Shadow risk management: i rischi che non compaiono nell'organigramma aziendale

Di Francesco Hemmeler, senior executive partner di AISEC, Security Advisor Company

 “Per anni abbiamo cercato il nemico all'interno. Oggi rischiamo di non vedere quello che entra ogni giorno dalla porta dei fornitori. Caporalato, infiltrazioni criminali, frodi, violazioni normative, incidenti cyber e danni reputazionali hanno sempre più spesso un elemento in comune: nascono all'esterno dell'organizzazione, ma ne colpiscono direttamente il business. In un contesto in cui NIS2, CER e GDPR richiedono una crescente capacità di controllo della filiera, continuare a considerare il rischio delle terze parti come un problema contrattuale significa osservare il mondo attraverso uno specchietto retrovisore”.

Le aziende investono milioni per proteggere sedi, dati, infrastrutture e persone. Eppure le crisi più gravi continuano spesso ad arrivare da soggetti che non compaiono nell'organigramma aziendale: i fornitori.

Per troppo tempo abbiamo considerato il fornitore come un soggetto da qualificare e contrattualizzare. Oggi dobbiamo iniziare a considerarlo per ciò che potrebbe essere: un potenziale vettore di rischio capace di influenzare la sicurezza, la continuità operativa e la reputazione dell'organizzazione.

Nel nuovo scenario normativo e geopolitico, caratterizzato da supply chain frammentate, esternalizzazioni pervasive e crescente pressione criminale sulle filiere produttive, il fornitore è diventato parte integrante del perimetro di rischio aziendale. La domanda che un Consiglio di Amministrazione dovrebbe porsi non è più se un fornitore sia economicamente affidabile, ma se possa rappresentare una minaccia per l’organizzazione, potenzialmente in grado di generare impatti superiori a quelli di molti rischi interni monitorati quotidianamente.

La filiera come superficie di attacco

È ormai evidente dal verificarsi di tanti eventi che la sicurezza ha progressivamente abbandonato una visione centrata sul perimetro fisico o informatico dell'organizzazione. Le recenti inchieste sulla supply chain nei settori della logistica, della moda e della distribuzione hanno evidenziato come fenomeni di sfruttamento del lavoro, frodi fiscali e possibili infiltrazioni criminali possano svilupparsi all'interno delle reti di fornitori e subfornitori, coinvolgendo indirettamente anche grandi aziende committenti, chiamate a rispondere ad una forma di "agevolazione colposa" di attività illecite, arrivando a vedersi attribuite misure di amministrazione giudiziaria anche se non direttamente coinvolte nei reati ma ritenute incapaci di governare i rischi presenti nella propria supply chain.
Anche sul fronte cyber sono numerosi di casi di compromissione di reti informatiche di clienti per causa di fornitori “meno protetti”. La crescente interdipendenza tra aziende ha reso le filiere uno dei principali vettori di vulnerabilità, un po’ come una catena che se ha un anello debole, rischia di vanificare l’intera sua funzionalità.

Formalmente il problema appartiene a un soggetto terzo, ma nella realtà operativa, mediatica e reputazionale, il danno ricade inevitabilmente sull'organizzazione committente ed è per questo che i clienti, gli investitori, le autorità e in generale l’opinione pubblica non fanno più alcuna distinzione tra l'azienda e il suo ecosistema di fornitori.

NIS2 e CER: la fine dell'alibi del "non lo sapevamo"

L'evoluzione del quadro regolatorio europeo sta segnando un passaggio culturale prima ancora che normativo. La Direttiva NIS2 impone alle organizzazioni soggette di considerare esplicitamente i rischi provenienti dalla supply chain e dai fornitori di servizi, introducendo obblighi di gestione e controllo che trasformano il monitoraggio delle terze parti in un requisito di governance. Similmente la Direttiva CER porta questa logica sul piano della resilienza delle infrastrutture e dei servizi essenziali, richiedendo di comprendere e gestire le dipendenze critiche che possono compromettere la continuità operativa, soprattutto quando questa si riflette direttamente sulle funzioni critiche dello stato e della società (salute, pubblica sicurezza, economia nazionale, energia, ecc..). Anche il GDPR, attraverso il principio di accountability e gli obblighi connessi ai rapporti con i fornitori che operano come responsabili del trattamento, ha da tempo stabilito che non basta scegliere un partner: occorre dimostrare di averne valutato il rischio, l'affidabilità e le garanzie offerte, monitorandone nel tempo la conformità.

Il caporalato è anche un problema di security

Esiste poi un tema che raramente viene affrontato nei dibattiti sulla sicurezza aziendale e che apparentemente sembrerebbe non interessare chi si occupa di security: Il caporalato.

Troppo spesso viene considerato esclusivamente un problema sociale, giuslavoristico o sindacale, ma esso rappresenta anche un rischio di security e reputazionale.

Le organizzazioni che si avvalgono di reti complesse di appaltatori e subappaltatori possono inconsapevolmente esporsi a fenomeni di sfruttamento della manodopera, falsificazione documentale, evasione contributiva, infiltrazioni criminali o altre pratiche illecite. Quando queste situazioni emergono, la domanda che inevitabilmente viene rivolta all'azienda committente è sempre la stessa: cosa è stato fatto per prevenire questo rischio? Avete adottato dei controlli per monitorarlo?

L'Intelligenza Artificiale come strumento di controllo preventivo

Le tradizionali attività di qualificazione dei fornitori, basate su questionari, audit e verifiche periodiche, non sono più sufficienti per intercettare rischi che evolvono rapidamente. La vera sfida non è qualificare il fornitore, ma monitorarlo nel tempo. In questo contesto l'Intelligenza Artificiale può supportare l'analisi continua di informazioni e segnali di anomalia provenienti da fonti diverse, aumentando la capacità di individuare tempestivamente potenziali vulnerabilità.
Tuttavia, la tecnologia da sola non basta: servono competenze specialistiche e una stretta collaborazione tra Security, Risk Management, Compliance e Procurement per trasformare i dati in reale capacità di prevenzione.