1. Premessa

Con il 17° aggiornamento della Circolare n. 269/2008 “Guida per l'attività di vigilanza” (la “Circolare”) la Banca d'Italia ha ristrutturato la Guida su base modulare e, per la prima volta, ha reso pubblici i principi generali, le logiche degli schemi di analisi e i criteri che orientano l'azione di supervisione cartolare. Tali contenuti non riguardano una singola categoria di intermediari, ma l'intero perimetro dei soggetti vigilati direttamente dalla Banca d'Italia: banche e gruppi bancari less significant (LSI), SIM, SGR e SICAV, intermediari finanziari ex art. 106 TUB, IMEL e Istituti di pagamento.

Per le banche LSI – che restano sottoposte alla vigilanza diretta della Banca d'Italia, mentre le banche significative (SI) sono vigilate dalla BCE tramite i Joint Supervisory Team – lo SREP rappresenta il fulcro del processo di vigilanza prudenziale. La Guida disciplina lo SREP per tutte le tipologie di intermediari diversi dalle SI [1].

Lo SREP (Supervisory Review and Evaluation Process) è finalizzato ad accertare che gli intermediari si dotino di presidi di natura patrimoniale e organizzativa appropriati rispetto ai rischi assunti, assicurando il complessivo equilibrio gestionale. Il processo è condotto in linea con le Linee Guida EBA sullo SREP (EBA/GL/2022/03) e si articola in due fasi: un “ciclo di valutazione” periodico e un'eventuale fase di “correzione/follow-up”. L'esito è un giudizio sulle aree di rischio e sui profili trasversali che confluisce nel punteggio complessivo, sulla cui base è definita la successiva azione di vigilanza (richieste informative, interventi correttivi, decisione sul capitale, misure di intervento precoce).

Rilevante è il principio di proporzionalità: le banche LSI sono ripartite, in coerenza con la metodologia SSM e il CRR, in tre categorie – High Impact (dimensioni e business model), Small-non-complex institution (ridotta dimensione, complessità e rischiosità) e Altri intermediari (incluse le banche High Risk). A ciascuna categoria corrisponde una classe di priorità che gradua intensità, frequenza e ampiezza dell'azione di vigilanza. Le LSI individuate come High Impact sono valutate con le metodologie SSM (LSI SREP Methodology); gli schemi della 269 servono per approfondimenti ed eventuali modifiche dei punteggi [2].

La griglia valutativa SREP e le classi di priorità
Lo SREP si conclude con l'attribuzione di un giudizio da 1 (migliore) a 4 (peggiore) su ciascuna area di rischio e profilo trasversale, che confluisce nel giudizio complessivo:

La classe di priorità delle banche LSI segue la Tavola 3 della Circolare: 1. Molto Alta – eventuali LSI individuate come O-SII; 2. Alta – High Impact LSI; 3. Media – Altri intermediari LSI (incluse le High Risk); 4. Bassa – Small-non-complex LSI. Il processo di attribuzione delle High Impact è annuale, quello delle High Risk trimestrale.

2. Sistemi di governo e di controllo

La governance è il primo profilo trasversale e ha per oggetto la valutazione dei rischi derivanti dall'inadeguatezza degli assetti di governo, organizzativi e di controllo. L'analisi copre:

• il sistema di governo societario: assetti proprietari, modello di amministrazione e controllo (organi di supervisione strategica, gestione e controllo);
• l'organizzazione aziendale: macrostruttura, sistemi di programmazione e controllo direzionale (inclusa, ove rilevante, la pianificazione del risanamento), sistemi informatici e tecnologici;
• il risk management framework, in particolare il Risk Appetite Framework (RAF);
• le politiche di remunerazione adottate e la loro effettiva applicazione;
• il sistema di risk data aggregation e di rendicontazione dei rischi e la diffusione della cultura del rischio;
• le funzioni di controllo: internal audit, risk management, conformità (compliance) e antiriciclaggio (AML).

Il giudizio si fonda su una valutazione sintetica e ponderata del livello di rischio complessivo. Le criticità ricorrenti rilevate dall'Autorità in materia di funzioni di controllo trovano riscontro nel Final Report ESMA dell'11 maggio 2026 sulla Common Supervisory Action (CSA) 2025 su compliance e internal audit, cui la Banca d'Italia ha partecipato: indipendenza insufficiente delle funzioni di controllo, risorse inadeguate, reporting al CdA carente, risk assessment non strutturato, eccessiva dipendenza da funzioni di gruppo [3].

3. Modello di business e redditività

L'analisi valuta la capacità di reddito (Fase 1 – viability) e la sostenibilità del modello di business (Fase 2 – sustainability).

• Fase 1 (quantitativa): per le banche la capacità di reddito è analizzata tramite quattro indicatori che misurano la redditività complessiva, la capacità di generare ricavi caratteristici, il grado di efficienza e il costo del rischio di credito.
• Fase 2 (qualitativa): modalità di definizione degli obiettivi strategici e capacità di tradurli in interventi coerenti sulle variabili organizzative, anche in presenza di andamenti sfavorevoli; per le banche medio-grandi rilevano le caratteristiche della strategia di offerta e l'andamento delle quote di mercato, con attenzione all'ingresso in nuovi mercati o all'offerta di nuovi prodotti.

Il punteggio di profilo integra la valutazione della redditività (Fase 1) con quella del modello di business (Fase 2). La Fase 2 tiene conto anche dei presidi a fini AML/CFT.

4. Aree di rischio tecniche: credito, mercato, tasso, liquidità

4.1 Rischio di credito e di controparte
L'analisi misura la qualità del credito, il livello di copertura e la concentrazione del portafoglio prestiti, oltre ai presidi organizzativi. Per le banche la qualità creditizia e il coverage sono esaminati sia sulla componente non-performing (stock, tasso di generazione e coverage degli NPL) sia su quella performing (stock e coverage dei crediti in stage 2). La concentrazione è guidata dai criteri delle “grandi esposizioni”, con analisi per affidato e per settore di attività economica.

4.2 Rischi di mercato
Per le banche i rischi da negoziazione si misurano ponderando equamente tre indicatori complementari; la fase di approfondimento quantitativo ha per oggetto l'operatività in titoli e derivati e le prove di stress.

4.3 Rischio di tasso d'interesse (IRRBB) e CSRBB
L'apprezzamento dell'IRRBB si basa su indicatori dell'esposizione nella duplice prospettiva del valore economico e del margine di interesse, secondo gli shock regolamentari, confrontati con un sistema di soglie che tiene conto dei limiti regolamentari (Supervisory Outlier Test, SOT). Il rischio derivante da variazioni dei differenziali creditizi (CSRBB), se materiale, è incluso nella valutazione.

4.4 Rischio di liquidità
Si valuta la capacità di fronteggiare gli impegni di pagamento nel breve/medio termine e l'equilibrio fonti-impieghi nel medio/lungo periodo: concentrazione delle fonti, qualità delle attività prontamente liquidabili, incidenza del finanziamento unsecured, presidi AML/CFT.

5. Rischi operativi, ICT e DORA

L'analisi valuta l'esposizione ai rischi operativi e ai rischi connessi alla gestione dei sistemi informativi (ICT), anche esternalizzati, oltre alla capacità di governarli. Concorrono alla valutazione i rischi reputazionali e il rischio di non conformità, con particolare riguardo ai presidi AML/CFT. La misurazione del rischio ICT è calibrata sulla complessità dell'intermediario.

Rischi informatici e DORA. Con la Comunicazione al mercato del 23 dicembre 2024 la Banca d'Italia ha richiamato tutti gli intermediari vigilati, incluse le banche, alla necessità di valutare il proprio posizionamento rispetto al Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. L'autovalutazione del framework di ICT risk management è stata trasmessa entro il 30 aprile 2025 ed è già in possesso dell'Autorità, che la userà come base valutativa nello SREP [4] [5].
Il perimetro DORA include: ICT Risk Management Framework, classificazione e notifica degli incidenti ICT gravi tramite INFOSTAT, registro dei contratti con fornitori ICT terzi e test di resilienza (TLPT per le entità identificate).

6. Adeguatezza patrimoniale, P2R/P2G e leva
Il grado di patrimonializzazione è valutato in due fasi: la copertura dei coefficienti imposti con la decisione sul capitale (OCR ratio comprensivo delle riserve e Target ratio) e il giudizio sull'adeguatezza del capitale complessivo rispetto a tutti i rischi rilevanti, anche prospettici, a partire dall'autovalutazione ICAAP/ILAAP.

All'esito del ciclo viene assunta, ove prevista, la decisione sul capitale: requisiti patrimoniali aggiuntivi vincolanti (P2R), espressi in percentuale sugli RWA di Primo Pilastro, ed eventuali target di capitale (P2G). I P2R sono disposti per coprire rischi non coperti dal Primo Pilastro emersi nell'ICAAP, rilevanti carenze nei sistemi di governo e gestione dei rischi, prolungato disallineamento dai target, carenze nei sistemi interni di misurazione. In presenza di rischio di leva finanziaria eccessiva può essere richiesto capitale addizionale anche rispetto alle metriche di Leverage Ratio.

7. ESG e iniziative di vigilanza trasversale 2026

La pubblicazione dei criteri SREP si accompagna a iniziative di vigilanza trasversale che interessano tutti gli intermediari, banche LSI incluse:

• Integrazione dei fattori ESG: l'Autorità valuta l'integrazione dei rischi climatici e ambientali nella governance, nel RAF, nel risk management e nelle politiche di remunerazione, in coerenza con le aspettative di vigilanza in materia di sostenibilità.
• Esercizi e stress test di scenario climatico: l'inclusione dei rischi ESG negli stress test e nei processi interni è ormai parametro di valutazione.

8. Guida operativa

Il procedimento SREP si alimenta in continuo con le segnalazioni di vigilanza, l'ICAAP/ILAAP, le relazioni delle funzioni di controllo e gli esiti dell'autovalutazione ICT già trasmessa. Di seguito le azioni interne prioritarie per area.

8.1 Governance e funzioni di controllo

• Verificare l'indipendenza effettiva (non solo formale) di compliance, internal audit e risk management: linee di riporto, accesso alle informazioni, assenza di conflitti nella remunerazione.
• Dotare le funzioni di controllo di risorse adeguate al profilo di rischio reale; il Final Report ESMA segnala come criticità sistemica i casi con meno di 1 FTE dedicato.
• Strutturare il reporting al CdA (almeno semestrale, meglio trimestrale) con ordine del giorno fisso, evidenza di anomalie, follow-up e azioni correttive con scadenza.
• Documentare formalmente il risk assessment di compliance, aggiornato almeno annualmente; non basta quello del gruppo, che spesso sottostima i rischi locali.
• Aggiornare i piani strategici e verificare l'effettiva applicazione delle politiche di remunerazione (criteri di individuazione del personale più rilevante, obiettivi, misurazione della performance).

2 Rischi tecnici e adeguatezza patrimoniale

• Allineare ICAAP/ILAAP alle attese: documentare la quantificazione dei rischi di Secondo Pilastro e la coerenza con il RAF e con i risultati degli stress test.
• Predisporre un cruscotto sulla qualità del credito (NPL e stage 2), sulla concentrazione (grandi esposizioni) e sull'IRRBB rispetto alle soglie SOT.
• Monitorare i coefficienti OCR e Target e il Leverage Ratio, anticipando l'impatto di scenari avversi.

8.3 Rischi ICT e DORA

• Verificare i gap dell'autovalutazione ICT trasmessa ad aprile 2025 (già in possesso dell'Autorità) e documentare le azioni correttive.
• Tenere aggiornato il registro dei contratti con fornitori ICT e testare le procedure di notifica degli incidenti gravi via INFOSTAT.
• Pianificare i test di resilienza (TLPT) per le entità identificate.

9. Documenti di riferimento

I documenti che ogni banca LSI dovrebbe avere letto e mappato rispetto alla propria situazione interna sono i seguenti:

Note

[1] Banca d'Italia, Circolare n. 269 del 7 maggio 2008, Guida per l'attività di vigilanza, 17° aggiornamento (Modulo SREP, L1, Cap. 1 – Ambito di applicazione).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[2] Circolare 269, Modulo SREP, L1 – Qualificazione degli intermediari, proporzionalità e classi di priorità (Tavola 3).
https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c269/index.html

[3] ESMA, Final Report on the Common Supervisory Action on Compliance and Internal Audit Functions, 11 maggio 2026.
https://www.esma.europa.eu/sites/default/files/2026-05/ESMA34-1436284137-2305_Final_Report_on_the_Common_Supervisory_Action_on_Compliance_and_Internal_Audit_Functions.pdf

[4] Banca d'Italia, Comunicazione al mercato in materia di sicurezza ICT, 23 dicembre 2024.
https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2024.12.23-com-ict/index.html

[5] Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025.
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554