Dejan Jasnic · Co-fondatore e Compliance Lead, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del consiglio direttivo dell’ACFE Swiss Chapter
Per molto tempo, la conformità è stata trattata come una funzione interna. Le policy venivano redatte, i controlli implementati e la responsabilità rimaneva ordinatamente entro i confini di una singola organizzazione.
Nel 2026, questo modello non regge più.
In un numero crescente di normative UE, la conformità si estende oltre le singole aziende e arriva alle catene di fornitura da cui dipendono. Questo cambiamento non è sempre esplicito, ma sta già ridefinendo il modo in cui operano le imprese, soprattutto le PMI.
Un cambiamento strutturale nel funzionamento della conformità della catena di fornitura
I recenti sviluppi normativi puntano nella stessa direzione. Che si tratti di impatto ambientale, cybersicurezza o criminalità finanziaria, il meccanismo è sempre più simile.
In base al regolamento UE sulla deforestazione, le aziende che immettono prodotti sul mercato devono dimostrare che le merci provengono da fonti responsabili. Questo requisito non può essere soddisfatto senza informazioni dettagliate dai fornitori. In base alla direttiva (UE) 2022/2555 (NIS2), le organizzazioni devono gestire i rischi di cybersicurezza, compresi quelli che hanno origine da fornitori e prestatori di servizi. I quadri sanzionatori richiedono alle imprese di sapere con chi stanno effettuando transazioni, non solo internamente, ma attraverso la loro rete di partner.
In tutti questi casi la responsabilità ricade su una sola azienda, ma l’attuazione dipende da molte.
Questa è l’essenza della conformità della catena di fornitura per le PMI. Anche quando non sono l’obiettivo principale della regolamentazione, fanno parte del sistema che rende possibile la conformità.
Come si manifesta nella pratica
Per molte PMI, l’impatto è già visibile, anche se non viene presentato come regolamentazione.
Le richieste di informazioni stanno diventando più frequenti e più strutturate. Alle aziende viene chiesto di fornire dettagli su approvvigionamento, proprietà, operazioni o esposizione al rischio. Queste richieste provengono spesso da clienti, partner o intermediari piuttosto che direttamente dalle autorità di vigilanza.
Ciò che è cambiato non è solo il volume di queste richieste, ma l’aspettativa che le accompagna. Non è più sufficiente rispondere in modo informale o facendo del proprio meglio. C’è un’aspettativa crescente che le informazioni siano accurate, coerenti e disponibili quando necessario.
Questo crea un nuovo tipo di pressione operativa. La sfida non è interpretare i testi legali, ma essere in grado di rispondere in modo affidabile e ripetibile.
Il problema nascosto: la frammentazione
La maggior parte delle PMI gestisce già qualche forma di due diligence, attraverso controlli di onboarding, questionari o revisioni interne. La difficoltà è che queste attività sono raramente collegate.
Le informazioni sono spesso distribuite tra fogli di calcolo, email e documenti. I processi variano a seconda di chi gestisce la richiesta. Nel tempo, questo porta alla frammentazione, dove gli stessi dati vengono raccolti più volte in modi leggermente diversi e non esiste un’unica fonte di verità.
Questo approccio può funzionare quando le richieste sono occasionali. Diventa molto più difficile da gestire quando le aspettative aumentano e le tempistiche si accorciano.
In questo contesto, il rischio reale non è la non conformità in senso strettamente legale. È l’incoerenza. Quando le informazioni non possono essere facilmente recuperate o verificate, diventa difficile dimostrare che sono stati effettuati i controlli appropriati.
Da sforzo occasionale a processo continuo
Un altro cambiamento importante è l’abbandono dei controlli occasionali. La conformità viene sempre più trattata come un processo continuo piuttosto che come un’attività puntuale.
Un fornitore non viene semplicemente esaminato una volta. Il suo stato potrebbe dover essere monitorato, aggiornato e rivalutato nel tempo. La documentazione deve essere mantenuta, non solo creata. Lo stesso vale per aree come l’esposizione alle sanzioni, gli indicatori ESG o i rischi di cybersicurezza.
Per le PMI, questo non significa necessariamente fare più lavoro. Significa organizzare le attività esistenti in modo da poterle ripetere e mantenere senza ricominciare da zero ogni volta.
È qui che molte imprese iniziano a sentire la pressione. Senza una struttura chiara, anche i processi semplici possono diventare dispendiosi in termini di tempo.
Come si presenta un approccio pratico
La conformità della catena di fornitura per le PMI non richiede sistemi complessi o team numerosi. Richiede chiarezza nel modo in cui vengono gestite le informazioni.
Come minimo, le imprese devono sapere con chi stanno lavorando, essere in grado di raccogliere informazioni rilevanti in modo strutturato e rispondere alle richieste senza ricostruire il processo ogni volta. Altrettanto importante, devono conservare traccia di ciò che è stato fatto, in modo che possa essere dimostrato se necessario.
Questo può essere applicato in modo proporzionato. Non tutte le relazioni comportano lo stesso livello di rischio e non tutte le richieste richiedono la stessa profondità di risposta. La chiave è la coerenza, non la complessità.
Dove le PMI sentono l'impatto
Nella maggior parte dei casi, la sfida non è la consapevolezza. Le PMI capiscono che le aspettative stanno cambiando.
La difficoltà sta nell’esecuzione. Le informazioni non sono centralizzate, i processi non sono standardizzati e la documentazione non è sempre accessibile quando necessario. Queste lacune spesso rimangono invisibili finché non vengono messe alla prova, ad esempio durante un processo di approvvigionamento o un audit.
A quel punto, la capacità di rispondere rapidamente e chiaramente diventa un fattore competitivo.
Conclusione
La conformità della catena di fornitura per le PMI non è una preoccupazione futura. Sta già prendendo forma nel modo in cui le aziende richiedono, condividono e verificano le informazioni.
Il cambiamento non riguarda la complessità, ma la struttura. Passare da risposte informali e occasionali a processi semplici e ripetibili.
Per le PMI, questo cambiamento è ciò che rende la conformità gestibile.
Domande frequenti
Le norme UE come il regolamento sulla deforestazione, la Direttiva NIS2 e i quadri sanzionatori attribuiscono la responsabilità a un'unica azienda, ma dipendono dalle informazioni fornite dai suoi fornitori: per questo le richieste arrivano da clienti e partner, non dalle autorità di vigilanza.
La frammentazione. Le informazioni di due diligence sono sparse tra fogli di calcolo, email e documenti, i processi variano da persona a persona e gli stessi dati vengono raccolti più volte senza un'unica fonte di verità.
No. La conformità è sempre più trattata come un processo continuo: lo stato di un fornitore potrebbe dover essere monitorato, aggiornato e rivalutato nel tempo, e la documentazione va mantenuta, non solo creata.
Sapere con chi si lavora, raccogliere le informazioni rilevanti una sola volta in modo strutturato, rispondere a ogni richiesta sulla base di quei dati e conservare le prove di quanto fatto, applicando il tutto in modo proporzionato al rischio di ciascun rapporto.
CONTROLLO DEL RISCHIO DI TERZE PARTI
QuickScreen360: verifica i rischi di compliance di fornitori e partner. Invii richieste di due diligence, assegni formazione e monitori i risultati in un’unica piattaforma.