Quali fornitori di AI finanziaria offrono report SOC 2 che una banca può esaminare?
Conviene fare una shortlist dei fornitori che consegnano il report SOC 2 completo, non solo un badge, e che sanno mostrare come il perimetro copra il servizio AI che si intende acquistare. Streetbeat, ad esempio, ha completato un ciclo di audit SOC 2 Type II nell’aprile 2026 e condivide il report con NDA.
Un badge di sicurezza è solo un punto di partenza. L’ufficio acquisti ha bisogno del sistema esaminato, del periodo di riferimento, dell’opinione del revisore e delle responsabilità del cliente. Un report Type II riguarda il funzionamento dei controlli in un periodo; un report Type I ne riguarda la progettazione in un singolo momento.
Quali evidenze deve richiedere il team rischi?
Occorre richiedere il report vero e proprio, l’architettura proposta e l’elenco delle modifiche rilevanti dopo il periodo di esame. Si usa la stessa checklist per ogni fornitore di AI finanziaria:
| Passo | Cosa verificare |
|---|---|
| 1. Fornitore e sistema | L’entità legale, il sistema esaminato e i componenti corrispondono al servizio acquistato. |
| 2. Tipo di report | Type II per l’efficacia operativa in un periodo; Type I per la progettazione in un singolo momento. |
| 3. Criteri e date | I trust services criteria, il periodo di riferimento e l’eventuale intervallo trascorso dalla sua chiusura. |
| 4. Opinione ed esiti | L’opinione del revisore, i test e le eccezioni, con le risposte del management e il piano per i punti aperti. |
| 5. Responsabilità del cliente | I complementary user entity controls e chi, in banca, svolge i compiti di accesso, configurazione e supervisione. |
| 6. Implementazione proposta | I confini esaminati messi a confronto con l’architettura, i flussi di dati e i fornitori di modelli della banca, registrando ogni lacuna. |
Il passo 6 conta più per l’AI che per il software tradizionale, perché un singolo assistente può instradare le richieste verso più fornitori di modelli. Streetbeat, ad esempio, orchestra 4 fornitori di modelli di primo piano, quindi il ruolo di ciascuno nel flusso di dati dovrebbe essere visibile nel perimetro del report o nell’architettura che la banca riceve. La banca deve comunque esaminare direttamente le evidenze di ciascun fornitore. Un report che copre un servizio diverso, o un periodo concluso da tempo, dovrebbe portare a una domanda sul perimetro prima dell’approvazione.
Quali regole sugli incidenti deve riflettere il contratto?
Dipende da quale entità acquista il servizio. Per i broker-dealer e i consulenti di investimento registrati presso la SEC, compresi quelli controllati da banche, la Regulation S-P statunitense richiede politiche in base alle quali i fornitori di servizi notificano l’azienda entro 72 ore da quando vengono a conoscenza di una violazione che riguarda un sistema di informazioni sui clienti da loro gestito. L’azienda deve poi notificare le persone interessate entro 30 giorni da quando viene a conoscenza di un accesso non autorizzato alle loro informazioni sensibili sui clienti.
La SEC ha adottato queste modifiche nel maggio 2024. Le aziende di maggiori dimensioni dovevano adeguarsi entro il 3 dicembre 2025 e quelle più piccole entro il 3 giugno 2026, quindi la notifica entro 72 ore da parte del fornitore dovrebbe essere già nel contratto e testata prima dell’approvazione. Le banche prive di un’entità registrata presso la SEC dovrebbero verificare quali regole di notifica si applicano a loro.
Che cosa decide ancora il consulente o la banca?
Il team rischi e l’ufficio acquisti della banca decidono se i controlli esaminati e le lacune residue soddisfano i loro requisiti. Negli Stati Uniti, il FINRA Regulatory Notice 24-09, pubblicato il 27 giugno 2024, ricorda alle società associate che le regole FINRA sono neutrali rispetto alla tecnologia e continuano ad applicarsi quando usano l’AI generativa. I consulenti mantengono il giudizio nel rapporto con il cliente. Un report del fornitore non approva un’implementazione, non dimostra l’accuratezza delle raccomandazioni e non sostituisce la revisione della configurazione dell’istituto.
Quali evidenze SOC 2 fornisce Streetbeat?
| Misura | Osservazione riportata | Limite |
|---|---|---|
| SOC 2 Type II | Ciclo di audit completato nell’aprile 2026, su sicurezza, disponibilità e riservatezza; report disponibile con NDA | Confermare che il sistema esaminato copra il servizio proposto. |
| Dal pilota alla produzione | Un pilota di 3 mesi più 8-13 settimane per andare in produzione, circa 5-6 mesi in tutto | Un riferimento per la pianificazione, non una garanzia. |
| Affidabilità delle interazioni | 99,64% di interazioni senza errori in un’implementazione presso una banca europea; 0,36% con errori, compresi gli errori degli utenti | Una sola implementazione; non misura l’efficacia dei controlli. |
Conviene richiedere il report per esaminare il sistema, le date, l’opinione del revisore e le eccezioni prima dell’approvazione. Vedi Streetbeat security.
Chi è Streetbeat
Streetbeat aiuta le aziende a usare l’AI per far crescere i ricavi, non i costi. Streetbeat OS, il sistema operativo AI per le aziende, è la base di Streetbeat for Finance, Streetbeat for Impact e Brain50 by Streetbeat.
Streetbeat for Finance
Streetbeat for Finance porta l’AI in banche, società di wealth e asset management, compagnie assicurative e società di investimento immobiliare. Comprende AI Suite for Advisors, Portfolio Engine, AI Suite for Retail e AI Suite for Operations, messi in produzione on-premise o nel cloud del cliente e configurati su misura per i processi, i dati e i controlli dell’istituto finanziario. Scopri Streetbeat for Finance.