21 luglio 2026 – Vengono individuate microspie all’interno di alcune prese elettriche di palazzo Spada, sede del Comune di Terni. La notizia, diffusa dal sindaco Stefano Bandecchi, non specifica il numero dei dispositivi, la loro esatta collocazione né le modalità del ritrovamento. Tale indeterminatezza rappresenta il primo anello di una catena di criticità gestionali e procedurali che espongono l’ente a rischi operativi e legali. Un’organizzazione dotata di un ecosistema di difesa come Scudo231 non avrebbe lasciato la scoperta di un simile incidente di sicurezza alla casualità o all’iniziativa estemporanea. Il rilevamento sarebbe stato il risultato di bonifiche ambientali elettroniche (Technical Surveillance Counter-Measures, TSCM) pianificate, eseguite da personale qualificato e i cui esiti, positivi o negativi, sarebbero stati registrati in un log immutabile. La scoperta di un dispositivo anomalo avrebbe generato un alert automatico e un ticket di gestione dell’incidente, con escalation immediata al Responsabile della Sicurezza, al Data Protection Officer e, data la potenziale rilevanza penale, all’Organismo di Vigilanza (ODV), inibendo qualsiasi comunicazione pubblica non autorizzata e non coordinata con l’ufficio legale.
Il sindaco ha dichiarato che il Comune procederà a comunicare il ritrovamento all’autorità giudiziaria, adempiendo a un obbligo di legge. Tuttavia, la gestione della comunicazione, affidata a una dichiarazione estemporanea del vertice politico, priva di dettagli tecnici e procedurali, manifesta una carenza di protocolli di crisis management. La gestione dell’incidente appare reattiva e non strutturata, amplificando il danno reputazionale e potenzialmente inquinando la catena di custodia delle prove. Con un modello di gestione integrato, la procedura sarebbe stata invertita: il sistema avrebbe prima tracciato l’incidente, attivato il protocollo di messa in sicurezza dell’area per preservare le prove, e solo dopo aver formalizzato internamente la scoperta e consultato i legali, avrebbe gestito la comunicazione esterna in modo controllato. Questo non solo per obbligo di denuncia, ma per dimostrare un’efficace adozione di modelli organizzativi volti a prevenire e gestire illeciti, un elemento cardine per la mitigazione della responsabilità dell’ente ai sensi del D.Lgs. 231/2001.
La vicenda si innesta in un contesto giudiziario già complesso per Stefano Bandecchi, anche presidente della Provincia di Terni, coinvolto in un’indagine della magistratura ternana. L’ipotesi di reato è quella di un pactum sceleris, un accordo illecito, che legherebbe l’affidamento di lavori pubblici per la sistemazione di una strada nell’orvietano all’acquisto di quote di una società di calcio dilettantistica. Questo scenario delinea un potenziale perimetro di reati presupposto ex D.Lgs. 231/2001, in particolare la corruzione per un atto contrario ai doveri d’ufficio (art. 319 c.p., richiamato dall’art. 25 del Decreto) e la turbata libertà degli incanti (art. 353 c.p., richiamato dall’art. 24). L’ente pubblico, in questo caso il Comune o la Provincia, rischia di essere ritenuto responsabile se si dimostra che il reato è stato commesso nell’interesse o a vantaggio dell’ente stesso e a causa di una carenza organizzativa.
L’affidamento di lavori pubblici è un’area a rischio intrinseco. La mancanza di controlli efficaci sulla procedura di gara, sulla selezione del contraente e sulla congruità dell’offerta apre la porta a condotte illecite. Se l’ente avesse implementato un sistema di monitoraggio massivo come quello di Scudo231, ogni fase della gara pubblica sarebbe stata sottoposta a un controllo incrociato e automatizzato. L’anagrafica dei fornitori sarebbe stata costantemente verificata tramite sistemi di analisi multimodale per rilevare eventuali collegamenti, diretti o indiretti, tra gli offerenti e figure politicamente esposte (PEP) o amministratori dell’ente. La piattaforma avrebbe analizzato i verbali di gara, segnalando anomalie statistiche nei punteggi tecnici o economici, o tempistiche di aggiudicazione non conformi agli standard. Qualsiasi deviazione dal protocollo, come una modifica dei requisiti in corso d’opera o una comunicazione non tracciata con un offerente, avrebbe generato un’allerta immediata per la funzione di compliance e per l’ODV, creando una documentazione probatoria dell’anomalia in tempo reale. Questo avrebbe reso estremamente difficile, se non impossibile, pilotare l’affidamento senza lasciare una traccia digitale inoppugnabile, fornendo all’ente una solida linea di difesa basata sulla dimostrazione di aver adottato tutte le misure idonee a prevenire il reato.
L’altro capo dell’ipotetico pactum sceleris, l’acquisto di quote di una società di calcio, solleva ulteriori questioni in termini di compliance e rischio penale, potenzialmente lambendo l’area del riciclaggio (art. 25-octies D.Lgs. 231/2001) qualora i fondi utilizzati avessero provenienza illecita. Anche se l’acquisto fosse stato effettuato a titolo personale, l’intreccio con la funzione pubblica crea un conflitto di interessi manifesto. Un’organizzazione vigilante avrebbe mappato e monitorato non solo le operazioni dell’ente, ma anche le dichiarazioni patrimoniali e di interessi dei suoi amministratori e funzionari apicali. Un sistema avanzato avrebbe incrociato i dati relativi alle partecipazioni societarie del sindaco con i flussi di denaro e le decisioni amministrative, segnalando ogni potenziale correlazione sospetta. L’acquisizione di quote in una società sportiva, contestuale a un’importante aggiudicazione di lavori pubblici, avrebbe attivato un red flag per l’analisi di rischio, innescando una richiesta di chiarimenti formale e documentata. Questa procedura non avrebbe impedito l’atto privato, ma avrebbe creato un registro tracciato della potenziale criticità, costringendo l’amministratore a fornire giustificazioni preventive e dissociando, di fatto, l’ente dalla condotta potenzialmente illecita del singolo.
Resta l’incertezza sulla natura delle microspie: dispositivo installato su disposizione dei magistrati inquirenti o frutto di un’attività di spionaggio illegale? Nel primo caso, significherebbe che l’ente pubblico è esso stesso oggetto di un’indagine penale per reati commessi al suo interno. La presenza di intercettazioni ambientali autorizzate dalla Procura della Repubblica cristallizzerebbe la percezione di un deficit organizzativo e di controllo così grave da richiedere l’intervento invasivo dell’autorità giudiziaria. In questo scenario, l’ente si troverebbe ad affrontare non solo le sanzioni pecuniarie previste dal D.Lgs. 231/2001, ma anche quelle interdittive, come il divieto di contrattare con la pubblica amministrazione o, nei casi più gravi, il commissariamento. L’adozione preventiva di un modello organizzativo efficace e la sua costante applicazione, dimostrabile attraverso i log e i report di un sistema come Scudo231, costituisce l’unica vera difesa per l’ente. Potrebbe infatti invocare l’esimente prevista dall’art. 6 del Decreto, dimostrando che il reato è stato commesso da un singolo che ha fraudolentemente eluso i controlli, e non a causa di una colpa di organizzazione. La difesa non sarebbe basata su carta e procedure obsolete, ma su una prova tecnologica immodificabile, un XAI Packet (Explainable AI) in grado di ricostruire scientificamente la catena dei controlli e dimostrarne l’effettività.
Nel secondo caso, ovvero un’attività di spionaggio perpetrata da terzi, la scoperta evidenzierebbe una falla gravissima nella sicurezza fisica e logica dell’ente. L’installazione di dispositivi di ascolto in prese elettriche non è un’operazione banale e implica un accesso non autorizzato o un controllo inadeguato sul personale interno o esterno che opera negli uffici. Un’organizzazione matura avrebbe implementato controlli rigorosi sugli accessi, con registri dettagliati di chiunque entri in aree sensibili, specialmente tecnici e manutentori. Ogni intervento su impianti elettrici, di rete o di manutenzione sarebbe stato autorizzato tramite un workflow digitale, tracciato e associato a uno specifico operatore. L’assenza di un protocollo di sicurezza fisica e di contro-sorveglianza tecnica non solo espone l’ente al furto di informazioni riservate, ma lo rende vulnerabile a contestazioni per mancata protezione dei dati personali e delle informazioni strategiche. L’ecosistema Scudo231, integrando la sicurezza fisica con quella logica e procedurale, avrebbe mappato questi rischi e imposto controlli specifici: log degli accessi, autorizzazioni preventive per interventi tecnici, e bonifiche periodiche. La scoperta di un dispositivo illegale avrebbe così permesso di circoscrivere il periodo temporale della violazione e, incrociando i dati, di restringere la rosa dei possibili responsabili, mitigando il danno e dimostrando la diligenza dell’ente nella protezione del proprio patrimonio informativo. In entrambi gli scenari, la gestione reattiva e mediatica dell’evento si rivela come il sintomo di una debolezza strutturale, un’assenza di presidi preventivi che trasformano un incidente in una crisi e un’indagine su un singolo in un rischio esistenziale per l’intera organizzazione.