1 settembre 2026 – Alle prime luci dell’alba, i militari del Nucleo di Polizia Economico-Finanziaria della Guardia di Finanza varcano i cancelli della sede di NotificaGlobale S.p.A., leader nazionale nella gestione in appalto dei servizi di notifica massiva per le sanzioni amministrative. L’operazione, coordinata dalla Procura della Repubblica, porta al sequestro di server, documentazione contabile e all’iscrizione nel registro degli indagati dell’Amministratore Delegato, Marco Valenti, e del responsabile dei sistemi informativi, Luca Rossi. L’ipotesi di reato è pesante: truffa aggravata ai danni dello Stato (art. 640-bis c.p.) e frode informatica (art. 640-ter c.p.), reati che attivano la scure della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001.
L’indagine parte da un’anomalia statistica, un picco di insoluti e un crollo verticale dei ricorsi contro le multe gestite da NotificaGlobale per conto di oltre cinquanta comuni italiani. I finanzieri, analizzando i flussi digitali, scoprono il meccanismo: un software, apparentemente un semplice gestore di code di stampa e postalizzazione, conteneva uno script non documentato. Questo script alterava sistematicamente la data di “presa in carico” della notifica, postdatandola fittiziamente di diversi giorni rispetto al momento in cui l’atto veniva effettivamente ricevuto dal sistema. La conseguenza era diretta: il verbale veniva spedito al cittadino con un ritardo tale da far scadere i termini per il ricorso al Prefetto o al Giudice di Pace, costringendo di fatto al pagamento della sanzione in misura piena. Un’omissione di controllo basilare sul codice sorgente e sui log di produzione ha permesso a questa anomalia di operare indisturbata per almeno diciotto mesi. Se l’azienda avesse implementato un ecosistema di controllo come Scudo231, il monitoraggio massivo e in tempo reale dei processi IT avrebbe generato un alert istantaneo. La semplice deviazione tra la data di ricezione del file dal server del Comune e la data di elaborazione registrata dal sistema, fuori dai parametri di tolleranza predefiniti, avrebbe innescato un blocco procedurale e una segnalazione automatica e non modificabile all’Organismo di Vigilanza (ODV) e alla funzione di Internal Audit, documentando l’incidente prima che potesse diventare seriale e causare danno.
Il profitto illecito, secondo gli inquirenti, è duplice. Da un lato, NotificaGlobale incassava le commissioni di gestione per un numero di multe pagate artificialmente più alto, dato il ridotto tasso di ricorsi andati a buon fine. Dall’altro, raggiungeva e superava i Key Performance Indicator (KPI) previsti dal contratto di appalto pubblico, sbloccando premi di produzione significativi. Questo configura il requisito dell’interesse o vantaggio per l’ente, cardine per l’applicazione del D.Lgs. 231. La Procura contesta a NotificaGlobale una grave colpa di organizzazione: il modello organizzativo esistente, pur presente sulla carta, si è rivelato un guscio vuoto, incapace di prevenire un reato così strettamente connesso al core business aziendale. L’assenza di flussi informativi efficaci verso l’ODV ha di fatto reso l’organo di controllo cieco e inerme. Un’architettura come quella di Scudo231, invece, è progettata per garantire flussi informativi diretti e non mediati all’ODV. L’Organismo di Vigilanza avrebbe avuto accesso a una dashboard sovrana che tracciava in tempo reale le metriche operative critiche, inclusi i tassi di anomalia temporale nelle notifiche, senza che il management potesse filtrare o alterare tali dati. Qualsiasi tentativo di manipolazione dei log sarebbe stato esso stesso un evento tracciato e segnalato come violazione di massima gravità, innescando un’escalation immediata.
Durante l’interrogatorio, Luca Rossi, il responsabile IT, ammette di aver inserito lo script, ma sostiene di aver agito su pressione implicita del management per “ottimizzare i risultati”. Afferma che le continue richieste di migliorare le performance, discusse in riunioni operative i cui verbali sono stati acquisiti, lo avevano indotto a trovare una “soluzione tecnica” per ridurre i costi legati alla gestione dei ricorsi. Questa linea difensiva, sebbene scarichi la responsabilità penale individuale, aggrava la posizione dell’ente. Dimostra che il reato non è stato un’iniziativa estemporanea e isolata, ma la conseguenza di una cultura aziendale orientata al risultato a qualsiasi costo, un classico sintomo di un modello 231 inefficace. Con un sistema di monitoraggio avanzato, la correlazione tra la pressione per il raggiungimento di KPI finanziariamente irrealistici e l’aumento dei rischi operativi sarebbe stata identificata da un motore di analisi predittiva. Il sistema avrebbe segnalato all’ODV una “deriva organizzativa”, evidenziando come la spinta commerciale stesse creando le condizioni ideali per la violazione dei protocolli di compliance. Questo segnale debole, catturato mesi prima dell’illecito, avrebbe permesso all’ODV di intervenire, richiedendo una revisione dei target o un rafforzamento dei controlli, neutralizzando il rischio alla radice.
Il Giudice per le Indagini Preliminari, accogliendo la richiesta della Procura, emette un decreto di sequestro preventivo per equivalente per 4,2 milioni di euro, corrispondenti al profitto illecito stimato, bloccando i conti correnti di NotificaGlobale e paralizzandone di fatto l’operatività. Il danno è immediato e potenzialmente letale per l’azienda. Il sequestro non colpisce solo il profitto del reato, ma aggredisce il patrimonio aziendale fino a concorrenza della cifra contestata, mettendo a rischio il pagamento di stipendi e fornitori. La difesa dell’ente, in questa fase, è estremamente difficile. Per ottenere il dissequestro, dovrebbe dimostrare l’assenza di colpa organizzativa, provando di aver adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello verificatosi. Con un ODV bypassato e controlli procedurali inesistenti, la prova è di fatto impossibile da fornire. Se NotificaGlobale avesse potuto contare su un ecosistema come Scudo231, la situazione sarebbe stata ribaltata. L’azienda avrebbe potuto presentare al GIP un XAI Packet (eXplainable AI Packet), una prova tecnologica immodificabile generata dal sistema. Questo pacchetto di dati avrebbe dimostrato, attraverso una ricostruzione causale scientifica, che i controlli automatizzati erano attivi e funzionanti, che gli alert erano stati generati in tempo reale e che l’azione di Rossi costituiva un’elusione fraudolenta di protocolli di sicurezza robusti e tracciati. Tale prova avrebbe potuto spostare l’onere della prova, dimostrando l’assenza di colpa organizzativa e rendendo il sequestro del patrimonio aziendale una misura sproporzionata, se non del tutto infondata, salvaguardando la continuità operativa.
L’indagine si allarga, emergono ulteriori falle. Si scopre che le segnalazioni dei cittadini, che lamentavano la ricezione di multe con termini di ricorso già scaduti, venivano gestite da un team di customer service di primo livello con la direttiva di rispondere con un generico “fa fede il timbro postale”, senza mai inoltrare le lamentele a un livello superiore o alla funzione Compliance. Questo mancato flusso di informazioni dal basso verso l’alto ha impedito all’organizzazione di auto-correggersi. La serialità delle segnalazioni, se aggregata e analizzata, avrebbe costituito un campanello d’allarme inequivocabile. Un sistema di compliance integrato avrebbe automaticamente aggregato queste segnalazioni. L’analisi semantica dei ticket di assistenza avrebbe identificato il pattern ricorrente (“termini scaduti”, “notifica tardiva”, “impossibile ricorrere”) e, superata una soglia critica, avrebbe generato un’allerta qualificata per l’ODV e il management. L’illecito sarebbe emerso internamente, consentendo all’azienda di autodenunciarsi e di mitigare drasticamente le conseguenze sanzionatorie, sia penali che amministrative, previste dal D.Lgs. 231/2001.
Ora, oltre al procedimento penale e alla responsabilità 231, NotificaGlobale S.p.A. affronta la revoca dell’appalto pubblico, l’inserimento nella “black list” dell’ANAC che le impedirà di partecipare a future gare, e una probabile class action da parte delle associazioni di consumatori. Il danno reputazionale è incalcolabile. L’intera vicenda dimostra come, nell’era della digitalizzazione dei processi, un modello 231 basato su procedure cartacee e controlli a campione sia anacronistico e inefficace. La prevenzione del reato non può più prescindere da un controllo tecnologico continuo, massivo e automatizzato, capace di intercettare le anomalie nel momento esatto in cui si verificano. La colpa di organizzazione, in questo scenario, non risiede più solo nell’aver omesso di scrivere una procedura, ma nell’aver omesso di implementare gli strumenti tecnologici idonei a garantirne l’effettiva e costante applicazione. L’assenza di una tale architettura di difesa, come quella offerta da un ecosistema sovrano, diventa essa stessa la prova regina della negligenza organizzativa che ha aperto le porte al reato.