1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 “Guida per l'attività di vigilanza” (la “Circolare”) la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri dell'azione di supervisione cartolare per l'intero perimetro dei soggetti vigilati direttamente: banche LSI, SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento.

Per gli istituti di moneta elettronica (IMEL) e gli istituti di pagamento (IP) lo SREP è condotto secondo gli schemi propri degli intermediari non bancari. Come le SGR, IMEL e IP non sono soggetti alla regolamentazione prudenziale “su tre pilastri” prevista per banche, SIM e intermediari finanziari: l'analisi si concentra sui profili trasversali, sui rischi operativi/ICT e sui presidi a tutela dei fondi della clientela [1]. Nella profilatura (Tavola 1b) rientrano Money Transfer, altri servizi di pagamento e l'emissione di moneta elettronica.

Lo SREP si articola in un ciclo di valutazione periodico e in un'eventuale fase di correzione/follow-up; si conclude con un giudizio (da 1 a 4) sulle aree di rischio e sui profili trasversali, base della successiva azione di vigilanza.

Proporzionalità. IMEL e IP, in quanto intermediari non bancari, non possono ricevere la classe 1 “Molto Alta”. La classe di priorità (Alta, Media, Bassa) deriva dalla combinazione di impatto (operatività e dimensione, es. volumi di pagamento e moneta elettronica emessa) e rischiosità (ultimo punteggio SREP), secondo la Tavola 4. Il ciclo è di norma annuale; i profili possono essere aggiornati ogni due anni (priorità Media) o tre anni (priorità Bassa) [2].

La griglia valutativa SREP
Per IMEL e IP i rischi operativi, ICT e di non conformità sono centrali, accanto ai profili trasversali:

Per IMEL e IP assume specifico rilievo, in via trasversale, la tutela dei fondi della clientela (segregazione e modalità di salvaguardia) e la continuità operativa dei servizi di pagamento.

2. Sistemi di governo e di controllo

La governance valuta i rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo: governo societario, organizzazione, Risk Appetite Framework, politiche di remunerazione (e loro effettiva applicazione) e funzioni di controllo (internal audit, risk management, compliance, antiriciclaggio).

Le criticità ricorrenti sulle funzioni di controllo – indipendenza insufficiente, risorse inadeguate, reporting al CdA carente, risk assessment non strutturato, eccessiva dipendenza da funzioni di gruppo – trovano riscontro nel Final Report ESMA dell'11 maggio 2026 sulla CSA 2025: pur riferito ai gestori, fornisce una checklist trasferibile a qualsiasi funzione di controllo, applicabile a IMEL e IP in chiave di proporzionalità [3]. Per questi intermediari assumono particolare rilievo i presidi AML/CFT e la sicurezza dei servizi di pagamento.

3. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1) e la sostenibilità del modello di business (Fase 2).

• Fase 1 (quantitativa): analisi sequenziale dal risultato di gestione (lordo e netto) al vaglio di un indicatore di efficienza.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti, anche in presenza di andamenti sfavorevoli; rilevano la strategia di offerta, l'andamento dei volumi e delle quote di mercato e la sostenibilità di modelli di business spesso caratterizzati da forte componente tecnologica e da dipendenza da partner/fornitori.

4. Rischi operativi, ICT e DORA

Per IMEL e IP i rischi operativi e ICT sono il profilo di rischio più rilevante. L'analisi valuta l'esposizione ai rischi operativi (anche reputazionali e di non conformità, con riguardo ai presidi AML/CFT) e ai rischi connessi alla gestione dei sistemi informativi, anche esternalizzati, e la capacità di governarli. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario; tra le aree di business che tipicamente generano rischi operativi la Circolare richiama i servizi di pagamento.

Rischi informatici e DORA. Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, inclusi IMEL e IP, a valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP [4] [5]. Il perimetro DORA include: ICT Risk Management Framework, notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate). Per i prestatori di servizi di pagamento rilevano inoltre i presidi di sicurezza richiesti dalla disciplina sui servizi di pagamento (autenticazione forte, gestione degli incidenti).

5. Adeguatezza patrimoniale e tutela dei fondi della clientela

Non essendo soggetti alla regolamentazione prudenziale su “tre pilastri”, IMEL e IP sono valutati secondo i requisiti patrimoniali loro propri (calcolati, a seconda dei casi, sulla base dei costi fissi, dei volumi di pagamento o della moneta elettronica in circolazione), tenendo conto dell'adeguatezza del capitale complessivo rispetto ai rischi assunti. È oggetto di specifica attenzione la corretta salvaguardia/segregazione dei fondi della clientela.

6. ESG e iniziative di vigilanza trasversale 2026

Le iniziative di vigilanza trasversale interessano anche IMEL e IP, in chiave proporzionale:

• Integrazione dei fattori ESG: valutazione dell'integrazione dei rischi di sostenibilità nella governance e nelle politiche aziendali.
• Buone prassi: aggiornamento delle policy di governance e controllo per integrare i rischi ESG.

7. Guida operativa

Il procedimento SREP si alimenta in continuo con le segnalazioni di vigilanza, le relazioni delle funzioni di controllo e gli esiti dell'autovalutazione ICT già effettuata.

Azioni interne prioritarie:

7.1 Governance, AML e tutela dei fondi

• Verificare l'indipendenza effettiva delle funzioni di controllo e dotarle di risorse adeguate; rafforzare i presidi AML/CFT.
• Verificare i presidi di salvaguardia/segregazione dei fondi della clientela e la relativa documentazione.

7.2 Rischi operativi, ICT e DORA

• Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 (già in possesso dell'Autorità) e documentare i rimedi.
• Tenere aggiornato il registro dei contratti con fornitori ICT, testare la notifica degli incidenti gravi via INFOSTAT e pianificare i TLPT per le entità identificate.
• Verificare i presidi di sicurezza dei servizi di pagamento (autenticazione forte, continuità operativa) e la gestione dei fornitori critici.

7.3 Modello di business e capitale

• Aggiornare l'analisi strategica e monitorare volumi e quote di mercato; verificare la copertura dei requisiti patrimoniali rispetto ai rischi assunti.

8. Documenti di riferimento

I documenti che ogni IMEL e Istituto di pagamento dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Note

[1] Banca d'Italia, Circolare n. 269 del 7 maggio 2008, 17° aggiornamento (Modulo SREP, L1, Cap. 1 – Ambito di applicazione; gli IMEL e gli Istituti di pagamento non sono soggetti a regolamentazione prudenziale “su tre pilastri”).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[2] Circolare 269, Modulo SREP, L1 – Proporzionalità e classi di priorità per gli intermediari non bancari (Tavola 4).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[3] ESMA, Final Report on the Common Supervisory Action on Compliance and Internal Audit Functions, 11 maggio 2026.
https://www.esma.europa.eu/sites/default/files/2026-05/ESMA34-1436284137-2305_Final_Report_on_the_Common_Supervisory_Action_on_Compliance_and_Internal_Audit_Functions.pdf

[4] Banca d'Italia, Comunicazione al mercato in materia di sicurezza ICT, 23 dicembre 2024.
https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2024.12.23-com-ict/index.html

[5] Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025.
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554