--- title: "Nessuna strategia di uscita: la riga dell’audit che vi riguarda" description: "Un audit interno del WFP, visionato da FRANCE 24 e PassBlue, rivela l’assenza di una exit strategy dal suo fornitore di software: la domanda per ogni fornitore critico." url: https://csidia.com/note-operative/audit-wfp-nessuna-strategia-di-uscita/ lang: it date: 2026-08-10 label: "Osservatorio" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/audit-wfp-nessuna-strategia-di-uscita/ --- # Nessuna strategia di uscita: la riga dell’audit che vi riguarda Se il fornitore che tiene insieme i dati della vostra organizzazione chiudesse il rapporto — o se foste voi a chiuderlo — sapreste dire in quanto tempo, in quale formato e a quale costo? Se la risposta è «non lo abbiamo mai messo alla prova», non siete un’eccezione: è la condizione di chi affida dati critici a un fornitore senza mai verificarne l’uscita. Il 7 agosto 2026 un’inchiesta ha reso quella domanda concreta, dentro l’audit interno di una delle organizzazioni più grandi del mondo. ## Un audit «high priority», un rinnovo comunque FRANCE 24 e PassBlue hanno pubblicato **in coordinamento** — una sola inchiesta a due firme, non due conferme indipendenti — un audit interno del **World Food Programme** delle Nazioni Unite, redatto dall’Office of the Inspector General dell’agenzia e datato agosto 2025, sul rapporto quinquennale del WFP con una società americana di software per l’analisi dei dati. L’audit non è pubblico: lo hanno visionato i due giornali, mentre il WFP finalizza il rinnovo del contratto 2019 — **pro bono**, quinquennale, valore dichiarato **45 milioni di dollari**, per **DOTS** (Digital Operations and Transformation System), il sistema con cui la società traccia gli aiuti dell’agenzia. «The general scope and terms of the contract remain the same», ha detto un portavoce del WFP. L’audit classifica il problema come «high priority»: «inadequate risk management», assenza di «proper guidelines and policy» sui dati, «key privacy concerns» mai affrontate «since the inception of the partnership»; il WFP «lacks a unified and trusted system» per gestirli, mentre le «reputational considerations» legate alla partnership «have led to institutional uncertainty». Poi la riga-titolo: «At present, there is no clearly defined exit strategy for DOTS, nor clarity on the potential costs that may arise should the partnership be terminated» — nessuna strategia di uscita, nessuna chiarezza sui costi. La divisione tecnologica «has assessed opportunities to export and save data from DOTS», ma il piano non è mai stato presentato alle parti chiave, né alla società, mentre gli investimenti «substantial» continuano. ## Il software funziona. È questo il problema. La notizia non è che il software della società funzioni male. È l’opposto, ed è più scomodo. Un ex dipendente che lo ha usato a lungo definisce DOTS «the best tool in the sector. Nothing comes close to it»: circa il **98% delle operazioni** del WFP passa da DOTS, e rimuoverlo farebbe «collapse» la catena logistica. Un altro dipendente lo giudica invece «mediocre» — «non porta nulla che non fosse già disponibile sulla rete pubblica». Riportiamo entrambe: la tesi non cambia. **Un fornitore mediocre lo si cambia.** Uno che il 98% usa ogni giorno, senza un piano d’uscita testato, non lo si cambia più: ti tiene, non per una clausola contro di voi ma per l’assenza di una a vostro favore. Conta chi tiene la chiave, non chi ha ragione sulla qualità — la stessa dipendenza di [chi resta titolare del modello operativo in un accordo con un grande fornitore](https://csidia.com/note-operative/palantir-mercury-ontologia-di-chi-e). DOTS non è **SCOPE**, il sistema biometrico del WFP, tra i più grandi database biometrici al mondo: la società ha cercato con insistenza l’accesso a SCOPE, ma alcuni funzionari interni hanno tenuto i dati biometrici fuori dal suo perimetro. Un attacco informatico al WFP nel maggio 2026 ha esposto dati di migliaia di beneficiari a Gaza: il WFP precisa che ha riguardato la Self-Registration Application for Palestine, «no direct connection» con il software della società. ## Le altre voci: Skau, la società, l’Europa Il direttore facente funzione **Carl Skau** avrebbe ammesso che il rapporto è problematico, ma uscirne sarebbe costoso perché i sistemi sono intrecciati; non ha risposto alle domande di FRANCE 24. La società ha declinato l’intervista, dicendosi «proud to partner with the World Food Programme»: «does not use, retain or sell customer data for its own purposes», «we do not use customer data to train models». Il WFP dichiara di non essere vincolato ad alcun fornitore: «WFP processes and controls all its own data». Il contratto pro bono richiede comunque cloud e supporto a pagamento: l’ONU registra oltre **10,5 milioni di dollari** di pagamenti dal 2017 al 2024, mentre — secondo un dipendente sentito dai due giornali — una valutazione interna stimava in **20 milioni** uno sviluppo equivalente in casa. Lo stesso dipendente definisce il contratto pro bono anche «a vendor lock-in contract»: è la sua lettura, non una parola che compare nell’audit. Il contesto europeo aiuta a leggere la vicenda. A giugno la **DGSI** francese ha chiuso con la stessa società per un concorrente nazionale: la decisione, ha detto l’ambasciatrice francese per il digitale e l’AI **Clara Chappaz**, è arrivata «in part, over concerns about data sovereignty and digital resilience». Il servizio di sicurezza tedesco ha fatto lo stesso. L’**NHS** britannico ha ammesso a maggio che alcuni dipendenti della società potevano accedere a dati identificabili di pazienti, contrariamente a dichiarazioni precedenti. [Vedi il servizio](https://csidia.com/soluzioni/conformita-documentale) · [Parlane con un tecnico](https://csidia.com/contatti) ## La clausola che nessuno legge fino alla fine C’è anche un motivo contrattuale per scrivere una exit strategy prima di firmare. Privacy International, nel rapporto «All Roads Lead to [the company]» (novembre 2021), ha analizzato una licenza 2019 tra la società e il Dipartimento della Difesa USA, ottenuta via FOIA: la società può raccogliere dati d’uso dei Prodotti «to monitor, analyze, maintain and improve the Products». Lo stesso documento definisce «Products» come «the Client Software, Cloud Solutions and Software specified in the Order», e «Software» come «the [company’s] proprietary commercial software, models, and algorithms [...] in any format». Una catena di definizioni, non un’opinione: se i Prodotti includono il Software, e il Software include «models, and algorithms», migliorare i Prodotti include, per contratto, migliorare modelli e algoritmi. Privacy International trova una clausola quasi identica — la 18.9 — in Gotham e Foundry sul Digital Marketplace britannico. Nello stesso rapporto la società ha esercitato il diritto di replica, e sul WFP ha scritto: «[The company] deploys our commercially available data integration platform, Foundry, in an environment where access and use are controlled by the WFP» — accesso e uso restano dell’agenzia. L’avvocato **Chris Wlach**: i fornitori hanno sempre voluto dati d’uso per migliorare le prestazioni, «but today, data can also help train algorithms and AI models» — chi li cede deve saperlo. ## Fonti - [FRANCE 24 — esclusiva: il WFP rinnova il contratto con la società nonostante i rilievi di un audit trapelato (7 agosto 2026, aggiornato 9 agosto)](https://www.france24.com/en/americas/20260807-never-speak-about-palantir-leaked-audit-reveals-the-un-s-palantir-problem-united-nations-ai-tech-wfp-iaea-ethics) - [PassBlue — Never Speak About It: inchiesta sull’audit trapelato del WFP (7 agosto 2026)](https://passblue.com/2026/08/07/never-speak-about-it-leaked-audit-reveals-the-uns-palantir-problem/) - [Privacy International — rapporto sulla società, con la sua replica (novembre 2021, PDF)](https://privacyinternational.org/sites/default/files/2021-11/All%20roads%20lead%20to%20Palantir%20with%20Palantir%20response%20v3.pdf) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/audit-wfp-nessuna-strategia-di-uscita/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com