DORA: la BaFin annuncia semplificazioni per la prima revisione contabile

La BaFin chiarisce: ci saranno semplificazioni per le istituzioni finanziarie interessate durante la revisione iniziale della DORA.
Categorie:
Immagine di  Aristotelis Zervos

Aristotelis Zervos

Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei datiConformità informatica e regolamentazione dell'IA.

Il Legge sulla resilienza operativa digitale (DORA) ha imposto agli istituti finanziari di rendere i propri sistemi informatici, i processi e le architetture di sicurezza resistenti agli incidenti informatici o alle interruzioni operative a partire dal 17 gennaio 2025. Allo stesso tempo, la DORA rende più stringenti i requisiti di tracciabilità: l'implementazione deve essere documentata in modo esaustivo e presentata in modo trasparente nell'ambito degli audit. In questo modo si chiarisce che non solo la resilienza tecnica, ma anche la Documentazione è un elemento centrale del nuovo regolamento. Tuttavia, la BaFin ha annunciato semplificazioni per la prima revisione contabile.

Il DORA come nuova realtà di audit

Per le revisioni dei bilanci, ciò significa un ampliamento della portata della revisione: oltre ai precedenti requisiti BAIT (requisiti di vigilanza bancaria per l'IT), ZAIT (requisiti di vigilanza dei servizi di pagamento per l'IT) e KAIT (requisiti di vigilanza delle società di gestione del capitale per l'IT), i requisiti DORA si stanno imponendo come una nuova dimensione di revisione.

Queste circolari nazionali contengono ciascuna requisiti minimi dettagliati per la governance IT, la gestione della sicurezza, i concetti di emergenza e la gestione dell'outsourcing. I primi cicli di audit previsti dalla DORA sono particolarmente importanti, in quanto consentono all'autorità di vigilanza e alle aziende di valutare per la prima volta in modo indipendente lo stato di attuazione.

In questo contesto, la BaFin ha illustrato due semplificazioni pratiche per la prima revisione di società finanziarie sottoposte a vigilanza diretta in una lettera all'Istituto dei revisori pubblici tedeschi (IDW) dell'11 agosto 2025.

Esenzione dall'obbligo di denuncia per i difetti completamente eliminati

In pratica, si può presumere che un gran numero di rilievi si verifichi nel primo anno di applicazione del DORA. Tuttavia, molte di queste carenze vengono corrette nello stesso periodo di audit. Anche perché alcuni degli standard tecnici necessari (RTS/ITS) sono stati pubblicati solo molto tardi. Ad esempio, per quanto riguarda il sistema di reporting, il registro delle informazioni o il subappalto.

Secondo i principi di revisione pertinenti, tali carenze corrette dovrebbero essere elencate anche nella relazione di revisione. Tuttavia, ciò potrebbe portare a una Sovraccarico e confusione piombo.

La BaFin autorizza quindi questo per il periodo transitorio:

  • SemplificazioneLe carenze che sono già state completamente eliminate non devono comparire in dettaglio nel rapporto di revisione.
  • Obbligo di informazioneTuttavia, il revisore deve sottolineare brevementeche nel periodo di riferimento ci sono state carenze che sono state corrette. In questo modo, i destinatari del rapporto possono fare domande.
  • DocumentazioneI risultati rimangono nelle carte di lavoro interne del revisore e sono quindi ancora rintracciabili.
  • ChiarimentiL'agevolazione riguarda solo la Segnalazionema non il Esecuzione dell'audit.


A partire dagli anni successivi, si applica nuovamente l'obbligo di segnalazione completa di tutti i risultati.

Oggetto della revisione contabile in caso di esercizio finanziario diverso 2024/2025

Per gli istituti finanziari con un esercizio finanziario che si discosta dall'anno solare (ad esempio, da luglio 2024 a giugno 2025), si pone il problema di quali requisiti debbano essere esaminati a partire dal 17 gennaio 2025. Questo problema riguarda in particolare gli istituti il cui esercizio finanziario cade sia prima dell'entrata in vigore della DORA sia nei primi mesi successivi.

La BaFin chiarisce:

  • Un audit completo del DORA in questo periodo intermedio è escluso, poiché la legge sulla digitalizzazione dei mercati finanziari (FinmadiG) prevede disposizioni transitorie.
  • Ciononostante, l'obbligo di effettuare un audit IT rimane come parte dell'audit di adeguatezza ed efficacia della gestione del rischio e dell'organizzazione aziendale.
  • Durante questo periodo, l'audit dovrebbe basarsi su BAIT, ZAIT e KAIT, nella misura in cui i loro requisiti sono inclusi anche nel DORA.
  • I requisiti DORA che vanno oltre le precedenti circolari nazionali non sono oggetto dell'audit.


Questo crea un chiaro quadro di transizione: Da un lato, garantisce che gli aspetti chiave della governance e della resilienza dell'IT continuino a essere rivisti. Dall'altro, le aziende non sono gravate da un cambio completo a metà dell'anno finanziario. Questa soluzione evita la duplicazione degli audit e crea chiarezza per i revisori e le aziende su come delineare le voci di audit nell'anno di transizione. Inoltre, favorisce la continuazione della pratica di revisione senza incorrere in spese aggiuntive eccessive.

Suggerimento di lettura: La BaFin pubblica una guida sui requisiti di documentazione

Audit DORA 2025: valutazione e prospettive

Per gli istituti sottoposti a vigilanza, le semplificazioni comportano una notevole riduzione nel primo anno di audit. In particolare, la possibilità di non dover più segnalare nel dettaglio le carenze completamente sanate riduce significativamente l'onere del lavoro di follow-up e della successiva comunicazione. Allo stesso tempo, la chiara demarcazione per gli esercizi finanziari diversi consente una migliore pianificazione: le imprese sanno che non saranno immediatamente soggette a una revisione completa in conformità con la DORA durante il periodo di transizione, ma continueranno a essere sottoposte a revisione nel quadro familiare (BAIT/ZAIT/KAIT).

La lettera della BaFin crea certezza giuridica e chiari standard di revisione per i revisori. Senza questo chiarimento, ci sarebbe stato il rischio che i revisori fossero costretti a elencare numerose carenze già risolte, il che avrebbe sovraccaricato la relazione e ridotto il valore aggiunto per l'autorità di vigilanza. Con la soluzione scelta, la relazione di revisione si concentra sulle principali carenze ancora presenti alla fine del periodo. Ciò aumenta la leggibilità e la rilevanza per il processo decisionale di destinatari quali i consigli di vigilanza o la stessa BaFin.

Con queste semplificazioni la BaFin persegue un obiettivo chiaro: ridurre l'onere per gli istituti e garantire al contempo la qualità della revisione. L'obbligo di fornire informazioni nella relazione significa che il necessario Trasparenza ricevuto. Se un istituto o l'autorità di vigilanza hanno dubbi sulle carenze che sono state corrette, possono essere chiariti attraverso le carte di lavoro o il dialogo con i revisori. L'autorità di vigilanza non perde quindi alcuna informazione, ma si limita a ridurre l'onere formale di segnalazione.

Le semplificazioni descritte si applicano solo all'audit iniziale del 2025. A partire dall'esercizio finanziario 2025/2026, l'audit DORA completo sarà obbligatorio e tutte le risultanze dovranno essere nuovamente comunicate in modo completo. Ciò include anche i rilievi risolti durante il periodo di rendicontazione. Le società finanziarie dovrebbero quindi sfruttare la fase di transizione per completare rapidamente e integralmente i loro progetti di implementazione del DORA.

Ci si aspetta inoltre che la Bafin tragga preziose indicazioni sulle pratiche di attuazione dai primi audit. Questi saranno presumibilmente incorporati nelle future priorità di audit, linee guida o circolari. È quindi strategicamente consigliabile non solo implementare il minimo per soddisfare le norme transitorie, ma anche garantire un elevato livello di conformità al DORA fin dalle prime fasi.

Concentrarsi sui rischi principali

Con le due semplificazioni

  1. Esenzione dall'obbligo di denuncia per i difetti eliminati e
  2. Regolamento transitorio per gli esercizi finanziari in deroga 


La BaFin tiene conto delle sfide particolari dell'audit iniziale DORA.

Le misure forniscono sollievo, certezza giuridica e maggiore leggibilità delle relazioni di revisione senza compromettere la qualità della revisione. Allo stesso tempo, la BaFin lancia un segnale: anche nel primo anno, l'attenzione non è rivolta alla completezza formale delle relazioni, ma al contenuto dei rischi rilevanti.

Per le istituzioni, tuttavia, questo non significa una carta bianca, ma piuttosto una richiesta di implementazione coerente del DORA per soddisfare tutti i requisiti al più tardi a partire dal 2026.

Fonte: Lettera del BaFin dell'11 agosto 2025 all'Istituto dei revisori dei conti pubblici in Germania (IDW)

La nostra offerta: Come esperti di protezione dei dati, Conformità e la gestione del rischio, vi supportiamo nell'implementazione dei requisiti DORA. Fissate un appuntamento per conoscerci e lavorare insieme per rendere la vostra organizzazione a prova di futuro.

Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPRconformità informatica e governance dell'IA. Pubblica regolarmente articoli di approfondimento sulla regolamentazione dell'IA, sulla conformità al GDPR e sulla gestione del rischio. Per saperne di più su di lui, visitate il sito Pagina del profilo dell'autore.

Tag:
Condividi questo post :