Molte imprese trattano ancora la due diligence su fornitori, agenti e consulenti come un adempimento a bassa intensità: un questionario firmato in fase di onboarding, archiviato e mai più consultato. È un approccio che la ISO 37001:2025 rende esplicitamente insufficiente, e che il D.Lgs. 231/2001 non ha mai davvero autorizzato: quando un agente, un consulente o un altro intermediario che opera nell’interesse o a vantaggio dell’ente commette un fatto corruttivo, la responsabilità amministrativa può ricadere sull’ente committente anche se la condotta materiale è stata di un terzo.
Cosa cambia con la ISO 37001:2025
La clausola dedicata alla due diligence — la 8.2 — è tra quelle su cui la revisione 2025 interviene in modo più sostanziale. La norma non si limita più a rinviare alla valutazione dei rischi generale (il precedente richiamo alla clausola 4.5 è stato rimosso): la due diligence sulle terze parti diventa un processo autonomo, da ripetere a cadenze predefinite anziché esaurirsi in una verifica iniziale, con tre note esplicative aggiunte a chiarimento dell’applicazione pratica.
Il cambio di impostazione è confermato in modo convergente da più organismi di certificazione: la verifica iniziale non è più sufficiente e va accompagnata da un monitoraggio continuativo nel tempo, con una valutazione del rischio corruttivo che si aggiorna insieme al rapporto commerciale invece di fotografarlo una sola volta all’ingresso. Si tratta di un allineamento all’approccio già maturo in altri ambiti di compliance (antiriciclaggio, sanzioni), dove la verifica periodica è prassi consolidata da tempo.
Il perimetro: chi va sottoposto a verifica
Uno degli equivoci più comuni è restringere la due diligence ai soli fornitori diretti. La ISO 37001 riferisce la due diligence ai “soci in affari” in senso ampio, e l’edizione 2025 ne rafforza i controlli: il perimetro comprende clienti, partner di joint venture, fornitori di servizi in outsourcing, appaltatori e subappaltatori, consulenti, distributori, agenti, rappresentanti, intermediari e, nei contesti più esposti, anche investitori e altri soci in affari. La classificazione del rischio determina l’intensità della verifica: non tutte le terze parti richiedono lo stesso livello di approfondimento, ma tutte richiedono una decisione motivata sul livello assegnato.
Il fondamento nel D.Lgs. 231/2001
La due diligence sulle terze parti non nasce con la ISO 37001:2025: le Linee Guida di Confindustria per la costruzione dei Modelli 231 la indicano da tempo come una delle modalità operative di gestione del rischio, sotto forma di verifica reputazionale ed economico-finanziaria di partner commerciali, dipendenti e collaboratori coinvolti in un rapporto di affari. L’obiettivo dichiarato è individuare, prima di instaurare o proseguire una relazione, la presenza di fattori critici che possano tradursi nella commissione di un reato-presupposto.
Il punto è spesso frainteso: il Modello 231 non è “adeguato” per il solo fatto di esistere sulla carta. Se un’impresa affida la gestione di rapporti con la Pubblica Amministrazione, la selezione di fornitori o l’intermediazione commerciale a soggetti mai sottoposti a una verifica reputazionale, e da quel rapporto nasce un fatto corruttivo, l’assenza di un sistema di due diligence documentato può pesare nella valutazione giudiziale dell’idoneità del Modello a prevenire proprio quel tipo di reato. È lo stesso principio per cui i sistemi di selezione di personale, fornitori e consulenti — richiamati anche da altre linee guida di categoria — vengono raccomandati come presidio operativo dell’Organismo di Vigilanza, in coordinamento con le funzioni aziendali competenti.
Il confronto internazionale: il modello del UK Bribery Act
Il quadro italiano trova un termine di paragone utile nel Bribery Act 2010 britannico, la cui guidance ministeriale del marzo 2011 individua sei principi per la difesa delle “adequate procedures”: procedure proporzionate al rischio, impegno del vertice aziendale, valutazione periodica del rischio, due diligence sui soggetti associati, comunicazione e formazione, monitoraggio e revisione. La due diligence vi compare come principio autonomo, non come sotto-voce della valutazione del rischio — la stessa impostazione ora fatta propria dalla ISO 37001:2025 — proprio perché la giurisprudenza e la prassi regolatoria internazionale hanno riconosciuto che una verifica specifica sugli intermediari riduce il rischio corruttivo in modo che la sola policy generale non riesce a intercettare.
Le tre fasi del processo di due diligence
Al di là del quadro normativo, un processo di due diligence anticorruzione strutturato si articola tipicamente in tre fasi.
Raccolta delle informazioni. Anagrafica della controparte, assetto proprietario e identificazione del beneficiario effettivo (non solo della ragione sociale, ma delle persone fisiche che la controllano), storicità dell’eventuale rapporto pregresso, area geografica e settore di operatività.
Analisi. Riscontro su liste di sanzioni economiche e finanziarie, banche dati di persone politicamente esposte (PEP), verifiche reputazionali su fonti aperte (adverse media), tipicamente in italiano e in inglese, valutazione del rischio-paese. La sola verifica anagrafica sull’entità non è sufficiente: l’identificazione del beneficiario effettivo resta, nella pratica, uno degli aspetti più difficili da ricostruire con i soli dati di registro, e va trattata come un accertamento a sé, non come un sottoprodotto automatico dello screening.
Elaborazione dei risultati. Un report che documenti gli esiti, evidenzi le eventuali red flag individuate e traduca la verifica in una decisione motivata: procedere, procedere con misure di mitigazione (ad esempio una clausola contrattuale rafforzata o un monitoraggio più frequente), oppure non instaurare il rapporto. Anche la decisione di non effettuare una due diligence su una specifica controparte, se presa consapevolmente in base al profilo di rischio, va motivata e documentata.
Due livelli di approfondimento: Standard ed Enhanced
Nella pratica è utile distinguere due livelli di intensità, proporzionati al rischio classificato in fase di valutazione preliminare. Uno screening Standard copre la verifica documentale di base, l’analisi reputazionale su fonti aperte e la valutazione del rischio-paese: è il livello adeguato per la maggior parte delle terze parti a rischio ordinario. Una due diligence Enhanced si attiva sui soggetti ad alto rischio — terze parti operanti in giurisdizioni ad alto rischio corruttivo, intermediari con poteri di rappresentanza verso la Pubblica Amministrazione, soggetti con assetti proprietari opachi — e prevede un approfondimento con analisi open source avanzata e, dove necessario, verifiche mirate sul beneficiario effettivo e sui suoi collegamenti.
La clausola anticorruzione nei contratti
Una prassi ormai diffusa tra i gruppi industriali che gestiscono un programma di terze parti strutturato prevede l’inserimento sistematico di una clausola anticorruzione nei contratti con fornitori, agenti e intermediari, che vincoli la controparte al rispetto delle normative anticorruzione applicabili e preveda conseguenze contrattuali in caso di violazione. Quando circostanze specifiche non consentono la sottoscrizione di un contratto scritto formale, è comunque opportuno raccogliere un’attestazione della controparte in tal senso prima di instaurare il rapporto. La clausola non sostituisce la due diligence, ma ne è il naturale completamento contrattuale: senza una verifica preliminare documentata, la clausola resta una tutela solo formale.
Un ambito distinto ma convergente: la due diligence di sostenibilità
Le imprese di maggiori dimensioni devono tenere presente un secondo fronte, distinto dalla due diligence anticorruzione ma con logiche di verifica della catena di fornitura per certi versi convergenti: la Corporate Sustainability Due Diligence Directive (CSDDD, Direttiva UE 2024/1760), che impone obblighi di due diligence su impatti ambientali e diritti umani lungo la catena del valore alle imprese di dimensioni molto elevate. Il percorso di recepimento ha subito più rinvii nel corso del 2025 e del 2026 attraverso il pacchetto di semplificazione “Omnibus”, e i termini definitivi di applicazione sono ancora in evoluzione: le imprese soggette a soglie dimensionali minori restano fuori dal perimetro diretto, ma è opportuno seguirne gli sviluppi se si opera nella catena di fornitura di un grande gruppo, che potrebbe scaricare contrattualmente requisiti analoghi anche sui fornitori di dimensioni inferiori.
Sette verifiche da fare subito
Una diagnosi rapida sullo stato del proprio sistema di due diligence sulle terze parti:
- Le terze parti sono classificate per livello di rischio, con un criterio scritto e non lasciato alla discrezionalità del singolo referente commerciale?
- La verifica include l’identificazione del beneficiario effettivo, o si ferma alla ragione sociale della controparte?
- Sono effettuati controlli su liste sanzionatorie, elenchi PEP e fonti aperte reputazionali, e non solo una richiesta documentale alla controparte?
- La due diligence iniziale è seguita da un aggiornamento periodico, o si esaurisce alla firma del contratto?
- I contratti con fornitori, agenti e intermediari includono una clausola anticorruzione?
- Le eventuali red flag emerse durante la verifica sono documentate, valutate formalmente e collegate a una decisione motivata?
- Il sistema di due diligence è richiamato nel Modello 231 e coordinato con l’Organismo di Vigilanza e con la funzione compliance?
Se anche una sola risposta è incerta, il sistema di controllo sulle terze parti non è ancora al livello richiesto dalla ISO 37001:2025 — e, per gli enti dotati di Modello 231, la lacuna può pesare proprio nel momento in cui l’idoneità del Modello viene messa alla prova.
Parliamo della due diligence sulle tue terze parti
GB Consulting supporta le organizzazioni nella due diligence anticorruzione su fornitori, agenti, distributori e altre terze parti, con due livelli di intervento — screening Standard ed Enhanced — e nel coordinamento del processo con il Modello 231 e con il sistema di gestione anticorruzione ISO 37001:2025.
Contattaci per una valutazione preliminare senza impegno.