Perché il transparency reporting richiede una governance interfunzionale
Table of content
- La compliance è una catena del valore, non la responsabilità di una singola funzione
- Dove la governance può interrompersi
- Costruire la struttura di governance prima della riunione di kickoff
- La governance interfunzionale oltre l’onboarding del fornitore
- Trasformare la rendicontazione in un punto di forza della governance
Author
Noemi è Global Solutions Delivery Manager presso Vector Health Compliance, dove supporta la gestione dei progetti di trasparenza a livello globale. Il suo lavoro è focalizzato sull’accuratezza dei dati, sulle attività di remediation e sui requisiti di rendicontazione specifici per ciascun Paese, con particolare attenzione all’Italia. Ricopre un ruolo chiave nel coordinare le esigenze dei clienti con i team interni, garantendo risultati di reporting conformi e puntuali.
Vector Health Compliance
Il principale partner italiano per la conformità al Sunshine Act
Recent Blogs
-
La Legge italiana sul Sunshine Act: cosa devono sapere le aziende di dispositivi medici prima della prima comunicazione
-
Codice fiscale, GDPR e Sunshine Act italiano: cosa devono sapere le aziende globali sui dati HCP in Italia
-
Il parallelo con il GDPR: come potrebbe evolvere l’Italian Sunshine Reporting nei prossimi cinque anni
Cerchi supporto per la compliance al Sunshine Act?
Hai domande pratiche?
Dai un’occhiata alla nostra sezione Domande Frequenti per risposte chiare su scadenze, obblighi e strategie.
In un’implementazione complessa di transparency reporting, una singola discussione relativa all’onboarding di un fornitore può coinvolgere Security, Privacy, Legal, Finance, Tax e Compliance.
Un responsabile Privacy può essere impegnato nella gestione di valutazioni e questionari, uno stakeholder Finance o Tax può dover confermare l’entità contraente, il flusso di fatturazione e l’eventuale trattamento IVA, mentre il responsabile Compliance cerca di mantenere il progetto in linea con la data prevista per il go-live. Tutte queste discussioni possono avvenire nel corso della stessa riunione e molte risposte dipenderanno da decisioni prese da altre funzioni.
Questo livello di coinvolgimento interfunzionale non è insolito in un’implementazione complessa. Riflette il fatto che il transparency reporting può dipendere dalla risoluzione coordinata di decisioni legali, tecniche, finanziarie e relative alla protezione dei dati.
Sebbene la responsabilità debba essere attribuita in modo chiaro, un transparency reporting efficace richiede comunemente il contributo coordinato di Compliance, Legal, Finance, Privacy, IT e, ove pertinente, Procurement e Medical Affairs.
L’incertezza su chi sia responsabile di ciascuna decisione e su quando questa debba essere presa può diventare una delle principali cause di ritardo nell’implementazione.
La compliance è una catena del valore, non la responsabilità di una singola funzione
Nella pratica, la conformità normativa dipende spesso da diverse funzioni specialistiche, anche quando una sola funzione mantiene la responsabilità complessiva.
Un programma di trasparenza ben definito prevede generalmente un responsabile chiaramente identificato, supportato da responsabilità documentate tra le funzioni pertinenti, quali Compliance, Legal, Medical Affairs, Finance, Commercial Operations, Privacy e IT.
È proprio questo modello distribuito a far sì che l’onboarding di un fornitore per una piattaforma di transparency reporting possa coinvolgere contemporaneamente più aree dell’organizzazione.
Quando un fornitore di servizi di rendicontazione tratta dati personali per conto dell’azienda, i team Privacy e Security possono dover valutare le misure tecniche e organizzative adottate dal fornitore, chiarire i ruoli di titolare e responsabile del trattamento e predisporre adeguate garanzie contrattuali.
Finance o Tax possono dover confermare l’entità contraente, le modalità di fatturazione e il trattamento fiscale applicabile. Legal può dover esaminare l’accordo commerciale, le condizioni relative al trattamento dei dati, le responsabilità, le disposizioni in materia di responsabilità civile e la legge applicabile.
Il responsabile del programma deve assicurarsi che tali aspetti siano risolti con sufficiente anticipo affinché la raccolta, la validazione e la disclosure dei dati possano procedere in modo affidabile.
Dove la governance può interrompersi
In molte implementazioni, l’attrito non nasce da un disaccordo sull’interpretazione della normativa, bensì dall’incertezza relativa alla sequenza delle attività e all’attribuzione delle responsabilità.
Diversi rischi ricorrenti possono compromettere l’avanzamento del progetto.
Assenza di un referente chiaramente identificato
Quando non è chiaro chi sia responsabile di un questionario relativo a un fornitore, le informazioni possono essere duplicate, ritardate o disperse tra comunicazioni separate.
Revisioni Security, Privacy e contrattuali non coordinate
Queste revisioni possono procedere in parallelo senza dipendenze condivise, punti decisionali o percorsi di escalation, generando domande duplicate o modifiche contrattuali tardive.
Lo svolgimento parallelo delle revisioni non costituisce necessariamente un problema. Il rischio emerge quando ciascuna funzione opera in modo indipendente, senza visibilità sulle decisioni che possono influenzare le altre.
Coinvolgimento tardivo di Finance
Le questioni relative all’entità contraente, alla configurazione del fornitore, alla fatturazione e al trattamento fiscale possono emergere solo dopo che una parte significativa della pianificazione dell’implementazione è già stata completata, creando attività di revisione evitabili.
Autorità decisionale non chiara
Un progetto può coinvolgere diversi contributori senza disporre di un decisore chiaramente identificato. Le questioni rimangono aperte perché ogni funzione fornisce il proprio contributo, ma nessuno ha l’autorità per confermare l’approccio finale o sottoporre a escalation i problemi irrisolti.
Dipendenze individuate troppo tardi
La configurazione tecnica può iniziare prima che i requisiti relativi alla protezione dei dati, ai contratti, all’ambito della rendicontazione o agli aspetti finanziari siano stati pienamente considerati. Ciò può comportare modifiche ai sistemi, revisione della documentazione e ripetuti cicli di approvazione.
Costruire la struttura di governance prima della riunione di kickoff
Le aziende possono ridurre questo attrito adottando alcune misure nelle fasi iniziali.
Possono nominare un unico responsabile complessivo del programma e designare un referente per ciascuna funzione coinvolta. Possono inoltre coordinare le revisioni Security, Privacy e contrattuali intorno a dipendenze e punti decisionali condivisi.
Finance o Tax dovrebbero essere coinvolte con sufficiente anticipo per risolvere le questioni relative all’entità contraente, alla configurazione del fornitore, alla fatturazione e al trattamento fiscale prima che vengano prese decisioni significative sull’implementazione.
La struttura di governance dovrebbe inoltre chiarire:
- chi è responsabile del programma complessivo di rendicontazione;
- quali funzioni forniscono contributi specialistici;
- chi approva le decisioni legali, privacy, finanziarie e tecniche;
- quali questioni richiedono escalation;
- come vengono documentate le decisioni;
- quali dipendenze devono essere risolte prima che l’implementazione possa procedere.
Un principio utile di governance consiste nel valutare le decisioni in relazione alle esigenze e ai rischi dell’intero programma di rendicontazione, evitando che le priorità di una singola funzione determinino il risultato in modo isolato.
Nessuno di questi elementi sostituisce il lavoro normativo sottostante. Tuttavia, può determinare se il lavoro procederà attraverso un processo coordinato oppure dovrà essere ripetutamente riesaminato perché dipendenze fondamentali sono state affrontate troppo tardi.
La governance interfunzionale oltre l’onboarding del fornitore
La governance non termina una volta approvati la piattaforma o il fornitore di servizi di rendicontazione.
Il transparency reporting continua a dipendere da responsabilità coordinate durante l’intero ciclo di rendicontazione.
Compliance può definire i principi di rendicontazione e interpretare il quadro applicabile. Legal può valutare i contratti, i rapporti con i destinatari e gli obblighi specifici di ciascun Paese. Finance può fornire dati relativi a pagamenti, fatturazione e aspetti fiscali. Medical Affairs e i team Commercial possono spiegare lo scopo e i beneficiari delle attività pertinenti.
I team Privacy possono valutare le modalità di raccolta, trattamento, conservazione e divulgazione dei dati personali. IT e i team dedicati ai dati possono supportare le integrazioni, i controlli di accesso, le regole di validazione e i processi di qualità dei dati.
Procurement può gestire i rapporti con terze parti, mentre le affiliate locali possono fornire informazioni non disponibili nei sistemi centrali.
In assenza di una governance chiara, queste responsabilità possono frammentarsi. Una funzione può presumere che un altro team stia validando i dati, confermando il destinatario o risolvendo un’eccezione.
Un modello operativo solido rende visibili tali responsabilità prima che si avvicini la scadenza di rendicontazione.
Dal contributo delle funzioni a una responsabilità chiara
La governance interfunzionale non significa che tutte le funzioni siano ugualmente responsabili del programma di rendicontazione.
Quando la responsabilità è distribuita in modo eccessivo, l’accountability può diventare poco chiara. Una struttura più efficace combina generalmente:
- un unico responsabile del programma;
- responsabilità funzionali definite;
- diritti decisionali documentati;
- percorsi di escalation chiari;
- tempistiche e dipendenze concordate;
- una registrazione delle decisioni significative relative alla rendicontazione.
Ciò consente ai team specialistici di contribuire con le proprie competenze senza creare incertezza su chi sia responsabile del risultato finale.
Permette inoltre di creare un processo di rendicontazione più difendibile. Quando un auditor, un’autorità di regolamentazione, un’associazione di settore o un revisore interno chiede come sia stata presa una determinata decisione di rendicontazione, l’organizzazione dovrebbe essere in grado di identificare la regola applicabile, le persone coinvolte, la decisione assunta e le evidenze che la supportano.
Trasformare la rendicontazione in un punto di forza della governance
La Legge italiana n. 62/2022, comunemente nota come Sunshine Act italiano, sta orientando la trasparenza nel settore sanitario verso un quadro di rendicontazione previsto dalla legge e sta già influenzando il modo in cui le aziende preparano i propri dati, controlli e responsabilità interne.
La legge va oltre un tradizionale esercizio annuale di disclosure, introducendo obblighi normativi di rendicontazione per i trasferimenti di valore, gli accordi e determinate relazioni societarie rientranti nel suo ambito di applicazione, supportati da obblighi di comunicazione, pubblicazione e sanzioni.
La legge non prescrive il modello operativo interno che un’azienda deve adottare. Tuttavia, la preparazione di processi di rendicontazione affidabili richiede che le aziende attribuiscano la responsabilità dell’interpretazione giuridica, dei dati relativi ai destinatari, delle informazioni finanziarie, delle considerazioni in materia di privacy e dei controlli tecnici.
Questo aspetto diventa particolarmente importante quando le informazioni pertinenti provengono da sistemi, affiliate, funzioni aziendali e terze parti differenti.
Le organizzazioni saranno probabilmente meglio posizionate se considereranno il sunshine reporting come una responsabilità continuativa di governance e gestione dei dati, anziché semplicemente come un ulteriore obbligo periodico di compliance.
Una chiara attribuzione delle responsabilità e un processo decisionale coordinato possono aiutare le organizzazioni a ridurre i ritardi di implementazione, migliorare la qualità dei dati e creare processi di rendicontazione più semplici da spiegare, riesaminare e riprodurre.
Rimani aggiornato sugli sviluppi relativi all’implementazione del Sunshine Act italiano, sui webinar e sugli eventi disponibili qui.
Consulta qui le risposte degli esperti, le risorse pratiche e le indicazioni sulla preparazione della tua organizzazione.
Table of content
- La compliance è una catena del valore, non la responsabilità di una singola funzione
- Dove la governance può interrompersi
- Costruire la struttura di governance prima della riunione di kickoff
- La governance interfunzionale oltre l’onboarding del fornitore
- Trasformare la rendicontazione in un punto di forza della governance
In un’implementazione complessa di transparency reporting, una singola discussione relativa all’onboarding di un fornitore può coinvolgere Security, Privacy, Legal, Finance, Tax e Compliance.
Un responsabile Privacy può essere impegnato nella gestione di valutazioni e questionari, uno stakeholder Finance o Tax può dover confermare l’entità contraente, il flusso di fatturazione e l’eventuale trattamento IVA, mentre il responsabile Compliance cerca di mantenere il progetto in linea con la data prevista per il go-live. Tutte queste discussioni possono avvenire nel corso della stessa riunione e molte risposte dipenderanno da decisioni prese da altre funzioni.
Questo livello di coinvolgimento interfunzionale non è insolito in un’implementazione complessa. Riflette il fatto che il transparency reporting può dipendere dalla risoluzione coordinata di decisioni legali, tecniche, finanziarie e relative alla protezione dei dati.
Sebbene la responsabilità debba essere attribuita in modo chiaro, un transparency reporting efficace richiede comunemente il contributo coordinato di Compliance, Legal, Finance, Privacy, IT e, ove pertinente, Procurement e Medical Affairs.
L’incertezza su chi sia responsabile di ciascuna decisione e su quando questa debba essere presa può diventare una delle principali cause di ritardo nell’implementazione.
La compliance è una catena del valore, non la responsabilità di una singola funzione
Nella pratica, la conformità normativa dipende spesso da diverse funzioni specialistiche, anche quando una sola funzione mantiene la responsabilità complessiva.
Un programma di trasparenza ben definito prevede generalmente un responsabile chiaramente identificato, supportato da responsabilità documentate tra le funzioni pertinenti, quali Compliance, Legal, Medical Affairs, Finance, Commercial Operations, Privacy e IT.
È proprio questo modello distribuito a far sì che l’onboarding di un fornitore per una piattaforma di transparency reporting possa coinvolgere contemporaneamente più aree dell’organizzazione.
Quando un fornitore di servizi di rendicontazione tratta dati personali per conto dell’azienda, i team Privacy e Security possono dover valutare le misure tecniche e organizzative adottate dal fornitore, chiarire i ruoli di titolare e responsabile del trattamento e predisporre adeguate garanzie contrattuali.
Finance o Tax possono dover confermare l’entità contraente, le modalità di fatturazione e il trattamento fiscale applicabile. Legal può dover esaminare l’accordo commerciale, le condizioni relative al trattamento dei dati, le responsabilità, le disposizioni in materia di responsabilità civile e la legge applicabile.
Il responsabile del programma deve assicurarsi che tali aspetti siano risolti con sufficiente anticipo affinché la raccolta, la validazione e la disclosure dei dati possano procedere in modo affidabile.
Dove la governance può interrompersi
In molte implementazioni, l’attrito non nasce da un disaccordo sull’interpretazione della normativa, bensì dall’incertezza relativa alla sequenza delle attività e all’attribuzione delle responsabilità.
Diversi rischi ricorrenti possono compromettere l’avanzamento del progetto.
Assenza di un referente chiaramente identificato
Quando non è chiaro chi sia responsabile di un questionario relativo a un fornitore, le informazioni possono essere duplicate, ritardate o disperse tra comunicazioni separate.
Revisioni Security, Privacy e contrattuali non coordinate
Queste revisioni possono procedere in parallelo senza dipendenze condivise, punti decisionali o percorsi di escalation, generando domande duplicate o modifiche contrattuali tardive.
Lo svolgimento parallelo delle revisioni non costituisce necessariamente un problema. Il rischio emerge quando ciascuna funzione opera in modo indipendente, senza visibilità sulle decisioni che possono influenzare le altre.
Coinvolgimento tardivo di Finance
Le questioni relative all’entità contraente, alla configurazione del fornitore, alla fatturazione e al trattamento fiscale possono emergere solo dopo che una parte significativa della pianificazione dell’implementazione è già stata completata, creando attività di revisione evitabili.
Autorità decisionale non chiara
Un progetto può coinvolgere diversi contributori senza disporre di un decisore chiaramente identificato. Le questioni rimangono aperte perché ogni funzione fornisce il proprio contributo, ma nessuno ha l’autorità per confermare l’approccio finale o sottoporre a escalation i problemi irrisolti.
Dipendenze individuate troppo tardi
La configurazione tecnica può iniziare prima che i requisiti relativi alla protezione dei dati, ai contratti, all’ambito della rendicontazione o agli aspetti finanziari siano stati pienamente considerati. Ciò può comportare modifiche ai sistemi, revisione della documentazione e ripetuti cicli di approvazione.
Costruire la struttura di governance prima della riunione di kickoff
Le aziende possono ridurre questo attrito adottando alcune misure nelle fasi iniziali.
Possono nominare un unico responsabile complessivo del programma e designare un referente per ciascuna funzione coinvolta. Possono inoltre coordinare le revisioni Security, Privacy e contrattuali intorno a dipendenze e punti decisionali condivisi.
Finance o Tax dovrebbero essere coinvolte con sufficiente anticipo per risolvere le questioni relative all’entità contraente, alla configurazione del fornitore, alla fatturazione e al trattamento fiscale prima che vengano prese decisioni significative sull’implementazione.
La struttura di governance dovrebbe inoltre chiarire:
- chi è responsabile del programma complessivo di rendicontazione;
- quali funzioni forniscono contributi specialistici;
- chi approva le decisioni legali, privacy, finanziarie e tecniche;
- quali questioni richiedono escalation;
- come vengono documentate le decisioni;
- quali dipendenze devono essere risolte prima che l’implementazione possa procedere.
Un principio utile di governance consiste nel valutare le decisioni in relazione alle esigenze e ai rischi dell’intero programma di rendicontazione, evitando che le priorità di una singola funzione determinino il risultato in modo isolato.
Nessuno di questi elementi sostituisce il lavoro normativo sottostante. Tuttavia, può determinare se il lavoro procederà attraverso un processo coordinato oppure dovrà essere ripetutamente riesaminato perché dipendenze fondamentali sono state affrontate troppo tardi.
La governance interfunzionale oltre l’onboarding del fornitore
La governance non termina una volta approvati la piattaforma o il fornitore di servizi di rendicontazione.
Il transparency reporting continua a dipendere da responsabilità coordinate durante l’intero ciclo di rendicontazione.
Compliance può definire i principi di rendicontazione e interpretare il quadro applicabile. Legal può valutare i contratti, i rapporti con i destinatari e gli obblighi specifici di ciascun Paese. Finance può fornire dati relativi a pagamenti, fatturazione e aspetti fiscali. Medical Affairs e i team Commercial possono spiegare lo scopo e i beneficiari delle attività pertinenti.
I team Privacy possono valutare le modalità di raccolta, trattamento, conservazione e divulgazione dei dati personali. IT e i team dedicati ai dati possono supportare le integrazioni, i controlli di accesso, le regole di validazione e i processi di qualità dei dati.
Procurement può gestire i rapporti con terze parti, mentre le affiliate locali possono fornire informazioni non disponibili nei sistemi centrali.
In assenza di una governance chiara, queste responsabilità possono frammentarsi. Una funzione può presumere che un altro team stia validando i dati, confermando il destinatario o risolvendo un’eccezione.
Un modello operativo solido rende visibili tali responsabilità prima che si avvicini la scadenza di rendicontazione.
Dal contributo delle funzioni a una responsabilità chiara
La governance interfunzionale non significa che tutte le funzioni siano ugualmente responsabili del programma di rendicontazione.
Quando la responsabilità è distribuita in modo eccessivo, l’accountability può diventare poco chiara. Una struttura più efficace combina generalmente:
- un unico responsabile del programma;
- responsabilità funzionali definite;
- diritti decisionali documentati;
- percorsi di escalation chiari;
- tempistiche e dipendenze concordate;
- una registrazione delle decisioni significative relative alla rendicontazione.
Ciò consente ai team specialistici di contribuire con le proprie competenze senza creare incertezza su chi sia responsabile del risultato finale.
Permette inoltre di creare un processo di rendicontazione più difendibile. Quando un auditor, un’autorità di regolamentazione, un’associazione di settore o un revisore interno chiede come sia stata presa una determinata decisione di rendicontazione, l’organizzazione dovrebbe essere in grado di identificare la regola applicabile, le persone coinvolte, la decisione assunta e le evidenze che la supportano.
Trasformare la rendicontazione in un punto di forza della governance
La Legge italiana n. 62/2022, comunemente nota come Sunshine Act italiano, sta orientando la trasparenza nel settore sanitario verso un quadro di rendicontazione previsto dalla legge e sta già influenzando il modo in cui le aziende preparano i propri dati, controlli e responsabilità interne.
La legge va oltre un tradizionale esercizio annuale di disclosure, introducendo obblighi normativi di rendicontazione per i trasferimenti di valore, gli accordi e determinate relazioni societarie rientranti nel suo ambito di applicazione, supportati da obblighi di comunicazione, pubblicazione e sanzioni.
La legge non prescrive il modello operativo interno che un’azienda deve adottare. Tuttavia, la preparazione di processi di rendicontazione affidabili richiede che le aziende attribuiscano la responsabilità dell’interpretazione giuridica, dei dati relativi ai destinatari, delle informazioni finanziarie, delle considerazioni in materia di privacy e dei controlli tecnici.
Questo aspetto diventa particolarmente importante quando le informazioni pertinenti provengono da sistemi, affiliate, funzioni aziendali e terze parti differenti.
Le organizzazioni saranno probabilmente meglio posizionate se considereranno il sunshine reporting come una responsabilità continuativa di governance e gestione dei dati, anziché semplicemente come un ulteriore obbligo periodico di compliance.
Una chiara attribuzione delle responsabilità e un processo decisionale coordinato possono aiutare le organizzazioni a ridurre i ritardi di implementazione, migliorare la qualità dei dati e creare processi di rendicontazione più semplici da spiegare, riesaminare e riprodurre.
Rimani aggiornato sugli sviluppi relativi all’implementazione del Sunshine Act italiano, sui webinar e sugli eventi disponibili qui.
Consulta qui le risposte degli esperti, le risorse pratiche e le indicazioni sulla preparazione della tua organizzazione.
Author
Noemi è Global Solutions Delivery Manager presso Vector Health Compliance, dove supporta la gestione dei progetti di trasparenza a livello globale. Il suo lavoro è focalizzato sull’accuratezza dei dati, sulle attività di remediation e sui requisiti di rendicontazione specifici per ciascun Paese, con particolare attenzione all’Italia. Ricopre un ruolo chiave nel coordinare le esigenze dei clienti con i team interni, garantendo risultati di reporting conformi e puntuali.
Vector Health Compliance
Il principale partner italiano per la conformità al Sunshine Act
Recent Blogs
-
La Legge italiana sul Sunshine Act: cosa devono sapere le aziende di dispositivi medici prima della prima comunicazione
-
Codice fiscale, GDPR e Sunshine Act italiano: cosa devono sapere le aziende globali sui dati HCP in Italia
-
Il parallelo con il GDPR: come potrebbe evolvere l’Italian Sunshine Reporting nei prossimi cinque anni
Cerchi supporto per la compliance al Sunshine Act?
Hai domande pratiche?
Dai un’occhiata alla nostra sezione Domande Frequenti per risposte chiare su scadenze, obblighi e strategie.