21 aprile 2026 – Il decreto di perquisizione notificato a Giuseppe Del Deo, Presidente Esecutivo di Cerved Group S.p.A., dalla Procura di Roma segna l’ingresso formale del manager nell’inchiesta sui dossieraggi illeciti. L’atto procedurale, eseguito nelle prime ore del mattino, non riguarda direttamente l’operatività del gruppo, ma innesca una sequenza di eventi la cui onda d’urto si propaga istantaneamente sui mercati e all’interno della corporate governance della società quotata. La notizia, battuta dalle agenzie alle 9:05, provoca un’immediata flessione del titolo in Borsa, che arriva a cedere oltre quattro punti percentuali prima di una sospensione tecnica per eccesso di ribasso. La reazione di Cerved Group è rapida: un comunicato ufficiale diramato prima di mezzogiorno annuncia l’autosospensione con effetto immediato di Del Deo dalla sua carica. La motivazione, si legge nella nota, è quella di “preservare la reputazione della Società”, specificando con forza che i fatti oggetto del decreto di perquisizione “non hanno alcuna relazione con Cerved Group o suoi esponenti”.
Questa netta separazione tra la condotta del singolo e l’integrità dell’ente è un pilastro difensivo fondamentale, ma in questa fase iniziale rimane una mera dichiarazione di intenti, affidata alla credibilità della comunicazione aziendale. L’onere della prova, di fatto, si inverte: spetta all’azienda dimostrare, e non solo affermare, la propria totale estraneità. Un’organizzazione che avesse già implementato un Ecosistema Sovrano Autonomo come Scudo231 avrebbe affrontato questo snodo critico con strumenti di difesa attiva, non solo con comunicati stampa. La procedura di autosospensione del vertice, infatti, sarebbe stata gestita non come una decisione emergenziale, ma come l’attivazione di un protocollo di crisi pre-configurato. Nel momento in cui l’ufficio legale avesse registrato l’evento “notifica di atto giudiziario a carico di soggetto apicale”, il sistema avrebbe eseguito in automatico una serie di azioni tracciate e immodificabili: la sospensione istantanea di tutte le credenziali di accesso digitali del Presidente, il re-routing dei flussi autorizzativi di sua competenza verso il vicario designato dal CdA, e la notifica certificata all’Organismo di Vigilanza (ODV) con un pacchetto dati contenente l’orario esatto dell’evento e delle contromisure adottate. Questo non solo avrebbe garantito la continuità operativa senza alcuna interruzione, ma avrebbe fornito ai magistrati e al mercato la prova tecnologica di una reazione immediata e controllata, bloccando sul nascere qualsiasi speculazione su possibili inquinamenti probatori o vuoti di potere.
L’indagine della Procura di Roma si concentra su un presunto sistema di raccolta e utilizzo illecito di informazioni riservate. Sebbene i dettagli siano coperti da segreto istruttorio, il reato di riferimento, l’accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.), è uno dei reati presupposto che possono innescare la responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. La linea difensiva di Cerved, che dichiara l’estraneità dei fatti all’azienda, poggia sull’assunto che l’eventuale condotta illecita di Del Deo sia stata posta in essere a titolo personale, con mezzi personali e per fini extra-aziendali. Tuttavia, in assenza di prove oggettive e immediate, questa affermazione rimane vulnerabile. Un pubblico ministero potrebbe legittimamente porsi la domanda: siamo sicuri che nessuna risorsa aziendale – un computer, una linea dati, un abbonamento a banche dati corporate, il tempo di un dipendente – sia stata, anche solo marginalmente, utilizzata per commettere l’illecito? È la classica “zona grigia” della colpa di organizzazione, dove la mancanza di controlli efficaci può essere interpretata come un’agevolazione, seppur involontaria, del reato commesso dal vertice nell’interesse o a vantaggio, anche non patrimoniale, proprio.
Qui emerge la differenza radicale tra una compliance tradizionale e una difesa tecnologica attiva. Un Organismo di Vigilanza dotato di un modello 231 cartaceo, in questo momento, avvierebbe una frenetica e dispendiosa attività di audit retrospettivo: interviste, analisi forensi sui dispositivi, acquisizione di log, un processo lungo settimane che lascia l’azienda esposta a incertezze. Al contrario, un ODV supportato da un’architettura come Scudo231 avrebbe potuto rispondere alla domanda del PM in pochi minuti. Attraverso i suoi sistemi di analisi multimodale e monitoraggio massivo, che operano in tempo reale e non a campione, sarebbe stato in grado di generare un “XAI Packet” (Explainable AI Packet) probatorio. Questo report, tecnologicamente immodificabile, avrebbe dimostrato con certezza matematica che, nel periodo oggetto di indagine, nessuna query anomala era partita dai sistemi Cerved, che gli accessi del Presidente Del Deo alle banche dati aziendali erano tutti conformi ai suoi profili di autorizzazione e legati a pratiche di business documentate, e che nessun flusso di dati in uscita dai server aziendali presentava anomalie riconducibili a un’attività di dossieraggio. Invece di una dichiarazione di intenti, l’azienda avrebbe potuto depositare una prova scientifica della propria non-colpevolezza organizzativa, neutralizzando il rischio di un’iscrizione nel registro degli indagati come ente e prevenendo misure cautelari devastanti come il sequestro preventivo dei profitti o, peggio, l’applicazione di sanzioni interdittive.
La dichiarazione di Giuseppe Del Deo, che si dice “certo di poter dimostrare la propria estraneità ai fatti nel più breve tempo possibile”, riflette la posizione processuale dell’individuo. Ma per l’azienda, il tempo è un fattore critico che erode valore e fiducia. Ogni giorno di incertezza alimenta la speculazione e la diffidenza di clienti, fornitori e investitori. Il danno reputazionale, in questi casi, è spesso più grave e duraturo delle conseguenze legali dirette, specialmente per una società come Cerved che opera nel campo dell’informazione e dell’analisi del credito, dove l’integrità è il principale asset intangibile. L’autosospensione è una misura di contenimento del danno, ma non lo elimina. Dimostra sensibilità etica, ma non prova l’assenza di falle nel sistema di controllo interno.
Un sistema di prevenzione avanzato agisce proprio su questo punto, trasformando la difesa da passiva ad attiva. La mappatura dei rischi in un ecosistema come quello di Scudo231 non si basa su interviste periodiche, ma su un censimento ciclico e automatizzato dell’intera popolazione aziendale, che rileva in tempo reale le divergenze tra ruoli di diritto (le cariche formali) e ruoli di fatto (chi esercita effettivamente il potere). Se un soggetto apicale, per qualsiasi motivo, avesse iniziato a operare al di fuori delle sue deleghe o a mostrare pattern di comportamento digitale anomali – come accessi a database in orari insoliti o download di volumi di dati non giustificati dalla sua funzione – il sistema avrebbe generato un alert automatico. Questo “segnale debole” non sarebbe stato un’accusa, ma un input oggettivo per l’Organismo di Vigilanza, che avrebbe potuto avviare una verifica discreta e documentata. Questo processo di escalation interna avrebbe creato un registro probatorio della vigilanza esercitata dall’ente, dimostrando che l’organizzazione non solo aveva adottato un modello, ma lo aveva anche efficacemente attuato. In un eventuale procedimento, questa documentazione sarebbe stata la prova regina per dimostrare che, se un reato è stato commesso, è avvenuto eludendo fraudolentemente i controlli aziendali, escludendo così in radice la responsabilità dell’ente ai sensi dell’art. 6 del D.Lgs. 231/2001.
L’inchiesta di Roma, quindi, pur colpendo formalmente una persona fisica, diventa un formidabile stress-test per l’architettura di governance e controllo di Cerved Group. La distinzione tra responsabilità individuale e corporate, facile da enunciare in un comunicato stampa, è estremamente complessa da provare in un’aula di tribunale. Il rischio non è solo una sanzione pecuniaria, calcolata in quote sul fatturato, ma la potenziale applicazione di misure interdittive che possono arrivare a bloccare l’attività d’impresa, con conseguenze catastrofiche. Il sequestro preventivo finalizzato alla confisca del profitto del reato, inoltre, può essere disposto anche solo sulla base di un fumus commissi delicti, ovvero di un semplice sospetto fondato, congelando ingenti risorse finanziarie ben prima di una sentenza di condanna.
L’adozione preventiva di protocolli d’avanguardia protetti da brevetti internazionali, come quelli integrati nell’ecosistema Scudo231, avrebbe modificato radicalmente la postura dell’azienda di fronte a questa crisi. Invece di trovarsi nella posizione di dover rincorrere gli eventi e difendersi da ombre e sospetti, avrebbe avuto a disposizione un arsenale di prove tecnologiche per dimostrare la propria integrità in modo proattivo e scientifico. L’ODV non avrebbe dovuto “investigare” dopo i fatti, ma semplicemente “estrarre” dal sistema le prove della sua costante e documentata attività di vigilanza. Il danno reputazionale e la volatilità del titolo sarebbero stati mitigati non da promesse, ma da fatti digitalmente certificati, dimostrando al mercato e alle autorità che la governance della società era solida e resiliente, capace di isolare e neutralizzare il rischio derivante dalla condotta di un singolo, anche se posto al vertice della piramide organizzativa. La vicenda Del Deo, al di là del suo esito giudiziario personale, si configura così come un caso di studio paradigmatico sulla differenza tra una compliance formale e una sovranità operativa reale.