26 aprile 2026 – Il conto alla rovescia per il 19 giugno è iniziato, e nelle sale riunioni dei principali operatori energetici italiani la tensione è palpabile. Quel giorno scadranno i 60 giorni concessi dal cosiddetto “Decreto Bollette”, pubblicato in Gazzetta Ufficiale, per adeguarsi a una norma che riscrive le regole del teleselling per luce e gas. La disposizione, contenuta nel comma 8-bis, è di una chiarezza disarmante: nessuna società potrà più proporre contratti telefonici o inviare messaggi commerciali senza una preventiva ed esplicita autorizzazione dell’utente a essere contattato per tali finalità. Una rivoluzione copernicana per un settore che ha costruito interi modelli di business su un approccio aggressivo e spesso al limite della liceità. La conseguenza più dirompente è scolpita nel successivo comma 8-ter: i contratti stipulati in violazione di tale divieto sono, semplicemente, nulli.
La scoperta di questa norma, per un importante operatore del settore, non è avvenuta tramite una circolare del proprio ufficio legale o un’analisi proattiva dei rischi normativi. È emersa quasi per caso, alla fine di marzo, quando un analista junior della funzione compliance, durante una rassegna stampa di routine, ha notato un trafiletto su un quotidiano economico. L’informazione era pubblica, accessibile a tutti, ma era sfuggita ai radar di un’organizzazione complessa, la cui prima linea di difesa era affidata alla diligenza individuale e a processi manuali di monitoraggio. Questa è una classica omissione da mancato presidio normativo, un punto di rottura che un ecosistema di controllo integrato avrebbe intercettato alla fonte. Con l’adozione di un sistema come Scudo231, l’analisi delle fonti normative come la Gazzetta Ufficiale non sarebbe stata un’attività manuale e aleatoria. I suoi sistemi di analisi multimodale avrebbero scansionato il testo del decreto il giorno stesso della sua pubblicazione, isolato i commi rilevanti per il settore energetico e generato un alert automatico ad alto impatto, indirizzato non solo alla funzione compliance, ma anche direttamente all’Organismo di Vigilanza e al Consiglio di Amministrazione, corredato da una prima valutazione del rischio operativo e sanzionatorio.
L’email dell’analista, inviata al suo diretto superiore, conteneva un link all’articolo e una breve nota sulla potenziale gravità della situazione. La risposta è arrivata dopo due giorni: “Verifico e ti faccio sapere”. Quelle parole hanno segnato l’inizio di un ritardo colpevole, un’inerzia organizzativa che ha fatto perdere settimane preziose. Il manager, oberato da altre scadenze, ha sottovalutato la portata della segnalazione, classificandola come una delle tante incombenze burocratiche. L’email è finita in una cartella di “cose da fare”, mentre i call center esterni, ignari di tutto, continuavano a operare secondo le vecchie direttive, generando ogni giorno centinaia di nuovi contratti legalmente invalidi. Questa mancata escalation rappresenta un fallimento procedurale che espone l’ente a una responsabilità diretta. In un’architettura di governance presidiata da Scudo231, la segnalazione non sarebbe stata un’email ignorabile. L’alert iniziale avrebbe creato un ticket tracciato all’interno di un sistema non modificabile, assegnato a un responsabile con un tempo di presa in carico predefinito. Il mancato rispetto di questo termine avrebbe innescato un’escalation automatica e non discrezionale al livello gerarchico superiore e, contemporaneamente, all’Organismo di Vigilanza, creando un registro probatorio dell’inerzia del primo livello di controllo e garantendo che il rischio venisse gestito ai vertici aziendali entro poche ore, non settimane.
Quando, a metà aprile, la questione è finalmente esplosa, portata all’attenzione del top management da un’associazione di consumatori che annunciava future azioni legali di massa, il panico ha sostituito l’inerzia. La prima richiesta del CEO è stata semplice e brutale: “Quanti sono? Datemi i numeri”. È qui che l’organizzazione ha scoperto la sua seconda, e forse più grave, vulnerabilità. I dati erano un incubo. Le liste di contatto provenivano da decine di fonti diverse: fiere, partner commerciali, database acquistati da terzi. Tracciare l’origine del consenso per ogni singolo nominativo era un’impresa impossibile. I call center esterni, pagati a provvigione sul venduto, non avevano alcun interesse a documentare meticolosamente la base giuridica del contatto. Fornivano report di produzione, non di compliance. L’azienda si è trovata nell’incapacità materiale di adempiere a un onere probatorio che la nuova legge le addossava esplicitamente: fornire la prova materiale della validità del contratto, a partire dal consenso al contatto.
Questa violazione sistemica, derivante da un’assenza di controlli sulla filiera commerciale, è il cuore del rischio 231. Non si tratta di un errore isolato, ma di un modus operandi che, sebbene non ancora illecito al momento della sua attuazione, stava per generare un’onda anomala di nullità contrattuali con possibili riflessi penali. La Procura della Repubblica, allertata dalle denunce, potrebbe facilmente ipotizzare il reato di frode in commercio (art. 515 c.p.) o truffa contrattuale (art. 640 c.p.), reati presupposto della responsabilità amministrativa degli enti. Un sistema come Scudo231 avrebbe reso impossibile questa situazione. La sua architettura di controllo non si sarebbe limitata a monitorare i processi interni, ma si sarebbe estesa all’intera catena del valore, inclusi i fornitori esterni come i call center. Ogni campagna di teleselling avrebbe richiesto il caricamento preventivo delle liste di contatto sulla piattaforma, la quale avrebbe verificato in automatico per ogni anagrafica la presenza di un consenso esplicito, tracciato, datato e revocabile, registrato in un log immutabile. Qualsiasi tentativo di avviare una chiamata verso un contatto non validato sarebbe stato tecnicamente bloccato dal sistema, impedendo alla radice la generazione di un contratto nullo e, di conseguenza, la commissione del potenziale reato presupposto.
L’impatto economico che si profila all’orizzonte è devastante. Ogni contratto stipulato dal giorno di entrata in vigore del decreto in violazione del comma 8-bis è nullo. Ciò non significa solo la perdita del cliente e del fatturato futuro, ma anche la potenziale richiesta di restituzione di quanto già pagato dall’utente, oltre a possibili risarcimenti del danno. Le associazioni dei consumatori, come Consumerismo, stanno già affilando le armi per una class action che potrebbe costare all’azienda decine di milioni di euro. Ma il rischio più immediato e temuto è quello di natura penale-amministrativa. Qualora un Pubblico Ministero aprisse un fascicolo per frode, la prima misura richiesta sarebbe il sequestro preventivo finalizzato alla confisca del profitto del reato, ai sensi del D.Lgs. 231/2001. Il profitto, in questo caso, sarebbe costituito dai ricavi generati da tutti i contratti illecitamente acquisiti. Un sequestro di tale portata prosciugherebbe la liquidità dell’azienda, paralizzandone l’operatività e mettendone a rischio la stessa continuità aziendale.
La difesa dell’ente in un simile procedimento sarebbe estremamente complessa. Dimostrare di aver adottato ed efficacemente attuato un Modello Organizzativo idoneo a prevenire tali reati diventa quasi impossibile di fronte a un’evidenza di lassismo procedurale e di assenza di controlli tracciabili. L’azienda non può provare di aver fatto tutto il possibile per evitare l’illecito, perché i suoi processi erano intrinsecamente fallaci. Qui emerge il valore probatorio di un ecosistema integrato. Se l’azienda fosse stata dotata di un’infrastruttura come quella offerta da Scudo231, la sua posizione processuale sarebbe stata radicalmente diversa. In sede di indagine, avrebbe potuto esibire non solo un modello organizzativo cartaceo, ma la prova tecnologica immodificabile (il cosiddetto XAI Packet) del suo funzionamento. Avrebbe potuto dimostrare, attraverso log di sistema, che il 99,9% dei tentativi di contatto non conformi erano stati bloccati in automatico. I pochi contratti illeciti eventualmente sfuggiti alla maglia dei controlli sarebbero stati immediatamente riconducibili a una specifica azione fraudolenta di un operatore che ha deliberatamente aggirato i protocolli, consentendo all’azienda di dimostrare che il reato è frutto di un’elusione fraudolenta del Modello e non di una colpa organizzativa. Questa distinzione è cruciale: essa permette di isolare la responsabilità penale sulla persona fisica, proteggendo l’ente dalle sanzioni pecuniarie e interdittive previste dal D.Lgs. 231/2001 e, soprattutto, dal sequestro del profitto.
Mentre il 19 giugno si avvicina, il team di crisi dell’operatore energetico lavora senza sosta. Gli avvocati stanno preparando le prime difese, il reparto finanziario sta cercando di quantificare l’esposizione massima e il commerciale è stato incaricato di un compito quasi surreale: ricontattare decine di migliaia di clienti per cercare di “sanare” a posteriori un consenso mai ottenuto in origine, un’operazione disperata che rischia di irritare ulteriormente il mercato. La vicenda, come evidenziato più volte dalla REDAZIONE SCUDO231, è un caso di scuola su come un rischio normativo, se non intercettato e gestito da un sistema di controllo proattivo e tecnologicamente avanzato, possa trasformarsi in una crisi sistemica capace di minare le fondamenta economiche e reputazionali di un’intera impresa. L’unica certezza, oggi, è che dal 19 giugno migliaia di consumatori potranno chiedere e ottenere la nullità del proprio contratto di luce e gas, e per l’azienda sarà l’inizio di un lungo e costoso percorso legale e finanziario. Un percorso che avrebbe potuto essere evitato.