La maggior parte delle organizzazioni dispone già di un processo per la verifica dei fornitori, almeno in fase di onboarding. La sfida è mantenere quel quadro accurato in seguito. Una gestione efficace del rischio dei fornitori non è una valutazione una tantum completata durante l'onboarding. È un processo continuativo che collega due diligence sui fornitori, gestione del rischio, controlli e monitoraggio, per garantire che la visione del rischio dei fornitori dell'organizzazione resti aggiornata, invece di restare congelata a come appariva al momento della sottoscrizione.

Cos'è la gestione del rischio dei fornitori?

La gestione del rischio dei fornitori è un approccio strutturato all'identificazione e alla gestione dei rischi che i fornitori e altri provider esterni possono introdurre in un'organizzazione.

Questi rischi possono riguardare diverse aree del business. Un fornitore potrebbe diventare finanziariamente instabile, non riuscire a erogare un servizio critico, subire un incidente di cybersicurezza o non rispettare un requisito normativo. L'impatto può variare da un lieve ritardo operativo fino a un'interruzione grave che coinvolge clienti, dati o continuità operativa.

La gestione del rischio dei fornitori offre alle organizzazioni un modo per valutare questi rischi in modo coerente e decidere quale livello di supervisione richieda ciascun fornitore.

In genere copre:

• Rischio finanziario: se un fornitore è sufficientemente stabile dal punto di vista finanziario per continuare a fornire i propri servizi

• Rischio operativo: se guasti, ritardi o problemi di capacità potrebbero interrompere le operazioni aziendali

• Rischio di cybersicurezza e dati: se un fornitore potrebbe esporre sistemi o informazioni sensibili a minacce alla sicurezza

• Rischio di conformità: se le pratiche di un fornitore potrebbero contribuire a una non conformità normativa o contrattuale

• Rischio reputazionale: se le azioni di un fornitore potrebbero danneggiare la reputazione dell'organizzazione

• Rischio della catena di fornitura: se dipendenze più a monte potrebbero riguardare il fornitore e, di conseguenza, la tua organizzazione

La gestione del rischio dei fornitori è strettamente collegata alla gestione del rischio di terze parti. La differenza principale sta nell'ambito: la gestione del rischio dei fornitori si concentra specificamente sui fornitori, mentre la gestione del rischio di terze parti può coprire una gamma più ampia di soggetti esterni, inclusi vendor, appaltatori, partner e fornitori di servizi.

Quali tipi di rischio dei fornitori è necessario gestire?

Non tutti i fornitori generano lo stesso livello o tipo di rischio. Un fornitore di materiale per ufficio, ad esempio, presenta un profilo di rischio diverso rispetto a un cloud provider che conserva i dati dei clienti.

Un programma di gestione del rischio dei fornitori efficace considera quindi diverse categorie di rischio.

Rischio finanziario

La salute finanziaria di un fornitore può influire sulla sua capacità di continuare a fornire prodotti o servizi.

Il rischio finanziario può derivare da insolvenza, calo dei ricavi, indebitamento eccessivo o altri segnali di instabilità finanziaria. Per i fornitori critici, un fallimento può lasciare la tua organizzazione a cercare un'alternativa sotto pressione temporale.

Rischio operativo e della catena di fornitura

I fornitori possono diventare fonte di interruzione operativa a causa di mancate consegne, vincoli di capacità, problemi di qualità o dipendenza da altri fornitori.

Questo aspetto diventa particolarmente rilevante quando un fornitore eroga un servizio non facilmente sostituibile. La dipendenza da un singolo fornitore può trasformarsi in un punto critico di vulnerabilità in assenza di un'alternativa praticabile.

Rischio di cybersicurezza e dati

Le terze parti hanno spesso accesso ai sistemi, alle reti o ai dati dell'organizzazione. Ciò significa che le pratiche di sicurezza di un fornitore possono influire direttamente sulla postura di sicurezza della tua organizzazione.

Il NIS2 include esplicitamente la sicurezza della catena di fornitura tra le misure di gestione del rischio di cybersicurezza per i soggetti essenziali e importanti. Richiede inoltre alle organizzazioni di considerare le vulnerabilità dei fornitori e la qualità complessiva e le pratiche di cybersicurezza dei propri fornitori e prestatori di servizi.

Potrebbe interessarti anche: Cos'è il NIS2? La direttiva UE sulla cybersicurezza e cosa significa per la tua organizzazione

Rischio di conformità e regolatorio

La tua organizzazione può rimanere responsabile del rispetto dei propri obblighi normativi anche quando parte di un processo è gestita da un fornitore.

I requisiti normativi si estendono sempre più oltre i sistemi dell'organizzazione stessa, fino a comprendere le pratiche di sicurezza dei suoi fornitori e prestatori di servizi.

Rischio reputazionale ed ESG

La condotta di un fornitore può influire anche sulla reputazione della tua organizzazione. Problematiche come pratiche commerciali scorrette, condizioni di lavoro inadeguate, incidenti ambientali o violazioni normative possono generare esposizione reputazionale anche quando l'incidente si verifica al di fuori della tua organizzazione.

Il livello di attenzione richiesto dipenderà dal tuo settore, dal contesto normativo e dal profilo di rischio.

Come funziona la gestione del rischio dei fornitori?

La gestione del rischio dei fornitori funziona meglio come ciclo continuo piuttosto che come un questionario singolo o una revisione annuale.

Un ciclo tipico si presenta così:

Il primo passo è capire da quali fornitori dipendi e cosa forniscono. Da lì, puoi valutare i rischi associati a ciascun fornitore, determinare quali richiedono maggiore attenzione e mettere in atto i controlli appropriati.

Il processo dovrebbe essere proporzionato al rischio.

Un fornitore che supporta una funzione aziendale critica può richiedere una due diligence dettagliata, requisiti di sicurezza contrattuali, evidenze dei controlli e una rivalutazione periodica. Un fornitore a basso rischio potrebbe richiedere solo una valutazione di base e una revisione periodica.

Questo approccio basato sul rischio evita che i team dedichino la stessa quantità di tempo a ogni fornitore.

Cambia anche il punto focale, passando da:

Abbiamo valutato questo fornitore?

a:

Comprendiamo il rischio attuale generato da questo fornitore?

Questa distinzione è importante perché il rischio dei fornitori può cambiare. Un fornitore può acquisire un'altra azienda, modificare la propria tecnologia, introdurre un nuovo subappaltatore, subire un incidente di sicurezza o diventare più critico per la tua organizzazione nel tempo.

Perché la gestione del rischio dei fornitori è importante?

Le organizzazioni dipendono sempre più da provider esterni per parti critiche delle proprie operazioni. Questo rende il rischio dei fornitori parte del più ampio profilo di rischio dell'organizzazione.

Una gestione efficace del rischio dei fornitori aiuta le organizzazioni a:

• Proteggere la continuità operativa: identificare i fornitori il cui fallimento potrebbe interrompere le operazioni critiche

• Ridurre l'esposizione alla cybersicurezza: comprendere in che modo l'accesso di terze parti, i sistemi e il trattamento dei dati influiscono sulla sicurezza

• Soddisfare i requisiti normativi: dimostrare che i rischi rilevanti legati a fornitori e terze parti vengono identificati e gestiti

• Dare priorità alle risorse: concentrare una due diligence e un monitoraggio più approfonditi sui fornitori critici

• Migliorare l'accountability: assegnare una responsabilità chiara per i rischi dei fornitori e la remediation

• Rispondere ai cambiamenti: identificare nuovi rischi quando fornitori, servizi o dipendenze cambiano

I requisiti normativi stanno inoltre rendendo la supervisione delle terze parti sempre più esplicita, in particolare nei settori in cui le organizzazioni dipendono da provider esterni per servizi critici.

Il DORA adotta un approccio strutturato analogo al rischio dei fornitori terzi TIC nel settore dei servizi finanziari. Le entità finanziarie devono mantenere una supervisione sui propri accordi con fornitori terzi TIC, applicare un approccio proporzionato basato sulla criticità delle proprie dipendenze e restare responsabili dei propri obblighi normativi anche quando i servizi sono forniti da terze parti.

La gestione del rischio dei fornitori non è quindi più solo una questione di procurement. Fa parte della resilienza operativa, della cybersicurezza, della conformità e della gestione del rischio d'impresa.

Come costruire un processo efficace di gestione del rischio dei fornitori

Un processo pratico di gestione del rischio dei fornitori non deve necessariamente partire da centinaia di questionari o da un modello di scoring complesso. La priorità principale è creare una visione chiara della propria base fornitori e applicare successivamente un approccio proporzionato.

1. Mappa i tuoi fornitori

Inizia creando un inventario centrale dei fornitori e dei servizi che forniscono.

Per ciascun fornitore, raccogli informazioni come:

• Quale servizio o prodotto fornisce il fornitore?

• Quale funzione aziendale ne dipende?

• A quali dati o sistemi può accedere il fornitore?

• Il servizio è critico per le operazioni aziendali?

• Ci sono subappaltatori o altre dipendenze?

• Chi è il responsabile interno della relazione?

Senza queste informazioni, è difficile valutare il rischio dei fornitori in modo coerente.

2. Classifica i fornitori per criticità

Non tutti i fornitori richiedono lo stesso livello di valutazione. Classifica i fornitori in base a fattori come l'importanza del servizio, l'accesso a dati sensibili, la dipendenza operativa e il potenziale impatto di un eventuale fallimento del fornitore.

Questo crea un approccio a livelli. I fornitori critici possono richiedere una due diligence estesa e un monitoraggio continuo, mentre i fornitori a rischio più basso possono seguire un processo più snello. Il principio è semplice: maggiore è il potenziale impatto, maggiore deve essere il livello di supervisione.

3. Valuta e assegna un punteggio al rischio dei fornitori

Una volta classificati i fornitori, valuta i rischi che introducono. A seconda del fornitore e del tuo framework di rischio, questo può includere stabilità finanziaria, controlli di cybersicurezza, conformità normativa, continuità operativa, protezione dei dati, esposizione geografica e dipendenze da subappaltatori.

Un punteggio di rischio del fornitore può aiutare a confrontare i fornitori in modo coerente ed evidenziare quelli che richiedono ulteriori azioni. Il punteggio in sé è meno importante di ciò a cui porta. Una valutazione utile dovrebbe aiutarti a decidere se accettare, mitigare, trasferire o evitare un determinato rischio.

4. Definisci tolleranza al rischio e responsabilità

Per ciascun rischio rilevante, stabilisci chi è responsabile del monitoraggio, chi può accettare il rischio e quando deve essere sottoposto a escalation.

Dovresti anche definire soglie per l'azione. Ad esempio, un fornitore che non raggiunge uno standard di sicurezza richiesto potrebbe aver bisogno di un piano di remediation, di controlli contrattuali aggiuntivi o di una strategia di sostituzione. Questo trasforma la valutazione del fornitore in gestione del rischio, anziché in mera documentazione.

5. Metti in atto controlli e remediation

Dove una valutazione identifica un rischio inaccettabile, decidi cosa deve cambiare.

A seconda della situazione, questo potrebbe significare:

• Aggiungere requisiti di cybersicurezza o protezione dei dati al contratto

• Richiedere certificazioni specifiche o valutazioni indipendenti

• Introdurre controlli di accesso aggiuntivi

• Creare un piano di continuità operativa o di uscita

• Richiedere al fornitore di risolvere le vulnerabilità identificate

• Fissare scadenze per la remediation

• Trovare un fornitore alternativo

Questi requisiti possono avere anche implicazioni contrattuali. Le norme di attuazione dell'UE per determinate entità includono disposizioni che coprono i requisiti di cybersicurezza, la notifica degli incidenti, i diritti di audit, la gestione delle vulnerabilità, il subappalto e gli obblighi alla cessazione di un contratto.

6. Monitora i fornitori in modo continuativo

Il rischio dei fornitori non smette di cambiare dopo l'onboarding. Monitora i fornitori critici per individuare cambiamenti che potrebbero influire sul loro profilo di rischio. A seconda del rischio, questo potrebbe includere incidenti di sicurezza, cambi di proprietà, difficoltà finanziarie, nuovi subappaltatori, certificazioni scadute o modifiche ai servizi forniti.

La frequenza della rivalutazione dovrebbe riflettere la criticità e il rischio del fornitore. I fornitori critici possono richiedere un monitoraggio continuo, mentre i fornitori a rischio più basso possono essere rivisti con minore frequenza.

7. Segnala ed effettua l'escalation del rischio dei fornitori

Infine, il rischio dei fornitori deve essere visibile alle persone responsabili della sua gestione. La Direzione dovrebbe essere in grado di vedere quali fornitori sono critici, dove esistono rischi significativi, quali azioni di remediation sono in ritardo e dove l'organizzazione ha accettato un rischio residuo.

Collegare il rischio dei fornitori al più ampio framework di rischio e conformità semplifica questo processo. I rischi dei fornitori possono quindi essere collegati a controlli, policy, asset, requisiti normativi e processi aziendali pertinenti, anziché essere gestiti come un foglio di calcolo separato.

Gestione del rischio dei fornitori e gestione del rischio delle terze parti a confronto

La gestione del rischio dei fornitori e la gestione del rischio delle terze parti sono strettamente legate, e i due termini vengono spesso usati come sinonimi. La differenza principale risiede nell'ambito di applicazione.

La gestione del rischio dei fornitori si concentra sui rischi derivanti da fornitori e venditori che forniscono prodotti o servizi a un'organizzazione.

La gestione del rischio delle terze parti (TPRM) ha un perimetro più ampio. Può includere i fornitori, ma può estendersi anche a contrattisti, consulenti, partner commerciali, fornitori di servizi in outsourcing e altri soggetti esterni.

Nella pratica, i due approcci utilizzano molti degli stessi processi: identificazione delle terze parti, valutazione del rischio, raccolta delle evidenze, assegnazione della titolarità, monitoraggio dei cambiamenti e gestione della remediation.

Per le organizzazioni con un vasto ecosistema esterno, la gestione del rischio delle terze parti fornisce il framework più generale, all'interno del quale la gestione del rischio dei fornitori costituisce una singola parte del programma.

Come iniziare con la gestione del rischio dei fornitori

Non è necessario valutare dettagliatamente ogni singolo fornitore prima di poter avviare la gestione del rischio dei fornitori.

Un punto di partenza pratico consiste nel mappare la propria base fornitori e identificare quelli da cui l'organizzazione dipende maggiormente. Da lì, si classificano i fornitori per criticità, si valutano i principali rischi che introducono e si assegna la titolarità di tali rischi.

Il passo successivo è collegare il rischio dei fornitori ai controlli e ai processi già esistenti.

Se la tua organizzazione gestisce già i framework NIS2, DORA, ISO 27001 o altri schemi di conformità, la gestione del rischio dei fornitori non dovrebbe rimanere isolata da questo lavoro. Collegare i fornitori ai controlli e ai requisiti pertinenti consente di ridurre le duplicazioni operative e rende più semplice dimostrare la gestione attiva dei rischi.