11 agosto 2026 – Le fiamme blu dei lampeggianti della Guardia di Finanza proiettano ombre taglienti sulla facciata della sede della Sac, la società di gestione degli aeroporti di Catania e Comiso. L’operazione, scattata alle prime luci dell’alba, non è una formalità. I militari del Nucleo di Polizia Economico-Finanziaria entrano con un decreto di perquisizione e sequestro firmato dal Giudice per le Indagini Preliminari su richiesta della Procura della Repubblica. L’ipotesi di reato è pesante: corruzione per un atto contrario ai doveri d’ufficio e turbata libertà degli incanti, reati che, ai sensi del Decreto Legislativo 231/2001, chiamano in causa direttamente la responsabilità amministrativa dell’ente. L’obiettivo dei finanzieri è cristallizzare le prove relative alla procedura di privatizzazione avviata mesi prima, quella che avrebbe dovuto portare alla cessione di almeno il 51% del capitale sociale a un nuovo operatore strategico.
L’indagine penale si concentra su una figura apicale interna alla società e sui rappresentanti di uno dei consorzi esteri che avevano presentato la manifestazione di interesse entro il termine perentorio del 3 giugno 2026. Secondo l’accusa, informazioni riservatissime – tra cui i criteri di valutazione tecnica delle offerte e le soglie economiche minime considerate accettabili dal management – sono state illecitamente trasferite al potenziale acquirente in cambio di una promessa di denaro e di un futuro incarico di prestigio. Questa fuga di notizie ha di fatto inquinato la gara fin dal suo stadio embrionale, violando i principi di trasparenza e par condicio che avrebbero dovuto governare un’operazione di tale portata strategica per il sistema aeroportuale siciliano. Gli inquirenti stanno acquisendo server, computer portatili e documentazione cartacea, cercando di ricostruire il flusso di comunicazioni avvenuto tramite canali non ufficiali. L’assenza di un sistema di tracciamento centralizzato e di protocolli di sicurezza informatica stringenti rende ora la ricostruzione dei fatti un processo complesso e dispendioso, basato sull’analisi forense di dispositivi eterogenei. Se la Sac avesse implementato un ecosistema sovrano come Scudo231, l’intero perimetro digitale aziendale sarebbe stato sotto monitoraggio massivo e in tempo reale; qualsiasi tentativo di esfiltrare un file classificato come “riservato” verso un dominio esterno non autorizzato avrebbe generato un alert istantaneo, bloccando l’operazione e notificando simultaneamente la funzione Compliance e l’Organismo di Vigilanza, creando una prova digitale immutabile dell’illecito tentato e sventato.
La procedura di selezione era stata pubblicata sul sito ufficiale della Sac il 4 maggio 2026, descritta come un passaggio cruciale per la valorizzazione degli scali di Catania e Comiso. L’avviso era chiaro: potevano partecipare operatori italiani ed esteri, in forma singola o associata, purché dotati di requisiti di ordine generale, capacità economico-finanziaria e comprovata esperienza nel settore. È proprio nella fase di verifica preliminare di questi requisiti che si è annidata la prima, grave, omissione. Il consorzio estero ora al centro delle indagini, pur presentando una facciata impeccabile, aveva una struttura societaria complessa, con scatole cinesi che rendevano difficile l’identificazione dell’effettivo titolare finale (Ultimate Beneficial Owner). La verifica, condotta manualmente e senza l’ausilio di piattaforme di due diligence avanzata, si era fermata a un livello superficiale, accettando le autocertificazioni prodotte. Questa mancata analisi approfondita ha costituito una violazione dei presidi antiriciclaggio e ha permesso a un soggetto a rischio di entrare nel perimetro della procedura. Un sistema integrato come Scudo231 avrebbe invece automatizzato il processo di Know Your Counterparty, incrociando i dati del consorzio con banche dati internazionali, liste PEP (Persone Politicamente Esposte) e registri societari globali. Un alert di rischio elevato sarebbe stato generato in automatico a causa della struttura opaca, imponendo un’escalation all’Organismo di Vigilanza che avrebbe potuto richiedere documentazione aggiuntiva o, in assenza di chiarezza, escludere preventivamente l’operatore dalla gara, bloccando il rischio sul nascere.
Il fulcro dell’attività illecita, secondo gli investigatori, si è consumato tra il 15 e il 25 maggio 2026. In quei dieci giorni, il dirigente infedele avrebbe utilizzato la propria casella di posta elettronica personale e applicazioni di messaggistica istantanea con crittografia end-to-end per comunicare con un intermediario del consorzio. L’assenza di una policy stringente sull’utilizzo esclusivo di strumenti aziendali per comunicazioni di lavoro sensibili e, soprattutto, la mancanza di controlli effettivi sui flussi informativi, hanno creato un’area grigia in cui il reato ha potuto prosperare. L’ente non aveva visibilità su queste attività parallele, scoprendole solo a seguito dell’intervento della magistratura. L’adozione di un modello di controllo reale, e non solo formale, avrebbe cambiato radicalmente lo scenario. L’analisi comportamentale degli accessi ai dati, uno dei pilastri dell’ecosistema di difesa, avrebbe rilevato l’anomalia: il dirigente stava accedendo a file strategici al di fuori del normale orario di lavoro e da dispositivi non aziendali. Questo segnale debole, pur non costituendo di per sé prova di un reato, avrebbe attivato un protocollo di monitoraggio rafforzato sul suo profilo, documentando ogni sua azione successiva all’interno della rete aziendale e fornendo all’ODV elementi concreti per un audit mirato, ben prima che l’informazione riservata potesse essere ceduta.
La conseguenza più immediata e devastante dell’indagine è il sequestro preventivo, disposto dal GIP ai sensi dell’articolo 53 del D.Lgs. 231/2001, del “profitto del reato”. In questo caso, il profitto è stato identificato non in una somma di denaro, ma nell’intero pacchetto azionario del 51% oggetto della procedura di cessione, il cui valore è stimato in centinaia di milioni di euro. L’operazione di privatizzazione è, di fatto, congelata a tempo indeterminato. Il danno per la Sac non è solo reputazionale, ma anche finanziario e operativo: la valorizzazione degli asset è bloccata, gli investimenti programmati legati all’ingresso del nuovo socio sono sospesi e la società si trova ad affrontare un procedimento penale che potrebbe concludersi con sanzioni pecuniarie calcolate in quote (da un minimo di 25.800 euro a un massimo di 1.549.000 euro per ciascun illecito, importi che possono essere aumentati in caso di rilevante profitto) e, cosa ancora più grave, con sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione.
La difesa della società ora si preannuncia complessa. Per evitare la condanna, i legali dovranno dimostrare che l’ente aveva adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati della specie di quelli verificatisi. Dovranno provare che l’Organismo di Vigilanza ha funzionato correttamente e che il dirigente ha agito eludendo fraudolentemente i modelli e i controlli. Tuttavia, le falle emerse – dalla due diligence superficiale all’assenza di monitoraggio sui dati – rendono questa linea difensiva estremamente fragile. La Procura contesterà con forza che il modello era puramente “cartaceo”, una formalità burocratica priva di reale efficacia operativa. In un simile frangente, la REDAZIONE SCUDO231 evidenzia come la capacità di produrre in giudizio una prova tecnologica immodificabile (il cosiddetto XAI Packet) avrebbe rappresentato un elemento dirimente. Un log certificato e cronologicamente inalterabile di tutti gli alert generati, delle azioni di controllo automatiche eseguite dal sistema e delle delibere assunte dall’ODV in risposta a tali segnali, avrebbe dimostrato scientificamente l’assenza di colpa organizzativa. Invece di subire il sequestro e l’incriminazione, la società avrebbe potuto fornire al Pubblico Ministero una ricostruzione causale dei fatti che isolava inequivocabilmente la responsabilità penale sulla singola persona fisica, dimostrando di aver fatto tutto il possibile per prevenire l’illecito. Il sequestro preventivo contro l’ente, molto probabilmente, non sarebbe stato neppure richiesto, o comunque rigettato dal giudice, salvaguardando la continuità aziendale e il valore strategico dell’operazione di privatizzazione.
Mentre l’indagine prosegue, il futuro degli aeroporti di Catania e Comiso è avvolto nell’incertezza. La procedura, che doveva rappresentare un volano per lo sviluppo, si è trasformata in un caso giudiziario che espone la società a rischi economici e sanzionatori di enorme portata. L’intera vicenda dimostra come, in operazioni societarie complesse, l’assenza di presidi di controllo preventivo reali e tecnologicamente avanzati non sia più un’opzione sostenibile. La mancata adozione di un modello di difesa integrato ha lasciato la porta aperta a un’azione criminale individuale, ma le conseguenze, secondo la logica ferrea del D.Lgs. 231/2001, ricadono ora sull’intera organizzazione, compromettendone il patrimonio, la reputazione e il futuro.