Legge Gelli-Bianco: come cambia la gestione del rischio sanitario

La Legge 8 marzo 2017, n. 24 (Legge Gelli‑Bianco) segna un punto di rottura rispetto al passato nella disciplina della responsabilità sanitaria, introducendo un mutamento strutturale del modello di gestione del rischio e superando un approccio storicamente fondato su meccanismi di tutela ex post, prevalentemente giudiziari e assicurativi. Prima di tale riforma, il sistema italiano si caratterizzava per una forte frammentazione: la gestione del rischio clinico era spesso confinata a funzioni tecniche marginali, la copertura assicurativa rappresentava lo strumento principale – se non esclusivo – di trasferimento del rischio, e il contenzioso veniva affrontato come un evento patologico, da fronteggiare caso per caso, senza una visione sistemica.

Con la Gelli‑Bianco, il legislatore prende atto dell’insostenibilità di questo modello. L’aumento del numero di sinistri, l’incremento degli importi risarcitori, l’estrema variabilità delle decisioni giudiziarie e la diffusione della medicina difensiva avevano prodotto effetti distorsivi sia sul piano della qualità delle cure sia sul piano economico‑finanziario.

La riforma interviene quindi riaffermando, all’articolo 1, che la sicurezza delle cure è parte costitutiva del diritto alla salute, imponendo alle strutture sanitarie un obbligo organizzativo permanente di prevenzione, monitoraggio e gestione del rischio.

Uno dei cambiamenti più evidenti riguarda la riallocazione della responsabilità. Con l’articolo 7, la responsabilità civile viene ricondotta principalmente alla struttura sanitaria, con natura contrattuale, mentre il professionista sanitario “strutturato” risponde in via extracontrattuale, e solo nei casi di colpa grave o dolo può essere chiamato a rispondere in rivalsa. Rispetto al passato, questo comporta un duplice effetto:
da un lato, riduce l’esposizione individuale del medico, favorendo un esercizio più appropriato e meno difensivo dell’attività clinica; dall’altro, accresce in modo significativo la responsabilità della struttura, che non può più limitarsi a stipulare una polizza assicurativa, ma deve dimostrare di aver adottato assetti organizzativi, processi e controlli idonei a governare il rischio.

Giova ricordare che per lungo tempo l’effettiva portata della riforma è rimasta in parte in ombra a causa della mancata emanazione del decreto attuativo previsto dall’articolo 10, comma 6. Solo con il D.M. 15 dicembre 2023, n. 232, entrato in vigore il 16 marzo 2024, la norma ha trovato piena attuazione sotto il profilo operativo, con una distanza temporale di oltre sette anni dall’entrata in vigore della legge primaria.

Il decreto ha chiarito che la Gelli‑Bianco non è soltanto una legge sulla responsabilità, ma una legge sulla governance del rischio sanitario, introducendo obblighi organizzativi, finanziari e contabili di portata rilevante. Il legislatore ha comunque previsto un periodo di adeguamento di 24 mesi, fissando la data spartiacque del 16 marzo 2026, oltre la quale ci si aspetta che il nuovo regime dovrà essere pienamente operativo.

Perimetro di riferimento: cosa cambia per strutture sanitarie, professionisti e assicurazioni

Il perimetro applicativo della riforma si estende a tutte le strutture sanitarie e sociosanitarie, pubbliche e private, e coinvolge non solo i medici, ma l’intero sistema organizzativo, inclusi il personale sanitario non medico, le funzioni amministrative e gli organi di governance. Rispetto al passato, cambia radicalmente la prospettiva: il rischio sanitario non è più un tema esclusivamente clinico o legale, ma un vero e proprio rischio d’impresa, che deve essere identificato, misurato e gestito in modo sistematico.

Per le strutture, ciò implica l’adozione di un sistema di risk management integrato, che includa la mappatura dei rischi clinici, l’analisi degli eventi avversi, il monitoraggio della sinistrosità e la valutazione delle esposizioni economiche future. La struttura deve essere in grado di dimostrare, anche a fini di accreditamento e di controllo, di aver implementato presìdi organizzativi adeguati e di aver assunto decisioni consapevoli in materia di copertura del rischio, scegliendo in modo informato tra assicurazione, autoritenzione totale o parziale, franchigie o modelli misti.

Per i professionisti sanitari, la riforma segna il superamento di una condizione di eccessiva esposizione personale al contenzioso, senza tuttavia tradursi in una forma di deresponsabilizzazione. Al contrario, il medico è chiamato a partecipare attivamente ai processi di gestione del rischio, alla segnalazione degli eventi avversi e al miglioramento continuo dei percorsi clinici. In questo senso, evolve il ruolo del medico nel dialogo con le funzioni di risk management e di valutazione dei sinistri, che diventa più strutturato e multidisciplinare.

Il D.M. 232/2023 introduce requisiti minimi uniformi delle coperture, disciplina il regime claims made, limita il recesso contrattuale, rafforza l’azione diretta del danneggiato e consente la modulazione delle condizioni economiche delle coperture, collegandole non solo all’andamento della sinistrosità ma anche alla qualità della gestione del rischio. In tale contesto, è lecito ritenere che i meccanismi di bonus–malus, pur non essendo rigidamente tipizzati dalla norma, debbano essere impostati secondo logiche effettivamente risk‑based, evitando automatismi o approcci meramente sanzionatori fondati esclusivamente sul numero dei sinistri, poco adeguati a un ambito long‑tail come quello sanitario, caratterizzato da tempi di emersione lunghi e da elevata incertezza giudiziaria.

La modulazione del premio dovrebbe invece riflettere il profilo di rischio complessivo della struttura, tenendo conto non solo dei dati storici, ma anche dell’efficacia dei sistemi di gestione del rischio clinico, delle misure di prevenzione adottate e della solidità della governance organizzativa. In questa prospettiva, il bonus–malus si configura come strumento di incentivo a comportamenti virtuosi e a investimenti strutturali nella sicurezza delle cure, coerente con l’impostazione del decreto e con l’obiettivo di responsabilizzare le strutture sanitarie nella gestione consapevole del rischio.

Alla luce di quanto detto, le compagnie di assicurazione non possono più basarsi esclusivamente su dati storici aggregati, ma sono chiamate a valutare la governance del rischio delle singole strutture, premiando assetti organizzativi maturi e penalizzando modelli inadeguati.

In questo nuovo equilibrio assumono un rilievo centrale le franchigie e la Self Insurance Retention (SIR). In tali ipotesi, una quota del rischio resta in capo alle strutture sanitarie, che devono dimostrare di essere in grado di gestire internamente la variabilità dei sinistri e le incertezze legate ai tempi di manifestazione del danno.

La scelta di adottare un regime di autoritenzione del rischio (totale o parziale) oppure un sistema misto non può più essere considerata una mera conseguenza tecnica delle condizioni di polizza assicurativa, ma costituisce oggi una decisione di governance strategica.

La normativa vigente prevede infatti che, ai fini degli obblighi organizzativi e finanziari, le fattispecie di copertura caratterizzate da franchigie o SIR rilevanti siano ricondotte nell’ambito delle misure analoghe all’assicurazione, in quanto comportano un’assunzione diretta di una quota significativa di rischio da parte della struttura. Ne deriva che anche le strutture formalmente assicurate, ma con franchigie rilevanti, rientrano a pieno titolo nel perimetro delle misure analoghe all’assicurazione previste dall’articolo 10 della Legge Gelli‑Bianco. In tale contesto, il D.M. 15 dicembre 2023, n. 232 ha introdotto un passaggio formale inderogabile: l’assunzione diretta del rischio, anche solo parziale, deve risultare da apposita delibera approvata dai vertici della struttura sanitaria, come espressamente previsto dall’articolo 9.

La delibera non può avere carattere meramente ricognitivo, ma deve esplicitare le motivazioni della scelta, descrivere il modello di copertura adottato (assicurazione pura, SIR o autoritenzione totale, modelli misti) e illustrare le modalità di funzionamento del sistema e del processo di gestione e liquidazione dei sinistri. Nei regimi misti, la delibera deve inoltre chiarire le modalità di coordinamento con l’assicuratore e il procedimento di acquisto dei servizi assicurativi. Questo passaggio segna una discontinuità netta rispetto al passato, quando la presenza di franchigie era spesso gestita come un tema prettamente contrattuale, senza un coinvolgimento esplicito degli organi di amministrazione.

Accanto alla delibera sull’autoritenzione del rischio, il quadro normativo vigente impone alle strutture sanitarie un obbligo informativo strutturato, attuato attraverso la relazione annuale sul rischio, che costituisce uno degli strumenti centrali di raccordo tra gestione del rischio clinico, valutazione economico‑finanziaria e funzione di governance. L’origine di tale obbligo va ricondotta all’articolo 1, comma 539, della Legge 28 dicembre 2015, n. 208, successivamente integrato dalla Legge Gelli‑Bianco, che ha introdotto l’obbligo di predisposizione e pubblicazione della relazione annuale sugli eventi avversi.

In questa cornice, il D.M. 15 dicembre 2023, n. 232, con l’articolo 17, non modifica la disciplina primaria, ma qualifica ulteriormente la relazione annuale, attribuendole un ruolo esplicitamente gestionale e prospettico. La relazione è così chiamata a supportare la valutazione del profilo di rischio della struttura, a fondare la determinazione degli accantonamenti nei fondi rischi e nei fondi riserva sinistri e a consentire una verifica strutturata della sostenibilità complessiva del sistema di copertura adottato, in particolare nei casi di autoritenzione del rischio totale o parziale.

In questo contesto, la relazione diventa il luogo naturale di integrazione tra valutazioni cliniche, medico‑legali, attuariali e finanziarie, evidenziando il ruolo centrale del risk manager, dell’attuario e dei medici nel processo di stima del risarcimento potenziale e nella valutazione delle esposizioni future, incluse quelle riferibili ai sinistri IBNR (Incurred But Not Reported).

Alla luce di quanto detto, ne deriva l’esigenza che le strutture sanitarie rafforzino i propri assetti organizzativi e si dotino, anche attraverso competenze interne o supporti specializzati esterni, di strumenti e metodologie tipiche del settore assicurativo, al fine di cogliere in modo prospettico i rischi connessi all’attività sanitaria e governarli secondo criteri di corretta, prudente e sostenibile gestione.

Focus sui Fondi rischi e sul Fondo riserva sinistri: valutazioni, governance e incertezza

Il fulcro tecnico della riforma risiede nella disciplina dei fondi, che rappresentano il punto di incontro tra rischio clinico e sostenibilità economico‑finanziaria della struttura sanitaria.

In relazione alla quota di rischio trattenuta dalla struttura, il Fondo rischi (art. 10 D.M. 232/2023) è destinato a coprire i rischi potenziali in corso, mentre il Fondo riserva sinistri (art. 11) riguarda i sinistri già denunciati ma non ancora liquidati.

Rispetto al passato, non è più ammissibile una gestione meramente prudenziale o approssimativa: il decreto richiede stime tecnicamente fondate, coerenti nel tempo e supportate da competenze specialistiche, nonché una rappresentazione ordinata e trasparente delle diverse componenti di rischio. In tale prospettiva, l’articolo 12 del D.M. 232/2023 svolge un ruolo centrale, poiché introduce il principio di interoperabilità tra Fondo rischi e Fondo riserva sinistri, vietando espressamente qualsiasi doppio computo dei medesimi eventi o delle stesse esposizioni nel bilancio della struttura.

I due fondi devono pertanto operare in modo coordinato ma nettamente distinto, garantendo che ogni rischio o sinistro sia contabilmente allocato una sola volta, in funzione del suo stato evolutivo, e che il passaggio da una categoria all’altra avvenga in modo tracciabile e coerente. Questa impostazione presuppone l’adozione di metodologie di stima capaci di seguire l’evoluzione temporale del rischio sanitario, evitando sovrapposizioni e discontinuità e assicurando la confrontabilità delle valutazioni nel tempo.

Sotto il profilo tecnico‑attuariale, la valutazione del rischio sanitario richiede un insieme articolato e multifase di analisi quantitative e qualitative, che prendono avvio dalla qualità e profondità della base dati storica a disposizione delle strutture. La disponibilità di informazioni attendibili sulla sinistrosità, sugli eventi avversi e sui casi di contenzioso costituisce il presupposto indispensabile per qualsiasi processo di stima prospettica, soprattutto in un contesto, come quello sanitario, caratterizzato da latenza temporale e forte variabilità degli esiti.

Accanto all’analisi storica, assumono rilievo le esposizioni al rischio, che devono essere lette tenendo conto di una pluralità di fattori strutturali e operativi: la tipologia di attività sanitaria svolta, il mix di prestazioni erogate, la complessità clinica dei casi trattati, la dimensione organizzativa della struttura e il livello di specializzazione delle unità operative. Tali elementi incidono sia sulla frequenza potenziale dei sinistri sia sulla severità attesa, e devono quindi essere coerentemente integrati nei modelli di valutazione.

Un ulteriore livello di analisi riguarda il modello operativo e organizzativo della struttura, inclusi i presìdi di governance, le policy interne, i protocolli clinico‑assistenziali e i processi di controllo. In tale ambito, il grado di formalizzazione delle procedure, la qualità della documentazione clinica, l’efficacia dei sistemi di audit e la diffusione di una cultura della segnalazione degli eventi avversi rappresentano variabili determinanti ai fini della stima del profilo di rischio e della sua evoluzione nel tempo.

La valutazione attuariale deve inoltre tener conto del sistema di rendicontazione e di analisi adottato dalla struttura, ossia della capacità di raccogliere, classificare e analizzare in modo strutturato i dati rilevanti per la gestione del rischio. Sistemi informativi adeguati e processi di reporting coerenti consentono non solo una migliore lettura del passato, ma soprattutto una valutazione prospettica del rischio, indispensabile per la corretta determinazione del Fondo rischi, delle riserve sinistri e delle componenti di rischio latente, incluse quelle riferibili agli IBNR (Incurred But Not Reported).

In questo quadro, l’attuario contribuisce alla valutazione quantitativa del rischio, applicando metodologie tecniche coerenti e formalizzate sulla base delle informazioni disponibili e validate, al fine di supportare la determinazione di stime coerenti nel tempo, tracciabili sotto il profilo metodologico e verificabili nell’ambito dei processi di governance e controllo.

La valutazione del rischio sanitario si configura così come un processo dinamico e strutturato, che integra dati, modelli e giudizio professionale, in linea con le esigenze di governance, sostenibilità economico‑finanziaria e trasparenza richieste dal quadro normativo vigente.

Un passaggio rilevante, ai fini del processo di stima, è rappresentato dalla scomposizione del costo dei sinistri in frequenza e severità.

Per la frequenza degli eventi risarcibili possono essere utilizzati modelli discreti ampiamente consolidati in letteratura, quali la distribuzione di Poisson o la binomiale negativa, mentre per la severità, data la marcata asimmetria degli importi risarcitori e la presenza di sinistri ad elevato impatto economico, risultano più idonee distribuzioni di probabilità asimmetriche (ad es. lognormale, Pareto), capaci di rappresentare in modo appropriato anche le code della distribuzione.

L’integrazione di modelli di frequenza e severità consente di stimare la perdita attesa e la relativa volatilità, fornendo una base quantitativa coerente per la determinazione degli accantonamenti nei fondi e per la valutazione della sostenibilità del sistema di copertura adottato.

Accanto a tali approcci, si affiancano modelli di tipo run‑off per la stima prospettica dell’evoluzione temporale dei sinistri, particolarmente indicati nei contesti long‑tail come la responsabilità sanitaria, caratterizzati da ritardi nella denuncia e nella liquidazione. Tali modelli, sviluppati sulla base di triangoli di sviluppo per anno di accadimento e di denuncia, consentono di stimare il costo ultimo dei sinistri e la componente di rischio non ancora emersa, attraverso metodologie ampiamente consolidate nella prassi attuariale (es. Chain Ladder, Bornhuetter‑Ferguson, Cape Cod e modelli di sviluppo generalizzati). L’impiego di modelli run‑off consente di integrare l’informazione storica con valutazioni prospettiche coerenti, assicurando continuità valutativa nel tempo, trasparenza delle assunzioni adottate e un più solido raccordo tra rischi potenziali, componenti IBNR e sinistri denunciati, a supporto delle esigenze di governance e della corretta rappresentazione delle passività.

Le valutazioni attuariali effettuate dovrebbero essere supportate da verifiche di coerenza e di adeguatezza dei modelli utilizzati, anche attraverso analisi di bontà di adattamento e di back testing, finalizzate a valutare nel tempo la qualità dei risultati ottenuti. Tali pratiche risultano coerenti con quanto previsto dall’articolo 17 del D.M. 232/2023, che richiede la valutazione dell’efficacia dei processi di gestione e di stima del rischio e il confronto tra le valutazioni effettuate e gli esiti effettivamente osservati.

Si ritiene utile menzionare i sinistri IBNR (Incurred But Not Reported), ossia eventi dannosi già avvenuti sul piano clinico ma non ancora denunciati. Gli IBNR sono correttamente collocati nel Fondo rischi, in quanto espressione di un rischio latente non ancora formalizzato in una richiesta risarcitoria. Essi rappresentano una delle principali fonti di incertezza del sistema e, se sottostimati, possono compromettere la rappresentazione veritiera del profilo di rischio e la stabilità finanziaria della struttura sanitaria. In coerenza con l’articolo 12 del decreto, tali componenti non possono essere duplicate nel Fondo riserva sinistri, ma confluiscono in quest’ultimo solo al momento della denuncia, assicurando continuità valutativa e assenza di sovrapposizioni.

In questo contesto evolve anche il processo di valutazione del risarcimento. Il risk manager e l’attuario non operano più in modo isolato, ma collaborano in modo strutturato con i medici e con i professionisti medico‑legali, al fine di stimare in maniera realistica l’entità potenziale del danno, la probabilità di soccombenza e l’evoluzione temporale del sinistro. La valutazione del rischio sanitario assume così una dimensione multidisciplinare, nella quale competenze cliniche, statistiche e giuridiche si integrano, consentendo di alimentare in modo coerente sia il Fondo rischi sia il Fondo riserva sinistri, come già sottolineato nel rispetto dei principi di interoperabilità, tracciabilità e divieto di doppio computo posti dal decreto attuativo.

Quanto sopra rappresentato in merito al Fondo rischi e al Fondo riserva sinistri si riflette anche sul processo di predisposizione del bilancio predisposto secondo i principi contabili nazionali OIC o secondo gli IFRS: il processo di formazione dell’informativa finanziaria dovrà infatti tenere conto delle novità in materia, nell’ambito di quanto previsto dall’OIC 31 e dallo IAS 37, che potrebbero anche essere aggiornati alla luce degli approfondimenti dello Standard Setter, soprattutto in ambito nazionale.  

 Il ruolo di Forvis Mazars: dalla compliance alla governance evoluta del rischio sanitario

In un contesto normativo sempre più articolato e orientato alla responsabilizzazione delle strutture sanitarie, Forvis Mazars affianca ospedali, cliniche e gruppi sociosanitari nella definizione e implementazione di un modello strutturato e sostenibile di governance del rischio sanitario, pienamente allineato ai principi della Legge Gelli‑Bianco e alle disposizioni del D.M. 15 dicembre 2023, n. 232. L’intervento si colloca lungo un percorso che supera la mera conformità agli obblighi normativi, ponendosi l’obiettivo di rafforzare in modo concreto la capacità della struttura di governare il rischio clinico, economico‑finanziario e legale in maniera integrata e consapevole.

Forvis Mazars supporta le strutture sanitarie nella progettazione dei sistemi di risk management, nella raccolta, strutturazione e analisi dei dati di sinistrosità e nell’applicazione di modelli valutativi e attuariali coerenti con la natura long‑tail del rischio sanitario. Tali attività sono finalizzate a supportare la determinazione e gestione dei fondi rischi nel tempo, delle riserve sinistri e delle componenti di rischio latente, incluse quelle riferibili agli IBNR (passività per sinistri già accaduti ma non ancora denunciati alla data di valutazione), oggi elementi centrali nella gestione dell’autoritenzione del rischio e delle franchigie.

In questo ambito, l’esperto in materia attuariale assume un ruolo rilevante nel garantire che le stime siano basate su metodologie formalizzate, coerenti nel tempo e adeguatamente documentate, anche in relazione alle esigenze di controllo, revisione e vigilanza. L’apporto attuariale si integra con i processi decisionali della struttura, contribuendo alla lettura prospettica del rischio e alla coerenza degli accantonamenti con il profilo di esposizione assunto.

In questo modo, la gestione del rischio sanitario diventa per la struttura uno strumento di governo e tutela, capace di rafforzare la stabilità economico‑finanziaria, la trasparenza verso gli stakeholder e la fiducia nel sistema di cura, in linea con gli obiettivi della riforma.

Accanto al ruolo dell’attuario, Forvis Mazars può supportare il processo di formazione del bilancio con riferimento al Fondo rischi e al Fondo riserva sinistri.

Inoltre, nell’ambito delle attività di revisione delle strutture sanitarie e sociosanitarie, pubbliche e private, andranno pianificate ed implementate specifiche procedure di revisione in merito alla verifica della completezza ed accuratezza di tali Fondi.