RSPP e servizio di prevenzione: 11 regole del D.Lgs. 81/2008 che le aziende estere sbagliano
Una società di software con sede a Londra apre un ufficio a Milano. Trentadue persone, un unico stabilimento, un contratto con un consulente esterno per la sicurezza. Il responsabile delle risorse umane considera la pratica chiusa.
Non lo è, e la differenza con il modello britannico è più netta di quanto sembri. Nel Regno Unito la nomina della persona competente è un atto unilaterale del datore di lavoro, senza qualifica prescritta e senza sanzione penale specifica. In Italia la designazione del responsabile del servizio di prevenzione e protezione è un obbligo non delegabile, la qualifica è definita per legge, e la sanzione per l'omessa designazione prevede l'arresto.
Questo è il punto che le capogruppo estere non vedono: l'RSPP non è un fornitore che si seleziona, è una designazione che il datore di lavoro deve compiere personalmente e di cui risponde personalmente.
Seguono undici regole tratte dal testo consolidato del D.Lgs. 81/2008 nell'edizione di ottobre 2026, pubblicato dall'Ispettorato Nazionale del Lavoro nella sezione dedicata alla normativa su salute e sicurezza, con l'articolo di riferimento. Vale la pena usare un testo aggiornato: la materia è stata modificata dal decreto-legge 159/2025, convertito dalla legge 198/2025 ed entrato in vigore il 31 dicembre 2025, e dalla legge annuale sulle piccole e medie imprese 34/2026, in vigore dal 7 aprile 2026.
Ciò che il datore di lavoro non può delegare
1. La designazione dell'RSPP non è delegabile, e la sanzione prevede l'arresto. L'articolo 17, comma 1, lettera b) stabilisce che il datore di lavoro non può delegare la designazione del responsabile del servizio di prevenzione e protezione dai rischi.
La sanzione collegata è quella che cambia la conversazione in consiglio di amministrazione: arresto da tre a sei mesi o ammenda da 3.559,60 a 9.112,57 euro, ai sensi dell'articolo 55, comma 1, lettera b).
Nessun contratto con un consulente esterno sostituisce l'atto di designazione, e nessuna delega di funzioni ai sensi dell'articolo 16 può coprirlo.
2. Anche la valutazione dei rischi e il DVR non sono delegabili. L'articolo 17, comma 1, lettera a) riserva al datore di lavoro la valutazione di tutti i rischi con la conseguente elaborazione del documento previsto dall'articolo 28.
Anche qui la sanzione è graduata in funzione di ciò che manca al documento: ammenda da 2.847,69 a 5.695,36 euro se il DVR è adottato in assenza degli elementi dell'articolo 28, comma 2, lettere b), c) o d), e ammenda da 1.423,83 a 2.847,69 euro in assenza degli elementi delle lettere a), primo periodo, ed f).
Un DVR incompleto non è quindi una lacuna formale. È una fattispecie sanzionata con importi distinti a seconda dell'elemento mancante.
Come si organizza il servizio
3. Il servizio si organizza in via prioritaria all'interno. L'articolo 31, comma 1 dispone che, salvo quanto previsto dall'articolo 34, il datore di lavoro organizza il servizio di prevenzione e protezione prioritariamente all'interno dell'azienda o dell'unità produttiva, oppure incarica persone o servizi esterni, anche costituiti presso le associazioni dei datori di lavoro o gli organismi paritetici.
La priorità all'interno è scritta nella norma. È lo stesso ordine di preferenza che si ritrova in altri ordinamenti europei, e la nostra nota sul ruolo della persona competente nei diversi ordinamenti mette a confronto le formulazioni.
4. Numero sufficiente, mezzi e tempo adeguati, e nessun pregiudizio. L'articolo 31, comma 2 richiede che addetti e responsabili, interni o esterni, possiedano le capacità e i requisiti professionali dell'articolo 32, siano in numero sufficiente rispetto alle caratteristiche dell'azienda e dispongano di mezzi e di tempo adeguati. Aggiunge che essi non possono subire pregiudizio a causa dell'attività svolta.
Nominare qualcuno senza liberargli tempo è l'inadempimento più diffuso, in Italia come altrove.
5. Il servizio interno può essere integrato dall'esterno. L'articolo 31, comma 3 consente al datore di lavoro che utilizza un servizio interno di avvalersi di persone esterne all'azienda in possesso delle conoscenze professionali necessarie, per integrare ove occorra l'azione di prevenzione e protezione.
È la soluzione che in pratica funziona meglio per una filiale: una figura interna con il presidio e un supporto specialistico esterno dietro.
6. Il ricorso all'esterno diventa obbligatorio se non c'è nessuno qualificato dentro. L'articolo 31, comma 4 stabilisce che il ricorso a persone o servizi esterni è obbligatorio in assenza di dipendenti che, all'interno dell'azienda o dell'unità produttiva, siano in possesso dei requisiti dell'articolo 32.
La regola 3 e la regola 6 lette insieme danno la sequenza corretta: prima si verifica se esiste una competenza interna, e solo in sua assenza l'esternalizzazione diventa un obbligo anziché una scelta.
7. L'esternalizzazione non esonera il datore di lavoro. L'articolo 31, comma 5 è esplicito: ove il datore di lavoro ricorra a persone o servizi esterni, non è per questo esonerato dalla propria responsabilità in materia.
È il medesimo principio che si trova in Portogallo, in Spagna e nel Regno Unito. Cambia la formulazione, non la sostanza.
8. In alcuni casi il servizio e l'RSPP devono essere interni. L'articolo 31, comma 6 rende comunque obbligatoria l'istituzione del servizio all'interno dell'azienda o dell'unità produttiva in sette ipotesi, tra cui le aziende industriali soggette agli obblighi di notifica o rapporto in materia di incidenti rilevanti, le centrali termoelettriche, gli impianti con rischio da radiazioni ionizzanti, la fabbricazione e il deposito separato di esplosivi, le aziende industriali con oltre 200 lavoratori, le industrie estrattive con oltre 50 lavoratori e le strutture di ricovero e cura pubbliche e private con oltre 50 lavoratori.
Il comma 7 aggiunge la conseguenza che spesso sfugge: in queste ipotesi il responsabile del servizio deve essere interno. Non è ammesso un RSPP esterno.
9. Un gruppo può istituire un unico servizio. L'articolo 31, comma 8 prevede che, nei casi di aziende con più unità produttive e nei casi di gruppi di imprese, possa essere istituito un unico servizio di prevenzione e protezione, al quale i datori di lavoro possono rivolgersi per l'istituzione del servizio e per la designazione degli addetti e del responsabile.
Per una capogruppo con più società italiane questa è la disposizione più utile della norma, e consente di centralizzare senza trasformare tutto in un rapporto di fornitura esterna.
Chi può fare l'RSPP
Need Expert H&S Guidance?
Our qualified consultants can help you implement the right health & safety measures for your business.
10. I requisiti dell'RSPP comprendono stress, comunicazione e relazioni sindacali. L'articolo 32 richiede capacità e requisiti adeguati alla natura dei rischi presenti. Per gli addetti serve un titolo di studio non inferiore al diploma di istruzione secondaria superiore e un attestato di frequenza, con verifica dell'apprendimento, a corsi adeguati ai rischi.
Per la funzione di responsabile serve inoltre un attestato di frequenza, con verifica dell'apprendimento, a corsi specifici in materia di prevenzione e protezione dei rischi, anche di natura ergonomica e da stress lavoro-correlato ai sensi dell'articolo 28, comma 1, di organizzazione e gestione delle attività tecnico amministrative e di tecniche di comunicazione in azienda e di relazioni sindacali.
Vale la pena rileggere l'elenco. La qualifica dell'RSPP non è solo tecnica: la norma vi include espressamente lo stress lavoro-correlato, la gestione organizzativa e le relazioni sindacali. È un profilo più ampio di quello che una capogruppo estera si aspetta quando pensa a un consulente per la sicurezza.
11. Il datore di lavoro può svolgere il ruolo solo nei casi dell'Allegato II. L'articolo 34, comma 1 consente al datore di lavoro di svolgere direttamente i compiti del servizio di prevenzione e protezione, di primo soccorso, di prevenzione incendi e di evacuazione soltanto nelle ipotesi previste nell'Allegato II, dandone preventiva informazione al rappresentante dei lavoratori per la sicurezza.
Il comma 2 impone la frequenza di corsi di formazione di durata minima di 16 ore e massima di 48 ore, adeguati alla natura dei rischi, secondo l'Accordo in sede di Conferenza permanente Stato-Regioni.
Tre condizioni quindi, non una: rientrare nell'Allegato II, informare preventivamente il RLS e avere la formazione. Le prime due vengono dimenticate con regolarità.
Le undici in sintesi
| Regola | Articolo |
|---|---|
| Designazione dell'RSPP non delegabile, arresto o ammenda | 17, co. 1 lett. b) e 55 |
| Valutazione dei rischi e DVR non delegabili | 17, co. 1 lett. a) |
| Servizio organizzato prioritariamente all'interno | 31, co. 1 |
| Numero sufficiente, mezzi e tempo adeguati, nessun pregiudizio | 31, co. 2 |
| Servizio interno integrabile con competenze esterne | 31, co. 3 |
| Ricorso all'esterno obbligatorio se manca la competenza interna | 31, co. 4 |
| L'esternalizzazione non esonera il datore di lavoro | 31, co. 5 |
| Casi in cui il servizio è obbligatoriamente interno | 31, co. 6 |
| In quei casi l'RSPP deve essere interno | 31, co. 7 |
| Unico servizio per più unità produttive o per il gruppo | 31, co. 8 |
| Datore di lavoro RSPP solo con Allegato II, RLS informato, 16-48 ore | 34, co. 1 e 2 |
Le regole 1 e 7 sono quelle che producono il rischio maggiore, perché la prima comporta responsabilità penale personale e la seconda rende semplicemente inefficace una scelta molto diffusa, l'RSPP esterno.
Tenere allineati su più sedi la designazione, i requisiti, la formazione e le scadenze è un argomento pratico a favore di health and safety consultants and software come sistema unico. Le nostre health and safety audits verificano questo in due mosse: chiedere l'atto di designazione dell'RSPP e chiedere l'attestato di formazione corrispondente.
Cosa si esporta e cosa no
Per i gruppi presenti in più paesi l'Italia illustra bene lo schema che incontriamo sempre: il metodo viaggia, il punto di controllo no.
La valutazione dei rischi italiana discende dalla stessa direttiva quadro europea degli altri ordinamenti, quindi una metodologia di gruppo e un formato di documento si possono mantenere.
Ciò che cambia è dove la norma colloca la verifica. L'Italia la colloca sulla designazione, sulla qualifica dell'RSPP e sulla responsabilità penale personale del datore di lavoro. La Spagna la colloca sulla modalità organizzativa scelta e su un'audit legale con ente accreditato. I Paesi Bassi richiedono che la valutazione sia verificata da un esperto certificato. La Germania la lega alla qualifica delle persone designate e al consenso del consiglio aziendale. Il Portogallo la colloca sulla modalità del servizio e sulla sua notifica. Il Regno Unito non ha nessuno di questi punti di controllo.
Per questo uno standard di gruppo britannico non regge in Italia per la forma e non per il contenuto: manca l'atto di designazione, mancano gli attestati e manca la verifica che l'RSPP possa essere esterno in quel caso specifico. Le nostre note sulle differenze nella legislazione internazionale e la lista di controllo per l'espansione internazionale approfondiscono il tema, e chi apre una sede tramite un intermediario dovrebbe leggere la nostra nota sull'employer of record.
Dove si inserisce Arinite
Arinite non assume incarichi di RSPP esterno e non rilascia attestati di formazione. Il nostro lavoro consiste nel verificare se la designazione esiste come atto, se il soggetto designato possiede i requisiti dell'articolo 32, se il caso concreto consente un RSPP esterno, e se il DVR contiene gli elementi dell'articolo 28 che la sanzione richiama. È lì che si trova quasi sempre il primo scostamento. Supportiamo oltre 1.500 aziende in più di 50 paesi e proteggiamo oltre 100.000 lavoratori, con oltre il 95% di retention in più di 15 anni.
I nostri health and safety consultants lavorano soprattutto con clienti di IT e software, uffici, servizi legali e assicurazioni, i settori che crescono a Milano e Roma senza una struttura di prevenzione propria. La nostra guida sul ruolo dell'RSPP introduce la figura, l'equivalente britannico è nel nostro servizio di competent person, e la pagina Italia è il punto di partenza.
Per i gruppi multinazionali i nostri global health and safety consultants applicano il punto di controllo locale invece di esportare un modello britannico, e i nostri international health and safety consultants possono indicare dove la designazione comporta responsabilità penale personale.
Due domande per questa settimana. Esiste un atto di designazione dell'RSPP firmato dal datore di lavoro? E il caso della vostra sede consente un RSPP esterno? Poi richiedete una gap analysis gratuita e vi diremo in una conversazione quali delle undici potete dimostrare.
Articoli correlati
Written by
Arinite Health & Safety Consultants
Health & Safety Expert at Arinite
