Quasi tutte le aziende hanno una regola non scritta per chi entra: “si passa dalla reception e si firma”. Poche hanno una procedura vera, cioè un documento che dice chi accoglie, cosa si registra, chi accompagna, cosa succede in caso di emergenza e per quanto tempo si conservano i dati. Questa guida spiega come scriverla in modo semplice, come farla rispettare senza appesantire la reception e cosa aspettarsi quando un auditor chiede di vederla.
In breve
Una procedura di gestione dei visitatori è il documento interno che stabilisce chi può entrare, come viene registrato, chi ne è responsabile durante la permanenza e come esce. Serve alla reception per lavorare sempre allo stesso modo, al responsabile della sicurezza per sapere chi è in azienda in caso di emergenza e a chi gestisce la privacy per trattare i dati dei visitatori in modo corretto.
Non deve essere lunga: due o tre pagine ben scritte bastano quasi sempre. Deve invece essere applicabile ogni giorno, perché una procedura che la reception non riesce a seguire il lunedì mattina alle 8 è solo un foglio in un raccoglitore. Il registro visitatori — cartaceo o digitale come IRIGuest — è lo strumento che rende la procedura verificabile.
La procedura visitatori nasce di solito per uno di tre motivi: una visita ispettiva o un audit in cui è stato chiesto “come gestite gli accessi?”, un episodio spiacevole (una persona trovata in reparto senza che nessuno sapesse chi fosse) oppure il passaggio a un registro digitale, che obbliga a decidere una volta per tutte quali dati raccogliere. In tutti e tre i casi il problema è lo stesso: le regole esistono, ma vivono nella testa di chi sta alla reception.
Scriverle non è burocrazia. È il modo per far sì che la reception, il collega che la sostituisce in ferie, il responsabile di reparto e la portineria del turno di notte facciano tutti la stessa cosa. E, quando arriva un audit, per rispondere con un documento invece che con “di solito facciamo così”.
Questa pagina è una guida operativa alla scrittura del documento. Se la domanda a monte è se il registro visitatori sia obbligatorio, l’abbiamo trattata a parte, insieme alle altre guide sul registro visitatori.
Una procedura di gestione dei visitatori (chiamata anche regolamento accessi o policy visitatori) descrive il percorso di una persona esterna dal momento in cui si presenta all’ingresso a quando lascia l’azienda. Non è il registro: il registro è la traccia, la procedura è la regola che dice cosa finisce nella traccia e chi se ne occupa.
Serve a quattro cose molto concrete. Sicurezza: sapere in ogni momento chi è dentro, dove e con chi, per gestire un’emergenza e per evitare che estranei circolino in aree riservate. Privacy: raccogliere solo i dati necessari, informare il visitatore e non conservarli oltre il dovuto. Immagine: un’accoglienza uguale per tutti, ordinata e veloce, è la prima impressione che l’azienda dà a clienti e candidati. Verificabilità: poter dimostrare a un auditor, a un cliente o a un’assicurazione che gli accessi sono governati.
La procedura riguarda gli ospiti in senso stretto — clienti, candidati, consulenti, familiari, delegazioni — e definisce il confine con le altre presenze esterne, che seguono regole proprie.
Il rischio più frequente non è scrivere una procedura sbagliata: è scriverne una troppo ambiziosa, con dieci pagine, moduli in triplice copia e un flusso che nessuno riesce a seguire. La misura giusta è quella che la reception applica senza pensarci.
Una procedura funziona quando ogni passaggio ha un responsabile con nome e cognome, o almeno con un ruolo preciso. Nelle PMI le figure coinvolte sono quasi sempre quattro.
Approva la procedura e decide le regole di fondo: chi può ricevere visitatori, se serve l’accompagnamento, quali aree sono riservate. Senza questo passaggio la procedura resta un’iniziativa della reception e viene ignorata alla prima eccezione.
Definisce le informazioni da consegnare al visitatore (regole del sito, comportamento in emergenza) e, con chi si occupa di protezione dei dati, decide quali dati raccogliere, per quanto conservarli e cosa scrivere nell’informativa.
È chi applica la procedura ogni giorno: accoglie, registra, consegna il badge, avvisa il referente e chiude la visita all’uscita. Va coinvolta nella scrittura, altrimenti il documento descrive un flusso teorico e non quello reale.
Chi riceve la visita è responsabile dell’ospite durante la permanenza: lo accoglie, lo accompagna dove serve, lo riaccompagna all’uscita. È il ruolo più trascurato e quello che, in caso di problema, conta di più.
Una procedura con questi quattro ruoli chiari copre il 90% dei casi. Nei siti con più varchi e turni si aggiunge la portineria notturna o il magazzino, che gestisce autisti e consegne con un percorso ridotto. Come distinguere queste presenze da quelle dei dipendenti è spiegato nella guida su registro visitatori e dipendenti.
Non esiste un formato obbligatorio. Nella pratica, una procedura visitatori completa e ancora leggibile contiene le sezioni seguenti — nell’ordine in cui la reception le incontra durante una giornata.
| Sezione | Cosa contiene | Quanto è tipica |
|---|---|---|
| Scopo e campo di applicazione | A chi si applica (ospiti) e a chi no (ditte esterne, dipendenti, corrieri), in quali sedi e varchi | Essenziale |
| Ruoli e responsabilità | Chi accoglie, chi registra, chi accompagna, chi decide le eccezioni | Essenziale |
| Registrazione | Dati raccolti, strumento usato (registro cartaceo o digitale), campi obbligatori | Essenziale |
| Identificazione e badge | Se e come si consegna un badge visitatore, cosa riporta, quando si restituisce | Frequente |
| Accompagnamento e aree | Dove il visitatore può andare da solo, dove va accompagnato, aree vietate | Essenziale |
| Informazioni al visitatore | Regole del sito, comportamento in emergenza, divieti (foto, fumo, DPI dove richiesti) | Frequente |
| Privacy | Informativa, base del trattamento, tempi di conservazione, chi può consultare il registro | Essenziale |
| Emergenza | Come si ottiene la lista dei presenti, chi la porta al punto di raccolta, chi conta i visitatori | Essenziale |
| Uscita e chiusura | Check-out, restituzione del badge, chiusura delle visite rimaste aperte a fine giornata | Frequente |
| Eccezioni e revisione | Visite fuori orario, delegazioni numerose, chi autorizza le deroghe, ogni quanto si rivede il documento | Da valutare |
Se preferisci partire da un modello, il kit registro visitatori contiene una checklist GDPR e i modelli di registro da cui ricavare la sezione sulla registrazione: le colonne del registro sono, di fatto, i dati che la procedura deve prevedere.
Il cuore della procedura è il flusso operativo: sei momenti, sempre gli stessi, con un responsabile ciascuno. È la parte da scrivere insieme a chi sta alla reception.
Il visitatore si presenta al punto di accoglienza indicato. La procedura dice cosa fare se la reception non è presidiata (citofono, referente da chiamare, tablet in auto-registrazione).
Si raccolgono i dati previsti: nome, azienda, persona da incontrare, ora di ingresso. Non di più. Su un registro digitale i campi obbligatori sono davvero obbligatori e l’ora è automatica.
Il visitatore prende visione dell’informativa privacy e delle regole del sito. La firma su schermo lascia traccia di cosa è stato mostrato e a chi, senza fogli da archiviare.
Dove previsto, si consegna un badge visitatore visibile con nome e azienda. Cosa scriverci e come stamparlo è spiegato nella guida ai badge visitatori.
Il referente interno viene avvisato e viene a prendere l’ospite. Nella versione Cloud di IRIGuest la notifica parte automaticamente al check-in. Da qui in poi la responsabilità è sua.
Il visitatore restituisce il badge e viene registrata l’ora di uscita. È il passaggio che il cartaceo perde in una riga su due: la procedura deve dire chi chiude le visite rimaste aperte a fine giornata.
Come questi sei momenti si traducono in pratica su un tablet in reception è descritto nella pagina su come funziona la registrazione dei visitatori. La procedura non deve descrivere l’app: deve descrivere le regole, e l’app deve aiutare a rispettarle.
Il registro visitatori contiene dati personali, quindi la procedura deve rispondere alle domande che il GDPR pone a qualunque trattamento: quali dati raccogli, perché, per quanto li conservi, chi può vederli e come informi l’interessato. Non serve un capitolo giuridico: servono cinque risposte chiare.
La regola pratica è la minimizzazione: nome, azienda, referente e orari bastano quasi sempre. Il documento d’identità va chiesto solo se una procedura di sicurezza lo richiede davvero, e in quel caso si annota, non si fotocopia. L’informativa deve essere breve, disponibile al varco e — su un registro digitale — mostrata prima della firma.
Il punto più delicato è la visibilità: un registro cartaceo mostra a chi firma i nomi di chi ha firmato prima. La procedura deve prevedere che il registro non sia consultabile dai visitatori, cosa che sulla carta richiede accorgimenti (fogli singoli, registro chiuso) e su un tablet è la condizione di partenza.
Se il tema privacy è quello che ti preoccupa di più, la pagina su registro visitatori e GDPR entra nel dettaglio di informativa, consensi e firma su schermo. Qui basta ricordare che la procedura è il posto in cui quelle scelte vanno scritte, una volta sola.
È il motivo per cui, in fondo, il registro esiste. Quando scatta un’evacuazione, al punto di raccolta bisogna sapere chi dovrebbe esserci — e i visitatori non compaiono in nessun elenco del personale. Una procedura seria dice chi stampa o apre la lista dei presenti, chi la porta al punto di raccolta e chi verifica che ogni visitatore registrato sia uscito.
Sul cartaceo questo passaggio è fragile: il registro sta alla reception, la reception sta evacuando, e le righe senza orario di uscita non dicono se la persona è ancora dentro. Su un registro digitale l’elenco delle visite ancora aperte è disponibile in ogni momento, anche da un altro dispositivo nella versione Cloud, e le visite chiuse non compaiono.
La procedura deve anche stabilire il ruolo del referente interno: l’ospite in azienda è sotto la sua responsabilità, quindi è lui a condurlo al punto di raccolta e a segnalarne la presenza. È una riga nel documento, ma è la riga che in un’emergenza vera fa la differenza.
Nei siti produttivi con più ingressi la lista dei presenti va composta da tutti i varchi. È uno dei motivi per cui, sopra una certa dimensione, il registro unico centralizzato descritto nella pagina sulla gestione dei visitatori in stabilimento non è un lusso ma una necessità.
Molte aziende scrivono la procedura visitatori la settimana prima di un audit. Non è la motivazione più nobile, ma è realistica — e allora conviene sapere cosa viene chiesto di solito, in base al contesto. Le indicazioni che seguono sono orientative: ogni schema di certificazione ha i propri requisiti, e la valutazione spetta all’organismo di verifica.
| Contesto | Cosa viene chiesto, in genere | Cosa esibire |
|---|---|---|
| ISO/IEC 27001 (sicurezza delle informazioni) | Controllo degli ingressi fisici alle aree protette; traccia di chi entra, quando ed eventuale accompagnamento | Procedura scritta, registro consultabile, storico ricercabile per data |
| ISO 9001 / IATF 16949 (qualità, automotive) | Non prescrivono un registro, ma negli audit — soprattutto di cliente — si verifica come è governato l’accesso ai reparti e la protezione di prodotto e informazioni | Procedura, evidenza dell’accompagnamento, registro |
| BRCGS / IFS (sicurezza alimentare) | Accesso controllato di visitatori e appaltatori alle aree di produzione; presa visione delle regole di igiene e comportamento | Registrazione con firma delle regole, procedura, badge o identificazione |
| ISO 45001 e sicurezza sul lavoro | Informazione sui rischi del sito alle persone esterne, gestione delle emergenze, coordinamento con le imprese | Informativa consegnata al varco, lista dei presenti, procedura di evacuazione |
| GDPR (protezione dei dati) | Base del trattamento, informativa, minimizzazione, tempi di conservazione, chi accede ai dati | Informativa, registro dei trattamenti, procedura di cancellazione |
| Cliente o assicurazione (audit di seconda parte) | Chi entra, quando, chi ne risponde; a volte anche chi ha avuto accesso a un’area in una certa data | Storico consultabile e esportabile |
La buona notizia è che gli auditor chiedono quasi sempre le stesse tre cose: il documento, la traccia e una prova che la traccia sia usata (“mi mostra chi è entrato il 12 marzo?”). Con un registro cartaceo la terza richiesta significa sfogliare; con un registro digitale significa una ricerca.
Le procedure visitatori falliscono quasi sempre per gli stessi motivi, e quasi mai perché mancava una norma da citare.
Cosa fanno le procedure che funzionano
Cosa le fa fallire
Il confronto fra strumenti — foglio, Excel o tablet — è trattato nella guida su registro cartaceo, Excel o digitale. Vale la pena leggerla prima di scrivere la sezione sulla registrazione: lo strumento condiziona ciò che la procedura può realisticamente chiedere.
Uno scheletro da adattare alla tua azienda. Ogni punto corrisponde a un paragrafo del documento: se riesci a scrivere due o tre righe per ciascuno, la procedura è fatta.
Dieci paragrafi, una riga di data e firma della direzione in fondo. Se il documento supera le tre pagine, quasi certamente sta descrivendo l’app o ripetendo la normativa: entrambe le cose stanno meglio altrove.
Una procedura scritta bene chiede poco alla reception, ma lo chiede sempre. È esattamente il punto in cui il registro cartaceo cede: l’ora di uscita non compilata, il nome illeggibile, l’informativa che nessuno ha fatto firmare. Un registro digitale non cambia le regole: le rende la strada più semplice. I campi obbligatori restano obbligatori, l’informativa compare prima della firma, l’orario è automatico e la lista dei presenti è sempre a portata di mano.
Con IRIGuest le domande della registrazione sono personalizzabili, i consensi si firmano sullo schermo e il registro non è consultabile dai visitatori. La versione gratuita basta per una reception; la versione Cloud aggiunge le notifiche automatiche al referente, la preregistrazione con QR Code e un unico storico anche con più varchi e più sedi.
Cosa il registro non fa, per chiarezza: non apre tornelli o sbarre, non verifica i documenti delle imprese, non forma i lavoratori esterni e non sostituisce la rilevazione presenze dei dipendenti. Fa una cosa sola, e la fa sempre nello stesso modo: registra chi entra e chi esce, come la procedura prevede. Il contesto più ampio in cui si inserisce è quello della reception digitale.
Riferimenti normativi e tecnici utili ad approfondire. Questa pagina ha scopo informativo e non sostituisce un parere legale né la consulenza del responsabile della sicurezza o del consulente privacy.
Nessuna norma italiana impone un documento chiamato “procedura visitatori”. Esistono però obblighi che la rendono, di fatto, il modo più semplice per adempiere: gestire le emergenze tenendo conto delle persone esterne presenti, coordinarsi con le imprese che entrano per lavorare, trattare i dati dei visitatori in modo corretto. E molti schemi di certificazione, a partire dalla ISO 27001, chiedono che gli accessi fisici siano governati e tracciati. Il tema è approfondito nella guida sull’obbligo del registro visitatori.
Due o tre pagine. Una procedura più lunga di solito descrive lo strumento invece delle regole, oppure ripete la normativa. Conviene tenere il documento breve e affiancargli una versione ridotta — dieci righe — da tenere alla reception.
Il minimo che serve alla finalità: nome e cognome, azienda, persona da incontrare, ora di ingresso e di uscita. Il motivo della visita e la targa solo se servono davvero; il documento d’identità solo se una procedura di sicurezza lo richiede, e in quel caso si annota senza fotocopiarlo. Ogni campo in più è tempo in più al varco e un dato in più da custodire.
Dipende da cosa chiedi. L’informativa privacy va resa disponibile e, se vuoi documentare che è stata mostrata, la firma è il modo più semplice. Lo stesso vale per la presa visione delle regole del sito, che in ambito produttivo o alimentare viene richiesta quasi sempre. Con IRIGuest la firma si raccoglie sullo schermo e resta associata alla registrazione.
La procedura deve prevederlo esplicitamente, perché è il caso più frequente nelle PMI. Le soluzioni tipiche sono un tablet in auto-registrazione all’ingresso, un citofono con l’elenco dei referenti o l’obbligo per il referente di scendere ad accogliere l’ospite. Quello che non funziona è lasciare la decisione a chi passa di lì.
È responsabile dell’ospite per tutta la visita: lo accoglie, lo accompagna nelle aree dove non può muoversi da solo, lo conduce al punto di raccolta in caso di emergenza e lo riaccompagna all’uscita, dove viene registrato il check-out. La procedura deve dirlo per iscritto, perché è il ruolo che tutti danno per scontato e nessuno ha mai letto.
Meglio una procedura di gruppo con un allegato per sede: le regole (dati raccolti, privacy, ruoli, emergenza) sono le stesse ovunque, cambiano solo varchi, orari e referenti. Sul lato strumenti, la versione Cloud di IRIGuest permette di applicare la stessa configurazione a tutte le sedi e di consultare un unico storico.
In genere che gli ingressi fisici alle aree protette siano controllati: chi entra deve essere identificato, registrato con data e ora e, dove serve, accompagnato. Vuole vedere la procedura, il registro e una prova che il registro sia consultabile — per esempio chi ha avuto accesso a una certa area in una data precisa. La valutazione finale spetta comunque all’organismo di certificazione.
Il GDPR non fissa una durata unica: chiede che il periodo sia definito in base alla finalità, scritto nell’informativa e rispettato. Molte aziende adottano orizzonti di alcuni mesi per gli ospiti ordinari e più lunghi per gli accessi legati alla sicurezza. L’importante è deciderlo nella procedura e prevedere chi cancella i dati alla scadenza.
Sì, per una singola reception: la versione gratuita funziona offline, senza limiti di tempo, con domande personalizzabili, informativa e firma sullo schermo ed esportazione in CSV. Le notifiche automatiche al referente, la preregistrazione con QR Code, il registro unico su più varchi e sedi e il report centralizzato sono funzioni della versione Cloud.
Prova IRIGuest gratis in reception, oppure guarda in due minuti come si registra un visitatore. Senza installare nulla e senza impegno.
