Per molto tempo la gestione del rischio aziendale si è concentrata quasi esclusivamente su ciò che accadeva all’interno dell’organizzazione: le attività di controllo riguardavano i processi interni, le persone, le infrastrutture proprietarie e i sistemi direttamente gestiti dall’azienda.
I fornitori erano considerati, nella maggior parte dei casi, un tema amministrativo o contrattuale: un elemento “esterno” rispetto al vero perimetro della governance.
Oggi questa distinzione non esiste più.
Le organizzazioni moderne operano attraverso ecosistemi sempre più distribuiti e interconnessi. Una parte crescente dei processi aziendali dipende da soggetti terzi: cloud provider, outsourcer, software house, società di consulenza, partner logistici, responsabili del trattamento, fornitori ICT, piattaforme SaaS, società del gruppo o subfornitori critici. In molti casi, i servizi essenziali dell’organizzazione sono sostenuti da infrastrutture o competenze che non appartengono direttamente all’azienda, ma a soggetti esterni.
Questo cambia radicalmente il concetto stesso di rischio.
Quando una terza parte tratta dati personali, accede ai sistemi aziendali o supporta un processo critico, entra automaticamente nel perimetro della governance: è proprio per questo motivo le normative più recenti stanno dedicando sempre più attenzione alla supply chain e alla gestione delle terze parti.
Negli ultimi anni il tema della supply chain è diventato centrale in quasi tutti i principali framework normativi e organizzativi.
La Direttiva (UE) 2022/2555 – NIS2 – inserisce esplicitamente la sicurezza della supply chain tra le misure di gestione del rischio cyber richieste alle organizzazioni essenziali e importanti. L’art. 21 prevede infatti che le imprese adottino misure tecniche, operative e organizzative adeguate, includendo la sicurezza della catena di approvvigionamento e dei rapporti con i fornitori diretti.
Questo significa che la sicurezza non può più essere limitata ai sistemi interni: un fornitore vulnerabile può diventare il punto di ingresso per un incidente che impatta direttamente l’organizzazione.
Lo stesso principio è presente nel Regolamento DORA (Reg. UE 2022/2554), che dedica un’intera sezione alla gestione del rischio ICT derivante dalle terze parti. DORA richiede agli enti finanziari di classificare i fornitori ICT, monitorarne continuamente le prestazioni, definire clausole contrattuali specifiche e mantenere un controllo costante sulle dipendenze tecnologiche critiche.
Anche il GDPR affronta il tema delle terze parti in modo molto chiaro. L’art. 28 stabilisce che il titolare del trattamento debba scegliere responsabili che presentino “garanzie sufficienti” rispetto all’adozione di misure tecniche e organizzative adeguate. Questo implica valutazioni preventive, raccolta di evidenze, verifiche periodiche e capacità di dimostrare che il rapporto con il fornitore è stato governato correttamente.
La ISO/IEC 27001, attraverso i controlli relativi alla supplier relationship security, richiede di gestire i rischi associati ai fornitori e di definire controlli adeguati lungo tutta la catena di fornitura.
Anche il D.lgs. 231/2001 coinvolge indirettamente il tema delle terze parti. Sempre più modelli organizzativi includono attività di due diligence reputazionale, questionari sui conflitti di interesse, verifiche etiche e controlli documentali sui partner commerciali, soprattutto nei processi più esposti ai rischi-reato.
Normative diverse, finalità diverse, ma una stessa esigenza organizzativa: conoscere, valutare e monitorare nel tempo i soggetti esterni che partecipano ai processi aziendali.
Nella pratica quotidiana, poche organizzazioni partono da zero. Molte dispongono già di questionari, verifiche, procedure di qualifica o raccolte documentali sui fornitori.
Il problema è che queste attività sono spesso distribuite tra funzioni diverse e gestite con strumenti separati:
Il risultato è una moltiplicazione di richieste, documenti e valutazioni che raramente convergono in una vista unica.
Lo stesso fornitore può ricevere questionari diversi da funzioni diverse, spesso con domande simili ma non coordinate. Le evidenze vengono richieste nuovamente perché non reperibili o non aggiornate. Le informazioni si distribuiscono tra e-mail, cartelle condivise ed Excel.
Con il passare del tempo, la criticità non è tanto verificare se un controllo sia stato effettuato, quanto capire se le informazioni raccolte siano ancora aggiornate e coerenti con il contesto reale: un fornitore può modificare la propria infrastruttura tecnologica, introdurre nuovi subappaltatori, perdere una certificazione o assumere un ruolo più rilevante nei processi aziendali. Tutti elementi che incidono direttamente sul livello di rischio.
La supply chain cambia continuamente, un controllo statico perde rapidamente efficacia.
Le normative più recenti stanno progressivamente superando la logica della “qualifica iniziale” per spostarsi verso un modello di monitoraggio continuo.
Questo implica che la relazione con i fornitori non debba essere vista come un’attività amministrativa da completare una volta, ma come un processo da governare nel tempo.
Governare una terza parte significa:
La maturità organizzativa non si misura nella quantità di questionari inviati, ma nella capacità di dimostrare che il presidio sulla supply chain è continuo, coerente e verificabile.
Ed è qui che il tema delle terze parti smette di essere un’attività burocratica e diventa un elemento strutturale della governance aziendale.
Quando la gestione della supply chain è strutturata correttamente, il beneficio non riguarda soltanto la compliance normativa.
L’organizzazione ottiene maggiore visibilità sulle proprie dipendenze critiche, comprende meglio quali fornitori sostengono i processi essenziali e riesce a reagire più rapidamente in caso di incidente o non conformità.
La crescente dipendenza da servizi esterni fa sì che un incidente subito da una terza parte possa generare impatti diretti su operatività, resilienza e protezione delle informazioni dell’organizzazione.
Governare le terze parti significa quindi governare una parte crescente del proprio rischio aziendale.
Ed è proprio questo il cambiamento culturale introdotto dalle normative più recenti: la supply chain è parte integrante del modello di controllo dell’organizzazione.
👉 Se la gestione dei fornitori nella tua organizzazione si basa ancora su file, e-mail e verifiche isolate, forse è il momento di chiedersi quanto la tua supply chain sia davvero governata nel tempo. Se vuoi confrontarti su come strutturare un modello continuo di valutazione delle terze parti, parliamone.
I fornitori erano considerati, nella maggior parte dei casi, un tema amministrativo o contrattuale: un elemento “esterno” rispetto al vero perimetro della governance.
Oggi questa distinzione non esiste più.
Le organizzazioni moderne operano attraverso ecosistemi sempre più distribuiti e interconnessi. Una parte crescente dei processi aziendali dipende da soggetti terzi: cloud provider, outsourcer, software house, società di consulenza, partner logistici, responsabili del trattamento, fornitori ICT, piattaforme SaaS, società del gruppo o subfornitori critici. In molti casi, i servizi essenziali dell’organizzazione sono sostenuti da infrastrutture o competenze che non appartengono direttamente all’azienda, ma a soggetti esterni.
Questo cambia radicalmente il concetto stesso di rischio.
Quando una terza parte tratta dati personali, accede ai sistemi aziendali o supporta un processo critico, entra automaticamente nel perimetro della governance: è proprio per questo motivo le normative più recenti stanno dedicando sempre più attenzione alla supply chain e alla gestione delle terze parti.
Perché tutte le principali normative stanno guardando alla supply chain
Negli ultimi anni il tema della supply chain è diventato centrale in quasi tutti i principali framework normativi e organizzativi.
La Direttiva (UE) 2022/2555 – NIS2 – inserisce esplicitamente la sicurezza della supply chain tra le misure di gestione del rischio cyber richieste alle organizzazioni essenziali e importanti. L’art. 21 prevede infatti che le imprese adottino misure tecniche, operative e organizzative adeguate, includendo la sicurezza della catena di approvvigionamento e dei rapporti con i fornitori diretti.
Questo significa che la sicurezza non può più essere limitata ai sistemi interni: un fornitore vulnerabile può diventare il punto di ingresso per un incidente che impatta direttamente l’organizzazione.
Lo stesso principio è presente nel Regolamento DORA (Reg. UE 2022/2554), che dedica un’intera sezione alla gestione del rischio ICT derivante dalle terze parti. DORA richiede agli enti finanziari di classificare i fornitori ICT, monitorarne continuamente le prestazioni, definire clausole contrattuali specifiche e mantenere un controllo costante sulle dipendenze tecnologiche critiche.
Anche il GDPR affronta il tema delle terze parti in modo molto chiaro. L’art. 28 stabilisce che il titolare del trattamento debba scegliere responsabili che presentino “garanzie sufficienti” rispetto all’adozione di misure tecniche e organizzative adeguate. Questo implica valutazioni preventive, raccolta di evidenze, verifiche periodiche e capacità di dimostrare che il rapporto con il fornitore è stato governato correttamente.
La ISO/IEC 27001, attraverso i controlli relativi alla supplier relationship security, richiede di gestire i rischi associati ai fornitori e di definire controlli adeguati lungo tutta la catena di fornitura.
Anche il D.lgs. 231/2001 coinvolge indirettamente il tema delle terze parti. Sempre più modelli organizzativi includono attività di due diligence reputazionale, questionari sui conflitti di interesse, verifiche etiche e controlli documentali sui partner commerciali, soprattutto nei processi più esposti ai rischi-reato.
Normative diverse, finalità diverse, ma una stessa esigenza organizzativa: conoscere, valutare e monitorare nel tempo i soggetti esterni che partecipano ai processi aziendali.
La supply chain evolve più velocemente dei controlli
Nella pratica quotidiana, poche organizzazioni partono da zero. Molte dispongono già di questionari, verifiche, procedure di qualifica o raccolte documentali sui fornitori.
Il problema è che queste attività sono spesso distribuite tra funzioni diverse e gestite con strumenti separati:
- L’IT raccoglie informazioni sulla cybersecurity.
- La funzione privacy verifica gli aspetti GDPR.
- Il procurement mantiene la documentazione contrattuale.
- La qualità gestisce audit e customer satisfaction.
- La compliance raccoglie verifiche reputazionali o questionari 231.
Il risultato è una moltiplicazione di richieste, documenti e valutazioni che raramente convergono in una vista unica.
Lo stesso fornitore può ricevere questionari diversi da funzioni diverse, spesso con domande simili ma non coordinate. Le evidenze vengono richieste nuovamente perché non reperibili o non aggiornate. Le informazioni si distribuiscono tra e-mail, cartelle condivise ed Excel.
Con il passare del tempo, la criticità non è tanto verificare se un controllo sia stato effettuato, quanto capire se le informazioni raccolte siano ancora aggiornate e coerenti con il contesto reale: un fornitore può modificare la propria infrastruttura tecnologica, introdurre nuovi subappaltatori, perdere una certificazione o assumere un ruolo più rilevante nei processi aziendali. Tutti elementi che incidono direttamente sul livello di rischio.
La supply chain cambia continuamente, un controllo statico perde rapidamente efficacia.
La governance delle terze parti è un processo continuo
Le normative più recenti stanno progressivamente superando la logica della “qualifica iniziale” per spostarsi verso un modello di monitoraggio continuo.
Questo implica che la relazione con i fornitori non debba essere vista come un’attività amministrativa da completare una volta, ma come un processo da governare nel tempo.
Governare una terza parte significa:
- mantenere aggiornate le informazioni rilevanti;
- raccogliere evidenze documentali coerenti;
- monitorare scadenze e certificazioni;
- verificare periodicamente i requisiti;
- tracciare anomalie, azioni correttive e follow-up;
- mantenere uno storico delle valutazioni effettuate.
La maturità organizzativa non si misura nella quantità di questionari inviati, ma nella capacità di dimostrare che il presidio sulla supply chain è continuo, coerente e verificabile.
Ed è qui che il tema delle terze parti smette di essere un’attività burocratica e diventa un elemento strutturale della governance aziendale.
Dal controllo documentale alla visibilità reale
Quando la gestione della supply chain è strutturata correttamente, il beneficio non riguarda soltanto la compliance normativa.
L’organizzazione ottiene maggiore visibilità sulle proprie dipendenze critiche, comprende meglio quali fornitori sostengono i processi essenziali e riesce a reagire più rapidamente in caso di incidente o non conformità.
La crescente dipendenza da servizi esterni fa sì che un incidente subito da una terza parte possa generare impatti diretti su operatività, resilienza e protezione delle informazioni dell’organizzazione.
Governare le terze parti significa quindi governare una parte crescente del proprio rischio aziendale.
Ed è proprio questo il cambiamento culturale introdotto dalle normative più recenti: la supply chain è parte integrante del modello di controllo dell’organizzazione.
👉 Se la gestione dei fornitori nella tua organizzazione si basa ancora su file, e-mail e verifiche isolate, forse è il momento di chiedersi quanto la tua supply chain sia davvero governata nel tempo. Se vuoi confrontarti su come strutturare un modello continuo di valutazione delle terze parti, parliamone.