Rischio di terze parti e filiera nelle operazioni straordinarie

Quando valuta un target, valuta anche la rete di fornitori, partner e servizi da cui dipende. Poche aziende oggi operano da sole: il software gira su piattaforme cloud di terzi, i processi critici passano da fornitori gestiti, la produzione dipende da componenti e sistemi di controllo forniti dall’esterno. Compra il target e, di fatto, compra la sua filiera.

Nelle operazioni straordinarie il rischio di terza parte è spesso il meno indagato, perché sta un passo oltre il confine legale dell’azienda che sta comprando. Ma un fornitore critico compromesso, un contratto che espone dati sensibili o una dipendenza senza alternative possono pesare sul valore quanto una debolezza interna.

Il perimetro dell’operazione non finisce al target

La diligence tende a fermarsi ai sistemi che il target possiede. Gli attaccanti no. Le compromissioni attraverso fornitori di software e servizi gestiti sono diventate una via d’ingresso ordinaria proprio perché aggirano il perimetro difeso: colpisci un fornitore fidato e raggiungi tutti i suoi clienti.

Per questo la mappatura delle terze parti fa parte della diligence, non è un’appendice. La domanda non è solo «quanto è sicuro il target», ma «da chi dipende il target per operare, e cosa succede se uno di quei fornitori viene meno o viene violato».

Mappare le dipendenze critiche

Non tutti i fornitori contano allo stesso modo. Il lavoro utile è identificare le poche dipendenze la cui interruzione o compromissione fermerebbe un processo che genera ricavi o esporrebbe dati regolamentati. In genere è un elenco corto: la piattaforma cloud principale, il fornitore che gestisce l’ERP o i pagamenti, il servizio da cui dipende la produzione.

Per ciascuna dipendenza critica servono poche risposte precise: che dati tratta, che livello di accesso ha ai sistemi del target, quali garanzie contrattuali esistono in caso di incidente e quanto sarebbe difficile sostituirla. La difficoltà di sostituzione è spesso il fattore più sottovalutato.

Vale la pena mappare anche le dipendenze di quarto livello quando sono evidenti: il fornitore critico che, a sua volta, poggia su un’unica infrastruttura condivisa da molti. Non serve inseguire ogni ramo, ma riconoscere i pochi punti di concentrazione nascosti dietro fornitori diversi, perché è lì che un singolo guasto si propaga più lontano.

Fornitori OT e sistemi cyber-fisici

Nelle aziende industriali il rischio di filiera assume una forma particolare. I sistemi di controllo — OT — e i componenti forniti dall’esterno hanno cicli di vita lunghi, si aggiornano di rado e spesso sono stati progettati quando la connettività non era un problema di sicurezza. Un fornitore che mantiene accesso remoto a un impianto per manutenzione è, di fatto, una porta permanente verso l’ambiente di produzione.

In diligence questo significa guardare non solo alla sicurezza IT del target, ma a chi ha accesso ai suoi ambienti OT, come quell’accesso è controllato e segmentato, e quali fornitori potrebbero introdurre rischio direttamente nei processi fisici. Le conseguenze qui non sono solo dati: sono continuità produttiva e, in certi settori, sicurezza delle persone.

Concentrazione e diritti di accesso

Due dimensioni meritano attenzione specifica. La prima è la concentrazione: se un unico fornitore sostiene più processi critici, la sua caduta è un rischio sistemico per il target, non un incidente isolato. La seconda sono i diritti di accesso: molti fornitori mantengono accessi permanenti, ampi e poco monitorati ai sistemi dei clienti, spesso ben oltre ciò che il servizio richiede.

Un accesso di terza parte concesso anni prima e mai rivisto è una delle esposizioni più comuni e meno visibili che troverà. Vale la pena inventariarli, perché sono anche tra i più facili da ridurre subito dopo il closing.

Dal censimento al monitoraggio

Mappare le dipendenze una volta non basta: la filiera cambia. Il valore della diligence sta nel trasformare il censimento iniziale in qualcosa che l’acquirente possa mantenere — un elenco dei fornitori critici con il loro livello di accesso e di rischio, integrato nel processo di gestione dei terzi dopo l’operazione.

Il piano di Day 1 dovrebbe includere le azioni sui fornitori che non possono aspettare: rivedere gli accessi di terza parte più ampi, confermare le clausole contrattuali di notifica degli incidenti e assicurarsi che le dipendenze senza alternative abbiano almeno un piano di continuità.

In sintesi

Il rischio di un’operazione non finisce al confine del target. Mappi le poche dipendenze davvero critiche, guardi con attenzione ai fornitori OT e agli accessi permanenti di terza parte, e trasformi il censimento in un monitoraggio che sopravvive al closing. La filiera che eredita è parte di ciò che sta comprando.