Attuare una strategia di conformità

La conformità si costruisce, non si compra

La maggior parte delle organizzazioni scopre la conformità a proprie spese, come un incendio da spegnere quando un distributore, un marketplace o un’autorità chiede una prova. Acquistare uno strumento non risolve il problema: la conformità diventa duratura solo se è incorporata nel modo in cui l’azienda decide, struttura l’organico e i dati e lavora ogni giorno. Questo documento è un manuale pratico per fare esattamente questo.

Segue l’arco di attuazione comune ai programmi di successo — dalla decisione della direzione, passando per il business case, le persone e i dati, fino alle operazioni — e si fonda sugli standard riconosciuti del settore: il modello di sistema di gestione della conformità della norma ISO 37301 e il modello delle tre linee dell’IIA per la governance. Lungo tutto il testo si troveranno modelli da replicare e schemi di documento da compilare.

Modelli e schemi di documento in questo documento

• Modelli: l’arco di attuazione · il modello di governance delle tre linee · il modello dei dati di conformità · il ciclo di conformità continua (PDCA) · un modello di maturità · una matrice delle priorità.
• Schemi di documento: politica di conformità · business case · matrice RACI · campi dei dati di prodotto · richiesta di conformità al fornitore · tabella di marcia di attuazione · scheda degli indicatori (KPI) · registro della conformità.

L’arco di attuazione

I programmi di conformità che durano attraversano cinque fasi collegate. Se ne salta una, le altre vacillano: uno strumento privo di mandato viene ignorato; un mandato privo di dati non ha nulla su cui agire; dei dati privi di un ritmo operativo si deteriorano.

L’arco di attuazione — cinque fasi collegate, dal mandato della direzione alle operazioni quotidiane.

Il resto del documento affronta le fasi una alla volta. Una precisazione terminologica: usiamo sistema di gestione della conformità (CMS) nel senso della norma ISO 37301 — l’insieme di politiche, ruoli, dati e processi con cui un’organizzazione adempie ai propri obblighi — e non un singolo software.

Fase 1 — La decisione della direzione

La conformità parte dall’alto, oppure non parte affatto. La norma ISO 37301 pone la leadership, la governance e la cultura al centro del sistema di gestione per una ragione precisa: senza un mandato chiaro, una propensione al rischio dichiarata e un sostegno visibile, il lavoro sulla conformità è sempre l’attività che cede il passo alla scadenza successiva.

Che cosa deve decidere la direzione

• Un mandato e uno sponsor. Si individui un dirigente responsabile della conformità e si conferiscano al programma autorità e budget espliciti.
• La propensione al rischio. Si dichiari con chiarezza quale rischio di non conformità l’azienda è disposta a tollerare, per mercato, canale e categoria di prodotto.
• Una politica di conformità. Una dichiarazione breve, approvata dal consiglio di amministrazione, su impegno, ambito, ruoli e reportistica — la costituzione da cui discende tutto il resto.

Il modello di governance

Il modello delle tre linee dell’IIA serve a stabilire chi fa che cosa. La prima linea (prodotto, approvvigionamento e operazioni) detiene e gestisce la conformità nel lavoro quotidiano. La seconda linea (una funzione di conformità/qualità) definisce politiche, quadri di riferimento e monitoraggio. La terza linea (l’audit interno) fornisce un’assurance indipendente. L’organo di governo sta al di sopra di tutte e tre ed è responsabile nei confronti dei portatori di interesse; gli organismi esterni — autorità, distributori e organismi notificati — restano all’esterno.

Schema di documento — Politica di conformità (una pagina). Finalità: perché l’organizzazione si impegna per la conformità dei prodotti. Ambito: quali prodotti, marchi, mercati e canali sono coperti dalla politica. Impegno: una dichiarazione con cui l’organizzazione si impegna a rispettare tutti i requisiti UE applicabili ai prodotti e ad agire in caso di violazioni. Ruoli e responsabilità: sponsor, responsabile della conformità, compiti della prima, seconda e terza linea (cfr. la matrice RACI). Propensione al rischio: il livello di rischio tollerato, per categoria e mercato. Segnalazione ed escalation: come vengono sollevate le criticità, a chi e in quanto tempo. Riesame: periodicità del riesame (ad es. annuale) ed eventi che lo attivano. Approvazione: approvata da [organo di governo] il [data]; responsabile [nome].

Fase 2 — La decisione aziendale

Una volta ottenuto il mandato, la conformità diventa un business case come gli altri: se ne definisce l’ambito, se ne stabiliscono le priorità, si sceglie come dotarla di risorse e si definisce che cosa significhi successo.

Dare priorità a ciò che conta

Non si può fare tutto insieme. Si ordinino prodotti e mercati in base all’esposizione — combinando il rischio normativo e di richiamo con i ricavi in gioco — e si parta da dove entrambi sono elevati.

Sviluppare, acquistare o esternalizzare

Tre modelli di dotazione di risorse, di solito combinati: sviluppare una funzione interna (controllo, ma lenta e costosa da assemblare); acquistare una piattaforma che automatizza classificazione, validazione e documentazione (rapida, scalabile); oppure esternalizzare a un servizio gestito (competenze senza aumentare l’organico). La maggior parte dei marchi acquista la piattaforma e aggiunge un supporto gestito dove serve giudizio professionale.

Fase 3 — Persone e responsabilità

La conformità fallisce in silenzio quando ciascuno presume che spetti a qualcun altro. Si renda esplicita la titolarità, si dotino le persone delle competenze necessarie e si costruisca una cultura in cui segnalare un problema sia premiato, non punito.

Assegnare la titolarità con una matrice RACI

Una matrice RACI associa ogni attività a chi è Responsabile (Responsible), Titolare (Accountable), Consultato (Consulted) e Informato (Informed). Si adatti lo schema seguente alla propria struttura — l’essenziale è che ogni riga abbia esattamente un Titolare.

R = Responsabile · A = Titolare · C = Consultato · I = Informato. Dove manca la capacità interna, una piattaforma o un servizio gestito può assumere il ruolo di Responsabile mentre il team dell’organizzazione resta Titolare.

Competenze e cultura

• Si formino i team di prodotto e di approvvigionamento sulle basi: che cos’è una dichiarazione di conformità, che cosa fa una persona responsabile, che cosa fa scattare l’applicazione di un regolamento.
• Si renda visibile lo stato di conformità negli strumenti che le persone già usano, così che faccia parte del flusso di lavoro e non sia un’incombenza a parte.
• Si premi la segnalazione tempestiva delle lacune. Una cultura che nasconde i problemi è il singolo rischio maggiore per qualsiasi sistema di conformità.

Fase 4 — Dati e sistemi

La conformità, in fondo, è un problema di dati. Non si può provare ciò che non si sa descrivere. Il fondamento è un’unica fonte di verità che collega ogni prodotto ai mercati in cui è venduto, alle norme che si applicano, ai requisiti che lo dimostrano e alle evidenze che li sostengono.

Il modello dei dati di conformità — un prodotto collegato ai suoi mercati, norme, requisiti, evidenze, fornitore e persona responsabile.

Impostare correttamente i dati di prodotto

È nella classificazione che si arenano la maggior parte dei programmi. Si rilevi per ogni prodotto un insieme coerente di campi, in modo che il sistema possa associare ogni SKU ai regolamenti e alle norme armonizzate applicabili.

Si invii una richiesta di conformità al fornitore al momento dell’acquisizione; si preferiscano i documenti verificati da terzi alle autodichiarazioni.

Fase 5 — Operazioni e conformità continua

La conformità non è un progetto che finisce; è un ritmo operativo. La norma ISO 37301 si basa sul ciclo Plan-Do-Check-Act, e un programma efficace esegue lo stesso ciclo in modo continuo per ogni prodotto.

Il ciclo di conformità continua — dall’acquisizione al monitoraggio, in linea con il ciclo Plan-Do-Check-Act della norma ISO 37301.

Eseguire il ciclo

• Acquisire e classificare. Ogni prodotto nuovo o modificato entra nel sistema e viene associato alle norme applicabili.
• Validare e sanare. Si verifica rispetto ai requisiti, si individuano le lacune e le si colma.
• Documentare. Si generano la dichiarazione di conformità, il fascicolo tecnico e uno stato di conformità condivisibile — pronti prima che un distributore li chieda.
• Monitorare. Si seguono le modifiche normative e si rivalida automaticamente, così che un nuovo requisito sia un avviso, non un’emergenza.

Si tenga un registro della conformità aggiornato, in modo che lo stato sia verificabile in qualsiasi momento.

Essere pronti per il giorno difficile

Le operazioni significano anche prontezza: un processo definito per un richiamo o per un’allerta Safety Gate, con persona responsabile, documentazione e misure correttive già predisposte. I marchi che superano un incidente sono quelli che vi si sono preparati prima che accadesse. (Cfr. il documento di approfondimento correlato, Come gestire i richiami di prodotti nell’UE.)

Sapere a che punto si è

Prima di pianificare, ci si collochi. Il passaggio che conta di più è quello da Conforme a Pronto per la distribuzione — il punto in cui la conformità smette di essere un collo di bottiglia e diventa uno strumento di vendita.

La tabella di marcia

Una sequenza pragmatica porta un marchio dalla fase reattiva a quella di prodotti pronti per la distribuzione in circa un trimestre, per poi passare al miglioramento continuo. Si adatti la tempistica alle proprie dimensioni e al proprio catalogo.

Misurare il successo

Ciò che si misura si realizza. Si monitori un piccolo insieme di indicatori che colleghino la conformità all’attività aziendale.

Insidie e fattori di successo

Da evitare

• Acquistare uno strumento senza un mandato, un responsabile o un ritmo operativo alle spalle.
• Voler coprire l’intero catalogo in una sola volta anziché dare priorità in base a rischio e ricavi.
• Trattare la documentazione come un adempimento una tantum e non come un registro vivo e monitorato.

Da fare

• Partire dall’alto, definire l’ambito con precisione e ottenere presto un risultato visibile di prodotti pronti per la distribuzione.
• Indicare una sola persona Titolare per ogni attività e rendere visibile lo stato.
• Automatizzare il lavoro ripetibile, così che le persone dedichino il tempo al giudizio professionale e non all’amministrazione.

Da obbligo a capacità

Attuare una strategia di conformità è un cambiamento operativo, non un acquisto. Si decide al vertice, si costruisce il business case, si assegna una titolarità chiara, si costruisce il fondamento dei dati e si esegue il ciclo. Così facendo, la conformità smette di essere ciò che rallenta l’azienda e diventa ciò che consente di arrivare a scaffale, di restarci e di trasformare ogni nuovo regolamento in una funzione che già si possiede.

Come Conphora può aiutare

Conphora è la piattaforma e il servizio gestito alla base di questo manuale. Mette a disposizione il modello dei dati di conformità già pronto, valida il catalogo rispetto a 49 regolamenti UE in 27 paesi, esegue il ciclo di conformità continua e genera la documentazione e lo stato condivisibile richiesti dai distributori. La si può usare in autonomia oppure lasciare che sia il nostro team a gestirla. Maggiori informazioni su conphora.com.

Fonti e riferimenti

1. ISO 37301:2021 — Sistemi di gestione della conformità: requisiti e linee guida per l’utilizzo (PDCA; sostituisce la ISO 19600:2014).
2. The Institute of Internal Auditors — The Three Lines Model (aggiornamento 2020 del modello Three Lines of Defense).
3. Regolamento (UE) 2023/988 — regolamento sulla sicurezza generale dei prodotti (GPSR). EUR-Lex.
4. Regolamento (UE) 2024/1781 — regolamento sulla progettazione ecocompatibile dei prodotti sostenibili (ESPR) e passaporto digitale del prodotto. EUR-Lex.
5. Commissione europea — sistema di allarme rapido Safety Gate (relazione annuale).

Questo documento di approfondimento fornisce informazioni di carattere generale e non costituisce una consulenza legale. I quadri di riferimento sono riassunti; prima dell’attuazione si consultino le norme e i regolamenti primari. © 2026 Conphora.