Verificare interim manager ed esterni: come colmare il vuoto

Interim manager, consulenti e personale dei fornitori di servizi sfuggono nella maggior parte delle aziende a ogni griglia di screening: non seguono un onboarding HR, non passano da un processo di candidatura e non vengono sottoposti ad alcuna verifica di affidabilità – ma spesso ricevono accessi ben più ampi dei dipendenti assunti. Sul piano giuridico si aggiunge che il § 26 BDSG regolarmente non si applica loro: il § 26 par. 8 BDSG definisce la nozione di dipendente, e gli esterni generalmente non vi rientrano. La verifica degli esterni si fonda pertanto sull’art. 6 par. 1 lett. b e f GDPR – e nei settori regolamentati non è più un’opzione, ma parte degli obblighi verso terzi.

Perché gli esterni sfuggono alla maglia

La causa è organizzativa: gli esterni entrano in azienda tramite l’acquisto o il reparto di competenza, non tramite le HR. Il contratto di servizi regola prestazione e responsabilità, ma raramente l’integrità delle persone impiegate. E poiché il CFO interim o l’amministratore esterno è formalmente assunto dal fornitore, nessuno si sente responsabile della sua verifica – il fornitore rimanda al cliente, il cliente si fida del fornitore. Il risultato: la persona con accesso generale a ERP, flussi di pagamento o controllo della produzione è spesso la meno verificata di tutto l’edificio. Gli interim manager aggravano il quadro: arrivano proprio nelle fasi di transizione – vacanza, ristrutturazione, crisi – e quindi in momenti in cui i controlli interni sono comunque indeboliti. In sintesi: l’accesso più costoso in azienda è quello non verificato.

Base giuridica: art. 6 par. 1 lett. b e f GDPR

Che il § 26 BDSG non si applichi non è un ostacolo, ma un chiarimento – le basi giuridiche generali del GDPR sostengono la verifica:

• Art. 6 par. 1 lett. b GDPR: la verifica delle informazioni con cui l’esterno o il suo fornitore si presenta (qualifiche, esperienze, progetti di riferimento) è parte delle misure precontrattuali e dell’esecuzione del contratto.
• Art. 6 par. 1 lett. f GDPR: le verifiche su registri, liste di sanzioni e adverse media si fondano sul legittimo interesse a concedere accessi critici solo a persone integre – con ponderazione degli interessi documentata e basata sul ruolo.

Anche qui valgono obblighi di trasparenza e proporzionalità; la sistematica generale l’abbiamo sviluppata nel contributo sulle basi giuridiche GDPR dello screening.

Cosa impongono in aggiunta i settori regolamentati

Nei settori regolamentati la verifica degli esterni è sempre più spesso richiesta espressamente:

• Settore finanziario: il regolamento DORA (reg. (UE) 2022/2554, artt. 28 ss.) richiede prima della conclusione del contratto una due diligence sui fornitori terzi di servizi ICT – la responsabilità resta in capo all’impresa finanziaria. Dettagli nel contributo su DORA e il fattore umano.
• Infrastrutture critiche: il BSIG obbliga gli enti interessati a concetti per la sicurezza del personale e della catena di fornitura – incluso il personale di aziende terze.
• Soggetti obbligati ai sensi della GwG: gli obblighi di diligenza di cui al § 10 GwG coprono i rapporti d’affari – anche quelli con il fornitore di servizi.

Schema di verifica: persona e fornitore insieme

La peculiarità dello screening degli esterni: esistono due oggetti di verifica. Uno schema solido li copre entrambi:

1. La persona: identità, verifica di curriculum e qualifiche, registri rilevanti per la posizione, liste di sanzioni, adverse media, conflitti di interesse (incarichi, partecipazioni).
2. Il fornitore: estratto del registro e dati anagrafici, titolari effettivi (UBO), verifica di sanzioni e adverse media dell’azienda, intrecci riconoscibili.
3. L’accesso: classificazione basata sul ruolo – più critici sono sistemi e dati, più approfondita è la verifica e più probabile una ripetizione durante la durata del rapporto; quando ha senso il monitoraggio continuo lo mostra il nostro confronto verifica una tantum o monitoraggio continuo.

La profondità della verifica segue lo stesso criterio di necessità dei dipendenti assunti – decisivo è l’accesso, non lo status contrattuale. Importante anche il presidio contrattuale: ancorate la verifica come condizione nel contratto di servizi – inclusa l’informazione dell’interessato da parte del fornitore e la comunicazione dei cambi di personale.

Raccomandazione operativa

Inventariate prima quali esterni hanno oggi quali accessi – questa lista è di regola più lunga del previsto. Definite poi un obbligo di verifica a partire da una soglia di criticità chiara, ancoratelo nel processo di acquisto e verificate insieme persona e fornitore. Indicium realizza esattamente questo nel report combinato persona e azienda, con fonti datate e controllo finale umano (art. 22 GDPR) – come si presenta per il vostro settore lo mostriamo volentieri in una demo.

Questo articolo non costituisce una consulenza giuridica.