Quando la voce dell'amministratore delegato è finta
La frode deepfake del CEO non viola i sistemi ma sfrutta la fiducia nella voce del capo; dal caso Fideuram le regole di verifica che servono in azienda.

Il mystery client, o cliente misterioso, è una persona che si presenta come un normale cliente per verificare in incognito la qualità del servizio e il rispetto delle procedure di vendita e di cassa in un negozio, in un call center o a uno sportello. Le aziende lo usano per migliorare il servizio e, quando ci sono sospetti concreti, per accertare comportamenti illeciti come la mancata registrazione delle vendite, con regole diverse nei due casi.
Alcuni investigatori entrano in un punto vendita come normali clienti, fanno i loro acquisti e passano alla cassa. Tornano più volte, nell'arco di un periodo di tempo adeguato, e alla fine accertano che la cassiera non registra alcune vendite.
È la vicenda decisa dalla Corte di Cassazione con la sentenza n. 14454 del 2017, che ha ritenuto legittimo il controllo guardando allo scopo, che non era valutare come la cassiera lavorava ma scoprire un illecito, e al modo in cui le verifiche erano state condotte, ripetute nel tempo e non limitate a un singolo episodio, che da solo avrebbe potuto essere una svista. Sono due condizioni che valgono ancora oggi.
Nella maggior parte dei casi il mystery client nasce per tutt'altro scopo, quello di vedere l'azienda con gli occhi di chi ci entra da cliente. Lo usano i negozi, la grande distribuzione e le catene in franchising per capire com'è davvero l'esperienza di acquisto, gli alberghi, i ristoranti e i centri benessere per valutare l'accoglienza, le banche e le assicurazioni per verificare come viene data una consulenza, i call center per misurare la qualità delle risposte al telefono, e ancora le cliniche, per le prenotazioni e l'assistenza, e gli enti pubblici per i servizi agli sportelli. In tutti questi casi l'obiettivo è organizzativo, cioè capire se gli standard dell'azienda vengono rispettati e dove il servizio si inceppa.
Il problema giuridico nasce dal fatto che, osservando il servizio, il mystery client osserva inevitabilmente anche chi lo presta. L'articolo 3 dello Statuto dei lavoratori impone di comunicare ai dipendenti i nominativi del personale addetto a vigilare sull'attività lavorativa, e la Cassazione ha chiarito che questa regola non si applica al cliente in incognito incaricato di accertare comportamenti illeciti, che con la normale prestazione non hanno niente a che fare. Diverso è il caso della valutazione della qualità, che resta lecita a fini organizzativi ma non può trasformarsi in un controllo disciplinare occulto sul modo in cui le persone lavorano. Il quadro generale dei controlli è descritto nell'articolo su quando sono ammesse le indagini sui dipendenti.
Quando un'azienda ci chiede un servizio di questo tipo, la domanda da cui partiamo è sempre a che cosa deve servire. Se l'obiettivo è la qualità, si stabilisce che cosa misurare, dall'accoglienza ai tempi di attesa al rispetto delle procedure di vendita, e si costruisce un calendario di visite o di telefonate che copra giorni, orari e punti vendita diversi, in modo che il risultato descriva il servizio e non la giornata storta di una singola persona. Se invece c'è il sospetto concreto di un illecito, per esempio ammanchi di cassa che si ripetono in un certo negozio, il lavoro va impostato fin dall'inizio come un accertamento, con un incarico scritto, un obiettivo preciso e verifiche ripetute nel tempo, proprio come nel caso della cassiera.
Conta molto anche la scelta delle persone. Un buon mystery client sa osservare senza farsi notare, ricorda i dettagli che servono e li annota subito, e sa simulare situazioni diverse senza provocare il comportamento che dovrebbe soltanto rilevare.
Alla fine i risultati vanno letti con l'azienda e trasformati in interventi concreti, che a volte riguardano la formazione del personale e altre volte le procedure stesse, che sulla carta funzionano e al banco no.
Il materiale raccolto è fatto soprattutto di osservazioni, cioè note dettagliate sulle interazioni con il personale, e di questionari e report compilati dopo ogni visita. Il mystery client può anche registrare, ma solo le interazioni a cui partecipa di persona e sempre nei limiti previsti dalla legge e dalla normativa sulla protezione dei dati; le conversazioni tra altre persone restano fuori.
Quando lo scopo è accertare un illecito, tutto questo deve confluire in una relazione con date, orari e luoghi di ogni visita, che l'investigatore deve poter confermare davanti al giudice. Come si costruisce un documento del genere lo spieghiamo nell'approfondimento sull'importanza della relazione investigativa.
Un'avvertenza pratica, per chiudere. Le schede di valutazione raccolte per migliorare il servizio non dovrebbero essere riutilizzate in un secondo momento per una contestazione disciplinare, perché diventerebbero proprio quel controllo occulto che la legge non ammette, e un'azienda che a metà programma comincia a sospettare un illecito fa bene a fermarsi e a impostare una verifica distinta, con le regole che abbiamo visto.
Su questo tema DDS svolge attività dedicate. Trova il servizio in Mystery client e qualità del servizio.
Vai al servizio
La frode deepfake del CEO non viola i sistemi ma sfrutta la fiducia nella voce del capo; dal caso Fideuram le regole di verifica che servono in azienda.

La differenza tra criminologo e criminalista spiegata in modo semplice, e perché solo l'investigatore con licenza può raccogliere fatti per conto di terzi.

Una prova accolta dal giudice civile non evita al committente denunce e sanzioni privacy, e per questo conta scegliere un investigatore privato con licenza.
Un primo confronto, gratuito e riservato, serve a capire se e come un'attività investigativa può essere utile nel suo caso.