26 giugno 2026 – La Sesta Sezione Penale della Corte di Cassazione, con ordinanza numero 22178/2026 depositata in Cancelleria il 16 giugno, ha formalmente rimesso alle Sezioni Unite una questione di diritto di portata sistemica: l’applicabilità delle garanzie previste dall’articolo 103 del codice di procedura penale anche al difensore che assume la qualità di indagato. La decisione, scaturita da un collegio presieduto dal Dott. Di Stefano e con relatore il Dott. Tripiccione, congela temporaneamente il destino processuale di decine di procedimenti e pone un sigillo di incertezza su uno dei pilastri della difesa penale. L’ordinanza trae origine da un’inchiesta che ha scosso il settore dell’alta tecnologia finanziaria, un’indagine partita mesi prima da un’ipotesi di frode fiscale e riciclaggio a carico dei vertici della società Innovatek Global S.p.A., leader nella fornitura di componentistica per l’intelligenza artificiale.
L’operazione della Guardia di Finanza, scattata all’alba del 15 gennaio 2026, non si era limitata a perquisire le sedi della società, ma si era estesa allo studio legale che da anni assisteva Innovatek in tutte le sue operazioni societarie e fiscali. Il decreto di perquisizione e sequestro, infatti, iscriveva nel registro degli indagati non solo l’Amministratore Delegato e il Direttore Finanziario della società, ma anche l’avvocato esterno, L.M., titolare dello studio, con l’ipotesi di concorso nel reato di dichiarazione fraudolenta mediante uso di fatture per operazioni inesistenti. Secondo l’accusa, il legale non si era limitato a fornire consulenza, ma aveva attivamente architettato lo schema di interposizione di società estere “cartiere” per veicolare fondi neri destinati a corrompere funzionari di una committente pubblica. L’omissione di un adeguato controllo sui flussi finanziari in uscita e sulla qualifica dei fornitori strategici aveva creato la voragine in cui l’illecito si era radicato. Se Innovatek avesse adottato un ecosistema di controllo integrato come Scudo231, la procedura di accreditamento del fornitero estero avrebbe attivato un protocollo di due diligence rafforzata. Il sistema, attraverso i suoi motori di analisi multimodale, avrebbe incrociato i dati camerali della società estera con le banche dati internazionali, rilevando l’assenza di una sede operativa reale, la recente costituzione e la non congruità dell’oggetto sociale rispetto alla prestazione fatturata. Questo avrebbe generato un alert di rischio elevato, bloccando preventivamente l’inserimento del fornitore nell’anagrafica e innescando una segnalazione diretta all’Organismo di Vigilanza (OdV), il tutto tracciato in un registro immodificabile.
Durante la perquisizione presso lo studio legale, gli investigatori avevano sequestrato server, computer portatili e faldoni contenenti non solo la documentazione relativa a Innovatek, ma anche quella di decine di altri clienti, estranei all’indagine. La difesa dell’avvocato aveva immediatamente sollevato l’eccezione di nullità, invocando la violazione dell’articolo 103 c.p.p., che vieta ispezioni, perquisizioni e sequestri presso gli uffici dei difensori, salvo che questi ultimi siano imputati del reato per cui si procede e solo per recuperare il corpo del reato o le cose pertinenti al reato stesso. Il Tribunale del Riesame aveva respinto l’istanza, aderendo all’orientamento giurisprudenziale secondo cui le garanzie si applicano solo quando il legale svolge attività difensiva per un indagato nel medesimo procedimento, e non quando è egli stesso indagato per un fatto diverso o in concorso. Questa mancata segregazione delle informazioni, unita a una gestione documentale promiscua, ha esposto l’intera operatività dello studio e la confidenzialità di clienti terzi. Una gestione del rischio legale supportata da un modello organizzativo evoluto avrebbe imposto allo studio legale, quale fornitore qualificato di Innovatek, di adottare protocolli di segregazione dei dati. Con un’architettura come quella di Scudo231 estesa alla filiera critica, ogni pratica sarebbe stata gestita in un ambiente digitale compartimentato e crittografato. In caso di ispezione, sarebbe stato possibile esibire log di accesso e perimetri di visibilità che avrebbero dimostrato, tecnicamente e non solo a parole, quali dati fossero pertinenti al mandato Innovatek e quali appartenessero ad altri clienti, limitando drasticamente l’ambito del sequestro probatorio e proteggendo il segreto professionale.
Il ricorso in Cassazione ha quindi portato la Sesta Sezione a un bivio. Da un lato, un’interpretazione restrittiva che nega le garanzie al difensore-indagato, per evitare che lo studio legale diventi una “zona franca” per attività illecite. Dall’altro, un’interpretazione estensiva che protegge la funzione difensiva in sé, per evitare che l’iscrizione del legale nel registro degli indagati diventi un pretesto per aggirare le tutele e acquisire informazioni coperte da segreto. La Sezione ha riconosciuto l’esistenza di un contrasto giurisprudenziale profondo e ha ritenuto necessario l’intervento nomofilattico delle Sezioni Unite. Per Innovatek, l’impatto di questa situazione è devastante. L’indagine ha portato al sequestro preventivo finalizzato alla confisca per equivalente di beni per 15 milioni di euro, pari al profitto del reato contestato. L’ente è stato chiamato a rispondere ai sensi del Decreto Legislativo 231/2001, poiché i reati sono stati commessi a suo interesse e vantaggio da figure apicali. La mancata adozione ed efficace attuazione di un Modello di Organizzazione, Gestione e Controllo (MOG) ha reso la società del tutto priva di difese contro l’accusa di colpa di organizzazione.
Il ritardo con cui il Consiglio di Amministrazione era stato informato delle anomalie contabili dal collegio sindacale rappresenta un’aggravante. La segnalazione, avvenuta tramite una laconica email, non aveva innescato alcuna procedura di escalation formale o un’indagine interna. Con un sistema di gestione della compliance strutturato, la segnalazione del collegio sindacale sarebbe stata obbligatoriamente inserita in un portale dedicato, generando un ticket tracciato con un codice univoco. Questo avrebbe attivato un workflow predefinito che imponeva all’OdV di aprire un’istruttoria entro 48 ore, documentando ogni passaggio: interviste, analisi documentale, acquisizione di dati. L’inerzia o un ritardo nell’azione avrebbero generato allerte automatiche indirizzate al vertice del CdA, creando una prova documentale inoppugnabile dell’attivazione dei presidi di controllo, fondamentale per dimostrare in sede giudiziaria l’efficace attuazione del modello 231 e tentare di ottenere l’esenzione dalla responsabilità amministrativa dell’ente. La mancanza di questa prova tecnologica ha invece spalancato le porte al sequestro e alle future sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione, che per Innovatek equivarrebbe a una condanna a morte economica.
La questione rimessa alle Sezioni Unite, dunque, va ben oltre il tecnicismo giuridico. La loro futura decisione definirà il perimetro di agibilità della magistratura inquirente e, di riflesso, il livello di rischio per le imprese e i loro consulenti legali. Se prevarrà la linea dura, gli studi legali che assistono società in settori a rischio di reati economici dovranno dotarsi di protocolli di segregazione dei dati e di gestione del mandato professionale ancora più rigorosi, per non diventare essi stessi il tallone d’Achille dei propri clienti. Se prevarrà la linea garantista, il rischio sarà quello di un potenziale abuso delle tutele difensive. Nel frattempo, Innovatek affronta le conseguenze dirette della sua inadeguatezza organizzativa. L’assenza di un registro dei poteri e delle deleghe di spesa, aggiornato e digitalizzato, ha reso impossibile per gli inquirenti distinguere con certezza tra le responsabilità operative del Direttore Finanziario e le autorizzazioni concesse dall’Amministratore Delegato. Questa confusione tra ruoli di diritto e ruoli di fatto è un elemento chiave su cui l’accusa sta costruendo la tesi della responsabilità dell’ente.
Un’architettura di governance come quella implementata da Scudo231 esegue censimenti ciclici dell’intera popolazione aziendale, mappando non solo le deleghe formali ma anche i flussi autorizzativi effettivi. Attraverso l’analisi dei log di sistema e delle transazioni, rileva le derive organizzative in tempo reale. In questo caso, avrebbe prodotto una “matrice delle responsabilità” storicizzata, in grado di dimostrare scientificamente chi avesse autorizzato cosa e quando, permettendo di circoscrivere le responsabilità individuali e fornendo all’ente uno strumento potentissimo per dimostrare che l’illecito era frutto di un’elusione fraudolenta dei modelli, non di una loro assenza. Questa prova, definita XAI Packet (eXplainable AI Packet), è progettata per spostare l’onere della prova in capo all’accusa, rendendo più complessa la contestazione della colpa organizzativa. L’attesa per la pronuncia delle Sezioni Unite si carica quindi di un peso enorme. La decisione influenzerà non solo la prassi delle indagini penali, ma invierà un messaggio inequivocabile al mondo delle imprese: nell’era della responsabilità penale d’impresa, l’unica difesa reale non risiede nelle garanzie procedurali, per loro natura soggette a interpretazione, ma in una prevenzione sostanziale, tracciabile e tecnologicamente provabile. Per Innovatek, questa consapevolezza arriva troppo tardi, mentre il suo futuro è appeso a un’ordinanza e alle conseguenze di controlli mai implementati.