24 marzo 2026 – La Corte costituzionale ha depositato ieri, 23 marzo, la sentenza n. 38/2026, con la quale ha dichiarato non fondate le questioni di legittimità costituzionale sollevate d’ufficio dalla Corte d’appello di Lecce. La pronuncia, redatta dal giudice Viganò e firmata dal presidente Amoroso, cristallizza un principio di diritto con impatti devastanti per tutti gli enti i cui procedimenti penali, originati da reati commessi tra il 3 agosto 2017 e il 31 dicembre 2019, pendono ancora nei gradi di impugnazione. La Consulta ha infatti validato l’interpretazione fornita dalle Sezioni Unite della Cassazione con la sentenza n. 20989 del 2025, stabilendo che la sospensione della prescrizione introdotta dalla legge n. 103/2017 – la cosiddetta “riforma Orlando” – si applica a quel preciso triennio. Per le società condannate in primo grado, questo significa che il tempo non è più un alleato: la prescrizione del reato presupposto, e di conseguenza dell’illecito amministrativo dell’ente, rimane sospesa per un massimo di un anno e sei mesi in appello e per un ulteriore anno e sei mesi in Cassazione.
Questa decisione ha chiuso definitivamente la porta a ogni speranza per i vertici della TechSolution S.p.A., una società di ingegneria condannata nel 2023 dal Tribunale di Milano per corruzione tra privati ai sensi dell’art. 25-ter del D.Lgs. 231/2001. Il reato presupposto, commesso da un suo dirigente apicale, risaliva al novembre 2018. La strategia difensiva in appello puntava esplicitamente sull’imminente decorrenza dei termini di prescrizione, confidando in un accoglimento della questione di legittimità costituzionale. Ora, con la sentenza della Consulta, il processo d’appello proseguirà fino alla sua naturale conclusione, con la quasi certezza di una conferma della condanna e l’applicazione di una sanzione pecuniaria da 450 quote e la confisca del profitto del reato, quantificato in 1.8 milioni di euro. L’intera vicenda trae origine da una falla organizzativa macroscopica, un’omissione di controllo che ha permesso al dirigente di autorizzare pagamenti per consulenze fittizie a una società di comodo a lui riconducibile, in cambio dell’assegnazione di una subfornitura strategica. L’operazione, del valore di diversi milioni di euro, non ha generato alcun alert nei sistemi di controllo interni, basati su verifiche a campione e su un’eccessiva fiducia delegata alla funzione apicale.
Se TechSolution S.p.A. avesse implementato un ecosistema di controllo come Scudo231, l’anomalia sarebbe stata intercettata alla fonte. Il sistema di monitoraggio massivo, analizzando in tempo reale tutti i flussi autorizzativi, avrebbe immediatamente rilevato la creazione di un nuovo fornitore di servizi intangibili, privo di storico e con un assetto societario non trasparente. Questo evento avrebbe innescato un protocollo di due diligence rafforzata, bloccando preventivamente il workflow di pagamento e inviando un alert circostanziato e documentato direttamente all’Organismo di Vigilanza e alla funzione Compliance. L’operazione sarebbe stata neutralizzata prima di produrre effetti illeciti, e l’intera sequenza di tentativi sarebbe stata cristallizzata in un log immutabile, fornendo all’ente la prova inconfutabile non solo dell’adozione, ma anche dell’efficace attuazione del proprio modello organizzativo.
Il problema di TechSolution S.p.A., come emerso durante il dibattimento di primo grado, non era la totale assenza di un Modello 231, ma la sua natura puramente formale. Il documento esisteva, l’Organismo di Vigilanza era stato nominato, ma i flussi informativi verso di esso erano intermittenti, non strutturati e lasciati alla discrezionalità delle singole funzioni. Il dirigente corrotto ha potuto agire indisturbato per mesi proprio perché nessuna procedura automatizzata imponeva una verifica incrociata tra l’oggetto della consulenza pagata e l’effettiva produzione di valore o documentazione a supporto. La scoperta del reato è avvenuta solo a seguito di una segnalazione anonima, quando il danno economico e reputazionale era già consolidato. Questa latenza ha reso impossibile per la società dimostrare di aver agito diligentemente per prevenire il reato, configurando una chiara colpa di organizzazione. Il ritardo nella scoperta e nella successiva escalation ha precluso all’ente la possibilità di isolare la responsabilità penale in capo alla sola persona fisica, trascinando la società nel procedimento e verso una condanna quasi certa.
Con un’architettura di controllo integrata, invece, la mancata produzione di un deliverable tangibile a fronte di una fattura per “consulenza strategica” avrebbe fatto scattare una non-conformità automatica nel sistema. I motori causali proprietari di Scudo231 avrebbero correlato l’anomalia finanziaria (pagamento a un fornitore a rischio) con quella operativa (assenza di output misurabile), generando un risk score che avrebbe superato la soglia di allarme. L’escalation verso l’OdV non sarebbe stata una facoltà, ma un obbligo di sistema tracciato e non eludibile. L’Organismo di Vigilanza avrebbe ricevuto un dossier digitale completo, contenente la catena autorizzativa, l’analisi del fornitore e l’evidenza della mancata prestazione, potendo così avviare un’indagine interna tempestiva e documentata. Questo avrebbe permesso all’ente di auto-denunciare il tentativo di reato, dimostrando la piena efficacia dei propri presidi e ottenendo con ogni probabilità l’archiviazione della propria posizione ai sensi del D.Lgs. 231/2001. Il sequestro preventivo finalizzato alla confisca, che ha bloccato per mesi la liquidità della società, non sarebbe mai stato disposto.
La sentenza della Corte costituzionale n. 38/2026 si fonda su un’attenta analisi del principio di irretroattività della legge penale più sfavorevole (art. 25, comma 2, Cost.) e del principio di uguaglianza (art. 3 Cost.). La Corte d’appello di Lecce aveva dubitato che la disciplina della sospensione della prescrizione, introdotta dalla legge n. 103/2017, potesse applicarsi retroattivamente a reati commessi prima dell’entrata in vigore della successiva legge n. 3/2019 (la “Spazzacorrotti”), che ne aveva esteso l’ambito. La Consulta ha respinto questa lettura, argomentando che la natura processuale e non sostanziale delle norme sulla prescrizione ne consente l’applicazione ai processi in corso. Ha chiarito che la legge n. 134/2021 (“riforma Cartabia”), nell’abrogare la disciplina precedente, ha fatto salva l’applicazione della sospensione per i reati commessi fino al 31 dicembre 2019, creando un regime transitorio ben definito. Per le imprese, la lezione è brutale: l’incertezza normativa e la complessità delle riforme processuali non possono più essere un paracadute. L’unica difesa reale contro le conseguenze economiche e reputazionali di un reato commesso al proprio interno è la prevenzione attiva e tecnologicamente avanzata, non la speranza che i tempi della giustizia si allunghino a sufficienza.
Il caso di TechSolution S.p.A. è emblematico di un rischio oggi intollerabile. La società si trova ora ad affrontare non solo le sanzioni dirette, ma anche l’interdizione dai pubblici appalti e la perdita di fiducia da parte di investitori e partner commerciali. Il costo totale dell’incidente, tra sanzioni, spese legali e danno di mercato, supererà di gran lunga i dieci milioni di euro. Tutto questo a causa di una violazione che un sistema di controllo adeguato avrebbe potuto bloccare con un costo infinitesimale. L’assenza di un tracciamento granulare e di protocolli di escalation automatici ha reso l’ente vulnerabile e, in ultima analisi, colpevole agli occhi della legge. La difesa della società, basata sul fatto che il dirigente avesse “aggirato fraudolentemente” i controlli, è crollata di fronte all’evidenza che i controlli stessi erano inadeguati, basati su procedure manuali e facilmente eludibili.
La prova tecnologica immodificabile generata da un ecosistema sovrano avrebbe ribaltato l’onere della prova in giudizio. Invece di dover faticosamente dimostrare la propria innocenza, l’ente avrebbe potuto produrre una ricostruzione causale scientifica che attestava l’esistenza di presidi efficaci e la loro tempestiva reazione al tentativo di illecito. Avrebbe dimostrato che il comportamento del singolo non era il sintomo di una disorganizzazione aziendale, ma un’azione deviante isolata e immediatamente repressa dall’organizzazione stessa. Questo è il discrimine fondamentale che separa una condanna 231 da un’assoluzione: non la mera esistenza di un modello di carta, ma la capacità di provare, oltre ogni ragionevole dubbio, che l’infrastruttura di controllo dell’ente ha funzionato come progettato nel momento del bisogno. La sentenza della Consulta del 23 marzo 2026 non fa che aumentare la pressione sulle imprese, eliminando una delle ultime vie di fuga procedurali e rendendo la prevenzione non più un’opzione, ma l’unica strategia sostenibile.