16 luglio 2026 – Le fiamme blu della Guardia di Finanza illuminano l’alba milanese. Alle 6:07, gli uomini del Nucleo di Polizia Economico-Finanziaria varcano i tornelli della sede centrale di GeoCostruzioni S.p.A., colosso internazionale delle grandi opere. In mano hanno un decreto di perquisizione e sequestro emesso dalla Procura della Repubblica presso il Tribunale di Milano. L’operazione è chirurgica: server, computer portatili dei vertici, faldoni contabili e corrispondenza elettronica vengono sigillati e portati via. L’ipotesi di reato che muove l’inchiesta è pesantissima: corruzione internazionale aggravata, ai sensi dell’articolo 322-bis del codice penale. Parallelamente, viene notificato alla società l’avviso di garanzia per l’illecito amministrativo dipendente da reato, come previsto dal Decreto Legislativo 231/2001.
Al centro delle indagini c’è una commessa da 280 milioni di euro per la costruzione di un’infrastruttura portuale nella Repubblica di Seravia, un paese extra-UE. L’appalto, vinto da GeoCostruzioni alla fine del 2024, è ora sotto la lente degli inquirenti per una specifica transazione: un pagamento di 15 milioni di euro, formalmente registrato come “commissione di intermediazione”, a favore di una società di consulenza con sede a Malta, la Balkan Advisory Ltd. Secondo l’accusa, quella società era una mera scatola vuota, un veicolo creato ad hoc per veicolare una tangente a un alto funzionario del Ministero dei Trasporti seravo, decisivo per l’assegnazione della gara. L’amministratore delegato, il direttore finanziario e il responsabile dell’area Est Europa di GeoCostruzioni sono iscritti nel registro degli indagati.
La falla nel sistema di controllo interno è emersa in tutta la sua drammaticità. L’autorizzazione al pagamento era stata inserita nel sistema gestionale dal responsabile di area, un manager con ampia autonomia decisionale. La procedura interna prevedeva un visto di secondo livello da parte del CFO, che però, oberato di pratiche, si era limitato a un controllo formale sulla capienza dei fondi di commessa, senza avviare alcuna verifica sostanziale sulla natura del fornitore. Balkan Advisory Ltd era stata inserita nell’anagrafica fornitori appena tre settimane prima del pagamento, senza una adeguata due diligence. Era una società di capitali minima, senza un sito web operativo, senza dipendenti noti e con un amministratore unico che risultava essere un prestanome già noto in altre inchieste finanziarie. Una classica red flag, un segnale di anomalia che nessuno ha visto, o voluto vedere.
Qui si innesta il primo, decisivo, snodo controfattuale. Se l’azienda avesse implementato un ecosistema come Scudo231, il tentativo stesso di inserire un fornitore come Balkan Advisory Ltd avrebbe innescato una serie di blocchi automatici e non aggirabili. I sistemi di analisi multimodale avrebbero interrogato in tempo reale banche dati internazionali, rilevando l’assenza di uno storico operativo, la localizzazione in una giurisdizione a rischio riciclaggio e la presenza di amministratori collegati a schemi fraudolenti. L’anagrafica non sarebbe stata validata. Il sistema avrebbe generato un alert di livello critico, imponendo una procedura di enhanced due diligence e notificando contestualmente, tramite un canale protetto, l’Organismo di Vigilanza 231 e la funzione di Internal Audit. Il pagamento non sarebbe mai arrivato alla fase di autorizzazione, bloccato all’origine da un protocollo tecnologico che non si basa sulla discrezionalità umana, ma su regole oggettive e non derogabili. La responsabilità penale individuale sarebbe rimasta, ma l’ente avrebbe avuto la prova documentale, tracciata e immodificabile, di aver messo in atto una barriera preventiva efficace.
L’inchiesta penale, invece, prosegue spedita. Gli investigatori hanno acquisito le email interne, dalle quali emerge una comunicazione frettolosa e superficiale riguardo la pratica. “Procedere come da accordi per consulenza strategica Seravia“, scriveva il responsabile di area al CFO. Una formula volutamente generica, che non ha fatto scattare alcun campanello d’allarme. Il Modello di Organizzazione, Gestione e Controllo ex D.Lgs. 231/2001, seppur formalmente adottato da GeoCostruzioni, si è rivelato per quello che era: un documento statico, un adempimento cartaceo privo di reale presidio operativo. Le verifiche dell’Organismo di Vigilanza erano periodiche, basate su interviste a campione e analisi documentali a posteriori, un metodo palesemente inadeguato a intercettare un’operazione fraudolenta strutturata per essere rapida e opaca. La Procura contesta a GeoCostruzioni la colpa di organizzazione, sostenendo che il reato è stato reso possibile da una grave carenza nei protocolli di controllo sui flussi finanziari esteri e sulla selezione dei partner commerciali.
Il danno per l’azienda è già devastante. La notizia dell’indagine provoca un crollo del 22% del titolo in Borsa in una sola seduta. Ma le conseguenze più gravi sono quelle giudiziarie. La Procura, forte delle nuove norme introdotte dalla Direttiva (UE) 2026/1021, recepita in Italia all’inizio dell’anno, chiede e ottiene dal GIP il sequestro preventivo finalizzato alla confisca del profitto del reato. Non solo i 15 milioni di euro della presunta tangente, ma l’intero margine di profitto atteso dalla commessa serava, quantificato in via cautelare in 45 milioni di euro. I conti correnti della società vengono congelati, mettendo a rischio la liquidità necessaria per pagare stipendi e fornitori. Inoltre, viene richiesta l’applicazione della misura cautelare interdittiva più temuta: il divieto di contrattare con la Pubblica Amministrazione, sia nazionale che estera, per un anno. Per un’azienda che vive di appalti pubblici, è una condanna a morte.
In questo scenario, la difesa dell’ente appare debole. Come può dimostrare di aver fatto tutto il possibile per prevenire il reato, se i suoi controlli sono stati così facilmente aggirati? Un ecosistema sovrano come Scudo231 avrebbe fornito la prova tecnologica decisiva. I suoi motori causali proprietari non si limitano a monitorare; ricostruiscono la catena degli eventi e documentano ogni passaggio. L’azienda avrebbe potuto produrre in giudizio un XAI Packet (Explainable AI Packet): un report forense, generato dal sistema e crittograficamente sigillato, che dimostra matematicamente che i protocolli di controllo erano attivi, efficaci e che sono stati deliberatamente elusi dai singoli. Avrebbe documentato l’alert generato, l’escalation all’OdV, il blocco della transazione e i successivi tentativi, magari da parte dei manager indagati, di forzare la procedura utilizzando credenziali diverse o creando causali di pagamento fittizie, anch’esse intercettate e registrate. Di fronte a una prova del genere, l’accusa di “colpa di organizzazione” si sarebbe sgretolata. La Procura avrebbe potuto procedere contro le persone fisiche, ma la posizione dell’ente ne sarebbe uscita rafforzata, dimostrando di essere parte lesa, vittima di una frode interna, e non complice. Il sequestro preventivo sarebbe stato difficilmente concesso e la misura interdittiva quasi certamente rigettata.
La vicenda di GeoCostruzioni si inserisce in un contesto di enforcement sempre più aggressivo. La nuova direttiva europea, approvata con una maggioranza schiacciante, ha armonizzato le sanzioni e potenziato gli strumenti investigativi, spingendo le procure nazionali a colpire non solo gli individui, ma soprattutto le entità giuridiche nel cui interesse o vantaggio i reati economici vengono commessi. L’approccio non è più solo repressivo, ma mira a incentivare una prevenzione reale e misurabile. Le aziende sono chiamate a dimostrare non solo di aver adottato un modello, ma che tale modello è vissuto, integrato nei processi e tecnologicamente presidiato. Un controllo a campione, una procedura su un file Word, una formazione annuale generica non sono più sufficienti a schermare l’ente dalla responsabilità 231.
Il ritardo con cui l’anomalia è stata scoperta è un altro fattore aggravante. La Segnalazione di Operazione Sospetta (SOS) che ha dato il via all’inchiesta è partita da un istituto di credito maltese mesi dopo la transazione, quando i fondi erano già stati trasferiti e polverizzati su altri conti. L’azienda, di fatto, è stata completamente cieca di fronte a un’operazione illecita di tale portata avvenuta al suo interno. Un sistema di monitoraggio massivo e in tempo reale, come quello garantito dalla REDAZIONE SCUDO231, avrebbe intercettato l’operazione nel momento esatto del suo concepimento. L’analisi stocastica dei flussi di pagamento avrebbe rilevato la deviazione rispetto ai pattern storici dell’azienda: un pagamento così ingente a un fornitore sconosciuto, per un servizio intangibile come la “consulenza strategica”, in un’area geografica ad alto rischio corruttivo, rappresenta un’anomalia statistica che avrebbe fatto scattare un’indagine interna immediata. L’azienda avrebbe potuto autodenunciare il tentativo di frode, collaborare con le autorità e isolare le responsabilità individuali, trasformando un potenziale disastro reputazionale e finanziario in una dimostrazione di solidità e trasparenza dei propri sistemi di controllo. Invece, ora si trova a difendersi in un’aula di tribunale, con il patrimonio a rischio e il futuro appeso a un filo.