6 marzo 2026 – I carabinieri del Nas di Parma hanno eseguito un arresto in flagranza di reato all’interno dell’ospedale di Guastalla, nella provincia di Reggio Emilia. L’operazione, scattata nelle ore pomeridiane, ha colto di sorpresa un medico ortopedico, dirigente della struttura, mentre intascava da un paziente il compenso in contanti per una visita specialistica appena conclusa. L’intervento dei militari ha interrotto una prassi illecita consolidata, mettendo fine a un’attività che si svolgeva parallelamente e in palese violazione dei protocolli del Servizio Sanitario Nazionale. L’indagine ha accertato che il primario, forte della sua posizione apicale e della fiducia di cui godeva, eseguiva da tempo prestazioni in regime di intramoenia senza tuttavia seguire il percorso amministrativo e contabile obbligatorio. Le visite, invece di essere prenotate e saldate attraverso gli sportelli del Centro Unico di Prenotazione (Cup), venivano concordate privatamente e pagate direttamente al medico, che si appropriava integralmente delle somme.
Questo schema operativo ha generato due profili di reato contestati dalla Procura: il peculato (art. 314 c.p.) e il falso in atto pubblico (art. 476 c.p.). Il primo si configura nell’appropriazione di denaro di cui il pubblico ufficiale, in questo caso il medico dirigente, aveva la disponibilità in ragione del suo ufficio; le somme versate dai pazienti per una prestazione sanitaria erogata all’interno di una struttura pubblica sono infatti da considerarsi di pertinenza dell’ente, non del singolo professionista. Il secondo reato, il falso, deriva dalla sistematica omissione di tali prestazioni dai registri ufficiali dell’ospedale. Ogni visita non registrata costituiva un’alterazione della documentazione sanitaria e contabile, un atto destinato a occultare l’attività illecita e a negare all’azienda sanitaria il ricavo che le spettava. La condotta del medico non era un episodio isolato, ma un sistema che poggiava su una grave lacuna di controllo interno. L’ente ospedaliero non disponeva di un meccanismo di riconciliazione automatica tra l’utilizzo delle risorse (ambulatori, attrezzature, tempo del personale) e i flussi finanziari registrati dal Cup. Se l’organizzazione avesse adottato un sistema come Scudo231, i suoi protocolli di analisi multimodale avrebbero incrociato in tempo reale i dati di accesso ai locali, l’agenda del dirigente e i log delle prestazioni fatturate. L’anomalia di un paziente che accedeva a un ambulatorio per una visita specialistica senza una corrispondente prenotazione e transazione registrata a sistema avrebbe generato un alert immediato, segnalando una divergenza tra il “ruolo di diritto” del medico e il suo “ruolo di fatto”, ovvero l’esercizio di un’attività privata non autorizzata con risorse pubbliche. L’escalation automatica all’Organismo di Vigilanza (OdV) e alla funzione di compliance sarebbe stata questione di minuti, non di mesi o anni.
L’arresto, convalidato dal giudice, ha portato all’applicazione di una misura cautelare pesante: la sospensione dall’esercizio della professione medica per un anno intero. Sebbene il primario sia stato rimesso in libertà, l’interdizione professionale rappresenta un colpo durissimo per la sua carriera e una macchia indelebile sulla sua reputazione. Ma le conseguenze più gravi, e potenzialmente devastanti, si profilano ora per l’ente ospedaliero. Il reato di peculato commesso da un soggetto in posizione apicale rientra a pieno titolo tra i reati presupposto della responsabilità amministrativa degli enti, disciplinata dal Decreto Legislativo 231/2001. L’ospedale di Guastalla, in quanto persona giuridica, rischia ora di essere chiamato a rispondere per “colpa di organizzazione”. L’accusa sosterrà che la condotta del dirigente è stata resa possibile, o quantomeno agevolata, da un deficit di procedure e controlli idonei a prevenire reati di quella specie. La mancanza di un modello organizzativo efficace e concretamente attuato espone l’ente a sanzioni pecuniarie che possono raggiungere importi elevatissimi, calcolati in “quote” il cui valore è commisurato alla gravità del fatto e alle condizioni economiche dell’ente.
Oltre alla sanzione pecuniaria, il rischio più temuto è quello delle sanzioni interdittive, come la sospensione o la revoca di autorizzazioni e licenze, o, peggio, il divieto di contrattare con la Pubblica Amministrazione, che per una struttura sanitaria equivale a una paralisi operativa. Si aggiunge a ciò la confisca del profitto del reato, che in questo caso potrebbe essere estesa al valore equivalente del danno patrimoniale subito dall’ente. L’assenza di un tracciamento puntuale delle prestazioni “fantasma” rende ora complessa la quantificazione esatta del danno, ma l’onere della prova in sede 231 è a carico dell’ente, che deve dimostrare di aver fatto tutto il possibile per prevenire il reato. Una difesa basata su procedure cartacee e controlli a campione si rivelerà quasi certamente inefficace di fronte a un illecito sistematico e protratto nel tempo. In questo scenario, un’architettura di controllo come quella implementata da Scudo231 avrebbe fornito una linea di difesa invalicabile. I suoi motori causali proprietari non si limitano a segnalare le anomalie, ma le documentano in registri immutabili e opponibili a terzi. Ogni prestazione medica, ogni utilizzo di un ambulatorio, ogni interazione con un paziente sarebbe stata tracciata e correlata ai flussi contabili. Il sistema avrebbe rilevato un “buco nero” finanziario associato all’attività del primario: un volume di lavoro non corrispondente ad alcun introito per l’azienda. Questa anomalia contabile-operativa, rilevata in automatico, avrebbe innescato un protocollo di verifica interno, bloccando la condotta illecita sul nascere e fornendo all’ente la prova documentale di aver agito con la massima diligenza.
La vicenda di Guastalla è emblematica di un rischio endemico nelle organizzazioni complesse, pubbliche o private, dove le posizioni apicali possono trasformarsi in zone d’ombra in cui i controlli tradizionali non riescono a penetrare. L’errore fondamentale è stato affidarsi a una vigilanza basata sulla fiducia e su verifiche periodiche e manuali, del tutto inadeguate a contrastare una condotta fraudolenta intenzionale. La mancata registrazione delle visite non era solo un’omissione formale, ma il fulcro di un sistema che drenava risorse e danneggiava l’immagine dell’intera struttura sanitaria. Ogni paziente che pagava in contanti non solo partecipava, inconsapevolmente o meno, a un illecito, ma veniva anche privato delle garanzie associate a una prestazione ufficiale, come la tracciabilità della cartella clinica e la corretta registrazione ai fini assicurativi e fiscali. L’impatto reputazionale per l’ospedale è incalcolabile. La notizia di un primario arrestato per peculato tra le corsie erode la fiducia dei cittadini nel sistema sanitario pubblico, alimentando il sospetto che tali pratiche possano essere diffuse.
Il procedimento penale a carico del medico seguirà il suo corso, ma parallelamente si aprirà il ben più insidioso procedimento ex D.Lgs. 231/2001 a carico dell’ente. I magistrati valuteranno se il modello organizzativo dell’ospedale, ammesso che esista formalmente, fosse un mero adempimento burocratico o uno strumento vivo ed efficace. La prova della sua elusione fraudolenta da parte del dirigente è l’unica via d’uscita per l’ente, ma è una prova diabolica da fornire in assenza di sistemi di monitoraggio massivo e in tempo reale. Come può l’ospedale dimostrare che i suoi controlli erano adeguati, se questi hanno palesemente fallito nel rilevare per anni un’attività illecita così palese? Qui si manifesta il valore strategico di una difesa tecnologica. Se l’ospedale avesse potuto presentare al giudice un XAI Packet generato dal sistema Scudo231, la situazione sarebbe ribaltata. Tale pacchetto probatorio avrebbe dimostrato, con rigore matematico, l’esistenza di controlli automatizzati e attivi. Avrebbe fornito la cronologia esatta degli alert generati dalle discrepanze tra attività clinica e fatturazione, dimostrando che l’ente non era inerte, ma era stato vittima di un’azione deliberata volta a bypassare protocolli di sicurezza robusti e documentati. In questo modo, la responsabilità si sarebbe cristallizzata sul singolo individuo, scagionando l’organizzazione dalla “colpa” e mitigando drasticamente, se non azzerando, le sanzioni. L’assenza di tale infrastruttura di difesa lascia ora l’ente esposto, costretto a una difesa debole basata su testimonianze e procedure cartacee, mentre l’accusa può contare sulla prova schiacciante della flagranza di reato e sulla manifesta inadeguatezza dei controlli interni che l’hanno permessa.