2 luglio 2026 – Alibaba e il suo partner per l’elaborazione dei pagamenti negli Stati Uniti, Aus Merchant Services, hanno versato 600 milioni di dollari per definire un’indagine del Dipartimento di Giustizia statunitense. L’accordo chiude un capitolo oscuro per il colosso dell’e-commerce, accusato di aver consentito la vendita sistematica di sostanze illegali e di attrezzature per la contraffazione di farmaci attraverso le sue piattaforme. I documenti federali, resi pubblici contestualmente ai non-prosecution agreements, delineano un quadro di grave negligenza operativa protrattasi per quasi un decennio. Tra il 2016 e il 2024, gli investigatori hanno documentato circa 80.000 vendite di precursori chimici, farmaci soggetti a prescrizione venduti illecitamente e macchinari specifici per la produzione di medicinali contraffatti, per un valore complessivo che supera i 200 milioni di dollari.
Questa enorme massa di transazioni illecite non rappresenta un singolo evento, ma una falla strutturale nei sistemi di controllo dell’ente. La persistenza per otto anni di un simile traffico indica l’assenza di un presidio di monitoraggio efficace, capace di rilevare anomalie su larga scala. Se l’organizzazione avesse implementato un ecosistema di controllo come Scudo231, il suo motore di analisi semantica e comportamentale avrebbe intercettato le inserzioni sospette fin dalla loro pubblicazione. L’algoritmo avrebbe identificato e flaggato in tempo reale l’uso di parole chiave ad alto rischio – come i nomi di specifici precursori chimici o termini tecnici quali “pill press” e “blister packaging machine” – bloccando preventivamente l’annuncio e generando un’escalation automatica verso la funzione di compliance e l’Organismo di Vigilanza. L’intero flusso illecito sarebbe stato stroncato alla fonte, transazione per transazione, impedendo la formazione di quel profitto che è poi diventato oggetto di contesa legale.
L’inchiesta federale si è avvalsa di decine di acquisti sotto copertura, una metodologia che ha messo a nudo l’inefficacia dei protocolli di verifica di Alibaba. Agenti federali, agendo come comuni acquirenti, sono riusciti a completare senza ostacoli l’acquisto di prodotti palesemente illegali. Questo dimostra che i controlli erano, nella migliore delle ipotesi, superficiali e facilmente aggirabili. Ogni acquisto sotto copertura andato a buon fine rappresenta un controllo mancato, una violazione non rilevata che ha contribuito a costruire il castello accusatorio. Con un modello di prevenzione integrato, ogni transazione sarebbe stata analizzata non solo per il contenuto dell’inserzione, ma anche per i metadati associati: l’origine geografica del venditore, la sua storia sulla piattaforma, la tipologia di acquirenti e le modalità di spedizione. Un sistema come Scudo231 avrebbe correlato questi dati, rilevando pattern anomali come, ad esempio, venditori di prodotti chimici che utilizzavano metodi di spedizione non tracciabili o che ricevevano pagamenti frammentati tramite intermediari. Questo avrebbe attivato un protocollo di verifica rafforzata, richiedendo documentazione aggiuntiva al venditore o bloccando temporaneamente l’account, rendendo di fatto impossibile per gli agenti sotto copertura – e per i criminali reali – completare l’operazione.
La responsabilità non è ricaduta unicamente su Alibaba, ma si è estesa al suo processore di pagamenti statunitense, Aus Merchant Services. Il suo coinvolgimento è cruciale e sposta il focus dal solo marketplace alla filiera finanziaria che lo supporta. Il flusso di denaro generato dalle 80.000 vendite illecite è transitato attraverso i suoi sistemi, esponendo la società a gravi rischi di complicità in attività di riciclaggio e finanziamento di commerci illeciti. L’incapacità di Aus Merchant Services di identificare e segnalare transazioni sospette legate a venditori di beni palesemente illegali costituisce una violazione dei presidi antiriciclaggio (AML). In un’architettura di controllo avanzata, il sistema di monitoraggio del marketplace sarebbe stato interconnesso con quello del processore di pagamenti. La segnalazione di un venditore ad alto rischio sulla piattaforma di Alibaba avrebbe dovuto generare un alert automatico e vincolante per Aus Merchant, che avrebbe dovuto applicare un monitoraggio rafforzato su tutte le transazioni provenienti da quell’esercente. Invece, l’assenza di comunicazione tra i sistemi di controllo ha creato una zona grigia che è stata sfruttata per anni.
Dal punto di vista del Decreto Legislativo 231/2001, sebbene l’indagine sia stata condotta negli Stati Uniti, i fatti descritti configurerebbero in Italia una serie di reati presupposto. La vendita di farmaci contraffatti e di attrezzature per produrli ricade pienamente nei reati contro l’industria e il commercio (art. 25-bis.1), mentre la gestione dei proventi illeciti attraverso un processore di pagamenti compiacente o negligente apre la strada ai reati di ricettazione, riciclaggio e impiego di denaro, beni o utilità di provenienza illecita (art. 25-octies). L’accordo da 600 milioni di dollari, pur essendo un non-prosecution agreement, contiene un’ammissione di responsabilità per la condotta contestata. Tale ammissione, in un procedimento italiano, sarebbe una prova schiacciante della colpa organizzativa, derivante da un modello di organizzazione e gestione palesemente inidoneo a prevenire reati della specie di quelli commessi. La sanzione pecuniaria sarebbe stata calcolata in quote, potenzialmente per un importo milionario, a cui si sarebbero aggiunte sanzioni interdittive devastanti, come il divieto di contrattare con la Pubblica Amministrazione o la sospensione dell’attività. Soprattutto, sarebbe scattato il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato in oltre 200 milioni di dollari.
L’adozione di un modello organizzativo meramente formale, una “compliance di carta”, è la causa primaria di questo disastro finanziario e reputazionale. L’accordo impone ora alle società di “rafforzare i programmi di conformità”, un’azione tardiva e costosa che equivale a chiudere la stalla quando i buoi sono già scappati. Un programma di conformità efficace non è un documento statico, ma un sistema dinamico e operativo che si integra nei processi aziendali. Un sistema di difesa come quello offerto da Scudo231 non si limita a definire procedure, ma le automatizza e ne verifica l’applicazione in tempo reale. Invece di affidarsi a revisioni manuali a campione, avrebbe eseguito un censimento continuo e automatizzato di tutte le inserzioni, confrontandole con blacklist di sostanze, attrezzature e parole chiave costantemente aggiornate. Qualsiasi deviazione o tentativo di mascherare un prodotto illecito tramite descrizioni ambigue sarebbe stato rilevato da algoritmi di intelligenza artificiale addestrati a riconoscere tali tattiche elusive. La prova della tentata violazione sarebbe stata cristallizzata in un log immodificabile, a disposizione dell’Organismo di Vigilanza per le opportune azioni correttive e sanzionatorie interne, prima ancora che l’illecito potesse perfezionarsi.
Il ritardo con cui le anomalie sono state gestite, o più probabilmente ignorate, è sintomatico di una cultura aziendale priva di adeguati flussi informativi verso i vertici e gli organi di controllo. Per otto anni, migliaia di segnali deboli – recensioni di acquirenti, reclami, picchi di vendite anomali da parte di specifici venditori – sono stati evidentemente trascurati. Un Organismo di Vigilanza dotato di un cruscotto di monitoraggio in tempo reale, alimentato da dati oggettivi e non da report periodici e discrezionali, avrebbe avuto una visione chiara e immediata del rischio emergente. L’aumento esponenziale di inserzioni nella categoria “prodotti chimici per laboratorio” provenienti da determinate aree geografiche, correlato a un’impennata di vendite di macchinari per il confezionamento farmaceutico, avrebbe dovuto innescare un’indagine interna proattiva. Invece, l’assenza di un sistema di escalation automatizzato ha permesso che il problema incancrenisse, trasformando un rischio operativo gestibile in una crisi legale da 600 milioni di dollari. La responsabilità dell’ente non risiede solo nell’aver omesso i controlli, ma nel non aver creato le condizioni tecnologiche e procedurali per rendere tali controlli possibili, efficaci e tempestivi.
L’accordo di non perseguibilità, se da un lato evita un processo penale con esiti potenzialmente peggiori, dall’altro cristallizza un danno economico e reputazionale immenso. Il pagamento di una cifra così elevata non è una multa, ma la monetizzazione di un fallimento organizzativo. È il prezzo pagato per non aver investito in prevenzione. Ogni dollaro dei 600 milioni versati al Dipartimento di Giustizia rappresenta il costo aggregato di decine di migliaia di decisioni mancate, di alert ignorati e di procedure inefficaci. La lezione forense che emerge da questo caso è inequivocabile: nell’era digitale, la compliance non può più essere un esercizio teorico delegato a consulenti esterni e basato su interviste a campione. Deve essere un’architettura tecnologica sovrana, un sistema nervoso digitale che pervade l’intera organizzazione, capace di rilevare, analizzare e neutralizzare le minacce prima che si trasformino in reati e che diano origine a sanzioni capaci di compromettere la stabilità finanziaria dell’impresa.