In breve
- In molte piccole imprese c’è una persona che sa tutto: l’amministrativa, il tecnico, il commerciale storico. Se se ne va, l’azienda rischia di restare al buio.
- I rischi riguardano accessi (account intestati a lei), conoscenze (procedure mai scritte) e relazioni (clienti e fornitori che conoscono solo lei).
- L’uscita può essere programmata, come dimissioni o pensionamento, oppure improvvisa, come malattia o incidente. Il secondo caso è il più difficile.
- La prevenzione passa da utenti personali invece di credenziali condivise, procedure scritte e una persona di riserva per ogni attività critica.
- All’uscita servono un passaggio di consegne ordinato e la revoca tempestiva degli accessi.
Quasi ogni piccola impresa ha una persona così. È l’impiegata che da vent’anni gestisce la contabilità e sa a memoria le scadenze di ogni fornitore. È il tecnico che ha configurato tutti i computer e conosce le password del server. È il commerciale che segue i clienti più importanti da sempre. Il titolare si fida, e fa bene. Ma spesso non sa davvero cosa succederebbe se quella persona, da un giorno all’altro, non ci fosse più.
Questa guida affronta il rischio della persona chiave: cosa può andare storto quando lascia l’azienda, per scelta o per necessità, e come prepararsi. Riguarda dipendenti, collaboratori esterni e anche soci operativi. Gli aspetti legati al contratto di lavoro vanno verificati con il consulente del lavoro.
Tre rischi diversi
Conviene distinguerli, perché ognuno richiede soluzioni diverse e nessuno, da solo, basta a proteggere l’azienda.
| Rischio | Esempi | Conseguenze |
|---|---|---|
| Accessi | Account intestati alla persona, password note solo a lei, verifica in due passaggi sul suo telefono | Servizi irraggiungibili, oppure accessi che restano aperti dopo l’uscita |
| Conoscenze | Procedure mai scritte, “come si fa” nella testa di una persona | Errori, ritardi, attività bloccate |
| Relazioni | Clienti e fornitori che parlano solo con lei | Perdita di clienti, rapporti da ricostruire |
Gli accessi: il rischio più sottovalutato
Nelle piccole imprese è frequente che molti servizi siano stati attivati da una sola persona, con la sua email e il suo telefono: il dominio e l’hosting, gli account dei social e della pubblicità, il gestionale, il portale del corriere, le piattaforme dei fornitori, a volte anche alcuni servizi bancari. Quando quella persona lascia l’azienda possono succedere due cose, entrambe pericolose:
- nessuno riesce più ad accedere, perché le credenziali e i codici di verifica sono legati a lei;
- la persona continua ad avere accesso anche dopo l’uscita, perché nessuno sa quali account aveva.
Il primo caso blocca l’attività; il secondo è un problema di sicurezza, anche quando la persona è in buona fede. La soluzione è la stessa: sapere sempre quali account esistono, a chi sono intestati e chi vi può accedere.
Utenti personali, non credenziali condivise
La regola migliore è che ogni persona abbia il proprio utente nei servizi aziendali, quando il servizio lo permette, e che l’azienda resti titolare degli account principali. Così, quando una persona esce, basta disattivare il suo utente: gli altri continuano a lavorare e i dati restano all’azienda. Le credenziali condivise, invece, costringono a cambiare password ovunque e a ricostruire chi sapeva cosa.
Email e numeri aziendali
Gli account importanti dovrebbero essere registrati con indirizzi email aziendali generici o controllati dall’azienda, e con metodi di recupero che non dipendano dal telefono personale di un dipendente. Ne parliamo nella guida su dominio, hosting ed email aziendale.
Le conoscenze: scrivere il “come si fa”
La conoscenza tacita è quella che una persona ha accumulato negli anni e che non ha mai scritto: come si prepara un certo report, quale fornitore chiamare per un guasto, quale cliente vuole essere trattato in un certo modo, quali eccezioni esistono alle procedure. È preziosissima, e si perde in un attimo.
Non serve scrivere manuali. Bastano schede brevi per le attività critiche:
- cosa si fa, con quale frequenza e entro quando;
- quali strumenti e accessi servono;
- a chi rivolgersi in caso di problemi;
- quali errori evitare.
Un modo efficace per raccogliere queste informazioni è chiedere alla persona chiave di scriverle mentre lavora, poco alla volta, oppure affiancarle per qualche giorno un collega che prende appunti.
Le relazioni con clienti e fornitori
Quando un cliente parla da anni con la stessa persona, la relazione è con lei, non solo con l’azienda. Per ridurre il rischio:
- coinvolgi un secondo riferimento nei rapporti con i clienti più importanti, almeno in copia nelle comunicazioni;
- tieni le informazioni sui clienti in un sistema condiviso, non solo nella casella email o nel telefono di una persona;
- presenta il sostituto ai clienti prima dell’uscita, quando è programmata.
Un esempio concreto
In una piccola azienda di distribuzione, Rosa gestisce da quindici anni ordini, fornitori e fatturazione. Ha creato lei gli account del portale del corriere e dei principali fornitori, con la sua email, e conosce le password del gestionale. Quando si ammala gravemente e deve fermarsi per mesi, il titolare Paolo scopre che nessuno sa accedere a metà dei servizi, che il corriere invia le notifiche a un indirizzo che nessuno legge e che alcuni fornitori aspettano risposte da settimane. Ci vogliono settimane per ricostruire gli accessi. Da allora ogni servizio ha un utente per ogni persona, gli account sono registrati con indirizzi aziendali e le attività di Rosa, quando rientra, vengono descritte in schede brevi con una collega come riserva. (Scenario esemplificativo con nomi di fantasia.)
I segnali che c’è una persona chiave
Non sempre il titolare si rende conto di quanto l’azienda dipenda da una persona. Alcuni segnali tipici:
- quando quella persona è in ferie, alcune attività si fermano o vengono rimandate al suo rientro;
- i colleghi la chiamano anche durante le ferie per chiedere come si fa qualcosa o dove si trova un file;
- alcuni clienti o fornitori chiedono di parlare solo con lei;
- nessun altro conosce le password di alcuni servizi;
- le procedure “si sono sempre fatte così”, ma nessuno le ha mai scritte.
Se riconosci almeno due di questi segnali, la tua azienda ha una o più persone chiave, e vale la pena organizzarsi. Le ferie sono anche un ottimo momento di prova: osservare cosa si blocca durante un’assenza programmata dice molto su cosa succederebbe in un’assenza improvvisa.
I collaboratori esterni
Il rischio della persona chiave non riguarda solo i dipendenti. Spesso i servizi digitali di una piccola impresa sono gestiti da un collaboratore esterno: il consulente informatico, l’agenzia che cura il sito e i social, il freelance che ha configurato il gestionale. Se il rapporto si interrompe, o se il collaboratore non è più raggiungibile, l’azienda può scoprire di non avere le credenziali dei propri servizi, o che alcuni account sono intestati a lui. Per questo conviene chiedere sempre che gli account siano intestati all’azienda, con accessi amministrativi anche per il titolare, e farsi consegnare periodicamente un elenco aggiornato di ciò che il collaboratore gestisce. Ne parliamo anche nella guida su dominio, hosting ed email aziendale.
Dati personali e riservatezza
Nel passaggio di consegne bisogna fare attenzione anche ai dati personali. La persona che lascia l’azienda può avere nella propria casella email o sul proprio computer dati di clienti, colleghi e fornitori. Questi dati appartengono all’azienda e vanno trattati secondo le sue regole: non devono restare su dispositivi personali, e l’accesso alla casella di un ex dipendente va gestito nel rispetto delle norme sulla protezione dei dati e delle indicazioni del Garante. Su questi aspetti è opportuno confrontarsi con il consulente del lavoro e con chi si occupa della privacy in azienda.
Uscita programmata: il passaggio di consegne
Quando l’uscita è prevista, come dimissioni, pensionamento o trasferimento, c’è il tempo per organizzarsi bene:
- Inventario: elenco delle attività, degli account e dei contatti gestiti dalla persona.
- Schede delle attività critiche, scritte dalla persona stessa.
- Affiancamento del sostituto per un periodo adeguato.
- Trasferimento degli account all’azienda o al sostituto, cambiando email e metodi di recupero.
- Presentazione del sostituto a clienti e fornitori.
- Revoca degli accessi il giorno dell’uscita, con un elenco da spuntare.
- Restituzione di dispositivi, chiavi, badge e documenti.
Uscita improvvisa: cosa fare
Quando l’uscita è improvvisa, per malattia, incidente o una rottura del rapporto, non c’è tempo per il passaggio di consegne. Ciò che si può fare dipende da quanto si è preparato prima:
- verificare subito quali attività sono in scadenza;
- recuperare gli accessi agli account aziendali, usando le procedure di recupero dei servizi e i metodi registrati a nome dell’azienda;
- avvisare clienti e fornitori indicando un nuovo riferimento;
- in caso di rottura del rapporto, revocare tempestivamente gli accessi e cambiare le credenziali condivise.
Se la persona è malata o ricoverata, va trattata con rispetto: non va contattata continuamente per chiedere password. È proprio per evitare questo che le informazioni vanno organizzate prima.
E se la persona chiave è il titolare?
Spesso la persona chiave più critica è il titolare stesso. In questo caso i principi sono gli stessi, ma la posta è più alta: poteri di firma, banca, PEC, rapporti con i clienti principali. Ne parliamo nelle guide sul titolare indisponibile, sulla business continuity e sul dossier di emergenza aziendale.
Una questione di cultura, non di sfiducia
Chiedere a una persona di scrivere ciò che sa, o di condividere gli accessi con un collega, può essere vissuto come un segno di sfiducia. Conviene presentarlo per quello che è: una tutela per l’azienda e anche per la persona stessa, che potrà fare le ferie in pace, ammalarsi senza sensi di colpa e non essere disturbata in ogni momento.
Checklist
- Individua le persone chiave e le attività che solo loro sanno fare.
- Fai l’inventario degli account aziendali e di chi vi accede.
- Crea utenti personali e registra gli account con indirizzi aziendali.
- Scrivi schede brevi per le attività critiche.
- Prevedi una persona di riserva per ogni attività critica.
- Condividi le relazioni con i clienti più importanti.
- Prepara una lista di uscita con gli accessi da revocare.
- Rivedi tutto una volta l’anno.
Gli errori più comuni
- Account aziendali intestati all’email personale di un dipendente.
- Credenziali condivise da tutti e mai cambiate.
- Procedure solo nella testa di una persona.
- Dimenticare di revocare gli accessi all’uscita.
- Chiamare continuamente una persona malata per chiedere informazioni.
Come aiuta La Cassaforte Digitale
La Cassaforte Digitale può conservare in un archivio cifrato, separato dai sistemi aziendali, la mappa degli account e delle attività critiche, le schede delle procedure, i contatti di clienti e fornitori e le istruzioni per le emergenze. Vale per i dipendenti chiave e, soprattutto, per il titolare.
- Il Controllo Vitale si accorge se il titolare non risponde e, dopo solleciti e periodo di grazia, avvia il rilascio graduale.
- I livelli Verde, Giallo e Rosso permettono di dare al personale le istruzioni operative e al socio le informazioni più riservate.
- Ogni delegato riceve una propria Chiave di Accesso Delegato e vede solo il proprio livello.
Cosa La Cassaforte Digitale non fa
- Non gestisce gli utenti dei tuoi servizi aziendali e non revoca gli accessi.
- Non sostituisce il consulente del lavoro per gli aspetti contrattuali.
- Conserva informazioni e istruzioni per chi deve mandare avanti l’azienda.
Domande frequenti
Cosa succede se il dipendente che conosce tutte le password se ne va?
L’azienda può restare senza accesso ai servizi, oppure, al contrario, la persona può mantenere accessi che non dovrebbe avere. La prevenzione passa da utenti personali, account registrati con indirizzi aziendali e un inventario aggiornato.
Come si fa un buon passaggio di consegne?
Con un inventario di attività e account, schede brevi scritte dalla persona, un periodo di affiancamento, il trasferimento degli account all’azienda, la presentazione del sostituto a clienti e fornitori e la revoca degli accessi all’uscita.
Va bene usare credenziali condivise in ufficio?
Meglio evitarle: quando una persona esce bisogna cambiare password ovunque e non si sa chi ha fatto cosa. Utenti personali, dove possibile, sono più sicuri e più semplici da gestire.
E se la persona chiave è il titolare?
Valgono gli stessi principi, con in più poteri di firma, banca e PEC. Servono un piano di continuità e un dossier di emergenza aziendale.
Quello che sa una persona, scritto per tutti
Mappa degli account, procedure e contatti in un archivio cifrato separato dai sistemi aziendali, con accessi diversi per ruolo.
Prova gratis per 15 giorniNessuna carta di credito. Puoi usarla come archivio personale o attivare i delegati: decidi tu.
Staff La Cassaforte Digitale: la redazione di AVANET SRL (Cuneo), che sviluppa e gestisce La Cassaforte Digitale. Le informazioni su norme e procedure sono verificate sulle fonti ufficiali indicate in fondo alla pagina, alla data di aggiornamento. Questo articolo ha scopo informativo e non sostituisce il parere di un avvocato, di un notaio o del tuo istituto bancario. Chi siamo
Fonti
- ACN — Agenzia per la Cybersicurezza Nazionale — gestione degli accessi e buone pratiche
- Garante per la protezione dei dati personali — sicurezza dei trattamenti e autorizzazioni
- ISO 22301 — Business continuity management systems — continuità operativa
- Codice civile, art. 2086 — Gestione dell’impresa (Brocardi) — adeguati assetti organizzativi
Verificate il 10 novembre 2026.