Terze parti · 4 min di lettura
Segmentazione, questionari mirati, scoring e monitoraggio continuo: un metodo pratico per conoscere davvero i fornitori e i partner da cui dipende l’azienda.
Ogni azienda dipende da fornitori, consulenti, distributori e partner tecnologici. Molti di loro accedono a dati, sistemi o processi critici, e un loro problema diventa in fretta un problema dell’azienda: un incidente informatico, un’interruzione della fornitura, un comportamento scorretto che finisce sui giornali con il nome del cliente accanto.
Le normative più recenti lo riconoscono in modo esplicito. La NIS2 chiede di gestire la sicurezza della catena di fornitura, il GDPR impone di scegliere responsabili del trattamento che offrano garanzie adeguate, le regole su anticorruzione e sostenibilità estendono l’attenzione ai partner commerciali. La due diligence sulle terze parti non è più un controllo facoltativo dell’ufficio acquisti, ma un processo che coinvolge compliance, IT, legale e direzione.
L’errore più diffuso è trattare tutti i fornitori allo stesso modo, con lo stesso lungo questionario per chi fornisce la cancelleria e per chi gestisce i server. Il risultato è uno sforzo enorme, risposte compilate in fretta e nessuna attenzione in più dove servirebbe davvero.
Conviene partire da una classificazione basata su pochi criteri: accesso a dati personali o a sistemi aziendali, importanza del servizio per la continuità operativa, paese in cui opera il fornitore, valore e durata del rapporto, possibilità di sostituirlo in tempi brevi. Bastano poche domande poste al momento del censimento per assegnare ogni terza parte a una fascia di rischio.
A ogni fascia corrisponde un livello di approfondimento diverso. Per i fornitori a basso rischio può bastare una verifica documentale di base; per quelli critici servono un questionario completo, il controllo delle evidenze e, in alcuni casi, un audit presso il fornitore.
Un buon questionario di due diligence è breve e calibrato sulla fascia di rischio. Le aree tipiche sono l’identità della società e dei titolari effettivi, la sicurezza delle informazioni e la protezione dei dati, le certificazioni, la continuità operativa, l’etica e l’anticorruzione, la sostenibilità e il ricorso a subfornitori. Ogni domanda deve avere uno scopo preciso: se la risposta non cambierebbe la decisione, la domanda si può togliere.
Le risposte vanno poi verificate. Una certificazione dichiarata va accompagnata dal certificato e dalla sua scadenza, una policy di sicurezza dal documento approvato, una dichiarazione sui titolari effettivi da una visura aggiornata. Fonti esterne come liste sanzionatorie e registri pubblici completano il quadro senza chiedere nulla in più al fornitore.
Conviene anche decidere in anticipo chi valuta cosa. Le risposte sulla sicurezza informatica richiedono l’occhio dell’IT, quelle sulla protezione dei dati il parere del referente privacy, quelle su etica e anticorruzione la funzione compliance. Un flusso che assegna ogni sezione all’esperto giusto evita che il questionario resti fermo sulla scrivania di una sola persona.
Il questionario essenziale
Risposte e verifiche confluiscono in un punteggio di rischio, calcolato con criteri trasparenti e uguali per tutti. Il punteggio non decide da solo: serve a rendere confrontabili fornitori diversi e a far emergere i punti deboli su cui ragionare.
Le decisioni possibili sono più di due. Oltre ad approvare o respingere, si può approvare con condizioni: clausole contrattuali specifiche, un piano di miglioramento con scadenze, limiti all’accesso ai dati, una nuova verifica a breve. Ogni decisione va motivata e registrata, insieme a chi l’ha presa.
Le condizioni emerse dalla due diligence devono arrivare fino al contratto. Un requisito di sicurezza che non compare nell’accordo è difficile da far valere proprio quando serve.
La due diligence non si esaurisce al momento dell’ingresso. Le certificazioni scadono, gli assetti proprietari cambiano, un fornitore può subire un incidente o finire in una lista sanzionatoria. Rivalutazioni periodiche con frequenza proporzionata al rischio, avvisi sulle scadenze dei documenti e la possibilità di riaprire la valutazione quando accade qualcosa di rilevante mantengono il quadro aggiornato.
Il modulo Third Party Due Diligence di Regulate segue l’intero ciclo: classificazione iniziale, questionari differenziati per fascia, raccolta delle evidenze, scoring dei rischi e monitoraggio continuo con alert. Collegato all’anagrafica fornitori del CRM, riunisce in un’unica scheda dati, documenti, valutazioni e contratti, e permette di dimostrare in qualsiasi momento come l’azienda governa i rischi che arrivano dall’esterno.
Continua a leggere
L’automazione intelligente sta rivoluzionando il modo in cui le aziende gestiscono i processi quotidiani. Strategie per digitalizzare attività ripetitive, aumentare la precisione e liberare risorse.
Come chatbot intelligenti e apprendimento interattivo rendono la gestione delle policy più accessibile, coinvolgente e misurabile.
Innovaq è una realtà in fase di lancio.