Nuovo fornitore: quali verifiche tenere separate nel fascicolo

Data della bozza: 8 novembre 2026. Autore: Redazione X20 Digital Trust.

Per valutare un nuovo fornitore conviene tenere separate le domande su identità, affidabilità, contratto e trattamento dei dati, collegando poi i risultati alla decisione. Un report di notizie avverse non sostituisce la verifica di chi firma; una clausola privacy non dimostra che il servizio sia tecnicamente adeguato. Il fascicolo deve rendere visibile quale domanda ha ricevuto una risposta e quale resta aperta.

Questa guida propone un metodo organizzativo per imprese e professionisti. Non definisce un pacchetto di controlli sufficiente per ogni settore né attribuisce a tutti i fornitori gli obblighi previsti per servizi regolati. Il punto di partenza è il servizio effettivamente acquistato, con il suo impatto sull'attività dell'impresa.

Identifica la relazione prima di raccogliere documenti

Descrivi che cosa farà il fornitore e chi userà il servizio. Un incarico occasionale con accesso limitato può richiedere un esame diverso da un servizio continuativo che gestisce informazioni essenziali. Scrivi quali dati e processi saranno coinvolti. Una descrizione concreta evita questionari lunghi ma scollegati dal rischio reale.

Identifica la controparte contrattuale, che può differire dal marchio commerciale. Verifica il collegamento tra proposta, condizioni e soggetto che emetterà la fattura. Se un intermediario presenta il servizio di un altro operatore, chiarisci i rispettivi ruoli prima di attribuire alla sola società commerciale tutte le responsabilità dell'esecuzione.

Dedica una sezione alle fonti sulla controparte

Raccogli le informazioni pertinenti all'identificazione e ai poteri di chi agisce. Se vengono esaminate notizie pubbliche, conserva fonte e data, verificando eventuali omonimie. Una ricerca senza risultati deve mantenere il proprio perimetro: non certifica che non esistano criticità e non equivale a una verifica di tutte le liste o registrazioni possibili.

La rilevanza delle informazioni va valutata separatamente. Un fatto riguardante un ex dirigente non si attribuisce automaticamente alla società; una vicenda storica può richiedere aggiornamenti. Se la fonte non è accessibile, indica la limitazione invece di presentare un estratto del motore di ricerca come testo integralmente controllato.

Esamina il contratto rispetto al servizio

Confronta la descrizione commerciale con l'oggetto contrattuale. Identifica deliverable, dipendenze ed eventuali attività escluse. Controlla come vengono gestite le modifiche e chi può approvarle. Un messaggio operativo può contenere una richiesta, ma non chiarisce necessariamente costi e condizioni della variazione.

Conserva la versione sottoposta alla decisione e quella effettivamente concordata. Gli allegati devono essere riconoscibili e coerenti con il testo. Se una clausola rinvia a una pagina web modificabile, valuta come documentare il contenuto rilevante al momento dell'accordo. Non attribuire a una copia interna un valore probatorio universale: serve a mantenere leggibile il fascicolo.

Qualifica il trattamento dei dati

Se il servizio coinvolge dati personali, identifica le attività svolte e valuta i ruoli effettivi. Un fornitore non è automaticamente responsabile del trattamento per il solo fatto di essere esterno. La qualificazione richiede l'esame concreto delle decisioni su finalità e mezzi, con la documentazione necessaria secondo il caso.

Verifica gli accessi, le persone coinvolte e l'eventuale ricorso ad altri operatori. Le informazioni ottenute devono essere coerenti con il servizio che sarà attivato. Se il fascicolo contiene dati personali dei rappresentanti, limita raccolta e accesso a ciò che serve per la finalità. La due diligence non autorizza un archivio indiscriminato di informazioni private.

Un esempio interamente fittizio

La società immaginaria “Pietra Progetti” valuta un servizio cloud. Il commerciale invia una scheda positiva sulla società fornitrice e condizioni standard. L'incaricato scopre però che il contratto riguarda un'entità differente e che il servizio prevede accesso ai documenti da parte di un altro operatore non descritto nella scheda.

La decisione resta da completare secondo la procedura interna. Vengono chiariti soggetto contrattuale e flusso dei dati, senza trattare il report sulla reputazione come risposta a entrambe le domande. Il caso è inventato e non indica che ogni differenza comporti rifiuto: mostra quali verifiche non dovrebbero essere fuse.

Assegna i punti aperti a chi può risolverli

Un elenco di criticità senza responsabili tende a restare fermo. Per ogni questione indica il documento o chiarimento richiesto e la funzione competente. Le domande legali, tecniche e operative possono condividere materiale, ma richiedono competenze diverse. Il coordinamento serve a evitare decisioni incoerenti, non a trasformare un solo revisore nell'esperto di ogni materia.

Nella decisione finale chiarisci le condizioni approvate e gli elementi ancora da seguire, nei limiti consentiti dalle regole applicabili. Non chiamare “approvato” un fascicolo per cui manca una verifica obbligatoria. Se il servizio cambia, riesamina le parti interessate anziché usare indefinitamente la valutazione iniziale.

Fonti e limiti

La guida EDPB sui ruoli privacy aiuta a distinguere titolare e responsabile del trattamento. Il GDPR resta la fonte normativa. Per imprese nel relativo ambito, DORA introduce un quadro specifico sul rischio ICT: questa guida non lo estende a ogni acquisto di software.

Per confrontare strumenti dedicati a controparti, contratti e documentazione degli adempimenti, puoi consultare le app di X20 Digital Trust.