La governance contrattuale non è un concetto nuovo e la maggior parte dei settori ne conosce già l’importanza. In alcuni ambiti, però, questa componente del lavoro legale va oltre la semplice conformità: se applicata con attenzione, anziché trattata come una casella da spuntare in una lista di attività, può trasformarsi in un vero vantaggio competitivo.
Per molti team legali del settore bancario, la sfida principale non consiste nel fatto che la governance contrattuale non sia considerata importante. Spesso, semplicemente, mancano gli strumenti giusti per applicarla in modo efficace.
Se guardiamo a ciò che i CFO si trovavano ad affrontare vent’anni fa, prima dell’arrivo degli ERP che hanno sostituito la raccolta manuale dei dati, oggi la funzione legale sta vivendo una trasformazione analoga. I CFO sono passati dall’affidarsi a fogli di calcolo, telefonate, e-mail e conoscenze distribuite all’interno dell’organizzazione alla centralizzazione di tutto in un unico luogo.
La governance contrattuale è il punto di partenza di questa transizione. Per la maggior parte dei team legali del settore bancario, il processo è ancora in corso.
Che cosa si intende per governance contrattuale
La governance contrattuale è l’insieme di policy, processi e strumenti che definisce il modo in cui un’organizzazione gestisce i propri contratti: chi ne è responsabile, come vengono monitorati gli obblighi, quando vengono segnalati i rischi e quali informazioni possono essere documentate su richiesta.
Nella maggior parte dei settori, una governance contrattuale debole comporta rinnovi mancati e dispersione di valore. Per banche e istituti finanziari significa anche esposizione normativa. Ad esempio, ai sensi del DORA nell’Unione europea, i contratti con i fornitori devono poter essere sottoposti ad audit entro poche ore da un incidente ICT. Clausole di notifica, diritti di audit sui subfornitori e soglie di escalation: tutto deve essere immediatamente disponibile, non ricostruito a posteriori a partire da conversazioni e-mail.
La governance contrattuale è l’infrastruttura che rende possibile questo tipo di risposta; non va confusa con il contract lifecycle management.
Governance contrattuale e Contract Lifecycle Management (CLM) a confronto
I due termini vengono spesso utilizzati come sinonimi, ma descrivono aspetti diversi.
| ASPETTO | GOVERNANCE CONTRATTUALE | CONTRACT LIFECYCLE MANAGEMENT (CLM) |
|---|---|---|
| Focus | Policy, responsabilità e controlli sui rischi | Attività operative: redazione, approvazioni e rinnovi |
| Obiettivo | Coerenza e conformità per tutti i contratti | Efficienza nelle singole fasi del contratto |
| Ruolo | Stabilisce le regole | Gestisce il sistema |
Il CLM è il mezzo; la governance è l’obiettivo. Anche le organizzazioni più solide possono compromettere la propria strategia contrattuale in assenza di un quadro di governance. Un CLM privo di tale quadro rende più rapida l’esecuzione di un processo inefficace. Le organizzazioni che costruiscono prima la governance ottengono invece una struttura scalabile.
Il nuovo standard di conformità: dimostrarla su richiesta
Per gran parte dell’ultimo decennio, la domanda sulla conformità era semplice: «Siamo conformi?». Una casella da spuntare, un parere legale, una risposta affermativa o negativa.
Ora la domanda è diversa: «Possiamo dimostrarlo subito, su richiesta e con una documentazione completa?»
Questo cambiamento è particolarmente evidente nel contesto dei requisiti normativi soggetti a tempistiche stringenti. Il DORA, entrato in applicazione nell’Unione europea a gennaio 2025, ne è un esempio concreto.
Il caso del termine di quattro ore previsto dal DORA
Ai sensi del DORA, un incidente ICT grave fa scattare una finestra iniziale di quattro ore per la notifica. In quelle quattro ore, il team legale deve sapere quale contratto disciplina il rapporto con il fornitore, cosa prevede la clausola di notifica e se l’organizzazione dispone di diritti di audit sui suoi subfornitori. I framework statunitensi, tra cui le linee guida dell’OCC sulla resilienza operativa e la normativa sulla cybersicurezza del NY DFS, stabiliscono a loro volta tempistiche e requisiti documentali specifici. In tutte le giurisdizioni, il principio è lo stesso: la rapidità nel fornire le prove è ormai parte dell’obbligo di conformità.
In pratica:
La differenza tra le banche in grado di rispondere a queste domande sotto pressione e quelle che non ci riescono è un problema di governance contrattuale. E ha un costo.
Il costo di una governance contrattuale carente nel settore bancario
Una governance contrattuale carente comporta rischi finanziari, reputazionali e normativi.
Tre aree in cui il costo si accumula
Questi tre fattori si amplificano a vicenda. Un rinnovo mancato diventa un diritto di audit non esercitato, che si trasforma in un obbligo normativo non documentato e poi in una settimana di ricostruzione manuale quando l’ispettore si presenta. La causa alla radice è sempre la stessa: l’assenza di una governance strutturata dei dati contrattuali.
Come si presenta una buona governance
Un gruppo bancario italiano che serve oltre 100.000 clienti si trovava esattamente ad affrontare queste difficoltà. Prima di centralizzare i propri dati contrattuali, ogni ispezione normativa richiedeva giorni di lavoro manuale: cercare le e-mail, recuperare le firme e ricostruire la cronologia dei contratti sotto la pressione delle scadenze. I processi semplicemente non erano adeguati allo scopo.
Dopo la centralizzazione con DiliTrust, la situazione è cambiata. Durante un audit successivo, lo stesso team ha gestito gli stessi requisiti in una frazione del tempo.
I risultati:
È cambiato anche il modo di pensare. Le ispezioni hanno smesso di essere minacce da gestire e sono diventate una fotografia della situazione effettiva dell’organizzazione. Gli strumenti CLM sono più avanzati rispetto a cinque anni fa. Ancora più importante, l’intelligenza artificiale sta passando da promessa di marketing a realtà operativa.
L’intelligenza artificiale per la governance contrattuale, a condizione che le basi siano solide
Per le banche che gestiscono contratti su larga scala in conformità al DORA, alla CRD6 e ai requisiti dell’OCC, l’intelligenza artificiale applicata alle attività legali e integrata in un livello strutturato di governance contrattuale può:
Questo è ciò che diventa concretamente possibile sul piano operativo. Tuttavia, è importante fare una precisazione.
I modelli linguistici generalisti vengono addestrati sui dati disponibili in Internet. Non hanno mai visto i vostri contratti. Quando si chiede loro se uno specifico accordo con un fornitore è conforme al DORA, generano una risposta plausibile, non una risposta basata sul recupero di una fonte. Nel settore bancario e nei servizi finanziari, una risposta plausibile ma errata è peggiore dell’assenza di una risposta.
L’intelligenza artificiale applicata alle attività legali produce risultati affidabili quando recupera le informazioni da un repository contrattuale strutturato e indicizzato e collega la risposta alla clausola di origine. Senza queste fondamenta, opera su dati disordinati e rende più veloce quel disordine. È quindi necessario costruire prima il livello dati della governance contrattuale e implementare poi l’analisi contrattuale basata sull’intelligenza artificiale. Invertire quest’ordine significa pagare per funzionalità che i dati disponibili non sono in grado di supportare.
È il momento di scegliere la direzione giusta
I dipartimenti che stanno costruendo un’infrastruttura di governance contrattuale nel settore bancario possono ora orientarsi all’interno dell’organizzazione basandosi su dati e metriche e intervenire con una prospettiva riconosciuta dal consiglio di amministrazione. È lo stesso cambiamento che la funzione Finance ha compiuto due decenni fa, trasformando il CFO da semplice responsabile della rendicontazione a figura in grado di prendere decisioni.
La funzione legale sta raggiungendo lo stesso punto di svolta. Il General Counsel che costruisce questa infrastruttura disporrà della visibilità consolidata necessaria per anticipare qualsiasi nuovo controllo normativo.
Domande frequenti sulla governance contrattuale nel settore bancario
Il DORA impone alle banche di mantenere un repository centralizzato dei contratti?
Il DORA non prescrive espressamente un repository centralizzato, ma i suoi requisiti lo rendono una necessità pratica. L’articolo 28 impone alle entità finanziarie di mantenere un Registro delle informazioni relativo a tutti gli accordi contrattuali con terze parti ICT. L’articolo 30 stabilisce le clausole contrattuali obbligatorie che tali accordi devono contenere. Inoltre, la finestra iniziale di quattro ore per la notifica degli incidenti ICT gravi significa che il team legale deve essere in grado di individuare, leggere e applicare specifiche clausole contrattuali nell’arco di poche ore. Le banche che fanno affidamento su archivi distribuiti — unità condivise, e-mail e cartelle locali — scoprono di non riuscire a rispettare queste tempistiche sotto pressione. Un livello strutturato di governance contrattuale che centralizzi questi dati è l’unica risposta operativamente sostenibile.
Ai sensi dell’articolo 50 del DORA, chi è personalmente responsabile delle carenze nella governance contrattuale di una banca?
L’articolo 50 estende i poteri sanzionatori ai singoli membri dell’organo di gestione, non soltanto all’istituzione. I membri del consiglio di amministrazione, gli amministratori delegati e i General Counsel possono essere soggetti a sanzioni personali se l’istituzione non rispetta gli obblighi di gestione del rischio ICT previsti dal DORA. Le carenze nella governance contrattuale — documentazione mancante, rapporti con i subfornitori non monitorati e lacune nei diritti di audit — sono esattamente il tipo di evidenze che emergono durante un’ispezione. I General Counsel in grado di dimostrare l’esistenza di un processo di governance strutturato, con responsabilità documentate, avvisi automatizzati e una completa traccia di audit, si trovano in una posizione sostanzialmente diversa rispetto a coloro che non possono farlo.
Qual è la differenza tra governance contrattuale e CLM per le banche?
La governance contrattuale è il quadro di riferimento: le policy, le regole di responsabilità, i controlli sui rischi e gli obblighi di conformità che definiscono come devono essere gestiti i contratti. Il contract lifecycle management (CLM) è il sistema che applica questo quadro e gestisce la redazione, le approvazioni, l’archiviazione, i rinnovi e gli avvisi. Per le banche, questa distinzione è importante perché un CLM privo di governance accelera semplicemente un processo non gestito, mentre una governance senza CLM stabilisce le regole corrette ma non offre alcun modo per applicarle su larga scala. È la combinazione dei due elementi a fornire ai team legali la rapidità documentale e la visibilità che le autorità di vigilanza come la BCE, l’OCC e il NY DFS si aspettano sempre più spesso.
