Il problema di molti acquisti SaaS non nasce quando firmi. Nasce mesi dopo, quando il provider smette di rispondere come promesso, cambia le condizioni, complica l'export dei dati o scarica su di te responsabilità che pensavi fossero sue. A quel punto il prezzo basso iniziale sparisce. Restano il fermo operativo, il rischio legale e il costo di uscita.
Chi guida una PMI lo sa bene. La demo commerciale è sempre pulita, il contratto molto meno. E quando il fornitore tocca dati, processi critici o flussi di vendita, una scelta sbagliata non resta confinata all'IT. Entra in amministrazione, compliance, customer care e continuità operativa.
Parlo da imprenditore che ha visto dispute concrete con provider poco chiari su GDPR, fatturazione europea, supporto reale e modifiche unilaterali dei termini. La lezione è semplice: la provider due diligence non è una formalità da procurement. È il modo con cui valuti se un fornitore può diventare un punto di forza o un rischio strutturale.
Qui trovi un framework pratico per leggere un provider come leggeresti un socio. Non solo prezzo e funzionalità, ma contratto, sicurezza, operatività, portabilità e monitoraggio continuo.
Il sito è giù nel giorno peggiore possibile. Gli ordini si bloccano, il team commerciale scrive su tre canali diversi, il customer care non sa cosa dire ai clienti. Apri il ticket “prioritario” al tuo provider SaaS e ricevi una risposta automatica. Nessun tecnico, nessuna escalation chiara, nessun tempo reale di risoluzione.
È in quel momento che capisci cosa hai comprato davvero.
Non hai comprato solo un servizio. Hai comprato il modo in cui quel fornitore gestisce incidenti, responsabilità, dati, contratto e uscita. Se non hai verificato questi aspetti prima, hai accumulato debito operativo. Non si vede in demo, non compare nel listino, ma arriva tutto insieme quando il fornitore non regge.
Quando un provider fallisce in un momento critico, il problema non è tecnico soltanto. Diventa commerciale, legale e reputazionale nello stesso giorno.
Molti imprenditori trattano la provider due diligence come un passaggio amministrativo. Controllano il prezzo, due funzionalità, magari una certificazione in homepage, poi firmano. È un errore comune. Le domande decisive sono altre: chi risponde dei dati, dove stanno, come si esportano, chi ti assiste davvero, cosa succede se il provider cambia proprietà o cambia i termini del contratto.
La parte scomoda è che queste domande rallentano la trattativa. La parte utile è che ti evitano mesi di problemi dopo.
La provider due diligence serve a capire quale pezzo di rischio stai comprando insieme al servizio. Il punto non è raccogliere documenti per stare tranquilli in fase di firma. Il punto è stimare, prima, quanto ti costerà davvero quel fornitore se qualcosa si inceppa, se cambia assetto societario, se il supporto non regge o se un domani devi uscire in fretta.
Chi ha già gestito una migrazione forzata o un incidente mal governato lo sa bene. Il problema raramente resta confinato al fornitore. Entra nei processi interni, blocca il commerciale, assorbe ore del team tecnico, apre dubbi legali e trasforma un canone apparentemente conveniente in debito operativo nascosto.
Per questo una due diligence seria lavora su quattro piani concreti:
Regola pratica: se il fornitore tocca dati, pagamenti, customer service o un processo critico, la due diligence va trattata come controllo di continuità aziendale, non come pratica amministrativa.
Nel contesto italiano la sottovalutazione costa ancora di più, perché la filiera è fatta in larga parte di imprese piccole e medie, spesso molto dipendenti da terze parti. Le PMI rappresentano il 99,9% delle imprese attive e occupano circa il 76,5% degli addetti del settore privato, secondo i dati riportati dal Ministero delle Imprese e del Made in Italy. In un sistema così, il rischio del fornitore si propaga rapidamente al cliente.
C'è poi un errore ricorrente. Molte aziende valutano un provider senza aver chiarito prima che cosa stanno acquistando davvero: infrastruttura, piattaforma, software applicativo, o una combinazione dei tre. Se vuoi impostare bene questa analisi già a monte, conviene partire dalle differenze servizi cloud.
Sottovalutare la provider due diligence significa trattare un partner commerciale come una voce di spesa. È qui che nascono i problemi che nessuno cita nel pitch: processi interni adattati male al fornitore, dipendenze tecniche difficili da rimuovere, responsabilità che scopri solo dopo un incidente e costi di uscita che arrivano quando hai meno margine per negoziare.
Una valutazione fatta bene riduce sorprese. Una valutazione fatta male le rimanda soltanto.
La maggior parte dei problemi seri non nasce da una falla tecnica. Nasce da una clausola letta in ritardo. Il contratto ti dice chi controlla il gioco quando qualcosa si rompe.
Quando valuti un provider, il prezzo è l'ultima cosa da guardare. Prima viene il perimetro giuridico del rapporto.
Parti da queste aree:
Molti imprenditori leggono il contratto come un documento difensivo del provider. È corretto. Per questo va letto come una mappa dei suoi incentivi.
In riunione commerciale conviene essere diretti. Non serve parlare da legale. Serve parlare da azienda che vuole evitare costi nascosti.
Prova con domande così:
Il contratto buono non è quello che promette tutto. È quello che lascia pochi spazi ambigui quando la relazione si deteriora.
Una red flag classica è il provider che risponde bene alle domande commerciali e male a quelle di uscita. Un'altra è il DPA standard che esiste, ma non chiarisce davvero responsabilità, trasferimenti e tempi. Se oggi lavori con dati, automazioni o sistemi decisionali, vale la pena leggere anche il tema del European AI Act per le PMI, perché spinge molte aziende a formalizzare in modo più rigoroso governance, tracciabilità e ruolo dei fornitori.
Un ultimo criterio pratico. Se il fornitore considera fastidiose le tue domande su dati, responsabilità e portabilità, sta già dicendo qualcosa sul tipo di rapporto che avrai dopo la firma.
Un badge di conformità aiuta. Non basta. Una certificazione dice che esiste un sistema di controllo. Non ti dice, da sola, se quel provider è adatto al tuo contesto, ai tuoi dati e alla tua esposizione operativa.
I framework di vendor management raccomandano di raccogliere questionnaire di rischio, report finanziari, certificazioni come ISO 27001 e SOC 2, e di classificare i fornitori per criticità. Per i fornitori ad alto rischio si aggiungono audit on-site e review dell'attack surface esterna, come sintetizza Mitratech nella guida sulla vendor due diligence.
Questo punto cambia il modo di valutare un fornitore. La domanda non è “ha una certificazione?”. La domanda è “quale evidenza operativa mi mostra oltre alla certificazione?”.
Per esempio, ha senso chiedere:
AreaCosa chiederePerché contaHostingRegione di residenza dei dati e subfornitori infrastrutturaliIncide su giurisdizione e complianceBackupPolitiche, frequenza, verifica del ripristinoIl backup non testato è solo una speranzaAccessiControlli sugli account privilegiatiRiduce rischio interno e abusoIncident responseProcesso documentato di gestione incidenteTi dice chi fa cosa sotto pressioneVulnerabilitàEvidenze di review della superficie espostaServe a capire quanto è visibile e attaccabile il provider
La giurisdizione dei dati conta più di quanto molti credano. Se il provider ospita o trasferisce dati fuori dal perimetro che avevi dato per scontato, cambiano obblighi, valutazioni e spesso anche il modo in cui gestisci incidenti e richieste formali.
Poi c'è la parte meno glamour e più concreta. Backup e disaster recovery. Non limitarti a chiedere se esistono. Chiedi come vengono verificati, come vengono documentati e chi interviene in caso di corruzione dei dati o indisponibilità del servizio.
In parallelo, osserva la qualità reputazionale del soggetto con cui stai trattando. In alcuni settori ad alto rumore, controllare segnali pubblici di vigilanza o allerta è una misura di igiene minima. Un esempio utile è la lista nera truffe criptovalute, che mostra bene perché screening reputazionale e verifica esterna non siano un vezzo, ma una protezione di base quando il provider opera in aree sensibili o opache.
Se un fornitore ti mostra solo PDF patinati e nessuna prova di come gestisce incidenti, backup, accessi e vulnerabilità, stai valutando marketing, non sicurezza.
La vera qualità di un provider si vede quando hai urgenza e poco margine. Non nella demo. Non nella proposta commerciale. Non nella pagina “enterprise”.
Il supporto va testato prima di diventare cliente. È un passaggio che quasi nessuno fa.
Puoi farlo in modo semplice:
Un provider affidabile non si offende se fai queste domande. Le considera normali.
Il supporto eccellente non è quello che risponde in fretta quando tutto funziona. È quello che prende in carico un problema sporco, lo sa escalare e ti lascia traccia scritta delle decisioni.
Qui si nasconde la parte più ignorata della provider due diligence. Il lock-in.
Una due diligence tecnica efficace deve includere la scansione del codice e delle dipendenze per costruire un inventario completo di software di terze parti, relazioni tra dipendenze e licenze open source, oltre alla verifica di architettura, API e database per misurare il rischio di debito tecnico e lock-in, come spiega FOSSA nella guida sulla technical due diligence.
Tradotto in linguaggio imprenditoriale, devi capire tre cose:
Se il provider rende facile entrare e difficile uscire, non hai una partnership. Hai un vincolo.
Sul fronte continuità, vale anche la pena chiarire come il fornitore ragiona su ripristino e perdita dati. Se vuoi una base operativa per valutare questi scenari, trovi un buon punto di riferimento in ELECTE sulla gestione RTO e RPO.
Un criterio semplice aiuta molto: prima di firmare, chiedi una procedura di offboarding scritta. Se non esiste, il costo di uscita è quasi certamente più alto di quanto immagini.
Il problema delle checklist è che fotografano il fornitore in un giorno preciso. Il rischio, invece, cambia continuamente.
Una lacuna frequente nella provider due diligence è proprio questa: quasi tutti spiegano cosa chiedere al provider, pochi spiegano come ricalcolare il suo rischio nel tempo. Eppure il contesto lo richiede. Il rapporto Clusit 2025 segnala che nel 2024 gli attacchi informatici contro obiettivi italiani sono stati 357, in aumento rispetto ai 310 del 2023, con il 79% di gravità alta o critica. Inoltre, le violazioni legate a terze parti costano in media oltre 370.000 dollari in più rispetto a quelle interne, come riporta SecurityScorecard nella sua checklist per i service provider.
Questo cambia la logica di controllo. Non basta approvare il provider all'ingresso. Devi decidere quali fornitori richiedono più attenzione e quali segnali fanno scattare una rivalutazione.
Un approccio basato sul rischio parte da una classificazione interna. Non tutti i fornitori sono uguali. Conta almeno:
Da lì puoi costruire una vigilanza utile, anche con strumenti di analisi dati: dashboard sugli SLA, tracking dei ticket critici, alert su cambi di documentazione, variazioni nei subfornitori, anomalie nelle performance o negli eventi di sicurezza.
Un fornitore non diventa rischioso solo quando subisce un incidente. Diventa rischioso quando i segnali deboli si accumulano e nessuno li legge insieme.
Per una PMI, questo è il punto in cui i dati diventano governance pratica. Non per fare burocrazia migliore, ma per reagire prima.
La checklist serve a una cosa sola: capire se stai scegliendo un fornitore che sostiene il business o uno che ti lascia in eredità debito operativo, attriti legali e un'uscita costosa. Se il documento non ti aiuta a dire no, non è una checklist utile.
Qui si evita il tipo di problema che emerge solo dopo la firma.
Qui contano le prove. Le certificazioni aiutano, ma non spiegano come il provider lavora sotto pressione.
Molti errori nascono qui, non nel contratto.
L'errore più comune è fermarsi alla fase di selezione. Il rischio vero emerge dopo, quando il supporto peggiora, i subfornitori cambiano, le esportazioni si rivelano inutilizzabili o una modifica di policy sposta su di te attività che credevi incluse. È lì che compaiono i costi di secondo ordine.
Se vuoi condensare tutto in una regola pratica, usa questa: valuta il provider come valuteresti un socio operativo. Deve reggere un incidente, una contestazione legale e una separazione ordinata. Se non sai come uscire, non hai controllato abbastanza.
Se vuoi trasformare i dati su fornitori, SLA, incidenti e performance in un sistema di monitoraggio continuo, ELECTE, un'AI-powered data analytics platform per SMEs, aiuta a raccogliere segnali dispersi e convertirli in insight utili per decisioni più rapide e meglio documentate. È un modo concreto per passare dalla due diligence episodica a una vigilanza operativa più matura.
.svg)
.svg)
.svg)
