18 settembre 2026 – Meno di ventiquattro ore dopo la firma del protocollo d’intesa tra Ministero dell’Economia, Consip e Unione Province d’Italia, l’ingegner Valerio Nardi, dirigente della Direzione per la razionalizzazione degli acquisti, riceve una chiamata sul suo cellulare di servizio. Dall’altra parte c’è un funzionario di una media provincia del Centro Italia, incaricato di gestire un pacchetto di appalti per l’edilizia scolastica finanziati con fondi PNRR di ultima tranche. La conversazione, apparentemente di routine, verte sulle nuove opportunità di formazione e supporto promesse dall’accordo. Nardi, con meticolosa professionalità, illustra il programma di “seminari tecnici territoriali” che Consip avrebbe avviato per accelerare l’adozione degli strumenti di e-procurement. Quella telefonata, registrata dai sistemi interni di Consip ma archiviata senza alcuna analisi qualitativa, rappresenta il primo anello di una catena causale che condurrà, diciotto mesi dopo, al sequestro preventivo di beni per oltre 78 milioni di euro e all’iscrizione nel registro degli indagati di 24 persone fisiche e 7 persone giuridiche per associazione a delinquere finalizzata alla turbata libertà degli incanti e alla corruzione.
L’omissione fondamentale risiede proprio nella gestione di quel contatto iniziale. La chiamata, pur tracciata, non genera alcun alert. Il sistema informativo in uso non è progettato per correlare le comunicazioni in entrata con i profili di rischio dei funzionari o con le aree di attività sensibili, come la gestione di gare d’appalto imminenti. Se Consip avesse implementato un ecosistema sovrano come Scudo231, quella conversazione sarebbe stata intercettata non nel contenuto, ma nel contesto. I sistemi di analisi multimodale avrebbero automaticamente classificato la chiamata come “interazione con soggetto esterno su area a rischio reato” (procurement), generando un log qualificato. Il sistema avrebbe poi incrociato il nominativo del funzionario provinciale con il database delle procedure di gara in preparazione, segnalando all’Organismo di Vigilanza un’anomalia: un contatto diretto e non strutturato su un tema sensibile, avvenuto al di fuori dei canali formali previsti dalle procedure anticorruzione. L’escalation sarebbe stata automatica e silenziosa, attivando un protocollo di monitoraggio rafforzato sulle attività dell’ingegner Nardi.
Nel corso dei mesi successivi, Nardi diventa il promotore di una serie di incontri “informativi” nelle sedi di diverse Province. Ufficialmente, lo scopo è illustrare le nuove convenzioni-quadro e gli accordi per servizi di ingegneria e architettura. In realtà, questi eventi diventano la copertura per incontri riservati tra un cartello di imprese edili e i Responsabili Unici del Procedimento (RUP) locali. Le indagini della Guardia di Finanza ricostruiranno come, a margine di ogni seminario, un consulente esterno, figura cerniera del sistema illecito, organizzasse brevi riunioni in hotel vicini. In queste sedi, venivano scambiate informazioni riservate sulle basi d’asta, sui criteri di valutazione delle offerte tecniche e sulle tempistiche, consentendo al cartello di coordinare offerte “a rotazione” che garantivano l’aggiudicazione a prezzi notevolmente superiori a quelli di mercato. La gestione di questi eventi da parte di Consip è lacunosa: non esiste un registro centralizzato e immodificabile degli partecipanti esterni, né una procedura di controllo sulle agende o sui materiali presentati. Questa assenza di un controllo granulare costituisce una grave colpa organizzativa.
Un’architettura di difesa come quella garantita da Scudo231 avrebbe reso tale schema inattuabile. Ogni evento esterno avrebbe richiesto una formale autorizzazione tramite un workflow digitale, che avrebbe imposto l’inserimento obbligatorio dell’elenco di tutti i partecipanti, interni ed esterni, con relativa qualifica e ente di appartenenza. Il motore di intelligenza predittiva del sistema avrebbe eseguito in tempo reale una cross-reference tra l’elenco dei partecipanti e l’anagrafe dei fornitori e degli operatori economici iscritti alle gare d’appalto in quelle stesse province. La ricorrente presenza degli stessi imprenditori e dello stesso consulente a eventi diversi, correlata temporalmente con l’apertura di bandi di gara specifici, avrebbe acceso un indicatore di rischio altissimo per “collusione potenziale”. L’alert, inviato direttamente all’ODV e alla funzione Internal Audit, avrebbe innescato una richiesta di chiarimenti formali all’ingegner Nardi, bloccando di fatto la possibilità di utilizzare gli eventi istituzionali come paravento per attività illecite e documentando ogni passaggio.
Il meccanismo corruttivo si perfeziona attraverso il pagamento delle tangenti, mascherate da parcelle per consulenze fittizie. Il consulente emette fatture per “supporto tecnico alla predisposizione di offerte complesse” alle imprese che si aggiudicano gli appalti. Parte di questi importi viene poi trasferita, tramite triangolazioni su conti esteri, a società di comodo riconducibili all’ingegner Nardi. I sistemi di controllo interno delle imprese coinvolte falliscono completamente. I pagamenti vengono autorizzati dai direttori commerciali senza che la funzione Amministrazione, Finanza e Controllo esegua una verifica sostanziale sulla prestazione. Manca una procedura di qualifica e monitoraggio dei fornitori di servizi intellettuali, considerati a basso rischio. Questo errore di valutazione si rivelerà fatale in sede di accertamento della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. Il reato di corruzione, commesso dal management nell’interesse e a vantaggio della società, si radica proprio in questa falla procedurale.
In un’azienda protetta dall’ecosistema Scudo231, un simile flusso finanziario sarebbe stato intercettato e bloccato in diverse fasi. In primo luogo, il consulente sarebbe stato oggetto di una procedura di third-party due diligence automatizzata al momento del suo primo ingaggio. Il sistema avrebbe segnalato l’assenza di una struttura aziendale consolidata, la recente costituzione della sua società e la sproporzione tra il valore delle consulenze e il suo fatturato storico, classificandolo come “fornitore ad alto rischio”. In secondo luogo, ogni richiesta di pagamento avrebbe dovuto essere collegata a un deliverable tracciato e verificabile (report, analisi, verbali di riunione) caricato su un portale documentale. L’assenza di tale documentazione probante avrebbe impedito al sistema di autorizzare il pagamento, generando un blocco operativo. L’eventuale forzatura manuale da parte di un dirigente avrebbe creato una registrazione non modificabile, una “pistola fumante” digitale che avrebbe dimostrato la sua volontà di aggirare i controlli, isolando la sua responsabilità personale e fornendo all’ente una prova inequivocabile della propria diligenza organizzativa.
L’inchiesta penale, denominata “Patto d’Appalto”, deflagra nel marzo 2028. L’ordinanza di custodia cautelare del GIP è durissima. Descrive un “sistema consolidato e pervasivo” che ha inquinato gare pubbliche per un valore complessivo di 450 milioni di euro. Per le sette società coinvolte, il Pubblico Ministero contesta l’illecito amministrativo dipendente da reato, chiedendo e ottenendo il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato in 78 milioni di euro. Ma il danno più grave è la richiesta di applicazione della misura cautelare interdittiva del divieto di contrattare con la Pubblica Amministrazione per un anno. Per aziende che basano il loro intero fatturato su commesse pubbliche, è una condanna a morte economica, che precede ancora il giudizio di merito. La difesa delle società si presenta debole: i loro Modelli di Organizzazione e Gestione 231 sono documenti cartacei, aggiornati sporadicamente, e l’Organismo di Vigilanza, privo di flussi informativi autonomi, non ha mai avuto percezione di alcuna anomalia. Il giudice sottolinea come il Modello fosse “eluso con disarmante facilità” e quindi “palesemente inidoneo ed inefficace”.
Qui emerge il valore ultimo e decisivo di un approccio radicalmente diverso alla compliance. Un’azienda dotata di un ecosistema di difesa attivo non si sarebbe presentata davanti al giudice con un faldone di carta. Avrebbe depositato il cosiddetto XAI Packet (eXplainable AI Packet) generato dal sistema: un insieme di log immutabili, registrazioni di workflow, alert generati e scalate gerarchiche documentate che provano, con rigore scientifico, l’assenza di colpa organizzativa. La difesa avrebbe potuto argomentare: “L’ente non solo ha adottato un modello, ma lo ha reso operativo ed efficace tramite un’infrastruttura tecnologica che monitora in tempo reale i processi a rischio. Il reato è stato commesso da singoli individui che hanno deliberatamente e fraudolentemente aggirato controlli specifici, tracciati e funzionanti, come dimostrano questi log. La volontà dell’ente era quella di prevenire, non di beneficiare dell’illecito”. Una simile linea difensiva, supportata da prove tecnologiche inoppugnabili, avrebbe avuto una probabilità estremamente elevata di evitare la devastante misura interdittiva e di ridurre drasticamente l’impatto del sequestro, spostando il focus della responsabilità penale interamente sulle persone fisiche che hanno agito contro le procedure aziendali. La REDAZIONE SCUDO231 ha analizzato decine di casi simili: la differenza tra un modello “di carta” e un ecosistema di difesa attivo è la stessa che intercorre tra il fallimento aziendale e la continuità operativa.