Rischio fornitori: una valutazione proporzionata

Non tutti i fornitori sono uguali

Trattare tutti i fornitori allo stesso modo sembra la scelta più equa, ma è quella meno efficace. Se si applicano a tutti i controlli pensati per i fornitori più critici, il processo diventa lento e costoso; se si applicano a tutti i controlli minimi, i rischi veri passano inosservati.

La valutazione proporzionata parte da un’idea semplice: l’impegno richiesto a un fornitore deve dipendere da quanto quel fornitore può incidere sull’azienda. Chi consegna materiale di consumo e chi gestisce i dati dei clienti non meritano lo stesso questionario, né la stessa frequenza di revisione.

Proporzionare non significa abbassare la guardia. Significa decidere in anticipo dove investire il tempo di chi controlla, e dichiararlo in modo esplicito, così che la scelta sia coerente da un fornitore all’altro e difendibile quando qualcuno chiede perché un controllo è stato fatto o non è stato fatto.

I criteri che contano

Per assegnare un livello di rischio servono pochi criteri, chiari e verificabili. I più utili riguardano l’accesso a dati personali o riservati, l’accesso ai sistemi informativi, l’impatto di un’interruzione del servizio sull’operatività, la facilità con cui il fornitore potrebbe essere sostituito e l’eventuale ricorso a sub-fornitori.

Conviene che ogni criterio abbia risposte chiuse, come sì, no o una scala a tre livelli, e che il punteggio finale sia calcolato in modo trasparente. Una valutazione che nessuno sa spiegare non regge davanti a un audit e non convince nemmeno chi la deve applicare.

Il livello di rischio va assegnato all’inizio del censimento, perché è proprio da lì che dipende quali informazioni chiedere dopo.

Criteri di valutazione

• Accesso a dati personali
• Accesso ai sistemi
• Impatto di un’interruzione
• Sostituibilità
• Uso di sub-fornitori

Dal livello di rischio alle informazioni da chiedere

Una volta stabilito il livello, la pratica di censimento dovrebbe adattarsi di conseguenza. A un fornitore a basso rischio bastano identità legale, contatti, dati bancari e fiscali. A uno a rischio medio si aggiungono la documentazione privacy e le informazioni sui servizi erogati.

Ai fornitori ad alto rischio si chiede di più: misure di sicurezza, certificazioni, piani di continuità, elenco dei sub-fornitori e, dove serve, un accordo sul trattamento dei dati. In questo modo lo sforzo si concentra dove produce un beneficio reale, e i fornitori più piccoli non vengono scoraggiati da richieste sproporzionate.

Rischio basso

• Identità legale
• Contatti
• Dati bancari e fiscali

Rischio alto

• Misure di sicurezza
• Certificazioni
• Sub-fornitori
• Accordo sul trattamento dei dati

Guardare oltre il primo livello

Molti rischi non nascono dal fornitore diretto, ma da chi lavora per lui. Un servizio di assistenza informatica può appoggiarsi a un’altra società per il supporto notturno, un fornitore di software può ospitare i dati presso un provider esterno. Se questa catena non è nota, anche la valutazione più accurata resta incompleta.

Per questo è utile chiedere ai fornitori più critici di indicare i propri sub-fornitori rilevanti, con il servizio svolto e il paese in cui operano, e di comunicare ogni variazione. Non si tratta di controllare tutta la filiera, ma di sapere chi entra in contatto con i dati e i processi dell’azienda.

Anche qui vale la proporzione: ai fornitori a basso rischio non serve chiedere nulla, a quelli critici conviene chiedere l’elenco in fase di censimento e una conferma a ogni revisione periodica, verificando che i sub-fornitori dichiarati rispettino requisiti coerenti con quelli richiesti al fornitore principale.

Una valutazione che resta viva

Il rischio cambia nel tempo. Un fornitore marginale può diventare centrale, un servizio può estendersi a nuovi dati, una certificazione può scadere. Una valutazione fatta una volta e mai più rivista perde rapidamente di significato. Conviene fissare una frequenza di revisione legata al livello, più ravvicinata per i fornitori critici, e prevedere una rivalutazione ogni volta che cambia il perimetro del servizio.

Nel CRM Innovaq la pratica di censimento riunisce nello stesso fascicolo le schede Rischio, Privacy, Sicurezza e Sub-fornitori, così la valutazione resta collegata ai dati e ai documenti che la giustificano, e le scadenze di revisione diventano promemoria assegnati a un responsabile.

L’impegno richiesto a un fornitore deve dipendere da quanto quel fornitore può incidere sull’azienda.