1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 “Guida per l'attività di vigilanza” (la “Circolare”) la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri dell'azione di supervisione cartolare per l'intero perimetro dei soggetti vigilati direttamente: banche LSI, SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento.

Per gli intermediari finanziari iscritti all'albo unico ex art. 106 TUB (“Intermediari Finanziari” o “IF”) lo SREP è condotto in coerenza con le linee guida EBA e con le disposizioni di vigilanza loro applicabili. Nella profilatura della Circolare (Tavola 1b) gli IF includono attività creditizia delle finanziarie (leasing, factoring, credito ai consumatori e prestiti personali, cessione del quinto, altri finanziamenti), rilascio di garanzie, attività di servicing e gestione di bad finance, oltre a confidi, operatori di microcredito, prestito su pegno e fiduciarie statiche [1].

Lo SREP si articola in un ciclo di valutazione periodico e in un'eventuale fase di correzione/follow-up; si conclude con un giudizio (da 1 a 4) sulle aree di rischio e sui profili trasversali, base della successiva azione di vigilanza.

Proporzionalità. Gli IF, in quanto intermediari non bancari, non possono ricevere la classe 1 “Molto Alta”. La classe di priorità (Alta, Media, Bassa) deriva dalla combinazione di impatto (operatività e dimensione) e rischiosità (ultimo punteggio SREP), secondo la Tavola 4. Il ciclo è di norma annuale; i singoli profili possono essere aggiornati ogni due anni (priorità Media) o tre anni (priorità Bassa) [2].

La griglia valutativa SREP
Per gli IF, attivi prevalentemente nel credito, l'analisi del rischio di credito assume rilievo centrale, accanto ai profili trasversali e ai rischi operativi:

2. Sistemi di governo e di controllo

La governance valuta i rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo: governo societario, organizzazione, Risk Appetite Framework, politiche di remunerazione (e loro effettiva applicazione), risk data aggregation e funzioni di controllo (internal audit, risk management, compliance, antiriciclaggio).

Le criticità ricorrenti sulle funzioni di controllo – indipendenza insufficiente, risorse inadeguate, reporting al CdA carente, risk assessment non strutturato, eccessiva dipendenza da funzioni di gruppo – trovano riscontro nel Final Report ESMA dell'11 maggio 2026 sulla CSA 2025 (compliance e internal audit); pur riferito ai gestori, il Report offre una checklist utile per qualsiasi funzione di controllo, applicabile anche agli IF in chiave di proporzionalità [3]. Per gli IF assumono particolare rilievo i presidi AML/CFT, tenuto conto della prossimità alla clientela retail (credito ai consumatori, cessione del quinto).

3. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1) e la sostenibilità del modello di business (Fase 2).

• Fase 1 (quantitativa): per gli IF, come per gli altri intermediari non bancari, l'analisi è sequenziale: dal risultato di gestione (lordo e netto) al vaglio di un indicatore di efficienza.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti, anche in presenza di andamenti sfavorevoli; rilevano le caratteristiche della strategia di offerta e l'andamento delle quote di mercato nei comparti di specializzazione (leasing, factoring, credito al consumo, garanzie, servicing).

4. Rischio di credito, tasso e liquidità

4.1 Rischio di credito e di controparte
È il profilo più rilevante per la generalità degli IF. Per gli intermediari non bancari la qualità creditizia si basa su indicatori che misurano lo stock e il tasso di generazione dei crediti deteriorati, nonché l'impatto delle relative perdite. L'analisi della concentrazione è guidata dalla diversificazione del portafoglio prestiti per affidato e per settore di attività economica. Per gli IF specializzati in servicing e gestione di bad finance rilevano la qualità e l'efficacia dei processi di recupero.

4.2 Rischio di tasso d'interesse
Per gli intermediari non bancari l'apprezzamento si basa sul calcolo della variazione del valore economico del portafoglio bancario indotta dalle oscillazioni dei tassi in uno scenario di base e in uno di stress, tenendo conto dell'indicatore di rischiosità previsto dalle disposizioni di vigilanza.

4.3 Rischio di liquidità
Si valuta la capacità di fronteggiare gli impegni di pagamento e l'equilibrio fonti-impieghi nel medio/lungo periodo, con attenzione alla concentrazione delle fonti di finanziamento e all'incidenza del finanziamento unsecured – profilo critico per gli IF, spesso dipendenti dal funding bancario o di gruppo.

5. Rischi operativi, ICT e DORA

L'analisi valuta l'esposizione ai rischi operativi e ICT (anche esternalizzati) e la capacità di governarli, insieme ai rischi reputazionali e di non conformità. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario.

Rischi informatici e DORA.
Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, inclusi gli IF, a valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP [4] [5]. Il perimetro DORA include: ICT Risk Management Framework, notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate).

6. Adeguatezza patrimoniale e P2R/P2G

Il grado di patrimonializzazione è valutato in due fasi: la copertura dei coefficienti imposti con la decisione sul capitale (OCR/Target ratio) e il giudizio sull'adeguatezza del capitale complessivo rispetto a tutti i rischi rilevanti, a partire dall'autovalutazione interna ove prevista.

Una specificità degli IF: laddove sia previsto l'esame dell'ICAAP, i requisiti patrimoniali aggiuntivi possono essere considerati, a discrezione della struttura di vigilanza, vincolanti (P2R) ovvero come target di capitale (P2G). Inoltre, in presenza di una situazione tecnica soddisfacente e di un'adeguata dotazione di capitale rispetto alle esigenze ex SREP in condizioni ordinarie e di stress, la struttura di vigilanza ha facoltà di non richiedere capitale aggiuntivo a seguito dell'esame dell'ICAAP.

7. ESG e iniziative di vigilanza trasversale 2026

Le iniziative di vigilanza trasversale interessano anche gli IF:

• Integrazione dei fattori ESG: valutazione dell'integrazione dei rischi di sostenibilità nella governance, nel RAF e nelle politiche di credito (es. rischi climatici sui portafogli leasing e immobiliari sottostanti).
• Buone prassi: task force multidisciplinari, aggiornamento delle policy di governance e controllo per integrare i rischi ESG, stress test di scenario climatico.

8. Guida operativa

La preparazione al percorso SREP si alimenta in continuo con le segnalazioni di vigilanza, le relazioni delle funzioni di controllo e gli esiti dell'autovalutazione ICT già trasmessa. Azioni interne prioritarie:

8.1 Governance e funzioni di controllo

• Verificare l'indipendenza effettiva di compliance, internal audit e risk management e dotarle di risorse adeguate al profilo di rischio reale.
• Strutturare il reporting al CdA e documentare formalmente il risk assessment di compliance; rafforzare i presidi AML/CFT, in particolare nel credito retail.

8.2 Rischio di credito e adeguatezza patrimoniale

• Predisporre un cruscotto sulla qualità del credito (stock e tasso di generazione dei deteriorati, impatto delle perdite) e sulla concentrazione per affidato e settore.
• Allineare l'ICAAP (ove previsto) alle attese e documentare la coerenza con il RAF, anticipando l'impatto di scenari avversi su capitale e funding.

8.3 Rischi ICT e DORA

• Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 e documentare i rimedi.
• Tenere aggiornato il registro dei contratti con fornitori ICT e testare la notifica degli incidenti gravi via INFOSTAT; pianificare i TLPT per le entità identificate.

9. Documenti di riferimento

I documenti che ogni intermediario finanziario dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Note

[1] Banca d'Italia, Circolare n. 269 del 7 maggio 2008, 17° aggiornamento (Modulo SREP, L1, Cap. 1 – Ambito di applicazione e Tavola 1b, attività prevalenti degli intermediari non bancari).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[2] Circolare 269, Modulo SREP, L1 – Proporzionalità e classi di priorità per gli intermediari non bancari (Tavola 4).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[3] ESMA, Final Report on the Common Supervisory Action on Compliance and Internal Audit Functions, 11 maggio 2026.
https://www.esma.europa.eu/sites/default/files/2026-05/ESMA34-1436284137-2305_Final_Report_on_the_Common_Supervisory_Action_on_Compliance_and_Internal_Audit_Functions.pdf

[4] Banca d'Italia, Comunicazione al mercato in materia di sicurezza ICT, 23 dicembre 2024.
https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2024.12.23-com-ict/index.html

[5]Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025.
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554