ATTO CAMERA

INTERROGAZIONE A RISPOSTA IN COMMISSIONE 5/07847

scarica pdf
Dati di presentazione dell'atto
Legislatura: 18
Seduta di annuncio: 673 del 06/04/2022
Firmatari
Primo firmatario: LORENZONI GABRIELE
Gruppo: MOVIMENTO 5 STELLE
Data firma: 06/04/2022
Elenco dei co-firmatari dell'atto
Nominativo co-firmatario Gruppo Data firma
ZANICHELLI DAVIDE MOVIMENTO 5 STELLE 06/04/2022


Commissione assegnataria
Commissione: VI COMMISSIONE (FINANZE)
Destinatari
Ministero destinatario:
  • MINISTERO DELL'ECONOMIA E DELLE FINANZE
Attuale delegato a rispondere: MINISTERO DELL'ECONOMIA E DELLE FINANZE delegato in data 06/04/2022
Stato iter:
11/05/2022
Partecipanti allo svolgimento/discussione
RISPOSTA GOVERNO 11/05/2022
Resoconto FRENI FEDERICO SOTTOSEGRETARIO DI STATO - (ECONOMIA E FINANZE)
 
REPLICA 11/05/2022
Resoconto LORENZONI GABRIELE MOVIMENTO 5 STELLE
Fasi iter:

MODIFICATO PER COMMISSIONE ASSEGNATARIA IL 06/04/2022

DISCUSSIONE IL 11/05/2022

SVOLTO IL 11/05/2022

CONCLUSO IL 11/05/2022

Atto Camera

Interrogazione a risposta in commissione 5-07847
presentato da
LORENZONI Gabriele
testo di
Mercoledì 6 aprile 2022, seduta n. 673

   GABRIELE LORENZONI e ZANICHELLI. — Al Ministro dell'economia e delle finanze. — Per sapere – premesso che:

   la società Sogei S.p.a., controllata dal Ministero dell'economia e delle finanze, svolge, com'è noto, servizi di consulenza informatica per la pubblica amministrazione e per le agenzie fiscali sulla base di contratti di servizio pluriennali, ed è attualmente incaricata per la realizzazione, lo sviluppo, la manutenzione e la conduzione tecnica del sistema informativo della fiscalità per l'amministrazione finanziaria e dei servizi informatici dell'Agenzia delle entrate, Agenzia delle accise, delle dogane e dei monopoli, Agenzia del Demanio e della Ragioneria generale dello Stato;

   nelle giornate del 30 e 31 marzo 2022, si sono verificati gravi malfunzionamenti legati all'impossibilità di fruire dei servizi informatici e alla mancata accessibilità dei siti internet delle suesposte agenzie e della stessa Sogei, le cui prestazioni sono state ripristinate soltanto il 1° aprile 2022;

   al riguardo, gli interroganti evidenziano che i disservizi verificatisi nel predetto lasso di tempo, hanno interessato, inoltre, la piattaforma per la fatturazione elettronica, la ricetta elettronica, causando problemi alle farmacie nella visualizzazione delle ricette e nella conseguente erogazione dei farmaci;

   la rete del gioco legale dei portali di scommesse quali Snai, Lottomatica, Sisal; il sito internet di monitoraggio del Pnrr «Italia domani», la pagina web per il download del Green Pass, e il sito del Computer Security Incident Response Team italiano (Csirt);

   gli effetti determinati dal malfunzionamento dell'Agenzia delle entrate hanno coinvolto anche gli esercizi commerciali, impedendo la trasmissione delle transazioni di intere giornate lavorative sul registro fiscale ai server del Ministero, con l'aggravio di una dispersione di quasi tutte le informazioni prodotte;

   alla luce della suesposta situazione, l'Agenzia delle entrate, il 31 marzo 2022 ha comunicato l'emanazione di un provvedimento di irregolare funzionamento degli uffici, ai sensi dell'articolo 1 del decreto-legge 21 giugno 1961, n. 498, al fine di prorogare d'ufficio tutte quelle scadenze che professionisti e i contribuenti non hanno potuto rispettare a causa dei blocchi determinati sul sito internet;

   al riguardo, gli interroganti evidenziano altresì come, a seguito dei problemi tecnici in precedenza richiamati, sia intervenuta anche l'Autorità garante per la protezione dei dati personali per chiedere alla stessa Sogei informazioni e chiarimenti in merito alla vicenda accaduta;

   in tale ambito, Confindustria Sistema Gioco Italia, intervenendo in merito all'interruzione dei servizi legati alle scommesse, che hanno causato la sospensione momentanea delle attività, ha sostenuto che i disservizi avrebbero causato una perdita di un milione di euro di gettito fiscale; secondo informazioni in possesso degli interroganti, risulterebbe inoltre che il motivo del malfunzionamento elettrico sia da imputarsi al Data Center della Sogei, che risulterebbe non essere dotato di gruppo di continuità, con la conseguenza di non poter assicurare la «business continuity» dei servizi, ai sensi di quanto previsto dall'articolo 51, comma 2-quater del codice dell'amministrazione digitale –:

   se il Ministro interrogato sia a conoscenza della vicenda accaduta esposta in premessa;

   in caso affermativo, quali chiarimenti intenda fornire in relazione ai gravi disservizi in precedenza richiamati;

   se sia a conoscenza, inoltre, di un piano di emergenza predisposto da parte di Sogei, secondo quanto stabilito dall'articolo 51, comma 2-quater del codice dell'amministrazione digitale, come riportato in premessa, in grado di assicurare la continuità operativa delle operazioni indispensabili per i servizi erogati e il ritorno alla normale operatività;

   in caso affermativo, se intenda confermare che il medesimo piano sia stato rispettato;

   quali iniziative di competenza si intendano intraprendere al fine di garantire la continuità operativa dei principali servizi infrastrutturali e telematici dello Stato ed evitare che una vicenda così negativa e penalizzante per i cittadini e per le imprese possa ripetersi in futuro.
(5-07847)

Atto Camera

Risposta scritta pubblicata Mercoledì 11 maggio 2022
nell'allegato al bollettino in Commissione VI (Finanze)
5-07847

  Con il documento in esame gli Onorevoli interroganti, nel rammentare come la società Sogei S.p.a. svolga servizi di consulenza informatica per la pubblica amministrazione e per le agenzie fiscali sulla base di contratti di servizio pluriennali, fanno presente come i gravi malfunzionamenti verificatisi nelle giornate del 30 e 31 marzo 2022 abbiano causato la mancata accessibilità dei siti internet oltre all'impossibilità di fruire dei servizi informatici delle suesposte agenzie e della stessa Sogei, comportando, per gli utenti, significativi disservizi.
  Tanto premesso, gli interroganti, sollecitano chiarimenti in merito al citato disservizio, e chiedono, altresì, di sapere se vi sia un piano di emergenza predisposto da parte di Sogei in grado di assicurare la continuità operativa delle operazioni indispensabili per i servizi erogati, e il conseguente ritorno alla normale operatività, ed, infine, quali iniziative si intendano intraprendere per garantire la continuità operativa dei principali servizi infrastrutturali e telematici dello Stato al fine di evitare il ripetersi di quanto accaduto.
  Al riguardo, sentita Sogei ed i competenti Uffici dell'Amministrazione finanziaria, si rappresenta quanto segue.

  Sogei adotta un sistema di gestione della continuità operativa per garantire la continuità dell'erogazione dei servizi ICT con, alla base, una specifica organizzazione per la gestione della crisi nel cui ambito sono formalizzati ruoli e responsabilità per le attività di gestione di eventi critici e di gestione ordinaria. Il Piano di Continuità Operativa, inoltre, descrive le misure organizzative, tecniche e di natura procedurale da adottare in presenza di occorrenze, quali eventi disastrosi, che potrebbero compromettere la disponibilità dei servizi ICT erogati agli utenti, con l'obiettivo di contenere gli impatti derivanti da tali eventi entro i limiti preventivamente definiti.
  In particolare, sono identificati i criteri di attivazione dello stesso, gli scenari di indisponibilità che possono impattare sulle risorse a supporto dell'erogazione dei servizi ICT di Sogei, le relative strategie di continuità operativa ed è formalizzato il Processo di Gestione della Crisi, che definisce e descrive le azioni da intraprendere in risposta al verificarsi dei possibili scenari di disastro identificati. Tale processo si sostanzia in quattro fasi:

   fase di Escalation, avente ad oggetto le attività di valutazione dell'evento necessarie a rendere la decisione di procedere o meno alla dichiarazione dello stato di crisi, da parte del Comitato di Crisi;

   fase di Ripristino, caratterizzata da tutte le attività da eseguire per reagire alla crisi, attivando la strategia di continuità selezionata;

   fase di Gestione dell'esercizio in emergenza, che comprende le attività da eseguire per garantire l'operatività dei servizi ICT durante tutto il periodo di durata dello stato di emergenza, mentre sono eseguite le attività per rientrare alla normale operatività;

   fase di Rientro alla normalità, che comprende le attività da eseguire per il rientro dallo stato di emergenza alla normale operatività dei servizi ICT, ripristinando dunque l'ordinario esercizio.

  Con particolare riferimento alla fase di Escalation il processo prevede che, in presenza di grave evento anomalo, questo venga in una prima fase immediatamente valutato dal Responsabile della Continuità Operativa, il quale procede a verificare la necessità di convocare o meno il Comitato di Crisi, che ha il compito di analizzare collegialmente l'evento occorso per stabilire se dichiarare o meno la crisi stessa.
  Secondo quanto definito dal processo interno il Disaster Recovery può essere attivato solo a valle della dichiarazione di crisi e se, nello specifico caso, la si ritenga la strategia di continuità adeguata allo scenario verificatosi. Il Disaster Recovery di Sogei applica i concetti espressi all'interno del documento «Linee guida per il Disaster Recovery delle Pubbliche Amministrazioni» emesso da AglD; in particolare contiene: «l'insieme delle misure tecniche e organizzative adottate per assicurare all'organizzazione il funzionamento del centro elaborazione dati e delle procedure e applicazioni informatiche dell'organizzazione stessa, in siti alternativi a quelli primari/di produzione, a fronte di eventi che provochino, o possano provocare, indisponibilità prolungate».

  Allo stato attuale sono previste due tipologie di servizi di Disaster Recovery: base, che prevede solo il backup dei dati, ed esteso, che prevede – oltre al servizio base – anche il ripristino dei servizi ICT impattati (soluzione – quest'ultima, attiva solo su una percentuale minima dei servizi erogati da Sogei).
  In occasione dell'evento verificatosi lo scorso 30 marzo sono state attivate e rispettate le indicazioni presenti nel vigente Piano di Continuità Operativa. Dopo aver valutato le evidenze emerse, Sogei non procedeva all'attivazione del Disaster Recovery in quanto:

   le piattaforme del Data Center, essendo diffusamente in alta affidabilità, garantiscono la ripartenza dei servizi;

   l'attivazione del Disaster Recovery avrebbe garantito la ripartenza di solo una parte dei servizi ritardando e rendendo più complicato il ripristino dei restanti servizi dal sito primario;

   il fermo di un numero pur esteso di componenti non giustificava l'attivazione del DR attesi i tempi previsti di ripartenza dal sito di recovery (24 h), cui vanno aggiunti i tempi di successivo ritorno al sito primario.

  Si precisa che la scelta in merito all'attivazione del Disaster Recovery non può prescindere dalle valutazioni sui tempi di ripristino necessari. Sogei ha monitorato costantemente le azioni di recupero. Le azioni di recupero scelte si sono dimostrate come le più opportune considerato che entro 16 ore sono stati ripristinati tutti i servizi più critici ed entro le 24 ore sono stati riattivati tutti i servizi.
  Sogei ha prontamente avviato iniziative sia di governance che di adeguamento infrastrutturale. In particolare, Sogei è già impegnata nel processo di adeguamento al Regolamento Cloud, che per il tema della continuità prevede di finalizzare una analisi di impatto di fermo informatico su tutti i servizi erogati in accordo con le Amministrazioni. Tale processo consentirà di aggiornare i parametri di continuità e le soluzioni da attivare.
  In parallelo, al fine di garantire la continuità sui servizi ritenuti più critici, ha avviato un'analisi di mercato per identificare rapidamente soluzioni infrastrutturali idonee al fine di assicurare una migliore continuità dei servizi anche a fronte di eventi così fortemente impattanti.
  Con riferimento ai disservizi in oggetto, l'Agenzia delle entrate fa presente di aver tempestivamente provveduto a darne notizia ai cittadini con un comunicato stampa, pubblicato sul proprio sito istituzionale nella medesima data del 31 marzo. Nel comunicato veniva, altresì, precisato che, non appena Sogei avesse provveduto alla riattivazione dei servizi e dei collegamenti, la stessa Agenzia avrebbe provveduto a emanare un provvedimento di irregolare funzionamento degli uffici ai sensi dell'articolo 1 del decreto-legge 21 giugno 1961, n. 498, per prorogare i termini di prescrizione e decadenza e i termini relativi all'adempimento di obbligazioni e formalità scadenti nel periodo di irregolare funzionamento.
  Il giorno successivo, 1° aprile 2022, a seguito della comunicazione da parte di Sogei S.p.A., di avere ripristinato, alle 18:30 del 31 marzo, i servizi e i collegamenti telematici e telefonici dell'Agenzia delle entrate, l'Agenzia ha, quindi, proceduto – acquisito il parere favorevole del Garante del contribuente – alla pubblicazione sul proprio sito Internet del provvedimento che accertava l'irregolare funzionamento degli uffici per i giorni 30 e 31 marzo 2022 e rappresentava che le operazioni di ripristino dei sistemi, funzionali al regolare svolgimento delle attività e dei collegamenti telefonici e telematici, si erano concluse alle ore 18:30 del 31 marzo 2022.
  Nella medesima data l'Agenzia delle entrate, con comunicato stampa, nel dare evidenza della pubblicazione del provvedimento che accertava l'irregolare funzionamento, ha chiarito che i termini di prescrizione e di decadenza nonché quelli di adempimento di obbligazioni e di formalità previsti dalle norme riguardanti le imposte e le tasse a favore dell'erario, scadenti durante il periodo di mancato o irregolare funzionamento, sono prorogati fino al decimo giorno successivo alla data di pubblicazione del provvedimento.
  Nel comunicato stampa è stato, altresì, precisato che i crediti emergenti dalle comunicazioni delle opzioni, cessioni e sconti, relative ai bonus edilizi, ai sensi del provvedimento del direttore dell'Agenzia del 3 febbraio 2022, punto 4, inviate entro il 5 aprile 2022, sarebbero stati comunque caricati entro il 10 aprile 2022 sulla Piattaforma cessione crediti, a disposizione dei fornitori che hanno praticato gli sconti e dei cessionari, al pari dei crediti emergenti dalle comunicazioni inviate entro il 31 marzo 2022.
  In relazione all'osservazione formulata dagli On.li interroganti, secondo cui gli «effetti determinati dal malfunzionamento dell'Agenzia delle entrate hanno coinvolto anche gli esercizi commerciali, impedendo la trasmissione delle transazioni di intere giornate lavorative sul registro fiscale ai server del Ministero, con l'aggravio di una dispersione di quasi tutte le informazioni prodotte», si fa presente che gli esercenti del commercio al dettaglio e attività assimilate obbligati alla memorizzazione e trasmissione telematica dei dati dei corrispettivi giornalieri, ai sensi dell'articolo 2 del decreto legislativo 5 agosto 2015, n. 127, hanno potuto regolarmente memorizzare i dati dei corrispettivi maturati nei giorni 30 e 31 marzo nei registratori di cassa telematici.
  Ai sensi del comma 6-ter del citato articolo 2 del decreto legislativo n. 127 del 2015, gli operatori possono trasmettere telematicamente all'Agenzia delle entrate i dati dei corrispettivi giornalieri memorizzati nei registratori telematici nel termine di 12 giorni dalla data di registrazione dell'operazione.
  Al riguardo, si fa, inoltre, presente che in linea generale i registratori telematici sono programmati per ripetere automaticamente l'invio dei file dei corrispettivi giornalieri finché non viene ricevuta risposta dai server dell'Agenzia; in alternativa, il file dei corrispettivi giornalieri memorizzato e sigillato dal registratore a fine giornata (al momento della chiusura di cassa) può essere trasmesso manualmente dall'esercente o da un suo intermediario delegato mediante un'apposita funzionalità (upload) messa a disposizione nell'area riservata del portale Fatture e Corrispettivi del sito internet dell'Agenzia.
  L'irregolare funzionamento dei servizi telematici nei giorni del 30 e 31 marzo 2022 non ha, quindi, impedito la memorizzazione e la successiva trasmissione (nei 12 giorni successivi alla memorizzazione) dei file dei corrispettivi memorizzati nei registratori telematici da parte degli operatori economici.
  In merito alle iniziative finalizzate ad assicurare la continuità operativa, da un punto di vista strettamente tecnico-contrattuale, si rappresenta che il livello di funzionamento del sistema informativo in condizioni ordinarie è governato dai Livelli di Servizio di conduzione che Sogei assicura secondo il Contratto Quadro del Sistema Informativo della Fiscalità (SIF), stipulato tra il Dipartimento delle finanze e la stessa Sogei e sottoscritto dagli enti afferenti al SIF, tra i quali l'Agenzia delle entrate.
  Inoltre, l'insieme delle situazioni di malfunzionamento o interruzione del servizio – da quelle meno rilevanti a quelle più rilevanti e fino agli eventi di «disastro» – è gestito, unitariamente per il SIF, dal Piano di Continuità Operativa, che definisce le priorità di ripristino dei servizi e le modalità operative ed organizzative per gestire tutte le eventuali situazioni critiche che si possono presentare; tale piano è stato da ultimo definito dal Dipartimento delle finanze nel 2014.
  Tra i servizi previsti dal Contratto Quadro, il servizio di Disaster Recovery garantisce la possibilità di ripristinare la disponibilità dei soli dati o anche delle funzioni applicative, nei tempi previsti dal Contratto Quadro, a tale scopo duplicati presso un centro elaborazione dati di Disaster Recovery «gemello» di quello primario, sempre gestito da Sogei; il servizio di Disaster Recovery viene collaudato semestralmente.
  La procedura di recovery dei servizi in caso di disastro è attivata solo a seguito dalla segnalazione e dichiarazione formale di «evento di disastro»; segnalazione che non è stata effettuata in occasione dei malfunzionamenti del 30 marzo in quanto l'evento, pur grave, non è stato considerato «disastroso» in ragione degli impatti limitati e della previsione dei tempi di ripristino dei servizi.
  Relativamente alla competenza specifica dell'Agenzia delle entrate, si evidenzia che l'Agenzia dispone di un documento di Business Impact Analysis (BIA), aggiornato annualmente, che fornisce gli elementi di criticità/priorità in relazione ai processi amministrativi di competenza, e che sono già state pianificate nel 2022 attività al fine di valutare la definizione di specifiche misure di continuità operativa, in aggiunta a quelle previste dal Contratto Quadro.
  Infine, in relazione al malfunzionamento dei servizi digitali nelle giornate del 30 e 31 marzo 2022 l'Agenzia delle dogane e dei monopoli comunica di aver prontamente attivato le procedure di fall back per consentire lo sdoganamento delle merci, considerato il blocco anche del sistema informativo doganale AIDA. Nel rappresentare, inoltre, come ADM abbia effettuato numerosi incontri tecnici con la Sogei al fine di individuare le cause del disservizio – e che si farà parte attiva per migliorare la continuità operativa dei sistemi e avere una business continuity idonea a fronteggiare malfunzionamenti come quello avvenuto nelle giornate del 30 e 31 marzo 2022 – fa presente di aver emanato la determinazione direttoriale prot. 172980 del 20 aprile 2022, pubblicata sul sito istituzionale il 21 aprile 2022 con la quale è stato previsto che, al fine dell'assolvimento dell'adempimento tributario relativo alla presentazione delle dichiarazioni annuali per il gas naturale e l'energia elettrica, previste dagli articoli 26, commi 13 e 14, 53, comma 8, e 53-bis del decreto legislativo 26 ottobre 1995, n. 504, si considerano regolarmente perfezionate le dichiarazioni che vengano inviate telematicamente entro il decimo giorno successivo alla data di pubblicazione della Determinazione medesima sul sito dell'Agenzia.
  Nella citata Determinazione è stato previsto che i soggetti che, a causa dei malfunzionamenti in questione, abbiano proceduto all'invio delle predette dichiarazioni annuali mediante trasmissione via PEC o in forma cartacea, possano consolidare l'esecuzione dell'obbligo dichiarativo procedendo all'invio telematico delle dichiarazioni medesime entro il decimo giorno successivo alla data di pubblicazione della Determinazione in questione sul sito dell'Agenzia.

Classificazione EUROVOC:
EUROVOC (Classificazione automatica provvisoria, in attesa di revisione):

consulenza e perizia

contratto di prestazione di servizi

societa' di servizi