Interfacce nelle PMI: regolamentare il passaggio tra vendite e amministrazione

Dove vendite e amministrazione lavorano in modo disallineato

All'interfaccia tra vendite e amministrazione transitano quotidianamente gli stessi documenti e set di dati: offerte con le relative versioni, conferme d'ordine, anagrafiche clienti con indirizzi e persone di contatto, documentazione contrattuale, impegni su prezzi e sconti, e successivamente le basi per la fatturazione e le copie per l'archivio.

Le vendite puntano alla chiusura del contratto e necessitano di velocità e margine di manovra. L'amministrazione deve invece avere documenti completi, verificabili e archiviabili, per poter fatturare, sollecitare i pagamenti e conservare la documentazione.

Dove queste priorità si scontrano, nascono attriti tipici: gli impegni vengono presi oralmente e mai formalizzati per iscritto, la documentazione contrattuale resta presso il cliente invece che nel sistema, i dati anagrafici vengono modificati dalle vendite senza che l'amministrazione aggiorni i propri record.

La pressione su questo punto di passaggio è in aumento. Secondo SwissLegal, le persone incaricate della direzione aziendale devono confrontarsi con normative sempre più dettagliate e con un numero crescente di regolamentazioni ufficiali. La maggior parte delle imprese percepisce questo onere come un peso e uno svantaggio competitivo; la pressione amministrativa colpisce le PMI più duramente rispetto alle grandi aziende.

Il livello di regolamentazione è particolarmente elevato per le imprese che operano oltre i confini nazionali, entrando così in ulteriori giurisdizioni. Secondo uno studio di Credit Suisse del giugno 2014, ciò riguarda il 69 percento delle PMI.

Proprio questi oneri ricadono sul punto di passaggio: gli obblighi di documentazione, il sistema di controllo interno, la protezione dei dati nonché la documentazione contrattuale e del registro di commercio richiedono dati che vengono generati nelle vendite e conservati nell'amministrazione.

Un'interfaccia regolamentata in modo consapevole porta immediato sollievo: ogni punto di passaggio riceve un destinatario definito, un contenuto minimo definito e una tempistica definita. In seguito, è possibile rispondere senza lunghe ricerche a domande come chi ha approvato un'offerta, quale versione del contratto sia valida e dove si trovi il documento firmato. Allo stesso modo, si può chiarire chi fosse responsabile di un dato inserito erroneamente.

Questa è la base affinché richieste di informazioni, revisioni o processi di vendita non debbano essere ricostruiti a posteriori da e-mail sparse.

La catena di passaggio consiste in cinque punti: offerta con versione, conferma d'ordine, documentazione contrattuale, base per la fatturazione e copia d'archivio. Ogni punto costituisce un passaggio a sé stante e ha un proprio destinatario, un proprio contenuto minimo e una propria tempistica.

Per ogni punto viene registrato nominalmente chi effettua il passaggio e chi lo riceve. Viene inoltre nominato un sostituto, affinché il passaggio non si blocchi in caso di assenza.

Non tutte le informazioni possono essere trasmesse allo stesso modo

All'interfaccia circolano tipi di dati molto diversi, per i quali valgono regole specifiche: dati sui clienti e contatti (nome, indirizzo, funzione, storico delle comunicazioni), dati contrattuali e delle offerte (ambito delle prestazioni, prezzi, durate, sconti), dati sui dipendenti (funzione, responsabilità, sostituzioni) nonché dati personali particolarmente sensibili.

Un esempio di quest'ultima categoria è un'agenzia di collocamento che raccoglie curricula, aspettative salariali e lo storico delle candidature. La liceità di una trasmissione dipende dal tipo di dati e dalla finalità del trattamento, non dal percorso attraverso cui i dati si muovono internamente.

Una prima linea di demarcazione è l'ambito di applicazione personale: le persone giuridiche non rientrano nella Legge federale sulla protezione dei dati (art. 2 cpv. 1 nLPD). La denominazione sociale, la sede e i dati del registro di commercio di una SA o di una Sagl non comportano quindi, di per sé, obblighi in materia di protezione dei dati.

Tuttavia, se si aggiungono informazioni relative a una persona fisica – la persona di contatto con nome e indirizzo e-mail, la candidatura, l'indicazione dello stipendio – si tratta di un dato personale soggetto alle norme vigenti.

Questa distinzione deve far parte di ogni regolamento interno. Essa determina quali campi possono essere trasmessi e quali richiedono una base giuridica aggiuntiva.

Prima di formulare le regole, è necessario conoscere i dati e i flussi informativi. Dove e come vengono trattati i dati personali nell'azienda? In quale sistema viene creata l'offerta, dove viene archiviata la versione del contratto?

Quali copie vengono inviate via e-mail a terzi? Chi nelle vendite ha il diritto di modificare quali campi della scheda cliente?

Un registro dei tipi di dati lungo i punti di passaggio – offerta, conferma d'ordine, documentazione contrattuale, base per la fatturazione, archivio – è lo strumento pratico per farlo. Costituisce anche la base per qualsiasi futura richiesta di informazione.

Un CRM gestisce i dati dei clienti, le offerte e le opportunità di vendita in un unico luogo. È quindi il posto più ovvio per i punti di passaggio relativi a offerta, conferma d'ordine e documentazione contrattuale.

Se nel CRM è registrato chi ha il diritto di modificare quali campi, in seguito sarà possibile dimostrare da dove proviene un'informazione e chi l'ha modificata.

Un database clienti, due esigenze

Vendite e amministrazione utilizzano generalmente lo stesso database clienti, ma con prospettive diverse. Le vendite vogliono vedere rapidamente chi ha ricevuto quale promessa e quando. L'amministrazione necessita di indicazioni complete per la fatturazione, i solleciti e l'archiviazione.

Un database ben curato soddisfa entrambe le esigenze: consente una comunicazione con i clienti rapida ed efficiente, analisi della clientela e un controllo di qualità semplificato per migliorare prodotti e servizi. Riduce inoltre i tempi di reazione ai cambiamenti nelle esigenze dei consumatori. Questi vantaggi si realizzano solo se la base dati è aggiornata e ben segmentata.

I dati sui clienti confluiscono da piattaforme social, siti web, sondaggi e colloqui con i clienti. Laddove i dati vengono raccolti e utilizzati, è necessario ottenere il consenso dei clienti, conservare i dati in modo sicuro e proteggerli dall'accesso non autorizzato.

Per l'interfaccia, questo significa: ad ogni registrazione bisogna stabilire se esiste un consenso per l'utilizzo previsto e dove esso è documentato. Se manca, il dato non può essere utilizzato per tale scopo.

Dal punto di vista organizzativo, serve una chiara ripartizione delle responsabilità. Le vendite segnalano costantemente le modifiche – nuova persona di contatto, nuovo indirizzo, ambito di prestazione modificato –, l'amministrazione verifica la completezza delle indicazioni ai fini della fatturazione e dell'archiviazione e unifica i duplicati.

Senza questa disciplina, i dati invecchiano silenziosamente: le analisi si basano su segmenti obsoleti, il controllo di qualità su feedback superati e le fatture vengono inviate a indirizzi non più validi da mesi.

Un ritmo fisso per l'aggiornamento e una persona nominata responsabile della qualità del database mantengono basso l'onere amministrativo. Distribuito su due aree, entrambi i reparti ne traggono vantaggio.

Nello specifico, il regolamento stabilisce quali campi le vendite possono modificare autonomamente e quali modifiche l'amministrazione verifica prima della registrazione contabile. Ogni modifica riceve la data e il nome della persona che l'ha inserita.

L'amministrazione conferma l'avvenuta acquisizione della modifica. In questo modo l'aggiornamento è concluso e non merely segnalato.

Luogo di archiviazione e accesso: una decisione con conseguenze

Il luogo fisico in cui risiedono i dati di clienti, offerte e vendite non è una nota tecnica marginale, ma una decisione con conseguenze legali, economiche e legate alla fiducia. Bisogna chiarire in quale data center si trovano i dati, sotto quale ordinamento giuridico vengono trattati e chi, in caso di dubbio, può richiederne l'accesso.

Se i dati di un ufficio fiduciario di Zurigo si trovano su server in Svizzera, si applica chiaramente la Legge federale rivista sulla protezione dei dati. Se gli stessi dati si trovano presso un fornitore con sede fuori dall'Europa, possono entrare in gioco leggi straniere che consentono l'accesso da parte delle autorità senza che l'impresa interessata ne venga a conoscenza.

L'archiviazione dei dati in Svizzera offre quattro vantaggi concreti. In primo luogo, semplifica la prova del rispetto della Legge federale rivista sulla protezione dei dati, che comunque deve essere osservata. In secondo luogo, elimina la problematica dei paesi terzi: un trasferimento di dati all'estero dovrebbe essere motivato e messo in sicurezza.

In terzo luogo, l'accesso da parte delle autorità rimane regolamentato e segue il diritto svizzero invece delle competenze delle autorità straniere. In quarto luogo, l'affermazione «I vostri dati restano in Svizzera» convince spesso un nuovo cliente più di qualsiasi specifica tecnica. Con luoghi di archiviazione distribuiti, al contrario, ogni risposta a una richiesta di informazioni deve essere prima assemblata.

L'impatto nella pratica quotidiana è illustrato dall'esempio di una piccola agenzia di collocamento: essa tratta dati personali particolarmente sensibili come curricula, aspettative salariali e storico delle candidature. In caso di richiesta relativa alla protezione dei dati, deve essere in grado di dimostrare dove si trovano questi dati e chi vi ha accesso.

Se il fornitore archivia esclusivamente in Svizzera, la risposta è chiara e verificabile in due frasi. La stessa logica vale per un ufficio fiduciario con i dati dei mandanti: il luogo di archiviazione contribuisce a determinare quanto credibile appare l'azienda nei confronti dei suoi clienti.

Per la catena di passaggio, questo significa: per ogni documento archiviato deve essere noto sotto quale ordinamento giuridico esso ricade e chi vi ha accesso. Chi gestisce offerte e versioni contrattuali in un CRM, con la scelta del luogo di archiviazione decide anche su questa dimostrabilità.

Vantaggi dell'archiviazione dei dati in Svizzera per le PMI

Regole per lo scambio continuo

Per la trasmissione tra vendite e amministrazione valgono le disposizioni generali della Legge sulla protezione dei dati. Bisogna chiarire quali dati personali vengono trattati nell'azienda, per quale scopo e chi vi ha accesso.

La decisione della Conferenza tedesca per la protezione dei dati dell'11 settembre 2024 riguarda la trasmissione di dati personali a un acquirente in un asset deal e si basa sul GDPR. Per lo scambio puramente interno tra reparti, essa non costituisce una base. Le regole interne devono quindi essere derivate dalla propria finalità di trattamento e dal rispettivo tipo di dati.

Per lo scambio interno basta una semplice domanda: quale scopo giustifica che esattamente questi dati vengano trasmessi a esattamente questo punto? Chi registra la risposta nel sistema – tipo di dati, scopo, base giuridica e autorizzazione di accesso – potrà dimostrarla in seguito. Chi si affida all'abitudine («abbiamo sempre fatto così»), in caso di controversia non potrà indicare alcuna base giuridica.

L'applicazione va presa sul serio. La Legge sulla protezione dei dati contiene meccanismi di esecuzione rafforzati: il Commissario federale alla protezione dei dati e alla trasparenza (IFPDT) può effettuare indagini d'ufficio ed emanare disposizioni vincolanti (art. 49 ss. nLPD).

Sono previste multe fino a 250'000 franchi e l'iscrizione nel casellario giudiziale in caso di violazione di determinate regole. La sanzione non si rivolge principalmente all'azienda, ma alla persona fisica responsabile (art. 60 ss. nLPD).

Per molte aziende, il rischio di titoli negativi sui media (social) con la conseguente perdita di reputazione sarà probabilmente prioritario. L'obiettivo è quindi una pratica verificabile e documentata: basi giuridiche registrate per tipo di dati e finalità di trattamento, consensi tracciabili, chiare autorizzazioni di accesso.

Per ogni punto di passaggio vengono quindi registrati quattro elementi: tipo di dati, scopo, base giuridica e autorizzazione di accesso. Essi valgono per singolo punto e non solo per il database clienti nel suo complesso.

Laddove transitano dati personali particolarmente sensibili – ad esempio curricula, aspettative salariali e storico delle candidature – la base giuridica deve essere verificata prima della trasmissione. Se manca, il passaggio non avviene.

Caso speciale di passaggio: vendita aziendale, successione, management buy-out

Nella vendita aziendale, i dati di vendita e dei mandanti lasciano l'azienda: dall'interfaccia interna si passa a un'interfaccia esterna. Bisogna distinguere due forme di transazione: nello share deal vengono trasferite quote; il trasferimento dei dati è in questo caso poco problematico, fatta salva la due diligence.

Nell'asset deal vengono trasferiti singoli beni economici, tra cui possono rientrare anche dati su clienti, fornitori o dipendenti. Per questo caso, la decisione della Conferenza tedesca per la protezione dei dati dell'11 settembre 2024 stabilisce che la trasmissione di dati personali al momento delle trattative contrattuali è fondamentalmente illegittima – fanno eccezione un consenso valido e soprattutto volontario, nonché un interesse legittimo nel singolo caso.

Nella verifica dell'interesse legittimo bisogna differenziare per gruppi di persone. Un tale interesse è concepibile in particolare per i principali partner contrattuali o per i dipendenti con ruoli dirigenziali. Per i dati dei clienti decide la fase: concreta avviamento contrattuale, rapporto contrattuale in corso o rapporto terminato con obbligo legale di archiviazione.

Per la pratica, questo significa: prima di aprire una data room, bisogna stabilire quali tipi di dati vi appartengono effettivamente. Per gli altri, si deve scegliere la via del consenso o di una valutazione degli interessi documentata.

Quanto le questioni relative ai dati influenzino il passaggio dipende dalla variante di successione. La successione interna alla famiglia rimane, secondo il portale PMI della SECO, la forma più frequente di trasferimento aziendale in Svizzera, ma è in netto calo.

Nel management buy-out (MBO), il management esistente rileva l'azienda. Poiché esistono minori asimmetrie informative, la transazione è giuridicamente più semplice. I potenziali conflitti di ruolo non vanno sottovalutati, quando i dipendenti esistenti compaiono improvvisamente come acquirenti.

Nel management buy-in (MBI), al contrario del MBO, possono sorgere potenzialmente più attriti con dipendenti, fornitori o clienti. La familiarità nel primo caso e i conflitti di ruolo o di interesse nel secondo determinano, tra l'altro, chi può visualizzare quali dati dei clienti e quando.

Le questioni relative ai dati appartengono alla pianificazione della successione stessa, non alla fase calda delle trattative. Una pianificazione dettagliata della successione è necessaria in ogni caso. Una successione riuscita è il risultato di lunghe riflessioni, nelle quali sono state incluse il più possibile diverse opzioni.

Chi stabilisce presto quali dati mostrare nella data room, quali clienti informare preventivamente e quali accessi registrare, evita che il passaggio fallisca all'interfaccia tra numeri e dati personali.

Prima di ogni data room c'è la catena di passaggio interna. Dal verbale di passaggio deve risultare chi ha visualizzato e trasmesso quali dati dei clienti e quando.

Verbale di passaggio e responsabilità come strumento di gestione

Un'interfaccia regolamentata consiste in pochi elementi concreti. Tra questi vi sono le responsabilità registrate per iscritto per ogni punto di passaggio: chi passa, chi riceve, entro quando.

Vi rientra un contenuto minimo definito per ogni passaggio: quali campi e documenti devono essere presenti prima di procedere.

Il contenuto minimo di un punto di passaggio risulta dai tipi di dati che vi transitano: dati sui clienti e contatti, dati delle offerte e contrattuali, prezzi, durate e sconti. Per i dati personali vi appartiene anche la base giuridica del trattamento.

Vi rientra la documentazione di questi processi come parte del sistema di controllo interno. Vi rientra rispettivamente una responsabilità nominata per le questioni legali e per la cura del database clienti.

Gli ultimi due punti sono compiti indipendenti. La consulenza legale interna ed esterna e il sistema di controllo interno sono considerati nella letteratura sulle PMI come temi di gestione propri. Entrambi convergono sulla stessa esigenza: registrazioni comprensibili e tracciabili.

Affinché il regolamento non crolli al primo cambio di personale, deve essere verificabile. Il verbale di passaggio registra quali campi sono stati passati, chi ha firmato e quando è avvenuta la verifica. In caso di nuova assunzione, ciò permette di mostrare come funziona il processo, invece di doverlo reinventare.

Il verbale di passaggio registra per ogni punto quattro indicazioni: tipo di dati, destinatario, momento e persona verificatrice. Data e firma chiudono la procedura.

Ogni momento è una scadenza. Viene fissata in modo tale che fatturazione, solleciti e archiviazione possano proseguire senza ulteriori richieste.

Per ogni punto di passaggio viene nominata una persona responsabile con un sostituto. In caso di cambio di titolare, la responsabilità passa per iscritto e viene annotata nel verbale.

Le prove hanno effetto anche verso l'esterno. Il diritto di informazione della persona interessata (art. 25 nLPD) richiede che l'azienda possa fornire informazioni; il verbale di passaggio ne fornisce la base.

Un intervallo di verifica fisso mantiene il regolamento aggiornato. Verifica se le basi giuridiche registrate corrispondono ancora allo stato effettivo delle relazioni con i clienti e se sono stati aggiunti nuovi tipi di dati.