Il problema emerge quando queste informazioni vengono interpretate come una fotografia completa del rischio fornitore. Un fornitore pu\u00f2 avere politiche ambientali solide e, allo stesso tempo, subire una crisi di liquidit\u00e0. Pu\u00f2 disporre di un codice etico e mantenere una vulnerabilit\u00e0 critica nel software con cui accede ai tuoi sistemi. Pu\u00f2 rendicontare le sue emissioni e fallire nei controlli di qualit\u00e0, sicurezza industriale o capacit\u00e0 operativa. <\/p>\n\n\n\n
I dati recenti mostrano perch\u00e9 questa distinzione \u00e8 importante. Nel 2026, il 65% delle grandi aziende intervistate dal World Economic Forum ha indicato le vulnerabilit\u00e0 di terze parti e della supply chain come principale ostacolo alla cyber resilienza. Allianz ha posizionato gli incidenti informatici come principale rischio aziendale globale per il quinto anno consecutivo, con il 42% delle risposte. <\/p>\n\n\n\n
IDEA CENTRALE<\/strong><\/p>\n\n\n\n L’ESG \u00e8 uno strato essenziale di informazioni, non un sistema completo di controllo del rischio.<\/strong> Una valutazione ESG aiuta a capire come un fornitore gestisce i suoi impatti ambientali, sociali e di governance. La gestione dei rischi della supply chain deve inoltre rispondere se quel fornitore pu\u00f2 continuare a consegnare, proteggere i dati, operare in sicurezza, adempiere ai suoi obblighi e resistere a un’interruzione. <\/p>\n<\/div>\n<\/div>\n\n\n\n Gli strumenti di analisi ESG apportano struttura a dati che per anni sono stati dispersi: politiche ambientali, emissioni, diritti del lavoro, etica aziendale, diversit\u00e0 o governance. Aiutano anche a preparare report, identificare lacune e progredire verso una supply chain sostenibile. <\/p>\n\n\n\n Tuttavia, il rischio fornitore non si divide in compartimenti stagni. Alcuni fattori, come la sicurezza e salute o la cybersecurity, possono far parte di un framework ESG ampio, ma la loro gestione operativa richiede molta pi\u00f9 profondit\u00e0 di un indicatore generale o di un’autodichiarazione periodica. <\/p>\n\n\n\n La differenza non sta nello scegliere tra ESG o gestione dei fornitori. Sta nell’integrare entrambi gli approcci all’interno di un modello multirischio, con dati verificati, segmentazione per criticit\u00e0 e monitoraggio continuo. <\/p>\n\n\n\n La stabilit\u00e0 finanziaria \u00e8 uno dei punti ciechi pi\u00f9 evidenti di una valutazione incentrata unicamente sull’ESG. L’insolvenza, il deterioramento del flusso di cassa, la dipendenza da pochi clienti o la mancanza di assicurazioni possono impedire a un fornitore di consegnare, mantenere il personale o adempiere ai suoi impegni, anche se le sue politiche di sostenibilit\u00e0 sono corrette. <\/p>\n\n\n\n CASO REALE | Carillion: quando l’insolvenza si trasforma in un’interruzione operativa<\/strong><\/p>\n\n\n\n Cosa \u00e8 successo. <\/strong>Il gruppo britannico Carillion \u00e8 entrato in liquidazione nel gennaio 2018. Il suo crollo ha obbligato il Governo del Regno Unito ad attivare misure di continuit\u00e0 per numerosi servizi e ha fermato i lavori su contratti di costruzione, inclusi due ospedali.Cosa dimostra.<\/strong> L’omologazione e i criteri ESG non sostituiscono il monitoraggio di solvibilit\u00e0, liquidit\u00e0, concentrazione dei ricavi, assicurazioni e segnali di deterioramento. Senza queste informazioni, il rischio finanziario pu\u00f2 materializzarsi prima che gli acquisti abbiano un’alternativa pronta. <\/p>\n\n\n\n Per anticipare questo tipo di esposizione, la gestione dei rischi della supply chain dovrebbe monitorare, come minimo:<\/p>\n\n\n\n La digitalizzazione della supply chain ha moltiplicato le connessioni tra acquirenti, fornitori, piattaforme, operatori logistici e fornitori di tecnologia. Questa efficienza crea anche dipendenze: una terza parte con accesso a dati, sistemi o credenziali pu\u00f2 diventare il punto di ingresso di un incidente. <\/p>\n\n\n\n CASO REALE | SolarWinds: un fornitore affidabile trasformato in vettore di attacco<\/strong><\/p>\n\n\n\n Cosa \u00e8 successo. <\/strong>Nel 2020, l’Agenzia per la Cybersecurity e la Sicurezza delle Infrastrutture degli Stati Uniti ha confermato lo sfruttamento attivo di versioni compromesse della piattaforma SolarWinds Orion. L’attacco ha utilizzato aggiornamenti software distribuiti da un fornitore legittimo per accedere alle organizzazioni clienti. <\/p>\n\n\n\n Cosa dimostra. <\/strong>La cybersecurity di terze parti non pu\u00f2 essere valutata solo all’inizio della relazione. \u00c8 necessario conoscere accessi, dipendenze tecnologiche, subappaltatori, controlli di aggiornamento, risposta agli incidenti e cambiamenti nel livello di esposizione. <\/p>\n\n\n\n Un questionario ESG pu\u00f2 chiedere informazioni sulle politiche di protezione dei dati. Una gestione del rischio efficace deve andare oltre: <\/p>\n\n\n\n La continuit\u00e0 operativa dipende anche dalla capacit\u00e0 reale di un fornitore di produrre, installare, mantenere o fornire un servizio con la qualit\u00e0 e la sicurezza richieste. Qui contano la competenza tecnica, la tracciabilit\u00e0, il controllo delle modifiche, la formazione, la manutenzione, la supervisione e lo storico degli incidenti. <\/p>\n\n\n\n CASO REALE | Alaska Airlines 1282: il costo di perdere la tracciabilit\u00e0 e il controllo del processo<\/strong><\/p>\n\n\n\n Cosa \u00e8 successo. <\/strong>Nel gennaio 2024, il tappo di una porta di un Boeing 737-9 si \u00e8 staccato durante il volo. Il rapporto finale dell’NTSB ha concluso che mancavano i bulloni di fissaggio e ha identificato come causa probabile la mancanza di formazione, orientamento e supervisione adeguati da parte di Boeing. Il componente aveva percorso una catena di produzione e rilavorazione in cui hanno partecipato diverse organizzazioni e team. <\/p>\n\n\n\n Cosa dimostra. <\/strong>I rischi di qualit\u00e0 e sicurezza richiedono evidenze operative: tracciabilit\u00e0 dei componenti, controlli delle modifiche, competenze, audit, registri di manutenzione e responsabilit\u00e0 chiare. Un buon indicatore ESG non rileva da solo un guasto nel processo. <\/p>\n\n\n\n La sicurezza e salute merita una precisione aggiuntiva. Pu\u00f2 apparire all’interno di una valutazione ESG, ma le aziende con appaltatori in impianti critici necessitano di informazioni molto pi\u00f9 concrete: formazione obbligatoria, competenze, permessi di lavoro, incidenti, assicurazioni, documentazione valida e controllo degli accessi. <\/p>\n\n\n\n Per questo, in settori come energia, costruzioni, utilities, trasporti, marittimo e industria, la gestione documentale, il controllo di appaltatori e fornitori e, quando applicabile, una piattaforma CAE fanno parte del sistema di prevenzione del rischio, non di un compito amministrativo isolato.<\/p>\n\n\n\n Un fornitore pu\u00f2 mantenere esattamente le stesse pratiche e, nonostante ci\u00f2, aumentare il suo livello di rischio perch\u00e9 cambia il contesto. Una nuova sanzione, una restrizione commerciale, un conflitto, un’indagine, una modifica normativa o una notizia negativa possono influire sulla sua capacit\u00e0 di operare o sulla convenienza di mantenere la relazione. <\/p>\n\n\n\n Questi rischi sono particolarmente difficili da gestire con valutazioni annuali. Richiedono monitoraggio di liste di sanzioni, notizie negative, cambiamenti societari, esposizione geografica, rotte logistiche e dipendenza da fonti uniche. <\/p>\n\n\n\n CAMBIO DI APPROCCIO<\/strong><\/p>\n\n\n\n L’omologazione risponde se un fornitore rispettava i requisiti in una data specifica.<\/strong><\/p>\n\n\n\n Il monitoraggio continuo risponde se continua a rispettarli, se la sua esposizione \u00e8 cambiata e se l’azienda deve agire prima che il problema arrivi all’operativit\u00e0.<\/p>\n\n\n\n L’omologazione dei fornitori rimane una base necessaria. Permette di verificare i requisiti, organizzare la documentazione e stabilire una soglia di ingresso. L’errore consiste nel trattarla come un punto finale. <\/p>\n\n\n\n Il profilo di un fornitore cambia durante la validit\u00e0 del contratto. Pu\u00f2 perdere una certificazione, subire un incidente informatico, ridurre il personale, cambiare proprietario, accumulare debiti, subappaltare un’attivit\u00e0 critica o lasciare scadere la documentazione. Nessuno di questi cambiamenti viene risolto perch\u00e9 il fornitore \u00e8 stato approvato dodici mesi prima. <\/p>\n\n\n\n Una strategia solida non consiste nel chiedere pi\u00f9 informazioni a tutti i fornitori allo stesso modo. Consiste nell’applicare il livello di controllo adeguato in base alla criticit\u00e0, all’esposizione e all’impatto potenziale. <\/p>\n\n\n\n Questo approccio migliora la resilienza perch\u00e9 trasforma le informazioni in decisioni: quale fornitore sviluppare, quale contratto rafforzare, dove effettuare audit, quando diversificare e quale rischio escalare a compliance, sicurezza, operazioni o direzione.<\/p>\n\n\n\n Achilles permette di applicare diversi livelli di valutazione e garanzia alla base fornitori. L’obiettivo non \u00e8 sostituire l’analisi ESG, ma situarla all’interno di una visione pi\u00f9 completa del rischio e collegarla all’operativit\u00e0. <\/p>\n\n\n\n1. Cosa mostra una valutazione ESG e cosa pu\u00f2 lasciare fuori<\/h3>\n\n\n\n
![\"\"](\"https:\/\/www.achilles.com\/app\/uploads\/2026\/07\/Oltre_1.png\")
<\/figure>\n\n\n\n2. Rischio finanziario: un fornitore sostenibile pu\u00f2 anche rimanere senza liquidit\u00e0<\/h3>\n\n\n\n
\n
3. Rischio informatico: ogni terza parte connessa amplia la superficie di attacco<\/h3>\n\n\n\n
\n
4. Qualit\u00e0, capacit\u00e0 e sicurezza: rispettare le politiche non garantisce una buona esecuzione<\/h3>\n\n\n\n
5. Rischio normativo, geopolitico e reputazionale: il contesto pu\u00f2 cambiare prima del fornitore<\/h3>\n\n\n\n
6. Da fornitore omologato a fornitore monitorato<\/h3>\n\n\n\n
![\"\"](\"https:\/\/www.achilles.com\/app\/uploads\/2026\/07\/Oltre_2.png\")
<\/figure>\n\n\n\n7. Cosa dovrebbe includere una visione integrale del rischio fornitore<\/h3>\n\n\n\n
\n
8. Come Achilles aiuta a collegare l’ESG con una gestione multirischio<\/h3>\n\n\n\n
![\"\"](\"https:\/\/www.achilles.com\/app\/uploads\/2026\/07\/Oltre_3.png\")
<\/figure>\n<\/div>\n<\/div>\n\n\n\n