Il family office delle 72 ore

1. INTRODUZIONE

Un family office è più vulnerabile quando un normale problema operativo diventa un problema decisionale. Un portale bancario smette di funzionare mentre è in scadenza un file delle paghe. Il principale è in viaggio quando un pagamento richiede approvazione. Un incidente informatico rende indisponibile l'archivio documentale. Il personale non riesce a raggiungere l'ufficio. Un custode limita un canale di accesso mentre i mercati si muovono. Ciascun evento può essere gestibile singolarmente. L'evento combinato può esporre una famiglia a obblighi non rispettati, condizioni di lavoro non sicure, istruzioni non controllate e perdite evitabili.

Il presente articolo sviluppa un piano operativo di crisi di 72 ore per un family office. Il periodo è suddiviso in sei finestre di controllo: le prime due ore, dalle ore due alle sei, dalle ore sei alle dodici, dalle ore dodici alle ventiquattro, il giorno due e il giorno tre. Ogni finestra ha uno scopo definito. La prima finestra protegge le persone, i conti e le prove. La seconda istituisce il comando e una base informativa affidabile. La terza mette in sicurezza la liquidità e la continuità dei servizi critici. La quarta convalida le modalità alternative. Il giorno due stabilizza il modello operativo. Il giorno tre prepara una transizione controllata verso un piano di recupero più lungo.

Il quadro di riferimento parte dai servizi anziché dagli asset. Un portafoglio può restare economicamente solido mentre l'ufficio perde l'accesso a istruzioni di pagamento, registri di custodia, deleghe, documenti d'identità o canali di comunicazione. La resilienza operativa si chiede quindi quali risultati debbano continuare, per quanto tempo possa essere tollerata un'interruzione, quali persone e sistemi supportino ciascun risultato e quale modalità degradata sicura possa operare mentre la via primaria non è disponibile [1-11].

Il piano copre cinque ambiti di controllo interconnessi. L'autorità delegata determina chi può decidere e chi può eseguire quando l'approvatore abituale non è disponibile. L'accesso alla liquidità collega le fonti di cassa agli obblighi e ai canali di pagamento. La sicurezza del personale prevede un processo verificato di tutela e localizzazione. La continuità dei dati protegge i registri critici e stabilisce percorsi di ripristino puliti. La custodia alternativa separa proprietà degli asset, custodia, accesso, negoziazione e regolamento, affinché un guasto in uno strato non venga erroneamente diagnosticato come perdita dell'asset stesso [3-9,12-19].

L'analisi costituisce ricerca generale. Non determina i requisiti legali, fiscali, normativi, di investimento, informatici, occupazionali, assicurativi o di sicurezza di alcuna famiglia. Ogni scenario, soglia e valore è ipotetico e semplificato. I pertinenti documenti di governance, le condizioni dei fornitori, le indicazioni ufficiali e la consulenza professionale basata sui fatti specifici restano determinanti.

2. LA DOTTRINA OPERATIVA DELLE 72 ORE

2.1 Tutelare la vita, l'autorità, l'accesso e le prove

La dottrina operativa prevede quattro priorità in ordine. Primo, confermare la sicurezza dei familiari, del personale e dei fornitori essenziali. Secondo, impedire azioni non autorizzate o irreversibili. Terzo, preservare l'accesso alla liquidità essenziale, alle informazioni di custodia e alla comunicazione. Quarto, registrare i fatti, le decisioni e le prove necessari al recupero. Un piano che inizia con l'analisi del portafoglio prima che questi controlli siano stabili rischia di assumere decisioni con conseguenze finanziarie su una base operativa inaffidabile.

Il quadro di continuità operativa della NCEMA pone l'accento sulle funzioni essenziali, la gestione degli incidenti, i ruoli di crisi, la pianificazione del recupero e le esercitazioni. Gli standard della CBUAE richiedono alle istituzioni regolamentate di identificare operazioni critiche, ruoli, obiettivi di recupero, piani di comunicazione e scenari di interruzione. I quadri di resilienza di Basilea e della FCA si concentrano analogamente su servizi importanti, tolleranze di impatto, dipendenze, test e apprendimento [1-10]. Un family office può adattare tali discipline in modo proporzionato senza presentarsi come una banca regolamentata.

L'ufficio dovrebbe pubblicare una scheda di attivazione di una pagina. Essa indica l'evento scatenante, il livello di crisi, il responsabile del comando, il vice, il responsabile della sicurezza del personale, il responsabile della tesoreria, il responsabile della tecnologia, il contatto legale e di compliance, i canali di comunicazione approvati e l'orario del prossimo aggiornamento. Indica inoltre ciò che è temporaneamente vietato: nuovi beneficiari, nuove istruzioni di custodia, modifiche ai mandati bancari, pagamenti al di fuori della coda approvata, uso di messaggistica personale non verificata e distruzione o alterazione dei registri.

2.2 Il piano opera per finestre

Le prime 72 ore sono abbastanza brevi da richiedere disciplina e abbastanza lunghe da far emergere dipendenze fragili. Le finestre operative dovrebbero essere misurate dall'attivazione, non dal momento in cui un evento si è verificato per la prima volta. Il registro di attivazione riporta pertanto due timestamp: l'orario dell'evento conosciuto più remoto e l'orario di attivazione formale.

2.3 Un'unica fonte di verità operativa

Il team di crisi dovrebbe mantenere un unico rapporto di situazione controllato. Esso registra fatti noti, questioni aperte, ipotesi utilizzate per decisioni temporanee, stato dei servizi, obblighi in scadenza, benessere del personale, incidenti dei fornitori, azioni di sicurezza e la revisione successiva. Ogni voce identifica la propria fonte e l'orario. Voci, resoconti mediatici e messaggi non verificati possono essere registrati come segnali, ma non diventano fatti operativi finché non sono corroborati.

3. TRIGGER DI ATTIVAZIONE E LIVELLI DI CRISI

3.1 L'attivazione è una decisione di controllo

Un piano di crisi dovrebbe attivarsi prima che l'ufficio mostri un cedimento evidente. Trigger utili sono definiti in relazione all'interruzione del servizio e alla compromissione dei controlli. Esempi includono la perdita di accesso a una piattaforma di pagamento o di custodia; l'indisponibilità sia di una figura principale sia di un sostituto autorizzato; un evento cyber che colpisce sistemi di identità, email o documenti; l'impossibilità di contattare una parte rilevante del personale; la chiusura o l'inaccessibilità di una sede principale; una comunicazione di un fornitore che incide sulla disponibilità di transazioni, regolamenti o dati; e una minaccia credibile a persone o locali.

Il registro dei trigger dovrebbe distinguere osservazione, escalation e attivazione. Un'osservazione viene registrata e monitorata. Un'escalation assegna un responsabile e un orario di revisione. L'attivazione avvia la struttura di governance della crisi e i suoi controlli temporanei. Questa distinzione impedisce che ogni problema di servizio degeneri in una crisi completa, consentendo comunque un contenimento precoce.

3.2 Una scala a quattro livelli

La seguente scala è illustrativa. Ogni ufficio dovrebbe definire soglie che riflettano la propria struttura, le giurisdizioni, i contratti con i fornitori e gli obblighi.

L'ufficio dovrebbe definire indicatori oggettivi ove possibile: numero di firmatari non disponibili; valore dei pagamenti dovuti entro un periodo definito; percentuale di personale confermato al sicuro; tempo trascorso dall'ultimo backup verificato; numero di account privilegiati compromessi; numero di fornitori critici non disponibili; e tempo residuo prima di una scadenza contrattuale o legale.

3.3 La disattivazione richiede evidenze

Il responsabile della crisi non dovrebbe disattivare solo perché una piattaforma sembra funzionare. La disattivazione dovrebbe richiedere l'incolumità delle persone accertata, un accesso stabile, saldi e transazioni riconciliati, il ripristino del logging, la revisione degli accessi privilegiati, la risoluzione delle eccezioni di pagamento, la conferma dei fornitori ove pertinente e responsabili della remediation nominati. Un livello di crisi inferiore può rimanere in vigore mentre prosegue il ripristino a lungo termine.

4. AUTORITÀ DELEGATA E SUCCESSIONE

4.1 L'autorità deve essere sia legale che operativa

Una qualifica professionale non crea automaticamente il potere di vincolare una società, un trust, una fondazione, una partnership o un conto. La carica deve collegare l'autorità alla persona giuridica pertinente, al documento di governance, alla delibera, al mandato bancario, all'accordo di gestione degli investimenti, alla procura e all'istruzione del fornitore. Una matrice di crisi riassume tali fonti; non le sostituisce.

La matrice dovrebbe separare l'autorità decisionale dall'autorità di esecuzione. Una persona può approvare un pagamento mentre un'altra lo inserisce. Un custode può riconoscere uno specifico insieme di firmatari che differisce dalla delega interna della società. Un fiduciario o un consiglio di fondazione può avere doveri che non possono essere trasferiti tramite un'istruzione familiare informale. Il consulente legale dovrebbe convalidare l'architettura legale prima di un evento.

4.2 Successione per funzione

La successione dell'autorità dovrebbe essere definita per ciascuna funzione critica anziché come un unico ampio trasferimento di controllo. Tesoreria, buste paga, custodia, decisioni di investimento, contenimento informatico, sicurezza del personale, dichiarazioni esterne, avvisi legali e notifiche normative possono richiedere diversi sostituti e prove.

4.3 Il doppio controllo resta attivo

La rapidità della crisi non giustifica l'abbandono della separazione dei compiti. Gli standard sul rischio operativo della CBUAE identificano autorità chiare, separazione, doppio controllo, salvaguardie su attività e registri e riconciliazione delle transazioni come controlli fondamentali [3,4]. Un family office dovrebbe mantenere una verifica da parte di una seconda persona per la creazione di beneficiari, l'autorizzazione dei pagamenti, il trasferimento in custodia, il reset degli accessi privilegiati e i rendiconti esterni. Qualora un mandato di emergenza consenta un'azione da parte di una sola persona, l'azione dovrebbe essere limitata nel massimale, tracciata e soggetta a una rapida verifica retrospettiva.

4.4 Indisponibilità del principale

Il protocollo per l'indisponibilità del principale dovrebbe definire le prove del tentativo di contatto, il tempo trascorso prima della successione, quali decisioni possono procedere, quali decisioni devono attendere e quando sono coinvolti il consulente legale o un organo fiduciario. Dovrebbe evitare speculazioni mediche e preservare la riservatezza. Il protocollo deve inoltre prevedere un percorso per ripristinare l'autorità ordinaria quando il principale torna disponibile.

5. SERVIZI IMPORTANTI E TOLLERANZE ALL'IMPATTO

5.1 Partire dagli esiti

Un registro delle attività descrive ciò che la famiglia possiede. Un registro dei servizi descrive ciò che l'ufficio deve continuare a fare. I servizi importanti possono includere la conferma dell'incolumità delle persone, il mantenimento dell'accesso alla liquidità, il pagamento del personale e dei fornitori critici, la salvaguardia delle attività, l'adempimento a richieste di collaterale o di capitale, la ricezione delle informazioni bancarie e del custode, la gestione degli incidenti informatici, il rispetto delle scadenze legali e la comunicazione con la famiglia.

La guida della FCA distingue la tolleranza all'impatto dal tempo di ripristino. Una tolleranza all'impatto definisce l'interruzione massima tollerabile di un servizio; un obiettivo di tempo di ripristino definisce il tempo target per ripristinare il sistema di supporto. Il ripristino potrebbe dover avvenire molto prima che la tolleranza venga raggiunta, perché dopo il ritorno del sistema permangono arretrati e riconciliazioni [8-10].

5.2 Limiti temporali e non temporali

Ogni servizio importante dovrebbe avere un limite temporale e almeno un limite non temporale. Per le retribuzioni, la misura temporale può essere l'ultimo orario sicuro di rilascio, mentre le misure non temporali includono il numero di dipendenti non pagati e il valore massimo non risolto. Per la reportistica di custodia, la misura temporale può essere l'età dell'ultimo file delle posizioni verificato, mentre le misure non temporali includono la percentuale di attività riconciliate e il numero di operazioni societarie non risolte.

Questi valori sono illustrativi. L'ufficio dovrebbe calibrarli in base agli obblighi, ai fusi orari, al personale e alle capacità dei fornitori, quindi ottenere l'approvazione dall'organo di governo competente.

5.3 Mappatura delle dipendenze

Ogni servizio dovrebbe mappare persone, sedi, tecnologia, dati, fornitori, entità giuridiche e canali finanziari. La mappa dovrebbe identificare le dipendenze comuni. Due banche possono dipendere dalla stessa rete mobile. Due depositari possono utilizzare lo stesso dispositivo di autenticazione o dominio email. Un backup cloud all'interno dello stesso tenant di identità può fallire insieme all'ambiente primario. Il piano dovrebbe verificare l'indipendenza anziché basarsi sul numero di loghi nell'elenco dei fornitori.

6. COMANDO E COMUNICAZIONI IN CASO DI CRISI

6.1 La cellula di comando

La cellula di comando dovrebbe essere abbastanza piccola da decidere e abbastanza ampia da vedere il sistema. I ruoli principali sono responsabile della crisi, vice, verbalizzatore delle operazioni, responsabile della sicurezza del personale, responsabile della tesoreria, responsabile tecnologia e cyber, responsabile investimenti e custodia, e consulente legale o di conformità. I fornitori specialistici partecipano solo per il proprio flusso di lavoro. Il verbalizzatore mantiene il registro delle azioni, il registro delle decisioni e l'orario del prossimo aggiornamento.

Una riunione disciplinata può durare quindici minuti. Essa chiede: cosa è cambiato; quali persone sono in pericolo o non confermate; quale servizio è più vicino alla sua soglia di tolleranza; quale decisione è necessaria; quali evidenze la supportano; chi è responsabile dell'azione; e quando sarà verificata. L'output è un rapporto di situazione versionato, non una trascrizione informale di una chat.

6.2 Gerarchia delle comunicazioni

L'ufficio dovrebbe approvare in anticipo una gerarchia delle comunicazioni. L'email aziendale primaria e gli strumenti di collaborazione sono convenienti durante le normali operazioni. Canali secondari crittografati, numeri di telefono verificati e un elenco di contatti offline sono necessari quando i sistemi di identità o di rete possono essere compromessi. Le istruzioni che riguardano fondi o credenziali non dovrebbero mai basarsi su un canale o un numero introdotti di recente senza verifica indipendente.

Il registro dei contatti dovrebbe includere i decisori familiari, il personale, i trustee o i funzionari della fondazione, le banche, i custodi, gli intermediari, gli amministratori, i responsabili tecnologici di risposta, gli assicuratori cyber, i consulenti legali, i consulenti fiscali, i fornitori di servizi di sicurezza, i fornitori critici e i contatti di emergenza. Ogni record richiede un responsabile, la data dell'ultima verifica e un metodo di verifica tramite canale separato.

6.3 Dichiarazioni esterne

La comunicazione esterna dovrebbe essere fattuale, limitata e approvata. La dichiarazione provvisoria può confermare che l'ufficio sta gestendo un incidente operativo, proteggendo gli stakeholder e lavorando con i fornitori pertinenti. Dovrebbe evitare di attribuire cause, nominare le parti interessate, stimare le perdite o annunciare il ripristino prima che siano disponibili evidenze. Prima della notifica possono essere necessari pareri legali, sulla privacy, giuslavoristici e normativi.

7. SICUREZZA E BENESSERE DEL PERSONALE

7.1 Appello verificato

La sicurezza del personale inizia con un appello controllato, non con messaggi diffusi a tutti. Ogni dipendente e collaboratore essenziale riceve uno di cinque stati: al sicuro e operativo; al sicuro e non disponibile; assistenza necessaria; non confermato con un responsabile del contatto assegnato; oppure in viaggio con uno stato dell'itinerario separato. Il registro dovrebbe evitare dettagli medici non necessari e limitare l'accesso a coloro che coordinano la risposta.

La guida NCEMA considera le risorse umane, l'ambiente di lavoro, i trasporti, le informazioni, la tecnologia, le risorse finanziarie e i fornitori come dipendenze della continuità aziendale. La guida sottolinea inoltre leadership, lavoro remoto, distribuzione del personale e procedure flessibili durante le interruzioni [1,2,32-34]. Questi principi supportano un piano per il personale che affronta la sicurezza fisica prima della produttività.

7.2 Coordinatori locali e lavoro sicuro

L'ufficio dovrebbe nominare coordinatori locali per ogni sede rilevante. Il loro ruolo è confermare il benessere, trasmettere istruzioni verificate e inoltrare le esigenze di assistenza. Non interpretano informazioni di sicurezza né indirizzano il personale verso condizioni incerte. Le decisioni su viaggi, evacuazione, rifugio e accesso agli uffici dovrebbero basarsi su consigli ufficiali aggiornati e supporto qualificato in materia di sicurezza.

Il lavoro remoto dovrebbe essere attivato in modo deliberato. Il personale necessita di un dispositivo pulito, di un metodo di identità approvato, di comunicazioni sicure, di accessi limitati al proprio ruolo e di istruzioni per gestire dati familiari riservati al di fuori del normale luogo di lavoro. Una crisi può giustificare un accesso più ristretto anziché più ampio.

7.3 Paghe, spese e supporto pratico

Il piano di crisi dovrebbe identificare il cutoff delle paghe, il canale bancario, l'operatore di riserva approvato e il processo di gestione delle eccezioni. Spese di emergenza possono essere necessarie per trasporto, alloggio, comunicazioni, assistenza sanitaria o sostituzione di attrezzature. Il piano dovrebbe definire limiti, requisiti di documentazione e un percorso di rimborso che possa operare anche quando la piattaforma principale per le spese non è disponibile.

7.4 Separazione tra famiglia e personale

Il benessere della famiglia e quello dei dipendenti sono collegati ma costituiscono flussi di lavoro distinti. La famiglia può avere accordi privati di sicurezza, assistenza medica, istruzione e viaggi che non dovrebbero essere esposti al resto dell’ufficio. Il responsabile della sicurezza del personale dovrebbe ricevere solo le informazioni necessarie per coordinare il lavoro e il benessere. Il rappresentante della famiglia mantiene il controllo delle informazioni private della famiglia.

8. ACCESSO ALLA LIQUIDITÀ E SCALA DELLE 72 ORE

8.1 La liquidità è accesso e autorità

Un saldo di cassa non è liquidità operativa quando l’ufficio non è in grado di autenticarlo, approvarlo, trasferirlo o riconciliarlo. Il registro della liquidità dovrebbe quindi registrare titolare legale, banca, valuta, fonte del saldo, data valuta, importo disponibile, pegno o restrizione, canale di pagamento, orario limite, insieme dei firmatari, metodo di autenticazione, limite giornaliero, controlli sui beneficiari e contatto per l’escalation.

La scala delle 72 ore inizia con gli obblighi. L’ufficio elenca retribuzioni, assistenza sanitaria, sicurezza, alloggio, utenze, assicurazioni, servizio del debito, collaterale, imposte, scadenze legali e fornitori critici sotto il profilo contrattuale. A ciascun obbligo vengono assegnati l’ultimo orario sicuro per il pagamento, l’importo, la valuta, il soggetto pagatore legale, i dati approvati del beneficiario e la conseguenza del ritardo.

8.2 Quattro livelli di liquidità

L'ufficio dovrebbe distinguere la liquidità impegnata dalla liquidità potenziale. Uno scoperto non testato, una vendita di attività prevista, un riscatto non regolato o un contributo familiare informale non equivalgono a un saldo confermato o a una linea impegnata. Le fonti potenziali possono comparire nel piano di recupero con prerequisiti e diritti decisionali.

8.3 Diversità di valute e canali di pagamento

Più valute e più conti possono migliorare la flessibilità aumentando al contempo la complessità del controllo. La scala di liquidità dovrebbe identificare quali obblighi richiedono AED, GBP, USD o un'altra valuta, quale conto può pagarli legalmente, i passaggi di conversione previsti, i cutoff per fuso orario e il rischio di regolamento. Un conto di riserva dovrebbe avere mandati aggiornati, beneficiari verificati e un utilizzo controllato abituale prima di una crisi. Accordi dormienti o non testati creano un falso senso di sicurezza.

8.4 Pacchetto giornaliero di tesoreria

Durante l'attivazione, la tesoreria produce un pacchetto a ogni ciclo di comando: saldi di apertura da fonti verificate; liquidità disponibile confermata; obblighi in scadenza entro 6, 24 e 72 ore; pagamenti rilasciati; pagamenti in attesa di approvazione; transazioni rifiutate o incerte; incidenti dei fornitori; e i prossimi cutoff. Una seconda persona riconcilia il pacchetto con le evidenze della banca o del depositario.

9. SICUREZZA DEI PAGAMENTI E RICONCILIAZIONE

9.1 Bloccare le modifiche prima di movimentare il denaro

L'ingegneria sociale sfrutta urgenza, autorità e cambio di canale. Il piano di crisi dovrebbe bloccare nuovi beneficiari, modifiche alle istruzioni di regolamento, cambi di firmatari e modifiche ai limiti di pagamento, salvo che il responsabile della crisi e un verificatore indipendente approvino un'eccezione documentata. La verifica tramite richiamata utilizza un numero precedentemente convalidato, non le informazioni di contatto fornite nella richiesta.

9.2 Disciplina della coda dei pagamenti

Ogni pagamento riceve un identificativo, il pagatore legale, il beneficiario, la finalità, la fattura o l'obbligazione di origine, l'importo, la valuta, la scadenza, lo stato di approvazione, l'operatore di inserimento, l'approvatore del rilascio, l'evidenza della verifica tramite richiamata e lo stato di riconciliazione. La coda separa gli elementi preparati, approvati, rilasciati, confermati, rifiutati e stornati. Le schermate possono integrare le evidenze ma non sostituiscono gli estratti conto bancari o i registri formali delle transazioni.

9.3 Percorsi manuali e alternativi

Un pacchetto di pagamento offline può contenere contatti bancari verificati, mandati, identificativi di conto, beneficiari approvati e modelli esemplificativi di istruzioni. Il suo utilizzo dipende dall'accettazione da parte del fornitore e dai poteri in essere. L'ufficio dovrebbe testare il processo con il fornitore durante le normali operazioni e conservare il pacchetto in modo sicuro, con accesso controllato e date di versione.

9.4 La riconciliazione chiude il ciclo di controllo

L'accesso ripristinato può rivelare istruzioni duplicate, ritardate o parzialmente eseguite. La tesoreria dovrebbe riconciliare ogni pagamento del periodo di crisi con il registro bancario, il libro contabile, l'obbligazione e il registro delle approvazioni. Gli elementi non abbinati vengono inoltrati ai livelli superiori prima che riprenda l'elaborazione normale.

10. CUSTODIA ALTERNATIVA E ACCESSO AGLI ATTIVI

10.1 Separare i livelli

La continuità della custodia presenta almeno sei livelli: proprietà legale; intestazione del conto e segregazione; conservazione al sicuro; accesso alle informazioni; potere di negoziazione; e regolamento di contante o titoli. Un'interruzione del portale può interessare le informazioni e le istruzioni, mentre la proprietà legale e la conservazione al sicuro restano invariate. Un'interruzione del regolamento può ritardare la liquidità senza modificare la decisione di investimento. L'ufficio dovrebbe diagnosticare il livello interessato prima di agire.

Gli standard IOSCO in materia di custodia e la regolamentazione dei titoli enfatizzano la segregazione, i libri e i registri, la riconciliazione e i custodi qualificati quali meccanismi di protezione degli investitori [18,19,25-27]. Il family office dovrebbe ottenere consulenza legale e regolamentare per la propria struttura, soprattutto quando gli attivi sono detenuti tramite fondi, nominee, trust, fondazioni, veicoli a scopo specifico o accordi su attivi digitali.

10.2 Il registro della continuità della custodia

10.3 La diversificazione richiede un'indipendenza verificata

L'utilizzo di più di un depositario può ridurre alcune concentrazioni e crearne altre. Il family office dovrebbe valutare l'entità giuridica, l'area geografica, la catena di sub-custodia, la banca di regolamento, l'autenticazione, le infrastrutture di mercato, l'amministratore, il fornitore di dati, le telecomunicazioni e l'operatore interno. Due conti dipendenti dal telefono di un solo dipendente e da un solo dominio di posta elettronica non forniscono un accesso indipendente.

Il set di dati minimo dovrebbe ricostruire le posizioni del giorno precedente, la liquidità, le operazioni in sospeso, il collaterale, le operazioni societarie, gli impegni nel mercato privato, i contatti e i poteri sul conto senza il portale principale. Dovrebbe essere crittografato, controllato e aggiornato secondo una pianificazione definita. Il trasferimento di attività resta un'opzione di ripristino governata che richiede una revisione legale, autorizzazione, una destinazione verificata e una riconciliazione completa.

11. CONTINUITÀ DI DATI, CYBER E IDENTITÀ

11.1 Risorse informative critiche

Il family office dovrebbe identificare le informazioni necessarie per operare per 72 ore: registri dei contatti; documenti di governance e mandati; prospetti dei conti bancari e di custodia; code di pagamenti e obbligazioni; posizioni correnti; impegni nel mercato privato; contatti assicurativi e di sicurezza; documenti d'identità e di viaggio laddove conservati legalmente; contratti con i fornitori; piani di incidente; e istruzioni per il ripristino pulito dei sistemi.

Le fonti NIST, CISA, CBUAE e DFSA sottolineano la preparazione, la risposta agli incidenti, il ripristino, i backup verificati, i controlli sull'identità, le comunicazioni e le dipendenze da terzi [5,11,20-24,28-31]. Un family office dovrebbe applicare tali pratiche in modo proporzionato e ottenere una consulenza specialistica sulla risposta agli incidenti quando si sospetta un'intrusione.

11.2 Contenere il rischio legato all'identità

Se la posta elettronica, l'identità o un account privilegiato possono essere compromessi, il responsabile della tecnologia dovrebbe preservare le prove e seguire il piano di incidente approvato. Le azioni potenziali includono l'isolamento dei dispositivi interessati, la disabilitazione o il monitoraggio degli account, la revoca delle sessioni, la protezione dei fattori di autenticazione, la limitazione dei ruoli privilegiati e l'istituzione di un percorso amministrativo pulito. Le azioni tecniche dovrebbero essere dirette da operatori qualificati di risposta agli incidenti affinché le prove e le opzioni di ripristino non vengano danneggiate.

Il piano di crisi dovrebbe identificare gli account break-glass, la loro conservazione, l'uso consentito, la supervisione indipendente e la revisione successiva all'uso. Un account break-glass non dovrebbe dipendere dalla stessa catena di identità compromessa dell'account principale.

11.3 Backup e ripristino

I dati critici necessitano di un ripristino verificato, non solo di un'etichetta di backup. CISA raccomanda backup offline crittografati e test regolari di ripristino per i dati critici. Le linee guida NIST sulla continuità operativa coprono apparecchiature alternative, processi manuali, sedi alternative e priorità di ripristino [20-23]. Il family office dovrebbe documentare gli obiettivi di punto di ripristino e tempo di ripristino, l'immutabilità dei backup, la crittografia, la separazione degli amministratori, i risultati dei test e l'ambiente pulito utilizzato per il ripristino.

11.4 Minimizzazione dei dati durante la crisi

I team di crisi spesso condividono troppe informazioni per agire rapidamente. La cellula di comando dovrebbe limitare ciascun partecipante ai dati necessari all'azione, utilizzare canali sicuri approvati, evitare link pubblici e mantenere un registro di distribuzione per i pacchetti sensibili. Gli obblighi in materia di privacy e riservatezza continuano durante l'interruzione.

12. RISCHIO DI TERZE PARTI E CONCENTRAZIONE

12.1 Il modello operativo esteso

Un family office può avvalersi di banche, depositari, broker, amministratori di fondi, fiduciari, fornitori di servizi societari, contabili, fornitori di servizi per le paghe, piattaforme cloud, tecnologia gestita, sicurezza, supporto per i viaggi e consulenti esterni. Il family office resta responsabile delle proprie decisioni anche quando un'attività importante è esternalizzata.

Il registro dei fornitori dovrebbe riportare servizio, entità giuridica, giurisdizione, responsabile del contratto, livello di servizio, canale per gli incidenti, contatti per l'escalation, dati trattati, subappaltatori ove divulgati, assistenza all'uscita, fornitore alternativo, ultimo test ed evidenza delle garanzie. Gli orientamenti di FSB e Basilea sulle terze parti sottolineano criticità, mappatura delle dipendenze, concentrazione, accordi contrattuali, monitoraggio e pianificazione dell'uscita [6,7].

12.2 Triage dei fornitori

Nelle prime sei ore, i fornitori vengono suddivisi in quattro gruppi: non interessati e verificati; interessati con una soluzione alternativa nota; interessati senza una soluzione alternativa testata; e stato sconosciuto. La cellula di comando concentra l'attenzione sui fornitori che supportano i servizi più vicini alla propria soglia di tolleranza all'impatto.

Lo stato del fornitore dovrebbe derivare da comunicazioni formali di servizio, contatti noti o evidenze tecniche verificate. Un post sui social media può sollecitare una verifica; non dovrebbe guidare automaticamente un pagamento, un trasferimento o una modifica degli accessi.

12.3 Uscita e sostituzione

Un fornitore alternativo richiede più di un nome. Il family office dovrebbe comprendere i tempi di onboarding, la portabilità dei dati, i poteri legali, la configurazione dell'account, gli asset compatibili, i canali di pagamento, le restrizioni sulla privacy, le commissioni e la riconciliazione. Alcune sostituzioni possono avvenire in poche ore, come un canale di comunicazione secondario. Altre possono richiedere settimane o mesi, come cambiare un depositario o un amministratore. Il piano delle 72 ore dovrebbe identificare la modalità degradata realistica per ciascun orizzonte.

13. CONFORMITÀ, SANZIONI E CONTROLLO DELLE FRODI

13.1 I controlli restano parte della continuità

Una crisi può cambiare controparti, canali, giurisdizioni e finalità delle transazioni. Le banche e le altre istituzioni continuano ad applicare controlli di due diligence sulla clientela, sanzioni, frodi e monitoraggio delle transazioni. Il family office dovrebbe conservare le evidenze sulla titolarità effettiva, sull'origine del patrimonio, sull'origine dei fondi e sulla finalità delle transazioni, affinché le attività urgenti possano essere spiegate con precisione [14-17,29,30].

13.2 Un'eccezione non significa un'esenzione

Il responsabile della crisi può approvare un'eccezione operativa nell'ambito dell'autorità dell'ufficio. L'eccezione non prevale su legge, requisiti dei prestatori di servizi, doveri fiduciari o mandati sui conti. Ogni eccezione dovrebbe identificare la regola derogata, il motivo, l'ambito, il limite di valore, la scadenza, l'approvatore, la verifica indipendente e le azioni correttive.

13.3 Indicatori di frode in condizioni di pressione

Gli indicatori di escalation includono un nuovo beneficiario; coordinate bancarie modificate; un'istruzione a bypassare il canale normale; una richiesta di riservatezza; un'urgenza inusuale; un nuovo dispositivo o numero; il rifiuto del richiamo di verifica; dati di fattura o contratto incoerenti; pressione da un account apparentemente riconducibile a una persona con ruolo apicale; o una giurisdizione inattesa. La risposta consiste nella verifica tramite canali noti e in un'approvazione documentata, non in un dibattito informale nella stessa conversazione potenzialmente compromessa.

13.4 Notifiche

Le notifiche legali, regolamentari, in materia di privacy, assicurative, relative al rapporto di lavoro e contrattuali dipendono dai fatti e dalla giurisdizione. Il piano dovrebbe mantenere un registro delle decisioni con consulente responsabile, fattore scatenante, scadenza, destinatario, contenuto approvato e prova dell'avvenuto invio. Dovrebbe evitare promesse generiche sui tempi di notifica.

14. GOVERNANCE FAMILIARE E RISERVATEZZA

14.1 Il perimetro decisionale della famiglia

L'ufficio dovrebbe identificare quale organo familiare o individuo autorizzato riceve i rapporti sulla crisi e quali decisioni richiedono l'approvazione della famiglia. Le decisioni in materia di investimenti, liquidità, comunicazione pubblica, supporto al personale e trasferimenti strutturali possono rientrare in canali di governance diversi. Il piano dovrebbe rispettare i documenti di governance ed evitare di esporre informazioni private della famiglia oltre il necessario.

14.2 Un briefing per la famiglia sulla crisi

Il briefing dovrebbe essere breve: stato attuale di sicurezza delle persone; servizi critici fuori tolleranza o vicini alla soglia di tolleranza; accesso confermato a disponibilità liquide e custodia; decisioni richieste; azioni vietate; prossimo aggiornamento; e fatti irrisolti. I dettagli tecnici appartengono ai log dei flussi di lavoro. L'organo familiare dovrebbe essere in grado di decidere senza leggere ogni messaggio operativo.

14.3 Anelli di riservatezza

Le informazioni possono essere organizzate in tre anelli. L'anello uno copre informazioni sensibili relative alla famiglia, all'identità, alla salute e alla sicurezza. L'anello due copre informazioni finanziarie, transazionali e sui prestatori di servizi utilizzate dalla cellula di comando. L'anello tre copre istruzioni operative necessarie al personale. Ogni anello ha destinatari nominativamente individuati, canale sicuro, conservazione e regole di condivisione successiva.

14.4 Documenti e privilegio legale

I pareri legali e i materiali di risposta agli incidenti possono richiedere una gestione accurata. Il consulente legale dovrebbe fornire indicazioni su privilegio legale, conservazione, accesso regolamentare e trasferimento transfrontaliero dei dati. L'ufficio non dovrebbe etichettare come privilegiate ordinarie registrazioni operative senza una base giuridica, né dovrebbe eliminare registrazioni in risposta a un incidente.

15. LE SEI FINESTRE DI CONTROLLO

15.1 Ore da zero a due: proteggere e contenere

Il responsabile della crisi attiva il piano, apre il registro delle decisioni e conferma i supplenti. Il responsabile della sicurezza del personale avvia l'appello. La funzione tecnologica protegge le identità e le prove critiche. La tesoreria blocca le modifiche ai beneficiari e ai mandati. Il responsabile degli investimenti e della custodia conserva le più recenti posizioni verificate e i file di cassa. La cellula di comando individua la prossima scadenza improrogabile e pubblica il primo aggiornamento verificato.

15.2 Ore da due a sei: stabilire la base dei fatti

Il team classifica i servizi importanti, lo stato dei fornitori e il benessere del personale. La tesoreria produce la prima scala delle obbligazioni e della liquidità. La funzione tecnologica individua i sistemi interessati e i canali di comunicazione non compromessi. Le funzioni legale e compliance individuano le questioni immediate di notifica o conservazione delle prove. La famiglia riceve un briefing conciso e approva eventuali poteri temporanei necessari ai sensi dei documenti di governance.

15.3 Ore da sei a dodici: garantire gli obblighi

L'ufficio conferma l'accesso alla liquidità, i canali di pagamento, le retribuzioni, l'assistenza sanitaria, la sicurezza e i fornitori critici. Riconcilia le posizioni in custodia e le operazioni in sospeso utilizzando la migliore fonte verificata disponibile. Le escalation dei fornitori sono attive. I canali alternativi vengono testati con azioni a basso rischio ove opportuno. Le modifiche strutturali ad alto rischio restano soggette a revisione legale e indipendente.

15.4 Ore da dodici a ventiquattro: dimostrare la modalità degradata

La cellula di comando verifica se i servizi importanti possono operare entro i limiti di tolleranza per il giorno successivo. Convalida l'elenco dei contatti offline, l'accesso amministratore non compromesso, la comunicazione alternativa, il processo di istruzione dei pagamenti e il set minimo di dati di custodia. Conferma la copertura del personale nei fusi orari e assegna periodi di riposo affinché l'affaticamento non diventi una carenza nei controlli.

15.5 Ore da ventiquattro a quarantotto: stabilizzare

Il secondo giorno si concentra sulla riconciliazione. La tesoreria riconcilia saldi e pagamenti. La funzione tecnologica esamina accessi, log e prove di ripristino. Le operazioni di custodia riconciliano posizioni, liquidità, operazioni in sospeso e azioni societarie. I piani del personale affrontano il lavoro remoto prolungato o le sedi alternative. I fornitori forniscono informazioni scritte su incidenti e ripristino, ove disponibili.

15.6 Ore da quarantotto a settantadue: transizione

Il terzo giorno determina se l'ufficio può tornare alle operazioni normali, rimanere in una modalità degradata controllata o entrare in un programma di ripristino più lungo. L'organo di governo riceve la dashboard, le decisioni, le esposizioni irrisolte, gli effetti finanziari, lo stato legale e di compliance, le azioni dei fornitori e le priorità di correzione. I poteri temporanei scadono o vengono rinnovati tramite il processo corretto.

16. PERCORSI IPOTETICI DI FAMILY OFFICE

16.1 Percorso A: titolare non disponibile durante un'interruzione dei pagamenti

Si presupponga che il titolare sia in viaggio e non sia contattabile per otto ore. Un servizio di autenticazione bancaria è non disponibile a intermittenza e gli stipendi sono in scadenza entro dodici ore. I documenti costitutivi e il mandato bancario riconoscono un sostituto per gli stipendi e i pagamenti operativi essenziali fino a un limite massimo dichiarato. L'operatore finanziario prepara il file stipendi approvato, il sostituto lo approva tramite il processo alternativo verificato e un secondo funzionario riconcilia la conferma bancaria. Non viene introdotto alcun nuovo beneficiario o limite di pagamento.

La lezione riguarda la progettazione delle deleghe. Un'istruzione informale ampia a mantenere l'ufficio operativo sarebbe meno solida di un mandato specifico per funzione, un insieme di beneficiari approvato, un limite di valore e una riconciliazione indipendente.

16.2 Percorso B: il ransomware compromette l'accesso a email e documenti

Si presupponga che l'ufficio rilevi una crittografia sospetta e la perdita di accesso all'email aziendale. La funzione tecnologica isola i dispositivi interessati, conserva le prove e attiva team qualificati di risposta agli incidenti. La cellula di comando passa al canale di comunicazione secondario preapprovato. La tesoreria blocca le modifiche e verifica le istruzioni urgenti utilizzando il registro dei contatti offline. L'archivio di ripristino pulito fornisce documenti costitutivi, mandati, prospetti dei conti e posizioni del giorno precedente.

L'ufficio non presume che ogni backup sia pulito o che ogni conto sia stato compromesso. I team di risposta determinano l'ambito, ripristinano da fonti testate e documentano le decisioni. Le azioni di pagamento e di custodia riprendono solo tramite identità verificate e dati riconciliati.

16.3 Percorso C: gli accessi del personale e del fornitore vengono meno insieme

Si presupponga che una grave interruzione dei trasporti impedisca al personale di raggiungere l'ufficio principale mentre un portale del depositario non è disponibile. I coordinatori locali confermano la sicurezza del personale e la capacità di lavoro da remoto. Il responsabile della custodia ottiene lo stato del fornitore tramite un contatto noto e utilizza l'ultimo file delle posizioni verificato per identificare regolamenti e operazioni societarie in sospeso. La tesoreria copre gli obblighi essenziali tramite conti non interessati. Le decisioni di investimento sono limitate ai poteri e alla qualità dei dati disponibili.

Lo scenario verifica le dipendenze comuni. Un ufficio alternativo senza credenziali di accesso, dispositivi puliti o dati aggiornati non crea continuità. Un secondo depositario senza autenticazione indipendente o operatori formati potrebbe non creare un accesso efficace.

16.4 Percorso D: un'istruzione fraudolenta entra nella coda di crisi

Si presupponga che un'email che sembra provenire da un familiare richieda un trasferimento urgente su un nuovo conto per motivi di sicurezza. La richiesta utilizza un nuovo numero di cellulare e chiede al personale di mantenere riservato il trasferimento. Il blocco dei pagamenti impedisce la creazione di beneficiari. Il responsabile della tesoreria utilizza il registro dei contatti convalidato e conferma che l'istruzione è falsa. L'incidente viene preservato ed escalato ai flussi di lavoro cyber e legali.

Questo percorso dimostra perché l'urgenza dovrebbe rafforzare la verifica. L'ufficio protegge la famiglia mantenendo controlli che non dipendono dall'autorità dichiarata all'interno della richiesta.

17. UN TEST DI STRESS IPOTETICO DI 72 ORE

17.1 Fatti del modello

Si consideri un ufficio semplificato che assiste quattro rami familiari, dodici dipendenti, tre banche, due depositari, sei fondi dei mercati privati e entità operative in due giurisdizioni. L'ufficio ha obblighi di stipendi e verso fornitori critici pari a USD 420,000 equivalente entro 72 ore. La liquidità verificata disponibile nello stesso giorno è pari a USD 1.8 million equivalente presso due istituzioni. Un terzo conto contiene USD 3.0 million, ma il suo mandato di firma non è stato testato per nove mesi. Tutti i valori sono ipotetici.

All'attivazione, il titolare non è disponibile, sei membri del personale lavorano da remoto, si sospetta che l'email aziendale sia compromessa, un portale del depositario non è disponibile e un avviso di richiamo di capitale è da verificare. L'ufficio dispone di un mandato di tesoreria supplente, un registro dei contatti offline, un archivio di ripristino pulito e un canale di comunicazione secondario.

17.2 Esiti del servizio

17.3 Decisioni

Il family office utilizza USD 1.8 million verificato anziché presupporre l'accesso al conto USD 3.0 million non testato. Mantiene in sospeso il pagamento della richiesta di capitale finché la verifica dei poteri e del beneficiario non è completa. Evita di trasferire gli asset in custodia solo perché il portale non è disponibile. Rinnova il mandato del delegato per il periodo di crisi definito attraverso il processo di governance appropriato e assegna un revisore separato a ogni pagamento di crisi.

17.4 Interpretazione

Il test ha esito positivo perché il family office preserva i risultati entro tolleranze definite e mantiene controllate le azioni irreversibili. Rivela inoltre debolezze: un conto di liquidità non testato, la dipendenza da un unico dominio di identità e-mail, dati incompleti sugli asset privati e una copertura insufficiente dei delegati per le approvazioni degli investimenti. Tali risultanze diventano interventi correttivi finanziati.

18. IMPLEMENTAZIONE E TEST

18.1 Costruire il piano minimo attuabile

Il primo ciclo di implementazione dovrebbe identificare i servizi importanti, approvare i ruoli di crisi, convalidare le autorità delegate, istituire il registro dei contatti, costruire la scala di liquidità a 72 ore, definire il set minimo di dati di custodia, creare il processo di sicurezza del personale, proteggere un archivio di ripristino pulito e redigere la scheda di attivazione. Ogni voce ha un responsabile e una data di comprova.

18.2 Esercitazioni a livelli

Il family office può condurre quattro tipi di esercitazione. Un test di notifica conferma contatti e canali. Un'esercitazione da tavolo verifica le decisioni rispetto a uno scenario. Un test di ripristino tecnico dimostra che sistemi e dati possono essere ripristinati. Un test operativo live esegue un processo alternativo a basso rischio, come accedere a un canale di backup o inviare un pagamento controllato tramite il canale secondario.

I test dovrebbero includere l'indisponibilità di un titolare, il fallimento della banca primaria, la perdita del portale del custode primario, la compromissione delle e-mail, l'inaccessibilità dei locali principali, l'assenza simultanea del personale e un'istruzione fraudolenta. I test dovrebbero evitare di creare un rischio di produzione non controllato.

18.3 Metriche

Metriche utili includono il tempo di attivazione; la percentuale di persone confermate al sicuro; il tempo al primo rapporto di situazione verificato; la percentuale di obblighi a 72 ore coperti da liquidità confermata; la percentuale di fornitori critici con contatti di escalation verificati; l'età dell'ultimo backup testato; la percentuale di valore in custodia ricostruito; il numero di pagamenti di crisi con evidenza completa del doppio controllo; e il tempo per riconciliare ogni transazione di crisi.

18.4 Apprendere e finanziare

Ogni esercitazione o evento dovrebbe produrre un breve rapporto: cosa è accaduto; quale servizio si è avvicinato o ha superato la tolleranza; quale dipendenza è venuta meno; quale soluzione alternativa ha avuto successo; quale evidenza mancava; quale autorità temporanea è stata utilizzata; quale effetto finanziario si è verificato; e quale intervento correttivo sarà finanziato. L'organo di governo dovrebbe approvare la priorità, il responsabile e la data di scadenza.

19. LIMITAZIONI E CONCLUSIONE

Il presente documento fornisce un quadro operativo anziché un manuale di emergenza universale. I family office differiscono per struttura legale, giurisdizione, organico, attività regolamentata, composizione degli asset, governance familiare, tecnologia, esposizione alla sicurezza e accordi con i fornitori. Il piano di crisi deve essere allineato ai documenti di governo, ai mandati, ai contratti, alle leggi e alle linee guida ufficiali effettivamente applicabili al family office.

Il quadro di riferimento evita inoltre di prevedere la causa o la durata di una crisi. Un piano delle prime 72 ore è costruito attorno alla perdita di servizio, accesso, autorità o informazioni affidabili. Può sostenere la risposta a eventi informatici, interruzioni dei fornitori, interruzioni fisiche, indisponibilità del principale, tentativi di frode ed eventi composti, senza affermare che la stessa risposta tecnica si applichi a ciascuno.

La conclusione centrale è operativa. Un family office resiliente sa identificare i propri servizi importanti, definire per quanto tempo possono subire interruzioni, preservare la sicurezza del personale, la successione e il doppio controllo, allineare la liquidità agli obblighi, ricostruire i fatti relativi alla custodia e ai pagamenti, recuperare dati critici attraverso un percorso affidabile e non contaminato, e trasformare l'autorità temporanea in un recupero governato. Tali capacità vengono costruite e testate prima dell'evento.

Le prime 72 ore dovrebbero lasciare il family office con fatti più affidabili, autorità più salda, fondi riconciliati, persone più al sicuro e una chiara decisione di recupero. La rapidità nasce dalla preparazione, da mandati delimitati e da alternative verificate.

APPENDICE A. SCHEDA DI ATTIVAZIONE

Azioni immediate: proteggere le persone; aprire il registro delle decisioni; passare a canali verificati; bloccare le modifiche ad alto rischio; preservare le prove; confermare la prossima scadenza improrogabile; e diffondere un aggiornamento fattuale.

APPENDICE B. MATRICE DELLE DELEGHE DI AUTORITÀ

La matrice completata dovrebbe essere validata da consulenti legali, organi di governance e fornitori pertinenti. È un indice delle autorità; i documenti sottostanti restano prevalenti.

APPENDICE C. DASHBOARD DI CONTINUITÀ

Le soglie sono indicative e devono essere approvate in base al rischio e agli obblighi effettivi dell'ufficio.

APPENDICE D. REGISTRO DI LIQUIDITÀ E PAGAMENTI

Per ogni record di obbligazione: identificatore; pagatore legale; beneficiario; scopo; documento di origine; importo; valuta; ultimo orario di pagamento sicuro; conseguenza del ritardo; conto principale; conto alternativo; cutoff bancario; insieme dei firmatari; operatore di inserimento; approvatore; metodo di callback; stato del beneficiario; stato di rilascio; conferma bancaria; registrazione contabile; e revisore della riconciliazione.

Per ogni record di fonte di liquidità: proprietario legale; istituto; conto; valuta; orario di verifica del saldo; importo disponibile; restrizione o gravame; canale di pagamento; limite giornaliero; autenticazione; firmatario principale; supplente; contatto alternativo; ultimo test riuscito; e fonte probatoria.

Il registro dovrebbe evitare di incorporare password, segreti di autenticazione o dati identitativi non necessari.

APPENDICE E. REGISTRO DI SICUREZZA DEL PERSONALE E DELLE COMUNICAZIONI

I messaggi di comunicazione devono indicare l'identificativo dell'incidente, l'istruzione verificata, l'azione richiesta, la scadenza, il formato di risposta, il canale approvato e l'orario del prossimo aggiornamento. Il personale deve disporre di un metodo semplice per segnalare di essere al sicuro, non disponibile o bisognoso di assistenza. I dettagli sensibili devono essere raccolti tramite il processo riservato di assistenza e tutela.

APPENDICE F. PACCHETTO DI RIPRISTINO PER DATI, CYBER E CUSTODIA

Il pacchetto di ripristino pulito deve contenere i documenti di governance vigenti, le matrici dei poteri, i prospetti bancari e di custodia, i contatti verificati, i file di cassa e posizioni del giorno precedente, le code di pagamenti e obblighi, i prospetti degli impegni nei mercati privati, i contratti dei fornitori critici, le procedure per gli incidenti, le istruzioni per il recupero dei dati e i contatti assicurativi.

I controlli devono includere crittografia, accesso con privilegi minimi, separazione degli amministratori, capacità di ripristino offline o altrimenti isolata, backup immutabili o protetti ove opportuno, date di versione, test di ripristino, registrazioni delle distribuzioni e un processo per la revoca dell'accesso dopo l'evento.

Il pacchetto deve escludere password attive, chiavi private e segreti di autenticazione, a meno che un'architettura di gestione dei segreti approvata da uno specialista non li disciplini esplicitamente.

APPENDICE G. DOMANDE PER GLI ORGANI DI GOVERNO E I FORNITORI

Domande per l'organo di governo della famiglia

1. Quali servizi devono continuare entro due, sei, dodici, ventiquattro e settantadue ore?
2. Quali decisioni possono prendere i delegati e quali richiedono il titolare o un organo fiduciario?
3. Quali limiti e divieti temporanei si applicano durante l'attivazione?
4. Quali informazioni possono essere condivise con personale, fornitori e consulenti?
5. Quali rischi residui giustificano il mantenimento della modalità crisi dopo la settantaduesima ora?

Domande per banche e depositari

1. Quali canali alternativi per istruzioni e autenticazione sono formalmente accettati?
2. Quali mandati, orari limite, limiti e controlli di richiamata si applicano?
3. Come vengono gestiti in escalation gli incidenti di servizio e le sospette frodi?
4. Quali dati su posizioni, liquidità, regolamento e operazioni societarie possono essere forniti al di fuori del portale?
5. Quali dipendenze da subcustodia, banca di regolamento o tecnologia sono rilevanti ai fini della continuità?

Domande per i fornitori di tecnologia e cyber

1. Come vengono isolate e ripristinate le identità privilegiate?
2. Quali backup sono offline, immutabili o al di fuori del dominio identitario primario?
3. Quando è stato testato da ultimo il ripristino e quali evidenze esistono?
4. Quali log e evidenze devono essere preservati durante il contenimento?
5. Quali canali puliti di comunicazione e amministrazione possono operare durante la compromissione?

Domande per consulenti legali, di conformità, di sicurezza e assicurativi

1. Quali autorità e documenti di governance disciplinano ciascuna decisione di crisi?
2. Quali notifiche, obblighi di conservazione e scadenze contrattuali possono applicarsi?
3. Quali decisioni in materia di viaggi, luogo di lavoro e sicurezza del personale richiedono consulenza specialistica?
4. Quali condizioni di polizza, esclusioni, requisiti di consenso o di notifica sono rilevanti?
5. Come dovrebbero decadere i poteri temporanei e come dovrebbe essere ripristinata la governance ordinaria?

RIFERIMENTI

[1] Autorità nazionale per la gestione delle emergenze, delle crisi e dei disastri. *Gestione della continuità operativa.* https://www.ncema.gov.ae/content/documents/BCM%20English%20NCEMA_29_8_2013.pdf

[2] Autorità nazionale per la gestione delle emergenze, delle crisi e dei disastri. *Programma di gestione della continuità operativa.* https://www.ncema.gov.ae/en/e-participation/blog/business-continuity-management-program.aspx

[3] Regolamento della Banca centrale di UAE. *Standard sul rischio operativo.* https://rulebook.centralbank.ae/en/rulebook/operational-risk-standards

[4] Regolamento della Banca centrale di UAE. *Rischio operativo e resilienza operativa.* https://rulebook.centralbank.ae/en/entiresection/6015

[5] Regolamento della Banca centrale di UAE. *Continuità operativa per le soluzioni di cloud computing.* https://rulebook.centralbank.ae/en/rulebook/business-continuity

[6] Comitato di Basilea per la vigilanza bancaria. *Principi per la resilienza operativa.* 31 marzo 2021. https://www.bis.org/bcbs/publ/d516.htm

[7] Consiglio per la stabilità finanziaria. *Rafforzare la gestione e la supervisione del rischio di terzi: un toolkit.* 4 dicembre 2023. https://www.fsb.org/2023/12/fsb-publishes-toolkit-for-enhancing-third-party-risk-management-and-oversight/

[8] Autorità per la condotta finanziaria. *Resilienza operativa.* Aggiornato al 14 luglio 2026. https://www.fca.org.uk/firms/operational-resilience

[9] Financial Conduct Authority. *Resilienza operativa: approfondimenti e osservazioni a un anno di distanza.* 27 marzo 2026. https://www.fca.org.uk/publications/good-and-poor-practice/operational-resilience-insights-observations-one-year

[10] Financial Conduct Authority. *Costruire la resilienza operativa, PS21/3.* https://www.fca.org.uk/publications/policy-statements/ps21-3-building-operational-resilience

[11] Dubai Financial Services Authority. *Modulo generale, continuità operativa e gestione del rischio informatico.* https://dfsa-prod.60413.aws.thomsonreuters.com/rulebook/general-module-gen-ver7207-26

[12] Banca centrale di UAE. *Pagamenti e regolamenti.* https://www.centralbank.ae/en/our-operations/payments-and-settlements/

[13] Banca centrale di UAE. *Sistema di trasferimento fondi UAE.* https://centralbank.ae/en/our-operations/payments-and-settlements/uae-fund-transfer-system-uaefts/

[14] Financial Action Task Force. *Le raccomandazioni del GAFI.* https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Fatf-recommendations.html

[15] Financial Action Task Force. *Orientamenti sulla titolarità effettiva e sulla trasparenza degli assetti giuridici.* Marzo 2024. https://www.fatf-gafi.org/content/dam/fatf-gafi/recommendations/Guidance-Beneficial-Ownership-Transparency-Legal-Arrangements.pdf

[16] Financial Action Task Force. *Orientamenti sulle persone politicamente esposte.* https://www.fatf-gafi.org/content/dam/fatf-gafi/guidance/Guidance-PEP-Rec12-22.pdf

[17] Regolamento della Banca centrale di UAE. *Migliori prassi per il rischio tecnologico e la sicurezza delle informazioni.* https://rulebook.centralbank.ae/en/rulebook/annex-ii-guidance-best-practices-technology-risk-and-information-security

[18] International Organization of Securities Commissions. *Standard per la custodia degli attivi degli organismi di investimento collettivo.* https://www.iosco.org/library/pubdocs/pdf/ioscopd512.pdf

[19] US Securities and Exchange Commission. *Come proteggiamo gli investitori al dettaglio: custodia degli attivi della clientela.* https://www.sec.gov/newsroom/speeches-statements/speech-driscoll-042919

[20] National Institute of Standards and Technology. *Framework di cybersicurezza 2.0.* 26 febbraio 2024. https://www.nist.gov/cyberframework

[21] National Institute of Standards and Technology. *Raccomandazioni per la risposta agli incidenti e considerazioni per la gestione del rischio di cybersicurezza, SP 800-61 Revisione 3.* Aprile 2025. https://csrc.nist.gov/pubs/sp/800/61/r3/final

[22] National Institute of Standards and Technology. *Guida alla pianificazione di contingenza per i sistemi informativi federali, SP 800-34 Revisione 1.* https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final

[23] National Institute of Standards and Technology. *Guida al ripristino da eventi di cybersicurezza, SP 800-184.* https://www.nist.gov/publications/guide-cybersecurity-event-recovery

[24] Cybersecurity and Infrastructure Security Agency. *Guida StopRansomware.* https://www.cisa.gov/stopransomware/ransomware-guide

[25] Comitato sui pagamenti e sulle infrastrutture di mercato e IOSCO. *Principi per le infrastrutture di mercato finanziario.* https://www.bis.org/cpmi/publ/d101a.pdf

[26] Comitato sui pagamenti e sulle infrastrutture di mercato e IOSCO. *Linee guida sulla resilienza informatica per le infrastrutture di mercato finanziario.* https://www.bis.org/cpmi/publ/d146.htm

[27] US Securities and Exchange Commission. *Custodia di fondi o titoli della clientela da parte dei consulenti per gli investimenti.* https://www.sec.gov/files/rules/final/ia-2176.htm

[28] Dubai Financial Services Authority. *Supervisione del rischio informatico.* https://www.dfsa.ae/what-we-do/supervision/cyber-risk-supervision/summary

[29] Banca centrale degli UAE. *Linee guida per gli istituti finanziari che adottano tecnologie abilitanti.* https://rulebook.centralbank.ae/en/rulebook/guidelines-financial-institutions-adopting-enabling-technologies

[30] Banca centrale degli UAE. *Gestione del rischio e continuità operativa.* https://www.centralbank.ae/en/our-operations/risk-management/

[31] Cybersecurity and Infrastructure Security Agency. *Obiettivi intersettoriali di performance per la cybersicurezza.* https://www.cisa.gov/cross-sector-cybersecurity-performance-goals

[32] Autorità nazionale per la gestione delle emergenze, delle crisi e dei disastri. *Norma nazionale per il sistema di gestione della salute e sicurezza sul lavoro.* https://www.ncema.gov.ae/en/e-participation/blog/national-standard-for-occupational-safety-and-health-management-system.aspx

[33] Autorità nazionale per la gestione delle emergenze, delle crisi e dei disastri. *Linee guida sulla preparazione alla continuità operativa per le organizzazioni UAE.* https://www.ncema.gov.ae/en/media-center/news/14/3/2020/business-continuity-readiness-guidelines-launched-for-uae-organisations-in-event-of-covid-19-outbreak.aspx

[34] Autorità nazionale per la gestione delle emergenze, delle crisi e dei disastri. *Norma nazionale per la gestione della continuità operativa, NCEMA 7000:2021.* https://www.ncema.gov.ae/en/about-ministry/events/7/2023/certified-lead-implementer-for-business-continuity-management-ncema-70002021-course.aspx

[35] Banca dei regolamenti internazionali. *Principi di alto livello per la continuità operativa.* Agosto 2006. https://www.bis.org/publ/joint17.htm

[36] Banca dei regolamenti internazionali. *ORR20: Resilienza operativa.* https://www.bis.org/basel_consolidated_guidelines/chapter/ORR/20.htm

[37] Banca dei regolamenti internazionali. *ORR30: Rischi di terze parti.* https://www.bis.org/basel_consolidated_guidelines/chapter/ORR/30.htm

[38] Banca dei regolamenti internazionali. *LQY10: Gestione e supervisione del rischio di liquidità.* https://www.bis.org/basel_consolidated_guidelines/chapter/LQY/10.htm

[39] Financial Conduct Authority. *CrowdStrike outage: lezioni per la resilienza operativa.* 31 ottobre 2024. https://www.fca.org.uk/firms/operational-resilience/crowdstrike-outage-lessons-operational-resilience

[40] National Cyber Security Centre del Regno Unito. *Linee guida per la gestione degli incidenti.* https://www.ncsc.gov.uk/collection/incident-management

INFORMAZIONI SULL'AUTORE

Chennakeshav Adya è un ricercatore indipendente e professionista della finanza aziendale con oltre vent'anni di esperienza internazionale in strategia aziendale, trasformazione, investment banking, operazioni di family office, rischio, tecnologia e transazioni transfrontaliere. La sua ricerca si concentra su sistemi decisionali pratici per il capitale privato, la resilienza operativa, la finanza aziendale e le tecnologie emergenti. Le opinioni espresse in questo articolo sono sue e non costituiscono consulenza in materia di investimenti, legale, fiscale, informatica, di sicurezza o normativa.