La solidità di una catena di approvvigionamento non dipende soltanto da prezzi, tempi e qualità. Dipende anche dall’affidabilità dei fornitori, dalla trasparenza proprietaria, dalla continuità economica e dalla gestione dei rischi reputazionali, legali e geopolitici.
La Due Diligence e l’OSINT nella Supply Chain trasformano dati pubblici, documenti societari e segnali provenienti da fonti aperte in informazioni utili per decidere se avviare o mantenere un rapporto di fornitura. Lo scopo è verificare fatti rilevanti e individuare anomalie che una semplice autocertificazione potrebbe non mostrare.
Indice dei contenuti
- Che cosa significa applicare Due Diligence e OSINT alla Supply Chain
- Quali rischi può individuare l’analisi della Supply Chain
- Come si svolge una Due Diligence OSINT sui fornitori
- Quali red flag richiedono un approfondimento
- Limiti, legalità e qualità dell’OSINT
- Quando richiedere un’indagine sulla Supply Chain
- Domande frequenti su Due Diligence e OSINT nella Supply Chain
Che cosa significa applicare Due Diligence e OSINT alla Supply Chain
La due diligence sulla filiera è un processo di conoscenza e valutazione delle controparti. L’OSINT ne costituisce uno degli strumenti operativi, perché consente di acquisire e analizzare informazioni legalmente accessibili provenienti da registri, siti istituzionali, media, database e altre fonti aperte.
Due diligence dei fornitori e qualifica documentale non sono la stessa cosa
La qualifica del fornitore verifica certificazioni, documenti amministrativi, capacità produttiva e requisiti contrattuali. La due diligence dei fornitori cerca invece conferme indipendenti, confronta dichiarazioni e fonti e ricostruisce i fattori di rischio.
Non valuta soltanto se il fascicolo sia completo, ma con chi l’impresa stia realmente entrando in relazione. Phersei sottolinea infatti che la sola raccolta della documentazione standard non equivale a una verifica sostanziale del fornitore.
Che cos’è l’OSINT applicata alla filiera
OSINT significa Open Source Intelligence. È l’attività professionale di ricerca, verifica, correlazione e interpretazione di informazioni disponibili attraverso fonti aperte.
Una ricerca online, da sola, non è OSINT. Il valore nasce dal metodo: corretta identificazione del soggetto, attendibilità delle fonti, confronto tra dati e separazione tra fatti, accuse e omonimie.
Quali rischi può individuare l’analisi della Supply Chain
Ogni fornitore può esporre l’azienda a rischi differenti. Per questo l’analisi deve essere proporzionata al settore, al Paese, al valore del contratto, all’accesso a dati o infrastrutture e alla sostituibilità della controparte.
Rischi societari, proprietari e di governance
La verifica può ricostruire assetti societari, amministratori, partecipazioni, beneficiari effettivi e collegamenti con altre imprese.
Strutture proprietarie opache, cambi frequenti degli organi sociali, incongruenze operative o relazioni non trasparenti possono richiedere approfondimenti su conflitti di interesse, sanzioni e reale controllo della società.
Rischi economici e di continuità operativa
Un fornitore finanziariamente vulnerabile può interrompere le consegne, ridurre la qualità o ricorrere a subfornitori non autorizzati.
Bilanci, indebitamento, procedure concorsuali, protesti e contenziosi vanno però letti nel contesto: una perdita isolata non dimostra inaffidabilità, mentre una sequenza di anomalie può richiedere controlli più profondi.
Rischi reputazionali, legali, ESG e geopolitici
Le fonti aperte possono far emergere corruzione, violazioni ambientali o del lavoro, contraffazione, frodi, sanzioni e controversie.
L’OCSE propone una due diligence basata sul rischio, estesa agli impatti delle attività, delle catene di fornitura e delle relazioni commerciali.
Nell’Unione europea, la disciplina sulla sostenibilità è stata modificata nel 2026. Gli obblighi diretti riguardano imprese molto grandi, ma anche aziende più piccole possono essere coinvolte indirettamente come partner della catena del valore. L’attuale disciplina europea prevede inoltre che le misure nazionali modificate siano applicate dal 26 luglio 2029.
Come si svolge una Due Diligence OSINT sui fornitori
Un processo efficace non applica gli stessi controlli a tutte le controparti. Parte dalla mappatura della filiera e assegna le risorse investigative in base al rischio.
1. Mappatura e classificazione dei fornitori
La prima fase identifica fornitori diretti, subfornitori rilevanti, distributori e altri soggetti terzi.
La segmentazione considera:
-
valore del rapporto;
-
criticità del servizio;
-
Paesi e settori coinvolti;
-
accesso a dati o impianti;
-
rapporti con enti pubblici;
-
disponibilità di alternative.
Ne deriva uno screening essenziale per i soggetti a basso rischio e una Enhanced Due Diligence per le controparti più esposte.
2. Raccolta da fonti indipendenti
La documentazione fornita dalla controparte viene confrontata con registri societari, albi, atti pubblici, liste di sanzioni, bilanci, fonti giornalistiche e contenuti digitali pertinenti.
| Fonte | Informazioni ricercabili | Possibili segnali |
|---|---|---|
| Registri societari | Soci, amministratori, capitale, sedi | Cambi frequenti e società collegate |
| Bilanci | Ricavi, debiti e patrimonio | Deterioramento finanziario |
| Liste sanzioni e PEP | Esposizioni internazionali | Corrispondenze da approfondire |
| Media e adverse news | Controversie e condotte | Pattern reputazionali ricorrenti |
| Siti e fonti digitali | Attività, personale e infrastrutture | Capacità dichiarate non dimostrate |
| Gare e contratti pubblici | Esperienze e relazioni | Esclusioni, conflitti o anomalie |
Una red flag non indica necessariamente una violazione, ma segnala la necessità di approfondire il rapporto o la transazione.
3. Correlazione, verifica e gestione dei falsi positivi
Le informazioni devono essere attribuite al soggetto corretto, distinguendo una corrispondenza reale da un’omonimia.
Una notizia negativa non equivale a responsabilità accertata. Vanno valutati origine, data, sviluppi successivi, pluralità delle fonti e rilevanza commerciale. È ciò che distingue un dossier investigativo da una raccolta automatica di risultati.
4. Valutazione del rischio e decisione
Le evidenze confluiscono in un report con fatti verificati, fonti, limiti, red flag e livello di rischio.
Oltre ad approvare o rifiutare il fornitore, l’impresa può:
-
chiedere documenti integrativi;
-
inserire clausole contrattuali;
-
prevedere diritti di audit;
-
limitare anticipi o accessi;
-
predisporre un fornitore alternativo;
-
avviare verifiche sul campo;
-
sottoporre il rapporto a monitoraggio rafforzato.
La due diligence diventa così uno strumento decisionale, non una mera formalità amministrativa.
5. Monitoraggio successivo all’onboarding
La due diligence non termina con il contratto: proprietà, condizioni finanziarie, sanzioni e reputazione possono cambiare.
Il monitoraggio va aggiornato periodicamente o in caso di cambio di controllo, ritardi anomali, nuove coordinate bancarie, notizie negative o violazioni contrattuali. La third-party due diligence comprende infatti sia la valutazione iniziale sia il controllo continuativo delle controparti.
Quali red flag richiedono un approfondimento
Un singolo segnale non dimostra un illecito. Più indicatori coerenti, tuttavia, possono giustificare una verifica rafforzata.
Indicatori societari e commerciali
Tra le principali red flag rientrano:
-
riluttanza a comunicare proprietà e soggetti di controllo;
-
dati incoerenti tra documenti e registri;
-
sede o infrastrutture incompatibili con l’attività dichiarata;
-
amministratori collegati a numerose società cessate o insolventi;
-
subappalti non dichiarati;
-
prezzi anormalmente bassi senza spiegazioni economiche;
-
pagamenti verso conti non intestati al contraente;
-
intermediari privi di una funzione chiara;
-
certificazioni non verificabili o scadute;
-
notizie ripetute su frode, corruzione o violazioni del lavoro.
Indicatori da leggere nel contesto
Le red flag devono essere ponderate. Un cambio di sede può essere fisiologico; una società giovane può non avere una lunga storia finanziaria; una controversia può essersi conclusa favorevolmente.
Ogni segnale deve quindi essere verificato chiedendosi se possa incidere sulla legalità, sulla continuità, sulla sicurezza o sulla reputazione del rapporto.
Limiti, legalità e qualità dell’OSINT
Una due diligence professionale deve rispettare finalità legittime, pertinenza, proporzionalità e norme applicabili alla protezione dei dati.
Informazione pubblica non significa informazione automaticamente affidabile
Contenuti online e database possono essere vecchi, incompleti o riferiti a omonimi. La provenienza del dato va documentata e, quando possibile, confermata con una fonte primaria o indipendente.
Anche l’automazione deve essere supervisionata: uno screening può segnalare una corrispondenza, ma l’interpretazione richiede un’analisi umana del contesto.
L’OSINT non sostituisce ogni altro controllo
Le fonti aperte non mostrano tutto ciò che accade negli stabilimenti o nei livelli indiretti della filiera.
L’analisi può quindi richiedere audit, sopralluoghi, verifiche documentali o investigazioni autorizzate. La scelta dipende dalla rilevanza del fornitore e dalle anomalie emerse.
Quando richiedere un’indagine sulla Supply Chain
La verifica è utile prima dell’onboarding di un fornitore strategico, di una gara, di un’acquisizione o dell’ingresso in un nuovo Paese, oltre che in presenza di anomalie durante il rapporto.
Dal controllo standard all’indagine mirata
Un servizio investigativo di Due diligence nella Supply Chain è indicato quando le informazioni ordinarie non sono sufficienti, emergono incongruenze o la controparte presenta un’esposizione elevata.
L’attività può aiutare procurement, compliance, direzione legale e management a ottenere un quadro documentato, distinguendo i fatti verificabili dalle semplici dichiarazioni e traducendo le evidenze in opzioni operative.
Domande frequenti su Due Diligence e OSINT nella Supply Chain
Le risposte seguenti sintetizzano i dubbi più comuni delle imprese che devono qualificare e controllare terze parti.
Basta chiedere certificazioni e autocertificazioni?
No. Sono documenti utili, ma devono essere verificati e contestualizzati. Una certificazione non chiarisce necessariamente proprietà, reputazione, solidità o utilizzo di subfornitori.
È necessario controllare tutti i fornitori allo stesso modo?
No. L’approccio più efficace è proporzionato al rischio. Valore, criticità, territorio, dati trattati e accesso a infrastrutture determinano profondità e frequenza delle verifiche.
L’OSINT consente di vedere tutta la filiera?
Non sempre. La visibilità diminuisce nei livelli indiretti, soprattutto quando i subfornitori non sono dichiarati. L’OSINT aiuta a ricostruire collegamenti e anomalie, ma può richiedere integrazioni documentali o verifiche sul campo.
Quanto spesso deve essere aggiornata la due diligence?
La frequenza dipende dal rischio. I fornitori critici richiedono controlli più ravvicinati e monitoraggio degli eventi, mentre per quelli meno esposti può bastare una revisione periodica.
Conclusione
La Due Diligence e l’OSINT nella Supply Chain consentono di passare da una qualifica basata sulle dichiarazioni a una conoscenza documentata delle controparti.
Il loro valore consiste nel verificare identità, proprietà, affidabilità e continuità operativa prima che le criticità diventino interruzioni o contenziosi.
Una filiera trasparente non è priva di rischi: li identifica, li monitora e li gestisce con decisioni consapevoli.
