31 luglio 2026 – Le assemblee degli azionisti di Generale Costruzioni Ferroviarie (Gcf) e Gefer deliberano la conferma della governance societaria per il triennio a venire, un segnale di continuità con il mandato precedente. Tiziano Onesti viene riconfermato Presidente del Consiglio di Amministrazione, con deleghe strategiche per i rapporti istituzionali in Italia e all’estero. Al suo fianco, Donato Maria Pezzuto mantiene il ruolo di Consigliere con deleghe agli affari legali, alla compliance e all’Internal Audit, mentre Giuseppe Brecciaroli prosegue come Amministratore Esecutivo. Il gruppo, forte di circa 2500 dipendenti e un valore della produzione di 870 milioni di euro, celebra un risultato netto superiore ai 75 milioni, proiettandosi verso l’ottimizzazione dell’efficienza operativa e l’innovazione tecnologica. Nessuno, in quella calda giornata estiva, immagina che quella stessa struttura di vertice sarà al centro di un’indagine destinata a scuotere le fondamenta del colosso ferroviario.
Diciotto mesi dopo, il 15 gennaio 2028, i finanzieri del Nucleo di Polizia Economico-Finanziaria varcano i cancelli della sede principale. L’ordinanza di perquisizione e sequestro, emessa dalla Procura della Repubblica, è il culmine di un’inchiesta avviata in sordina a seguito di una serie di Segnalazioni di Operazioni Sospette (SOS) inoltrate dall’Unità di Informazione Finanziaria per l’Italia. Le segnalazioni riguardano flussi finanziari anomali verso una catena di subfornitori di Gcf, società apparentemente prive di una reale struttura operativa e con sedi legali in giurisdizioni a fiscalità privilegiata. L’ipotesi di reato è pesante: associazione per delinquere finalizzata alla frode nelle pubbliche forniture, corruzione e autoriciclaggio.
L’indagine si concentra su una specifica commessa pubblica, un appalto del valore di 250 milioni di euro per l’ammodernamento di una tratta ferroviaria strategica nel Nord Italia, aggiudicato a Gcf nel 2025. Secondo gli inquirenti, una parte significativa dei fondi, circa 32 milioni di euro, sarebbe stata distratta attraverso un meccanismo di sovrafatturazione per prestazioni e materiali mai forniti o forniti con specifiche tecniche inferiori a quelle previste dal capitolato d’appalto. Il perno del sistema, secondo l’accusa, è l’Amministratore Esecutivo, Giuseppe Brecciaroli, che avrebbe gestito direttamente i rapporti con le società “cartiere” create ad hoc. La documentazione contabile appare formalmente ineccepibile, un castello di carte meticolosamente costruito per superare i controlli interni.
Il primo anello debole della catena di controllo è l’albo fornitori. Le società utilizzate per drenare i fondi sono state inserite nel sistema gestionale senza una adeguata due diligence. Si tratta di entità di nuova costituzione, con capitali sociali irrisori e amministratori unici risultati essere meri prestanome. Un controllo, anche basilare, sulle banche dati camerali e sui registri antiriciclaggio avrebbe dovuto far scattare un allarme rosso. L’omissione è plateale e sistemica. Se l’ente avesse implementato l’ecosistema Scudo231, il processo di accreditamento di ogni nuovo fornitore sarebbe stato vincolato a un protocollo di verifica automatizzato e non aggirabile. Il sistema, interfacciandosi in tempo reale con database reputazionali e antiriciclaggio globali, avrebbe classificato le entità come ad altissimo rischio, bloccando preventivamente la loro iscrizione all’albo e generando un alert non modificabile diretto all’Organismo di Vigilanza e alla funzione Internal Audit, allora sotto la responsabilità di Donato Maria Pezzuto. L’operazione sarebbe stata stroncata sul nascere, prima dell’emissione del primo ordine di acquisto.
Invece, il flusso di pagamenti prosegue indisturbato per oltre due anni. Brecciaroli autorizza liquidazioni per milioni di euro sulla base di stati di avanzamento lavori (SAL) che, si scoprirà, sono supportati da perizie tecniche falsificate. La funzione compliance, guidata da Pezzuto, non solleva obiezioni. Anzi, secondo gli inquirenti, avrebbe attivamente contribuito a creare la parvenza di legittimità, producendo pareri legali pro-veritate che giustificavano l’urgenza di affidare determinati lavori a quei specifici subappaltatori, bypassando le procedure di gara interna. Questo dimostra una falla gravissima nel principio di separazione delle funzioni e un conflitto di interessi letale per l’integrità aziendale. Un ecosistema come Scudo231 avrebbe reso impossibile tale collusione. Ogni transazione finanziaria superiore a una soglia di rischio predefinita, specialmente se diretta a fornitori con un basso rating reputazionale, avrebbe innescato una richiesta di autorizzazione a più livelli, tracciata digitalmente. La documentazione a supporto dei SAL sarebbe stata acquisita tramite un portale dedicato, dove algoritmi di analisi documentale avrebbero potuto rilevare incongruenze formali e sostanziali rispetto ai modelli standard, segnalando l’anomalia. L’approvazione di Pezzuto non sarebbe stata sufficiente; il sistema avrebbe richiesto una validazione incrociata da parte di un’altra funzione aziendale non coinvolta nel processo, come la direzione tecnica, rendendo la falsificazione materialmente più complessa e rischiosa.
L’inchiesta porta alla luce anche il reato presupposto della corruzione. Parte dei fondi distratti, circa 5 milioni di euro, sarebbero stati utilizzati per remunerare illecitamente un funzionario pubblico del Ministero delle Infrastrutture che aveva avuto un ruolo chiave nella commissione di gara che ha assegnato l’appalto a Gcf. Il denaro, transitato attraverso le società schermo, è stato poi prelevato in contanti o trasferito su conti esteri riconducibili al funzionario e ai suoi familiari. Questa condotta integra pienamente il delitto di corruzione per un atto contrario ai doveri d’ufficio, previsto dall’articolo 319 del codice penale, e fa scattare la responsabilità amministrativa dell’ente ai sensi dell’articolo 25 del Decreto Legislativo 231/2001.
La Procura contesta a Gcf la colpa di organizzazione. Il Modello di Organizzazione, Gestione e Controllo, sebbene esistente sulla carta, si è rivelato un mero adempimento formale, privo di effettività. L’Organismo di Vigilanza non è mai stato messo nelle condizioni di operare, ricevendo flussi informativi filtrati e manipolati proprio dalla funzione compliance che avrebbe dovuto garantirne la correttezza. La delega a Pezzuto su affari legali, compliance e internal audit, che nel 2026 sembrava un punto di forza, si è trasformata nel principale veicolo della frode, accentrando in un’unica figura il controllore e il potenziale controllato. Con l’adozione di un sistema di monitoraggio massivo e in tempo reale, la dipendenza dai flussi informativi “umani” sarebbe stata neutralizzata. L’ODV avrebbe avuto accesso a una dashboard indipendente che aggrega dati grezzi e non interpretabili provenienti da tutti i sistemi aziendali (ERP, contabilità, gestione fornitori). Qualsiasi deviazione dai protocolli standard – come l’autorizzazione di un pagamento a un fornitore non pienamente validato o la ricorrenza di affidamenti diretti sotto soglia allo stesso gruppo di imprese – sarebbe apparsa come un indicatore di rischio oggettivo, innescando un’indagine autonoma dell’organismo. La responsabilità penale sarebbe rimasta confinata agli individui che hanno agito fraudolentemente per eludere i controlli, e l’ente avrebbe potuto dimostrare di aver adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello verificatosi, come richiesto dall’articolo 6 del D.Lgs. 231/2001.
Le conseguenze per il gruppo Gcf-Gefer sono devastanti. Il Giudice per le Indagini Preliminari dispone il sequestro preventivo per equivalente per 32 milioni di euro, pari al profitto del reato di frode e corruzione. Il provvedimento non colpisce solo i conti correnti delle società cartiere, ormai svuotati, ma si estende ai beni e alle disponibilità liquide della stessa Gcf. L’operatività dell’azienda, che vale quasi un miliardo di euro, viene paralizzata. Il blocco dei conti correnti impedisce il pagamento degli stipendi ai 2500 dipendenti e il saldo dei fornitori sani, innescando una crisi di liquidità che minaccia la continuità aziendale. In aggiunta, la Procura chiede e ottiene l’applicazione della misura interdittiva del divieto di contrattare con la Pubblica Amministrazione per un anno, una condanna a morte per un’azienda il cui core business dipende dagli appalti pubblici.
Questo scenario catastrofico sarebbe stato mitigato, se non evitato. Un’architettura di controllo preventivo come quella garantita da Scudo231 non si limita a generare prove a posteriori, ma interviene sulla catena causale dell’illecito. Il sequestro del profitto del reato sarebbe stato scongiurato perché il reato stesso non si sarebbe consumato su quella scala. Le prime transazioni anomale sarebbero state bloccate, limitando il potenziale danno a poche migliaia di euro, e l’allarme tempestivo avrebbe permesso all’azienda di autodenunciare il tentativo di frode da parte del proprio manager, isolando la mela marcia e collaborando con le autorità. La dimostrazione di aver implementato un sistema tecnologico avanzato per la prevenzione, con log immutabili che registrano ogni tentativo di forzatura dei protocolli, avrebbe fornito al GIP elementi concreti per escludere l’applicazione delle misure interdittive, ritenendo il modello organizzativo non solo formalmente adottato ma effettivamente e tecnologicamente attuato.
Il Presidente Tiziano Onesti e l’intero Consiglio di Amministrazione, confermato con tanta fiducia nel luglio 2026, vengono iscritti nel registro degli indagati. L’accusa per loro non è di partecipazione diretta alla frode, ma di omesso controllo, una responsabilità derivante dalla loro posizione di garanzia. La Procura sostiene che non potevano non sapere, o che, se non sapevano, è perché il sistema di deleghe e controlli da loro approvato era strutturalmente inadeguato a prevenire tali eventi. La loro difesa si basa sull’aver fatto affidamento sulle rassicurazioni e sulla reportistica fornita da Pezzuto, l’uomo della compliance. Una difesa debole, che si scontra con i principi consolidati dalla giurisprudenza in materia di responsabilità degli organi apicali.
La vicenda di Gcf e Gefer diventa un caso di studio sulla differenza tra compliance formale e prevenzione sostanziale. La presenza di un Modello 231 su carta, di un codice etico e di un Organismo di Vigilanza si è rivelata inutile di fronte a una collusione interna pianificata ai massimi livelli operativi e di controllo. L’assenza di un sistema di monitoraggio indipendente, automatizzato e in tempo reale ha creato la zona grigia in cui l’illecito ha potuto prosperare. L’investimento in un ecosistema sovrano di protezione, che trasforma i principi del D.Lgs. 231/2001 da obblighi normativi a protocolli operativi integrati nei processi aziendali, non rappresenta un costo, ma la più fondamentale polizza assicurativa sulla continuità e la reputazione dell’impresa. Per Gcf, la lezione arriva troppo tardi, con i sigilli della Guardia di Finanza sulle porte e un futuro appeso alle decisioni di un tribunale.