Gestione fornitori: come qualificarli e ridurre il rischio

2026-09-08 · Tommaso Maria Ricci

Il 18% delle aziende che dicono di avere un sistema di gestione dei fornitori lo ha davvero integrato con il resto del governo dei rischi. Il dato viene dalla ricerca globale 2026 di KPMG sul third party risk management, condotta su 851 organizzazioni, e non misura le intenzioni: misura quante hanno collegato la valutazione dei fornitori ai processi decisionali dell'impresa. Le altre hanno un archivio di questionari.

La gestione dei fornitori è il punto in cui quasi tutte le aziende italiane hanno un processo formale e quasi nessuna ha un processo che funziona. C'è l'albo, c'è il questionario di qualifica, c'è la scheda di valutazione compilata una volta all'anno da qualcuno che non ha tempo. Poi arriva il fornitore che salta tre consegne di fila, o quello che subisce un incidente informatico e porta il problema dentro casa vostra, e si scopre che il sistema non aveva previsto nulla di tutto questo perché non era costruito per prevedere: era costruito per archiviare.

Questa guida spiega come si costruisce un sistema di qualifica e controllo del rischio fornitore che regge davvero, quali dati servono prima di comprare qualsiasi software, e perché nel 2026 la scadenza normativa italiana rende questo lavoro non più rinviabile.

Perché la gestione dei fornitori è diventata un problema di rischio, non di acquisti

Per vent'anni la relazione con i fornitori è stata una questione di prezzo e di puntualità. Si negoziava, si ordinava, si controllava la merce in ingresso. Il fornitore era un soggetto esterno che consegnava qualcosa e usciva di scena.

Quel modello è finito, e non per ragioni filosofiche. È finito perché i fornitori oggi stanno dentro i vostri sistemi. Il gestionale è in cloud da un fornitore. La fatturazione elettronica passa da un intermediario. Il CRM, la posta, il backup, l'analisi dei dati, il centralino, tutto è servizio erogato da terzi che hanno accesso a informazioni vostre e dei vostri clienti.

Il perimetro dell'azienda non coincide più con i suoi muri, e nemmeno con i suoi server. Coincide con l'insieme dei soggetti che possono toccare i suoi dati e fermare i suoi processi.

Il numero che dovreste guardare due volte

La ricerca 2026 di KPMG segnala che tra le organizzazioni analizzate solo il 17% dichiara il livello più alto di qualità dei dati sui propri fornitori. Il 59% dice che i dati sono "per lo più" completi, accurati e coerenti.

"Per lo più" è una parola che in un contratto non significa niente e in una valutazione del rischio significa meno di zero. Un'anagrafica fornitori accurata al novanta per cento è un'anagrafica in cui non sapete quale sia il dieci per cento sbagliato.

La stessa ricerca collega la qualità del dato alla fiducia nelle decisioni: tra chi ha dati di alta qualità, il 52% si dichiara molto sicuro delle proprie decisioni sul rischio fornitore. Tra chi ha dati di scarsa qualità, il 40% dichiara di non essere sicuro affatto.

Questo è il punto da cui parte tutto il resto. Non esiste un sistema di gestione fornitori migliore dei dati che lo alimentano, e questo vale doppio per chi pensa di risolvere il problema comprando uno strumento.

La scadenza che cambia i tempi: cosa dice la normativa NIS italiana

Chi legge questa guida a settembre 2026 ha una ragione in più per non rimandare, ed è una ragione con una data sopra.

L'Italia ha recepito la direttiva NIS2 con il decreto legislativo 4 settembre 2024, numero 138. Gli obblighi non sono partiti tutti insieme: l'Agenzia per la Cybersicurezza Nazionale ha impostato un percorso graduale, con la registrazione dei soggetti in una finestra annuale che va dal primo gennaio al 28 febbraio, l'obbligo di notifica degli incidenti a partire da gennaio 2026 e l'adozione delle misure di sicurezza attesa a ottobre 2026.

Tra le misure previste dal decreto, la sicurezza della catena di approvvigionamento è nominata esplicitamente. Non è una lettura estensiva fatta da un consulente: è una delle aree che il testo elenca fra gli obblighi di gestione del rischio, insieme all'analisi dei rischi, alla gestione degli incidenti e alla formazione del personale. Il riferimento è agli articoli 23, 24, 25, 29 e 32 del decreto, e la fonte è direttamente il portale dell'Agenzia per la Cybersicurezza Nazionale.

Cosa significa in pratica, e cosa non significa

Significa che se la vostra azienda rientra fra i soggetti essenziali o importanti, la sicurezza dei rapporti con i fornitori diretti non è più una buona pratica raccomandata: è una misura che dovete poter dimostrare.

Non significa che i vostri fornitori diventino automaticamente soggetti alla normativa. Un fornitore che sta nella vostra catena di approvvigionamento non eredita i vostri obblighi. Erediterà però le vostre richieste contrattuali, perché quello è lo strumento con cui la conformità si propaga lungo la filiera.

E qui sta la conseguenza operativa che molte aziende non hanno ancora messo a fuoco: la parte difficile non è scrivere la clausola. La parte difficile è sapere a chi mandarla. Se non avete un elenco affidabile di chi tocca cosa, non potete nemmeno stabilire quali contratti vanno modificati per primi.

Chi sta affrontando in parallelo anche gli obblighi sull'intelligenza artificiale troverà utile leggere la guida pratica alla conformità all'AI Act per le aziende, perché i due percorsi normativi si incrociano proprio sul punto dei fornitori tecnologici.

I quattro modi in cui un fornitore vi fa male

Prima di costruire il sistema serve chiarire da cosa vi state difendendo. La categoria generica "rischio fornitore" è inutile per decidere. Le categorie che seguono sono quattro perché richiedono contromisure diverse.

1. Rischio di continuità

Il fornitore smette di consegnare. Fallisce, viene acquisito, cambia strategia, perde a sua volta un subfornitore critico, oppure semplicemente decide che non siete più un cliente interessante.

L'indicatore che conta non è la probabilità che accada, che nessuno sa calcolare. È il tempo che vi serve per sostituirlo. Un fornitore facilmente sostituibile in due settimane è un rischio gestibile anche se è fragile. Un fornitore solidissimo che vi servirebbero nove mesi per sostituire è un'esposizione, e va trattata come tale.

2. Rischio di conformità

Il fornitore fa qualcosa che diventa un vostro problema legale. Tratta dati personali in modo scorretto, viola norme ambientali o sul lavoro, opera in un paese soggetto a sanzioni, oppure semplicemente non è in grado di dimostrare quello che afferma.

Questo rischio ha una caratteristica sgradevole: si materializza spesso a distanza di anni, e quando arriva l'autorità non chiede se lo sapevate. Chiede cosa avevate fatto per saperlo.

3. Rischio informatico

Il fornitore ha un incidente e l'incidente arriva a voi, attraverso una connessione, una credenziale condivisa, un accesso non revocato o un dato esfiltrato dai suoi sistemi.

Un'indagine di Risk Ledger sul mercato britannico riportava che l'82,4% delle organizzazioni intervistate aveva subito almeno un incidente informatico originato nella catena di fornitura nei dodici mesi precedenti, e che l'86% collocava il rischio di filiera fra le prime tre preoccupazioni per il 2026. Il dato riguarda il Regno Unito e non va trasferito all'Italia come se fosse identico, ma indica la direzione: la porta di ingresso è sempre più spesso quella di un terzo.

4. Rischio di prestazione

Il fornitore consegna, ma consegna male. Qualità che oscilla, ritardi cronici, contestazioni continue, tempo del vostro personale bruciato a rincorrere.

È il rischio meno drammatico e il più costoso in assoluto, perché non produce mai un evento singolo abbastanza grave da far scattare una decisione. Si accumula in silenzio dentro il conto economico sotto forma di ore che nessuno misura.

Come qualificare i fornitori e valutare il rischio fornitore: il processo in cinque passaggi

La qualifica dei fornitori è il momento in cui decidete chi può entrare e a quali condizioni. Se la sbagliate qui, tutto il controllo successivo è recupero danni.

Passaggio 1: segmentare prima di valutare

L'errore più comune, e il più costoso, è applicare lo stesso processo di qualifica a tutti. Il risultato è sempre lo stesso: un questionario lungo che nessuno legge, mandato a duecento fornitori di cui centottanta comprano cancelleria.

La segmentazione utile usa due assi, e solo due:

Criticità: cosa succede se questo fornitore si ferma domani mattina? Le risposte utili sono tre, non dieci. Ci fermiamo anche noi, rallentiamo, non ce ne accorgiamo.
Esposizione: questo fornitore tocca dati, sistemi o clienti nostri? Anche qui tre risposte. Accesso profondo, accesso limitato, nessun accesso.

L'incrocio genera quattro gruppi reali: fornitori critici con accesso, fornitori critici senza accesso, fornitori non critici con accesso, tutto il resto. Solo i primi tre gruppi meritano un processo di qualifica vero. Il quarto merita una verifica anagrafica e nient'altro.

Su cento fornitori di un'azienda media, i primi tre gruppi raramente superano i venti nomi. Concentrare l'ottanta per cento dello sforzo su quei venti è la differenza fra un sistema che regge e un sistema che si arrende dopo sei mesi.

Passaggio 2: chiedere solo quello che userete

Ogni domanda in un questionario di qualifica deve superare un test: cosa faccio di diverso in base alla risposta?

Se la risposta è "niente", la domanda esce. Se la risposta è "lo archivio", la domanda esce. I questionari di qualifica sono diventati mostri da ottanta domande perché nessuno ha mai fatto uscire nulla, e ogni incidente ha aggiunto una riga.

Per un fornitore critico con accesso ai sistemi, le informazioni che cambiano davvero una decisione sono poche:

Chi è il titolare effettivo e in quale paese opera realmente
Situazione economico finanziaria degli ultimi due esercizi
Certificazioni pertinenti, con numero e ente, verificabili
Elenco dei subfornitori che a loro volta toccherebbero i vostri dati
Referente tecnico con nome e reperibilità, non una casella generica
Tempi dichiarati di ripristino in caso di incidente
Copertura assicurativa, con massimali

Sette punti. Un fornitore serio li fornisce in tre giorni. Un fornitore che ci mette tre settimane vi ha già dato un'informazione che nessun questionario avrebbe catturato.

Passaggio 3: verificare almeno una cosa

Questo è il passaggio che quasi nessuno fa, ed è quello che separa la qualifica dalla raccolta di autocertificazioni.

Ogni fornitore critico dichiara delle cose. Verificatene almeno una, scelta a caso, per ogni fornitore. Il numero di certificazione sul sito dell'ente. La visura camerale rispetto a quanto dichiarato. Il bilancio depositato. Una referenza chiamata davvero al telefono.

Non serve verificare tutto: serve che il fornitore sappia che verificate. Il costo è di venti minuti a fornitore e l'effetto sulla qualità delle dichiarazioni successive è sproporzionato.

Passaggio 4: scrivere le clausole che userete davvero

Un contratto fornitore che nessuno rilegge fino alla lite è un contratto scritto male, indipendentemente da quanto è lungo.

Le clausole che servono nella pratica sono quelle azionabili senza andare in tribunale:

Diritto di audit, con preavviso definito e a carico di chi
Obbligo di notifica degli incidenti entro un numero di ore scritto, non "tempestivamente"
Elenco dei subfornitori e obbligo di comunicare le variazioni prima che avvengano
Livelli di servizio con conseguenza economica, perché un livello di servizio senza penale è un auspicio
Reversibilità: cosa succede ai vostri dati alla fine del rapporto, in quale formato e in quanto tempo
Cambio di controllo: cosa potete fare se il fornitore viene acquisito da un concorrente

L'ultima è quella che le aziende dimenticano più spesso e che nel 2026 conta di più, in un mercato dei servizi tecnologici dove il consolidamento è la regola.

Passaggio 5: decidere e scriverlo

La qualifica finisce con una decisione registrata: approvato, approvato con condizioni, respinto. Con una data e con un nome.

"Approvato con condizioni" è la categoria più utile e la meno usata. Serve quando un fornitore vi serve adesso ma ha una lacuna nota. La condizione va scritta, va datata, e qualcuno deve verificarla. Senza quel meccanismo la lacuna diventa permanente e nessuno se ne ricorda più.

Il monitoraggio continuo: cosa guardare e ogni quanto

La qualifica è una fotografia. Il rischio si muove.

La cadenza realistica

Dimenticate la revisione annuale di tutti i fornitori: è un rito che consuma settimane e produce cartelle. La cadenza che funziona è differenziata per segmento:

Fornitori critici con accesso: verifica trimestrale leggera, revisione completa annuale
Fornitori critici senza accesso: revisione annuale
Fornitori non critici con accesso: revisione annuale focalizzata solo sugli accessi
Tutto il resto: nessuna revisione programmata, solo controllo anagrafico

Gli indicatori che segnalano prima del danno

I dati che anticipano un problema fornitore sono quasi sempre già dentro i vostri sistemi, sparsi fra gestionale, contabilità e caselle di posta. Nessuno li guarda insieme.

Variazione dei tempi di consegna: non il ritardo medio, la varianza. Un fornitore che consegna sempre con cinque giorni di ritardo è prevedibile. Un fornitore che oscilla fra zero e dodici sta perdendo il controllo del proprio processo.
Andamento delle contestazioni: numero e gravità nel trimestre rispetto ai quattro precedenti.
Ritardi nei pagamenti dei loro fornitori, quando l'informazione è accessibile: è uno dei segnali anticipatori di crisi più affidabili.
Rotazione del referente: tre cambi di interlocutore in un anno sul vostro conto è un segnale organizzativo, non un caso.
Tempo di risposta alle richieste ordinarie: si allunga molto prima che i problemi diventino visibili.

Se avete già lavorato sugli indicatori di performance aziendali, la logica è la stessa e conviene non costruire un sistema parallelo: vale la pena rileggere la guida completa ai KPI aziendali e agganciare gli indicatori fornitore alla struttura che già esiste.

Il fascicolo del fornitore critico

Per ognuno dei venti nomi che contano davvero dovrebbe esistere un documento unico, di due pagine, che risponde a sei domande:

Cosa ci fornisce esattamente e da quando
Cosa si ferma da noi se si ferma lui
Quanto tempo ci serve per sostituirlo e chi è l'alternativa identificata
A quali dati e sistemi nostri accede, con quali credenziali
Qual è stata l'ultima verifica fatta, da chi, con quale esito
Quali condizioni aperte ha e con quale scadenza

Due pagine. Se non riuscite a compilarle per un fornitore critico, quella è la misura precisa del vostro problema, ed è un risultato utile in sé.

Dove l'intelligenza artificiale aiuta davvero e dove viene venduta male

Qui serve onestà, perché è l'area dove il divario fra promessa e risultato è più largo.

La ricerca KPMG 2026 rileva che tra il 50% e il 58% delle organizzazioni dichiara di usare intelligenza artificiale nella gestione del rischio fornitore. Solo il 22% la giudica molto efficace. Il 40% la definisce soltanto abbastanza efficace.

Non è un dato contro l'AI. È un dato su come viene applicata: gli strumenti sono stati appoggiati sopra processi con dati incompleti, e hanno restituito con più velocità la stessa incertezza di prima.

I tre usi che funzionano

Estrazione e confronto documentale. Leggere duecento contratti fornitore e dire quali contengono una clausola di notifica incidenti, quali no, e quali la contengono con termini diversi da quelli standard. È un lavoro che a mano richiede settimane, restituisce un risultato verificabile riga per riga, e non richiede che il modello prenda decisioni.

Normalizzazione dell'anagrafica. Riconoscere che quattro voci diverse in anagrafica sono lo stesso soggetto giuridico, che due partite IVA appartengono allo stesso gruppo, che il fornitore A è controllato dal fornitore B e quindi la vostra diversificazione è apparente. Questo è il lavoro che alza la qualità del dato, cioè esattamente la variabile che la ricerca KPMG collega alla fiducia nelle decisioni.

Sorveglianza delle fonti esterne. Monitorare notizie, registri e segnalazioni su un elenco di soggetti e portare in evidenza solo ciò che cambia. Un lavoro di lettura continua che nessuno farà mai a mano su duecento nomi.

I due usi che deludono

Il punteggio di rischio sintetico. Un numero da uno a cento che riassume il fornitore. Sembra la soluzione e non lo è: comprime informazioni eterogenee in una cifra che nessuno sa più smontare, e quando qualcuno chiede perché quel fornitore ha 72 la risposta è che lo dice il sistema. Un punteggio che non si può spiegare non si può nemmeno difendere davanti a un'autorità.

La previsione di insolvenza basata su dati pubblici. Sui grandi soggetti funziona discretamente e serve a poco, perché quei rischi sono già visibili. Sui piccoli fornitori italiani, dove il bilancio depositato arriva con mesi di ritardo e in forma abbreviata, il modello prevede il passato.

Chi vuole approfondire il punto specifico dell'automazione negli acquisti trova un quadro più esteso nella guida sull'intelligenza artificiale negli acquisti e nel procurement, e chi ragiona sull'intera filiera in quella su intelligenza artificiale e supply chain.

Un caso concreto: cosa è cambiato in un distributore

In un'azienda di distribuzione nel settore sportivo il problema si presentava come un problema commerciale: margini che si assottigliavano senza una ragione evidente e reclami dei clienti in aumento.

L'analisi ha mostrato che l'origine stava a monte. Tre fornitori su circa novanta generavano quasi tutte le contestazioni, ma nessuno lo sapeva perché le contestazioni erano registrate per cliente e non per fornitore. Lo stesso dato, letto dall'altro lato, cambiava completamente la diagnosi.

Il lavoro fatto è stato meno spettacolare di quanto ci si aspetterebbe: riclassificare le contestazioni per origine, costruire il fascicolo sui fornitori critici, introdurre livelli di servizio con conseguenza economica sui tre problematici, identificare un'alternativa reale per i due meno sostituibili.

L'intervento complessivo sulla parte marketing e commerciale ha portato a una crescita delle vendite intorno al 30%, ma la parte che riguarda i fornitori ha prodotto un risultato diverso e più duraturo: la fine delle sorprese. Nessuno in quell'azienda si è più trovato a scoprire un problema di fornitura da un cliente arrabbiato.

Il punto trasferibile non è il numero. È che il dato necessario esisteva già ed era registrato nel modo sbagliato per la domanda che contava.

Se state ragionando su un intervento di questo tipo e volete capire da dove partire nel vostro caso specifico, un confronto diretto su come è organizzata oggi la vostra base fornitori chiarisce in poco tempo se il problema è di processo, di dati o di contratti.

La scorecard di autovalutazione

Rispondete con sì o no. Un no non è una bocciatura: è una voce di lavoro.

Conoscenza della base fornitori

Esiste un elenco unico dei fornitori, senza duplicati, aggiornato negli ultimi tre mesi?
Sapete quali fornitori accedono a dati o sistemi aziendali?
Sapete quali fornitori appartengono allo stesso gruppo societario?
Sapete, per i fornitori critici, chi sono i loro subfornitori rilevanti?

Qualifica

Esiste un processo di qualifica differenziato per criticità?
Per ogni fornitore critico esiste una decisione di approvazione con data e responsabile?
Verificate almeno una dichiarazione per ogni fornitore critico?
Le condizioni di approvazione hanno una scadenza e un responsabile della verifica?

Contratti

I contratti dei fornitori critici contengono un obbligo di notifica incidenti con termine numerico?
Contengono una clausola di reversibilità dei dati?
Contengono un obbligo di comunicazione preventiva sui subfornitori?
Contengono una clausola su cambio di controllo?

Monitoraggio

Esiste una cadenza di revisione differenziata e viene rispettata?
Misurate la varianza dei tempi di consegna, non solo la media?
Le contestazioni sono classificate anche per fornitore di origine?
Per ogni fornitore critico esiste un'alternativa identificata con nome?

Lettura dei risultati

14 sì o più: sistema maturo. Il lavoro utile è sull'automazione della raccolta.
9 a 13: base solida, buchi concentrati su contratti o monitoraggio. Sei mesi di lavoro ordinato.
5 a 8: avete un archivio, non un sistema. Partite dalla segmentazione.
4 o meno: non è un problema di fornitori, è un problema di dati. Il primo passo è l'anagrafica unica.

Roadmap 30, 60, 90 giorni

Primi 30 giorni: sapere chi avete

L'obiettivo non è migliorare niente. È vedere.

Estrarre l'elenco completo dei fornitori pagati negli ultimi dodici mesi dalla contabilità, che è la fonte più affidabile perché segue i soldi
Eliminare i duplicati e ricondurre le anagrafiche allo stesso soggetto giuridico
Assegnare a ciascuno i due attributi di segmentazione: criticità e accesso
Isolare l'elenco dei fornitori critici, che sarà molto più corto di quanto vi aspettate
Per ciascuno di questi, verificare se il contratto esiste e dove si trova fisicamente

L'ultimo punto produce quasi sempre la sorpresa peggiore, ed è meglio averla adesso.

Giorni 31 a 60: chiudere i buchi contrattuali

Redigere un allegato standard con le clausole minime, uno solo, riutilizzabile
Ordinare i fornitori critici per esposizione e cominciare dai primi cinque
Aprire la rinegoziazione dell'allegato, non del contratto: è una richiesta molto più semplice da far accettare
Costruire il fascicolo di due pagine per ciascun fornitore critico
Definire, per i tre meno sostituibili, quale sarebbe l'alternativa e quanto tempo servirebbe

Giorni 61 a 90: far girare il monitoraggio

Impostare la raccolta automatica dei pochi indicatori scelti, prendendoli dai sistemi esistenti
Fissare la cadenza di revisione per segmento e metterla a calendario con un responsabile
Fare la prima revisione trimestrale sui fornitori critici con accesso
Verificare le condizioni aperte scadute nel periodo
Solo a questo punto, se il volume lo giustifica, valutare uno strumento dedicato

Quest'ultimo ordine non è negoziabile. Uno strumento comprato prima del giorno 90 automatizza un processo che non esiste ancora, e il risultato è quello che la ricerca KPMG fotografa: tanta adozione, poca efficacia percepita.

Gli errori che vediamo più spesso

Confondere il numero di fornitori con il rischio. Ridurre da 200 a 150 fornitori non riduce il rischio se i cinquanta eliminati erano quelli irrilevanti. A volte lo aumenta, perché concentra.

Trattare la qualifica come un adempimento del reparto acquisti. La decisione su un fornitore critico con accesso ai sistemi non è una decisione di acquisto, e chi la prende da solo si sta assumendo un rischio che non gli compete.

Scambiare la certificazione per garanzia. Una certificazione dice che a una certa data un ente ha verificato un sistema di gestione. Non dice come lavora oggi quel fornitore, e non copre nulla di ciò che sta fuori dal perimetro certificato, che è un dettaglio scritto sul certificato e che quasi nessuno legge.

Costruire il sistema partendo dallo strumento. È l'errore più caro. Il software impone il suo modello di dati, l'azienda adatta il processo al software, e dopo un anno nessuno sa più perché si fanno le cose in quel modo.

Non chiudere mai nulla. Condizioni aperte che restano aperte, azioni correttive senza verifica, fornitori sospesi che continuano a ricevere ordini. Un sistema che non chiude perde credibilità interna, e un sistema senza credibilità interna viene aggirato.

La concentrazione: il rischio che non compare in nessun questionario

C'è una categoria di esposizione che sfugge a qualsiasi processo di qualifica costruito fornitore per fornitore, perché non sta dentro nessun fornitore: sta nella somma.

Un'azienda può avere trenta fornitori tecnologici tutti solidi, tutti certificati, tutti qualificati correttamente, e scoprire che ventidue di loro poggiano sulla stessa infrastruttura cloud, nella stessa regione geografica. La qualifica individuale non lo rivela mai, perché nessuno dei trenta ha un problema. Il problema è la correlazione fra i loro problemi.

Le forme di concentrazione che vale la pena misurare sono quattro:

Concentrazione societaria: fornitori diversi che appartengono allo stesso gruppo. È la più facile da scoprire e la più frequentemente ignorata, perché l'anagrafica registra la ragione sociale e non la proprietà.
Concentrazione infrastrutturale: fornitori diversi che poggiano sullo stesso servizio sottostante. Si scopre solo chiedendo, ed è la ragione per cui l'elenco dei subfornitori rilevanti va richiesto in fase di qualifica.
Concentrazione geografica: fornitori diversi esposti allo stesso evento locale, che sia meteorologico, energetico o normativo.
Concentrazione di competenza: fornitori diversi che dipendono dalle stesse due o tre persone sul mercato. Tipica dei servizi specialistici e delle nicchie tecniche.

La misura utile è semplice e si calcola in un pomeriggio: per ciascuno dei processi aziendali critici, contate quanti fornitori realmente indipendenti lo sostengono. Non quanti contratti avete, quanti punti di rottura diversi esistono. Nella maggior parte delle aziende il numero è più basso di quanto la lista dei fornitori suggerisca, e la distanza fra i due numeri è esattamente il rischio che nessuno aveva quantificato.

Questa verifica va rifatta dopo ogni acquisizione nel vostro mercato di fornitura, perché il consolidamento riduce la vostra diversificazione senza che voi abbiate cambiato nulla e senza che nessuno vi avvisi.

Chi deve occuparsene dentro l'azienda

Nelle imprese sotto i cinquanta dipendenti la risposta realistica è: una persona sola, con un mandato chiaro e un'ora a settimana protetta. Non un comitato.

Sopra i cinquanta serve una divisione dei ruoli, e le tre che contano sono queste:

Chi decide se un fornitore critico entra: direzione, non acquisti
Chi raccoglie e verifica: una funzione operativa con tempo assegnato
Chi controlla che il processo giri: qualcuno che non sia la stessa persona del punto precedente

Non serve creare una funzione nuova. Serve che questi tre ruoli abbiano un nome scritto. Nella maggior parte delle aziende dove il sistema non funziona, il motivo è che il secondo ruolo esiste ma senza tempo assegnato, e il terzo non esiste affatto.

Questo è anche un progetto di cambiamento organizzativo, con le resistenze tipiche di chi ha sempre lavorato in un altro modo: chi vuole affrontarlo con metodo può partire dalla guida al change management per le aziende.

Quanto costa e cosa aspettarsi

Il costo vero di questo lavoro non è in licenze software. È in ore di persone che conoscono l'azienda.

Per un'impresa con un centinaio di fornitori di cui una ventina critici, la fase iniziale dei novanta giorni richiede in genere fra le sessanta e le cento ore complessive, distribuite su più persone. Il monitoraggio successivo si stabilizza intorno alle due o tre ore a settimana.

I benefici non arrivano tutti insieme e non sono tutti misurabili allo stesso modo. Quello che si vede prima è la riduzione del tempo speso a gestire emergenze di fornitura. Quello che si vede dopo, e vale di più, è la capacità di dire di no a un fornitore prima che diventi un problema, invece che dopo.

Chi ha bisogno di una lettura preliminare della propria situazione prima di impegnare tempo interno può partire da un confronto sulle priorità: nella maggior parte dei casi bastano poche domande sulla struttura della base fornitori per capire se il primo intervento debba essere sui dati, sui contratti o sull'organizzazione.

FAQ

Come qualificare i fornitori e valutare il rischio fornitore senza un software dedicato?

Si può, e nella maggior parte delle piccole e medie imprese è il modo corretto di iniziare. Servono tre cose: un elenco unico dei fornitori senza duplicati, una segmentazione basata su criticità e accesso ai sistemi, e un fascicolo di due pagine per ciascun fornitore critico. Un foglio di calcolo condiviso regge fino a circa venti fornitori critici. Lo strumento dedicato ha senso quando il processo esiste già e il volume rende insostenibile la raccolta manuale, non prima: comprato in anticipo, impone il proprio modello di dati a un'organizzazione che non ha ancora deciso il proprio.

Quali fornitori vanno considerati critici?

Un fornitore è critico se il suo blocco ferma o rallenta in modo significativo un processo aziendale, oppure se accede a dati e sistemi dell'azienda. I due criteri sono indipendenti e vanno valutati separatamente: un fornitore di servizi informatici piccolo per fatturato può essere molto più critico di un fornitore di materie prime da cui comprate molto ma che è sostituibile in una settimana. Il criterio del fatturato, usato da solo, è il più diffuso e il più fuorviante. La domanda giusta è quanto tempo serve per sostituirlo.

Cosa chiede la normativa NIS italiana sui fornitori?

Il decreto legislativo 138 del 4 settembre 2024, che recepisce la direttiva NIS2, include la sicurezza della catena di approvvigionamento fra le misure di gestione del rischio richieste ai soggetti essenziali e importanti, con riferimento esplicito ai rapporti con i fornitori diretti. L'Agenzia per la Cybersicurezza Nazionale ha previsto un percorso graduale: registrazione nella finestra annuale fra gennaio e febbraio, obbligo di notifica degli incidenti dal gennaio 2026 e adozione delle misure di sicurezza attesa a ottobre 2026. I fornitori non diventano automaticamente soggetti alla normativa, ma ricevono obblighi per via contrattuale.

Ogni quanto va rivista la qualifica di un fornitore?

Dipende dal segmento, e la revisione annuale uguale per tutti è il modo più comune di sprecare tempo. Per i fornitori critici che accedono a dati o sistemi serve una verifica trimestrale leggera più una revisione completa annuale. Per i fornitori critici senza accesso è sufficiente la revisione annuale. Per i fornitori non critici con accesso conviene una revisione annuale limitata ai soli permessi attivi. Per tutti gli altri non serve alcuna revisione programmata: basta il controllo anagrafico ordinario.

L'intelligenza artificiale serve davvero nella gestione dei fornitori?

Serve in tre attività precise: estrarre e confrontare clausole su grandi volumi di contratti, normalizzare l'anagrafica riconoscendo duplicati e appartenenze societarie, sorvegliare fonti esterne su un elenco lungo di soggetti. Serve poco per i punteggi di rischio sintetici, che comprimono informazioni eterogenee in una cifra difficile da spiegare, e per la previsione di insolvenza sui piccoli fornitori, dove i dati pubblici arrivano tardi. La ricerca KPMG 2026 rileva che oltre la metà delle organizzazioni dichiara di usare AI in quest'area ma solo il 22% la giudica molto efficace, e la variabile che spiega la differenza è la qualità dei dati di partenza.

Da dove si comincia se l'anagrafica fornitori è in disordine?

Dalla contabilità, non dal gestionale acquisti. L'elenco dei soggetti effettivamente pagati negli ultimi dodici mesi è la fonte più affidabile perché segue i movimenti di denaro e non le intenzioni. Da lì si eliminano i duplicati, si riconducono le posizioni allo stesso soggetto giuridico e si assegnano i due attributi di segmentazione. Questa fase non migliora nulla e non va giudicata dai risultati: serve a vedere, e nella maggior parte delle aziende produce almeno una sorpresa rilevante, di solito un contratto critico che nessuno trova.