- IVASS può ispezionare i locali dei fornitori esternalizzati con sede in altri Stati UE delle imprese italiane.
- L'autorità competente dello Stato del fornitore è preventivamente informata e l'ispezione può essere delegata.
- Le autorità UE di origine di compagnie operanti in Italia possono ispezionare fornitori esternalizzati in Italia.
- In caso di impedimento l'ispezione può essere rinviata a EIOPA ai sensi del reg. UE 1094/2010.
Testo dell'articoloVigente
Art. 205-bis D.Lgs. 209/2005 — (Vigilanza sulle funzioni e le attività esternalizzate dalle imprese aventi sede nel territorio della Repubblica)
D.Lgs. 7 settembre 2005, n. 209 — Codice delle assicurazioni private
((
1. L'IVASS può effettuare, direttamente o attraverso persone appositamente incaricate, ispezioni nei locali del fornitore delle attività esternalizzate avente sede in altro Stato membro, dirette a verificare ogni elemento utile ai fini dell'esercizio dell'attività di vigilanza sulle funzioni e le attività esternalizzate.
2. Prima di procedere all'ispezione l'IVASS informa l'autorità competente dello Stato membro in cui ha sede il fornitore. Nel caso in cui non sia individuabile un'autorità competente, l'informativa è fornita all'autorità di vigilanza assicurativa dello stesso Stato membro.
3. L'IVASS può delegare l'ispezione di cui al comma 1 all'autorità di vigilanza dello Stato membro in cui ha sede il fornitore.
4. Qualora l'IVASS abbia informato l'autorità competente dello Stato membro in cui ha sede il fornitore di servizi della propria intenzione di procedere a un'ispezione nei locali del fornitore ai sensi del comma 1 o dell'articolo 30-septies, comma 5, lettera c), e all'IVASS non sia di fatto consentito il diritto di effettuarle, l'IVASS può rinviare la questione all'AEAP ai sensi dell' articolo 19 del regolamento (UE) n. 1094/2010 .
5. L'autorità di vigilanza dello Stato membro d'origine di un'impresa di assicurazione o di riassicurazione, il cui fornitore di attività esternalizzate abbia sede nel territorio della Repubblica, può svolgere, direttamente o attraverso persone appositamente incaricate, ispezioni nei locali del fornitore, dirette a verificare ogni elemento utile ai fini dell'esercizio dell'attività di vigilanza sulle funzioni e le attività esternalizzate. Prima di procedere all'ispezione l'autorità di vigilanza informa l'IVASS. L'IVASS, ove lo richieda, ha diritto di parteciparvi.
6. L'autorità di vigilanza può delegare l'ispezione di cui al comma 5 all'IVASS.
))
Commento
L'esternalizzazione come sfida per la vigilanza
L'art. 205-bis cod. ass. estende lo strumento dell'ispezione cross-border ai fornitori delle attività esternalizzate. È risposta normativa a un fenomeno crescente nel settore assicurativo: imprese che affidano a terzi (asset manager, gestori di sinistri, fornitori IT, attuari esterni) funzioni o attività comprese nel ciclo operativo. L'esternalizzazione non riduce la responsabilità prudenziale dell'impresa, ma sposta sui fornitori la materialità di alcune operazioni. La vigilanza deve poter seguire le funzioni dove queste sono effettivamente svolte.
Ispezioni di IVASS sui fornitori esteri
Il comma 1 abilita IVASS a effettuare ispezioni, direttamente o tramite incaricati, nei locali dei fornitori esternalizzati con sede in altro Stato UE che servono imprese italiane vigilate. La portata dell'ispezione copre ogni elemento utile alla vigilanza sulle funzioni esternalizzate. Il comma 2 impone la comunicazione preventiva all'autorità competente dello Stato del fornitore (o, in assenza di autorità competente specifica, all'autorità di vigilanza assicurativa). Il comma 3 prevede la possibilità di delega: l'ispezione può essere affidata all'autorità di vigilanza dello Stato del fornitore, opzione utile per ragioni di efficienza, lingua, conoscenza del contesto locale.
Il rinvio a EIOPA
Il comma 4 ripropone il meccanismo di rinvio a EIOPA. Se IVASS, dopo aver informato l'autorità competente dello Stato del fornitore, non ottiene il diritto effettivo di ispezione, può rinviare la questione a EIOPA ex art. 19 reg. UE 1094/2010. La norma cita espressamente anche l'art. 30-septies, comma 5, lettera c), che disciplina la vigilanza sulle esternalizzazioni nel sistema di governo societario. Il combinato disposto chiude le possibili scappatoie e garantisce effettività del controllo lungo la catena dei fornitori.
Ispezioni di autorità UE in Italia
I commi 5 e 6 disciplinano la specularità: l'autorità di vigilanza dello Stato di origine di compagnia UE che ha esternalizzato in Italia può ispezionare i fornitori italiani, previa informativa a IVASS, che può parteciparvi. Anche qui è prevista la delega: l'autorità UE può delegare l'ispezione a IVASS. È meccanismo di efficienza e di reciprocità: i fornitori italiani che servono compagnie estere sono soggetti a un controllo cross-border simmetrico a quello che le compagnie italiane possono esercitare sui propri fornitori all'estero. Il complesso degli artt. 205 e 205-bis traduce la vigilanza assicurativa europea in uno strumento operativo realmente cross-border.
L'esternalizzazione critica e la catena dei fornitori
Il regolamento IVASS sul sistema di governo societario (38/2018) distingue tra esternalizzazione di funzioni o attività operative essenziali o importanti e attività ordinarie, applicando alle prime una disciplina rafforzata. Le linee guida EIOPA sull'esternalizzazione cloud (EIOPA-BoS-20/002) hanno aggiunto specifici requisiti per i fornitori di servizi cloud, frequentemente di matrice extra-UE. L'art. 205-bis è strumento essenziale per dare effettività a tale disciplina: senza il diritto di ispezione presso il fornitore, anche se ubicato all'estero, la vigilanza sul rispetto dei requisiti contrattuali e prudenziali risulterebbe priva di concreto presidio. Sul piano della responsabilità, l'impresa assicurativa che esternalizza resta sempre responsabile delle attività affidate al fornitore, secondo il principio non delegabile della responsabilità prudenziale fissato dal codice.
Casi pratici
Caso 1: IVASS ispeziona gestore IT lussemburghese
Caso 2: ACPR ispeziona TPA italiano
Domande frequenti
IVASS può ispezionare un asset manager in Lussemburgo che gestisce attivi di compagnia italiana?
Sì, ai sensi dell'art. 205-bis comma 1. L'ispezione richiede informativa all'autorità competente del Lussemburgo, che può eventualmente essere delegata.
Cosa accade se IVASS è impedita all'ispezione?
Può rinviare la questione a EIOPA ex art. 19 reg. UE 1094/2010, citato espressamente dal comma 4.
Un fornitore italiano di compagnia francese può essere ispezionato dall'ACPR?
Sì, ai sensi del comma 5. L'ACPR informa preventivamente IVASS, che può parteciparvi. È prevista la delega a IVASS.
Vedi anche