La rivoluzione digitale sta cambiando con sempre maggiore velocità le operazioni dei fondi pensione, spinta ulteriormente dalla progressiva internalizzazione dei supporti di Intelligenza artificiale (IA). Tuttavia, tale cambiamento porta con sé la necessità di rafforzare l’apparato di gestione dei rischi ICT, poiché l’uso sempre più intensivo dell’IA amplifica l’esposizione a tali rischi e la vulnerabilità dei dati degli enti e dei suoi iscritti/beneficiari. In definitiva, la gestione dei rischi ICT prevista dal Regolamento DORA si intreccia sempre più con la protezione dei dati personali e con la disciplina sull'intelligenza artificiale. 

 Il Regolamento DORA individua nella formazione a tutti i livelli uno dei pilastri del sistema di gestione dei rischi ICT; parimenti l’IA Act individua nell’alfabetizzazione del personale uno dei presidi alla base di un corretto uso dell’IA. L'art. 5(4) DORA prevede che gli organi di gestione sono obbligati a sviluppare e mantenere conoscenze adeguate a comprendere e valutare i rischi informatici anche seguendo una formazione specifica su base regolare, commisurata ai rischi informatici gestiti. L'art. 13(6) postula l'elaborazione di programmi di sensibilizzazione sulla sicurezza ICT nonché attività di formazione sulla resilienza operativa digitale, che rappresentano moduli obbligatori nei programmi di formazione del personale. Tali programmi e attività di formazione riguardano tutti i dipendenti e gli alti dirigenti, e presentano un livello di complessità commisurato alle loro funzioni. Se del caso, le entità finanziarie includono anche i fornitori terzi di servizi ICT in tali attività. Da ultimo, il Capo II del Regolamento delegato (UE) 2024/1774, espressamente dedicato alle risorse umane, punta a dotare i dipendenti delle competenze e della consapevolezza necessarie per individuare le minacce e prevenire il rischio di incidenti informatici causati dall'errore umano. Il nuovo art. 4 dell’IA Act pone in capo ai deployers obblighi di alfabetizzazione sull’IA a beneficio del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e  formazione,  nonché il  contesto in  cui  i  sistemi di  IA devono essere  utilizzati,  e  tenendo  conto  delle persone  o  dei gruppi di persone su cui i sistemi di IA devono essere utilizzati. 

Il 16 settembre partirà la terza edizione del Corso sul Regolamento DORA, percorso dedicato alle strutture amministrative, manageriali, operative e di controllo che ha come obiettivo quello di offrire gli strumenti più aggiornati per una efficiente gestione dei rischi ICT. Il corso prevede dodici ore di formazione in aula virtuale, distribuite in tre lezioni, dalle 9.30 alle 13.30. È previsto il rilascio di un Attestato di partecipazione, inoltre la registrazione consentirà la fruizione asincrona delle lezioni. 

Il percorso si aprirà ripercorrendo il quadro normativo complessivo, anche alla luce delle novità che si stanno palesando con il pacchetto Omnibus digitale. Saranno poi richiamati i presidi di governance da porre in essere. Particolare attenzione sarà data alla gestione dei rischi ICT, con una analisi delle esperienze fin qui maturate e con l’illustrazione delle tecniche di mitigazione adottate. Un focus sarà dedicato allo studio dei metodi quantitativi di gestione del rischio ICT mutuabili da altri contesti finanziari che, ancorché non obbligatori, possono offrire utili spunti di riflessione per l’aggiornamento del quadro dei controlli interni. Particolare attenzione sarà data al tema degli incidenti ICT, anche alla luce dei recenti interventi Covip in materia di furti di identità digitale e del primo rapporto sugli incidenti gravi delle ESAs che identifica nell'esfiltrazione/manipolazione di dati mediante tecniche di social engineering quali phishing e vishing uno dei principali rischi informatici. Ci sarà modo di confrontarsi sulle implicazioni DORA in materia di privacy oltre che sugli sviluppi relativi all’audit ICT. Il corso si chiuderà con una testimonianza della Covip, incentrata sui profili della vigilanza, sia nazionali, sia nell’ambito del Quadro di sorveglianza sui fornitori terzi critici di servizi ICT operante a livello UE.
 

Calendario del corso
 

Modalità: aula virtuale   ·   Durata: 12 ore   ·   Scadenza iscrizioni: 9 settembre 2026

Programma
 

Destinatari: consiglieri di amministrazione, organi dirigenziali, funzioni fondamentali, personale degli enti e fornitori di servizi ICT.
 

Ulteriori informazioni sull’organizzazione del corso e sulle modalità di iscrizione sono disponibili sul sito Mefop.