RSPP esterno, DPO e temporary management

In ogni organigramma ci sono caselle che devono avere un nome sopra, e la più frequente a restare vuota è quella del responsabile del servizio di prevenzione e protezione. Le strade sono due: assumere qualcuno che abbia i requisiti, oppure affidare il ruolo all'esterno. L'incarico di RSPP esterno è la seconda strada, e per molte imprese non è nemmeno una scelta: il D.Lgs. 81/2008 la rende obbligatoria quando in azienda nessun dipendente ha i requisiti di legge.

Emmess assume l'incarico, non lo consiglia soltanto. RSPP esterno, DPO esterno, temporary management su qualità, ambiente, sicurezza e direzione, componente dell'organismo di vigilanza 231, auditor interno, direttore tecnico, responsabile del piano di autocontrollo alimentare. Il medico competente fa parte della struttura. Prima di accettare verifichiamo che l'incarico esterno sia ammissibile nel vostro caso concreto, perché in alcune situazioni la legge lo vieta e nessuna forma contrattuale aggira il vincolo.

Che cosa facciamo, in concreto

Per ciascun incarico: che cosa assumiamo noi, che cosa resta comunque in capo a voi, come si struttura il mandato.

• RSPP esterno. Assumiamo il ruolo e i compiti dell'articolo 33: individuazione dei fattori di rischio, supporto alla valutazione, procedure, programmi di formazione, sopralluoghi verbalizzati, riunione periodica, presenza durante le verifiche degli organi di vigilanza. Restano vostre la designazione, che non è delegabile, la valutazione dei rischi e la responsabilità in materia. L'incarico si distribuisce sui dodici mesi, con sopralluoghi a calendario e aggiornamenti legati ai cambiamenti reali, non a una scadenza fissa. La prima verifica di ammissibilità non ha costo e non vi impegna a nulla.
• DPO esterno. Assumiamo il ruolo di responsabile della protezione dei dati e i compiti dell'articolo 39 del Regolamento (UE) 2016/679: sorveglianza sull'osservanza, consulenza a chi tratta i dati, parere sulla valutazione d'impatto, rapporti con il Garante e punto di contatto. Restano vostre la qualità di titolare, le decisioni su finalità e mezzi e il dovere di coinvolgerci e di fornirci le risorse. L'incarico prende la forma che il Regolamento prevede, il contratto di servizi, con recapiti pubblicati e riporto al vertice.
• Temporary management QHSE e di direzione. Una nostra persona ricopre per un periodo definito una posizione scoperta: qualità, ambiente, sicurezza, direzione tecnica o generale. Restano vostre la titolarità dell'impresa, le deleghe formali e la decisione sugli obiettivi. Il mandato si struttura su perimetro e poteri scritti, giornate al mese, obiettivi verificabili, rendicontazione e piano di uscita.
• Organismo di vigilanza 231 e audit interno. Assumiamo l'incarico di componente dell'organismo, monocratico o collegiale, e conduciamo il programma di audit interno sugli schemi certificati. Restano vostre l'adozione del modello e i flussi informativi verso l'organismo. Una regola vale per entrambi: chi ha costruito un sistema non lo verifica e non lo vigila.
• Direttore tecnico, autocontrollo alimentare, medico competente. Dove il regime di settore lo consente assumiamo l'incarico di responsabile o direttore tecnico, compreso quello di direttore di ente formativo ai sensi della UNI/PdR 116:2021; teniamo il piano di autocontrollo alimentare; forniamo il medico competente, con sale mediche in alcune nostre sedi, visite presso di voi o strutture convenzionate.

Le persone che assumono questi incarichi sono quelle di cui trovate conto in chi siamo e come lavoriamo; se volete farne parte, la porta è lavora con noi.

RSPP esterno: quando si può, quando si deve, quando non si può

La designazione del responsabile del servizio di prevenzione e protezione è uno dei due obblighi che il datore di lavoro non può delegare: lo dice l'articolo 17, comma 1, lettera b) del D.Lgs. 81/2008, accanto alla valutazione di tutti i rischi della lettera a).

Fatta la designazione, il servizio si organizza secondo l'articolo 31. Il comma 1 mette la priorità sull'organizzazione interna all'azienda o all'unità produttiva; il comma 3 consente di ricorrere all'esterno anche in presenza di un servizio interno, per integrarlo con le conoscenze professionali necessarie. Il comma 4 rovescia il discorso: il ricorso a un RSPP esterno è obbligatorio in assenza di dipendenti in possesso dei requisiti dell'articolo 32, ed è il caso più frequente nelle imprese piccole e medie.

I casi in cui il servizio deve essere interno

Il comma 6 elenca le attività in cui il servizio va istituito all'interno; il comma 7 aggiunge che lì anche il responsabile deve essere interno. Nessuna forma contrattuale aggira il vincolo.

I requisiti che un RSPP esterno deve avere

Il comma 1 dell'articolo 32 chiede che capacità e requisiti professionali di responsabili e addetti, interni o esterni, siano adeguati alla natura dei rischi presenti sul luogo di lavoro: un RSPP adatto a un ufficio non è automaticamente adatto a un reparto di verniciatura.

Il comma 2 aggiunge i requisiti formali: diploma di istruzione secondaria superiore e attestato di frequenza, con verifica dell'apprendimento, a corsi adeguati ai rischi, più un corso ulteriore per chi assume il ruolo di responsabile. L'aggiornamento segue l'accordo in Conferenza Stato-Regioni del 17 aprile 2025 (rep. atti n. 59/CSR, in vigore dal 24 maggio 2025), che conferma i moduli A, B e C e mantiene l'aggiornamento del responsabile in 40 ore ogni cinque anni.

Quando il datore di lavoro può fare da sé

C'è una terza via. L'articolo 34, comma 1 consente al datore di lavoro di svolgere direttamente i compiti del servizio nei casi dell'allegato II, con preventiva informazione al rappresentante dei lavoratori per la sicurezza.

L'allegato esclude le attività più critiche, in gran parte le stesse del comma 6. Chi sceglie questa strada si forma: il comma 2 chiede un corso fra sedici e quarantotto ore e il comma 3 impone l'aggiornamento. Deve poi trovarci il tempo e risponde della qualità tecnica del risultato.

Che cosa fa un RSPP esterno nell'arco dell'anno

È la domanda che riceviamo più spesso, e nasce da un'esperienza diffusa: l'RSPP che si vede una volta l'anno, firma e sparisce. I sei compiti dell'articolo 33, comma 1 vanno letti con il comma 3: il servizio elabora le misure preventive e protettive richiamate dall'articolo 28, comma 2, i sistemi di controllo e le procedure, propone i programmi di formazione, partecipa a consultazioni e riunione periodica e informa i lavoratori, ma è il datore di lavoro a utilizzarlo. Non decide al posto suo.

La riunione periodica dell'articolo 35 è l'appuntamento fisso: nelle aziende con più di quindici lavoratori il datore di lavoro la indice almeno una volta l'anno, con il responsabile del servizio, il medico competente ove nominato e il rappresentante dei lavoratori per la sicurezza. Si esaminano il documento di valutazione dei rischi, l'andamento di infortuni e malattie professionali, i criteri di scelta dei dispositivi di protezione individuale e i programmi di formazione. Il perimetro completo degli obblighi è nella pagina salute e sicurezza sul lavoro.

DPO esterno: quando è obbligatorio e che cosa comporta

Qui non c'è una soglia dimensionale: contano la natura del soggetto e quello che fa con i dati.

L'articolo 37, paragrafo 1 del Regolamento (UE) 2016/679 rende obbligatoria la designazione in tre casi: trattamento effettuato da un'autorità pubblica o da un organismo pubblico, esclusi gli organi giurisdizionali nell'esercizio delle funzioni giurisdizionali; attività principali che per natura, ambito o finalità richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; attività principali che consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.

Fuori da questi casi la designazione è facoltativa, ma non è un gesto neutro: da quel momento valgono per intero gli articoli 37, 38 e 39, indipendenza compresa. Il paragrafo 6 risolve la domanda sull'esterno: il DPO può essere un dipendente, oppure assolvere i suoi compiti in base a un contratto di servizi, una delle due forme che il Regolamento prevede.

L'articolo 38 costruisce la posizione del DPO su garanzie che sono il vero contenuto del ruolo. Il paragrafo 3 stabilisce che non riceve istruzioni sull'esecuzione dei propri compiti, che non può essere rimosso o penalizzato per il loro adempimento e che riferisce al vertice gerarchico; il paragrafo 6 chiede al titolare di assicurare che gli altri compiti eventualmente svolti non diano adito a conflitto di interessi.

È il punto in cui la nomina interna si complica: chi decide finalità e mezzi di un trattamento non può poi sorvegliare se stesso, e la posizione di chi dirige i sistemi informativi o le risorse umane è quasi sempre in tensione con il ruolo. Due verbi delimitano l'incarico: il DPO sorveglia e fornisce consulenza. Non compila il registro dei trattamenti al posto dell'organizzazione, non sceglie le basi giuridiche, non firma le informative — se lo facesse, sorveglierebbe poi il proprio lavoro. La costruzione dell'impianto è un'attività distinta: sta nella pagina privacy e GDPR.

RSPP e DPO: due incarichi che si somigliano solo di nome

Temporary management QHSE e di direzione

Qui non c'è una norma che istituisce il ruolo, e la differenza con la consulenza determina il contratto: il consulente produce un risultato dall'esterno e non ha responsabilità di ruolo, il temporary manager sta dentro l'organizzazione per il tempo del mandato, con perimetro, poteri e riporto definiti.

Ha senso in tre situazioni: l'uscita improvvisa di una figura chiave, perché fra preavviso, ricerca e inserimento passano mesi e le scadenze non si sospendono; un progetto che nessuno ha il tempo di seguire, una certificazione, una qualifica cliente, un adeguamento con una data; un passaggio generazionale o una crescita che ha superato l'organizzazione. Non ha senso quando il ruolo è stabile e a tempo pieno: lì costa più di un'assunzione e serve solo come ponte mentre la selezione va avanti. Né quando si cerca una firma invece che una persona che lavora.

Il mandato si scrive su cinque punti: perimetro e poteri, cioè quali attività rientrano e con quali poteri di spesa e di firma; durata e presenza, quanti mesi, quante giornate al mese, quante in sede; obiettivi, cioè che cosa deve esistere alla fine — documenti approvati, sistemi funzionanti, pratiche presentate, persone formate, rilievi chiusi: uno stato finale verificabile, non un elenco di attività; rendicontazione periodica con avanzamento, giornate utilizzate e scadenze, che è anche la prova che l'incarico è stato esercitato; continuità, cioè un secondo professionista in grado di subentrare, perché un incarico legato a una sola persona è fragile quanto la casella vuota di partenza.

L'uscita ha tre passaggi: la consegna documentale di procedure, scadenzario, rapporti aperti e stato delle pratiche; l'affiancamento di chi subentra, per un periodo definito nel contratto; la relazione finale, con quello che resta aperto e le scadenze dei dodici mesi successivi. Un incarico che finisce senza questi tre passaggi lascia un buco dove ne aveva chiuso uno. Quando il mandato nasce dentro un progetto di compliance più ampio, il riferimento è la pagina modello organizzativo 231 e consulenza di direzione.

Organismo di vigilanza, audit interno e figure tecniche

Componente dell'organismo di vigilanza 231. L'articolo 6, comma 1, lettera b) del D.Lgs. 231/2001 affida la vigilanza sul funzionamento e sull'osservanza del modello, e la cura del suo aggiornamento, a un organismo dell'ente dotato di autonomi poteri di iniziativa e di controllo. La composizione non è fissata: il comma 4 consente che negli enti di piccole dimensioni i compiti siano svolti dall'organo dirigente, il comma 4-bis che nelle società di capitali li svolgano il collegio sindacale, il consiglio di sorveglianza o il comitato per il controllo della gestione. Contano autonomia dagli organi gestori, professionalità sulle materie coperte e continuità di azione: è la ragione per cui un componente esterno è frequente. Noi assumiamo l'incarico e curiamo calendario delle verifiche, verbali e relazione all'organo amministrativo.

Auditor interno dei sistemi di gestione. Conduciamo il programma di audit interno sugli schemi certificati o in corso di certificazione — ISO 9001, 14001, 45001, 27001, 37001 e gli altri — con piano annuale, rapporti di audit e gestione dei rilievi fino alla chiusura. Le norme di sistema chiedono che gli audit interni assicurino obiettività e imparzialità, e in un'organizzazione piccola chi conosce il sistema abbastanza da auditarlo è di solito chi lo ha costruito. Resta distinto l'audit di certificazione, che è di parte terza: chi presta consulenza a un'organizzazione non la certifica.

Direttore tecnico e responsabile tecnico. Alcuni regimi di settore chiedono una figura tecnica qualificata per operare o per restare iscritti a un elenco: in certi casi l'incarico può essere esterno, in altri serve un rapporto stabile con l'impresa. Fra questi assumiamo anche l'incarico di direttore di ente formativo ai sensi della UNI/PdR 116:2021.

Responsabile del piano di autocontrollo alimentare. Nelle imprese alimentari la responsabilità della sicurezza degli alimenti resta dell'operatore del settore alimentare, ma chi tiene il piano di autocontrollo, conduce le verifiche interne e segue i rapporti con l'autorità sanitaria può essere esterno: teniamo aggiornato il manuale HACCP, conduciamo gli audit interni e le ispezioni simulate e vi affianchiamo durante il controllo ufficiale. Il perimetro completo è nella pagina sulla consulenza per il settore alimentare.

Medico competente. La nomina spetta al datore di lavoro e l'incarico lo può ricoprire solo un medico con i titoli dell'articolo 38 del D.Lgs. 81/2008. Il medico competente lo forniamo noi: fa parte della struttura e assume l'incarico insieme agli altri, così il protocollo sanitario nasce dallo stesso documento di valutazione dei rischi che abbiamo scritto. In alcune nostre sedi abbiamo sale mediche dedicate e i lavoratori vengono visitati da noi; dove conviene andiamo in azienda, per ridurre il fermo delle persone; per esami strumentali e visite specialistiche ci appoggiamo a strutture convenzionate vicine alla vostra sede. Restiamo noi a tenere il calendario delle scadenze e a coordinare il medico con il servizio di prevenzione e protezione.

Quanto costa un incarico

Non pubblichiamo listini: la variabile che pesa non è il ruolo ma il lavoro che comporta, cioè sedi, rischi presenti, stato della documentazione e presenza richiesta. Un RSPP esterno per un ufficio con dodici persone e uno per uno stabilimento su tre turni sono lo stesso titolo e due impegni diversi. Il ragionamento con cui costruiamo un preventivo è in quanto costa certificarsi; per un numero conviene richiedere un preventivo.

Domande frequenti

L'RSPP può essere esterno?
Sì, e il comma 4 dell'articolo 31 del D.Lgs. 81/2008 lo rende obbligatorio quando in azienda nessun dipendente ha i requisiti dell'articolo 32. Restano fuori i casi dei commi 6 e 7.

In quali casi l'RSPP deve essere interno?
Nelle attività dell'articolo 31, comma 6, riportate nella tabella qui sopra, fra cui le aziende industriali con oltre 200 lavoratori: lì, per il comma 7, anche il responsabile del servizio è interno.

Quanto tempo dedica in azienda un RSPP esterno?
Dipende da sedi, rischi e numero di lavoratori, e si scrive nel mandato prima di firmare. Il minimo che ha senso è un calendario di sopralluoghi verbalizzati, la riunione periodica dove è dovuta e la reperibilità sui cambiamenti: un incarico che non prevede giornate in azienda è una firma, non un servizio.

Il DPO può essere esterno e deve essere certificato?
Esterno sì, in base a un contratto di servizi (articolo 37, paragrafo 6). Certificato no: il Garante nel documento del 28 luglio 2017 (doc. web n. 7057222) ha chiarito che non esiste un albo dei DPO e che le certificazioni di persona non equivalgono a un'abilitazione.

Se l'incarico è esterno, chi risponde in ispezione?
Sulla sicurezza il datore di lavoro: l'articolo 31, comma 5, dice che il ricorso all'esterno non lo esonera. Sulla protezione dei dati il titolare.

Quanto dura un incarico di temporary management?
Il tempo che serve a raggiungere gli obiettivi scritti nel mandato, e non oltre. Senza obiettivi verificabili e senza piano di uscita non è un temporary management: è una consulenza a tempo indeterminato con un altro nome.