# Software per il Third Party Risk Management (TPRM) > SwissGRC® offre un modulo software per il Third Party Risk Management. Censisce fornitori e servizi, li classifica per criticità e li monitora lungo l'intero ciclo di vita, dall'onboarding all'uscita. Si rivolge a compliance, procurement, sicurezza e audit. - URL: https://swissgrc.com/it/software-tprm-gestione-rischi-terze-parti/ - Editore: SwissGRC® - Pubblicato: 2025-06-11 - Ultimo aggiornamento: 2026-09-25 ## Punti chiave - Il modulo TPRM della SwissGRC® Platform collega fornitori, servizi, contratti, rischi e controlli in un unico registro con valutazioni dotate di workflow, scadenza ed evidenze. - Il ciclo di vita comprende cinque fasi principali: onboarding e censimento, valutazione e classificazione, monitoraggio continuo, reporting automatizzato, azioni e uscita. - Le cinque fasi si articolano in nove fasi operative, ciascuna con un responsabile, una scadenza e un output documentato presentabile a un revisore. - Il modulo è collegato a fonti di dati esterne come Prospero, SecurityScorecard, BitSight e Synesgy di CRIF, così le valutazioni non si basano solo sull'autodichiarazione. - Il Third-Party Intelligence Center verifica ogni terza parte su sanzioni, PEP e adverse media con uno screening basato sull'IA su tre livelli e attiva una due diligence più approfondita solo se un segnale lo giustifica. - Il modulo si basa sulle aspettative regolamentari in materia di outsourcing, tra cui DORA art. 28-30, la Circ. FINMA 2018/3, le linee guida EBA e ISO/IEC 27036. Gestione dei rischi di terze parti # Conosce le sue terze parti. Conosce le sue dipendenze? Censisca fornitori e prestatori di servizi, li classifichi per criticità, li monitori in modo continuo e ne documenti i risultati con evidenze a supporto: Swiss GRC rende gestibile il rischio di terze parti. **Lungo l'intero ciclo di vita**, dall'onboarding all'uscita. Richieda una demo Scopra come funziona La fiducia delle organizzazioni leader Il punto cruciale ## Da un elenco di fornitori a un portafoglio pilotabile Ogni organizzazione dispone di un registro dei contratti. Ciò che le differenzia è se questo registro si traduce in un quadro dei rischi ancora valido oggi. Il punto di partenza più comune ### Contratti conosciuti, rischi stimati I fornitori sono elencati in fogli di calcolo, i questionari tornano via posta, le revisioni avvengono al rinnovo del contratto. Chi dipende da chi emerge solo in caso di interruzione del servizio. - Elenco fornitori in fogli di calcolo, servizi non assegnati - Questionari via posta, risposte senza evidenze - Valutazione all'ingresso, nessuna rivalutazione successiva - Concentrazioni e subappaltatori invisibili Con la SwissGRC® Platform ### Un registro che resta aggiornato Fornitori, servizi, contratti, rischi e controlli sono collegati tra loro. Le valutazioni hanno scadenze, i segnali esterni vengono acquisiti, i rilievi diventano azioni. - Fornitori e servizi collegati in un unico registro - Valutazioni con workflow, scadenza ed evidenze - Monitoraggio continuo invece di una fotografia puntuale - Esternalizzazioni critiche documentabili in qualsiasi momento Come funziona ## Cinque fasi, un ciclo chiuso Dalla prima richiesta all'azione, e da lì di nuovo alla valutazione successiva. Scelga una fase. Continuo, non occasionale 01*/05* Onboarding e censimento *Fasi*Definizione del perimetro*·*Identificazione*·*Classificazione dell'esternalizzazione ### Ogni terza parte censita, ogni servizio assegnato Fornitori, prestatori di servizi e i relativi servizi entrano nel registro attraverso un percorso di richiesta guidato. La suddivisione per livelli, in base a categoria di servizio, area geografica e criticità, avviene lungo il percorso, non mesi più tardi. Veda tutte le fasi 1. Inventario centrale dei fornitori di servizi e dei servizi 2. Percorso guidato di richiesta e approvazione 3. Definizione del perimetro e identificazione 4. Classificazione dell'esternalizzazione 5. Collegamento a contratti e responsabili 6. Importazione degli elenchi fornitori esistenti 02*/05* Valutazione e classificazione *Fasi*Analisi dei rischi*·*Due diligence ### Dal rischio inerente alla criticità comprovata Sicurezza, conformità, continuità operativa e stabilità finanziaria in un unico set di questionari. Le risposte generano un profilo di rischio per fornitore e per servizio, non solo per contratto. Vedi tutte le fasi 1. Analisi e valutazione dei rischi 2. Due diligence completa 3. Questionari con autoattestazione del fornitore 4. Valutazione per servizio e per fornitore 5. Esternalizzazioni critiche identificate 6. Collegata a rischi e controlli 03*/05* Monitoraggio continuo *Fasi*Monitoraggio*·*Gestione dei contratti ### Lo stato di rischio non invecchia Segnali esterni e scadenze interne confluiscono in un unico quadro. Se il rating cyber, la situazione sanzionatoria o la posizione finanziaria di un fornitore cambiano, il registro lo segnala automaticamente. Vedi lo screening 1. Revisione continua dello stato di rischio 2. Fonti di dati esterne collegate 3. Avvisi sui cambiamenti critici 4. Rivalutazioni ricorrenti per livello di rischio 5. Termini contrattuali e scadenze sotto controllo 6. Rivalutazioni pianificate e documentate 04*/05* Reporting automatizzato *Fasi*Reporting*·*Analisi ### Pronti per l'audit senza una settimana di preparazione Portafoglio, concentrazioni ed esternalizzazioni critiche in un'unica analisi. Ciò che le autorità di vigilanza vogliono vedere è già raccolto, non ancora da assemblare. Guarda dentro il prodotto 1. Cruscotti su performance e rischio 2. Analisi per autorità di vigilanza e audit 3. Vista sulle concentrazioni e sulle dipendenze 4. Registro delle informazioni sulle esternalizzazioni critiche 5. Reporting per unità e per fornitore 6. Evidenze con data e responsabile 05*/05* Azioni e uscita *Fasi*Azioni*·*Pianificazione dell'uscita e della transizione ### I rilievi si trasformano in azioni Ogni rilievo genera un'azione con un responsabile e una scadenza. E quando un rapporto termina, l'uscita è già pianificata prima che sia necessaria. Richiedi una demo 1. Azioni con responsabile e scadenza 2. Assegnazione automatica dei compiti 3. Escalation in caso di ritardo 4. Pianificazione dell'uscita e della transizione 5. Alternative e dipendenze documentate 6. Efficacia delle azioni comprovata All'interno del prodotto ## Quello che vede per primo al mattino Nessun percorso di clic tra i menu: tre viste che rispondono in pochi secondi allo stato del suo portafoglio di terze parti. ![Viste del modulo TPRM della piattaforma SwissGRC: cruscotto dei rischi, catalogo dei servizi e valutazione della criticità](https://swissgrc.com/wp-content/uploads/2025/04/Isometric-screenshots-net-background.png) 01 #### Il portafoglio in un colpo d'occhio Numero di fornitori critici, distribuzione delle classi di rischio e verifiche in corso, aggregati sull'intero registro. 02 #### Servizi, non solo fornitori Il registro mostra quale servizio dipende da quale fornitore e quale processo aziendale dipende a sua volta da esso. 03 #### Criticità e conformità Stato, criticità e valutazione di conformità affiancati per ciascun servizio, filtrabili per unità e regione. Collegata a **fonti di dati esterne** affinché le valutazioni non si basino unicamente sull'autodichiarazione. I segnali provenienti da queste fonti alimentano il monitoraggio delle sue terze parti. ![Prospero](https://swissgrc.com/wp-content/uploads/2025/07/Prospero-Logo-pos-rgb.png) Analisi predittiva e supporto decisionale basati sull'intelligenza artificiale. ![SecurityScorecard](https://swissgrc.com/wp-content/uploads/2025/04/SecurityScorecard.png) Valutazione sistematica della postura di cybersicurezza dei fornitori di servizi. ![BitSight](https://swissgrc.com/wp-content/uploads/2025/07/Bitsight-Logo.png) Analisi e valutazione del rischio informatico basate su segnali esterni. ![Synesgy di CRIF](https://swissgrc.com/wp-content/uploads/2023/12/criflogo.png) Synesgy di CRIF, specializzata nei rating ESG delle aziende. Il ciclo di vita nel dettaglio ## Nove fasi, nove output documentati Le cinque fasi principali si articolano in nove fasi operative. Ciascuna ha un responsabile, una scadenza e un output presentabile a un revisore. Tappa 1 . fasi 01-03 Censimento e delimitazione del perimetro Chi rientra effettivamente nel quadro? 1. #### Inventario di terze parti e servizi Fornitori, prestatori di servizi e relative prestazioni registrati in modo centralizzato e collegati a responsabili, contratti e rischi associati. *Output***Registro dei fornitori e dei servizi**, sempre disponibile per il reporting 2. #### Delimitazione del perimetro e identificazione Definire il perimetro del third-party risk management e identificare i fornitori e i servizi rilevanti. *Output***Perimetro documentato** con relativa motivazione 3. #### Classificazione degli outsourcing Categorizzare gli outsourcing e distinguere quelli rilevanti da quelli non rilevanti sulla base di criteri documentati. *Output***Valutazione di rilevanza (materiality assessment)** per ogni outsourcing Tappa 2 . fasi 04-06 Valutazione e contratto Quanto è davvero elevato il rischio? 1. #### Analisi e valutazione del rischio Determinare il profilo di rischio per fornitore e per servizio, sia intrinseco sia dopo l'effetto dei controlli concordati. *Output***Profilo di rischio lordo e netto** per servizio 2. #### Due diligence approfondita Esaminare le prassi operative, gli standard di conformità e di sicurezza dei fornitori, con questionario, evidenze e approvazione. *Output***Fascicolo di due diligence** corredato di evidenze 3. #### Gestione contrattuale Monitorare le clausole contrattuali, i termini di disdetta e gli obblighi concordati, individuando tempestivamente le lacune. *Output***Quadro contrattuale** con scadenze e obblighi Tappa 3 . fasi 07-09 Operatività e cessazione Il controllo resta effettivo nel tempo? 1. #### Monitoraggio continuo Mantenere aggiornato lo stato del rischio, integrare i segnali esterni e reagire agli scostamenti anziché attendere il rinnovo contrattuale. *Output***Stato di rischio aggiornato** e relativi alert generati 2. #### Reporting e analisi Performance e rischio dei fornitori in cruscotti dedicati, calibrati per l'unità organizzativa, per l'audit interno e per il consiglio di amministrazione. *Output***Report per il consiglio di amministrazione e gli organi di vigilanza**, disponibile su richiesta 3. #### Pianificazione dell'uscita e della transizione Pianificare le uscite in modo strutturato, documentare le alternative e gestire le transizioni senza interruzioni operative. *Output***Piano di uscita** con fasi di transizione e alternative Basato sulle **aspettative regolamentari in materia di outsourcing**, dal test di rilevanza fino alla raccolta delle evidenze. DORA art. 28-30 Circ. FINMA 2018/3 Linee guida EBA ISO/IEC 27036 Third-Party Intelligence Center Screening basato sull'IA per l'intero registro Copertura ampia, profondità mirata: l'Intelligence Center verifica ogni terza parte su sanzioni, PEP e adverse media ed effettua l'escalation verso una due diligence più approfondita solo laddove un segnale lo giustifichi. **Tier 1**Scansione rapida **Tier 2**Dodici categorie di rischio **Tier 3**Rete e quarte parti [Scopri l'Intelligence Center](https://swissgrc.com/it/third-party-intelligence/) Chi ne beneficia ## Per chi il nostro modulo TPRM fa la differenza Il rischio di terze parti riguarda contemporaneamente più funzioni. Ogni ruolo dispone della propria vista, ma tutti lavorano sullo stesso registro e pongono la stessa domanda una sola volta. #### Compliance Monitora i requisiti in materia di sanzioni e anticorruzione per ogni fornitore ed evita relazioni commerciali a rischio prima che vengano avviate. #### ESG Integra i criteri ambientali, sociali e di governance nella valutazione dei fornitori e monitora le variazioni tramite fonti esterne. #### Procurement e gestione fornitori Accelera l'inserimento di nuovi fornitori con una valutazione del rischio e monitora quelli esistenti per individuare variazioni che incidono sulla catena di fornitura. #### Cybersicurezza e protezione dei dati Verifica la postura di sicurezza dei fornitori di servizi ICT rispetto ai propri requisiti, individua le debolezze e controlla i flussi di dati verso terze parti. #### Resilienza operativa Valuta il rischio di terze parti per le funzioni critiche e documenta che i fornitori critici dispongono di piani di continuità operativa efficaci. #### Audit interno e consiglio di amministrazione Visualizza esternalizzazioni critiche, concentrazioni e rilievi aperti senza dover effettuare un'analisi ad hoc, sempre con lo stesso stato aggiornato. Vantaggi e benefici ## Meno sforzo per ogni fornitore, più visione d'insieme su tutti Il modulo elimina dal processo il lavoro ricorrente e lascia a Lei la valutazione. - **Le terze parti critiche vengono individuate tempestivamente**La rilevanza e la criticità derivano dalla classificazione, non da una percezione soggettiva delle singole unità. - **Valutazioni senza scambio di e-mail**I questionari vengono gestiti come workflow, con promemoria, escalation e risposte documentate anziché allegati in una casella di posta. - **Monitoraggio anziché fotografia statica**Le rivalutazioni ricorrenti in base al livello di rischio e i segnali provenienti da fonti esterne mantengono lo stato sempre aggiornato. - **Le dipendenze diventano visibili**Le concentrazioni su singoli fornitori, regioni o subappaltatori emergono nel portafoglio, non nell'incidente. - **Evidenze disponibili su richiesta**Valutazione, approvazione e verifica vengono registrate con data, responsabile ed evidenze, e possono essere prodotte in pochi minuti. - **Un unico processo per tutte le funzioni**Compliance, procurement, sicurezza e resilienza lavorano sullo stesso registro senza dover porre due volte la stessa domanda. Contatti e demo ## Le mostriamo dal vivo il modulo TPRM In una demo personalizzata la accompagniamo lungo l'intero ciclo di vita: onboarding, classificazione, due diligence, monitoraggio, reporting e uscita. Su un esempio end to end tratto dalla pratica, senza alcuna preparazione richiesta da parte sua. [Richieda una demo](https://swissgrc.com/it/demo/) [Contatti il team commerciale](https://swissgrc.com/it/team-commerciale-swissgrc-platform/) ## Domande frequenti ### Che cos'è il software TPRM di SwissGRC? È un modulo della SwissGRC® Platform per la gestione dei rischi di terze parti. Permette di censire fornitori e prestatori di servizi, classificarli per criticità, monitorarli in modo continuo e documentare i risultati con evidenze. ### Quali fasi copre la gestione delle terze parti con SwissGRC? Copre cinque fasi principali: onboarding e censimento, valutazione e classificazione, monitoraggio continuo, reporting automatizzato, azioni e uscita. Queste si articolano in nove fasi operative, ciascuna con un output documentato. ### Come funziona il monitoraggio continuo dei fornitori? Segnali esterni e scadenze interne confluiscono in un unico quadro. Se cambiano il rating cyber, la situazione sanzionatoria o la posizione finanziaria di un fornitore, il registro lo segnala automaticamente. ### Quali normative e standard sono considerati nel modulo TPRM? Il modulo si basa sulle aspettative regolamentari in materia di outsourcing, citando DORA art. 28-30, la Circ. FINMA 2018/3, le linee guida EBA e ISO/IEC 27036. ### Come si richiede una demo del modulo TPRM di SwissGRC? Si può richiedere una demo tramite la pagina dedicata o contattare il team commerciale. La demo accompagna lungo l'intero ciclo di vita su un esempio end to end tratto dalla pratica, senza preparazione da parte del cliente.