Osservazioni a cura di ANORC (Associazione Nazionale Operatori e Responsabili della Conservazione digitale), ANORC Professioni e AIFAG (Associazione Italiana Firma elettronica Avanzata biometrica e grafometrica) sullo schema di Regolamento della Banca d Italia recante regole tecniche in materia di presentazione al pagamento in forma elettronica degli assegni bancari e circolari e di protesto o constatazione equivalente in forma elettronica emanato ai sensi dell art. 8, comma 7, lett. e), decreto legge 13 maggio 2011, n. 70, convertito dalla legge 12 luglio 2011, n. 106. Premesso che il 19 dicembre 2012 sul sito della Banca d Italia è stata aperta la consultazione sullo schema di Regolamento recante regole tecniche in materia di presentazione al pagamento in forma elettronica degli assegni bancari e circolari e di protesto o constatazione equivalente in forma elettronica (da emanarsi ai sensi dell art. 8, comma 7, lett. e), decreto legge 13 maggio 2011, n. 70, convertito dalla legge 12 luglio 2011, n. 106), le associazioni ANORC - Associazione Nazionale per Operatori e Responsabili della Conservazione digitale, ANORC Professioni e AIFAG (Associazione Italiana Firma Elettronica Avanzata, biometrica e Grafometrica) intendono esporre alcune considerazioni. a) GENERAZIONE DELL IMMAGINE DELL ASSEGNO (art. 3 e capitoli 1 e 2 dell Allegato tecnico) Nello schema di Regolamento si stabilisce che il negoziatore generi l immagine dell assegno assicurando, mediante apposizione della propria firma digitale, la conformità dell immagine all originale cartaceo, nel rispetto di quanto previsto nell Allegato tecnico (capitoli 1 e 2). La firma digitale deve essere imputabile al negoziatore e deve essere apposta da un soggetto che per tale attività può impegnare il negoziatore. Inoltre, l immagine dell assegno deve essere prodotta mediante processi e strumenti che assicurino che il documento informatico generato abbia forma e contenuto identici a quelli del documento analogico da cui è tratto, garantendo la conformità dell immagine dell assegno all originale cartaceo; ciò previo raffronto dei documenti, ovvero attraverso certificazione di processo nei casi in cui siano adottate tecniche in grado di garantire la corrispondenza della forma e del contenuto dell originale e della copia.
Sul punto, si stabilisce che l immagine dell assegno sia generata in conformità a quanto previsto dall articolo 3 del decreto del Presidente del Consiglio dei Ministri del 13 novembre 2014 e nel rispetto di quanto precede con riferimento al recto e al verso del titolo. La stessa immagine è poi memorizzata in un file in formato PDF/A, identificabile in modo univoco rispetto all originale cartaceo. Sul punto, però, occorre rilevare che nel Regolamento ci si limita solo ad accennare alla possibilità di certificare il processo automatico di acquisizione delle copie, effettuando un generico richiamo al DPCM 13 novembre 2014 (recante le Regole tecniche in materia di formazione, trasmissione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici nonché di formazione e conservazione dei documenti informatici delle pubbliche amministrazioni ai sensi degli articoli 20, 22, 23-bis, 23-ter, 40, comma 1, 41, e 71, comma 1, del Codice dell amministrazione digitale di cui al decreto legislativo n. 82 del 2005), quando invece tali disposizioni di natura tecnica (in quanto di competenza di Banca d Italia) avrebbero dovuto fornire maggiori dettagli sulla certificazione di tali processi. b) REGISTRAZIONE SU SUPPORTO INFORMATICO (artt. 5 e 8) Nella bozza di Regolamento si prevede che il negoziatore registri su supporto informatico, in modo univoco e immodificabile, tutti gli eventi caratterizzanti la vita dell assegno, nonché i dati di cui all articolo 8, ossia: a) identificativo del negoziatore (codice ABI e CAB); b) identificativo del trattario o dell emittente (codice ABI e CAB); c) importo; d) data di emissione; e) numero identificativo dell assegno; f) nome del beneficiario per i titoli per i quali l informazione sia rilevabile in maniera automatizzata. Nello schema, poi, si introduce correttamente l obbligo per il trattario o l emittente di registrare su supporto informatico, in modo univoco e immodificabile, gli eventi di cui all articolo 7, comma 5 (relativi alla presentazione del pagamento in forma elettronica dell assegno) e agli articoli 11 (mancato pagamento dell assegno), 12 e 13 (dati trasmessi ai fini della levata del protesto o della constatazione equivalente).
Tuttavia, nelle disposizioni in commento non si prevede anche la necessaria e conseguente conservazione a norma di tali registrazioni, le quali - anche secondo quanto oggi previsto dall art. 15 del DPCM 13 novembre 2014 (contenente le Regole tecniche in materia di formazione, trasmissione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici nonche' di formazione e conservazione dei documenti informatici delle pubbliche amministrazioni ai sensi degli articoli 20, 22, 23-bis, 23-ter, 40, comma 1, 41, e 71, comma 1, del Codice dell'amministrazione digitale di cui al decreto legislativo n. 82 del 2005) - dopo essere state correttamente formate vanno necessariamente versate nel sistema di conservazione, altrimenti si corre il rischio evidente di generare prove informatiche inaffidabili e facilmente contestabili in sede processuale. c) PRESENTAZIONE AL PAGAMENTO IN FORMA ELETTRONICA DELL ASSEGNO (art. 7) Sulla scorta dell art. 7 dello schema di Regolamento, la presentazione al pagamento in forma elettronica si considera effettuata quando il trattario o l emittente ricevano in via telematica dal negoziatore l immagine dell assegno e i relativi dati di cui all art. 8. Per gli assegni bancari e postali di importo minore o uguale a 5.000 euro, nonché per gli assegni circolari, i vaglia postali e i titoli speciali della Banca d Italia di qualsiasi ammontare, è possibile la trasmissione in via telematica dei soli dati di cui all art. 8. Sul punto, tuttavia, non si può non evidenziare che la disposizione con cui si prevede che gli intermediari debbano adottare ogni necessario presidio organizzativo e procedurale atto a garantire che l immagine dell assegno sia trasmessa una sola volta mette in luce la criticità della procedura individuata, basata su una concezione di documento informatico non più in linea con le nuove Regole tecniche, di cui al DPCM 13 novembre 2014. In effetti, anziché prevedere un sistema in cui si debba garantire l unicità della trasmissione dell immagine dell assegno, ben si sarebbe potuto prevedere, invece, un sistema in cui le immagini e i dati relativi agli assegni potessero essere messi a disposizione degli intermediari direttamente attraverso un sistema di accessi controllati all archivio digitale del negoziatore, contenente i dati e i documenti necessari.
d) CONSERVAZIONE (artt. 4 e 6 e capitolo 3 dell Allegato tecnico) In riferimento alla conservazione dell immagine degli assegni, lo schema di Regolamento prevede che l immagine dell assegno sia conservata a cura del negoziatore, per i termini previsti dalla legge. Sul punto, le disposizioni stabiliscono che la conservazione sia effettuata in conformità alle regole tecniche e organizzative di cui ai DPCM del 3 dicembre 2013 e del 13 novembre 2014 e successive modifiche e integrazioni, nel rispetto di quanto previsto nell Allegato tecnico (capitolo 3) e con modalità tali da garantire per tutto il periodo di conservazione l accessibilità e l utilizzabilità dell immagine dell assegno. Inoltre, l assegno cartaceo dovrà essere conservato dal negoziatore per 6 mesi dallo spirare del termine di presentazione e durante tale periodo l assegno cartaceo potrà essere esibito solo su richiesta dell Autorità giudiziaria: decorso il periodo di conservazione di 6 mesi, l assegno cartaceo potrà essere distrutto, fatto salvo il caso in cui siano pendenti sul titolo richieste di sequestro o ordini di esibizione dell Autorità giudiziaria ovvero sia stata disconosciuta la firma dell assegno o il negoziatore abbia evidenza di altre esigenze di difesa. In merito, occorre rilevare, tuttavia, che la scelta di fissare un termine di 6 mesi prima di distruggere il documento cartaceo appare incoerente dal punto di vista giuridico: infatti se ci si fida del processo digitale probabilmente si dovrebbe distruggere il cartaceo subito, in caso contrario, invece, il documento cartaceo andrebbe conservato fino a quando sussiste il rischio di contenzioso e quindi ben oltre i 6 mesi previsti dallo schema di Regolamento della Banca d Italia. e) CARATTERISTICHE E SICUREZZA RETI DI TRASMISSIONE (capitoli 5 e 6 Allegato tecnico) Nella bozza di Regolamento, purtroppo, occorre rilevare che le fondamentali problematiche relative alla sicurezza sono solo accennate. In effetti, ci si limita a prevedere genericamente che ai fini del protesto o della constatazione equivalente, le comunicazioni tra trattario/emittente e pubblico ufficiale devono utilizzare protocolli sicuri in grado di garantire:
la riservatezza delle informazioni scambiate in modo che ne sia garantita la leggibilità solo al destinatario; l autenticazione del mittente e del destinatario in modo che ciascuno abbia certezza dell identità dell interlocutore; l integrità del messaggio in modo che questo non sia manomesso durante la trasmissione. Le reti trasmissive devono assicurare, oltre alla sicurezza del servizio offerto, adeguati livelli di affidabilità. Inoltre, sempre con un approccio troppo teorico per un regolamento tecnico, nel testo dell Allegato si prevede solo che le reti trasmissive utilizzate per lo scambio di flussi/messaggi connessi con la presentazione al pagamento in forma elettronica dell assegno siano caratterizzate da presidi tecnici e funzionali tali da garantire livelli operativi, di servizio e di sicurezza, almeno pari a quelli stabiliti dalla Convenzione Interbancaria per i Problemi dell Automazione (CIPA). f) ESTERNALIZZAZIONE (art. 17 e capitolo 7 dell Allegato tecnico) Con specifico riferimento al modello organizzativo delineato dalle disposizioni dettate in tema di presentazione al pagamento in forma elettronica degli assegni bancari e circolari, occorre richiamare innanzitutto il ruolo degli intermediari, così come definiti dall art. 1 del Decreto del Ministero dell Economia e delle Finanze 3 ottobre 2014, n. 205, in particolare dell emittente, del trattario e del negoziatore. Proprio al negoziatore l art. 66 del Regio decreto n. 1736/1933 (Legge Assegni) attribuisce il compito di assicurare, mediante l utilizzo della propria firma digitale, la conformità all originale delle copie informatiche degli assegni cartacei, affinché queste ultime possano sostituire a ogni effetto di legge gli originali da cui sono tratte. Sul punto, l art. 6 del Decreto 205/2014, riguardo alla dematerializzazione degli assegni, stabilisce che ai sensi di quanto previsto dall articolo 66, comma 2, della legge assegni, il negoziatore, sotto la propria ed esclusiva responsabilità, può incaricare soggetti terzi di effettuare la trasformazione in forma elettronica degli assegni cartacei, generando l immagine dell assegno.
In argomento, la bozza di Regolamento predisposta dalla Banca d Italia dispone, all art. 3, che il negoziatore generi l immagine dell assegno assicurando, mediante apposizione della propria firma digitale, la conformità dell immagine all originale cartaceo, nel rispetto di quanto previsto nell Allegato tecnico dello stesso Regolamento. Inoltre, all art. 17 della Sezione VI relativa all esternalizzazione, si prevede che gli intermediari possano delegare a terze parti: a) le attività materiali di generazione dell immagine dell assegno; b) la presentazione al pagamento in forma elettronica dell assegno; c) la comunicazione di mancato pagamento; d) la trasmissione dei dati ai fini della levata del protesto o della constatazione equivalente in via telematica; e) la conservazione dell immagine dell assegno; f) la conservazione del protesto o della constatazione equivalente ovvero del documento attestante la non protestabilità del titolo; g) la registrazione su supporto informatico degli eventi relativi all assegno; h) la conservazione e la distruzione dei titoli cartacei. Lo stesso articolo, al comma 2, precisa poi che gli intermediari hanno la responsabilità delle attività esternalizzate e presidiano i rischi derivanti dall esternalizzazione esercitando, fra l altro, attività di controllo e mantenendo le competenze necessarie per una eventuale internalizzazione; essi documentano e approvano, ad un adeguato livello organizzativo coerente con la più complessiva politica aziendale, l eventuale delega a soggetti terzi delle attività elencate al comma 1. Alla luce di tutto ciò, nonostante il delicatissimo ruolo e le responsabilità degli intermediari nelle attività da espletare o esternalizzare, non è stato previsto che tali soggetti debbano anche avere i requisiti del livello più elevato, in termini di qualità e di sicurezza, richiesti invece per i conservatori accreditati dall art. 44-bis del CAD (D.Lgs. 82/2005).
A riprova della necessità di garantire che i negoziatori - o i soggetti ai quali vengono esternalizzate le attività di competenza - abbiano i requisiti più elevati in termini di qualità e sicurezza, l Allegato tecnico della bozza di Regolamento prevede che, nei casi di apposizione della firma digitale, al fine di attestare la conformità dell immagine dell assegno all originale cartaceo, tale firma deve essere imputabile al negoziatore e deve essere apposta da un soggetto che per tale attività può impegnare il negoziatore stesso. Inoltre, con specifico riferimento ai processi di esternalizzazione, al capitolo 7 dell Allegato tecnico della bozza di Regolamento si prevede che gli intermediari, qualora decidano di esternalizzare le attività di cui all art. 17 a più di un soggetto, dovranno precisare - per ciascuna delle attività esternalizzate - i servizi che saranno forniti da ciascuno di essi, assicurandosi che, per ciascuna attività, sussistano procedure tecniche e organizzative che garantiscano adeguati livelli di efficienza e sicurezza nonché, ove necessario, la sussistenza dei poteri di firma. In tale prospettiva, le stesse disposizioni prevedono che il contratto di esternalizzazione preveda almeno: i diritti, gli obblighi, le responsabilità dei contraenti; la disciplina dei livelli di servizio, gli strumenti per il monitoraggio delle attività esternalizzate e le clausole penali per il caso di mancato rispetto; la definizione di politiche, procedure e controlli formali per proteggere lo scambio d informazioni (in formato elettronico o cartaceo) tra i contraenti, qualunque sia il mezzo di comunicazione utilizzato, garantendo sempre la riservatezza, l integrità e l autenticità delle informazioni scambiate; le modalità di trattamento delle informazioni accedute dal personale del soggetto cui sono state esternalizzate le attività nonché di quelle memorizzate e processate dai suoi sistemi informativi. A una prima lettura, dunque, emerge la mancanza di una disposizione che espliciti inequivocabilmente la possibilità di delegare l apposizione della firma digitale (a garanzia della conformità delle copie informatiche degli assegni dematerializzati) qualora le attività materiali di acquisizione dell immagine dell assegno vengano esternalizzate dal negoziatore, fatta salva in ogni caso la responsabilità della banca negoziatrice per quanto riguarda tutti i rapporti con i terzi (altri intermediari o soggetti interessati) o le Autorità. Se invece si intende proprio impedire di delegare l apposizione della firma digitale al soggetto che effettua materialmente le attività di acquisizione dell immagine, ciò costituirebbe - paradossalmente - solo una forma di protezione vuota e formale del
documento cartolare e - di fatto - un potenziale pericolo per la sicurezza e l integrità del processo di acquisizione. g) CONSIDERAZIONI GENERALI E RILIEVI FORMALI In generale, non si può non evidenziare che le disposizioni previste nella bozza di Regolamento rischiano di non ottemperare alla delega attribuita alla Banca d Italia dalla Legge Assegni e dal DMEF 205/2014, in quanto le stesse disciplinano in modo del tutto generale e astratto dei processi che in questa sede dovrebbero essere dettagliati e chiariti dal punto di vista tecnico e procedurale. Inoltre, in considerazione dei costi che le nuove procedure potrebbero comportare, si ritiene necessario un intervento della Banca d'italia volto ad impedire che tali costi vengano ribaltati sui clienti delle banche così come troppo spesso è accaduto in passato. Da ultimo, si rileva la necessità di allineare nella bozza di Regolamento alcuni riferimenti errati ai capitoli dell Allegato tecnico e di superare l utilizzo dell aggettivo sostitutiva in relazione alla conservazione dei documenti informatici. Il presente documento è stato approvato dal Consiglio Direttivo di ANORC, ANORC Professioni e AIFAG e inviato il 10 luglio 2015 all attenzione della Banca d Italia Lecce, 10 luglio 2015 Il Direttore Generale dott. Alessandro Selam