La compliance in azienda: come gestire GDPR, whistleblowing, sicurezza sul lavoro e rischi

EcosAgile relatore 00:00

Il webinar di oggi riguarda le funzionalità per la gestione della compliance. Nel sistema ci sono funzioni a supporto di molti aspetti normativi, tra cui quelli indicati nella slide: il GDPR, il whistleblowing, il sistema qualità, la sicurezza e la medicina del lavoro. Buona parte di queste funzioni è raccolta nel modulo compliance, che si può usare per la parte che serve all'azienda.

Il tema della qualità, la ISO 9001, è un po' più complesso, perché riguarda più processi dell'azienda. Tutti i processi della piattaforma, come il recruiting e la valutazione, sono pensati per offrire conformità a un sistema qualità, per esempio la ISO 9001. Qui, a differenza del GDPR o del whistleblowing, il modulo compliance da solo non basta: il discorso è più ampio.

Anche l'ambito della sicurezza e della medicina del lavoro, il D.Lgs. 81/2008, è coperto in modo molto accurato. Permette di gestire tutti gli aspetti come previsto dal testo unico, e la gestione può essere affidata ad attori specifici dell'azienda.

EcosAgile relatore 02:09

Il whistleblowing è un obbligo normativo per le società con più di 50 dipendenti, ed è il più recente: è scattato a dicembre dell'anno scorso. È un obbligo recente e molti dei nostri clienti si sono già dotati del canale, perché la scadenza era dicembre. Richiede di creare un canale facilmente accessibile a chiunque, dipendenti, terzi, consulenti, per segnalare gli illeciti.

La normativa è europea. In Italia il D.Lgs. 24/2023 ha incaricato l'ANAC, l'autorità anticorruzione, sia delle sanzioni sia delle linee guida, che sono disponibili sul sito dell'ANAC.

Il canale di comunicazione deve avere caratteristiche di riservatezza, potenzialmente anche di anonimato. Per questo servono la pulizia dei metadati e degli allegati e anche una comunicazione per via vocale, che deve essere alterata, offuscata, per non rendere facilmente riconoscibile il segnalante. La normativa è abbastanza rigorosa e richiede la creazione di un canale. Questa funzione è parte del modulo compliance.

EcosAgile relatore 03:50

Per il GDPR una delle parti principali è il registro dei trattamenti. È un obbligo introdotto dal GDPR per tutti e riguarda la gestione dei dati di cui si è titolari o che si gestiscono per conto di altri, per esempio per conto dei propri clienti. Ci sono il registro dei trattamenti del titolare e il registro dei trattamenti del responsabile. La gestione è totalmente digitalizzata: nel sistema c'è un registro dei trattamenti informatico a tutti gli effetti.

Il registro prevede di tracciare ogni trattamento, sia quello svolto per conto di un terzo sia quello svolto all'interno della propria azienda, indicando le informazioni richieste, per esempio la durata, la finalità e le modalità. Va tracciata tutta la filiera del trattamento: il personale eventualmente incaricato e i fornitori coinvolti in quel trattamento, cioè i sub-responsabili.

Il vantaggio nel sistema è che queste informazioni sono collegate agli altri dati, sono storicizzate e dispongono della gestione degli allegati, dei promemoria e delle notifiche sulle scadenze. Questo semplifica l'uso e permette di collegarle ad altri aspetti, come il data breach.

EcosAgile relatore 05:30

Anche il data breach viene dal GDPR. Bisogna tracciare tutte le possibili diffusioni di dati, non solo l'attacco informatico in azienda, ma anche cose più banali come una mail inviata a indirizzi sbagliati. Può comunque dare origine a una comunicazione non voluta di dati o di informazioni, più o meno grave, e va gestita e registrata in un processo strutturato.

Questo processo è legato al registro dei trattamenti, perché un data breach ha un impatto su una serie di trattamenti, di cui ci sono referenti che devono essere avvisati di quello che è successo. La parte di data breach è quindi collegata ai trattamenti impattati e ai relativi referenti.

EcosAgile relatore 06:29

La gestione dei rischi è un tema più ampio, perché la mappatura dei rischi si sta diffondendo in molte normative e certificazioni, come il D.Lgs. 81/2008 e il GDPR. Nel sistema è possibile mappare i rischi su più dimensioni: quali sono i fattori di rischio e come sono collegati ai processi aziendali.

Ci sono, per esempio, i rischi della sicurezza sul lavoro secondo il D.Lgs. 81/2008, cioè rischi per mansione e di esposizione in aree di lavoro o per soggetti specifici. Ci sono i rischi relativi ai trattamenti dei dati, per il GDPR, e i rischi di processo, che possono riguardare per esempio la ISO 9001. Fattori di rischio e mappatura sui processi, sulla sicurezza e sui trattamenti sono collegati tra loro.

EcosAgile relatore 07:49

C'è poi la parte di whistleblowing, di cui parlavo prima: la segnalazione degli illeciti in forma confidenziale e anonima, con pulizia degli allegati e canale vocale. Il modulo è anche multi-società e multilingua. È impostato per avere referenti differenti anche in un contesto di più società e per gestire segnalazioni con accessi in lingue diverse.

Per una capogruppo con più sedi abbiamo esteso il sistema in modo da poter fare una configurazione conforme alle indicazioni del decreto, ma multi-societaria. Il canale viene smistato in base ai diversi referenti e si possono nominare referenti specifici per le diverse società o a livello nazionale, che hanno in carico la gestione.

EcosAgile relatore 09:18

Il registro dei reclami serve a registrare le insoddisfazioni e i problemi legati ai servizi, sia ricevuti sia erogati, e riguarda il sistema qualità. Anche la qualificazione dei fornitori riguarda la qualità. Si fa secondo una serie di criteri, come l'economicità, i tempi di consegna, la qualità e le competenze.

La valutazione dei fornitori può essere periodica, anzi deve esserlo, in modo da essere storicizzata. Dà origine a dei punteggi e a una qualificazione del fornitore, formalmente strutturata all'interno dell'azienda. È collegata alle altre parti, come il registro dei reclami e i trattamenti in cui questi soggetti sono coinvolti.

EcosAgile relatore 10:29

La formazione e l'addestramento sono più legati agli obblighi del D.Lgs. 81/2008: i diversi incarichi, preposti, addetti antincendio, primo soccorso e così via. Il sistema propone in automatico gli scadenziari che ricordano i rinnovi e i corsi di rinnovo, tiene traccia dei costi e offre calendari per coinvolgere e assegnare le persone.

C'è poi la parte di sorveglianza sanitaria: visite mediche e protocolli sanitari, anche qui con scadenziari e calendari, oltre alla valutazione dei rischi.

EcosAgile relatore 11:25

Mi sono collegato con un utente super user: per questo vedo tutti i moduli citati nella presentazione. Quello di cui parliamo oggi è il modulo compliance, in alto a destra. Come per le altre funzioni, a livello di navigazione il cliente vede solo i moduli attivi e solo i servizi per cui è abilitato.

EcosAgile relatore 12:09

Comincio dal calendario. Scadenze, adempimenti e promemoria sono consultabili nel calendario. Il calendario, presente un po' dappertutto nel sistema, rappresenta eventi di tipo diverso: formazione, visite mediche, promemoria, scadenze, violazioni, trattamenti, l'arrivo di nuovi reclami o azioni sui reclami. Passando sopra un evento se ne vede il dettaglio e si può aprire la scheda specifica.

Il calendario è utile sia come informazione di sintesi sia per lavorarci: se devo aggiornare una scadenza, posso entrare nel dettaglio dal calendario, fare le modifiche e gestire le mie informazioni.

I calendari sono sincronizzabili. In basso a destra c'è un'icona, e questo vale per tutti i calendari dei diversi processi e moduli: si clicca, si copia il collegamento e lo si incolla in Outlook o in Google come calendario collegato. Il calendario è così disponibile nel client di lavoro abituale, senza bisogno di entrare nel sistema.

EcosAgile relatore 14:12

Parto dai trattamenti effettuati, divisi in trattamenti del titolare e del responsabile. Il trattamento del responsabile riguarda tutte le situazioni in cui gestisco dati di qualcun altro. Nel nostro caso, per esempio, gestiamo una piattaforma e i dati dei nostri clienti, e quindi siamo nominati responsabili del trattamento sui dati che riceviamo. Il titolare, invece, è l'azienda che gestisce i propri dati: i dipendenti, l'assicurazione del personale, il registro dei visitatori. L'obbligo di registrare in modo preciso queste informazioni deriva dal GDPR.

Nel registro del responsabile le informazioni sono strutturate secondo il GDPR e sono storicizzate, con una data di validità. Ogni modifica, per esempio un nuovo cliente che chiede una modalità di trattamento diversa, è un adeguamento del trattamento e deve essere storicizzata.

EcosAgile relatore 16:01

Un esempio, sempre su un caso come il nostro: un cliente ci affida la gestione di un processo. Per farlo utilizziamo dei server in un data center. L'ente che gestisce quei server è un sub-responsabile che abbiamo coinvolto, e deve essere previsto. Si crea così una filiera, un albero di trattamenti, che va tracciata per conformità: per quanto tempo conserviamo i dati, come lo facciamo, il livello di rischio, per quale motivo e così via.

Il registro del titolare è un po' diverso, perché cambiano le informazioni da tracciare. Ci rientrano, per esempio, la firma elettronica usata all'interno dell'azienda, l'assicurazione sanitaria attivata, il registro dei visitatori e quello dei dipendenti. C'è un discreto numero di trattamenti di cui deve essere chiaro quali siano e come vengono svolti.

Qui vedo un trattamento della parte risorse umane, con le informazioni, la base giuridica e gli allegati. Anche in questo caso c'è un sub-responsabile: se i dati li metto da qualche parte, si apre un sub-responsabile. Avrò quindi un registro di soggetti che sono titolari in prima battuta o che sono legati alla catena del trattamento come sub-responsabili, e anche per loro mi servono i referenti.

EcosAgile relatore 18:07

Poi c'è il registro dei data breach, dove si traccia perché è successo e quali analisi sono state fatte.

EcosAgile relatore 18:22

Il whistleblowing si compone di due sezioni. La prima è quella in cui il segnalante fa la segnalazione: è essenzialmente un link che forniamo, da mettere nel sito aziendale; il segnalante clicca e fa la segnalazione. È fatto in modo da non tracciare in nessun modo il segnalante e da rispettare i criteri di riservatezza; gli allegati vengono ripuliti. C'è anche un blocco antispam: dopo una serie di segnalazioni il sistema chiede di dimostrare di non essere un bot che manda messaggi non voluti. Poi c'è il canale di gestione.

Nel canale di gestione arrivano le segnalazioni. A seconda del ruolo, le persone che gestiscono possono essere più d'una e comporre il comitato nominato per la gestione, che può essere anche uno studio esterno, per esempio un legale. Si danno le utenze, si definiscono le causali e le società sotto la loro gestione, e si può ripartire la gestione tra più soggetti. Poi si trovano la segnalazione, gli allegati e il resto.

EcosAgile relatore 19:51

La normativa presuppone che ci sia una sorta di chat riservata e anonima tra il segnalante e l'azienda. Da qui posso chiedere, per esempio, di mandare delle foto, e il segnalante eventualmente risponde e le carica. Lui ha una chat, ma io non so chi c'è dall'altra parte: non è tracciato né in termini tecnici né in termini nominativi.

Quando il segnalante fa la segnalazione riceve un codice. Con questo codice può interagire, vedere lo stato della segnalazione, comunicare successivamente e così via. È un concetto necessario, perché c'è un obbligo di dare riscontro al segnalante sullo stato della segnalazione (nel webinar si parla di sette giorni; i termini esatti vanno verificati nel D.Lgs. 24/2023) e poi di tenerlo aggiornato: se la segnalazione è stata recepita, se è stata respinta, che seguito ha avuto.

EcosAgile relatore 21:02

Un'altra parte interessante è la gestione aziendale. L'obbligo non consiste solo nell'aprire un canale conforme a supporto del segnalante, ma anche nel gestire le segnalazioni, cioè analizzarle. La sezione di gestione interna serve a tracciare che cosa sto facendo, in che termini e con chi. In sede di controllo posso dimostrare che le segnalazioni le sto davvero gestendo: non è solo un fatto di far finta di avere un canale.

I soggetti informati sono un'altra sezione interessante del processo di gestione: permettono di condividere l'informazione all'interno della piattaforma. È importante perché sono soggetto a un obbligo di gestione confidenziale di queste segnalazioni. Se devo farle vedere a qualcuno, non posso mandare una mail, perché può essere intercettata e non è cifrata. La piattaforma aiuta a condividere le informazioni in modo protetto con chi deve essere messo a conoscenza, senza mandare una mail.

EcosAgile relatore 22:28

Sulla gestione dei rischi: in molte normative devo definire dei rischi e valutare come questi impattano sulla mia organizzazione. Lo si fa in più contesti, per esempio per una mansione di lavoro o per un'area di lavoro. Si entra in una valutazione dei rischi e si ottiene la formalizzazione della valutazione.

Una certa mansione espone a rischi diversi. Se li mappo, posso dire quali sono i rischi a cui è esposto, per esempio, chi lavora al videoterminale rispetto a chi lavora in una certa area di lavoro: sono i rischi per area di lavoro. I rischi sono storicizzati, quindi posso vedere come cambiano nel tempo.

A fronte della mappatura identifico azioni di miglioramento, con tempi, responsabili e ruolo, in modo da avere un piano di miglioramento. La mappatura vale per mansione, per area, per processo e, per il GDPR, per trattamento. I rischi di processo sono quelli a livello ISO 9001.

EcosAgile relatore 24:21

Il modulo compliance include quindi l'insieme di funzionalità che abbiamo visto: i trattamenti, il whistleblowing, i reclami, gli incarichi, la valutazione dei rischi e i fattori di rischio.

Si può anche attivare solo la parte di medicina e sicurezza, cioè il modulo EHS, che include la sorveglianza sanitaria, con le visite, i protocolli e le scadenze, e la sicurezza sul lavoro, con i dispositivi di protezione, gli incarichi, la formazione e la gestione degli infortuni.

EcosAgile relatore 25:05

La formazione prevede la definizione dei corsi e la loro assegnazione. Se si vuole, si possono definire anche le sessioni. Per esempio, un corso antincendio a rischio basso lo faccio tre volte all'anno: il corso è sempre lo stesso, ma si svolge più volte, e ognuna è una sessione, in cui dico chi partecipa e in quali date. Se faccio il corso quattro volte, non sono quattro corsi: il corso è lo stesso e avrò quattro sessioni in date diverse.

Il corso può avere i suoi materiali, condivisibili all'interno dell'azienda, con l'ufficio HR e con la persona che deve partecipare: possono essere video, link, schede, a disposizione di chi deve fare il corso. C'è poi una parte relativa agli incidenti, una relativa alla gestione degli esami clinici e, volendo, ai mansionari.

EcosAgile relatore 26:41

Vediamo la sorveglianza sanitaria. Ho un calendario con le visite e un piano. Si possono definire le tipologie di visita e il protocollo sanitario; a quel punto il sistema costruisce una sorta di scadenziario di controllo della compliance. Mi dice, per esempio, che una visita non è stata fatta o che il prossimo rinnovo è fra sei mesi.

Questo è il calendario delle visite: come gli altri calendari, può essere condiviso. Andando nel dettaglio vedo, per esempio, una visita richiesta e pianificata, e posso modificarla o registrarla, indicando dove deve essere fatta.

Queste informazioni generano notifiche: la persona che deve fare la visita riceve il promemoria e trova l'informazione nel suo calendario, quello dell'area personale del dipendente, dove ha la sua gestione e i suoi documenti, compresa l'informazione sulla visita o sul corso che deve fare.

EcosAgile relatore 28:01

Nella gestione massiva delle visite l'elenco si può filtrare: se voglio le visite del prossimo mese, metto un filtro con le date comprese tra oggi e il mese prossimo. Cliccando si va al dettaglio delle diverse visite, e con il pulsante «Aggiungi» in basso se ne inseriscono altre. Per far prima, in alcuni casi c'è anche la possibilità di caricare un file: in basso a sinistra c'è normalmente l'estrazione in Excel o PDF, e se ho un Excel con l'elenco posso caricarlo.

EcosAgile relatore 29:07

La parte legata alla sicurezza è più ampia. C'è la gestione dei dispositivi di protezione, che permette di tracciare i documenti di assegnazione, gli allegati, la storia del bene e le scadenze. C'è poi la cassetta di pronto soccorso: avendo mappato le cassette e i loro contenuti, il sistema mi ricorda già quando devo intervenire. Come formalizzazione dell'obbligo di controllo delle cassette è previsto il registro, dove si vede quando sono stati fatti i controlli, da chi e lo stato di completamento.

I dispositivi hanno un'anagrafica, in modo da sapere da dove arrivano, se sono di proprietà o in altra forma, le diverse tipologie, la società e le informazioni sulla loro assegnazione, sulle verifiche eventualmente fatte, i documenti e i promemoria. Le assegnazioni alle persone permettono di sapere che cosa ho dato a ciascuno, quando, e se deve essere restituito. In questo caso ci sono, per esempio, il casco e le mascherine.

EcosAgile relatore 30:54

Per le assegnazioni ho a disposizione lo scadenziario, con tutti gli eventi che riguardano un bene che deve essere controllato o che arriva a fine scadenza. In alternativa, la responsabilità si può associare al bene specifico: su determinati beni posso indicare i responsabili, che vengono avvisati quando c'è un evento che riguarda quel bene. L'avviso arriva con una notifica via mail oppure tramite gli scadenziari a disposizione.

EcosAgile relatore 31:41

Per controllare la formazione esistono funzioni di compliance che permettono di verificare se la formazione che dovevo fare è stata effettivamente fatta. L'analisi di compliance indica i corsi o la formazione che le persone dovrebbero fare in base agli incarichi, oppure in base a gruppi che definisco liberamente. Se una persona è, per esempio, preposto alla sicurezza e non ha fatto un corso che doveva fare, il sistema la segnala come non compliant.

Il gruppo è un concetto molto libero: posso definirlo con una regola o con una lista, dicendo che quei gruppi devono fare quei corsi. Se non li fanno, mi ritrovo le persone segnalate tra i soggetti che non risultano compliant.

EcosAgile relatore 32:56

Nelle utenze si definiscono i ruoli e i diritti, quindi chi accede a che cosa. Il preposto può accedere solo alla sezione sulla sicurezza, senza la medicina, che sarà demandata a chi si occupa di quel tema. Altri accessi possono essere dati anche al medico esterno, su sezioni specifiche. Se a livello aziendale serve un discorso più generale, si può dare accesso anche ad altre persone.

Un esempio è il whistleblowing: ci sono report definiti a livello aziendale che permettono di controllare, per esempio, quante segnalazioni arrivano per argomento, i tempi di processo e i KPI, anche per chi non gestisce le segnalazioni e non è il preposto. In questo caso si dà accesso a report di controllo del processo, aggregati.

EcosAgile relatore 34:34

C'è anche una parte legata alla segnalazione delle non conformità. Quando ricevo le segnalazioni, posso gestirle in termini di priorità, attività da fare e così via. È una sezione che può essere collegata alla sicurezza sul lavoro, ma può essere estesa ad altri tipi di contenuto e di gestione.

Per esempio, un dipendente che vuole segnalare un macchinario o una cosa che non va può indicare a che cosa si riferisce, per esempio un'area dell'azienda, e può anche fare una foto e inviarla. L'azienda ha una gestione anche di questo.

EcosAgile relatore 35:34

Il canale di segnalazione previsto per il whistleblowing è, come normativa, più rigoroso rispetto ad altri canali previsti da altre normative: la SA8000 e la 231 prevedono anch'esse la possibilità di segnalazione. Il canale predisposto per il whistleblowing ha però caratteristiche in più: gestisce l'anonimato in modo molto più formale, permette di condividere con altri soggetti e prevede una comunicazione più regolata tra segnalante e azienda.

Questo canale si può estendere inserendo causali che non sono solo quelle del D.Lgs. 24/2023: possono riguardare anche la SA8000, la 231 e altro, in modo da creare un canale unico per le segnalazioni da parte di soggetti esterni. Si può fare perché la funzione è personalizzabile: si possono definire le causali, rinominare il canale in «whistleblowing/231», indicare responsabili diversi sulle diverse causali. Così si può generalizzare il canale anche ad altri temi di compliance.

Vi ringrazio molto e vi do appuntamento ai prossimi webinar. Per ulteriori approfondimenti restiamo a disposizione.