Due diligence ESG di filiera: costruisci un sistema di scoring fornitori con AI e dati pubblici

Il problema oggi è “come valutiamo centinaia di fornitori senza affogare la PMI di turno in scartoffie”, molto più che “dobbiamo fare ESG”. La risposta operativa che si sta consolidando è uno scoring automatico che incrocia dati pubblici e dati proprietari, aggiornato di continuo, calibrato sul rischio reale invece che su un controllo uguale per tutti.

L’anagrafica sporca uccide lo scoring prima ancora che parta

Prima di costruire qualunque motore di scoring, va affrontato un problema che quasi nessuno vuole affrontare: l’anagrafica fornitori delle aziende medio-grandi è quasi sempre sporca. Partite IVA scadute o cessate, ragioni sociali vecchie di fusioni mai aggiornate, categorie merceologiche assegnate a mano anni fa e mai riviste.

Questo passaggio è un prerequisito, non un dettaglio tecnico. Creare, organizzare e ripulire l’anagrafica fornitori viene prima di qualunque incrocio con l’AI: un algoritmo che interroga il Registro delle Imprese con una partita IVA sbagliata restituisce un rischio calcolato su un’azienda diversa da quella reale, oppure un errore silenzioso che passa per “nessun dato disponibile”. Automatizzare la raccolta di dati ESG su un’anagrafica confusa non risolve il problema, lo amplifica: gli agenti AI falliscono quasi sempre per dati sbagliati, non per mancanza di budget, e il disordine di partenza si moltiplica a ogni fornitore incrociato.

La pulizia minima richiede tre passaggi: verificare che ogni partita IVA sia attiva e coincida con la ragione sociale registrata, normalizzare la categoria merceologica secondo una tassonomia unica (non quella improvvisata reparto per reparto) e associare ogni fornitore a un identificativo univoco che regga nel tempo, anche in caso di fusioni o cambi ragione sociale. Solo a questo punto lo scoring automatico ha basi solide.

Il metodo in sei passaggi per costruire lo scoring

Primo passaggio: definire le dimensioni ESG rilevanti per il settore. Un fornitore di componenti elettronici e uno di servizi di pulizia non condividono gli stessi rischi. Per il primo pesano tracciabilità delle terre rare, lavoro minorile nella catena estrattiva, conformità RAEE. Per il secondo pesano contratti di lavoro, sicurezza sul lavoro, regolarità contributiva. Le dimensioni tipiche restano quattro: ambientale (emissioni, uso di risorse, deforestazione), sociale (condizioni di lavoro, diritti umani), governance (trasparenza proprietaria, anticorruzione) e compliance normativa (sanzioni, contenziosi).

Secondo passaggio: individuare le fonti dati pubbliche utilizzabili. Qui la parte più concreta del lavoro. Il Registro delle Imprese di Unioncamere, accessibile anche via API RESTful, restituisce dati camerali certificati: sede legale, bilanci depositati, stato attivo o cessato, protesti. Il sistema informativo dell’EU Deforestation Regulation espone tramite API le dichiarazioni di dovuta diligenza per legname, gomma, caffè, cacao, soia, olio di palma e bestiame, utile a chi acquista materie prime a rischio deforestazione. L’elenco consolidato delle persone ed entità sanzionate dall’Unione Europea copre le misure restrittive autonome e quelle derivate da risoluzioni ONU, mentre la lista SDN dell’OFAC resta il riferimento quando c’è un collegamento con gli Stati Uniti. Eurostat offre dati settoriali su emissioni e intensità energetica per benchmark di settore.

Terzo passaggio: definire pesi e soglia di rischio, non un controllo uguale per tutti. L’approccio impostosi con il pacchetto Omnibus I è basato sul rischio (“risk-based”): la mappatura si concentra sui segmenti a rischio più alto di impatti negativi, non più sull’intera catena di fornitura. Un fornitore Tier 1 che pesa il 40% degli acquisti in un settore ad alto rischio ambientale merita pesi diversi da un fornitore di cancelleria che pesa lo 0,2%. Una formula di scoring semplice, solo a titolo di esempio:

Indice_rischio_fornitore =
  (peso_ambientale × score_ambientale) +
  (peso_sociale × score_sociale) +
  (peso_governance × score_governance) +
  (peso_compliance × score_compliance)

dove peso_ambientale + peso_sociale + peso_governance + peso_compliance = 1
e ogni score è normalizzato su scala 0-100

moltiplicatore_criticità = volume_acquisti% × fattore_settore_rischio
Indice_finale = Indice_rischio_fornitore × moltiplicatore_criticità

I pesi vanno tarati sul settore, non copiati da un template generico: un’azienda alimentare pesa di più la tracciabilità della filiera agricola, una manifatturiera pesa di più le certificazioni ambientali di processo.

Quarto passaggio: usare agenti AI per raccogliere e incrociare i dati pubblici su ciascun fornitore. Con l’anagrafica pulita, un agente può interrogare in sequenza le fonti pubbliche per ogni partita IVA, normalizzare i formati (JSON, XML, PDF da certificati) e popolare un dataset strutturato. Questo è lavoro meccanico ripetitivo su larga scala, il caso d’uso in cui l’automazione agentica rende davvero: mille fornitori interrogati su cinque fonti pubbliche sono cinquemila chiamate, impraticabili a mano, gestibili con un flusso schedulato. Va comunque governato prima di essere acceso: un agente senza supervisione che scrive un indice di rischio sbagliato può escludere un fornitore corretto senza che nessuno se ne accorga per settimane.

Quinto passaggio: generare un indice sintetico e un dashboard di monitoraggio continuo. Lo scoring non è uno snapshot fatto una volta l’anno per il bilancio di sostenibilità, è un cruscotto che si aggiorna quando cambia un dato pubblico: una nuova sanzione, un bilancio depositato in ritardo, una controversia ambientale segnalata. Un fornitore che oggi è verde può diventare giallo la settimana prossima se emerge un procedimento giudiziario, e il sistema deve segnalarlo senza aspettare il prossimo audit annuale.

Sesto passaggio: gestire le eccezioni con verifica umana obbligatoria. Qui si gioca la parte più delicata del sistema. Un fornitore strategico che finisce in fascia di rischio alto non va escluso automaticamente dalla filiera sulla base di un punteggio calcolato da un algoritmo. Serve un passaggio di revisione umana prima di qualunque decisione di esclusione, soprattutto quando il fornitore è insostituibile nel breve periodo o quando il dato pubblico che ha alzato il rischio è ambiguo (una controversia in corso non è una condanna definitiva).

Cosa cambia con Omnibus I e perché lo scoring basato sul rischio conviene ora

Il quadro normativo che rende sensato costruire questo sistema proprio ora è cambiato in modo sostanziale nei primi mesi del 2026. La Direttiva UE 2026/470, pubblicata il 26 febbraio ed entrata in vigore il 18 marzo, ha innalzato le soglie di obbligo CSRD a 1.000 dipendenti e 450 milioni di ricavi netti, riducendo drasticamente il numero di aziende obbligate a rendicontare in proprio. Meno aziende obbligate in prima persona non significa meno pressione sulla filiera: le grandi imprese che restano dentro il perimetro CSRD devono comunque raccogliere dati ESG dai propri fornitori per compilare la rendicontazione, e l’effetto a cascata resta intatto.

La novità che protegge le PMI è il principio della “impresa protetta”: ogni fornitore con meno di 1.000 dipendenti nella catena del valore ha il diritto di rifiutare richieste informative che eccedano i principi dello standard VSME (Voluntary Sustainability Reporting Standard for non-listed SMEs). Tradotto in pratica: un questionario di quaranta pagine con richieste sproporzionate al fornitore di dieci dipendenti non è più solo scortese, rischia di essere respinto legittimamente. Chi costruisce lo scoring deve tararlo sulle informazioni compatibili con il VSME per i fornitori sotto soglia, riservando le richieste più approfondite ai fornitori Tier 1 davvero critici. Vale lo stesso principio già visto sull’AI Act per le PMI: la conformità normativa funziona quando è proporzionata alla dimensione dell’impresa, non quando scarica lo stesso carico documentale su chi non ha risorse per sostenerlo.

Il messaggio politico dietro Omnibus I è che la sostenibilità di filiera si misura dove il rischio è concreto, non più a tappeto. Chi continua a trattare tutti i fornitori allo stesso modo sta semplicemente ignorando la direzione che il legislatore ha già preso.

I limiti dello scoring automatico

Lo scoring automatico resta un filtro preliminare, mai un sostituto dell’audit in loco per i fornitori più critici. Un punteggio calcolato su dati pubblici segnala dove guardare, mentre solo la verifica sul campo conferma cosa succede davvero in un impianto produttivo o in una cava. Per i fornitori Tier 1 ad alto rischio la visita resta insostituibile: nessun dataset pubblico certifica le condizioni di lavoro reali in uno stabilimento.

Il rischio di falsi positivi e falsi negativi è strutturale. Un fornitore può avere un punteggio alto per una controversia ambientale minore già risolta, mentre un altro può risultare pulito semplicemente perché nessuna fonte pubblica ha ancora registrato un problema esistente. I dati pubblici raccontano quello che è stato formalizzato, non quello che accade davvero. Trattare un indice sintetico come verità assoluta è un errore quanto ignorarlo.

Per questo la supervisione umana su ogni decisione di esclusione è la parte del sistema che assorbe l’incertezza che l’algoritmo non può gestire, ben oltre la cautela burocratica: l’oversight sugli agenti resta debole nella maggior parte delle implementazioni aziendali, e uno scoring fornitori senza revisione umana eredita esattamente questa debolezza. Chi disegna il sistema deve prevedere, fin dall’inizio, un processo di revisione che coinvolga procurement e funzione legale prima di tagliare un rapporto commerciale sulla base di un numero.

L’azione concreta

Prima di scrivere una riga di codice per lo scoring, va aperto un foglio di lavoro con l’anagrafica fornitori attuale e va segnata, per ciascuno, la data dell’ultimo aggiornamento della partita IVA. Se supera i dodici mesi, quella riga va verificata prima di qualunque altro passaggio. È un lavoro noioso, ma è l’unico che rende affidabile tutto quello che viene dopo.