Rapporto esplicativo

– La delega di determinati compiti a terzi e l’esternalizzazione dei sistemi

d’informazione saranno regolamentate per legge.

4.4.1 Scambio elettronico di dati

Per migliorare il coordinamento dei progetti generali (di e-government), gli organi esecutivi si sono riuniti nell’associazione eAVS/AI. Essa è riuscita a introdurre prime standardizzazioni nello scambio elettronico di dati (anche con terzi). Tuttavia, poiché gli organi esecutivi le hanno sviluppate su base volontaria e perlopiù indipendentemente dall’UFAS, le basi giuridiche necessarie per la standardizzazione e il finanziamento sono attualmente lacunose, sebbene lo scambio sia finanziato tramite i fondi delle assicurazioni interessate.

Per garantire uno scambio elettronico di dati efficiente, sicuro, economico e accettato dalle parti coinvolte occorrono dunque una regolamentazione e una vigilanza in materia. Va chiarito in particolare come e a quali condizioni possa avvenire lo scambio. Esso deve inoltre essere dapprima definito in una base legale che ne determini anche lo scopo. In questo contesto va pure tenuto conto del fatto che lo scambio di dati non si limita solo agli organi esecutivi del 1° pilastro, ma può implicare terzi, come ad esempio organi esecutivi di altre assicurazioni sociali oppure servizi federali o cantonali, se una legge federale prevede un tale scambio.

4.4.2 Applicazioni informatiche

Attualmente l’UFAS non valuta il rispetto degli standard minimi in materia di garanzia della sicurezza delle informazioni e della protezione dei dati. Gli standard minimi regolano l’organizzazione e le procedure di sicurezza e definiscono i requisiti di sicurezza minimi per tutelare la confidenzialità, la disponibilità, l’integrità e la rintracciabilità delle informazioni e dei dati.

4.4.3 Esternalizzazione di servizi nell’ambito dei sistemi d’informazione

Gli organi esecutivi si sono organizzati in modo tale che di regola esternalizzano lo sviluppo e la gestione tramite pool informatici, esercitando però il controllo esclusivo, o quantomeno sostanziale, su di essi e sui fornitori di prestazioni informatiche. La delega di determinati compiti a terzi e l’esternalizzazione dei sistemi d’informazione devono essere fissate espressamente e regolamentate per legge (art. 63 cpv. 5 LAVS). Questo articolo va precisato in modo che l’autorità di vigilanza possa emanare regole sull’esternalizzazione dei sistemi d’informazione. L’esternalizzazione non deve compromettere il raggiungimento dello scopo della vigilanza, ovvero il rispetto dei principi dell’AVS e dell’AI. Una regola fondamentale in relazione con l’esternalizzazione sarà dunque l’assoggettamento dei pool ad audit informatici. Gli audit informatici dovranno basarsi su piani concettuali e standard aggiornati del settore (p. es. standard di verifica dell’associazione EX-PERTsuisse e di specialisti di audit informatici). Due possibili aspetti centrali di queste verifiche sono esposti di seguito.