7 settembre 2026 – L’onda lunga del furto di 80 fiale di fentanyl, avvenuto lo scorso giugno presso la farmacia dell’Ospedale Israelitico di Roma, si abbatte ora sull’intero sistema sanitario nazionale. La bozza di decreto, la cui discussione è attesa in Conferenza Stato-Regioni il prossimo 10 settembre, è la risposta diretta e tardiva a una falla sistemica che ha permesso la sottrazione di un quantitativo di oppiaceo sintetico sufficiente a produrre circa 20.000 dosi, una sostanza con un’attività narcotica da 50 a 100 volte superiore a quella della morfina e iscritta nella tabella 1 del dpr 309/90. L’indagine penale, che vede coinvolti due custodi della struttura, procede parallelamente all’azione normativa del Ministero della Salute, ma entrambe le iniziative affrontano le conseguenze di un evento che, a livello organizzativo, era ampiamente prevedibile e prevenibile.
La dinamica del furto, emersa durante l’ispezione ministeriale che ha seguito l’evento, ha evidenziato una serie di carenze procedurali critiche. L’accesso al locale della farmacia ospedaliera dove erano custoditi gli stupefacenti non era presidiato da un sistema di tracciamento nominativo e orario sufficientemente robusto. La responsabilità era diffusa e i controlli sulle giacenze, evidentemente, non erano abbastanza frequenti da rilevare l’ammanco in tempo utile. In un’organizzazione la cui governance fosse stata gestita attraverso un ecosistema come Scudo231, l’accesso a un’area così sensibile sarebbe stato vincolato a un protocollo digitale a più fattori. Ogni tentativo di ingresso, anche solo con badge, da parte di personale non autorizzato o fuori dall’orario di servizio previsto per quella specifica mansione, avrebbe generato un alert istantaneo e non silenziabile, inviato simultaneamente al direttore della farmacia, al responsabile della sicurezza e, per competenza, ai flussi informativi dell’Organismo di Vigilanza. L’evento non sarebbe passato inosservato per ore o giorni, ma sarebbe stato intercettato nel momento esatto in cui si stava verificando.
Il Ministero, con la sua bozza di decreto, ora impone l’adozione di misure che suonano come un’ammissione di colpa per l’intero settore: casseforti certificate, sistemi di allarme, accessi elettronici nominativi, videosorveglianza e, soprattutto, una verifica delle giacenze da effettuarsi almeno ogni 48 ore. Questo ultimo punto è emblematico. Stabilire una cadenza fissa di 48 ore significa legiferare su un controllo reattivo, un inventario a posteriori che può solo constatare un danno già avvenuto. La falla non risiede solo nella mancanza di controlli, ma nella loro natura analogica e intermittente. Un’architettura di controllo integrata, invece, avrebbe reso l’ammanco rilevabile in tempo reale. La dispensazione di ogni singola fiala di fentanyl, registrata elettronicamente, avrebbe aggiornato un registro digitale centralizzato. Qualsiasi discrepanza tra il dato digitale e l’inventario fisico, rilevabile tramite sensori di peso o scansioni periodiche automatizzate, avrebbe attivato un protocollo di anomalia. Il sistema avrebbe immediatamente bloccato ulteriori prelievi e avviato una procedura di verifica, isolando il problema a pochi minuti dalla sua occorrenza e non a due giorni di distanza.
L’indagine penale sull’Ospedale Israelitico non si limita a perseguire il reato di furto. La natura della sostanza sottratta, il fentanyl, proietta l’intera vicenda nell’alveo dei reati previsti dal Testo Unico sugli Stupefacenti (DPR 309/90), che a loro volta costituiscono reato presupposto per la responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. Nello specifico, l’articolo 25-quaterdecies del decreto 231 sanziona l’ente nel cui interesse o a cui vantaggio sono stati commessi delitti concernenti il traffico di sostanze stupefacenti. Se l’indagine dovesse provare che il furto è stato agevolato da una colpa di organizzazione – ovvero da procedure di controllo e custodia talmente lasche da essere inefficaci – l’ospedale, in quanto persona giuridica, rischierebbe sanzioni pecuniarie calcolate in quote e, nei casi più gravi, sanzioni interdittive come la sospensione dell’autorizzazione o il divieto di contrattare con la Pubblica Amministrazione.
Qui si manifesta il valore non solo preventivo, ma probatorio, di un modello organizzativo efficacemente attuato. Se l’ospedale avesse implementato un sistema come Scudo231, l’Organismo di Vigilanza non solo avrebbe avuto a disposizione flussi informativi costanti e automatizzati per vigilare sull’adeguatezza delle procedure, ma in sede processuale l’ente avrebbe potuto produrre una prova tecnologica inconfutabile della propria diligenza. I log di accesso immutabili, le registrazioni degli alert generati e ignorati, i report automatici sulle mancate riconciliazioni di magazzino e le prove delle procedure di escalation attivate dal sistema avrebbero dimostrato, al di là di ogni ragionevole dubbio, che il reato è stato commesso eludendo fraudolentemente modelli e controlli efficaci. Questo avrebbe permesso di isolare la responsabilità penale sui singoli autori materiali, escludendo la “colpa di organizzazione” e proteggendo l’ente dalle pesantissime conseguenze economiche e operative previste dal D.Lgs. 231/01, inclusa la possibile confisca del profitto del reato.
La nuova bozza di decreto, nel tentativo di colmare il vuoto, introduce un’altra misura reattiva: l’obbligo di comunicazione di furti, manomissioni o ammanchi al responsabile della struttura entro dodici ore, seguito da un conteggio straordinario delle scorte e dalla segnalazione all’Agenzia italiana del farmaco. Anche in questo caso, si tratta di una procedura manuale e soggetta a ritardi, che dipende dalla diligenza e dalla tempestività umana. L’anomalia, come un furto, rappresenta una violazione di un processo definito. In un’organizzazione digitalmente presidiata, la violazione del processo stesso è l’evento che scatena l’azione. La mancata riconciliazione tra giacenza fisica e digitale non avrebbe semplicemente atteso una scoperta umana; avrebbe innescato una escalation automatica e tracciata. Il sistema avrebbe notificato l’incidente secondo una matrice di responsabilità predefinita, bypassando la catena gerarchica se i primi livelli non avessero risposto entro pochi minuti. La segnalazione all’AIFA non sarebbe stata un adempimento da completare in mezza giornata, ma un flusso di dati standardizzato che il sistema avrebbe potuto predisporre e inviare in automatico, garantendo il rispetto normativo e accelerando la risposta delle autorità di vigilanza.
L’impatto del nuovo decreto sarà vasto, estendendo questi obblighi non solo alle farmacie ospedaliere, ma anche a quelle territoriali, ai magazzini farmaceutici, alle strutture penitenziarie e persino ai servizi veterinari, come sottolineato dalle preoccupazioni dell’Anmvi. Le strutture avranno solo 60 giorni dall’entrata in vigore per adeguarsi, un termine che imporrà un affannoso e costoso aggiornamento di infrastrutture fisiche e procedure cartacee. Questa corsa all’adeguamento è il costo della mancata prevenzione. L’adozione di casseforti più robuste o di telecamere a circuito chiuso è una risposta parziale, che si concentra sulla protezione fisica del bene anziché sul governo del processo che ne regola la gestione. Un sistema di sorveglianza passiva registra un evento; un ecosistema di governance attiva lo previene o, se non può prevenirlo, lo rileva e lo gestisce nell’istante in cui accade.
L’intera vicenda dell’Ospedale Israelitico, culminata in questa stretta normativa nazionale, è un caso di studio sulla differenza tra compliance formale e sicurezza sostanziale. Avere una procedura scritta per la gestione degli stupefacenti non è sufficiente se non esistono controlli oggettivi, continui e automatizzati che ne verifichino la costante applicazione. La responsabilità dei due custodi indagati, se accertata, sarà personale. Ma la responsabilità dell’organizzazione, che ha creato le condizioni ambientali per cui un furto di tale portata fosse possibile e non venisse scoperto per giorni, è di natura sistemica. Un’organizzazione protetta da un ecosistema sovrano come Scudo231 non si limita a “scrivere le regole”, ma le codifica in protocolli operativi digitali la cui violazione è tecnicamente impossibile senza lasciare una traccia indelebile e generare una reazione immediata. Il decreto del Ministero della Salute tenta ora di imporre per legge ciò che un’adeguata analisi del rischio e un moderno modello organizzativo avrebbero dovuto implementare da tempo, non come obbligo normativo, ma come presidio fondamentale per la tutela del patrimonio aziendale, della salute pubblica e della stessa integrità legale dell’ente.