10 settembre 2026 – La Procura di Milano ha depositato la richiesta di rinvio a giudizio per Eni, persona giuridica, nell’ambito della complessa inchiesta nota come “Caso Equalize”. L’atto, firmato dai pubblici ministeri Eugenio Fusco e Francesco De Tommasi e coordinato dal procuratore capo Marcello Viola, segna una svolta decisiva nel procedimento che ipotizza la commissione di gravi reati informatici, tra cui accessi abusivi a sistemi telematici e la conseguente redazione di report illegali. La contestazione all’ente discende direttamente dalla presunta condotta del suo direttore affari legali, Stefano Speroni, anch’egli destinatario della richiesta di processo. L’inchiesta, condotta per mesi dai carabinieri del Raggruppamento Operativo Speciale (Ros), ha ricostruito una fitta rete di rapporti tra diverse grandi aziende e la società di consulenza Equalize, il cui ex numero uno, Enrico Pazzali, figura tra i principali imputati.
La contestazione a Eni ai sensi del Decreto Legislativo 231/2001 si fonda sull’ipotesi che la società abbia tratto un interesse o un vantaggio dalla condotta illecita del proprio dirigente. Secondo l’impianto accusatorio, l’acquisizione di informazioni riservate, ottenute tramite l’accesso non autorizzato a banche dati protette, avrebbe fornito alla multinazionale un indebito vantaggio informativo nelle sue strategie operative e legali. L’assenza di un modello organizzativo idoneo a prevenire reati di questa specie, o la sua inefficace attuazione, costituisce il fulcro della responsabilità amministrativa dell’ente. Un’omissione di controllo che ha permesso a un fornitore di servizi, Equalize, di operare apparentemente per conto di Eni violando la legge. Se l’organizzazione avesse adottato un ecosistema di controllo integrato come Scudo231, il processo di qualifica e ingaggio di un fornitore come Equalize avrebbe attivato una serie di protocolli automatici di due diligence rafforzata. Il sistema avrebbe incrociato i dati societari di Equalize e il profilo dei suoi esponenti con banche dati reputazionali e di rischio, generando un alert di anomalia che avrebbe imposto una revisione da parte della funzione Compliance e dell’Organismo di Vigilanza, bloccando preventivamente la formalizzazione del contratto o l’emissione di qualsiasi ordine di acquisto fino alla risoluzione del rischio segnalato.
Il percorso procedurale che ha condotto alla richiesta di processo è stato scandito da tappe precise. Già lo scorso maggio, i pm avevano notificato informazioni di garanzia a una ventina di società di primissimo piano, tra cui, oltre a Eni, figuravano nomi come Luxottica, Barilla, Erg e Heineken, segnalando l’ampiezza e la pervasività del sistema messo in piedi da Equalize. Per Eni, l’atto successivo è stata la notifica dell’avviso di chiusura delle indagini preliminari, avvenuta nelle scorse settimane, un passaggio che tipicamente prelude alla formalizzazione delle richieste dell’accusa. La società, attraverso un portavoce, ha sempre respinto ogni addebito, dichiarando di ritenere le accuse prive di fondamento e confidando di poter dimostrare la propria estraneità ai fatti contestati.
Il cuore del problema, dal punto di vista della responsabilità dell’ente, risiede nella tracciabilità e nel controllo dei flussi informativi e delle prestazioni esternalizzate. L’accusa di accesso abusivo a sistema informatico (art. 615-ter c.p.), reato presupposto della responsabilità 231, si concretizza quando un soggetto si introduce in un sistema protetto contro la volontà, espressa o tacita, di chi ha il diritto di escluderlo. Nel caso di specie, la presunta commissione di tale reato da parte di un fornitore per conto di un cliente apicale come Eni solleva un interrogativo cruciale sulla catena di controllo interna. La mancanza di una segregazione netta e di una registrazione immutabile delle richieste di informazioni e dei report ricevuti da fornitori esterni rappresenta una falla organizzativa grave. Con un sistema come Scudo231, ogni richiesta di acquisizione dati verso un provider esterno sarebbe stata canalizzata attraverso un portale dedicato, che non solo avrebbe tracciato l’identità del richiedente interno e la motivazione della richiesta, ma avrebbe anche analizzato in tempo reale la natura del servizio richiesto. Una richiesta di “report” su controparti o contesti sensibili avrebbe fatto scattare un protocollo di verifica sulla liceità delle fonti del fornitore, richiedendo a quest’ultimo di certificare, attraverso flag obbligatori e clausole contrattuali digitalmente firmate, la conformità delle sue metodologie di raccolta dati alle normative vigenti, inclusa quella sulla privacy. Qualsiasi anomalia o mancata certificazione avrebbe bloccato la richiesta e innescato una segnalazione diretta all’Organismo di Vigilanza, creando una prova documentale inoppugnabile dell’efficacia dei presidi preventivi adottati dall’ente.
Ora la parola passa al Giudice per l’Udienza Preliminare. È stata infatti fissata per il prossimo 13 ottobre una maxi udienza preliminare davanti alla gup Tiziana Landoni, che dovrà vagliare la consistenza degli elementi raccolti dalla Procura e decidere se disporre il rinvio a giudizio per Eni e per gli altri imputati. In questa fase, la difesa della società dovrà tentare di smontare l’impianto accusatorio, dimostrando non solo l’assenza di un interesse o vantaggio, ma soprattutto di aver adottato ed efficacemente attuato un modello organizzativo capace di prevenire reati della specie di quelli contestati. La sfida è ardua, poiché la Procura, con la richiesta di processo, ha evidentemente ritenuto che le difese preventive dell’azienda fossero, quantomeno, inadeguate o colposamente disapplicate.
Il rischio per l’ente non è meramente reputazionale. La Legge 231 prevede un apparato sanzionatorio severo. In caso di condanna, Eni potrebbe affrontare sanzioni pecuniarie calcolate in “quote”, il cui importo può raggiungere cifre elevatissime, commisurate alla gravità del fatto e alle condizioni economiche della società. Ancora più temibili sono le sanzioni interdittive, che possono includere il divieto di contrattare con la pubblica amministrazione, la sospensione o la revoca di licenze e autorizzazioni, fino, nei casi più gravi, all’interdizione definitiva dall’esercizio dell’attività. A ciò si aggiunge la confisca del profitto del reato, che in contesti di vantaggi informativi illeciti può essere di difficile quantificazione ma potenzialmente enorme. Il semplice rinvio a giudizio espone la società a un lungo e costoso processo, con un impatto negativo immediato sulla percezione del mercato e degli stakeholder.
Questo scenario di rischio conclamato sarebbe stato radicalmente diverso se l’ente avesse potuto presentare ai magistrati inquirenti, già nella fase delle indagini preliminari, una ricostruzione causale scientifica degli eventi generata da un sistema di controllo autonomo. Un’architettura di difesa come quella offerta da Scudo231 non si limita a definire procedure su carta, ma le implementa in flussi operativi digitali non aggirabili. L’eventuale tentativo di un singolo, anche in posizione apicale, di commissionare un’attività illecita a un fornitore avrebbe lasciato una traccia digitale indelebile. Il sistema avrebbe registrato il tentativo di bypassare i controlli, l’alert generato e la mancata escalation o la sua gestione non conforme. Questa documentazione, cristallizzata in log immodificabili, avrebbe costituito la prova regina per dimostrare che l’eventuale reato non era espressione di una “colpa di organizzazione”, ma il frutto di una condotta fraudolenta di un singolo che ha deliberatamente eluso presidi efficaci e puntualmente attuati. Tale evidenza avrebbe potuto convincere la Procura a stralciare la posizione dell’ente, concentrando l’azione penale solo sulla persona fisica, risparmiando alla società il processo, il rischio di sanzioni interdittive e un danno economico e di immagine incalcolabile. Invece, l’assenza di una prova tecnologica robusta sulla reale efficacia dei modelli di prevenzione ha lasciato aperto il varco alla contestazione, trascinando l’intera organizzazione nell’incertezza di un giudizio penale.