Una guida pratica al questionario di due diligence

A due diligence questionnaire (DDQ) è un processo formale per verificare i controlli e le capacità dichiarate di un fornitore terzo. È un metodo strutturato per esaminare se le loro pratiche di sicurezza, operative e di conformità sono allineate ai loro impegni contrattuali e alla tua tolleranza al rischio.

Perché il questionario di due diligence è un sistema critico di gestione del rischio

In un moderno framework di governance, rischio e conformità (GRC), il DDQ è più di una checklist per fornitori. È un processo sistematico per scrutinare i controlli di una terza parte per garantire che soddisfino i requisiti specificati. Questo è un componente fondamentale di qualsiasi programma maturo di gestione del rischio dei terzi.

La funzione primaria di un DDQ è creare un registro verificabile del posture di sicurezza di un fornitore. Per le organizzazioni in settori regolamentati, questa è un'attività obbligatoria. Regolamenti come DORA e GDPR richiedono un controllo dimostrabile della supply chain, in particolare per fornitori terzi critici.

Stabilire una posizione difendibile

Un processo DDQ ben eseguito stabilisce una posizione difendibile per audit e incidenti di sicurezza. Trasforma il rapporto con il fornitore da basato sulla fiducia presunta a basato sulla conformità verificata. Ponendo domande specifiche e richiedendo prove—come documenti di policy, registri di configurazione o rapporti recenti di penetration test—si stabilisce una chiara linea di responsabilità.

Un due diligence questionnaire trasforma la gestione del rischio da esercizio teorico in una disciplina basata su prove. Il suo valore non sta nelle domande poste, ma nelle prove verificabili ricevute in risposta.

Questa attenzione alle prove è ciò che distingue un DDQ da un sondaggio di sicurezza informale. Un sondaggio può chiedere della fiducia del fornitore nei propri controlli di sicurezza, mentre un DDQ richiede che dimostrino che i controlli sono implementati e funzionano efficacemente. Questo approccio basato sulle evidenze conferisce autorità al processo e rende i risultati affidabili per le valutazioni del rischio.

Uno strumento di verifica per entrambe le parti

Per l'organizzazione che emette il DDQ, esso funziona come un controllo critico. Aiuta a identificare le carenze nell'ambiente del fornitore prima che possano tradursi in danni operativi, finanziari o reputazionali. Le risposte informano direttamente la valutazione del rischio e la decisione di ingaggiare il fornitore.

Per il fornitore che risponde, un DDQ è un'opportunità per dimostrare maturità e eccellenza operativa. Una risposta completa, supportata da prove verificabili, funge da differenziatore competitivo. Segnala affidabilità e un approccio sistematico alla sicurezza e alla governance. Risposte vaghe o non comprovate sono indicatori di potenziale rischio. Puoi leggere di più su questo nel nostro articolo sulla gestione dei risk management and compliance.

In ultima analisi, il DDQ formalizza le responsabilità di tutte le parti. Stabilisce una baseline documentata per la sicurezza e la resilienza operativa, rendendolo un sistema essenziale all'interno di qualsiasi programma GRC robusto.

L'anatomia di un DDQ moderno

Sebbene nessun due diligence questionnaire sia identico, non sono più una raccolta arbitraria di domande di sicurezza. Un DDQ moderno è strutturato logicamente, con ogni sezione progettata per testare un aspetto specifico della resilienza operativa e di sicurezza del fornitore.

Un DDQ dovrebbe essere visto come un sistema stratificato di verifica, non come una lista piatta di domande. Il suo scopo è collegare le affermazioni del fornitore a prove tangibili e verificabili. I domini che copre riflettono direttamente i rischi che un'organizzazione eredita integrando una terza parte nel proprio ambiente operativo.

Domini core di sicurezza e resilienza

La maggior parte dei DDQ inizia con una valutazione dei controlli di sicurezza fondamentali. Qui si verifica l'implementazione e l'efficacia dell'igiene informatica di base del fornitore. L'indagine non è se esistono misure di sicurezza, ma come sono implementate, gestite e validate.

Questo dominio include costantemente:

• Information Security and Cybersecurity: Questa è la sezione più ampia, esaminando controlli dall'access management e crittografia dei dati alla gestione delle vulnerabilità e penetration testing. L'obiettivo è confermare che il fornitore ha una strategia di defence-in-depth per proteggere gli asset informativi.
• Business Continuity and Disaster Recovery (BCDR): Qui l'attenzione si sposta dalla prevenzione alla resilienza. Le domande scrutano la capacità documentata del fornitore di mantenere i livelli di servizio durante un evento dirompente. Si richiederanno piani BCDR, risultati dei test e metriche specifiche come Recovery Time Objectives (RTO) e Recovery Point Objectives (RPO).

Un DDQ non è costruito per raccogliere risposte "sì" o "no". È progettato per obbligare il fornitore a fornire prove che i loro controlli operino come descritto. Un documento di policy senza prova di implementazione è un artefatto, non la prova di un controllo funzionante.

Governance e integrità operativa

I controlli tecnici sono inefficaci senza un framework di governance che li faccia rispettare. Un DDQ moderno si estende oltre le configurazioni di sistema per indagare i processi organizzativi e le strutture di responsabilità che sostengono la sicurezza.

I principali domini di governance includono:

• Data Governance and Privacy: Questa sezione si concentra sul ciclo di vita dei dati. Chiede come un fornitore classifica, gestisce e smaltisce le informazioni sensibili. Qui si verifica la conformità a regolamenti come GDPR e si assicura che i dati siano gestiti secondo gli obblighi contrattuali.
• Corporate and Organisational Governance: Quest'area valuta la stabilità e la maturità operativa del fornitore. Le domande possono riguardare la solidità finanziaria, la copertura assicurativa, i controlli sui precedenti dei dipendenti e la formazione di security awareness. L'obiettivo è determinare se il fornitore è un partner solido e affidabile a lungo termine.

Aree emergenti di indagine

I paesaggi di rischio non sono statici. I DDQ si stanno evolvendo per affrontare nuovi rischi associati a tecnologie emergenti e supply chain sempre più complesse. Queste sezioni più recenti dimostrano un approccio lungimirante alla gestione del rischio.

Questionari standardizzati da organismi di settore come l'Association for Financial Markets in Europe (AFME) stanno stabilendo standard elevati. Il questionario AFME dedica oltre 50 questions al disaster recovery IT e alla BCP, richiedendo metriche specifiche. Nonostante ciò, i report indicano che 65% of financial vendors inizialmente falliscono i controlli DDQ sui controlli fondamentali come la crittografia.

Nuovi domini che stanno diventando standard includono:

• AI Systems Governance: Con l'integrazione dell'AI nelle offerte di servizio, i DDQ includono domande sulla sua governance. Qual è la provenienza dei dati di training? Come si garantisce la trasparenza del modello? Esiste un human-in-the-loop per decisioni critiche? Queste domande si allineano con framework emergenti come l'EU AI Act.
• Supply Chain Security (Fourth-Party Risk): Questo affronta il problema del "fornitore del fornitore". I valutatori ora richiedono prove su come un fornitore gestisce il rischio con le proprie terze parti. Si aspetta di vedere un processo documentato per la valutazione dei sub-processor, assicurando che il rischio sia gestito e non semplicemente trasferito nella catena di fornitura.

Navigare le sfide comuni della due diligence sui terzi

Un questionario di due diligence è pensato per essere uno strumento fondamentale di gestione del rischio, ma nella pratica il processo è spesso costellato di attriti operativi e rischi di conformità nascosti. Sia per l'organizzazione che emette il DDQ sia per il fornitore che risponde, il processo può diventare un collo di bottiglia che rallenta i progetti e mette sotto pressione le risorse.

Uno dei problemi più significativi è l'affidamento su una self-attestation non verificata. Un fornitore può affermare che un controllo è in atto, ma senza prove di supporto—come una policy, un registro di configurazione o un rapporto di audit recente—la risposta ha valore limitato. Questo crea un divario critico tra sicurezza dichiarata e controllo dimostrabile.

Un altro ostacolo importante è l'inefficienza nella raccolta delle prove. I team che rispondono spesso faticano a trovare documenti, rispondere a domande ridondanti per clienti diversi e trasmettere file sensibili attraverso canali insicuri come l'email. Questo processo manuale non è solo lento ma introduce errori e lascia una traccia di evidenza frammentata e non tracciabile.

La portata del problema nei settori regolamentati

Queste sfide sono amplificate nei settori regolamentati. Una recente indagine Deloitte sulla readiness a DORA ha identificato un divario significativo nella gestione del rischio dei terzi nel settore finanziario europeo.

Tra tutte le entità intervistate in 28 paesi, solo 8% aveva raggiunto la piena conformità nella gestione dei rischi dei terzi. Il Deloitte DORA European Survey ha anche rivelato che 17% delle organizzazioni considera la due diligence e la conformità dei terzi come una delle loro sfide più impegnative.

La sfida centrale del processo di due diligence non è porre le domande giuste. È raccogliere e verificare sistematicamente le prove che dimostrano che le risposte sono corrette. Senza questo, l'intero esercizio è una formalità amministrativa.

Questi dati evidenziano un punto critico: anche con budget di conformità sostanziali—con 64% delle aziende che pianificano di spendere tra €2–5 milioni—l'esecuzione operativa della due diligence rimane un punto primario di fallimento. Il divario tra investimento e maturità indica che le risorse finanziarie da sole non sono sufficienti senza sistemi e processi efficaci.

Affrontare i gap di conformità e gli attriti operativi

Quando le evidenze di un DDQ non sono correttamente tracciate e rimediate, creano significativi gap di conformità. Un riscontro che un fornitore critico non abbia un adeguato piano di incident response, per esempio, deve essere registrato, tracciato e risolto. Se viene semplicemente annotato in un foglio di calcolo e dimenticato, l'organizzazione ha fallito nel compiere la sua due diligence e rimane esposta.

Per superare queste sfide, le organizzazioni devono trattare il questionario di due diligence come una disciplina di ingegneria e governance, non come un compito amministrativo. Ciò implica:

• Centralizzare le evidenze: Stabilire un repository sicuro e versionato delle evidenze che possa essere riutilizzato attraverso più DDQ.
• Mappare i controlli alle evidenze: Collegare direttamente le risposte del questionario a prove specifiche, datate e validate.
• Automatizzare i workflow: Utilizzare sistemi per gestire l'assegnazione delle domande, tracciare i progressi e gestire in sicurezza le sottomissioni.

Implementando un sistema strutturato e basato sulle evidenze, sia gli emittenti che i rispondenti possono trasformare il DDQ da fonte di attrito operativo a un processo di verifica prezioso ed efficiente.

Un approccio sistematico per rispondere a un DDQ

Ricevere un questionario di due diligence spesso innesca uno sforzo reattivo e disorganizzato che coinvolge catene di email, prove raccolte frettolosamente e scadenze imminenti. Questo approccio ad hoc crea attriti interni e produce risposte inconsistenti e poco documentate che possono proiettare un'immagine di immaturità organizzativa.

Una risposta a un DDQ non è semplicemente un compito amministrativo; è una dimostrazione dell'ambiente di controllo e della maturità di governance della tua organizzazione. L'obiettivo è passare da una corsa reattiva a un processo strutturato e basato sulle evidenze che costruisca fiducia. Ciò richiede risposte precise, ciascuna collegata a prove verificabili. Le assicurazioni vaghe non sono sufficienti.

Decomporre il DDQ e assegnare la proprietà

Nessuna singola persona possiede tutte le informazioni necessarie per completare un DDQ, poiché le sue domande attraversano più domini, inclusi IT, cybersecurity, HR e legale.

Il primo passo è gestire la risposta come un progetto formale. Decomporre il questionario e assegnare una chiara responsabilità per ogni domanda. Una semplice ownership matrix è uno strumento efficace per questo, mappando ogni sezione o domanda del DDQ a un specifico subject matter expert (SME) o team. Questo stabilisce responsabilità immediate e assicura che le domande siano indirizzate alle persone appropriate fin dall'inizio. Questa matrice funge da piano di progetto, prevenendo omissioni e fornendo al coordinatore—tipicamente un CISO o un compliance manager—una chiara visibilità sui progressi.

Mappare le domande ai controlli e alle policy

Con i proprietari assegnati, il passo successivo è mappare ogni domanda ai tuoi controlli interni, policy e procedure. Questo è il nucleo di una risposta basata su evidenze. L'obiettivo non è semplicemente rispondere "sì", ma dimostrare come il requisito è soddisfatto.

Per esempio, una domanda come, "Enforce multi-factor authentication for all administrative access?" richiede più di un semplice affermativo. Una risposta robusta collega direttamente a:

• La specifica policy interna che impone MFA.
• Uno screenshot di configurazione dall'identity provider che mostra che la policy MFA è attiva per il gruppo amministrativo pertinente.
• Un estratto da un audit log che dimostra un login protetto da MFA riuscito.

Una forte risposta a un due diligence questionnaire si costruisce su una base di tracciabilità. Il revisore dovrebbe essere in grado di seguire una linea chiara dalla loro domanda, alla tua risposta, al pezzo specifico di evidenza che prova che il tuo controllo è operativo.

Questo processo collega il linguaggio astratto della policy alla realtà concreta dell'implementazione di sistema. È anche una parte critica della gestione efficace delle evidenze, discussa nella nostra guida sull'utilizzo di una virtual data room for due diligence.

Costruire un workflow ripetibile per le evidenze

Una volta che le domande sono mappate ai controlli, devi raccogliere le evidence audit-grade. Molte organizzazioni falliscono in questa fase, trattandola come una raccolta di dati una tantum. È invece necessario un processo strutturato per raccogliere, gestire e sottomettere le evidenze.

La tabella qui sotto delinea le fasi chiave di un processo ripetibile di risposta al DDQ, chiarendo l'obiettivo e i ruoli responsabili in ciascun step.

DDQ Response Process Key Stages and Responsibilities

Questo workflow strutturato trasforma un esercizio caotico in un sistema governabile.

Una evidence library centrale è un componente imprescindibile di un processo maturo. Invece di cercare ripetutamente lo stesso rapporto di penetration test, gli SME possono recuperare l'ultima versione approvata da un repository sicuro. Questa libreria deve incorporare un rigoroso controllo delle versioni. Quando una policy viene aggiornata o un nuovo audit viene completato, la vecchia evidenza viene archiviata e sostituita con una nuova prova datata. Questo garantisce che ogni risposta si basi su informazioni correnti e accurate.

L'utilizzo di piattaforme dedicate per gestire l'intero workflow distingue le organizzazioni mature. Questi strumenti automatizzano le assegnazioni, forniscono un portale sicuro per le evidenze e creano una completa audit trail. Questo approccio elimina la pratica rischiosa di inviare file sensibili via email e stabilisce un processo difendibile per ogni DDQ.

Come la due diligence affronta la governance dell'AI

Man mano che l'intelligenza artificiale passa da tecnologia nuova a componente standard dei sistemi, il questionario di due diligence si evolve. L'attenzione si espande oltre la sicurezza IT tradizionale per includere un rigoroso scrutinio di come i fornitori costruiscono, gestiscono e governano i loro sistemi AI. Questo è ora un aspetto fondamentale della moderna gestione del rischio dei terzi.

Regolatori e clienti non trattano più l'AI come una scatola nera insondabile. La comprendono come un complesso sistema software con limiti operativi definiti e chiara responsabilità umana. Un moderno due diligence questionnaire ora indaga il framework di governance che circonda questi sistemi, assicurando che l'uso dell'AI da parte di un fornitore sia trasparente, controllato e allineato con norme legali ed etiche emergenti.

Scrutinare i sistemi AI e la loro governance

In pratica, ciò significa che i fornitori devono essere pronti a rispondere a domande che dissezionano l'intero ciclo di vita di un modello AI. Queste domande sono progettate per verificare l'integrità del sistema e la robustezza della sua supervisione. L'obiettivo è ottenere prove che il fornitore abbia un framework operativo di AI governance, non solo una nuova funzionalità tecnologica.

Le aree chiave di indagine ora includono:

• Data Provenance and Quality: Qual è stata la fonte dei dati di training? Quali processi sono stati utilizzati per garantire che siano accurati, non distorti e ottenuti eticamente? I fornitori devono fornire prove delle loro procedure di acquisizione e pulizia dei dati.
• Model Transparency and Explainability: Il fornitore può spiegare come il suo modello AI arriva a una decisione? I valutatori richiederanno documentazione sull'architettura del modello, i suoi limiti e come vengono interpretati gli output, in particolare per applicazioni ad alto rischio.
• Human Oversight and Intervention: Esiste un processo definito per l'intervento umano? Un DDQ richiederà prove dei controlli "human-in-the-loop", incluse procedure per sovrascrivere o correggere decisioni guidate dall'AI.

Il grafico seguente illustra i passaggi core in un workflow strutturato di risposta al DDQ. Questo processo è essenziale per raccogliere le prove specifiche e tracciabili richieste per rispondere alle domande sulla governance dell'AI.

Questo workflow—assegnare le domande, mapparle ai controlli, raccogliere le evidenze e finalizzare le risposte—è ciò che differenzia una risposta verificabile e pronta per l'audit da una superficiale.

Standardizzare la due diligence sull'AI

I gruppi di settore stanno sviluppando standard formali e coerenti per l'approvvigionamento di AI. Il lancio del Legal IT Innovators Group (Litig) AI Due diligence Questionnaire il 16 maggio 2024 è un esempio notevole. Rappresentando 90,000 users, questo DDQ è diviso in sei sezioni e affronta direttamente i rischi associati all'EU AI Act. Questo manda un chiaro segnale di mercato che la verifica standardizzata è ora un'aspettativa. Puoi saperne di più su come gli organismi di settore stanno plasmando le AI vendor assessments on legaltechnology.com.

L'introduzione di questionari di due diligence specifici per l'AI codifica il principio di responsabilità. Costringe i fornitori a trattare l'AI non come una scatola nera, ma come un componente di sistema gestito soggetto alla stessa rigorosa supervisione di qualsiasi altra infrastruttura critica.

Per i fornitori, ciò significa che la conformità a standard come ISO/IEC 42001 sta rapidamente diventando un requisito di base. Una risposta di successo richiede più di documenti di policy; richiede prove tangibili di valutazioni d'impatto etiche, limitazioni documentate del modello e registri chiari della supervisione umana.

I report suggeriscono che 70-80% dei fornitori AI inizialmente non riesce a fornire prove adeguate per queste nuove sezioni di governance, evidenziando un divario significativo tra affermazioni e realtà dimostrabile. In qualsiasi processo di procurement competitivo, la capacità di rispondere a queste domande con prove concrete non è più un differenziatore—è un prerequisito.

Evidenza: dai dati non strutturati a un sistema pronto per l'audit

Le risposte fornite in un questionario di due diligence sono incomplete senza le evidenze che le sostengano. Un'affermazione senza prova è una dichiarazione, non un controllo verificato. La meccanica di gestione e presentazione delle evidenze è importante quanto le misure di sicurezza stesse, rappresentando il passo finale che trasforma una checklist in una dimostrazione genuina e pronta per l'audit di un posture di sicurezza.

Costruire la tua evidence library

La base di qualsiasi solido processo di risposta a un DDQ è un repository centrale e sicuro delle evidenze. Questo non è semplicemente un drive condiviso; è un sistema controllato progettato per supportare le affermazioni ed eliminare l'inefficienza delle ricerche di documenti dell'ultimo minuto. Il suo scopo è garantire che ogni pezzo di evidenza sia aggiornato, approvato e prontamente accessibile.

I principi core per costruire una evidence library efficace includono:

• Immutability and Version Control: Ogni documento, screenshot o policy deve avere una chiara cronologia delle versioni. Quando un controllo viene aggiornato, la vecchia evidenza non viene eliminata ma archiviata. Questo crea una immutable audit trail, dimostrando lo stato di conformità nel tempo.
• Strong Encryption: Le evidenze devono essere protette in tutte le fasi, sia in transito che a riposo. L'uso di crittografia robusta, come AES-256 for data at rest, non è una funzionalità opzionale ma un requisito minimo per proteggere dati interni sensibili.
• Role-Based Access Control (RBAC): L'accesso alle evidenze dovrebbe essere ristretto in base ai ruoli funzionali. Controlli di accesso granulari assicurano che gli esperti possano gestire solo le evidenze rilevanti per i loro domini, come la sicurezza di rete o le risorse umane.

Una evidence library è più di un sistema di archiviazione. È la singola fonte di verità per la tua postura di conformità. Il suo design e la sua sicurezza riflettono l'effettivo impegno della tua organizzazione verso la governance.

Sottomissione sicura ed export pronti per l'audit

Il metodo utilizzato per trasmettere il DDQ completato è un test finale di professionalità e competenza in materia di sicurezza. Allegare centinaia di file sensibili a un'email è un indicatore immediato di cattive pratiche di gestione dei dati.

La sottomissione sicura è fondamentale. L'unico metodo professionale è utilizzare un portale dedicato e criptato dove la parte richiedente può accedere al questionario e alle evidenze associate. Questo crea un log pulito e verificabile di ciò che è stato inviato, da chi e quando.

La sicurezza da sola non è sufficiente; la sottomissione deve anche essere utilizzabile per il revisore. Fornire semplicemente una cartella di file non ordinati crea lavoro inutile per l'auditor e riflette negativamente sui tuoi processi organizzativi. L'obiettivo è fornire un completo audit-ready export pack, tipicamente come PDF indicizzato o un file ZIP strutturato.

Questo pacchetto dovrebbe contenere:

• Un indice chiaro che mappa ogni domanda direttamente al relativo file di evidenza.
• Il questionario completato, con risposte che collegano all'evidenza.
• Tutte le evidenze di supporto, nominate e organizzate logicamente.
• Un export log che dettaglia quando il pacchetto è stato creato e il suo contenuto.

Questo approccio strutturato semplifica il processo di revisione dell'auditor e dimostra l'affidabilità dei tuoi sistemi interni. La nostra guida offre maggiori dettagli sulla preparazione e la gestione delle audit evidence per ambienti normativi esigenti. Quando la gestione delle evidenze è trattata come una disciplina di ingegneria, dimostra che la tua postura di sicurezza è operativa, non solo teorica.

Domande comuni sul processo DDQ

Nella gestione del rischio dei terzi, il questionario di due diligence è il punto in cui la teoria incontra la pratica. Di seguito sono riportate risposte a domande pratiche che i professionisti incontrano nel loro lavoro quotidiano.

Con quale frequenza dovremmo inviare un DDQ a un fornitore?

La frequenza di un DDQ dipende dal livello di rischio associato al fornitore.

Per fornitori critici—quelli che gestiscono dati sensibili o forniscono servizi essenziali—una revisione annuale è una baseline standard. Per fornitori a rischio inferiore, un ciclo biennale o triennale può essere sufficiente.

Tuttavia, un calendario fisso rappresenta un modello di governance obsoleto. La gestione del rischio moderna è guidata dagli eventi. Un nuovo DDQ dovrebbe essere attivato ogni volta che si verifica un evento significativo, come:

• Un incidente di sicurezza presso il fornitore.
• Cambiamenti importanti nei servizi che forniscono.
• Una fusione, acquisizione o altro cambiamento significativo nella loro struttura societaria.

Il monitoraggio continuo combinato con valutazioni guidate dagli eventi sta diventando il nuovo standard, assicurando che la tua comprensione della postura di sicurezza di un fornitore rimanga aggiornata.

Qual è la differenza tra un DDQ e un report SOC 2?

Questo è un punto di confusione frequente. Un DDQ e un report SOC 2 sono correlati ma servono funzioni diverse e non sono intercambiabili.

Un SOC 2 report è un audit indipendente condotto da un certified public accountant. Valida i controlli di un fornitore rispetto ai Trust Services Criteria dell'AICPA, fornendo un'opinione standardizzata di terza parte sul loro ambiente di controllo.

Un due diligence questionnaire (DDQ), al contrario, è un'indagine diretta della tua organizzazione verso il tuo fornitore. Ti permette di porre domande specifiche e mirate rilevanti per il tuo profilo di rischio e per i servizi esatti forniti.

Un SOC 2 report è un elemento critico di evidenza che dovresti richiedere come parte del tuo DDQ. Il DDQ stesso ti permette di sondare più a fondo aree che un audit generico potrebbe non coprire, come i tuoi requisiti specifici di gestione dei dati o la dipendenza del fornitore dai propri fornitori terzi (fourth-party risk).

Possiamo usare un unico DDQ standard per tutti i fornitori?

Usare un questionario standardizzato, come il CAIQ del Cloud Security Alliance o lo SIG di Shared Assessments, è una pratica efficace. Questi framework forniscono una solida baseline e introducono coerenza nel processo di valutazione dei fornitori.

Tuttavia, un approccio "one-size-fits-all" è un errore strategico.

L'approccio ottimale è iniziare con un set centrale e standardizzato di domande e poi integrarlo con moduli basati sul tier di rischio del fornitore. Un data processor ad alto rischio merita una revisione molto più dettagliata rispetto a un fornitore a basso rischio di beni commodity. L'obiettivo non è trattare tutti i fornitori in modo identico, ma assicurare che il livello di diligenza sia sempre commisurato al livello di rischio.