RC professionale per software house: come funziona e cosa verificare

Per quali rischi è pensata

La RC professionale per aziende IT (in inglese Technology Errors & Omissions, Tech E&O) nasce per richieste di risarcimento come queste:

• Errori e difetti del software: un bug in un gestionale che produce fatture sbagliate, un calcolo errato in un motore di pricing, una migrazione dati che corrompe l'archivio del cliente.
• Errori di progettazione e consulenza: un'architettura inadeguata, una scelta tecnologica sbagliata consigliata al cliente, un'analisi dei requisiti incompleta.
• Perdita o alterazione di dati del cliente causata da un errore.
• Violazione involontaria di diritti di terzi, come proprietà intellettuale o riservatezza.

Quali di questi casi siano coperti, e con quali limiti, va verificato nel testo: le polizze differiscono proprio su questi punti.

Perché il danno è quasi sempre patrimoniale

Un'impresa edile causa danni materiali: un muro crolla, qualcuno si fa male. Una software house causa quasi sempre danni patrimoniali puri: il cliente non vende per tre giorni, paga sanzioni per un adempimento sbagliato, deve rifare un lavoro. La responsabilità civile verso terzi tradizionale (RCT) è pensata per danni a persone e cose. Per chi produce software serve verificare che la polizza copra esplicitamente la perdita economica del cliente.

Claims made, retroattività e postuma

Una RC professionale può funzionare in regime claims made: in quel caso risponde alle richieste di risarcimento ricevute mentre la polizza è in vigore, anche se l'errore è precedente. Quando il regime è questo, tre elementi decidono quanto sei davvero coperto:

• Retroattività: fino a quanto indietro può risalire l'errore. Un gestionale rilasciato cinque anni fa può generare una richiesta oggi. Con una retroattività di due anni, quella richiesta resta fuori.
• Postuma (ultrattività): per quanto tempo dopo la fine della polizza puoi ancora denunciare richieste per errori commessi mentre era attiva. Conta in caso di cessazione dell'attività, fusione o cessione.
• Circostanze note: come vengono trattati i fatti che conoscevi alla stipula e che potevano generare una richiesta. Vanno dichiarati: le dichiarazioni inesatte o reticenti possono ridurre o annullare l'indennizzo (artt. 1892 e 1893 c.c.).

Quando cambi compagnia, verifica come la nuova polizza tratta la retroattività maturata con la precedente: è il punto in cui più facilmente si perdono anni di copertura.

Contratti, penali e SLA

L'assicurazione della responsabilità civile tiene indenne l'assicurato di quanto deve pagare a un terzo in conseguenza di un fatto accaduto durante il tempo dell'assicurazione (art. 1917 c.c.). Gli impegni che prendi per contratto oltre la responsabilità di legge sono il primo punto da verificare nel testo, perché possono essere esclusi o limitati:

• Penali per ritardo o per mancato rispetto degli SLA.
• Garanzie di risultato, come "il sistema ridurrà i costi del 20%".
• Manleve illimitate a favore del cliente.
• Termini di consegna vincolanti e restituzione del corrispettivo.

Per questo il lavoro assicurativo parte dal contratto tipo. Una clausola di limitazione di responsabilità allineata al massimale di polizza è la prima forma di protezione. Approfondiamo in SLA e penali.

Come ragionare sul massimale

• Richieste dei clienti: se il contratto indica un massimale minimo, quello è il punto di partenza.
• Criticità del software: un gestionale che tocca fatturazione, paghe o adempimenti fiscali espone a danni maggiori di un sito vetrina.
• Numero di clienti colpiti da un solo errore: nei prodotti SaaS e multi-tenant un bug arriva a tutti. Conta il massimale per anno, non solo quello per sinistro.
• Spese di difesa: verifica se sono dentro il massimale o in aggiunta.

Cosa verificare nel testo

1. Il regime è claims made? Con quale retroattività e quale postuma?
2. Le attività descritte in polizza corrispondono a tutto quello che fai davvero (sviluppo, integrazione, gestione di infrastrutture, consulenza)?
3. Come sono trattati penali, garanzie di risultato e responsabilità assunte per contratto?
4. Come sono trattati gli eventi informatici, per esempio una violazione di dati presso il cliente causata da un tuo errore? Vedi RC professionale e cyber.
5. Sono coperti i danni causati da interruzioni di servizi di terzi che usi, come i fornitori cloud?
6. Ci sono limiti territoriali, per esempio per clienti negli Stati Uniti o in Canada?
7. Il massimale è per sinistro, per anno, e comprende le spese di difesa?

È obbligatoria?

Per le aziende IT non esiste un obbligo di legge generale: l'obbligo di assicurazione riguarda i professionisti iscritti a ordini e collegi, come ingegneri e commercialisti (art. 5 del D.P.R. 137/2012). Può però essere richiesta dai clienti come requisito contrattuale.

Fonti

1. Codice civile, artt. 1892-1893 (dichiarazioni inesatte e reticenze)
2. Codice civile, art. 1917 (assicurazione della responsabilità civile)
3. D.P.R. 7 agosto 2012, n. 137, art. 5 (obbligo di assicurazione per i professionisti)

Contenuto informativo: le condizioni di copertura sono solo quelle del set informativo della singola polizza.