Outsourcing e adeguati assetti: come valutare e gestire il rischio di esternalizzazione

L’esternalizzazione di funzioni e processi può ridurre i costi e consentire alle imprese, soprattutto alle PMI, di accedere a competenze specialistiche. L’outsourcing, tuttavia, espone l’azienda a rischi operativi, informatici, legali, reputazionali e di continuità del servizio, che devono essere valutati nell’ambito degli adeguati assetti organizzativi, amministrativi e contabili. Quali controlli deve adottare l’impresa prima di affidarsi a un fornitore esterno?

Il contesto ambientale nel quale operano le imprese, ivi incluse le piccole e medie imprese (PMI), è caratterizzato da una crescente complessità che rende la gestione del rischio un processo fondamentale per assumere decisioni informate e per garantire la continuità operativa delle imprese stesse.Diventa, pertanto, fondamentale dotarsi di un sistema di controllo interno e di gestione dei rischi che trova la sua collocazione nell’ambito dell’assetto organizzativo.Chi è più interessato al rischio di esternalizzazioneTra i rischi ai quali sono esposte le imprese occorre prestare attenzione, tra gli altri, al cosiddetto rischio di esternalizzazione. Esso interessa in modo particolare le PMI che, stanti le loro caratteristiche e la loro struttura dei costi, possono essere indotte ad affidare ad organizzazioni esterne alcuni aspetti delle proprie attività che possono consistere nella sostituzione di intere funzioni aziendali (esempio: la funzione che si occupa degli adempimenti contabili e fiscali).Come è noto, l’art. 2086, c.c. obbliga l’imprenditore in forma societaria o collettiva a istituire adeguati assetti organizzativi, amministrativi e contabili allo scopo di rilevare tempestivamente la crisi e la perdita della continuità aziendale, imponendo un’azione immediata per il risanamento. Peraltro, a partire dal 29 aprile 2026, è entrato in vigore il D.Lgs. n. 47/2026, adottato in attuazione della delega conferita dall’art. 19 legge n. 21/2024 (Legge Capitali), con il quale il legislatore è intervenuto per definire con maggiore precisione, attraverso le modifiche al Codice Civile, i compiti dell’organo amministrativo delle società di capitali ed aggiornare le attribuzioni del Collegio sindacale, anche avuto riguardo al sistema di controllo interno e di gestione dei rischi.

L’articolazione del sistema di controllo interno e di gestione dei rischi deve essere coerente con la dimensione, la complessità, il profilo di rischio specifico e il contesto regolamentare in cui ciascuna società opera, consentendo di trovare quella configurazione che garantisca un controllo efficace senza, al tempo stesso, risultare eccessivamente onerosa rispetto ai vantaggi ottenuti.

Che cos’è il rischio di esternalizzazioneL’esternalizzazione consiste nell’accordo tra una società ed un fornitore di servizi, che, a fronte di un corrispettivo, svolge uno specifico processo che è proprio della società stessa (non rientrano tra le esternalizzazioni le prestazioni professionali che hanno una natura occasionale).Il principio di revisione internazionale (ISA Italia) “402 - Considerazioni sulla revisione contabile di un’impresa che esternalizza attività avvalendosi di fornitori di servizi” (ISA Italia 402) precisa che qualora l’impresa utilizzatrice esternalizzi un’attività avvalendosi dei servizi di un fornitore, è fondamentale acquisire una comprensione della natura e della rilevanza dei servizi prestati dal fornitore e del loro effetto sul sistema di controllo interno dell’impresa utilizzatrice (si veda il paragrafo 7 del principio ISA Italia 402), che dipende dalle modalità con le quali quest’ultima esternalizza le attività (si veda il paragrafo 9 del principio ISA Italia 402), ivi inclusi:- la natura dei servizi prestati dal fornitore e la significatività delle operazioni elaborate dal fornitore di servizi;- il livello di interazione tra le attività del fornitore di servizi e quelle dell’impresa utilizzatrice;- i termini contrattuali che riguardano le attività svolte dal fornitore di servizi e, più in generale, la natura del rapporto tra l’impresa che esternalizza l’attività ed il fornitore.Come valutare il rischio prima di esternalizzare un’attivitàLa valutazione del rischio di esternalizzazione deve essere svolta valutando anche l’impatto sui rischi:- operativi (esempio: rischi ICT e di compliance normativa);- reputazionali;- legali;- strategici;- di protezione dei dati personali e di concentrazione con lo stesso fornitore di servizi.Essa, inoltre, deve essere eseguita prima di stipulare l’accordo di esternalizzazione, ed aggiornata qualora si siano riscontrate carenze nella esecuzione delle attività o delle funzioni esternalizzate o in caso di rinnovo con modifiche sostanziali al contenuto dell’accordo di esternalizzazione.La valutazione del rischio di esternalizzazione dovrà, altresì, considerare le motivazioni dell’esternalizzazione e i vantaggi attesi dalla medesima attraverso il confronto tra i costi prima dell’operazione di esternalizzazione e quelli stimati post esternalizzazione.Come scegliere il fornitore di serviziSuccessivamente alla rilevazione e alla misurazione del rischio di esternalizzazione è necessario individuare le più opportune azioni di mitigazione, che devono essere attivate già nella fase di scelta dei fornitori, avuto riguardo ai seguenti requisiti di:- professionalità, valutando le competenze specifiche e le referenze nel settore;- onorabilità, con l’esclusione di quelle imprese che siano incorse in eventuali condanne o sanzioni;- capacità del fornitore di erogare con continuità i servizi oggetto di esternalizzazione;- sicurezza delle tecnologie ICT.Contratto di outsourcing, SLA e continuità operativaÈ inoltre fondamentale:- regolare le attività oggetto di esternalizzazione mediante accordi scritti contenenti anche gli standard per la qualità del servizio (“Service Level Agreement” o “SLA”) e i relativi metodi di valutazione, oltre ad eventuali penali nel caso in cui tali standard non siano soddisfatti;- prevedere specifiche misure che garantiscano un livello adeguato di continuità operativa e anche clausole che definiscano le modalità di risoluzione dell’accordo di esternalizzazione e le strategie di uscita che devono prevedere, tra le altre, l’ipotesi di una re-internalizzazione o trasferimento ad un altro fornitore dell’attività prevista dall’accordo.Piano di uscita: come gestire la fine dell’outsourcingIl piano di uscita deve:- definire gli eventi che potrebbero attivare la strategia di uscita (ad esempio, un livello di servizio inaccettabile);- individuare le risorse necessarie per l’attuazione del piano di uscita;- attribuire ruoli e responsabilità per la gestione del piano di uscita.Monitoraggio dei servizi esternalizzati e reporting agli organi societariÈ, altresì, fondamentale predisporre un apposito reporting periodico verso l’organo amministrativo e di controllo in merito a:- andamento dei servizi esternalizzati;- livelli di servizio erogati dal fornitore;- eventuali anomalie e criticità riscontrate;- illustrazione di eventuali interventi correttivi;- dipendenza dell’impresa dai soggetti esterni.Perché la gestione del rischio rafforza la continuità aziendaleLe imprese italiane, ivi incluse le PMI, devono affrontare una situazione di crescente complessità, che include una molteplicità di rischi legati all’instabilità geopolitica, alla volatilità degli scenari economici, alla crescente attenzione verso i rischi ambientali e all’evoluzione normativa di riferimento.In questo contesto è fondamentale che le imprese, indipendentemente dalle loro dimensioni, si dotino di processi, criteri e policy che le supportino nell’identificazione, valutazione mitigazione e monitoraggio dei rischi aziendali.In altri termini l’adozione di un modello per la valutazione e misurazione dei rischi permette di passare da una gestione reattiva a una gestione proattiva e di trasformare l’incertezza in un vantaggio competitivo.

Di questo ed altri temi si parlerà nel corso del convegno annuale A.P.R.I. “Dietro le quinte della crisi e del cambiamento: strumenti, capitali, responsabilità e strategie” che si terrà presso il Teatro Comunale di Ferrara il 10 e l’11 novembre 2026.L’appuntamento offre ai professionisti del risanamento una lettura integrata ed aggiornata delle principali questioni che accompagnano la crisi e la trasformazione dell’impresa. Il focus sarà rivolto ai soggetti che concretamente possono sostenere la trasformazione dell’impresa in difficoltà.

Copyright © - Riproduzione riservata

Fonte: https://www.ipsoa.it/documents/quotidiano/2026/11/04/outsourcing-adeguati-assetti-valutare-gestire-rischio-esternalizzazione