Un sistema di compliance — in inglese compliance management system — è l’insieme organizzato di regole, procedure, controlli e strumenti con cui un’azienda previene e rileva le violazioni normative. La parola chiave è sistema: non è un documento e non è un software, è il modo in cui più pezzi lavorano insieme.
Cos’è un sistema di compliance
La differenza tra avere adempimenti e avere un sistema sta nella ripetibilità. Un adempimento è qualcosa che hai fatto una volta. Un sistema è qualcosa che continua a funzionare quando la persona che l’aveva impostato cambia ruolo.
Test rapido: se la persona che segue la compliance andasse via domani, quanto tempo servirebbe a chi la sostituisce per capire a che punto siete? Se la risposta è «settimane», avete adempimenti, non un sistema.
I cinque componenti
- Mappatura degli obblighi e valutazione dei rischi. Quali norme ti si applicano, dove sei più esposto, con quale priorità intervenire.
- Policy e procedure. Le regole interne che traducono l’obbligo di legge in comportamenti concreti, con un responsabile per ciascuna.
- Canali di segnalazione. Il modo in cui una violazione arriva a chi può intervenire, senza che chi segnala rischi ritorsioni.
- Formazione. Perché le regole funzionino serve che chi opera le conosca — e serve poterlo dimostrare.
- Monitoraggio e tracciamento. Controlli periodici e registro di ciò che è stato fatto, con data e responsabile.
I primi due componenti sono quelli su cui le aziende investono per prime. Il terzo e il quinto sono quelli che mancano più spesso — e sono gli unici due su cui il legislatore ha fissato requisiti tecnici precisi.
Quali componenti hai già coperti?
Il check-up gratuito fotografa la situazione in nove domande e ti dice da dove conviene partire. Referto immediato, nessuna registrazione.
Fai il check-up gratuitoDove serve davvero un software
Non tutti i componenti richiedono uno strumento dedicato. Policy e formazione si gestiscono benissimo con quello che già hai. Il canale di segnalazione e il tracciamento sono un’altra storia, perché la norma impone requisiti che gli strumenti generici non soddisfano:
| Requisito di legge | Email condivisa | Piattaforma dedicata |
|---|---|---|
| Anonimato del segnalante | No: mittente e metadati sono visibili | Sì, se previsto by design |
| Riservatezza sull’identità | Dipende da chi accede alla casella | Accessi separati e nominali |
| Registro di chi ha letto e quando | Non disponibile | Audit log inalterabile |
| Avviso entro 7 giorni, riscontro entro 3 mesi | Manuale, dipende dalla memoria | Scadenze tracciate dal sistema |
| Prova in caso di ispezione | Ricostruzione a posteriori | Documentazione già pronta |
È il motivo per cui «abbiamo una casella dedicata» non basta a considerarsi in regola: la casella copre il gesto di ricevere la segnalazione, non i requisiti che la legge pone attorno a quel gesto.
Come si sceglie
Cinque domande da fare a chiunque ti proponga una piattaforma:
Se su una di queste la risposta è vaga, il problema non è il prezzo.
Gli errori ricorrenti
- Comprare lo strumento prima di aver mappato gli obblighi. Si finisce con una piattaforma che copre un adempimento e ne lascia scoperti tre.
- Considerare il sistema finito il giorno dell’attivazione. Senza comunicazione al personale, il canale resta vuoto — e un canale vuoto non è una prova di conformità.
- Non provare mai il flusso. Molte aziende scoprono che le notifiche non arrivavano a nessuno quando ricevono la prima segnalazione vera.
Il terzo è il più comune e il più facile da evitare: basta inviare una segnalazione di prova e verificare che qualcuno la riceva.
Fonti
- D.Lgs. 10 marzo 2023 n. 24, whistleblowing — Normattiva
- D.Lgs. 9 aprile 2008 n. 81, Testo Unico sicurezza sul lavoro (testo vigente) — Normattiva
- D.Lgs. 8 giugno 2001 n. 231, responsabilità amministrativa degli enti — Normattiva
Questo articolo ha scopo informativo e non costituisce parere legale. La normativa evolve e ogni situazione aziendale ha specificità proprie: per la valutazione del tuo caso rivolgiti al tuo consulente o a un legale.