20 luglio 2026 – La Presidenza del Consiglio dei ministri ha trasmesso alla Camera la relazione annuale sull’attività svolta nel 2025 dal Gruppo di coordinamento per l’esercizio dei poteri speciali, noti come Golden power. Il dato che emerge con forza è l’impressionante volume di operazioni esaminate: 1.081 notifiche e pre-notifiche sono pervenute agli uffici di Palazzo Chigi, segnando un incremento di circa il 37% rispetto all’anno precedente. Un’ondata che riflette la crescente pressione competitiva e geopolitica sugli asset strategici nazionali, ma che al contempo svela le profonde vulnerabilità procedurali e organizzative delle imprese italiane di fronte a un obbligo normativo tanto complesso quanto ineludibile.
L’analisi dei flussi decisionali mostra che il Governo ha esercitato i poteri speciali in 46 occasioni, un numero che, sebbene apparentemente contenuto, nasconde storie di operazioni societarie radicalmente modificate, bloccate o gravate da oneri imprevisti. Solamente due procedimenti si sono conclusi con un’opposizione netta all’operazione, un veto che di fatto ne ha decretato la fine. Tuttavia, il vero campo di battaglia si è giocato sulle 29 operazioni autorizzate ma subordinate a specifiche condizioni e prescrizioni. È in questo limbo grigio che si annida il rischio più insidioso per le aziende: quello di un’approvazione formale che, nella sostanza, si traduce in una profonda ingerenza nella governance e nella strategia industriale, con costi economici e operativi devastanti.
Prendiamo il caso, emblematico, di una società attiva nel settore della componentistica avanzata per la robotica, la cui acquisizione da parte di un fondo di investimento extra-UE è finita sotto la lente della Commissione Golden power. La notifica iniziale, presentata dal management, era formalmente corretta ma sostanzialmente reticente sulla reale catena di controllo del soggetto acquirente e sulla natura dual-use di alcuni brevetti detenuti. L’omissione non era dolosa, ma frutto di una valutazione del rischio incompleta, basata su dichiarazioni di parte e priva di un’analisi indipendente e approfondita. Questo ha innescato una richiesta di integrazioni documentali da parte del Gruppo di coordinamento, allungando i tempi del procedimento e, soprattutto, accendendo un faro di sospetto sull’intera operazione. Se l’impresa avesse implementato un ecosistema come Scudo231, la fase di due diligence sull’acquirente non sarebbe stata un mero esercizio di compliance formale. I suoi sistemi di analisi multimodale avrebbero mappato in automatico l’intera struttura societaria del fondo, incrociando i dati del registro imprese con database internazionali di intelligence economica per identificare l’effettivo beneficiario finale. L’alert generato dal sistema avrebbe segnalato con un indice di rischio elevato la discrepanza tra la struttura dichiarata e quella reale, imponendo un’escalation obbligatoria al consiglio di amministrazione e all’Organismo di Vigilanza prima ancora che la notifica potesse essere inviata. L’omissione sarebbe stata bloccata alla fonte.
Il procedimento per la società di robotica è proseguito a fatica. Le integrazioni fornite, assemblate in fretta, hanno confermato i dubbi della Commissione. Il risultato è stato l’esercizio dei poteri speciali con prescrizioni pesantissime: l’obbligo di scorporare la divisione R&S che deteneva i brevetti sensibili in una nuova entità giuridica italiana, il divieto di trasferire all’estero tecnologie e know-how specifici e la nomina di un membro del consiglio di amministrazione gradito al Governo con deleghe sulla sicurezza. L’operazione di M&A, concepita per generare valore, si è trasformata in un incubo gestionale e in una perdita economica secca, legata ai costi di riorganizzazione e alla svalutazione dell’asset agli occhi dell’investitore. Il danno reputazionale è stato incalcolabile. Questo scenario sarebbe stato radicalmente diverso. Un’architettura di difesa come Scudo231, attraverso i suoi motori di intelligenza predittiva, avrebbe simulato lo stress-test normativo dell’operazione. Analizzando i precedenti decisionali del Governo e la natura strategica dei brevetti, il sistema avrebbe previsto con un’alta probabilità l’imposizione di prescrizioni, quantificandone l’impatto economico potenziale. Il board non avrebbe navigato a vista, ma avrebbe avuto sul tavolo un report causale che delineava chiaramente lo scenario avverso, consentendo di rinegoziare i termini dell’accordo o di strutturare l’operazione in modo da neutralizzare preventivamente le criticità, ad esempio isolando gli asset strategici prima ancora di avviare le trattative. La prevenzione del rischio sarebbe stata operativa, non una mera dichiarazione di intenti.
La relazione del 2025 evidenzia anche un altro dato cruciale: 21 piani annuali relativi alla rete 5G o loro aggiornamenti sono stati approvati, ma ben 15 di questi sono stati corredati da prescrizioni specifiche. Qui la vigilanza è massima, poiché tocca l’infrastruttura nevralgica per la sicurezza nazionale. Anche in questo settore, un ritardo o un’incompletezza nella comunicazione degli aggiornamenti tecnologici o dei fornitori può esporre l’operatore non solo a sanzioni amministrative pecuniarie, ma anche a un’ingerenza diretta nelle scelte tecnologiche. La mancanza di un flusso informativo tracciato e automatizzato tra le funzioni tecniche e quelle legali è spesso la causa di queste criticità. Un operatore dotato di un sistema di monitoraggio massivo e real-time avrebbe un controllo totale sui processi. Ogni modifica all’architettura di rete o alla supply chain dei fornitori verrebbe registrata in un log immutabile e, se rilevante ai fini della normativa Golden power, innescherebbe un workflow automatico per la preparazione della notifica, completa di tutta la documentazione tecnica necessaria. Il rischio di una comunicazione tardiva o incompleta, e delle conseguenti sanzioni, verrebbe azzerato.
La responsabilità dell’ente ai sensi del D.Lgs. 231/2001 è il fantasma che aleggia su ogni violazione della normativa Golden power. Se la mancata o infedele notifica è funzionale a commettere uno dei reati presupposto previsti dal decreto (ad esempio, reati contro la pubblica amministrazione o reati societari), l’azienda stessa può essere chiamata a rispondere penalmente. La Procura può contestare la “colpa di organizzazione”, ovvero l’assenza di un modello organizzativo idoneo a prevenire quel tipo di illecito. Le conseguenze sono draconiane: sanzioni pecuniarie che possono raggiungere milioni di euro, interdizione dall’esercizio dell’attività, e, nei casi più gravi, la confisca del profitto del reato, che potrebbe coincidere con il valore dell’intera operazione societaria. Di fronte a un’accusa del genere, difendersi è complesso. L’azienda deve dimostrare non solo di aver adottato un modello, ma che questo era efficace e che l’Organismo di Vigilanza ha agito con la dovuta diligenza. Spesso, i modelli tradizionali, basati su procedure cartacee e controlli a campione, si rivelano inadeguati a fornire una prova solida.
Qui si manifesta la differenza più radicale. Un’impresa che si affida a un ecosistema sovrano autonomo non si limita a “dichiarare” la propria compliance, la “dimostra” scientificamente. In un eventuale procedimento penale, sarebbe in grado di produrre una ricostruzione causale scientifica dell’accaduto. Attraverso log inalterabili, registri di accessi, alert documentati e workflow decisionali tracciati, l’azienda potrebbe provare che il suo sistema organizzativo era stato progettato per impedire quella specifica violazione. Potrebbe dimostrare, ad esempio, che l’alert sulla natura strategica dell’asset era stato generato e notificato ai vertici, e che la decisione di procedere con una notifica reticente è stata una forzatura individuale che ha deliberatamente aggirato i presidi di controllo. Questo sposta l’onere della prova e può disinnescare la responsabilità dell’ente, concentrando le conseguenze sulla persona fisica che ha commesso l’illecito e proteggendo il patrimonio e la continuità aziendale.
I numeri della relazione, al di là dei casi patologici, raccontano anche una storia di ordinaria burocrazia e incertezza. 404 notifiche si sono concluse con una delibera di non esercizio dei poteri speciali e ben 443 con una decisione di non applicabilità della normativa. In totale, 847 procedimenti, quasi l’80% del totale, si sono risolti senza alcun intervento del Governo. Questo significa che centinaia di aziende hanno dovuto comunque affrontare un iter amministrativo complesso e costoso, immobilizzando risorse legali e manageriali per settimane, solo per sentirsi dire che la loro operazione era fuori dal perimetro di rischio o, pur essendoci, non destava preoccupazioni. Anche in questi casi, un’analisi predittiva interna avrebbe potuto fornire un grado di confidenza molto elevato sull’esito del procedimento, consentendo una gestione più serena e un’allocazione di risorse più efficiente.
Infine, un dato spesso trascurato è quello delle 78 operazioni attuate all’interno del medesimo gruppo societario. Anche un semplice riassetto infragruppo, se coinvolge società che detengono asset strategici, è soggetto a notifica. La complessità delle strutture multinazionali rende facile perdere traccia del valore strategico di una controllata o di una divisione, con il rischio di omettere una notifica obbligatoria per un’operazione percepita come puramente amministrativa. Il monitoraggio massivo e continuo di tutti gli asset aziendali, come quello garantito da protocolli avanzati, previene questa tipologia di svista, mappando costantemente il perimetro di rilevanza strategica e segnalando in automatico ogni operazione che lo interseca, anche se interna al gruppo. La relazione 2025, analizzata dalla REDAZIONE SCUDO231, non è solo una fotografia statistica; è un monito. Dimostra che la conformità alla normativa Golden power non è più un adempimento delegabile a consulenti esterni all’ultimo minuto, ma un processo integrato e continuo di gestione del rischio strategico che, se non governato con strumenti adeguati, può trasformare un’opportunità di crescita in una minaccia esistenziale per l’impresa.