Fonte ufficiale confermata
Che cosa è successo
Da lunedì 14 settembre 2026 è in vigore la Operational Risk Management Regulation della Banca Centrale degli Emirati, il regolamento C 1/2026, emesso a febbraio e pubblicato sul Rulebook ufficiale con lo stato «in force». Il rischio operativo è il rischio di perdere soldi per un processo interno che fallisce, un sistema che si ferma, un errore umano, una frode o un fornitore che non consegna: è la categoria in cui finiscono i disservizi dell'app, i bonifici accreditati due volte, i saldi sbagliati dopo una migrazione informatica, gli attacchi informatici. Il regolamento sostituisce la Circolare 163 del 2018, che si rivolgeva soltanto alle banche. Quello nuovo si applica a tutte le istituzioni finanziarie con licenza della Banca Centrale che abbiano personalità giuridica: banche, compagnie di assicurazione e riassicurazione, e le «altre istituzioni finanziarie», cioè finanziarie, exchange house, prestatori di servizi di pagamento, emittenti di moneta elettronica e di valori memorizzati. Sono comprese anche le filiali negli Emirati di istituti esteri.
Che cosa cambia in pratica
Per chi ha una licenza della Banca Centrale gli obblighi sono cinque, e valgono da subito. Primo: una funzione di rischio operativo indipendente, con risorse proprie, di cui risponde il Chief Risk Officer, dentro un sistema di controlli a tre linee di difesa, cioè chi opera, chi controlla e chi verifica dall'esterno. Secondo: test periodici delle operazioni critiche, con penetration test affidati a un terzo indipendente e risultati presentati al consiglio. Terzo: una mappa dei fornitori terzi, compresi i subappaltatori che toccano i dati dei clienti, con clausole contrattuali che si possano far valere. Quarto: notifica alla Banca Centrale entro 4 ore di ogni evento che tocca le operazioni critiche, rapporto scritto entro 24 ore e, per gli incidenti classificati ad alto rischio, notifica entro 72 ore. Quinto: ogni cambio di sistema che può toccare i clienti va provato prima, con un piano di ritorno indietro, una relazione di un esperto esterno consegnata alla Banca Centrale almeno 30 giorni prima e il suo nulla osta scritto. Per chi ha soltanto un conto cambia una cosa, ed è quella che conta di più: l'articolo 12.6 dice che se un cambio di sistema produce informazioni sbagliate su saldi, addebiti, accrediti o conferme di pagamento, l'istituto deve spiegare al cliente come sono stati toccati il suo conto e le sue operazioni, e risponde dei danni che il cliente ha subito per l'errore dell'istituto, secondo le regole di tutela del consumatore già in vigore.
A chi si applica
Direttamente a chi ha una licenza della Banca Centrale degli Emirati, in qualunque forma: la fintech con licenza di stored value facility o di retail payment services, l'exchange house, la finanziaria, la compagnia di assicurazione. Non vale per chi ha una licenza commerciale di free zone, e non vale per chi è autorizzato dentro DIFC o ADGM, che hanno regolatori propri. In via indiretta vale per chiunque abbia un conto in una banca emiratina, un wallet o un rapporto con un intermediario di pagamento con licenza: non deve fare niente, ma da questa settimana ha una norma precisa da citare quando l'istituto sbaglia. Le società che dal 17 settembre devono chiedere una licenza alla Banca Centrale per la fine del periodo transitorio del Decree-Law 6/2025 troveranno questo regolamento fra i requisiti da soddisfare.
Il rischio da non sottovalutare
Per chi ha la licenza il rischio è personale, non solo societario. L'articolo 17 dice che la Banca Centrale può revocare, sostituire o limitare i poteri dei dirigenti e dei membri del consiglio, mettere l'istituto in amministrazione temporanea, imporre multe e interdire le persone dal settore finanziario degli Emirati. Una fintech nata con tre persone e una licenza di pagamento ha oggi gli stessi obblighi di struttura di una banca, in proporzione alla sua dimensione, e il consiglio non può delegarli a un fornitore esterno. Per il correntista il rischio è l'opposto: non usare il diritto che ha. Un bonifico fermo per un errore di migrazione, un saldo sbagliato che fa saltare un pagamento alla Federal Tax Authority, una conferma di pagamento che non corrisponde a un accredito: prima erano reclami generici, da oggi hanno un articolo di regolamento dietro, e la banca lo sa.
Che cosa fare adesso
Chi ha una licenza della Banca Centrale mette in agenda del prossimo consiglio i cinque punti di sopra e misura la distanza fra quello che ha e quello che il regolamento chiede, partendo dalla procedura di notifica entro 4 ore: è l'obbligo che scatta senza preavviso e che nessuno improvvisa alle due di notte. Chi ha un cambio di sistema in programma, come una nuova app o una migrazione di core banking, calcola all'indietro i 30 giorni di preavviso e la relazione dell'esperto esterno prima di fissare la data. Chi ha soltanto un conto tiene traccia, da oggi, di ogni disservizio che tocca saldi o pagamenti: data, ora, schermata, danno subito. Se la banca ha causato un costo, come una sanzione per ritardato pagamento o un ordine saltato, il reclamo si scrive citando l'articolo 12.6 del regolamento C 1/2026 e le regole di tutela del consumatore, e si manda prima all'ufficio reclami della banca e poi, senza risposta nei termini, ai canali di reclamo della Banca Centrale.
Fonti
https://rulebook.centralbank.ae/en/rulebook/operational-risk-management-regulationhttps://gulfnews.com/business/banking/uae-overhauls-bank-risk-rules-4-hour-reporting-cyber-tests-and-tougher-penalties-1.500675080Questo aggiornamento riguarda la tua situazione?
Ogni norma vale poco finché non la si applica al caso concreto. Se hai una società negli Emirati o stai valutando il trasferimento, il modo più veloce per capire cosa cambia per te è parlarne direttamente.