Il paradosso della compliance: quando l’adeguamento rischia di sottrarre risorse alla cura
Negli ultimi anni, gli Enti del Terzo Settore (ETS) che operano in particolare nell’ambito dell’assistenza sanitaria e sociosanitaria, hanno attraversato una trasformazione profonda già dal 2017 con la nuova legge quadro che ha messo ordine nel Terzo Settore (D.Lgs 117/2017).
Ma oggi, sempre più, le Organizzazioni storicamente orientate alla solidarietà, alla riabilitazione, all’inclusione sociale e alla centralità della persona si trovano nella necessità da una parte, e nell’obbligo dall’altra, a dover gestire una complessità amministrativa, tecnologica e normativa sempre più vicina a quella delle grandi organizzazioni sanitarie.
Il fenomeno riguarda in particolare le realtà accreditate con i Servizi Sanitari Regionali: comunità terapeutiche per le dipendenze, strutture per la salute mentale, centri riabilitativi, servizi residenziali e semiresidenziali e altre organizzazioni che erogano prestazioni sanitarie e sociosanitarie per conto delle aziende sanitarie pubbliche.
L’accreditamento istituzionale, disciplinato nel quadro degli articoli 8-bis, 8-ter e 8-quater del D.Lgs. 502/1992, non rappresenta soltanto un riconoscimento della capacità di erogare prestazioni conformi ai requisiti regionali.
Inserisce, insieme agli eventuali accordi contrattuali, queste organizzazioni in una filiera di erogazione di servizi pubblici essenziali, caratterizzata da crescenti esigenze di affidabilità, continuità operativa, sicurezza, tracciabilità e ovviamente compliance.
La conseguenza è purtroppo il concretizzarsi di un paradosso organizzativo: enti di dimensioni relativamente contenute, con risorse economiche e professionali limitate, devono confrontarsi con un insieme di obblighi e standard che richiedono competenze specialistiche, infrastrutture tecnologiche e processi di governance sempre più sofisticati e aderenti ai requisiti cogenti, dei regolamenti di settore e della supply chain.
Il tema non è soltanto il costo diretto della compliance, è anche il costo-opportunità: il tempo che dirigenti, responsabili amministrativi, coordinatori sanitari e professionisti clinici dedicano alla produzione di evidenze documentali è tempo sottratto ad altre attività organizzative e, in alcuni casi, indirettamente alla missione assistenziale che deve sempre rappresentare la priorità.
La domanda centrale diventa quindi:
È possibile costruire un modello di conformità che soddisfi contemporaneamente più requisiti normativi, riducendo duplicazioni, burocrazia e dispersione delle risorse?
La risposta è sì, a condizione di abbandonare la logica dei sistemi di gestione paralleli e adottare un modello di compliance convergente.
Le cinque dimensioni della convergenza
ISO 9001: il punto di partenza
La UNI EN ISO 9001 costituisce spesso il primo livello di strutturazione organizzativa degli enti accreditati.
Introduce una gestione per processi, la valutazione dei rischi e delle opportunità, il monitoraggio delle prestazioni, la gestione delle non conformità e il miglioramento continuo.
Per un’organizzazione sociosanitaria, questi strumenti non dovrebbero limitarsi alla verifica formale dell’erogazione delle prestazioni, ma interessare anche la gestione documentale clinica, le competenze professionali, la continuità assistenziale e il rapporto con i fornitori.
La nuova edizione, pubblicata il 16 settembre 2026, mantiene l’impostazione per processi e rafforza leadership, cultura della qualità, comportamento etico e distinzione tra rischi e opportunità.
Migliora, inoltre, l’allineamento con gli altri sistemi di gestione ISO.
ISO/IEC 27001: la sicurezza diventa parte della qualità
La ISO/IEC 27001:2022 estende il concetto di affidabilità alla sicurezza delle informazioni, attraverso un sistema di gestione che protegge riservatezza, integrità e disponibilità dei dati.
In una comunità terapeutica, ad esempio, la disponibilità della cartella clinica non è soltanto un problema informatico. Può incidere direttamente sulla continuità del percorso terapeutico e sulla sicurezza dell’assistito.
La qualità del servizio, la continuità assistenziale e la sicurezza informativa sono quindi dimensioni interdipendenti.
Una cartella indisponibile, una terapia alterata o un accesso improprio possono avere conseguenze sulla persona assistita, oltre che, a cascata, sull’organizzazione.
I principali vantaggi in ambito sanitario derivanti dall’adozione di questa norma sono evidenti:
- Tutela della relazione terapeutica
- Continuità tra turni e professionisti
- Protezione e accesso role-based al patrimonio informativo
- Minore dipendenza dal singolo operatore
- Maggiore verificabilità presso stakeholders esterni come ASL e
NIS2: dalla sicurezza informatica alla resilienza della filiera sanitaria
La Direttiva (UE) 2022/2555, recepita in Italia dal D.Lgs. 138/2024, introduce obblighi di gestione del rischio cyber, responsabilizzazione degli organi direttivi, gestione degli incidenti, continuità operativa e sicurezza della catena di approvvigionamento.
Il settore sanitario rientra naturalmente tra quelli contemplati dalla disciplina, e il Ministero della Salute in questo caso, è individuato quale Autorità di settore.
Occorre però evitare una generalizzazione: non tutti gli ETS sanitari accreditati sono automaticamente soggetti NIS2.
L’applicabilità diretta dipende dalla qualificazione dell’attività, dai criteri dimensionali, dalle eventuali eccezioni e dai meccanismi di individuazione previsti dalla normativa.
Anche un ente non direttamente soggetto può tuttavia ricevere richieste contrattuali e organizzative di sicurezza da aziende sanitarie, fornitori tecnologici e altri soggetti della filiera: è questa distinzione tra obbligo diretto e compliance indotta dalla supply chain che merita particolare attenzione.
In ottica NIS2, infatti, la distinzione tra obbligo diretto e requisiti contrattuali di filiera assume particolare rilievo.
Ad esempio, un ente sociosanitario può essere esterno al perimetro normativo e ricevere comunque richieste di sicurezza da un’azienda sanitaria soggetta alla disciplina.
Tali richieste non trasferiscono automaticamente all’ente tutti gli obblighi NIS2, ma possono rendere necessari investimenti e cambiamenti organizzativi per mantenere il rapporto contrattuale. Diventa quindi essenziale che il committente colleghi ogni richiesta ai rischi effettivi del servizio, definisca evidenze proporzionate e concordi tempi sostenibili.
La sicurezza della filiera dovrebbe tradursi in una responsabilità condivisa, evitando che l’adeguamento del soggetto obbligato produca una cascata indiscriminata di oneri sui piccoli erogatori.
Per gli enti del Terzo settore, questo significa poter dimostrare l’affidabilità dei propri servizi attraverso controlli pertinenti e verificabili, con un riconoscimento esplicito delle competenze e delle risorse necessarie.
GDPR: il presidio trasversale dei dati sanitari
Il Regolamento (UE) 2016/679 rappresenta un elemento trasversale dell’intera architettura.
I dati relativi alla salute, appartenenti alle categorie particolari di dati personali dell’articolo 9, richiedono garanzie rafforzate. Gli articoli 5, 24, 25, 28, 32 e 35 introducono principi e responsabilità che si intersecano direttamente con la ISO 27001, la NIS2 e la governance dell’intelligenza artificiale.
Una misura di sicurezza può dunque produrre evidenze utili per più discipline, pur dovendo essere verificata rispetto a ciascun requisito specifico.
ISO/IEC 42001: governare l’intelligenza artificiale in sanità
L’adozione di sistemi di intelligenza artificiale, infine, introduce un ulteriore livello di complessità.
La ISO/IEC 42001:2023 offre un modello di gestione dei sistemi di IA fondato su responsabilità, valutazione dei rischi, controllo degli impatti, supervisione umana e monitoraggio. Il Regolamento (UE) 2024/1689, noto come AI Act, introduce invece obblighi giuridici differenziati in funzione del ruolo dell’organizzazione, della finalità d’uso e della classificazione del sistema.
Non ogni applicazione di IA che tratta informazioni cliniche è automaticamente classificata ad alto rischio ai sensi dell’AI Act. La classificazione richiede un’analisi specifica dei casi d’uso, anche alla luce degli allegati I e III del Regolamento.
Cosa da tenere sempre bene a mente, inoltre, è che la certificazione ISO 42001 non equivale automaticamente alla conformità all’AI Act.
Considerazioni finali
La convergenza della compliance negli enti del Terzo settore accreditati in sanità, dovrebbe essere valutata per la sua capacità di migliorare l’assistenza erogata e proteggere le persone.
Integrare qualità, sicurezza delle informazioni, privacy e governance dell’intelligenza artificiale significa ricondurre requisiti diversi ai processi reali dell’organizzazione, mantenendo riconoscibili le rispettive responsabilità.
Questa integrazione può senz’altro rendere l’adeguamento più sostenibile, riducendo duplicazioni e liberando tempo per la cura, ma la sua riuscita richiede certamente anche un impegno delle istituzioni e dei committenti pubblici: richieste proporzionate, criteri di verifica coerenti e riconoscimento delle risorse necessarie.
La compliance diventa così una componente concreta dell’affidabilità del servizio, capace di sostenere la missione sociale dell’ente senza esaurirne le energie, le quali invece diventano sempre più preziose da preservare per affrontare le difficili e a volte delicate sfide del sociale e in ambito sociosanitario.
