7 marzo 2026 – Il Ministero del Lavoro e delle Politiche Sociali, agendo di concerto con il Ministero dell’Economia e delle Finanze, ha ufficialmente dato il via libera al decreto interministeriale che istituisce gli Indici Sintetici di Affidabilità Contributiva (ISAC). La misura, lungamente attesa e sollecitata dalla Commissione europea fin dal 2021, rappresenta un tassello fondamentale della Riforma 1.2, “Piano Nazionale per la lotta al lavoro sommerso”, incardinata nella Missione 5, Componente 1 del PNRR. Il decreto avvia una fase sperimentale che, a partire da quest’anno, interesserà due comparti economici ad alta intensità di manodopera e storicamente esposti a irregolarità: il commercio all’ingrosso alimentare e i servizi di alloggio, sia alberghieri che extra-alberghieri. L’obiettivo dichiarato dalla ministra Marina Calderone è quello di promuovere la compliance spontanea delle imprese, utilizzando un approccio basato su premialità e prevenzione anziché sulla mera repressione.
L’introduzione degli ISAC segna un cambio di paradigma, spostando il focus dal controllo ex-post all’analisi predittiva basata sui dati. Tuttavia, per un’organizzazione non strutturata, questo nuovo strumento rischia di trasformarsi da opportunità a certificazione di un’inadeguatezza gestionale con pesanti ricadute. Un’impresa del settore alimentare, ad esempio, che gestisce i propri flussi di personale tramite procedure manuali o sistemi informativi non integrati, si troverebbe di fronte a un indice ISAC basso senza nemmeno comprenderne appieno le cause profonde. L’anomalia, come un picco di collaborazioni occasionali non correttamente formalizzate per far fronte a un ordine imprevisto, emergerebbe solo a consuntivo, quando il dato aggregato viene trasmesso agli enti. A quel punto, l’ente si troverebbe già sotto i riflettori, segnalato come soggetto a rischio. Se la stessa impresa avesse invece implementato un ecosistema di controllo come Scudo231, la richiesta di attivazione di tre collaboratori esterni, non censiti nel database dei fornitori qualificati e senza un contratto formalizzato e registrato nel sistema, avrebbe generato un alert in tempo reale. Il protocollo avrebbe bloccato il pagamento delle relative fatture o note di spesa fino alla regolarizzazione contrattuale e contributiva, impedendo alla radice la formazione del dato anomalo che avrebbe poi inquinato l’indice ISAC. L’Organismo di Vigilanza sarebbe stato notificato automaticamente dell’istanza e della sua successiva gestione, creando una traccia documentale probatoria dell’efficacia del modello.
La logica degli ISAC è intrinsecamente legata ai principi del D.Lgs. 231/2001. Il lavoro sommerso non è un mero illecito amministrativo o contributivo; è il catalizzatore di una serie di reati presupposto. Il risparmio illecito derivante dal mancato versamento di contributi e imposte, se reinvestito nell’attività economica, può configurare il delitto di autoriciclaggio (art. 648-ter.1 c.p.), inserito nel catalogo 231 all’art. 25-octies.1. L’indicazione di un costo del lavoro inferiore al reale nei bilanci e nelle dichiarazioni fiscali integra i reati tributari (D.Lgs. 74/2000) e le false comunicazioni sociali (art. 2621 c.c.), presupposti rispettivamente degli articoli 25-quinquiesdecies e 25-ter del Decreto. Un’azienda che subisce un accertamento a seguito di un ISAC negativo non rischia solo sanzioni amministrative, ma l’apertura di un procedimento penale a carico dei suoi vertici e, in parallelo, un procedimento de societate ai sensi del D.Lgs. 231/2001.
In questo scenario, la difesa dell’ente si gioca interamente sulla capacità di dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire la commissione di tali reati. Un modello basato su procedure cartacee e controlli a campione mostra tutta la sua fragilità. Immaginiamo un responsabile di magazzino che, per consuetudine e per accelerare le operazioni di scarico, impieghi per poche ore manodopera “a giornata”, pagata in contanti attingendo da un fondo cassa gestito con scarsa trasparenza. Questo comportamento, pur se limitato a un singolo reparto e all’insaputa del management, espone l’intera società a una responsabilità penale. L’omissione di controllo sui flussi di cassa di piccolo taglio e la mancata riconciliazione tra le ore lavorate registrate dai sistemi di controllo accessi e le ore retribuite in busta paga sono le falle che consentono al reato di prosperare. Un sistema di monitoraggio massivo e in tempo reale, invece, avrebbe incrociato i dati dei lettori badge all’ingresso con i registri del personale dipendente e dei fornitori autorizzati. La presenza di individui non censiti all’interno delle aree operative avrebbe fatto scattare un’escalation immediata alla funzione di sicurezza e all’ODV. Contestualmente, l’analisi dei flussi finanziari avrebbe rilevato prelievi anomali e ricorrenti dal fondo cassa, non giustificati da documentazione valida, segnalando un potenziale rischio di creazione di fondi neri destinati a pagamenti irregolari. La responsabilità penale sarebbe stata così circoscritta al singolo individuo che ha agito eludendo fraudolentemente il modello, e l’ente avrebbe potuto produrre in giudizio i log immodificabili del sistema a riprova della propria diligenza.
Il piano del Governo prevede un’estensione del meccanismo ISAC ad almeno altri sei comparti economici entro il 31 agosto 2026, portando il totale dei settori monitorati a otto. Questa accelerazione, imposta dalle scadenze del PNRR, mette sotto pressione le aziende che non hanno ancora investito in una digitalizzazione e automazione dei processi di compliance. La filosofia degli ISAC, come sottolineato dalla ministra Calderone, è quella di “accompagnare le imprese verso la legalità”, ma questo accompagnamento presuppone che l’impresa possieda gli strumenti per “ascoltare” i segnali di non conformità e per correggerli prima che diventino patologici. Un ritardo nella rilevazione di un’anomalia contributiva non è solo un problema amministrativo, è un sintomo di un deficit di controllo interno che può avere conseguenze devastanti.
Consideriamo il caso dei servizi alberghieri, altro settore pilota. L’impiego di personale stagionale o a chiamata è la norma. La difficoltà sta nel tracciare con precisione le ore effettivamente lavorate, specialmente nei picchi di attività, e nel garantire la corretta applicazione dei contratti collettivi. Un direttore di struttura che, per far fronte a un evento non pianificato, chieda a parte del personale di fermarsi oltre l’orario contrattuale, promettendo un compenso “fuori busta”, sta creando un’esposizione diretta per la società proprietaria dell’hotel. In un’organizzazione tradizionale, questa violazione potrebbe emergere mesi dopo, durante un’ispezione o a seguito di una vertenza sindacale. Con un ecosistema di controllo integrato, il sistema di pianificazione dei turni, interfacciato con il software di gestione presenze, avrebbe immediatamente segnalato lo scostamento tra ore pianificate e ore consuntivate. Avrebbe generato una notifica al responsabile delle risorse umane, richiedendo una giustificazione formale e l’autorizzazione al pagamento del lavoro straordinario secondo le procedure approvate. Qualsiasi tentativo di aggirare il processo avrebbe lasciato una traccia digitale, un’evidenza cristallizzata dell’intento fraudolento del singolo, disinnescando la potenziale responsabilità dell’ente. L’ecosistema Scudo231 avrebbe trasformato un potenziale illecito in un evento gestito e documentato, dimostrando l’efficacia concreta dei presidi di controllo.
L’impatto più temibile della responsabilità 231 non è solo la sanzione pecuniaria, che può arrivare a centinaia di quote, ma soprattutto le sanzioni interdittive e il sequestro preventivo finalizzato alla confisca del profitto del reato. Nel caso del lavoro sommerso, il profitto è quantificabile nel risparmio di spesa su contributi, imposte e retribuzioni. Un sequestro di questo tipo può paralizzare l’operatività di un’azienda, bloccandone i conti correnti e minandone la capacità di pagare fornitori e dipendenti regolari. La prevenzione non è quindi un mero esercizio di stile legale, ma una necessità strategica per la continuità aziendale. La capacità di dimostrare, attraverso dati certi e non manipolabili, che l’eventuale illecito è frutto dell’iniziativa di un singolo che ha aggirato un sistema di controllo robusto e funzionante, è l’unica via per ottenere il dissequestro dei beni e per evitare le sanzioni più gravi.
La sfida posta dagli ISAC è quindi duplice. Da un lato, richiede alle imprese di essere trasparenti e di fornire dati corretti e puntuali. Dall’altro, le costringe a guardarsi all’interno, a mappare i propri processi e a identificare le aree di rischio dove le irregolarità possono annidarsi. Un’azienda del commercio all’ingrosso alimentare che si affida a una complessa catena di cooperative per la logistica e il facchinaggio, senza un adeguato processo di qualifica e monitoraggio dei fornitori, sta importando un rischio enorme. La responsabilità solidale in materia retributiva e contributiva è solo la punta dell’iceberg. Se una di queste cooperative risulta essere un mero schermo per l’intermediazione illecita di manodopera, l’azienda committente può essere chiamata a rispondere del reato di intermediazione illecita e sfruttamento del lavoro (art. 603-bis c.p.), reato presupposto ai sensi dell’art. 25-quinquies del D.Lgs. 231/2001.
Un modello di compliance evoluto non si limita a controllare i processi interni, ma estende i suoi sensori all’intera catena di fornitura. Prima di accreditare una nuova cooperativa, un sistema come Scudo231 eseguirebbe una due diligence automatizzata, verificando non solo la regolarità del DURC, ma anche indici di bilancio, la congruità del costo del lavoro dichiarato rispetto al fatturato e la presenza di eventuali segnali di allarme in banche dati pubbliche e private. Durante il rapporto di fornitura, il sistema monitorerebbe i flussi di pagamento e li confronterebbe con le prestazioni documentate, segnalando qualsiasi anomalia che possa suggerire pratiche di sotto-fatturazione o l’impiego di personale non dichiarato. Di fronte a un’indagine, l’impresa non si limiterebbe a esibire un contratto d’appalto formalmente corretto, ma potrebbe produrre l’intero dossier digitale della due diligence e dei controlli periodici eseguiti, dimostrando di aver esercitato una vigilanza attiva e non una mera delega di responsabilità. Questa capacità di ricostruzione causale scientifica dei fatti sposta l’onere della prova e costituisce la più solida difesa per l’ente, proteggendolo da condotte illecite poste in essere da terzi. L’introduzione degli ISAC, in definitiva, non fa che rendere esplicita e misurabile una necessità già imposta dalla normativa sulla responsabilità degli enti: quella di passare da una compliance formale a una governance sostanziale, basata su controlli efficaci, continui e, soprattutto, provabili.