L’angolo tecnico – Dal censimento all’uscita: il ciclo di vita del TPRM
Un programma di Third-Party Risk Management non diventa efficace perché utilizza un questionario più lungo, una piattaforma più costosa o un maggior numero di rating esterni.
Diventa efficace quando permette all’organizzazione di assumere decisioni coerenti sulle proprie dipendenze.
Quali forniture richiedono un esame approfondito? Quali carenze possono essere tollerate? Quali condizioni devono essere inserite nel contratto? Chi verifica che il fornitore le rispetti? Cosa accade se il rischio cambia o se il rapporto deve essere interrotto?
Se queste domande non hanno una risposta, il programma rischia di produrre molte informazioni e poco controllo.
Il problema non è la mancanza di strumenti. È la difficoltà di collegare inventario, criticità, valutazione, decisione, contratto, monitoraggio e continuità operativa in un unico ciclo di vita.
Il processo comincia prima della due diligence
In molte organizzazioni, il TPRM inizia quando il procurement chiede al fornitore di compilare un questionario.
A quel punto, però, diverse decisioni sono già state assunte. Il business ha identificato il prodotto, il fornitore è stato selezionato e le trattative economiche sono spesso avanzate. Se la valutazione evidenzia una criticità, può essere difficile fermare il processo o imporre condizioni sostanziali.
Un programma maturo deve intervenire prima.
La gestione del rischio dovrebbe iniziare quando viene identificata l’esigenza di ricorrere a una risorsa esterna. In questa fase occorre comprendere quali processi saranno supportati, quali informazioni verranno trattate, quali sistemi saranno accessibili e quanto l’organizzazione diventerà dipendente dalla fornitura.
Il TPRM non è quindi un controllo finale sul vendor selezionato. È una componente del processo decisionale di acquisto.
Fase 1. Definire il perimetro e costruire l’inventario
Non è possibile governare fornitori e servizi che non risultano censiti.
L’inventario dovrebbe comprendere almeno:
- il soggetto giuridico che fornisce il prodotto o il servizio;
- la prestazione concretamente acquistata;
- il responsabile interno del rapporto;
- i processi e i prodotti aziendali supportati;
- i sistemi, i dati e le sedi coinvolti;
- i principali subfornitori conosciuti;
- la durata e il valore del contratto;
- la localizzazione dell’erogazione;
- le date previste per riesame, rinnovo e cessazione.
Il punto più importante è distinguere il fornitore dalla fornitura.
La stessa società può gestire un’applicazione essenziale e fornire, attraverso un altro contratto, un servizio facilmente sostituibile. Classificarla una sola volta come critica o non critica produce una rappresentazione poco accurata.
La corretta unità di analisi è la relazione tra fornitore, prodotto o servizio e processo aziendale supportato.
Questa impostazione rende anche più semplice integrare il TPRM con la Business Impact Analysis. La BIA identifica i processi e le risorse esterne necessarie entro determinati tempi. L’inventario dei fornitori dovrebbe rendere visibili le stesse dipendenze, evitando che Business Continuity e procurement descrivano due organizzazioni differenti.
Fase 2. Classificare la criticità
Il tiering serve a stabilire il livello di approfondimento richiesto.
Applicare la medesima due diligence a tutti i fornitori è inefficiente. Un questionario complesso inviato a centinaia di operatori marginali assorbe risorse, produce risposte difficili da verificare e riduce l’attenzione disponibile per le dipendenze realmente critiche.
La classificazione non dovrebbe però basarsi soltanto sul valore del contratto.
Una fornitura economicamente limitata può sostenere un processo essenziale, utilizzare accessi privilegiati o incorporare un componente difficilmente sostituibile. Al contrario, un contratto di valore elevato può riguardare una prestazione disponibile presso numerosi operatori.
Tra i criteri più utili rientrano:
Impatto dell’interruzione
Quali processi, clienti, prodotti e obblighi verrebbero compromessi se la fornitura non fosse disponibile?
Tempo di sostituzione
Esiste un’alternativa reale? Quanto tempo richiederebbero selezione, contrattualizzazione, migrazione, configurazione, certificazione e avvio?
La fungibilità teorica non è sufficiente. Un’alternativa è utile soltanto se può diventare operativa entro i tempi richiesti dal processo.
Accesso a sistemi e informazioni
Il fornitore dispone di accessi remoti, privilegi amministrativi, dati personali, informazioni riservate o proprietà intellettuale?
Ruolo operativo
La prestazione sostiene una funzione essenziale, un’attività regolamentata o un servizio rivolto direttamente al cliente?
Concentrazione
Più processi dipendono dallo stesso vendor? Più fornitori utilizzano la stessa tecnologia, infrastruttura o subfornitore?
Dipendenza finanziaria e commerciale
Il fornitore è economicamente stabile? L’organizzazione rappresenta una quota rilevante dei suoi ricavi? La relazione potrebbe essere compromessa da una crisi di liquidità?
Le FAQ ACN sulla supply chain richiedono di prendere in considerazione accesso ai sistemi e ai dati, impatto di una grave interruzione, tempi e costi di ripristino e ruolo del fornitore nel governo dei sistemi. Il principio sottostante è la proporzionalità: requisiti e verifiche devono derivare dalla criticità della specifica fornitura.
Un modello a tre livelli, critico, rilevante e standard, può essere sufficiente per molte organizzazioni. Non esiste però un numero universalmente corretto di tier. Ciò che conta è che ogni livello attivi controlli chiaramente definiti.
Fase 3. Svolgere la due diligence
La due diligence serve a comprendere il rischio prima di assumere o rinnovare un impegno.
Il questionario può facilitare la raccolta delle informazioni, ma presenta un limite evidente: nella maggior parte dei casi, il fornitore valuta sé stesso.
Una risposta positiva non dimostra necessariamente che il controllo sia efficace. Può indicare soltanto che una policy esiste o che il compilatore ritiene il requisito soddisfatto.
La due diligence dovrebbe quindi distinguere tra dichiarazioni ed evidenze.
Le evidenze possono comprendere:
- certificazioni e relativo perimetro;
- rapporti di audit indipendenti;
- sintesi dei test di continuità e disaster recovery;
- risultati di penetration test;
- procedure di gestione degli incidenti;
- dati finanziari;
- informazioni su controversie e sanzioni;
- assicurazioni;
- storico delle interruzioni;
- struttura societaria e assetti proprietari;
- localizzazione di dati, attività e infrastrutture;
- dipendenze da subfornitori.
L’8 luglio 2026, il NIST ha pubblicato la versione definitiva della guida SP 1326 dedicata alla due diligence nella supply chain ICT. La guida identifica cinque componenti: influenza derivante da proprietà o controllo estero, provenienza, resilienza, pratiche cyber fondamentali e livelli successivi della catena di fornitura.
Il documento riguarda specificamente i fornitori ICT, ma propone un principio applicabile più in generale: la due diligence è un processo investigativo finalizzato a supportare una decisione, non un esercizio di raccolta documentale.
Quanto approfondire
La profondità della valutazione dovrebbe dipendere dal tiering.
Per una fornitura standard può bastare una verifica limitata dei requisiti essenziali.
Per una fornitura rilevante possono essere necessari documenti, evidenze indipendenti e una valutazione finanziaria.
Per una fornitura critica possono diventare opportuni incontri con il management del vendor, audit, analisi dei piani di continuità, verifica dei test e approfondimento delle principali dipendenze a valle.
L’obiettivo non è eliminare ogni rischio. È conoscerlo abbastanza bene da decidere se e a quali condizioni assumere la relazione.
Fase 4. Assumere una decisione sul rischio
Questa fase è spesso la meno formalizzata.
Il questionario viene completato, viene calcolato un punteggio e il risultato viene archiviato. Le carenze restano registrate, ma non è chiaro quale effetto debbano produrre.
Una valutazione è utile soltanto se conduce a una decisione.
Di fronte a un rischio non accettabile, l’organizzazione può:
- richiedere la correzione prima dell’avvio della fornitura;
- concordare un piano di remediation con scadenze precise;
- introdurre misure compensative;
- limitare il perimetro del servizio o gli accessi concessi;
- predisporre un fornitore alternativo;
- accettare formalmente il rischio;
- rinunciare al rapporto.
La decisione dovrebbe essere assunta da un soggetto dotato dell’autorità necessaria e coerente con il livello di rischio.
Il responsabile del contratto non dovrebbe poter accettare autonomamente un rischio elevato per la sicurezza, la continuità o la conformità regolamentare soltanto perché il fornitore è commercialmente conveniente.
La remediation deve essere governata
Un piano di remediation dovrebbe indicare:
- la carenza da correggere;
- l’azione concordata;
- il responsabile;
- la data prevista;
- le evidenze da fornire;
- le misure temporanee;
- le conseguenze del mancato completamento.
Senza escalation e conseguenze, la remediation rischia di diventare una proroga indefinita del rischio.
Fase 5. Tradurre il rischio nel contratto
Il contratto è il punto in cui le decisioni diventano obblighi.
Clausole generiche, come l’impegno a rispettare la normativa o ad adottare misure adeguate, possono essere utili ma difficilmente sono sufficienti. Non precisano cosa debba fare il fornitore, entro quali tempi e con quali evidenze.
Per le forniture critiche, il contratto dovrebbe considerare almeno le seguenti aree.
Requisiti di sicurezza
I requisiti devono essere proporzionati alla prestazione, agli accessi e ai dati coinvolti.
Continuità operativa
Il contratto dovrebbe disciplinare piani, obiettivi di ripristino, test, comunicazione dei risultati e gestione delle carenze.
Notifica degli incidenti
Il fornitore dovrebbe comunicare senza indebito ritardo gli eventi che possono interessare il servizio, i dati o i sistemi del cliente.
Le finestre di 24 e 72 ore previste dalla direttiva NIS2 riguardano rispettivamente il preallarme e la notifica del soggetto regolato dopo che questo è venuto a conoscenza dell’incidente significativo. Utilizzare gli stessi tempi come termine massimo concesso al fornitore può ridurre o eliminare il tempo disponibile per analizzare l’impatto e adempiere agli obblighi.
Per i servizi più critici può essere preferibile prevedere una prima comunicazione entro poche ore, anche con informazioni incomplete, seguita da aggiornamenti successivi.
Subfornitura
Occorre stabilire se il fornitore possa ricorrere a subfornitori, quali informazioni debba fornire e in quali casi sia richiesta una comunicazione preventiva o un’autorizzazione.
Diritto di verifica
Il diritto di audit dovrebbe definire modalità, preavviso, frequenza, accesso alle evidenze e gestione delle non conformità.
L’audit diretto non è sempre l’unica soluzione. Possono essere utilizzati rapporti indipendenti, certificazioni e verifiche condivise, purché forniscano evidenze adeguate.
Gestione dei cambiamenti
Modifiche a infrastrutture, localizzazione, proprietà, tecnologia o subfornitori possono alterare il profilo di rischio. Il contratto dovrebbe disciplinare almeno le variazioni più significative.
Cooperazione durante la crisi
Il fornitore deve mettere a disposizione contatti, informazioni, log e risorse necessarie alla gestione dell’incidente e al ripristino.
Uscita e transizione
Devono essere definiti tempi, supporto, restituzione dei dati, trasferimento delle conoscenze, cancellazione delle informazioni e continuità durante il passaggio a un altro operatore.
Fase 6. Monitorare il rapporto
La due diligence fotografa il fornitore in un determinato momento.
Durante il rapporto possono cambiare proprietà, situazione finanziaria, infrastrutture, subfornitori, tecnologie, personale chiave e modalità di erogazione.
Il monitoraggio dovrebbe combinare controlli periodici e controlli attivati da eventi.
Monitoraggio periodico
Può comprendere:
- rinnovo delle certificazioni;
- riesame delle evidenze;
- verifica dei test di continuità;
- controllo degli SLA;
- aggiornamento della situazione finanziaria;
- riesame delle dipendenze;
- verifica dei piani di remediation.
Monitoraggio attivato da eventi
Una nuova valutazione può rendersi necessaria in caso di:
- incidente;
- acquisizione o cambio di controllo;
- utilizzo di un nuovo subfornitore;
- trasferimento del servizio;
- modifica sostanziale della tecnologia;
- deterioramento finanziario;
- variazione del perimetro contrattuale;
- mancato rispetto ripetuto degli SLA;
- cambiamento del rischio geopolitico o normativo.
Il monitoraggio non dovrebbe limitarsi a generare alert. Ogni segnale rilevante deve avere un owner, una soglia di escalation e una possibile azione.
Fase 7. Preparare e gestire l’uscita
La relazione con un fornitore termina prima o poi per scadenza, insoddisfazione, incidente, fallimento, scelta strategica o obbligo regolamentare.
Un’uscita non preparata può creare un’interruzione anche quando la decisione di cambiare vendor è corretta.
L’exit plan dovrebbe chiarire:
- quale fornitore o soluzione sostituirà il servizio;
- quanto tempo richiederà la transizione;
- quali dati devono essere trasferiti;
- quali formati e interfacce saranno utilizzati;
- quali conoscenze devono essere trasferite;
- come sarà assicurata la continuità durante il passaggio;
- come verranno revocati accessi e credenziali;
- come sarà verificata la cancellazione dei dati;
- per quanto tempo il fornitore uscente dovrà prestare assistenza.
Per le forniture più critiche, questi elementi dovrebbero essere valutati prima della firma.
Scoprire soltanto durante la crisi che i dati non sono esportabili, che le licenze non sono trasferibili o che il periodo di transizione richiede molti mesi significa aver accettato un lock-in senza averlo misurato.
Non tutto deve essere automatizzato
Le piattaforme TPRM possono aiutare a gestire inventari, questionari, workflow, scadenze e alert.
Non sostituiscono però la valutazione professionale.
Un rating esterno può segnalare vulnerabilità osservabili, ma non conosce necessariamente il perimetro del servizio acquistato. Una certificazione dimostra che un sistema di gestione è stato verificato, ma occorre controllare se il servizio interessato rientri nel campo di applicazione. Un questionario può raccogliere informazioni, ma non stabilisce da solo se il rischio sia accettabile.
La tecnologia deve ridurre le attività amministrative e rendere visibili le eccezioni. La responsabilità della decisione rimane all’organizzazione.
Le metriche che misurano il programma
Contare i questionari inviati o gli audit eseguiti misura il volume di attività, non necessariamente l’efficacia.
Indicatori più significativi possono includere:
- percentuale delle forniture critiche collegate ai processi della BIA;
- forniture critiche prive di un’alternativa entro i tempi richiesti;
- remediation scadute;
- contratti critici privi delle clausole minime;
- fornitori con valutazione non aggiornata;
- incidenti comunicati oltre i tempi contrattuali;
- concentrazioni comuni tra più fornitori;
- exit plan mancanti o non aggiornati;
- tempo stimato per sostituire ciascuna fornitura critica.
Questi indicatori permettono di comprendere non soltanto quanto lavoro sia stato svolto, ma dove l’organizzazione rimanga esposta.
Le domande finali
Un programma di TPRM dovrebbe consentire di rispondere rapidamente ad alcune domande:
- Quali forniture possono interrompere i processi essenziali?
- Quali dipendenze non dispongono di un’alternativa attivabile nei tempi necessari?
- Quali rischi sono stati accettati e da chi?
- Quali fornitori presentano remediation ancora aperte?
- Quali modifiche intervenute nel rapporto richiedono una nuova valutazione?
- Quanto tempo servirebbe per uscire da ciascuna relazione critica?
Se queste informazioni sono disperse tra fogli di calcolo, contratti, questionari e caselle di posta, il programma esiste formalmente ma non offre ancora una visione affidabile del rischio.
Il valore del Third-Party Risk Management non dipende dal numero dei controlli eseguiti. Dipende dalla capacità di identificare le dipendenze essenziali, decidere quali rischi assumere e intervenire prima che una criticità del fornitore diventi un’interruzione dell’organizzazione.
