Rapporti con i fornitori: guida pratica ISO 42001 con esempi
Come valutare, contrattualizzare e monitorare i fornitori di componenti e servizi di IA: requisiti del controllo A.10.3, esempi pratici e un estratto di procedura pronto per l'audit interno.
Cosa prevede il punto A.10.3
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.10.3, che chiede di allineare i rapporti con i fornitori agli obiettivi del sistema di gestione per l'IA: selezione qualificata, clausole contrattuali, verifica dei requisiti di sicurezza ed etica e monitoraggio continuo delle prestazioni.
Il controllo riguarda chiunque acquisti dati, modelli, API, infrastrutture cloud o servizi di sviluppo con IA. Per Azienda Italiana S.p.A. significa governare sia il fornitore del motore linguistico del chatbot di assistenza clienti sia la piattaforma esterna che esegue lo screening dei CV, con responsabilità e flussi informativi documentati.
A.10.3 si collega ad A.10.2 (assegnazione delle responsabilità), che stabilisce chi segue i fornitori, e ad A.10.4 (rapporti con i clienti), che chiude la catena del valore. Si intreccia inoltre con la valutazione dei rischi (A.5), la gestione dei dati (A.7) e il programma di audit interno, che ne verifica le evidenze.
In sintesi, la norma vuole vedere:
- Registro fornitori IA approvato e aggiornato
- Clausole IA nei contratti di fornitura
- Valutazione dei rischi per ogni fornitore
- Monitoraggio di prestazioni e incidenti
- Evidenze di audit interno sui fornitori
Esempio di controllo tecnico per il punto A.10.3
Azienda Italiana S.p.A. acquista da un fornitore esterno il motore linguistico del chatbot di assistenza clienti. Prima del rinnovo, Ufficio Acquisti e AI Manager compilano una scheda di valutazione: origine dei dati di addestramento, conformità privacy, livelli di servizio, diritto di audit e piano di uscita. Il contratto viene integrato con clausole che obbligano il fornitore a notificare incidenti e cambi di modello entro cinque giorni.
Controllo tecnico collegato: per lo screening dei CV, il sistema interroga via API una piattaforma di IA esterna. L'integrazione passa da un gateway che registra versioni del modello e risposte, così ogni deriva o bias sospetto è ricondotto al rilascio del fornitore. I log alimentano il riesame trimestrale dei fornitori e le evidenze per l'audit interno.
Mappatura del controllo A.10.3 sui fornitori
| Elemento | Applicazione in Azienda Italiana S.p.A. |
|---|---|
| Oggetto | Motore linguistico del chatbot e piattaforma di screening CV, entrambi in fornitura esterna |
| Evidenza attesa | Registro fornitori, schede di qualifica, contratti con clausole IA e report di riesame |
| Frequenza | Qualifica a ogni nuovo contratto, monitoraggio trimestrale, riesame annuale completo |
| Ruolo guida | AI Manager, con Ufficio Acquisti e Responsabile IT per la parte tecnica |
| Collegamenti | A.10.2 responsabilità, A.10.4 clienti, A.5 rischi, A.7 dati, audit interno |
Nota: questa guida pratica consiglia di trattare come fornitore anche chi fornisce soltanto dati o modelli pre-addestrati.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.10.3
Questa guida pratica propone un estratto della procedura con cui Azienda Italiana S.p.A. disciplina la gestione dei fornitori di sistemi e servizi di IA.
Procedura gestione fornitori IA
Metodo
Qualifica iniziale, contrattualizzazione con clausole IA, monitoraggio in esercizio, riesame periodico e uscita presidiata. Ogni passaggio produce evidenze registrate nel registro fornitori e disponibili per l'audit interno.
Estratto
| Fase | Attività | Evidenza |
|---|---|---|
| Qualifica | Scheda di valutazione su rischi, dati di addestramento e sicurezza | FOR-AI-04 compilata |
| Contratto | Clausole su notifica incidenti, diritto di audit e uso dei dati | Contratto integrato |
| Attivazione | Verifica delle configurazioni e dei limiti d'uso dei dati | Verbale di avvio |
| Esercizio | KPI di servizio, log delle versioni e segnalazioni di incidenti | Report trimestrale |
| Riesame | Valutazione annuale delle prestazioni e rinnovo della qualifica | Aggiornamento FOR-AI-05 |
| Uscita | Piano di migrazione e cancellazione dei dati trattati | Checklist di chiusura |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| AI Manager | Approva qualifica e riesame dei fornitori IA |
| Ufficio Acquisti | Gestisce contratti e clausole di fornitura |
| Responsabile IT | Verifica integrazioni tecniche, gateway e log |
| Internal Auditor | Campiona le evidenze durante l'audit interno |
Checklist operativa
| Verifica | Esito |
|---|---|
| Il fornitore è censito nel registro FOR-AI-05 | Sì / No |
| Le clausole IA sono presenti nel contratto | Sì / No |
| I KPI trimestrali risultano registrati | Sì / No |
| Esiste un piano di uscita documentato | Sì / No |
Esito
Fornitura conforme ai requisiti dell'AIMS: chatbot di assistenza clienti e screening dei CV dipendono da fornitori qualificati, contrattualizzati con clausole IA, monitorati in esercizio e pronti alla verifica documentale in audit interno.
Le domande dell'audit interno sul punto A.10.3
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.10.3
Dott. Valerio Bellini
«Il fornitore non è mai una scusa: la responsabilità dell'AIMS resta in casa, quindi le clausole servono a renderla esigibile, non a spostarla altrove.»
«In audit interno chiedo registro, contratti e riesami: in audit interno, se manca la scheda di valutazione del fornitore, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Fornitori fuori registro: Servizi IA attivi non censiti nel registro FOR-AI-05.
- Contratti senza clausole IA: Mancano notifica incidenti e diritto di audit.
- Valutazione solo economica: La scelta ignora rischi su dati, bias e sicurezza.
- Nessun monitoraggio in esercizio: Riesami trimestrali assenti o privi di evidenze.
- Audit interno che salta i fornitori: Il programma annuale non campiona alcun fornitore.