domanda di ammissione alla negoziazione in un mercato regolamentato, forniscano informazioni”, nonché quelli previsti dagli artt. 97, comma 1,e 113, comma 2, lett. f), TUF.
   Da ultimo, si rammenta che non costituisce invece oggetto di abrogazione l’obbligo di pubblicazione dei risultati dell’offerta e quello della loro trasmissione alla Consob, come previsto dal comma 2 del medesimo art. 13 del Regolamento Emittenti, secondo cui “l’emittente, l’offerente o il responsabile del collocamento rende pubblici i risultati dell’offerta secondo le modalità e i termini indicati nel prospetto. Le stesse informazioni sono trasmesse alla Consob secondo modalità indicate in apposite istruzioni”. Tali obblighi appaiono in linea con gli obblighi di disclosure stabiliti dalla disciplina sul prospetto, i quali richiedono l’“indicazione della data in cui i risultati dell’offerta verranno resi pubblici” e la “descrizione completa delle modalità seguite”, e risultano altresì funzionali al calcolo dei contributi di vigilanza;
4. art. 34-quinquies, comma 2 del Regolamento Emittenti, relativo al modulo di adesione.
   In particolare, è stata approvata una semplificazione delle regole previgenti
   •  eliminando la previsione che, ai fini dell’adesione all’offerta, rende necessaria l’esistenza di un “modulo” appositamente sottoscritto e demandando al contenuto del prospetto l’indicazione delle concrete modalità di adesione all’offerta;
   • mantenendo, in un’ottica di protezione degli investitori, l’informativa da rendere agli investitori all’atto dell’adesione all’offerta, con riguardo agli elementi di identificazione dell’operazione, nonché alle ulteriori informazioni (riprodotte con carattere che ne consenta un’agevole lettura) concernenti (i) l’avvertenza che l’investitore può ricevere gratuitamente copia del prospetto, specificando che si tratta di una copia in formato elettronico (come previsto dall’art. 21, par. 11, Regolamento Prospetto); (ii) il richiamo al paragrafo “fattori di rischio” contenuto nel prospetto; (iii) il diritto di revoca spettante in caso di pubblicazione del supplemento al prospetto.

4. Prossimi passi

Alla luce di quanto rappresentato nei paragrafi precedenti, si suggerisce di valutare l’opportunità di:

1. aggiornare la normativa interna in materia di internal dealing (e conseguentemente gli eventuali sistemi di alert adottati);
2. rivedere i propri obblighi di disclosure nei confronti del mercato stante la semplificazione e riduzione di alcuni oneri informativi.

In generale, quindi, si richiama l’attenzione nell’analisi e nell’applicazione delle novità normative sopra delineate.

[1] Il citato pacchetto legislativo comprende il Regolamento (UE) 2024/2809 del Parlamento Europeo e del Consiglio che modifica i regolamenti (UE) 2017/1129, (UE) n. 596/2014 e (UE) n. 600/2014; la Direttiva (UE) 2024/2810 del Parlamento Europeo e del Consiglio del 23 ottobre 2024 sulle strutture con azioni a voto plurimo nelle società che chiedono l’ammissione alla negoziazione delle loro azioni in un sistema multilaterale di negoziazione; la Direttiva (UE) 2024/2811 del Parlamento Europeo e del Consiglio del 23 ottobre 2024 che modifica la direttiva 2014/65/UE e che abroga la direttiva 2001/34/CE.

[2] Con il termine Internal Dealing si è soliti identificare le operazioni di compravendita sui titoli di una società quotata da parte dei propri amministratori, sindaci e top managers.

[3] Si ricorda che la versione originaria del MAR prevedeva una soglia di rilevanza pari a 5.000 euro, al di sotto della quale le operazioni non erano soggette a obblighi di comunicazione, attribuendo tuttavia all’autorità competente la facoltà di innalzare tale soglia fino a 20.000 euro. La Consob ha esercitato tale facoltà nel 2017, elevando la soglia a 20.000 euro, in un’ottica di maggiore proporzionalità degli adempimenti richiesti dalla disciplina in esame.

[4] Nel panorama europeo, diversi ordinamenti comparabili – tra cui Francia, Germania e Danimarca – si sono già orientati verso l’innalzamento della soglia a 50.000 euro, mentre solo Malta ha esercitato l’opzione per la riduzione a 10.000 euro.

Premessa

Banca d’Italia, considerata l’esigenza di uniformare la vigente disciplina in materia di gestione collettiva del risparmio all’evoluzione del quadro normativo europeo e nazionale [1], con Provvedimento del 23 marzo 2026 (di seguito il “Provvedimento”), ha modificato il Regolamento sulla gestione collettiva del risparmio del 19 gennaio 2015 (di seguito il “Regolamento”), pubblicando il 6° aggiornamento.

La presente Pill ha finalità meramente ricognitive e informative e non intende fornire un’analisi esaustiva di dettaglio degli impatti derivanti né sostituire le valutazioni che ciascun destinatario è tenuto a svolgere. La Pill si propone, invece, di illustrare in forma sintetica le principali novità introdotte, al fine di supportare e proporre una prima valutazione delle aree eventualmente interessate da interventi di adeguamento.

1. Destinatari

i) SGR;
ii) SICAV e SICAF.

2. Data di applicazione

Lo scorso 8 aprile 2026 è entrato in vigore il sesto aggiornamento del Regolamento sulla Gestione collettiva del risparmio, a seguito della sua pubblicazione in Gazzetta Ufficiale.

I gestori di OICR devono adeguarsi alle nuove disposizioni, apportando le modifiche necessarie, entro sei mesi dalla data di entrata in vigore del provvedimento.

3. Obiettivi ed aspetti principali

Il sesto aggiornamento del Regolamento sulla Gestione collettiva del risparmio recepisce la normativa nazionale ed europea, intervenendo su diversi procedimenti amministrativi relativi a SGR, SICAV e SICAF.

Più nello specifico, le principali novità riguardano:

• la riorganizzazione dell’impianto normativo al fine di renderlo maggiormente chiaro e sistematico, nonché allinearlo alle recenti modifiche apportate al quadro normativo vigente di cui:
  • alla modifica apportata al TUF dalla c.d. Legge Capitali (come di seguito definita),
  • ai Regolamenti (UE) 345/2013 e 346/2013,
  • al Regolamento (UE) 2019/2088 (SFDR),
  • al Regolamento di esecuzione (UE) 2024/913 della Commissione e dei Regolamenti e
  • degli altri Decreti citati all’interno del Provvedimento che qui si intendono interamente richiamati;
• la semplificazione del regime di vigilanza applicabile alle SICAV e SICAF eterogestite (o in gestione esterna), in attuazione di quanto previsto dall’art. 16 della Legge Capitali.

4. Dettagli dei principali aspetti derivanti dalle modifiche apportate al TUF dalla Legge Capitali

Si riportano di seguito i principali impatti in termini di definizioni e operatività in capo ai destinatari derivanti dalle modifiche apportate al TUF della L. 21/2024 (di seguito “Legge Capitali”).

4.1. SICAF e SICAV in gestione esterna e interna

Come anticipato, l’art. 16 Legge Capitali prevede una semplificazione del regime di vigilanza sulle SICAV e SICAF eterogestite (o in gestione esterna).

Il Regolamento distingue due sezioni autonome per disciplinare in modo chiaro le diverse tipologie di SICAV e SICAF, articolandole rispettivamente in gestione interna e gestione esterna.

Lo statuto delle SICAV e SICAF in gestione esterna prevedono l’affidamento della gestione del patrimonio ad un gestore esterno che può essere una SGR, una società di gestione UE o un GEFIA UE.

È fondamentale specificare che alle SICAV e SICAF in gestione esterna non si applicano le disposizioni indirizzate ai gestori.

Ai fini del versamento del capitale inziale minimo, il gestore esterno procede all’apertura presso la banca depositaria di un conto corrente indisponibile intestato alla società.

L’avvio dell’operatività delle SICAV e delle SICAF in gestione esterna non riservate è subordinato all’approvazione dello statuto della Banca d’Italia su istanza del gestore esterno.

Il capitale minimo richiesto per SICAV e SICAF in gestione esterna coincide con quello richiesto alle società per azioni, ovvero di euro 50.000, come previsto dall’art. 2327 del codice civile.

Le disposizioni del Capitolo III del Regolamento rubricato “Modifiche statutarie delle SICAV e delle SICAF, in gestione interna e in gestione esterna, non riservate” sono interamente applicabili, sebbene occorra precisare che la domanda di approvazione delle modifiche dello statuto è presentata a Banca d’Italia dal gestore esterno tramite pec entro 15 giorni dallo svolgimento dell’assemblea della società e la copia del testo aggiornato dello statuto entro 30 giorni dagli adempimenti previsti dall’articolo 2436 del codice civile.

In materia di segnalazioni di vigilanza, le SICAV e SICAF in gestione interna inviano quanto previsto dal “Manuale delle segnalazioni statistiche e di vigilanza per gli OICR [2]”.

Per quanto riguarda le SICAV e SICAF in gestione esterna, è la qualifica del gestore come sottosoglia o sopra soglia che determina il regime segnaletico applicabile.

Per le SICAV e le SICAF in gestione interna, l’aggiornamento normativo ha carattere esclusivamente formale e non introduce modifiche sostanziali ai requisiti, che rimangono invariati.

4.2. Modifica dell’operatività: nuovi prodotti e nuovi servizi

Con riferimento all’operatività posta in capo ad una SGR, viene distinta la prestazione di nuovi servizi dalla gestione di nuove tipologie di OICR.

In particolare, per la prestazione di nuovi servizi, le SGR che hanno già avviato l’operatività devono dare comunicazione a Banca d’Italia, trasmettendo un nuovo programma di attività e una nuova relazione sulla struttura organizzativa, ad esempio per il servizio di gestione di portafoglio, servizi in materia di investimenti, servizi di ricezione e trasmissione ordini etc. Banca d’Italia rende noto entro il termine di 60 giorni dalla comunicazione se non esistono motivi ostativi alla prestazione di nuovi servizi o alle modifiche alla struttura organizzativa.

Invece, nei casi in cui la SGR abbia intenzione di gestire nuove tipologie di OICR, deve comunicarlo a Banca d’Italia almeno 30 giorni prima della loro istituzione. Inoltre, nei casi in cui la SGR sia autorizzata come gestore di FIA riservati ad investitori professionali ed intenda gestire fondi non riservati, è necessario comunicare a Banca d’Italia anche l’avvenuto adeguamento del capitale minimo iniziale da 500 mila euro a 1 milione di euro.

4.3. Gestori di fondi ELTIF, EuVECA e EuSEF

Il GEFIA italiano che intende gestire fondi ELTIF deve presentare domanda di autorizzazione a Banca d’Italia, che viene rilasciata entro 60 giorni, al fine di verificare il rispetto dei requisiti previsti dall’articolo 6 del Regolamento ELTIF. Se il fondo è destinato anche a investitori retail, alla domanda deve essere allegata ulteriore documentazione; così facendo Banca d’Italia valuterà anche il regolamento del fondo. Nel caso di SICAF o SICAV in gestione interna di nuova costituzione, l’autorizzazione alla gestione del fondo è rilasciata entro 90 giorni congiuntamente all’autorizzazione alla costituzione della SICAF o SICAV in gestione interna.

Con riferimento al GEFIA italiano che vuole gestire un fondo come EuVECA o EuSEF, è necessario presentare richiesta di autorizzazione a Banca d’Italia. Se il fondo è istituito in Italia e rispetta i requisiti europei, Banca d’Italia registra il fondo come EuVECA/EuSEF entro 60 giorni e, nel caso in cui questo sia il primo fondo della tipologia indicata, iscrive anche il gestore in una sezione speciale dell’albo. Successivamente alla registrazione, il gestore comunica entro 10 giorni l’avvio dell’attività.

Nei casi di superamento della soglia (opt-in), sia alla SGR sottosoglia sia alla SICAF sottosoglia in gestione interna, che gestiscono esclusivamente EuVECA ed EuSEF, si applica quanto previsto nel Titolo II, Capitolo I, Sezione VII, paragrafo 2, se è una SGR, oppure quanto previsto nel Titolo III, Capitolo I, Sezione III, paragrafo 2, se è una SICAF in gestione interna, nei casi di seguito riportati:

• in caso di superamento non temporaneo della soglia indicata, rispettivamente, all’articolo 2, paragrafo 1, lettera a), del Regolamento EuVECA o all’articolo 2, paragrafo 1, lettera a), del Regolamento EuSEF;
• in caso intendano assoggettarsi volontariamente, in qualsiasi momento successivo alla registrazione come gestore sottosoglia di EuVECA ed EuSEF, al regime dei gestori ordinari sopra soglia (c.d. opt in).

5. Prossimi passi

Alla luce di quanto rappresentato nei paragrafi precedenti, i destinatari dovrebbero svolgere, entro il termine dei sei mesi dall’entrata in vigore, una verifica complessiva dei propri assetti, processi, documentazione e presidi, al fine di accertare che non permangano aree che richiedano ulteriori interventi di adeguamento.

A titolo esemplificativo gli ambiti da valutare dovrebbero riguardare almeno:

• la coerenza degli statuti, dei regolamenti di gestione e della documentazione societaria e di prodotto rispetto alla nuova impostazione e razionalizzazione dei contenuti del Regolamento;
• l’adeguatezza dei programmi di attività, delle relazioni sulla struttura organizzativa e delle procedure interne rispetto alle nuove previsioni in materia di modifiche dell’operatività, prestazione di nuovi servizi e gestione di nuove tipologie di OICR;
• l’allineamento dei presidi organizzativi e di controllo alle disposizioni in materia di sostenibilità;
• la conformità dei processi relativi all’operatività transfrontaliera, anche alla luce degli aggiornamenti derivanti dalla disciplina AIFMD;
• la corretta applicazione delle regole relative a ELTIF, EuVECA, EuSEF e alle altre categorie di OICR oggetto di specifica disciplina.

In tale contesto, più in generale, i destinatari dovranno valutare se gli adeguamenti già effettuati in recepimento della Legge Capitali, della normativa ESG, della disciplina AIFMD, ELTIF, EuVECA, EuSEF siano pienamente coerenti con le modifiche apportate dal Provvedimento ciò pure in considerazione delle recenti novità introdotte dalla riforma del TUF.

L’attività di assessment dovrà essere svolta secondo un approccio proporzionato alla natura, dimensione e complessità dell’operatività di ciascun destinatario, tenendo conto delle attività effettivamente svolte, delle tipologie di OICR gestiti e della relativa struttura organizzativa adottata.

[1] Visto il decreto legislativo del 24 febbraio 1998, n.58 (Testo Unico delle disposizioni in materia di intermediazione finanziaria “TUF”), come da ultimo modificato dalla legge 5 marzo 2024, n.21 (“Legge Capitali”), recante interventi a sostegno della competitività dei capitali e, a titolo esemplificativo e non esaustivo: i) vista la necessità di coordinare la disciplina contenuta nel Regolamento sulla gestione collettiva del risparmio con la disciplina europea in materia di gestori di fondi EuVECA ed EuSEF, contenuta nei regolamenti (UE) 345/2013 e 346/2013 come modificati dal regolamento (UE) 2017/1991, con la disciplina europea sui gestori di fondi ELTIF, contenuta nel regolamento (UE) 2015/760 come modificato dal regolamento (UE) 2023/606, con la disciplina europea sui fondi comuni monetari, contenuta nel regolamento (UE) 2017/1131, e con la disciplina europea dei depositari di PEPP, contenuta nel regolamento (UE) 2019/1238; ii) tenuto conto degli Orientamenti dell’Autorità europea degli strumenti finanziari e dei mercati (ESMA) del 21 agosto 2024 sull’utilizzo di termini ambientali, sociali e di governance o relativi alla sostenibilità nelle denominazione dei fondi; iii) visto l’art. 16 della legge 5 marzo del 2024, n.21, (“Legge Capitali”), che ha semplificato il regime di vigilanza sulle SICAV e SICAF eterogestite; iv) visto il Regolamento delegato (UE) 2024/2759 della Commissione del 19 luglio 2024 che integra il regolamento (UE) 2015/760 del Parlamento europeo e del Consiglio per quanto riguarda le norme tecniche di regolamentazione che specificano i casi in cui i derivati saranno utilizzati unicamente allo scopo di copertura dei rischi inerenti ad altri investimenti del fondo di investimento europeo a lungo termine (ELTIF), i requisiti per la politica di rimborso e gli strumenti di gestione della liquidità dell’ELTIF, le circostanze per l’abbinamento delle richieste di trasferimento quote o azioni dell’ELTIF, taluni criteri per la liquidazione delle attività dell’ELTIF e taluni elementi dell’informativa sui costi; v) visto il Regolamento di esecuzione (UE) 2014/913 della Commissione, del 15 dicembre 2023, che stabilisce norme tecniche di attuazione per l’applicazione della direttiva 2011/61/UE (AIFMD) per quanto riguarda la forma e il contenuto delle informazioni da notificare circa le attività transfrontaliere dei gestori di fondi di investimento alternativi e lo scambio di informazioni tra autorità competenti sulle lettere di notifica transfrontaliera; vi) visto il Regolamento delegato (UE) 2022/1288 della Commissione del 6 aprile 2022 che integra il regolamento (UE) 2019/2088 del Parlamento europeo e del Consiglio per quanto riguarda le norme tecniche di regolamentazione che specificano i dettagli del contenuto e della presentazione delle informazioni relative al principio “non arrecare un danno significativo”, che specificano il contenuto, le metodologie e la presentazione delle informazioni relative agli indicatori di sostenibilità e agli effetti negativi per la sostenibilità, nonché il contenuto e la presentazione delle informazioni relative alla promozione delle caratteristiche ambientali o sociali e degli obiettivi di investimento sostenibile nei documenti precontrattuali, sui siti web e nelle relazioni periodiche.

[2] Circolare n.189 del 21 ottobre 1993.