Il monitoraggio della conformità nel servizio clienti consiste nel verificare in ogni conversazione i passaggi richiesti dalle sue regole, come i controlli di identità, le informative obbligatorie e il trattamento dei dati delle carte, e nel conservarne le prove. Fatto su un campione, le dice che un problema esiste.
Fatto su ogni chiamata, chat ed email, le dice quali conversazioni sono state coinvolte e le permette di dimostrare che le altre erano in regola.
In sintesi
- Il monitoraggio della conformità verifica i passaggi obbligatori in ogni conversazione; il controllo qualità giudica quanto bene è andata la conversazione, ed entrambi possono stare in una sola scheda di valutazione.
- Un campione può mostrare che gli operatori saltano un’informativa, ma non quali clienti sono stati coinvolti, che è la domanda successiva di un auditor o di un’autorità di vigilanza.
- Una scheda di conformità ha bisogno di controlli con errore bloccante per i passaggi da non saltare mai e di controlli ponderati per gli altri.
- Il PCI DSS vieta di conservare i codici di verifica della carta dopo l’autorizzazione, anche nelle registrazioni, e alcuni Stati USA, tra cui la California, richiedono il consenso di tutti per registrare una chiamata.
- Sei passi bastano per impostarlo, e il risultato è un dossier di prove da consegnare quando qualcuno lo chiede.
Per il lato piattaforma, la pagina sul controllo qualità dell’assistenza clienti mostra come Kaizo valuta ogni conversazione rispetto ai suoi criteri, e la pagina su conformità e rischi spiega come i criteri di conformità stanno nella stessa scheda di valutazione.
Che cos’è il monitoraggio della conformità nel servizio clienti?
Il monitoraggio della conformità nel servizio clienti è la revisione delle conversazioni di assistenza rispetto alle regole che un’azienda deve rispettare: leggi, requisiti delle autorità, regole dei circuiti di pagamento e policy interne. Chiede se ogni passaggio richiesto è avvenuto, non quanto è stata piacevole la conversazione.
Si sovrappone al controllo qualità ma non è la stessa cosa. Il controllo qualità chiede se l’operatore ha risolto bene il problema.
Il monitoraggio della conformità pone domande sì o no con conseguenze: il cliente è stato verificato, l’avviso di registrazione è stato dato, l’avvertenza sui rischi è stata letta, un numero di carta è finito nella trascrizione? Nell’assistenza regolamentata, come i servizi finanziari o il gioco, queste domande decidono se può difendersi da un reclamo.
| Controllo qualità | Monitoraggio della conformità | |
|---|---|---|
| Domanda | Quanto bene è stato gestito? | Ogni passaggio richiesto è avvenuto? |
| Valutazione | Criteri ponderati, un punteggio su 100 | Superato o non superato per ogni controllo, spesso con errore bloccante |
| Chi lo chiede | Team leader, QA, direzione CX | Compliance, auditor, autorità di vigilanza, circuiti di pagamento |
| Che cosa costa un errore | Un’occasione di coaching | Un reclamo indifendibile, una sanzione, un intervento di rimedio |
| Prove necessarie | Un punteggio e un commento | La frase esatta nella trascrizione, conservata per il periodo previsto |
I due funzionano meglio in una sola scheda, così gli operatori ricevono una sola revisione e un solo standard. La nostra guida sui criteri con errore bloccante (in inglese) spiega come un solo controllo di conformità non superato possa azzerare un punteggio senza falsare il resto.
Perché il campionamento non regge in un audit di conformità?
Il campionamento non regge in un audit perché può stimare quanto spesso si salta un passaggio, ma non quali conversazioni lo hanno saltato, che è ciò che un auditor o un’autorità chiede subito dopo.
Esempio pratico (numeri illustrativi, non dati di Kaizo). Un contact center riceve 30.000 chiamate al mese. In 8.000 di queste, pagamenti e modifiche all’account, gli operatori devono leggere un’informativa obbligatoria. La saltano in una chiamata su 50: 160 chiamate. Il QA rivede un campione casuale di 900 chiamate.
| Valore | |
|---|---|
| Chiamate al mese | 30.000 |
| Chiamate che richiedono l’informativa | 8.000 |
| Chiamate in cui è stata saltata | 160 |
| Chiamate riviste | 900 |
| Chiamate saltate attese nel campione | circa 5 |
| Chiamate saltate che nessuno ha guardato | circa 155 |
Come misura, il campione fa il suo lavoro: cinque mancanze su circa 240 chiamate che richiedevano l’informativa le dicono che il problema esiste.
Poi arrivano le domande. Quali clienti sono stati coinvolti? La chiamata dietro questo reclamo era una di quelle? La mancanza riguarda tutti i team o uno solo? Con un campione, risponde ascoltando 8.000 chiamate a posteriori. Con ogni chiamata valutata, filtra su un criterio non superato e ha l’elenco.
C’è una seconda lacuna. Le chiamate con il rischio di conformità più alto, un reclamo, un cliente vulnerabile, una contestazione sui limiti, sono rare, quindi un campione casuale ha meno probabilità di contenerle. La statistica dietro questo è in why a 3% QA sample cannot support agent-level decisions (in inglese).
I controlli che servono in una scheda di conformità
Una scheda di conformità contiene controlli con errore bloccante per i passaggi da non saltare mai, come verifica dell’identità e dati delle carte, e controlli ponderati dove è possibile una mancanza parziale. Ogni controllo deve poter essere verificato dalla trascrizione.
Ecco un set di partenza da adattare. Sostituisca gli esempi con la formulazione esatta richiesta dalle sue regole.
| Controllo | Esempio di esito superato | Tipo | Prova |
|---|---|---|---|
| Identità verificata prima dei dati dell’account | L’operatore ha posto le domande di sicurezza richieste prima di parlare del saldo | Errore bloccante | Le frasi della verifica |
| Avviso di registrazione dato | “Questa chiamata viene registrata per finalità di qualità e formazione” all’inizio | Errore bloccante dove valgono regole sul consenso | L’apertura della chiamata |
| Informativa obbligatoria letta | L’avvertenza sui rischi, la dichiarazione su commissioni o condizioni approvata, per intero | Errore bloccante | La frase dell’informativa |
| Nessun dato di carta nella trascrizione | Nessun numero di carta completo o codice di sicurezza scritto in chat o email | Errore bloccante | L’assenza, verificata in ogni messaggio |
| Nessuna consulenza personalizzata dove non è consentita | L’operatore ha dato informazioni, non una raccomandazione | Ponderato o errore bloccante, secondo le sue regole | La risposta pertinente |
| Reclamo riconosciuto e registrato | L’operatore lo ha qualificato come reclamo e ha seguito il processo | Ponderato | Il reclamo e il passo successivo |
| Vulnerabilità segnalata | Segnali di vulnerabilità notati e gestiti secondo la policy | Ponderato | Le parole del cliente e la risposta dell’operatore |
| Avviso di AI (agenti AI) | Il cliente è stato informato di parlare con un’AI | Errore bloccante dove richiesto | Il primo messaggio o il saluto |
Scriva ogni controllo come una domanda con risposta sì o no, e indichi che cosa vale come prova. “L’operatore ha letto l’informativa sulle commissioni prima di prendere il pagamento?” si può valutare allo stesso modo in ogni chiamata. “L’operatore era conforme?” no.
PCI DSS, registrazioni delle chiamate e controllo qualità
Il PCI DSS non consente di conservare i codici di verifica della carta dopo l’autorizzazione, nemmeno cifrati, e il PCI Security Standards Council dice che questo vale per le registrazioni audio. Il controllo qualità deve verificare che i dati delle carte non finiscano mai in registrazioni o trascrizioni.
I dettagli, dalla fonte:
- Il requisito 3.3.1 del PCI DSS stabilisce che i dati sensibili di autenticazione non vengano conservati dopo l’autorizzazione, nemmeno cifrati. La FAQ del PCI SSC sulle registrazioni audio (in inglese) dice che conservare i codici di verifica della carta in qualsiasi registrazione audio digitale dopo l’autorizzazione viola quindi il requisito, che va fatto ogni sforzo per impedire che i dati vengano registrati e che, dove la tecnologia lo permette, vanno attivate la soppressione o l’oscuramento.
- Se la registrazione non si può impedire, la FAQ dice che i dati vanno cancellati in modo sicuro una volta autorizzata la transazione, con controlli compensativi se non è possibile.
- La versione in vigore è il PCI DSS v4.0.1; il PCI SSC ha annunciato (in inglese) che la v4.0 sarebbe stata ritirata il 31 dicembre 2024.
- Il PCI DSS non prevale sulle leggi locali che stabiliscono per quanto tempo vanno conservate le registrazioni, come nota la stessa FAQ.
Che cosa significa in pratica per il controllo qualità: i controlli che tengono i dati delle carte fuori dalle registrazioni appartengono alla sua telefonia e al suo sistema di pagamento, non al QA. Il ruolo del QA è verificare che funzionino in ogni conversazione.
Valuti se gli operatori hanno chiesto ai clienti di leggere ad alta voce un codice di sicurezza quando il processo dice che non devono farlo, e se un numero di carta completo compare in una trascrizione di chat o email. La pagina sulla conformità di Kaizo usa “Numero di carta condiviso” come esempio di criterio con errore bloccante.
Le regole USA sul consenso alla registrazione delle chiamate
Per la legge federale USA basta il consenso di una parte, ma alcuni Stati richiedono quello di tutti, quindi la maggior parte dei contact center avvisa della registrazione all’inizio di ogni chiamata.
- Livello federale: in base al 18 U.S.C. § 2511(2)(d) (in inglese), non è illecito per una persona che non agisce in veste di pubblico ufficiale (“under color of law”) intercettare una comunicazione quando ne è parte o quando una delle parti ha dato il consenso in anticipo, a meno che lo faccia per commettere un reato o un illecito civile.
- California: il Penal Code § 632 (in inglese) rende reato registrare una comunicazione riservata senza il consenso di tutte le parti, con una multa fino a 2.500 dollari per violazione alla prima infrazione.
- Altri Stati: il Reporters Committee for Freedom of the Press (in inglese) elenca circa 11 Stati che richiedono in linea di principio il consenso di tutte le parti, e consiglia di presumere che si applichi la legge dello Stato più restrittivo quando una chiamata attraversa i confini tra Stati.
Questa è una sintesi, non una consulenza legale; verifichi con il suo legale le regole di ogni Stato e paese che serve. Per il controllo qualità il passo è concreto: renda “avviso di registrazione dato” un controllo con errore bloccante all’inizio di ogni chiamata registrata, così può dimostrare che è avvenuto in ciascuna.
Come impostare il monitoraggio della conformità su ogni chiamata
Per impostare il monitoraggio della conformità su ogni chiamata, elenchi le regole, trasformi ognuna in un controllo sì o no, aggiunga i controlli alla scheda, verifichi la valutazione, valuti tutto e riveda ogni mancanza.
Passo 1: elencare le regole che si applicano
Lavori con il suo team compliance per elencare ogni regola che tocca una conversazione di assistenza: leggi, requisiti delle autorità, regole dei circuiti di pagamento, policy interne. Per ciascuna annoti a quali conversazioni si applica, come le chiamate di pagamento, i reclami o le chiusure di conto.
Passo 2: trasformare ogni regola in un controllo
Scriva una domanda sì o no per ogni regola, con la formulazione o il comportamento esatto che vale come esito superato e la prova che si aspetta. Decida quali controlli hanno l’errore bloccante. Resti sintetico: un controllo che nessuno riesce a valutare in modo coerente è peggio di nessun controllo.
Passo 3: inserire i controlli nella scheda di valutazione
Aggiunga i controlli di conformità accanto ai criteri di qualità, così ogni conversazione riceve una sola revisione. Limiti ogni controllo alle conversazioni a cui si applica, così un controllo sull’informativa non boccia una chiamata in cui l’informativa non serviva.
La nostra guida su come ponderare i criteri della scheda di valutazione spiega come si combinano criteri con errore bloccante e criteri ponderati.
Passo 4: verificare la valutazione prima di affidarsi a essa
Valuti a mano un gruppo di conversazioni passate, con il suo team compliance, e confronti i risultati con i punteggi automatici o dei revisori. Corregga i controlli dove non concordano. È il passo che rende i risultati difendibili.
Passo 5: valutare ogni conversazione
Valuti tutte le chiamate, chat ed email a cui si applicano i controlli, con ogni risultato collegato alla frase della trascrizione da cui nasce. La nostra guida sulla tracciabilità del punteggio QA (in inglese) spiega perché un punteggio senza prove è difficile da difendere.
Passo 6: rivedere ogni mancanza
Assegni ogni controllo con errore bloccante non superato a una persona entro la settimana. Decida se si tratta di un errore dell’operatore, di una lacuna di processo o di un errore di valutazione, intervenga e registri che cosa ha fatto. Poi cerchi gli schemi per team, coda e controllo.
Lo veda in una demo dal vivo. Kaizo valuta ogni conversazione rispetto ai suoi criteri di conformità e collega ogni punteggio alla trascrizione. Prenoti un incontro.
Il dossier di prove per un auditor o un’autorità di vigilanza
Mostri la regola, il controllo che la verifica, la copertura, le mancanze e che cosa ha fatto per ciascuna. Un dossier di prove con queste cinque parti risponde alla maggior parte delle domande di conformità sulle conversazioni di assistenza.
Lo usi come modello:
| Parte | Che cosa contiene |
|---|---|
| 1. Regola | Il requisito, la sua fonte e a quali conversazioni si applica |
| 2. Controllo | La domanda della scheda, che cosa vale come esito superato e se ha l’errore bloccante |
| 3. Copertura | Quante conversazioni nel perimetro sono state valutate nel periodo, su quante |
| 4. Mancanze | Ogni conversazione non superata, con la frase della trascrizione e la data |
| 5. Azioni | Che cosa ha fatto per ogni mancanza: coaching, modifica di processo, rimedio per il cliente, e quando |
Se la domanda riguarda una sola conversazione, come un reclamo, lo stesso record risponde: il punteggio di ogni controllo e le frasi della trascrizione che lo sostengono. È questo il senso della copertura QA al 100% in un contesto regolamentato: la traccia per l’audit è la revisione stessa, non un report messo insieme dopo.
Kaizo è costruito per questa parte. La sua pagina sulla conformità dice che valuta ogni conversazione rispetto ai suoi criteri di conformità e collega ogni punteggio alla trascrizione, con criteri personalizzati per il suo contesto normativo, e le sue schede di valutazione accolgono i criteri che ha già invece di un modello.
Kaizo ha le certificazioni SOC 2 Type II e ISO 27001 ed è conforme al GDPR, con i report nel suo Trust Center. Kaizo rivede le conversazioni dopo che sono finite, quindi non ferma un errore durante una chiamata dal vivo. Per un esempio nel gioco regolamentato, veda come GAMING1 usa Kaizo nelle conversazioni sul gioco responsabile.
Come avviare il monitoraggio della conformità
Parta da una regola su cui un’autorità o un auditor chiederebbe per prima, la trasformi in un controllo con errore bloccante e valuti per un mese ogni conversazione a cui si applica. L’elenco delle mancanze è il suo primo dossier di prove, e le lacune che contiene mostrano quale controllo aggiungere dopo.
Per i team regolamentati, la pagina per i team di assistenza fintech mostra come Kaizo applica i criteri di conformità a ogni conversazione.
Domande frequenti
Qual è la differenza tra monitoraggio della conformità e controllo qualità?
Il controllo qualità giudica quanto bene è stata gestita una conversazione, di solito con criteri ponderati e un punteggio. Il monitoraggio della conformità verifica se ogni passaggio richiesto è avvenuto, con esito superato o non superato, conservando le prove. Funzionano bene in una sola scheda: i controlli di conformità con errore bloccante, quelli di qualità ponderati, una revisione per conversazione.
Un call center è conforme al PCI DSS se registra le chiamate?
Può esserlo, ma la registrazione aggiunge rischio. Il PCI DSS non consente di conservare i codici di verifica della carta dopo l’autorizzazione, e il PCI SSC lo applica alle registrazioni audio: impedire la registrazione dove possibile, o cancellare i dati in modo sicuro. Se la sua configurazione è conforme lo decide la valutazione PCI, non lo strumento di QA.
Serve il consenso per registrare le chiamate di assistenza negli Stati Uniti?
Per la legge federale basta il consenso di una parte, che può essere l’azienda stessa. Diversi Stati, tra cui la California, richiedono il consenso di tutte le parti di una chiamata riservata. Con clienti che chiamano da molti Stati, la maggior parte dei contact center avvisa della registrazione a inizio chiamata. Verifichi le regole dei suoi Stati con un legale.
Con quale frequenza bisogna monitorare le chiamate per la conformità?
Ogni chiamata a cui si applica la regola, se può valutare in automatico, perché un’informativa saltata in una chiamata è un problema per quel cliente, che la chiamata sia nel campione o no. Se rivede a mano, riveda ogni chiamata nelle categorie a rischio più alto, come reclami e contestazioni sui pagamenti, e campioni il resto.
L’AI può verificare nelle chiamate le informative obbligatorie?
Sì, se ogni informativa è un controllo chiaro, come “l’operatore ha letto la dichiarazione sulle commissioni prima di prendere il pagamento”, e se la valutazione viene prima verificata sulle sue revisioni passate. Ogni risultato deve rimandare alla frase della trascrizione, così una persona può controllare qualsiasi punteggio, e i controlli non superati vanno rivisti da una persona.
