Modelli e registrazioni · ISO 37301 · Punto 8.1 y 8.2
Modello di due diligence delle terze parti per la compliance
La verifica, prima e durante il rapporto, che un agente, un distributore o un fornitore non porti nell’azienda un rischio di non compliance che non si può accettare.
In una frase
La due diligence delle terze parti valuta il rischio di compliance di soci in affari, agenti e fornitori —titolarità effettiva, reputazione, sanzioni, settore e paese—, applica verifiche proporzionate a quel rischio e documenta la decisione e le clausole richieste; la ISO 37301 non la nomina come registrazione obbligatoria, ma è il modo in cui si controllano i processi affidati all’esterno e i rischi delle terze parti (8.1 e 8.2).
- Dove lo richiede la norma
- ISO 37301 · Punto 8.1 y 8.2 I punti seguono la ISO 37301:2021, l’edizione in vigore, che ha sostituito la linea guida ISO 19600.
- Tipo di informazione
- Buona pratica Buona pratica che concretizza i controlli dei punti 8.1 e 8.2
- Chi lo compila
- L’area che stipula il contratto, con la compliance La compliance convalida i casi ad alto rischio e può porre il veto sul rapporto
- Quando
- Prima di stipulare il contratto E periodicamente in base al rischio, o in presenza di segnali d’allarme
- Per quanto tempo si conserva
- Lo stabilisce l’organizzazione La ISO 37301 non fissa termini. In Spagna conviene tenere conto dei termini di prescrizione dei reati che il sistema vuole prevenire, perché la registrazione è la prova della diligenza.
Che cosa richiede la norma
Che cosa impone la norma ISO 37301 e che cosa lascia alla sua discrezione
La ISO 37301 chiede di controllare i processi affidati all’esterno e di stabilire controlli per gestire gli obblighi e i rischi di compliance. Quando il rischio nasce da una terza parte —un agente che vende a nome dell’azienda, un distributore in un altro paese—, la due diligence è il controllo naturale.
La norma non ne fissa il contenuto. La ISO 37001, per la corruzione, lo sviluppa: valutare la natura e la portata del rischio di ogni socio in affari e applicare verifiche proporzionate. È il riferimento più usato anche quando non si punta a quella certificazione.
Non è la valutazione dei fornitori della ISO 9001 né quella di sicurezza della ISO 27001: qui ci si chiede chi sia davvero la terza parte e se il suo comportamento possa rendere responsabile l’azienda.
Struttura
Campi che il modello deve contenere
- Terza parte, tipo di rapporto e servizio
- Livello di rischio: paese, settore, interazione con pubblici ufficiali, modalità di pagamento
- Titolarità effettiva e amministratori
- Verifiche: liste di sanzioni, stampa, referenze, certificati
- Segnali d’allarme rilevati e come sono stati risolti
- Clausole richieste: conformità, audit, risoluzione
- Decisione, chi la prende e condizioni
- Prossima revisione
Esempio
Esempio: ingresso di un agente commerciale all’estero
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Terza parte | Agente commerciale (fittizio) per le vendite a ospedali pubblici in un altro paese · provvigione dell’8 % |
| Rischio | Alto: interagisce con buyer pubblici ed è pagato a risultato |
| Titolarità effettiva | Persona fisica identificata; nessun legame con il buyer pubblico secondo dichiarazione firmata |
| Verifiche | Liste di sanzioni senza corrispondenze · stampa senza notizie negative · due referenze verificate |
| Segnale d’allarme | Ha chiesto il pagamento su un conto in un paese terzo · respinto: pagamento solo su conto a suo nome nel paese del servizio |
| Clausole | Conformità anticorruzione, diritto di audit e risoluzione immediata |
| Decisione | Approvato con condizioni dalla responsabile della compliance, 12 maggio 2026 |
| Revisione | Annuale |
In audit
Errori che gli auditor rilevano più spesso
- La stessa verifica per tutte le terze parti, senza graduarla per rischio.
- Segnali d’allarme annotati senza alcuna decisione su di essi.
- Due diligence fatta solo all’ingresso e mai rivista.
- Contratti con agenti senza clausola di conformità né di risoluzione.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1La due diligence di ogni terza parte rilevante si registra dal portale fornitori.
- 2La documentazione della terza parte si mantiene con le scadenze sotto controllo.
- 3La matrice delle deleghe di autorità stabilisce chi può approvare ogni rapporto a rischio.
Domande frequenti
Cosa ci chiedono prima di iniziare
Bisogna fare la due diligence di tutti i fornitori?
Non con la stessa intensità. La cosa ragionevole è una classificazione preventiva per rischio: quelli a basso rischio passano una verifica di base e quelli ad alto rischio quella completa, con revisione periodica.
Che rapporto c’è con la due diligence fiscale della UNE 19602?
È lo stesso controllo con un’altra lente: la UNE 19602 mette a fuoco i rischi tributari delle operazioni con terze parti. Chi gestisce entrambi i sistemi può usare un’unica scheda con i due blocchi.
Gestisca le registrazioni ISO 37301 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Modello di valutazione della sicurezza dei fornitori ISO 27001
Come valutare e monitorare la sicurezza dei fornitori secondo i controlli da 5.19 a 5.22 della ISO 27001…
Attività operative
Le attività operative traducono la politica in controlli reali: due diligence su partner e fornitori, e…
Modello di registro degli obblighi di compliance ISO 37301
Come documentare gli obblighi di compliance richiesti dalla ISO 37301: requisiti obbligatori e impegni…
Modello di matrice dei rischi di compliance ISO 37301
Come documentare la valutazione dei rischi di compliance della ISO 37301: obbligo, attività, cause…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.