La verifica dei fornitori è il processo che consiste nel controllare le prove a sostegno delle affermazioni di un fornitore in materia di sicurezza e resilienza, valutando se siano supportate da controlli e capacità efficaci. Anziché affidarsi soltanto a questionari o rassicurazioni, un’organizzazione può esaminare rapporti di audit indipendenti, risultati dei test, piani di ripristino, certificazioni e pratiche di sicurezza pertinenti. La profondità della verifica dovrebbe riflettere quanto sia critico il fornitore e quali servizi o dati gestisca.
È importante perché le debolezze di un fornitore o un’interruzione del servizio possono compromettere le attività del cliente, anche quando le difese di quest’ultimo sono solide. Nella gestione dei rischi concreta, la verifica inizia durante la selezione del fornitore e prosegue man mano che cambiano servizi, rischi e controlli. I responsabili della difesa possono stabilire i requisiti probatori, confermare le aspettative di ripristino, rivalutare periodicamente i fornitori critici e documentare le lacune indicando i responsabili e le scadenze. La verifica non può garantire che un fornitore non venga mai compromesso, ma aiuta a sostituire una fiducia non verificata con decisioni informate e una pianificazione della continuità più realistica.