Valutazione dei fornitori A2P SMS: dalla due diligence ai controlli operativi
Una guida per valutare separatamente il fornitore e ogni singola rotta, registrare evidenze e incertezze e definire condizioni di approvazione proporzionate al rischio.
Due valutazioni distinte: fornitore e rotta
La due diligence di un fornitore e l’omologazione di una rotta A2P SMS rispondono a domande diverse. La prima esamina con chi si stipula il contratto, quali responsabilità assume e come gestisce le proprie operazioni. La seconda riguarda una specifica combinazione di servizio, destinazione, tipo di traffico e condizioni d’uso.
Una valutazione positiva dell’azienda non dimostra, da sola, che una rotta sia adatta a una destinazione o a un caso d’uso. Allo stesso modo, test operativi soddisfacenti su una rotta non sostituiscono la revisione dell’entità, del contratto o della filiera dichiarata. Mantieni fascicoli separati e specifica quali evidenze possono essere utilizzate per entrambi.
- Fascicolo del fornitore: identità, capacità contrattuale, responsabilità, sicurezza, conformità, assistenza e subappalti dichiarati.
- Fascicolo della rotta: destinazioni e servizi inclusi, provenienza dichiarata, restrizioni, condizioni operative ed evidenze disponibili per quella configurazione.
- Registro della relazione: identifica quale entità fornisce ciascuna parte del servizio e chi risponde in caso di problemi.
Definire l’ambito prima di richiedere le evidenze
Una revisione priva di un ambito esplicito produce risposte difficili da confrontare. Prima di richiedere la documentazione, registra il servizio da valutare, le destinazioni previste, il traffico legittimo che verrà inviato e le responsabilità che ciascuna parte dovrebbe assumere. Non presumere che una risposta generica copra tutte le rotte, le filiali o i servizi.
Descrivi anche i limiti della valutazione: quali destinazioni sono escluse, quali affermazioni richiedono ulteriori evidenze e quali aspetti non è stato possibile verificare. Se l’ambito cambia, conserva lo storico e stabilisci se occorre una nuova revisione.
- Identifica l’entità contrattuale e, in base a quanto dichiarato, le entità coinvolte nella fornitura.
- Delimita il servizio, le destinazioni, il tipo di traffico e le funzioni di ciascuna parte.
- Annota presupposti, esclusioni e questioni aperte prima di concedere un’approvazione.
Creare una matrice delle evidenze tracciabile
La matrice permette di distinguere un’affermazione dalle evidenze che la supportano. Per ogni punto, registra cosa viene dichiarato, quale documento o registro è stato esaminato, chi lo ha fornito, a quali entità o servizi si applica e quando è stato verificato. Aggiungi un referente interno, lo stato e le questioni in sospeso.
Non attribuire a una fonte una portata che non ha. Un documento può descrivere una politica generale senza dimostrare che si applichi a una rotta specifica; una dichiarazione commerciale non equivale a una verifica indipendente. Quando le evidenze non sono sufficienti, registra esplicitamente l’incertezza anziché trasformarla in una conclusione favorevole.
- Campi utili: ambito, affermazione, fonte, data della revisione, portata, referente, stato e osservazioni.
- Possibili stati: in attesa, evidenze ricevute, esaminato con riserve, non verificato o chiuso; definiscine internamente il significato.
- Conserva le versioni e le date per poter individuare le modifiche tra una revisione e l’altra.
- Separa i documenti primari, le dichiarazioni del fornitore e le osservazioni operative; non presentarli come evidenze equivalenti.
Verificare identità, contratto e filiera
Verifica che l’entità con cui si tratta sia identificata chiaramente e che l’ambito contrattuale proposto corrisponda al servizio valutato. Esamina chi assume gli obblighi rilevanti, come vengono assegnate le responsabilità operative e quali meccanismi sono previsti per comunicare le modifiche che potrebbero incidere sul servizio.
Quando è pertinente ai fini della decisione, chiedi di descrivere il coinvolgimento di terzi nella filiera. Registra ciò che è stato dichiarato e ciò che non è stato possibile verificare. La documentazione disponibile può avere dei limiti: non dedurre l’esistenza di controllo diretto, autorizzazione o capacità contrattuale da una presentazione commerciale.
- Confronta le denominazioni dell’entità presenti nella documentazione commerciale e contrattuale.
- Identifica le responsabilità e i canali di comunicazione previsti dall’accordo.
- Registra le dipendenze o i subappalti dichiarati e le modalità con cui ne vengono comunicate le modifiche.
- Sottoponi le discrepanze alla revisione legale o agli acquisti, secondo il processo della tua organizzazione.
Valutare la provenienza e le restrizioni di ogni rotta
Chiedi una descrizione della provenienza della rotta e delle restrizioni d’uso applicabili al servizio valutato. Metti in relazione le risposte con le destinazioni, il traffico e le responsabilità definiti inizialmente. Le informazioni dichiarate, da sole, non dimostrano il comportamento tecnico di una rotta né la sua idoneità per qualsiasi uso.
Documenta come vengono comunicate le modifiche alla provenienza, alla disponibilità o alle condizioni d’uso e chi deve ricevere la notifica. Se le informazioni non consentono di stabilire l’ambito di una rotta, lasciala in sospeso oppure limita l’approvazione a quanto è stato descritto. Non estendere le conclusioni relative a una destinazione o configurazione ad altre.
- Registra separatamente la destinazione, il servizio, l’uso consentito e la fonte delle informazioni.
- Chiedi chiarimenti sulle restrizioni e sulle modifiche che richiedono una nuova revisione.
- Definisci quali evidenze operative disponibili verranno osservate e quali incertezze rimarranno.
- Non considerare un test isolato o una descrizione commerciale come garanzia di consegna futura.
Sicurezza, dati e gestione degli incidenti
Adatta le domande sulla sicurezza al servizio e ai dati effettivamente coinvolti. Documenta quali informazioni vengono condivise, quali controlli il fornitore dichiara di applicare agli accessi alle credenziali e chi è responsabile della comunicazione e della gestione degli incidenti rilevanti. Non concludere che un controllo esista o funzioni soltanto perché è stato menzionato in una conversazione.
Verifica le evidenze disponibili e la loro portata: una politica generale potrebbe non specificare i componenti o i team inclusi nel servizio. Se non puoi verificare un aspetto importante, registra il limite e stabilisci se occorrono una condizione, un’ulteriore revisione o una decisione sul rischio da parte del referente interno.
- Chiarisci quali credenziali o dati vengono scambiati e per quale funzione.
- Chiedi chi sono i referenti e quali sono i canali e le procedure di escalation in caso di incidente.
- Registra quali controlli sono descritti, quali evidenze sono state esaminate e cosa resta da verificare.
- Limita l’accesso alla documentazione sensibile in conformità alle politiche della tua organizzazione.
Governance del traffico e gestione dei reclami
La valutazione del fornitore dovrebbe considerare come vengono assegnate le responsabilità relative al traffico legittimo. Chiarisci quale parte gestisce i requisiti applicabili al mittente, al consenso e alla classificazione del messaggio, nonché come vengono trattati i reclami. Gli obblighi specifici dipendono dal contesto e dalle regole applicabili: non sostituirli con una dichiarazione generica del fornitore.
Definisci quali informazioni sono necessarie per indagare su un reclamo e come vengono scambiate nell’ambito concordato. Mantieni i messaggi, gli elenchi e i processi di invio sotto i controlli della tua organizzazione ed evita di presumere che una rotta convalidi da sola il consenso o la legittimità di un invio.
- Assegna per iscritto le responsabilità del mittente e del fornitore.
- Chiarisci la procedura per ricevere, inoltrare e documentare i reclami.
- Registra il tipo di traffico e gli usi autorizzati per l’ambito valutato.
- Sottoponi i dubbi normativi ai referenti della conformità o ai consulenti legali.
Assistenza operativa ed evidenze del servizio
Valuta se i canali di assistenza, le procedure di escalation e la comunicazione degli incidenti siano adeguati all’operatività prevista. Registra gli impegni concordati e gli strumenti di monitoraggio disponibili, senza confonderli con risultati garantiti. Un tempo di risposta promesso non dimostra che un messaggio venga consegnato né che un incidente venga risolto entro un determinato periodo.
Quando sono disponibili registri operativi, delimita ciò che mostrano e ciò che non mostrano. Per esempio, lo stato di consegna riportato da un sistema non dovrebbe essere presentato automaticamente come conferma indipendente della ricezione sul telefono. Concordare come interpretare gli stati e i loro limiti riduce il rischio di fraintendimenti.
- Conferma canali, contatti, procedure di escalation e modalità di comunicazione degli incidenti.
- Documenta quali registri sono consultabili, la loro portata e i limiti noti.
- Distingui gli impegni contrattuali, i dati riportati e i risultati osservati.
- Concorda come registrare gli incidenti e quali informazioni sono necessarie per analizzarli.
Domande frequenti
Approvare un fornitore significa che tutte le sue rotte sono omologate?
No. La valutazione dell’entità e la revisione di ciascuna rotta hanno ambiti diversi. Documenta separatamente destinazioni, servizi, restrizioni ed evidenze disponibili.
Cosa fare quando il fornitore non può fornire evidenze a supporto di un’affermazione?
Registra l’affermazione come non verificata, annota la fonte consultata e decidi se chiedere ulteriori informazioni, limitare l’ambito, imporre una condizione o non approvare quel punto.
Come definire i limiti iniziali del traffico?
Non esiste un limite universale ricavabile dalle informazioni disponibili. Definisci limiti interni proporzionati al rischio e all’ambito approvato, specificando il referente, la motivazione, le condizioni di adeguamento e la revisione.
Quali eventi dovrebbero attivare una revisione?
Puoi prevedere una revisione in caso di modifiche rilevanti all’entità, al contratto, alla filiera dichiarata, alla provenienza o alle restrizioni di una rotta, ai referenti dell’assistenza o alle condizioni di sicurezza. Definisci gli eventi in base al tuo processo e registra quando vengono esaminati.
Un test operativo garantisce la consegna futura dei messaggi?
No. Un’osservazione riguarda un determinato ambito e momento e non deve essere interpretata come una garanzia futura. Documenta cosa è stato osservato, con quali evidenze e quali sono i limiti.
Fonti consultate
- Serie de especificaciones 3GPP3GPP
- Recomendación E.164Unión Internacional de Telecomunicaciones (UIT-T)
- Recursos sobre redesGSMA