Per tenere 5-10 fornitori IT senza perdere la regia serve una funzione di governance neutrale, sopra le parti, con mandato chiaro su perimetro, contratti, escalation e exit strategy. Non un coordinatore part-time. Non un PM di un fornitore prestato all'azienda. Una figura che risponde solo al cliente, parla la lingua dei contratti e dei delivery plan, e ha il potere formale di chiedere conto a ciascun fornitore.
Nelle Mid-Cap ed Enterprise che seguo come Fractional IT Director, l'aumento del numero di fornitori e' un fenomeno strutturale: cloud pubblico, SaaS verticali, system integrator, MSP, AI vendor, freelance specializzati. La media di una Mid-Cap industriale italiana oggi e' 5-15 fornitori IT attivi contemporaneamente; in Enterprise si arriva facilmente a 30-50.
La complessita' di coordinamento cresce molto piu' velocemente dei budget IT. Quello che era un problema di project management diventa un problema di governance. Questo articolo e' il framework che applico quando un cliente mi chiede di rimettere ordine in un portafoglio multi-vendor andato in deriva.
Perche' oggi una Mid-Cap ha 5-15 fornitori IT
Quindici anni fa il portafoglio IT di una Mid-Cap industriale era dominato da uno o due fornitori. Oggi e' frammentato per ragioni precise.
- ERP: vendor di prodotto (SAP, Microsoft, Oracle) piu' il partner di implementazione, spesso entita' distinte.
- CRM e marketing automation: SaaS specializzato (Salesforce, HubSpot, EspoCRM) con un implementatore dedicato.
- Cloud infrastruttura: AWS, Azure, GCP o cloud italiano (Aruba, OVH), spesso con un MSP per le operations.
- Cybersecurity: SOC outsourced, vendor EDR, vulnerability management, consulente NIS2/ISO 27001.
- AI e dati: piattaforme AI, fornitori di modelli (OpenAI, Anthropic, Mistral via partner italiani), data engineering.
- Software custom: software house o freelance per integrazioni, app verticali, portali.
- End-user computing: M365 o Google Workspace, fornitore device, MDM.
Si arriva a 5-15 fornitori senza sforzo, con motivazioni razionali. Il problema non e' il numero. E' l'assenza, nella maggior parte dei casi, di una funzione che tenga insieme il portafoglio. L'IT Manager fa quello che puo' fra mille priorita'; i fornitori si parlano fra loro solo quando sono costretti; lo steering committee vede slide ottimistiche prodotte da ciascuno in autonomia, senza lettura aggregata.
I 4 pattern di fallimento piu' comuni
In ogni rescue project multi-vendor che ho preso in carico ricorrono le stesse quattro dinamiche. Quasi mai isolate: si rinforzano a vicenda e producono il caos che il cliente mi chiama a sciogliere.
Pattern 1: vendor lock-in silenzioso
Il fornitore diventa indispensabile non per qualita' tecnica, ma perche' nessun altro ha documentazione, credenziali, accesso ai sistemi e conoscenza implicita. Lo riconosci quando ti dici "non possiamo sostituirlo, ci vorrebbero 18 mesi solo per documentare cosa fa". Si forma in 2-3 anni di mancata exit strategy e zero rotazione della conoscenza.
Pattern 2: finger-pointing nelle integrazioni
Quando un'integrazione fra due sistemi si rompe, il vendor A accusa B e viceversa. Nessuno indaga davvero. Il cliente, senza una figura tecnica neutrale, non ha modo di dirimere. Il ticket rimbalza per settimane. Su integrazioni ERP-CRM in ambito ordini, questa dinamica costa fatturato reale.
Pattern 3: contract drift
I contratti sono stati firmati 3-5 anni fa, in contesti diversi. Da allora il perimetro e' cambiato, sono cambiati sistemi e persone. Nessuno ha aggiornato SLA, clausole, corrispettivi. Il fornitore fattura su un servizio che non esiste piu', o non fattura un servizio diventato critico. Lo vedi quando rileggi un contratto dopo 4 anni e scopri che meta' delle clausole si riferisce a sistemi dismessi.
Pattern 4: scope creep cumulativo
Ogni fornitore, in buona fede, espande gradualmente il proprio perimetro. Nessun singolo allargamento e' problematico; la somma di 5-10 espansioni nell'anno produce sovrapposizioni: due fornitori sullo stesso processo, tre che reclamano la stessa integrazione, un perimetro grigio dove nessuno e' responsabile. Sintomo: ticket che girano da un fornitore all'altro senza soluzione.
Framework di governance multi-vendor: 6 pilastri
Il framework che applico e' volutamente leggero. Sei pilastri, due o tre artefatti operativi ciascuno. Niente magia, solo disciplina. La differenza fra una governance che funziona e una che marcisce sta nell'esecuzione costante, non nella sofisticazione dei documenti.
1.Perimetro: chi fa cosa, dove finisce, dove inizia
Una mappa unica del perimetro per ciascun fornitore: sistemi, processi, integrazioni, persone responsabili, durata. Una pagina per fornitore. Riferimento in ogni discussione di steering, aggiornata almeno trimestralmente. Se due fornitori si sovrappongono sulla stessa cella, hai gia' identificato un futuro problema.
2.Contratti: SLA, KPI, penali, exit strategy
Rileggere ciascun contratto attivo almeno una volta all'anno. SLA misurabili (non "best effort"), KPI quantitativi, penali proporzionate, e soprattutto exit strategy esplicita: clausole di reversibilita', handover documentale, durata della transizione assistita, proprieta' di codice e dati. Il momento sbagliato per pensarci e' quando devi gia' uscire.
3.RACI multi-vendor: matrice unica della responsabilita'
RACI consolidato sull'intero portafoglio, non per singolo fornitore. Per ogni processo o sistema critico, una sola persona Responsible e una sola Accountable. Consulted e Informed per nome e ruolo. Aggiornato semestralmente. Quando arriva un incidente, la prima domanda non e' "chi e' il fornitore?": e' "chi e' il responsabile?". La matrice risponde in 30 secondi.
4.Scorecard: misurazione strutturata e periodica
Una scorecard per fornitore, una pagina, trimestrale, rivista con il fornitore stesso. Punteggio su delivery, qualita', collaborazione, rischio. Numeri, non aggettivi. E' lo strumento che trasforma "questo fornitore non e' all'altezza" da percezione individuale a dato condiviso con lo steering. Esempio operativo piu' avanti.
5.Escalation: percorso definito, tempi definiti
Tre livelli di escalation per ogni fornitore: operativo (referente tecnico, 1 giorno), tattico (account / delivery manager, 3 giorni), strategico (direzione fornitore, 5 giorni). Documentati per iscritto, condivisi con il fornitore. Quando l'escalation parte, parte con nomi e tempi gia' definiti. La % di issue risolte al primo livello e' uno dei KPI piu' parlanti.
6.Exit strategy: pensarla quando ancora non serve
Per ogni fornitore strategico, una exit strategy operativa: chi rileva, in quanto tempo, con quali costi stimati. Aggiornata annualmente. Non significa che vuoi uscire: significa che hai un piano se serve. E' la differenza fra avere leverage negoziale e accettare qualsiasi condizione al rinnovo. ENISA, nelle linee guida sulla supply chain cybersecurity, raccomanda esplicitamente questo principio per i fornitori critici.
Il Fractional IT Director come regia neutrale
Una governance multi-vendor funziona solo se qualcuno la presidia con continuita' e autorita'. In una Mid-Cap senza CIO full-time, o con un IT Manager schiacciato dal day-by-day, questa figura non esiste. Le opzioni sono tre: assumere un CIO, delegare a un system integrator interno, o affidare la regia a un intervento come il Delivery Recovery 10+90.
La prima ha tempi (6-9 mesi) e costi (un CIO esperto costa 120-180k+ all'anno, piu' contributi) che molte Mid-Cap non possono sostenere. La seconda introduce un conflitto strutturale: un system integrator che governa anche gli altri fornitori e' parte in causa. La terza e' il modello che propongo: figura senior, vendor-agnostic, presenza 2-4 giorni al mese, mandato contrattualizzato direttamente con il cliente.
Il Fractional IT Director non sostituisce i fornitori e non fa lavoro tecnico esecutivo. Fa quattro cose: regia del portafoglio (i 6 pilastri di sopra), rappresentanza del cliente nei contesti contrattuali e di steering, lettura aggregata di progressi e rischi, attivazione delle escalation. Risponde alla direzione del cliente, non a un fornitore. Questa neutralita' e' il valore principale.
From the field — il caso che racconto piu' spesso
Mid-Cap manifatturiera del Centro-Nord, 4 fornitori IT attivi su un programma ERP-WMS-portale clienti. Il fornitore A (system integrator ERP) pubblica una nuova release con un break nelle API verso il fornitore B (portale clienti). Il rilascio del portale slitta di 7 settimane. B accusa A di scarsa comunicazione; A accusa B di non aver testato in pre-prod. Il cliente, senza figura tecnica neutrale, non riesce a dirimere.
Ho preso il mandato. Due settimane: sessione tecnica congiunta con evidenze sul tavolo (log, changelog, ticket), negoziazione contrattuale sulla quota di costo dello slittamento, nuovo protocollo di pre-rilascio scritto a 4 mani. Il portale e' andato in produzione 5 settimane dopo, su baseline rivista ma chiara. Niente piu' finger-pointing nei mesi successivi: il protocollo, una volta scritto, ha eliminato la zona grigia.
KPI per la governance multi-vendor
Cinque KPI bastano. Aggiungerne altri non aumenta il controllo, lo diluisce. Li rivedo trimestralmente con lo steering, annualmente con il CdA.
- TTR mediano sugli incidenti su sistemi critici. Obiettivo tipico: 4 ore sui P1, 24 ore sui P2. Per fornitore.
- SLA aggregato di portafoglio: rispetto degli SLA contrattuali, pesato sul peso del fornitore. Obiettivo Mid-Cap: 99,0-99,5%. Sotto il 97,5% scatta osservazione formalizzata.
- % escalation risolte al 1° livello: misura la qualita' del referente operativo del fornitore. Sotto il 70% e' sintomo di sotto-investimento sul cliente.
- Vendor risk score: punteggio 1-5 su tre dimensioni (delivery, operativo, compliance). Trimestrale. Risk score 4-5 attiva piano di mitigazione esplicito.
- Concentrazione del portafoglio: % del budget IT su singolo fornitore. Sopra il 30-40% scatta un trigger di attenzione strategica.
Esempio di scorecard trimestrale fornitore
Esempio tipo: dati di fantasia, struttura identica a quella che uso in produzione. Una pagina, 5 minuti per leggerla, 30 per discuterla con il fornitore in review.
Scorecard fornitore X — Q1 2026
- Perimetro: implementazione e maintenance ERP, supporto L2/L3, 18 sistemi connessi.
- Delivery on time: 4/5 milestone, 80% (target 90%). Rosso.
- Qualita' release: 2 bug critici su 12 release, 17% (target <10%). Giallo.
- SLA ticket: 99,2% (target 99,0%). Verde.
- TTR mediano P1: 3,2 ore (target 4). Verde.
- Escalation aperte: 1 verso direzione fornitore. Giallo.
- Risk score: delivery 3, operativo 2, compliance 2 → medio.
- Azioni Q2: revisione test pre-release, secondo referente L3, review penali per milestone.
Quando rinegoziare, quando sostituire, quando consolidare
Tre decisioni diverse, troppo spesso confuse fra loro. La regola che applico:
- Rinegoziare quando il fornitore funziona ma il contratto e' obsoleto, gli SLA non sono misurabili, le penali sono inesistenti o sproporzionate. Il fornitore di solito accetta: ha interesse a un rapporto sano. Tempi: 60-90 giorni.
- Sostituire quando la scorecard rimane gialla o rossa per 2-3 trimestri consecutivi nonostante i piani di miglioramento, o quando il risk score sale a 4-5 su una dimensione critica e non scende. Tempi: 6-12 mesi, exit strategy in parallelo.
- Consolidare quando hai sovrapposizioni concrete (Pattern 4), costi di coordinamento sproporzionati, finger-pointing ricorrente. Operazione delicata: si guadagna semplicita' ma si perde leverage e si rischia un nuovo lock-in. Tempi: 9-18 mesi.
Il framework di analisi che applico per gli interventi di AI Delivery Pilot vale anche qui: valore, rischio, fattibilita', costo del cambiamento. Senza scorecard storica e risk score formalizzato, queste decisioni si prendono d'istinto. Con il framework, si prendono con dati.
Domande frequenti
Quanti fornitori IT puo' davvero gestire una Mid-Cap senza un PMO dedicato?
Nella mia esperienza, oltre i 4-5 fornitori IT attivi su perimetri sovrapposti diventa molto difficile mantenere la regia senza una figura di governance dedicata. Il punto non e' il numero assoluto ma il grado di interdipendenza: 8 fornitori isolati sono piu' gestibili di 4 fornitori che lavorano sullo stesso stack.
Qual e' la differenza fra un PMO multi-vendor e un Fractional IT Director?
Il PMO multi-vendor esegue: tiene il piano, traccia le issue, allinea i fornitori sulle milestone. Il Fractional IT Director decide: rinegozia i contratti, valuta i rischi, ha mandato di sostituire un fornitore se serve. Lavorano spesso insieme, ma con due responsabilita' diverse. In una Mid-Cap il Fractional IT Director assorbe spesso anche il ruolo di PMO; in Enterprise sono due ruoli distinti.
Come si misura il vendor risk score senza diventare burocratici?
Tre dimensioni bastano: rischio di delivery (storico di sforamenti, qualita' del lavoro), rischio operativo (concentrazione, dipendenza, presenza di SPOF), rischio di compliance (sicurezza, NIS2, GDPR, AI Act). Punteggio da 1 a 5 su ciascuna dimensione, revisione trimestrale. Niente fogli Excel da 200 colonne: una pagina sintetica per fornitore, condivisa con lo steering.
Quando ha senso consolidare i fornitori e quando invece tenerli separati?
Consolida quando hai sovrapposizioni reali, finger-pointing ricorrente e costi di coordinamento alti. Tieni separato quando hai bisogno di competenze specialistiche complementari, di leverage negoziale, o quando un singolo fornitore rappresenterebbe oltre il 30-40% del tuo budget IT. La soglia psicologica del 30% di concentrazione e' un buon trigger di attenzione.
Cosa deve contenere una exit strategy contrattuale?
Cinque elementi: clausole di reversibilita' (handover documentale e tecnico), durata del periodo di transizione assistita, proprieta' del codice e dei dati, format di esportazione, supporto post-uscita per un periodo definito. Negoziato in fase contrattuale, non a contratto in scadenza, quando hai zero leverage.
Quanto tempo richiede impostare una governance multi-vendor da zero?
Una baseline operativa (inventario fornitori, mappa contrattuale, RACI, scorecard, cadenza di review) si imposta in 6-10 settimane in una Mid-Cap con 5-8 fornitori. In Enterprise con 15+ fornitori e processi formalizzati esistenti, il ciclo e' 3-4 mesi per avere il framework operativo end-to-end. La maturita' piena (con KPI consolidati e cultura di steering) richiede 12-18 mesi.
Il punto centrale
La multi-vendor governance non e' una sofisticazione per Enterprise con CIO e PMO strutturati. E' una funzione necessaria quando un portafoglio supera i 4-5 fornitori IT su perimetri interdipendenti. In una Mid-Cap senza CIO full-time, la copre un intervento come il Delivery Recovery 10+90 con mandato direzionale chiaro.
I 6 pilastri (perimetro, contratti, RACI, scorecard, escalation, exit strategy) non richiedono budget significativi. Richiedono disciplina, presenza con cadenza definita, e una figura neutrale che parli la lingua dei fornitori senza esserne uno. Il ritorno arriva sui tempi: incidenti risolti prima, rilasci nei tempi, rinnovi con leverage, sostituzioni gestite senza traumi.
L'articolo sull'AI Act 2026 tocca lo stesso terreno: l'azione 6 (verifica dei contratti con i fornitori AI) e' governance multi-vendor applicata al sottoinsieme AI. Quando compliance (AI Act, NIS2, DORA, ISO 27001) e governance operativa lavorano insieme, l'azienda smette di subire la complessita' del portafoglio. Se vuoi capire dove sei oggi, partiamo da una mappa rapida: chi sono e come lavoro.