Articoli sulla compliance e risorse

Il DORA impone alle entità finanziarie interessate di gestire il rischio derivante dai fornitori terzi di servizi ICT e di conservare le informazioni sui relativi accordi contrattuali ICT, con requisiti rafforzati laddove i fornitori supportino funzioni critiche o importanti. La NIS2 richiede alle entità essenziali e importanti di affrontare la sicurezza della catena di approvvigionamento, in particolare i rischi che coinvolgono fornitori diretti e prestatori di servizi. I due regimi si sovrappongono, ma il DORA è più prescrittivo sulla gestione del rischio ICT delle terze parti.

La gestione del rischio di terze parti nel DORA è condivisa tra le entità finanziarie e i loro fornitori ICT. Dal 17 gennaio 2025, l’Articolo 13(6) richiede a banche, assicurazioni e imprese di investimento di organizzare programmi di sensibilizzazione sulla sicurezza ICT e formazione sulla resilienza e, ove opportuno, di includervi i propri fornitori ICT; l’Articolo 30(2)(i) richiede che ogni contratto ICT stabilisca le modalità di partecipazione del fornitore. I fornitori in grado di dimostrare tale conformità mantengono il contratto.

Lo screening PEP identifica se un cliente, un fornitore o un partner commerciale è una persona politicamente esposta: un individuo che ricopre o ha ricoperto una posizione pubblica di rilievo, oppure un suo familiare o stretto collaboratore. La corrispondenza di un nome è solo l’inizio. Uno screening efficace verifica il ruolo, il livello di influenza, il paese e se la persona è ancora in carica, documentando poi la decisione sul rischio e ripetendo il controllo al variare delle circostanze.

La conformità alle sanzioni per le PMI non è più facoltativa nel 2026. La Direttiva 2024/1226 rende le violazioni gravi delle sanzioni reati penali in tutta l’UE, stabilisce sanzioni minime ed estende la responsabilità alle aziende, quindi l’applicazione ora raggiunge anche le piccole imprese che commerciano, esportano o si approvvigionano a livello internazionale. Ciò di cui le PMI hanno bisogno è un processo chiaro e ripetibile: verificare ogni controparte rispetto alle liste delle sanzioni, registrare il risultato e monitorare i cambiamenti nel tempo.

La conformità della catena di fornitura per le PMI cambia nel 2026, perché le norme UE ora si estendono oltre l’azienda regolamentata fino ai suoi fornitori: le richieste di informazioni su approvvigionamento, proprietà e rischio arrivano da clienti e partner, non dai regolatori, e si fanno sempre più frequenti e strutturate. Le PMI non hanno bisogno di un grande team, ma di un processo chiaro per sapere con chi lavorano, raccogliere le informazioni una sola volta e rispondere a ogni richiesta sulla base di queste.

Le PMI possono soddisfare i requisiti NIS2 per la gestione delle vulnerabilità con un processo di segnalazione semplice e strutturato: un unico canale attraverso cui dipendenti, fornitori e ricercatori possono segnalare una debolezza di sicurezza, una gestione riservata, un responsabile definito che valuta e risolve il problema, e una documentazione di quanto fatto. Un sistema di whistleblowing fornisce già questo flusso di lavoro, quindi lo stesso canale può servire entrambi i regimi.

Il reato di Failure to Prevent Fraud dell’ECCTA si applica alle grandi organizzazioni, ma raggiunge le PMI attraverso i loro contratti. Poiché l’unica difesa prevista dalla legge consiste nel dimostrare l’adozione di procedure ragionevoli, le imprese britanniche chiedono ora ai fornitori di provare la formazione antifrode, i sistemi di whistleblowing, i diritti di audit e le clausole di risoluzione. I piccoli fornitori sono vincolati nella pratica, non dallo statuto.

Nella gestione della supply chain, la proporzionalità significa concentrare la due diligence sui fornitori più grandi e strategici, ma non deve tradursi nell’ignorare quelli più piccoli. I piccoli fornitori comportano rischi nascosti di compliance, continuità e reputazione, ma offrono anche flessibilità, specializzazione e innovazione. Una strategia equilibrata esamina ogni fornitore a un livello base e adegua i controlli in base al rischio, non alle dimensioni dell’azienda.

L’etica della catena di fornitura si accompagna ora a precisi obblighi legali. La Corporate Sustainability Due Diligence Directive, approvata dal Parlamento Europeo il 24 aprile 2024, rende le grandi aziende responsabili dell’individuazione, prevenzione e riparazione dei danni ai diritti umani e all’ambiente lungo l’intera catena del valore, e tale obbligo si estende ai fornitori tramite contratti e questionari. Le aziende che mappano la propria catena e documentano le verifiche sui fornitori soddisfano questo requisito e ottengono un vantaggio competitivo.