Resilienza operativa e rischio di filiera: come proteggere le attività critiche dalle interruzioni dei fornitori?

Ar19
3 giorni fa
Tempo di lettura: 12 min

La resilienza operativa dipende sempre più dall’affidabilità di fornitori, appaltatori, operatori logistici, provider tecnologici e subfornitori. Un’interruzione esterna all’organizzazione può bloccare rapidamente la produzione, compromettere la sicurezza, ritardare le consegne ai clienti o impedire l’accesso a sistemi essenziali. Questo articolo spiega come identificare le terze parti critiche, mappare le dipendenze meno visibili, monitorare gli indicatori precoci e preparare strategie di mitigazione realistiche prima che il problema di un fornitore si trasformi in una crisi operativa.

Introduzione

Resilienza operativa e rischio di filiera sono ormai strettamente collegati. Un’azienda può gestire con attenzione i propri stabilimenti, le procedure e i sistemi interni, ma restare comunque esposta a un singolo fornitore, a un appaltatore specializzato, a un hub logistico, a una piattaforma software o a un subfornitore che non conosce direttamente.

Quando una di queste dipendenze esterne viene meno, le conseguenze possono propagarsi rapidamente nell’organizzazione. La produzione rallenta. Le attività di manutenzione si fermano. I materiali non arrivano. I servizi digitali diventano indisponibili. I presidi di sicurezza si indeboliscono. I clienti subiscono ritardi. Il management deve prendere decisioni urgenti, spesso con informazioni incomplete.

Proteggere le attività critiche richiede quindi molto più di un elenco fornitori o di una valutazione periodica delle loro performance. L’organizzazione deve comprendere quali relazioni esterne sostengono i processi essenziali, per quanto tempo tali processi possono tollerare un’interruzione e quali alternative potrebbero funzionare davvero in condizioni operative reali.

Come approfondito nell’articolo AR19 dedicato alla resilienza operativa oltre la business continuity, essere resilienti significa mantenere il controllo delle attività critiche mentre l’interruzione è ancora in corso. Significa prevenire, prepararsi, rispondere, adattarsi, recuperare e imparare dall’evento. La resilienza della supply chain applica la stessa logica a fornitori, appaltatori, tecnologie e partner commerciali.

In sintesi

La resilienza della filiera parte dall’identificazione delle attività che l’organizzazione non può permettersi di perdere. L’azienda deve quindi mappare ogni fornitore, appaltatore, tecnologia, competenza e subfornitore che sostiene tali attività. Una gestione efficace combina due diligence, indicatori precoci, tutele contrattuali, fonti alternative, simulazioni e una governance interfunzionale chiara. L’obiettivo non consiste nell’eliminare ogni possibile

interruzione, ma nel mantenere le conseguenze entro livelli accettabili.

Perché il rischio di filiera minaccia la resilienza operativa?

Il rischio di filiera minaccia la resilienza operativa perché molte attività aziendali essenziali dipendono da risorse che l’organizzazione non controlla direttamente.

Queste risorse possono comprendere materie prime, componenti, servizi di manutenzione specialistica, processi esternalizzati, piattaforme cloud, aggiornamenti software, trasporti, energia, prove di laboratorio, certificazioni tecniche o personale esterno. Un problema che coinvolge anche una sola di queste risorse può causare un’interruzione operativa.

Il rischio aumenta quando l’organizzazione dipende da:

un unico fornitore o un solo sito produttivo;
un componente con tempi di sostituzione molto lunghi;
un appaltatore che possiede competenze tecniche difficili da sostituire;
un provider digitale integrato in diversi processi;
una rotta logistica senza alternative praticabili;
un fornitore che dipende a sua volta da un subfornitore sconosciuto;
una singola area geografica per più risorse critiche.

Queste condizioni creano veri e propri punti singoli di vulnerabilità. Il valore economico del contratto non consente sempre di individuarli. Un componente, una licenza o un servizio dal costo limitato possono sostenere attività dal valore economico molto elevato.

La specifica ISO/TS 22318 estende i principi della continuità operativa alle relazioni con i fornitori. Si rivolge alle organizzazioni che dipendono dalla disponibilità continua di risorse e che devono preservare la capacità di erogare prodotti e servizi. Anche la norma ISO 28000 definisce requisiti per sistemi di gestione della sicurezza che comprendono aspetti rilevanti della supply chain.

Le aziende dovrebbero quindi classificare i fornitori in base all’impatto operativo potenziale, non soltanto in funzione del volume di acquisto.

Quali fornitori e terze parti devono essere considerati critici?

Un’azienda dovrebbe considerare critica una terza parte quando la sua indisponibilità può interrompere un’attività essenziale oltre il livello di tolleranza definito dall’organizzazione.

Questa definizione comprende molto più dei fornitori tradizionali. Può includere appaltatori, consulenti, laboratori esterni, manutentori, operatori logistici, piattaforme cloud, software house, soggetti che trattano dati e fornitori di servizi energetici.

La valutazione deve partire dall’attività aziendale. Il management deve prima identificare ciò che l’organizzazione deve continuare a garantire anche durante una crisi. In seguito può risalire alle risorse esterne necessarie per produrre quel risultato.

Un fornitore diventa particolarmente critico quando presenta più fattori contemporaneamente:

bassa sostituibilità;
elevato impatto operativo;
tempi lunghi di ripristino o sostituzione;
scorte e capacità alternative limitate;
concentrazione geografica o tecnologica;
accesso a sistemi, informazioni o strutture sensibili;
responsabilità su attività ad alto rischio;
dipendenza da ulteriori subappaltatori o subfornitori.

Un fornitore può inoltre diventare critico nel tempo. Un contratto nato come temporaneo può estendersi progressivamente. Uno strumento digitale può integrarsi in diversi flussi di lavoro. L’organizzazione può perdere competenze interne dopo anni di outsourcing.

A quel punto l’azienda può scoprire di non riuscire più a gestire, riparare o ripristinare il processo senza il supporto esterno.

Per questo motivo, la criticità dei fornitori richiede revisioni periodiche. I dati dell’ufficio acquisti non bastano a descrivere l’intera esposizione. Operations, manutenzione, HSE, qualità, IT, finanza e risk management devono partecipare alla valutazione.

Come si mappano le dipendenze critiche della supply chain?

Le aziende possono mappare le dipendenze critiche collegando ogni attività essenziale alle persone, agli asset, alle tecnologie, alle informazioni e alle terze parti necessarie per garantirne il funzionamento.

Il processo dovrebbe partire da una Business Impact Analysis o da una valutazione operativa equivalente. L’organizzazione identifica i risultati più importanti, definisce la durata massima tollerabile dell’interruzione e analizza tutte le risorse che li sostengono.

Una mappa efficace delle dipendenze dovrebbe rispondere ad alcune domande concrete:

Quale attività o servizio deve continuare?
Che cosa accade se questa attività si interrompe?
Per quanto tempo l’azienda può tollerare il fermo?
Quali risorse interne ed esterne sostengono il processo?
Quale fornitore, sito, tecnologia o competenza rappresenta un punto singolo di vulnerabilità?
Quanto tempo richiederebbe una sostituzione reale?
Quali subfornitori o subappaltatori operano dietro al fornitore diretto?
Quale alternativa potrebbe rispettare gli stessi requisiti tecnici, qualitativi e di sicurezza?

Questo approccio è diverso da un normale albo fornitori. L’albo descrive la relazione commerciale. La mappa di resilienza mostra invece come un’interruzione può propagarsi dalla terza parte fino alle attività dell’organizzazione.

Le autorità di vigilanza finanziaria hanno sviluppato un principio simile per i servizi aziendali importanti. La Financial Conduct Authority richiede alle organizzazioni che rientrano nel proprio perimetro di mappare persone, processi, tecnologie, strutture, informazioni e terze parti necessarie per erogare tali servizi.

Lo stesso principio può essere applicato anche alle aziende industriali e di servizi: partire dall’output critico e ricostruire a ritroso tutte le dipendenze.

La mappa deve rappresentare l’operatività reale. Interviste, visite agli impianti, osservazioni sul campo e workshop di scenario permettono spesso di individuare legami che contratti e procedure non mostrano.

Quali segnali deboli possono anticipare un problema con i fornitori?

I segnali deboli possono indicare la crescita del rischio prima che ritardi, guasti o incidenti diventino critici.

Le aziende monitorano spesso indicatori consuntivi, come consegne mancate, difetti o non conformità formali. Questi dati restano importanti, ma descrivono problemi che si sono già verificati. La resilienza operativa richiede anche indicatori predittivi.

Tra i possibili segnali di allarme rientrano piccoli ritardi ricorrenti, un aumento delle spedizioni urgenti, una qualità meno stabile, frequenti cambi di personale, tempi più lunghi per l’assistenza tecnica, azioni correttive non concluse e richieste ripetute di deroghe contrattuali.

Altri segnali possono riguardare l’organizzazione del fornitore. Pressioni finanziarie, elevato turnover, ristrutturazioni, perdita di personale specializzato o ricorso crescente a lavoratori temporanei possono ridurre l’affidabilità operativa. Anche un cambio di proprietà o il trasferimento della produzione possono modificare il profilo di rischio iniziale.

I fornitori digitali richiedono indicatori specifici. L’azienda dovrebbe monitorare interruzioni ricorrenti, ritardi nella gestione delle vulnerabilità, scarsa trasparenza sui subfornitori, revisioni degli accessi incomplete, comunicazioni tardive durante gli incidenti e test di ripristino non svolti.

Il NIST SP 800-161 raccomanda di integrare il Cybersecurity Supply Chain Risk Management nel processo più ampio di gestione del rischio aziendale. L’analisi deve considerare prodotti, servizi, fornitori e diversi livelli dell’organizzazione.

La metodologia AR19 presta particolare attenzione ai segnali deboli, ai KPI predittivi e alla qualità delle routine organizzative. L’obiettivo consiste nel riconoscere le condizioni emergenti prima che producano incidenti o interruzioni del business.

Alcuni indicatori predittivi utili possono riguardare:

la percentuale di fornitori critici con un piano di continuità testato;
il numero di azioni derivanti dagli audit ancora scadute;
la quota di approvvigionamenti critici gestita tramite un’unica fonte;
i tempi di risposta durante le escalation;
la percentuale di dipendenze di secondo livello già mappate.

Ogni indicatore deve avere un responsabile, una soglia di attenzione e un’azione predefinita. In caso contrario, il cruscotto descrive il rischio ma non influenza le decisioni.

Come devono collaborare acquisti, operations, HSE e IT nella gestione delle terze parti?

Acquisti, operations, HSE, IT e risk management devono gestire il rischio di terze parti attraverso un unico modello di governance condiviso.

Ogni funzione osserva una parte diversa dell’esposizione. Gli acquisti conoscono i contratti, la leva commerciale e le relazioni con i fornitori. Le operations comprendono i vincoli di processo e le conseguenze dei fermi. L’HSE valuta i rischi per la sicurezza, l’ambiente e la gestione degli appaltatori. I team IT e OT conoscono gli accessi ai sistemi, i flussi di dati e le dipendenze digitali. Il risk management collega questi elementi e supporta la definizione delle priorità.

I problemi emergono quando le funzioni operano separatamente. L’ufficio acquisti può scegliere un fornitore economicamente vantaggioso senza vedere un punto critico tecnico. Le operations possono accettare un appaltatore urgente senza completare la necessaria valutazione del rischio. L’IT può introdurre un servizio cloud senza un piano di uscita testato.

L’HSE può individuare una debolezza nell’organizzazione dell’appaltatore senza che l’informazione raggiunga il processo di vendor rating.

Un processo di governance integrato dovrebbe definire:

un unico metodo di classificazione delle terze parti critiche;
responsabili interni chiaramente identificati;
requisiti minimi di due diligence;
soglie di escalation;
frequenza degli audit e dei monitoraggi;
regole di comunicazione in caso di incidente;
responsabilità durante l’interruzione;
riesami periodici da parte del management.

La leadership svolge un ruolo centrale. I manager devono stabilire quando i vantaggi di efficienza non giustificano più il rischio di concentrazione. Devono inoltre destinare risorse a fonti alternative, scorte, test e sviluppo delle competenze prima che l’interruzione crei una situazione di urgenza.

L’approccio AR19 al risk management, alla resilienza operativa e alla sostenibilità collega governance, leadership, cultura della sicurezza e indicatori predittivi. Questo modello aiuta le organizzazioni a non considerare il rischio fornitore come una responsabilità esclusiva dell’ufficio acquisti.

Quali strategie migliorano la resilienza della filiera?

La strategia più efficace dipende dalla natura della dipendenza, perché il dual sourcing non risolve ogni rischio della supply chain.

Per i materiali standard, l’azienda può qualificare un secondo fornitore o distribuire i volumi tra aree geografiche differenti. Per i servizi specialistici, può sviluppare competenze interne, concordare un supporto di emergenza o qualificare un altro partner tecnico.

Nel caso di componenti con tempi di approvvigionamento lunghi, l’organizzazione può creare scorte strategiche, uniformare le specifiche o riprogettare il prodotto. Per i rischi logistici, può approvare vettori, percorsi, porti o magazzini alternativi.

Le dipendenze digitali richiedono misure diverse. Tra queste rientrano la portabilità dei dati, le procedure di backup, la gestione controllata degli aggiornamenti, metodi alternativi di accesso, soluzioni di ripristino testate e un supporto contrattuale nella fase di transizione.

Le principali strategie di resilienza comprendono:

dual sourcing o multi-sourcing;
scorte strategiche e capacità di riserva;
riprogettazione di prodotti o processi;
materiali e tecnologie alternative;
formazione incrociata e sviluppo di competenze interne;
rafforzamento dei piani di continuità dei fornitori;
diritti contrattuali di audit e comunicazione;
controlli sulle attività affidate a subfornitori;
esercitazioni congiunte di ripristino;
piani documentati di uscita e transizione.

I contratti sostengono la resilienza quando rappresentano l’operatività reale. Dovrebbero definire tempi di notifica degli incidenti, livelli di servizio, diritti di audit, requisiti di continuità, condizioni per il subappalto, accesso alle evidenze e obblighi in fase di uscita.

Il quadro NIS2 conferma la crescente importanza di questi controlli. L’articolo 21 inserisce la sicurezza della supply chain tra le misure di gestione del rischio informatico e richiede alle organizzazioni coinvolte di considerare le vulnerabilità e le pratiche di sicurezza dei fornitori e dei prestatori di servizi diretti.

Il Regolamento di esecuzione UE 2024/2690 dettaglia ulteriori misure per i soggetti che rientrano nel suo campo di applicazione. Tra queste rientrano clausole di sicurezza, notifiche degli incidenti, diritti di audit, gestione delle vulnerabilità e controlli sul subappalto.

Queste disposizioni riguardano settori e organizzazioni specifici. Tuttavia, i principi gestionali che introducono possono orientare qualsiasi azienda che dipenda da fornitori digitali critici.

Come si possono testare gli scenari di interruzione dei fornitori?

Le organizzazioni possono testare la resilienza della supply chain attraverso scenari realistici che mettano alla prova ipotesi, responsabilità e soluzioni alternative.

Un piano di continuità scritto non dimostra che il fornitore alternativo possa rispettare i requisiti tecnici. Un contratto non dimostra che il provider digitale possa ripristinare il servizio nei tempi richiesti. Un elenco di contatti di emergenza non dimostra che le persone risponderanno e prenderanno le decisioni corrette sotto pressione.

Una buona esercitazione dovrebbe partire da un evento grave ma plausibile. Gli scenari possono comprendere la perdita improvvisa di un sito produttivo strategico, il blocco di un provider cloud, un attacco informatico a un partner logistico, l’insolvenza di un fornitore unico o l’indisponibilità del personale di un appaltatore specializzato.

L’esercitazione dovrebbe verificare:

quanto rapidamente l’azienda individua il problema;
chi riceve il primo avviso;
chi possiede l’autorità per attivare l’escalation;
quale attività rischia di interrompersi;
se l’impatto resta entro il livello di tolleranza;
se i fornitori alternativi rispettano i requisiti di qualità e sicurezza;
come l’organizzazione comunica con clienti e stakeholder;
quali decisioni richiedono l’intervento del top management.

Le esercitazioni tabletop verificano coordinamento e capacità decisionale. I test tecnici controllano backup, accessi, recupero dei dati e sistemi alternativi. Le simulazioni operative mettono alla prova scorte, logistica, attrezzature, disponibilità degli appaltatori e procedure manuali temporanee.

Al termine di ogni esercitazione, l’organizzazione dovrebbe aggiornare la mappa delle dipendenze, le procedure, gli indicatori e le priorità di investimento. Il test produce valore quando modifica e migliora il sistema, non quando si limita a certificare che l’esercitazione è stata svolta.

Che cosa insegnano le principali interruzioni causate da terze parti?

Le principali interruzioni mostrano che il rischio di filiera può derivare dalla concentrazione fisica, dalla dipendenza digitale o da una complessità tecnica poco visibile.

Nel 2021 un incendio colpì lo stabilimento di semiconduttori Renesas di Naka. L’interruzione ebbe una forte rilevanza perché i semiconduttori sostenevano numerose attività manifatturiere a valle. Renesas ripristinò il livello produttivo precedente all’incendio entro il 24 giugno. Toyota spiegò inoltre come i propri tecnici contribuirono alla ricostruzione delle apparecchiature danneggiate.

Il caso mostra l’importanza di comprendere le dipendenze dai livelli più profondi della filiera e di conservare competenze tecniche sufficienti per partecipare al ripristino.

Nel luglio 2024 un aggiornamento difettoso di CrowdStrike colpì sistemi Windows utilizzati da numerose organizzazioni. Microsoft stimò un impatto su circa 8,5 milioni di dispositivi. L’evento dimostrò come un unico fornitore digitale possa generare conseguenze operative molto estese e coinvolgere settori differenti.

Le cause dei due eventi erano diverse, ma entrambi conducono alla stessa domanda: quale attività critica si fermerebbe se questa dipendenza esterna diventasse improvvisamente indisponibile?

L’organizzazione non può cercare la risposta durante la crisi. Deve definirla in anticipo attraverso mappatura, monitoraggio e test.

Come supporta AR19 la resilienza operativa della supply chain?

AR19 supporta la resilienza della filiera collegando la valutazione tecnica dei rischi alla cultura organizzativa, alla leadership, ai comportamenti sul campo e alle performance.

Una relazione resiliente con fornitori e appaltatori non dipende soltanto dal rispetto formale dei contratti. Le persone devono comprendere i rischi, segnalare anomalie, comunicare in modo chiaro e agire con coerenza anche quando appartengono a organizzazioni differenti.

AR19 applica assessment, coinvolgimento del management, sviluppo della leadership, safety coaching, KPI predittivi e riesame strategico in contesti operativi complessi.

Le esperienze progettuali comprendono anche percorsi dedicati alla cultura della sicurezza dei contrattisti e audit verticali sui fornitori. Questi interventi puntano a individuare le cause profonde dei problemi, valutare le pratiche operative e rafforzare una percezione condivisa del rischio.

L’approccio di audit coaching per fornitori e partner esterni integra la verifica con l’osservazione sul campo, il dialogo e lo sviluppo delle capacità. Aiuta le organizzazioni a superare il controllo puramente documentale e a comprendere come il fornitore gestisce realmente il rischio nelle attività quotidiane.

Questo approccio può sostenere le aziende che devono:

classificare fornitori e appaltatori critici;
mappare vulnerabilità operative e culturali;
rafforzare la governance degli appaltatori;
definire KPI predittivi sui fornitori;
migliorare comunicazione ed escalation del rischio;
svolgere audit verticali e assessment sul campo;
testare scenari di interruzione;
sviluppare una roadmap concreta di resilienza.

L’obiettivo consiste nel trasformare il rischio di terze parti da attività di controllo frammentata a capacità gestionale condivisa.

Conclusione: la resilienza dei fornitori deve iniziare prima dell’interruzione

Un’azienda non costruisce la resilienza della supply chain limitandosi a reagire più rapidamente dopo il fallimento di un fornitore. Deve conoscere le dipendenze critiche prima che si verifichi l’interruzione.

La prima decisione riguarda l’identificazione delle attività davvero essenziali. La seconda richiede la mappatura dei fornitori, degli appaltatori, delle tecnologie e dei subfornitori che le sostengono. La terza consiste nel verificare se i sistemi di monitoraggio, le alternative e i processi di escalation funzionano in condizioni reali.

Ogni organizzazione arriverà a soluzioni differenti. Alcune aziende avranno bisogno di più fonti di approvvigionamento. Altre dovranno aumentare le scorte strategiche, riprogettare un prodotto, rafforzare la governance dei contrattisti o predisporre migliori piani di uscita dai servizi digitali.

Il cambiamento più importante riguarda la prospettiva. La gestione dei fornitori non deve concentrarsi soltanto su costo, consegne e qualità. Deve proteggere anche la capacità dell’organizzazione di operare in sicurezza, con affidabilità e mantenendo gli impatti entro limiti accettabili quando le condizioni esterne cambiano.

FAQ

Che cosa si intende per interruzione causata da una terza parte?

Un’interruzione causata da una terza parte è un problema generato da un fornitore, un appaltatore, un provider tecnologico o un partner esterno. Può influire sulla produzione, sulla logistica, sulla sicurezza, sui sistemi digitali, sul servizio al cliente o sulla conformità normativa.

Come si identifica un fornitore critico?

Un’azienda identifica un fornitore critico valutando l’impatto operativo della sua indisponibilità, il tempo necessario per sostituirlo, la presenza di alternative, la concentrazione geografica o tecnologica e il suo ruolo nelle attività essenziali.

Il dual sourcing rappresenta sempre la soluzione migliore?

No. Il dual sourcing funziona quando i fornitori alternativi possono rispettare i requisiti di volume, qualità, sicurezza e tecnologia. Per servizi o tecnologie specialistiche, lo sviluppo di competenze interne, le scorte strategiche, la riprogettazione o gli accordi di ripristino possono offrire una protezione migliore.

Con quale frequenza bisogna rivalutare i fornitori critici?

L’azienda dovrebbe riesaminare periodicamente i fornitori critici e ogni volta che si verifica un cambiamento rilevante. Tra gli eventi da considerare rientrano nuovi subfornitori, cambi di proprietà, trasferimenti produttivi, ampliamenti del servizio, incidenti, peggioramenti ricorrenti delle performance e nuove integrazioni digitali.

Qual è la differenza tra gestione del rischio fornitore e resilienza della supply chain?

La gestione del rischio fornitore valuta e controlla i rischi associati ai singoli fornitori. La resilienza della supply chain adotta una prospettiva più ampia. Analizza come fornitori, subfornitori, logistica, tecnologie, persone e processi interagiscono per sostenere le attività critiche durante un’interruzione.

Fonti

Alberto Rosso

CEO/Director AR19