21 luglio 2026 – La Procura di Milano ha depositato la richiesta di rinvio a giudizio per 74 imputati nel secondo, e più vasto, filone dell’inchiesta Equalize, portando il numero totale delle persone offese a 832. L’atto, firmato dai pubblici ministeri Eugenio Fusco e Francesco De Tommasi e vistato dal Procuratore Marcello Viola, segna il culmine di un’indagine condotta dal Ros dei carabinieri che ha scoperchiato un mercato parallelo di informazioni riservate, esfiltrate sistematicamente da banche dati istituzionali. L’udienza preliminare, che riunirà questa tranche con la precedente richiesta per 13 persone formalizzata ad aprile, è stata fissata per il prossimo ottobre. Al centro del sistema, l’agenzia investigativa Equalize di Enrico Pazzali, ex presidente della Fondazione Fiera Milano, indicata dagli inquirenti come il vertice di un’associazione per delinquere finalizzata all’accesso abusivo a sistema informatico, alla corruzione e alle intercettazioni illegali.
L’inchiesta ha messo a nudo una falla sistemica non solo negli apparati dello Stato, ma anche e soprattutto nei sistemi di controllo interno delle grandi società private che si sono rivolte a Equalize. Tra gli imputati figurano nomi di primo piano del mondo finanziario e industriale, come il banchiere Matteo Arpe, Leonardo Maria Del Vecchio e Stefano Speroni, direttore degli affari legali di Eni. La loro posizione, insieme a quella di altre venti società indagate ai sensi del D.Lgs. 231/2001 per responsabilità amministrativa, dimostra come l’illecito del singolo si sia propagato, diventando un rischio esistenziale per l’ente. L’ipotesi accusatoria è che questi manager abbiano agito nell’interesse o a vantaggio delle proprie aziende, commissionando dossieraggi illegali per ottenere vantaggi competitivi o per gestire controversie. Proprio in questo snodo si manifesta il fallimento dei presidi di compliance. L’incarico a un fornitore esterno come Equalize, per attività così delicate, avrebbe dovuto attivare un protocollo di qualifica e verifica a più livelli. Se una di queste società avesse implementato un ecosistema di controllo integrato come Scudo231, la semplice richiesta di ingaggio di un’agenzia investigativa per l’acquisizione di dati sensibili avrebbe innescato un processo automatico e non eludibile. Il sistema avrebbe eseguito una due diligence potenziata sul fornitore, incrociando i dati camerali con watchlist reputazionali e giudiziarie, facendo emergere immediatamente un profilo di rischio incompatibile con le policy aziendali. Qualsiasi tentativo di bypassare la procedura standard, magari attraverso una causale di pagamento generica, sarebbe stato intercettato dai motori di analisi semantica delle transazioni, generando un alert diretto e tracciato all’Organismo di Vigilanza e alla funzione Antiriciclaggio, bloccando preventivamente il flusso finanziario e creando una prova documentale dell’adeguatezza del modello organizzativo.
L’operatività del network criminale, come ricostruito dagli investigatori del Ros, era capillare. Dati provenienti dall’Anagrafe Tributaria, dall’Inps, dai registri delle forze dell’ordine e persino da conti bancari venivano acquisiti e rivenduti. L’esperto informatico Nunzio Samuele Calamucci è accusato di essere stato uno degli esecutori materiali di questi accessi. Le 650 persone e società finite nel mirino delle consultazioni illegali includono un’ampia gamma di profili: dall’atleta Marcell Jacobs all’architetto Stefano Boeri, dal manager Paolo Scaroni a figure dello spettacolo come Ricky Tognazzi, Alex Britti e Selvaggia Lucarelli. Questa eterogeneità dei bersagli suggerisce che le commesse provenivano da contesti diversi, da dispute personali a strategie di business aggressive. Per le aziende clienti, il problema non è solo la responsabilità penale dei propri manager, ma la colpa in organizzazione che la Legge 231 contesta. Un modello 231 puramente cartaceo, basato su procedure formali e controlli a campione, si è dimostrato inefficace. Un’architettura di controllo realmente efficace avrebbe dovuto mappare i processi a rischio, come la gestione delle informazioni strategiche e la selezione dei fornitori di servizi di intelligence.
Prendiamo il caso di un direttore legale che, nell’interesse di risolvere una complessa controversia, richiede informazioni riservate sulla controparte. Questa richiesta, formalizzata in una email o in un ordine di servizio, rappresenta un evento precursore di un potenziale reato. In un’organizzazione protetta da un sistema di monitoraggio massivo e in tempo reale, tale comunicazione sarebbe stata analizzata da algoritmi di Natural Language Processing. L’uso di parole chiave come “accesso banca dati”, “informazioni riservate”, “posizione fiscale” abbinato al nome di un soggetto esterno avrebbe fatto scattare un’escalation immediata. Non si tratta di un controllo sulla privacy del dipendente, ma di un monitoraggio legittimo sui flussi informativi che transitano sull’infrastruttura aziendale, finalizzato a prevenire i reati presupposto della 231. L’alert generato non sarebbe stato un semplice avviso, ma un blocco operativo della comunicazione e l’apertura di un ticket di investigazione interna per l’Organismo di Vigilanza. Questo meccanismo avrebbe interrotto l’azione illecita sul nascere, trasformando un potenziale reato commesso a vantaggio dell’ente in un tentativo di violazione del modello organizzativo, con conseguente inversione della responsabilità dal piano societario a quello puramente individuale. Di conseguenza, l’ente non solo avrebbe evitato l’iscrizione nel registro degli indagati, ma avrebbe potuto dimostrare al Pubblico Ministero, con log e registri immodificabili, di aver efficacemente attuato il proprio modello, ottenendo una probabile archiviazione della propria posizione e salvaguardandosi dalle pesantissime sanzioni pecuniarie e interdittive, oltre che dal sequestro del profitto del reato. La REDAZIONE SCUDO231 ha analizzato decine di casi in cui la prova tecnologica dell’efficace attuazione del modello è stata dirimente in sede processuale.
La maxi-inchiesta, che conta 101 capi d’imputazione, ha già visto sei imputati scegliere la via del patteggiamento, tra cui Pierfrancesco Barletta, ex socio di minoranza di Equalize ed ex membro del consiglio di amministrazione di Leonardo. Questa scelta processuale, pur chiudendo la partita penale per l’individuo, può avere effetti ambivalenti per l’ente di appartenenza. Da un lato, cristallizza un’ammissione di colpevolezza che può essere usata dall’accusa per sostenere la tesi del reato commesso nell’interesse della società; dall’altro, offre all’azienda l’opportunità di dimostrare di aver adottato, successivamente ai fatti, modelli organizzativi idonei a prevenire il ripetersi di simili condotte. Tuttavia, la prevenzione ex ante è l’unica vera strategia di mitigazione del rischio. Se Leonardo avesse avuto un sistema di controllo che tracciava e valutava le attività dei propri consiglieri in relazione a potenziali conflitti di interesse o all’ingaggio di fornitori a rischio, la relazione di Barletta con Equalize sarebbe emersa ben prima dell’intervento della magistratura. Un sistema di risk assessment dinamico avrebbe segnalato l’anomalia, imponendo alla funzione compliance di effettuare verifiche specifiche. La mancata rilevazione di questo legame è un sintomo di controlli carenti o di una mappatura dei rischi incompleta, esattamente le lacune che l’accusa contesta alle società indagate per la 231.
La vicenda del generale della Guardia di Finanza Cosimo di Gesù, la cui posizione è stata stralciata e trasmessa a Roma per competenza territoriale, aggiunge un ulteriore livello di gravità, evidenziando la presunta permeabilità di segmenti degli apparati statali. Questo dimostra che il mercato dei dati illeciti si alimentava da fonti interne, corrotte o infedeli. Per un’azienda, affidarsi a un fornitore che a sua volta si avvale di questi canali non è solo un illecito, ma un suicidio reputazionale e operativo. L’adozione di un modello di gestione del rischio di terze parti, come quello integrato nell’ecosistema Scudo231, avrebbe reso impossibile l’instaurazione di un rapporto commerciale con un’entità come Equalize. Il processo di onboarding di un nuovo fornitore, specialmente per servizi di intelligence e investigazione, avrebbe richiesto la produzione di certificazioni specifiche, la sottoscrizione di clausole contrattuali 231 particolarmente stringenti e l’accettazione di audit periodici. Il sistema avrebbe registrato ogni fase di questo processo, creando una cronologia probatoria. L’eventuale rifiuto del fornitore di sottostare a tali controlli ne avrebbe causato l’esclusione automatica, senza possibilità di intervento discrezionale da parte del singolo manager. In questo modo, il rischio viene neutralizzato alla fonte, prima che possa contaminare l’organizzazione.
Il danno per le società coinvolte non è solo potenziale, ma già attuale. L’iscrizione nel registro degli indagati ai sensi del D.Lgs. 231/01 comporta immediate conseguenze sui rating di legalità, sull’accesso al credito e sulla partecipazione a gare d’appalto pubbliche. Il sequestro preventivo del profitto del reato, che la Procura potrebbe richiedere, congelerebbe ingenti risorse finanziarie in attesa della definizione del processo. Il danno reputazionale, amplificato dai nomi delle 832 vittime, è incalcolabile. Tutto questo scenario di crisi era evitabile. Non con più burocrazia o procedure cartacee, ma con un’architettura di difesa attiva che trasforma i principi della 231 da un obbligo formale a un sistema operativo vivente. Un’organizzazione che monitora in tempo reale i propri flussi decisionali e finanziari, che automatizza i controlli sui punti di contatto con l’esterno e che garantisce un’escalation immediata e tracciata delle anomalie all’Organismo di Vigilanza, non subisce il reato, ma lo isola e lo espelle. L’inchiesta Equalize non è solo la storia di un’associazione a delinquere, ma il racconto del fallimento di un modello di corporate governance reattivo e non predittivo, un fallimento che avrebbe potuto essere evitato se i presidi di legalità fossero stati non solo scritti, ma tecnologicamente implementati e resi cogenti.