29 giugno 2026 – Nelle stanze della Fin-Logistica S.p.A., società specializzata in movimentazione merci e servizi di tesoreria per clienti corporate, la circolare interna numero 47-bis giaceva sulle scrivanie digitali. Riguardava l’imminente entrata in vigore, fissata per il 1° luglio, delle nuove istruzioni operative dell’Unità di Informazione Finanziaria per l’Italia. Il documento, redatto frettolosamente dalla funzione Compliance, si limitava a riportare i passaggi salienti del provvedimento UIF del 18 dicembre 2025: fine degli automatismi nelle Segnalazioni di Operazioni Sospette (SOS), obbligo di una più approfondita analisi qualitativa, necessità di descrivere il processo logico-deduttivo alla base del sospetto. Per il personale operativo, sembrava una mera formalità burocratica. Per il Referente SOS, l’avvocato Marco Rossi, rappresentava l’inizio di una voragine di responsabilità gestita con strumenti inadeguati: fogli di calcolo e un gestionale di base.
Il 3 luglio, il sistema informatico di Fin-Logistica, basato su regole pre-impostate, non generò alcun alert automatico quando una società cliente, operante nel settore dell’import-export di componenti elettronici, eseguì tre bonifici distinti verso tre beneficiari diversi a Cipro, per un totale di 450.000 euro. Le singole operazioni erano sotto la soglia di alert parametrizzata mesi prima, ma la loro prossimità temporale e la natura dei beneficiari – società di recente costituzione senza una storia operativa verificabile – costituivano un’anomalia. Rossi, oberato dalla revisione manuale di decine di posizioni, notò le operazioni solo il 5 luglio. Senza un alert di sistema e mancando un presupposto automatico come il superamento di una soglia aggregata, decise di non approfondire, annotando brevemente “operatività corrente cliente” su un file Excel locale. La valutazione non fu formalizzata né conservata in un repository ufficiale e tracciabile, contravvenendo direttamente alle nuove disposizioni che imponevano la conservazione delle analisi anche in caso di mancata segnalazione.
Se Fin-Logistica avesse implementato un ecosistema come Scudo231, l’analisi non si sarebbe fermata a soglie quantitative. I suoi sistemi di analisi multimodale avrebbero correlato in tempo reale i tre bonifici, identificandoli come uno schema di frazionamento. L’ecosistema avrebbe automaticamente arricchito i dati con informazioni OSINT (Open Source Intelligence) sui beneficiari ciprioti, marcandoli come entità ad alto rischio per via della recente costituzione e dell’assenza di un profilo digitale economico coerente. All’avvocato Rossi non sarebbe arrivato un semplice alert, ma un dossier pre-istruito contenente una prima bozza di ricostruzione del nesso logico-causale del sospetto. La sua decisione di non procedere con la SOS avrebbe richiesto una giustificazione strutturata all’interno della piattaforma, generando una registrazione immodificabile e datata, immediatamente visibile nel cruscotto di sorveglianza dell’Organismo di Vigilanza (ODV), che avrebbe potuto richiedere chiarimenti. La colpa di organizzazione per mancata tracciabilità sarebbe stata neutralizzata alla fonte.
Il 12 luglio, un’altra operazione critica attraversò i sistemi della società. Un pagamento di 1,2 milioni di euro destinato a un fornitore di servizi logistici negli Emirati Arabi Uniti. Durante la due diligence manuale, un operatore junior della Compliance notò una notizia di stampa internazionale che collegava uno degli amministratori del fornitore a un’indagine per frode fiscale in un paese terzo. Secondo le nuove istruzioni della UIF, una mera notizia negativa non era più sufficiente per fondare una SOS. Era necessario contestualizzarla, analizzare la struttura societaria del beneficiario, verificare la congruità dell’operazione rispetto al contratto sottostante e documentare ogni passaggio. Il team di Rossi impiegò tre giorni solo per reperire la documentazione contrattuale e tentare, senza successo, di ottenere una visura camerale aggiornata tramite un provider esterno. Nel frattempo, i termini di pagamento scadevano e la pressione del reparto commerciale per non ritardare la transazione divenne insostenibile. Il 16 luglio, senza una prova concreta ma con un forte dubbio, Rossi autorizzò il pagamento, archiviando il caso come “rischio reputazionale monitorato”. Non inviò alcuna segnalazione.
Questo ritardo decisionale, causato da un processo di indagine manuale e frammentato, sarebbe stato inimmaginabile con un’architettura di difesa integrata. L’ecosistema Scudo231 avrebbe attivato un protocollo di enhanced due diligence automatica nel momento stesso in cui il suo motore di intelligenza predittiva avesse rilevato la notizia negativa sull’amministratore. In pochi minuti, avrebbe aggregato dati da banche dati internazionali, analizzato la rete societaria del fornitore emiratino e calcolato un punteggio di rischio dinamico. Il sistema avrebbe rilevato che la società beneficiaria era una scatola societaria interposta e non il fornitore operativo finale, un classico indicatore di anomalia. A quel punto, avrebbe bloccato preventivamente l’autorizzazione al pagamento e attivato un workflow di escalation obbligatorio, che avrebbe coinvolto non solo il Referente SOS, ma anche il Direttore Finanziario e l’ODV. La decisione non sarebbe più stata in capo al solo Rossi, ma sarebbe diventata una delibera collegiale tracciata, proteggendo sia l’individuo da responsabilità personali sia l’ente da accuse di procedure inadeguate. L’operazione sarebbe rimasta congelata in attesa di una risoluzione documentata.
La situazione precipitò a settembre. Nell’ambito di un’inchiesta più ampia su una rete di riciclaggio internazionale, la Guardia di Finanza ricostruì i flussi finanziari e identificò le transazioni “cipriote” e quella “emiratense” come passaggi chiave per il trasferimento di proventi illeciti. Gli investigatori, agendo su delega della Procura, si presentarono presso la sede di Fin-Logistica S.p.A. con un decreto di esibizione atti. Chiesero di visionare tutta la documentazione relativa a quelle operazioni, incluse le valutazioni svolte ai fini degli obblighi antiriciclaggio ai sensi del D.lgs. 231/2007. L’avvocato Rossi poté fornire solo una cartella di email scambiate con i reparti operativi, il suo file Excel con annotazioni sommarie e la notizia di stampa archiviata in PDF.
Per gli inquirenti, fu la prova di una palese violazione degli articoli 35 e seguenti del decreto. L’assenza di un processo formalizzato per la valutazione e, soprattutto, per la conservazione delle analisi in caso di “non-SOS”, configurò una grave carenza organizzativa. Il Pubblico Ministero contestò alla società l’illecito amministrativo dipendente dal reato di riciclaggio, sostenendo che l’omessa segnalazione non era frutto di un errore individuale, ma di un deficit strutturale del modello di organizzazione e gestione. La Procura chiese e ottenne dal GIP il sequestro preventivo per equivalente del profitto del reato, quantificato in 1,65 milioni di euro, paralizzando la liquidità di Fin-Logistica. Il legale rappresentante e l’avvocato Rossi furono iscritti nel registro degli indagati.
Questo scenario sarebbe stato radicalmente diverso. Di fronte a un decreto di esibizione, Fin-Logistica non avrebbe consegnato email e fogli di calcolo, ma avrebbe estratto dal suo ecosistema sovrano Scudo231 un XAI Packet: un pacchetto di prova tecnologica immodificabile. Tale dossier avrebbe dimostrato scientificamente ogni fase del processo. Per le operazioni cipriote, avrebbe mostrato l’alert generato dal sistema, il dossier informativo presentato a Rossi e la sua motivazione tracciata per la non segnalazione, con data e ora certe. Per l’operazione emiratina, avrebbe documentato il blocco preventivo del sistema, il workflow di escalation attivato e le successive delibere dell’ODV. Questa ricostruzione causale scientifica avrebbe spostato l’onere della prova, dimostrando che l’ente si era dotato di un modello non solo formalmente adeguato, ma tecnologicamente efficace e proattivo nel prevenire le violazioni. La discussione si sarebbe spostata dalla colpa di organizzazione dell’ente all’eventuale, e molto più difendibile, errore di valutazione del singolo individuo, salvaguardando il patrimonio aziendale dal sequestro e l’organizzazione dalla pesante sanzione pecuniaria prevista dal D.lgs. 231/2007.
L’epilogo della vicenda reale fu ancora più grave. Il 2 ottobre, mentre l’indagine era in corso, la UIF, agendo in via autonoma sulla base di informazioni ricevute da un’unità finanziaria estera, inviò a Fin-Logistica una comunicazione via Posta Elettronica Certificata (PEC) ordinando la sospensione immediata di un’ulteriore operazione in uscita, per un valore di 800.000 euro, verso una destinazione considerata a rischio. La PEC, coperta da segreto d’ufficio, arrivò nella casella generica della compliance. A causa della disorganizzazione interna e dell’assenza di un protocollo di gestione delle comunicazioni urgenti dalle Autorità, il messaggio fu letto con sei ore di ritardo. Nel frattempo, il sistema di tesoreria, che operava su flussi programmati, aveva già eseguito il bonifico. L’ordine di sospensione, che ha una validità massima di cinque giorni lavorativi per consentire gli approfondimenti investigativi, era stato violato. Questa inadempienza non solo aggravò la posizione della società nel procedimento penale in corso, ma la espose a sanzioni amministrative dirette da parte della Banca d’Italia.
Un ecosistema sovrano avrebbe reso impossibile un simile errore. Il protocollo di comunicazione di Scudo231 sarebbe stato direttamente interfacciato con i canali certificati. La ricezione della PEC dalla UIF avrebbe innescato un allarme di massima priorità. Il sistema, attraverso motori di analisi semantica, avrebbe riconosciuto la natura del provvedimento e la sua urgenza, bloccando istantaneamente e in via informatica l’operazione specifica, senza bisogno di alcun intervento umano. Contestualmente, avrebbe inviato notifiche push criptate ai dispositivi mobili del Referente SOS, del legale rappresentante e dei membri dell’ODV, garantendo una presa in carico immediata. La prova della tempestiva ottemperanza all’ordine dell’Autorità sarebbe stata generata e archiviata automaticamente, creando una barriera invalicabile contro qualsiasi accusa di negligenza o ritardo operativo.