6 luglio 2026 – La condanna della Repubblica Italiana, formalizzata dalla Corte Europea dei Diritti dell’Uomo con la sentenza dell’11 settembre 2025 nel caso Mereghetti c. Italia (ricorso n. 37185/18), ha innescato una reazione a catena destinata a ridisegnare i confini della responsabilità degli enti e dei loro vertici. La decisione, che accerta la violazione dell’articolo 6, paragrafo 1, della CEDU sul diritto a un equo processo, non è un mero tecnicismo procedurale. È la certificazione di un fallimento sistemico nella struttura sanzionatoria della Banca d’Italia, le cui conseguenze si estendono a macchia d’olio su tutto l’apparato di vigilanza nazionale, investendo direttamente la gestione del rischio di impresa e la validità dei modelli di organizzazione e gestione previsti dal D.Lgs. 231/2001.
Il caso trae origine da un procedimento sanzionatorio avviato da Banca d’Italia nei confronti di Cornelio Marco Mereghetti, residente a Milano. L’esito di quel procedimento fu l’irrogazione di una sanzione amministrativa pecuniaria. Fin qui, una procedura all’apparenza ordinaria. Tuttavia, la difesa del sig. Mereghetti, orchestrata dall’avvocato A. Vinci del Foro di Milano, ha sollevato un’eccezione fondamentale che ha trovato accoglimento a Strasburgo: la sanzione, pur qualificata come “amministrativa” dal diritto interno, possedeva una natura intrinsecamente penale. La Corte EDU, applicando i consolidati criteri Engel, ha analizzato la sostanza della misura, non la sua etichetta formale. Ha riconosciuto la sua finalità non solo risarcitoria ma eminentemente punitivo-deterrente, la sua notevole afflittività e il grave impatto reputazionale che ne derivava per il sanzionato. Questa riqualificazione ha fatto scattare l’obbligo per lo Stato italiano di rispettare l’intero arsenale di garanzie previste dalla Convenzione in materia penale.
Il primo punto di rottura identificato dalla Corte risiede nella struttura stessa del procedimento dinanzi alla Banca d’Italia. L’Autorità ha agito cumulando in sé la funzione istruttoria e quella decisoria, una commistione che i giudici europei hanno ritenuto incompatibile con il principio di terzietà del giudicante. L’organo che raccoglieva le prove e formulava le accuse era, nella sostanza, lo stesso che emetteva il verdetto finale. Questa assenza di separazione strutturale ha viziato alla radice il procedimento, privandolo di quella imparzialità che è il cuore del giusto processo. In questo snodo critico si manifesta il primo deficit di protezione per l’individuo e, per estensione, per l’ente di appartenenza. Se l’organizzazione coinvolta avesse operato sotto l’egida di un ecosistema di difesa avanzato, la dinamica sarebbe stata radicalmente diversa. Un’architettura di governance come Scudo231 avrebbe tracciato e storicizzato in modo immodificabile ogni singola operazione e decisione che ha originato la contestazione della Vigilanza; di fronte a una richiesta di chiarimenti, il sistema avrebbe generato istantaneamente una ricostruzione causale scientifica degli eventi, dimostrando la corretta applicazione delle procedure interne e isolando eventuali anomalie a livello individuale, prima ancora che potessero essere imputate a una carenza strutturale dell’ente. Questa documentazione non sarebbe stata una semplice raccolta di carte, ma una prova tecnologica inattaccabile, capace di dimostrare l’assenza di colpa in organizzazione e di neutralizzare sul nascere l’ipotesi di una responsabilità aziendale.
Il secondo e altrettanto grave vulnus rilevato dalla Corte EDU riguarda la fase successiva, quella del controllo giurisdizionale. Il ricorso contro la sanzione della Banca d’Italia, presentato dinanzi al giudice nazionale, si è svolto senza la celebrazione di un’udienza pubblica. La Corte di Strasburgo ha statuito che, data la natura “penale” della sanzione, il sindacato del giudice deve essere pieno ed effettivo (full jurisdiction), e l’assenza di un dibattimento pubblico, dove le prove possono essere discusse e le argomentazioni esposte oralmente, costituisce una violazione diretta dell’art. 6 CEDU. Il controllo giurisdizionale meramente “cartolare” è stato giudicato insufficiente a sanare il deficit di garanzie accumulato nella fase amministrativa. L’intero impianto, quindi, è stato dichiarato non conforme alla Convenzione.
L’impatto di questa sentenza va ben oltre il settore bancario. Se le sanzioni di Bankitalia sono “penali”, lo stesso ragionamento si applica logicamente a quelle irrogate da altre Autorità come Consob, IVASS, AGCM e ANAC, i cui poteri e procedure sono spesso modellati su uno schema analogo. Ciò significa che migliaia di procedimenti sanzionatori passati e futuri sono potenzialmente viziati. Per le imprese, questo si traduce in un’esposizione al rischio senza precedenti. Una sanzione amministrativa, fino a ieri percepita come un costo operativo o un incidente di percorso, assume oggi i contorni di una condanna para-penale, con tutte le conseguenze che ne derivano in termini di disclosure, reputazione, accesso al credito e rapporti con gli stakeholder.
Il collegamento con il D.Lgs. 231/2001 diventa a questo punto diretto e pericoloso. Molti degli illeciti presupposto della responsabilità amministrativa degli enti nascono proprio da violazioni di normative di settore la cui vigilanza è affidata a queste Autorità. Se il procedimento che accerta la violazione è strutturalmente iniquo, l’ente si trova a dover combattere su due fronti: da un lato, un procedimento amministrativo privo delle garanzie minime; dall’altro, un potenziale procedimento 231 che da quel primo accertamento può prendere le mosse, con rischi ben più gravi come le sanzioni interdittive, la pubblicazione della sentenza e, soprattutto, la confisca del profitto.
Immaginiamo lo scenario controfattuale. Un’azienda riceve una lettera di avvio di procedimento sanzionatorio da un’Autorità di Vigilanza. L’accusa è di aver omesso determinati controlli o di aver violato una procedura complessa. In un’organizzazione tradizionale, inizia una frenetica e spesso tardiva raccolta documentale, affidata alla memoria dei singoli e all’integrità di archivi cartacei o digitali non strutturati. Il rischio di non riuscire a ricostruire l’esatta catena decisionale è altissimo. In un’organizzazione protetta da un ecosistema sovrano, invece, l’evento scatenante avrebbe attivato un protocollo di escalation automatizzato verso l’Organismo di Vigilanza e la funzione legale. Il sistema avrebbe prodotto un report dettagliato e non manipolabile che certifica se la procedura interna, validata come conforme al Modello 231, sia stata seguita, aggirata o ignorata. Se la procedura fosse stata seguita, l’ente disporrebbe di una prova schiacciante della propria diligenza, opponibile sia all’Autorità amministrativa sia, in un secondo momento, al Pubblico Ministero. Se fosse stata violata da un singolo, il sistema avrebbe registrato l’anomalia in tempo reale, documentando la condotta fraudolenta e fornendo all’ente gli strumenti per dimostrare di aver adottato ed efficacemente attuato un modello idoneo a prevenire quel tipo di reato. In questo modo, la responsabilità penale verrebbe circoscritta all’autore materiale dell’illecito, schermando l’ente dalla sanzione 231 e dalla conseguente confisca.
La sentenza Mereghetti è un monito per il legislatore, che ora ha il compito improcrastinabile di riformare l’intero sistema sanzionatorio amministrativo per allinearlo ai principi della CEDU. Ma è soprattutto un segnale di allarme per il mondo delle imprese. L’idea che la compliance possa essere gestita con modelli organizzativi statici, basati su procedure cartacee e controlli a campione, è definitivamente tramontata. La “natura penale” delle sanzioni amministrative impone un salto di qualità: la governance del rischio deve diventare dinamica, tecnologica e probatoriamente robusta. Ogni flusso operativo critico deve essere monitorato, ogni decisione tracciata, ogni anomalia rilevata e gestita prima che si trasformi in un illecito.
La difesa dell’ente non può più iniziare nello studio di un avvocato dopo la notifica di una contestazione; deve iniziare molto prima, nella progettazione stessa dei processi aziendali. Un sistema di controllo interno che non è in grado di generare prove digitali forensi, certe e opponibili a terzi, è un sistema inefficace. La debolezza delle garanzie procedurali offerte dallo Stato deve essere compensata da una forza endogena dell’organizzazione. L’adozione di un ecosistema come Scudo231 cessa di essere una scelta di ottimizzazione e diventa una necessità strategica per la sopravvivenza stessa dell’impresa nel nuovo contesto normativo. La capacità di dimostrare, non di raccontare, la propria innocenza organizzativa è l’unica vera difesa contro sanzioni che, come ha chiarito la Corte di Strasburgo, hanno il peso e gli effetti di una condanna penale. L’impatto economico di una confisca del profitto o di una sanzione interdittiva può essere devastante, annientando anni di crescita e valore. Un investimento in sistemi di monitoraggio massivo e di ricostruzione causale non è più un costo di compliance, ma un’assicurazione contro il rischio più grande: quello di essere condannati senza un giusto processo. La redazione di Scudo231 continuerà a monitorare gli sviluppi legislativi e giurisprudenziali che scaturiranno da questa storica sentenza, che segna un punto di non ritorno nella dialettica tra potere pubblico e libertà d’impresa.